Decisione (UE, Euratom) 2019/1963 della Commissione del 17 ottobre 2019 che stabilisce le norme di attuazione in materia di sicurezza industriale per quanto riguarda i contratti di appalto classificati

1. In sede di aggiudicazione di un contratto classificato, l’autorità contraente, assieme all’autorità di sicurezza della Commissione, garantisce che gli obblighi del contraente in materia di protezione delle ICUE fornite al contraente o generate nel corso dell’esecuzione del contratto siano parte integrante del contratto. I requisiti di sicurezza specifici del contratto assumono la forma di una lettera sugli aspetti di sicurezza (SAL). Nell’allegato III è riportato un modello di SAL.

2. Prima della firma del contratto classificato, l’autorità contraente prepara, previa consultazione dell’autorità di sicurezza della Commissione, una guida alle classifiche di sicurezza (SCG), in cui sono descritti i compiti da svolgere e le informazioni generate nell’esecuzione del contratto, o, se del caso, a livello di programma o di progetto. La SCG è inclusa nella SAL.

3. I requisiti di sicurezza specifici del programma o del progetto assumono la forma di istruzioni di sicurezza del programma/progetto (PSI). Le PSI possono essere redatte sulla base delle disposizioni del modello di SAL di cui all’allegato III. Le PSI sono elaborate dal servizio della Commissione responsabile della gestione del programma o del progetto, in stretta collaborazione con l’autorità di sicurezza della Commissione, e presentate per parere al gruppo di esperti in materia di sicurezza della Commissione. Se un contratto rientra in un programma o in un progetto dotato delle proprie PSI, la SAL del contratto è redatta in forma semplificata e rinvia alle disposizioni in materia di sicurezza contenute nelle PSI del programma o progetto.

4. L’autorità contraente è considerata l’originatore delle informazioni classificate create e trattate ai fini dell’esecuzione del contratto.

5. L’autorità contraente, tramite l’autorità di sicurezza della Commissione, notifica alle NSA/DSA di tutti i contraenti e subcontraenti la conclusione di contratti o subcontratti classificati e la loro eventuale proroga o estinzione anticipata. Nell’allegato IV è riportato l’elenco delle prescrizioni per paese.

6. I contratti che comportano informazioni classificate RESTREINT UE/EU RESTRICTED includono una clausola di sicurezza che rende vincolanti per il contraente le disposizioni di cui all’allegato III, appendice E. Tali contratti includono la SAL, che stabilisce, come minimo, i requisiti per il trattamento delle informazioni RESTREINT UE/EU RESTRICTED, compresi gli aspetti relativi alla garanzia di sicurezza delle informazioni e i requisiti specifici che il contraente delegato dall’autorità contraente deve rispettare per l’accreditamento del CIS del contraente che tratta informazioni RESTREINT UE/EU RESTRICTED.

7. Quando agli offerenti o ai potenziali contraenti sono fornite informazioni RESTREINT UE/EU RESTRICTED, i requisiti minimi di cui al paragrafo 6 sono inclusi nelle offerte o nel pertinente impegno alla non divulgazione concluso nella fase di gara.

8. Ove previsto dalle disposizioni legislative e regolamentari degli Stati membri, le NSA/DSA garantiscono che i contraenti o i subcontraenti sotto la loro giurisdizione rispettino le disposizioni di sicurezza applicabili per la protezione delle informazioni RESTREINT UE/EU RESTRICTED e svolgono visite di verifica presso le strutture del contraente situate sul loro territorio. Se l’NSA/DSA non è soggetta a tale obbligo, l’autorità contraente garantisce che il contraente attui le disposizioni di sicurezza richieste di cui all’allegato III.

1. Il servizio della Commissione, in qualità di autorità contraente, assicura che i contratti classificati contengano disposizioni secondo le quali il personale del contraente o del subcontraente che per l’esecuzione del contratto o del subcontratto classificato debba avere accesso alle ICUE può beneficiare di tale accesso soltanto se:

1. a) è stato stabilito che ha necessità di conoscere;

2. b) per le informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, l’NSA/DSA o altra autorità di sicurezza competente gli ha rilasciato il PSC di livello appropriato;

3. c) è stato istruito sulle norme di sicurezza applicabili per la protezione delle ICUE e ha riconosciuto le proprie responsabilità in materia di protezione di tali informazioni.

