Decisione (UE, Euratom) 2019/1963 della Commissione del 17 ottobre 2019 che stabilisce le norme di attuazione in materia di sicurezza industriale per quanto riguarda i contratti di appalto classificati

1. La presente decisione stabilisce le norme di attuazione in materia di sicurezza industriale per quanto riguarda i contratti di appalto classificati a supporto dell’attuazione della decisione (UE, Euratom) 2015/444, in particolare il capo 6 della medesima.

2. La presente decisione stabilisce requisiti specifici per garantire la protezione delle informazioni classificate UE (ICUE) da parte degli operatori economici nella fase precontrattuale, lungo tutto il ciclo di vita dei contratti classificati conclusi dalla Commissione europea e per i subcontratti conclusi da contraenti della Commissione.

3. La presente decisione riguarda le informazioni classificate ai seguenti livelli:

1. a) RESTREINT UE/EU RESTRICTED;

2. b) CONFIDENTIEL UE/EU CONFIDENTIAL;

3. c) SECRET UE/EU SECRET.

1. Nell’ambito delle responsabilità descritte nel regolamento finanziario⁸, ciascun ordinatore dell’autorità contraente della Commissione garantisce che il contratto classificato faccia riferimento alle norme minime di sicurezza industriale di cui al capo 6 della decisione (UE, Euratom) 2015/444 e alle presenti norme di attuazione e, se del caso, al bando di gara o all’invito a presentare offerte, e che tali norme minime siano rispettate nel corso dell’attuazione.

2. A tal fine, in tutte le fasi, l’ordinatore interessato chiede il parere dell’autorità di sicurezza della Commissione sulle questioni riguardanti gli elementi di sicurezza del contratto, programma o progetto classificato e informa il responsabile locale della sicurezza in merito ai contratti conclusi. La decisione sul livello di classifica di determinate materie spetta all’autorità contraente ed è presa tenendo in debito conto la guida alle classifiche di sicurezza.

3. Nel rispetto dei requisiti delle presenti norme di attuazione, l’autorità di sicurezza della Commissione collabora strettamente con le autorità di sicurezza nazionali (NSA) e le autorità di sicurezza designate (DSA) degli Stati membri interessati, in particolare per quanto riguarda il nulla osta di sicurezza delle imprese (FCS) e il nulla osta di sicurezza del personale (PSC), la procedura relativa alle visite e i programmi di trasporto.

1. I contratti classificati sono aggiudicati esclusivamente a operatori economici registrati in uno Stato membro o a operatori economici registrati in un paese terzo o istituiti da un’organizzazione internazionale, purché il paese terzo o l’organizzazione internazionale abbiano concluso un accordo sulla sicurezza delle informazioni con l’Unione europea o un accordo amministrativo con la Commissione⁹.

2. Prima di pubblicare l’invito a presentare offerte per un contratto classificato, l’autorità contraente determina la classifica di sicurezza delle informazioni che potrebbero essere fornite agli offerenti. L’autorità contraente determina anche la classifica di sicurezza massima delle informazioni generate durante l’esecuzione del contratto, del programma o del progetto, o almeno il volume e il tipo delle informazioni che si prevede di produrre o trattare e stabilisce la necessità di un sistema di comunicazione e informazione (CIS) classificato.

3. L’autorità contraente provvede affinché i bandi di gara relativi a contratti classificati forniscano informazioni sugli obblighi specifici di sicurezza connessi alle informazioni classificate. L’allegato I contiene il modello delle informazioni da includere nel bando di gara.

4. L’autorità contraente provvede affinché le informazioni classificate RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET siano comunicate agli offerenti solo dopo che questi ultimi abbiano firmato l’impegno alla non divulgazione, che li obbliga a trattare e proteggere le ICUE a norma della decisione (UE, Euratom) 2015/444 e delle relative norme di attuazione.

5. Tutti i contraenti tenuti a trattare o conservare informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nelle loro strutture, nel corso dell’esecuzione del contratto classificato stesso o nella fase precontrattuale, devono essere in possesso dell’FSC al livello richiesto. Di seguito sono indicate le tre situazioni che possono presentarsi nella fase di gara relativa ad un contratto classificato che comporta ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET:

1. a) nessun accesso alle ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nella fase di gara: se il bando di gara o l’invito a presentare offerte riguarda un contratto che comporterà ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, ma l’offerente non sarà tenuto a trattare dette informazioni nella fase di gara, il mancato possesso da parte dell’offerente dell’FSC al livello richiesto non determina l’esclusione dalla procedura di presentazione dell’offerta;

2. b) accesso alle ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei locali dell’autorità contraente nella fase di gara: l’accesso è consentito al personale dell’offerente che sia in possesso del PSC al livello richiesto e che abbia necessità di conoscere. Prima di concedere l’accesso, l’autorità contraente verifica presso l’NSA/DSA competente, tramite l’autorità di sicurezza della Commissione, se in questa fase l’FSC è richiesto anche a norma delle disposizioni legislative e regolamentari nazionali;

3. c) trattamento o conservazione delle ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei locali dell’offerente nella fase di gara: se il bando di gara o l’invito a presentare offerte impone agli offerenti di trattare o conservare le ICUE nei loro locali, l’offerente deve essere in possesso dell’FSC al livello richiesto. In questi casi l’autorità contraente ottiene, tramite l’autorità di sicurezza della Commissione, l’assicurazione dell’NSA/DSA competente che all’offerente è stato rilasciato l’FSC adeguato. L’accesso è consentito al personale dell’offerente che sia in possesso del PSC al livello richiesto e che abbia necessità di conoscere.

6. Di norma, non è richiesto l’FSC per l’accesso alle informazioni RESTREINT UE/EU RESTRICTED, né nella fase di gara né in quella di esecuzione del contratto. Quando gli Stati membri prescrivono l’FSC per contratti o subcontratti di livello RESTREINT UE/EU RESTRICTED a norma di disposizioni legislative e regolamentari nazionali, come indicato nell’allegato IV, le prescrizioni nazionali non possono imporre obblighi supplementari agli altri Stati membri né impedire agli offerenti, contraenti o subcontraenti di Stati membri che non prevedono dette prescrizioni in materia di FSC l’accesso a informazioni RESTREINT UE/EU RESTRICTED derivanti da contratti/subcontratti connessi o la partecipazione alla relativa gara. Questi contratti sono eseguiti negli Stati membri conformemente alle rispettive disposizioni legislative e regolamentari nazionali.

7. Quando per l’esecuzione di un contratto classificato è richiesto l’FSC, l’autorità contraente, tramite l’autorità di sicurezza della Commissione, presenta richiesta all’NSA/DSA del contraente utilizzando il modulo di informazione sul nulla osta di sicurezza delle imprese (FSCIS). L’allegato III, appendice D, riporta un modello di FSCIS¹⁰. Il contratto classificato non può essere aggiudicato fino a quando l’NSA/DSA non ha confermato l’FSC del contraente. Se possibile, la risposta all’FSCIS è fornita entro dieci giorni lavorativi dalla data della richiesta.

1. Le condizioni alle quali il contraente aggiudicatario di un contratto classificato della Commissione può concludere subcontratti sono definite nell’invito a presentare offerte e nella documentazione contrattuale. Se il contratto classificato consente il subcontratto per alcune delle sue parti, il subcontratto è subordinato al consenso preliminare scritto dell’autorità contraente. Prima di dare l’assenso, l’autorità contraente consulta l’autorità di sicurezza della Commissione.

2. I contratti classificati sono concessi in subcontratto esclusivamente a operatori economici registrati in uno Stato membro o a operatori economici registrati in un paese terzo o istituiti da un’organizzazione internazionale, purché il paese terzo o l’organizzazione internazionale abbiano concluso un accordo sulla sicurezza delle informazioni con l’UE o un accordo amministrativo con la Commissione¹¹.

1. In sede di aggiudicazione di un contratto classificato, l’autorità contraente, assieme all’autorità di sicurezza della Commissione, garantisce che gli obblighi del contraente in materia di protezione delle ICUE fornite al contraente o generate nel corso dell’esecuzione del contratto siano parte integrante del contratto. I requisiti di sicurezza specifici del contratto assumono la forma di una lettera sugli aspetti di sicurezza (SAL). Nell’allegato III è riportato un modello di SAL.

2. Prima della firma del contratto classificato, l’autorità contraente prepara, previa consultazione dell’autorità di sicurezza della Commissione, una guida alle classifiche di sicurezza (SCG), in cui sono descritti i compiti da svolgere e le informazioni generate nell’esecuzione del contratto, o, se del caso, a livello di programma o di progetto. La SCG è inclusa nella SAL.

3. I requisiti di sicurezza specifici del programma o del progetto assumono la forma di istruzioni di sicurezza del programma/progetto (PSI). Le PSI possono essere redatte sulla base delle disposizioni del modello di SAL di cui all’allegato III. Le PSI sono elaborate dal servizio della Commissione responsabile della gestione del programma o del progetto, in stretta collaborazione con l’autorità di sicurezza della Commissione, e presentate per parere al gruppo di esperti in materia di sicurezza della Commissione. Se un contratto rientra in un programma o in un progetto dotato delle proprie PSI, la SAL del contratto è redatta in forma semplificata e rinvia alle disposizioni in materia di sicurezza contenute nelle PSI del programma o progetto.

4. L’autorità contraente è considerata l’originatore delle informazioni classificate create e trattate ai fini dell’esecuzione del contratto.

5. L’autorità contraente, tramite l’autorità di sicurezza della Commissione, notifica alle NSA/DSA di tutti i contraenti e subcontraenti la conclusione di contratti o subcontratti classificati e la loro eventuale proroga o estinzione anticipata. Nell’allegato IV è riportato l’elenco delle prescrizioni per paese.

6. I contratti che comportano informazioni classificate RESTREINT UE/EU RESTRICTED includono una clausola di sicurezza che rende vincolanti per il contraente le disposizioni di cui all’allegato III, appendice E. Tali contratti includono la SAL, che stabilisce, come minimo, i requisiti per il trattamento delle informazioni RESTREINT UE/EU RESTRICTED, compresi gli aspetti relativi alla garanzia di sicurezza delle informazioni e i requisiti specifici che il contraente delegato dall’autorità contraente deve rispettare per l’accreditamento del CIS del contraente che tratta informazioni RESTREINT UE/EU RESTRICTED.

7. Quando agli offerenti o ai potenziali contraenti sono fornite informazioni RESTREINT UE/EU RESTRICTED, i requisiti minimi di cui al paragrafo 6 sono inclusi nelle offerte o nel pertinente impegno alla non divulgazione concluso nella fase di gara.

8. Ove previsto dalle disposizioni legislative e regolamentari degli Stati membri, le NSA/DSA garantiscono che i contraenti o i subcontraenti sotto la loro giurisdizione rispettino le disposizioni di sicurezza applicabili per la protezione delle informazioni RESTREINT UE/EU RESTRICTED e svolgono visite di verifica presso le strutture del contraente situate sul loro territorio. Se l’NSA/DSA non è soggetta a tale obbligo, l’autorità contraente garantisce che il contraente attui le disposizioni di sicurezza richieste di cui all’allegato III.

1. Il servizio della Commissione, in qualità di autorità contraente, assicura che i contratti classificati contengano disposizioni secondo le quali il personale del contraente o del subcontraente che per l’esecuzione del contratto o del subcontratto classificato debba avere accesso alle ICUE può beneficiare di tale accesso soltanto se:

1. a) è stato stabilito che ha necessità di conoscere;

2. b) per le informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, l’NSA/DSA o altra autorità di sicurezza competente gli ha rilasciato il PSC di livello appropriato;

3. c) è stato istruito sulle norme di sicurezza applicabili per la protezione delle ICUE e ha riconosciuto le proprie responsabilità in materia di protezione di tali informazioni.

2. Se il contraente o il subcontraente intendono assumere un cittadino di un paese non UE in una posizione che richiede l’accesso a ICUE classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, spetta al contraente o al subcontraente avviare la procedura per il rilascio del nulla osta di sicurezza per detta persona a norma delle disposizioni legislative e regolamentari nazionali applicabili nel luogo in cui deve essere concesso l’accesso alle ICUE.

1. Se la Commissione, i contraenti o i subcontraenti richiedono l’accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei reciproci locali per l’esecuzione del contratto classificato, le visite sono organizzate di concerto con le NSA/DSA o altre autorità di sicurezza competenti interessate.

2. Le visite di cui al paragrafo 1 sono soggette alle seguenti condizioni:

1. a) la visita deve avere uno scopo ufficiale inerente ad un contratto classificato aggiudicato dalla Commissione;

2. b) per accedere alle ICUE fornite o generate nell’esecuzione di un contratto classificato aggiudicato dalla Commissione i visitatori devono essere in possesso del PSC al livello richiesto e avere la necessità di conoscere.

1. Le visite dei contraenti presso le strutture di altri contraenti, o presso i locali della Commissione, che comportano l’accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate secondo la seguente procedura:

1. a) il responsabile della sicurezza della struttura che invia il visitatore deve compilare tutte le parti pertinenti del modulo per la richiesta di visita (RFV) e presentare la richiesta all’NSA/DSA della struttura. Nell’allegato III, appendice C, è riportato un modello del modulo RFV;

2. b) l’NSA/DSA della struttura che invia il visitatore deve confermare il PSC del visitatore prima di inoltrare l’RFV all’NSA/DSA della struttura ospitante (o all’autorità di sicurezza della Commissione se la visita viene effettuata nei locali della Commissione);

3. c) il responsabile della sicurezza della struttura che invia il visitatore deve poi acquisire dalla propria NSA/DSA la risposta dell’NSA/DSA della struttura ospitante (o dell’autorità di sicurezza della Commissione) di approvazione o di rigetto dell’RFV;

4. d) l’RFV è considerata approvata se non vengono sollevate obiezioni fino ai cinque giorni lavorativi precedenti la data della visita.

2. Le visite effettuate da funzionari della Commissione presso le strutture del contraente che comportano l’accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate secondo la seguente procedura:

1. a) il visitatore deve compilare tutte le parti pertinenti del modulo RFV e inoltrarlo all’autorità di sicurezza della Commissione;

2. b) l’autorità di sicurezza della Commissione conferma il PSC del visitatore prima di presentare l’RFV all’NSA/DSA della struttura ospitante;

3. c) l’autorità di sicurezza della Commissione acquisisce dall’NSA/DSA della struttura ospitante la risposta di approvazione o di rigetto dell’RFV;

4. d) l’RFV è considerata approvata se non vengono sollevate obiezioni fino ai cinque giorni lavorativi precedenti la data della visita.

3. L’RFV può riguardare una singola visita o visite ricorrenti. In caso di visite ricorrenti, l’RFV può essere valida per un periodo massimo di un anno a decorrere dalla data di inizio richiesta.

4. La durata di validità dell’RFV non può superare la durata di validità del PSC del visitatore.

5. Di norma, l’RFV deve essere presentata all’autorità di sicurezza competente della struttura ospitante almeno 15 giorni lavorativi prima della data della visita.

1. Prima di consentire ai visitatori di accedere alle ICUE, l’ufficio di sicurezza della struttura ospitante deve espletare tutte le procedure e rispettare tutte le norme in materia di sicurezza delle visite stabilite dalla propria NSA/DSA.

2. I visitatori devono dimostrare la propria identità all’arrivo presso la struttura ospitante presentando una carta d’identità o un passaporto validi. I dati identificativi devono corrispondere alle informazioni fornite nell’RFV.

3. La struttura ospitante provvede alla tenuta dei registri di tutti i visitatori, contenenti nome e cognome, organizzazione che rappresentano, data di scadenza del PSC, data della visita e nome e cognome delle persone visitate. I registri sono conservati per un periodo di almeno cinque anni, o per un periodo di durata superiore se previsto dalle norme e dai regolamenti nazionali del paese in cui è situata la struttura ospitante.

1. Nel quadro di progetti specifici, le pertinenti NSA/DSA e l’autorità di sicurezza della Commissione possono concordare una procedura in base alla quale le visite per un determinato contratto classificato possono essere organizzate direttamente tra il responsabile della sicurezza del visitatore e il responsabile della sicurezza della struttura da visitare. Il modello di modulo da utilizzare a tal fine figura nell’allegato III, appendice C. Questa procedura eccezionale è definita nelle PSI o in altri accordi specifici. In questi casi non si applicano le procedure di cui all’articolo 8 e all’articolo 9, paragrafo 1.

2. Le visite che comportano l’accesso a informazioni classificate RESTREINT UE/EU RESTRICTED sono organizzate direttamente tra l’entità che invia e l’entità che riceve i visitatori senza dover seguire le procedure di cui all’articolo 8 e all’articolo 9, paragrafo 1.