2. Se il contraente o il subcontraente intendono assumere un cittadino di un paese non UE in una posizione che richiede l’accesso a ICUE classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, spetta al contraente o al subcontraente avviare la procedura per il rilascio del nulla osta di sicurezza per detta persona a norma delle disposizioni legislative e regolamentari nazionali applicabili nel luogo in cui deve essere concesso l’accesso alle ICUE.

1. Se la Commissione, i contraenti o i subcontraenti richiedono l’accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei reciproci locali per l’esecuzione del contratto classificato, le visite sono organizzate di concerto con le NSA/DSA o altre autorità di sicurezza competenti interessate.

2. Le visite di cui al paragrafo 1 sono soggette alle seguenti condizioni:

1. a) la visita deve avere uno scopo ufficiale inerente ad un contratto classificato aggiudicato dalla Commissione;

2. b) per accedere alle ICUE fornite o generate nell’esecuzione di un contratto classificato aggiudicato dalla Commissione i visitatori devono essere in possesso del PSC al livello richiesto e avere la necessità di conoscere.

1. Le visite dei contraenti presso le strutture di altri contraenti, o presso i locali della Commissione, che comportano l’accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate secondo la seguente procedura:

1. a) il responsabile della sicurezza della struttura che invia il visitatore deve compilare tutte le parti pertinenti del modulo per la richiesta di visita (RFV) e presentare la richiesta all’NSA/DSA della struttura. Nell’allegato III, appendice C, è riportato un modello del modulo RFV;

2. b) l’NSA/DSA della struttura che invia il visitatore deve confermare il PSC del visitatore prima di inoltrare l’RFV all’NSA/DSA della struttura ospitante (o all’autorità di sicurezza della Commissione se la visita viene effettuata nei locali della Commissione);

3. c) il responsabile della sicurezza della struttura che invia il visitatore deve poi acquisire dalla propria NSA/DSA la risposta dell’NSA/DSA della struttura ospitante (o dell’autorità di sicurezza della Commissione) di approvazione o di rigetto dell’RFV;

4. d) l’RFV è considerata approvata se non vengono sollevate obiezioni fino ai cinque giorni lavorativi precedenti la data della visita.

2. Le visite effettuate da funzionari della Commissione presso le strutture del contraente che comportano l’accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate secondo la seguente procedura:

1. a) il visitatore deve compilare tutte le parti pertinenti del modulo RFV e inoltrarlo all’autorità di sicurezza della Commissione;

2. b) l’autorità di sicurezza della Commissione conferma il PSC del visitatore prima di presentare l’RFV all’NSA/DSA della struttura ospitante;

3. c) l’autorità di sicurezza della Commissione acquisisce dall’NSA/DSA della struttura ospitante la risposta di approvazione o di rigetto dell’RFV;

4. d) l’RFV è considerata approvata se non vengono sollevate obiezioni fino ai cinque giorni lavorativi precedenti la data della visita.

3. L’RFV può riguardare una singola visita o visite ricorrenti. In caso di visite ricorrenti, l’RFV può essere valida per un periodo massimo di un anno a decorrere dalla data di inizio richiesta.

4. La durata di validità dell’RFV non può superare la durata di validità del PSC del visitatore.

5. Di norma, l’RFV deve essere presentata all’autorità di sicurezza competente della struttura ospitante almeno 15 giorni lavorativi prima della data della visita.

1. Prima di consentire ai visitatori di accedere alle ICUE, l’ufficio di sicurezza della struttura ospitante deve espletare tutte le procedure e rispettare tutte le norme in materia di sicurezza delle visite stabilite dalla propria NSA/DSA.

2. I visitatori devono dimostrare la propria identità all’arrivo presso la struttura ospitante presentando una carta d’identità o un passaporto validi. I dati identificativi devono corrispondere alle informazioni fornite nell’RFV.

3. La struttura ospitante provvede alla tenuta dei registri di tutti i visitatori, contenenti nome e cognome, organizzazione che rappresentano, data di scadenza del PSC, data della visita e nome e cognome delle persone visitate. I registri sono conservati per un periodo di almeno cinque anni, o per un periodo di durata superiore se previsto dalle norme e dai regolamenti nazionali del paese in cui è situata la struttura ospitante.

1. Nel quadro di progetti specifici, le pertinenti NSA/DSA e l’autorità di sicurezza della Commissione possono concordare una procedura in base alla quale le visite per un determinato contratto classificato possono essere organizzate direttamente tra il responsabile della sicurezza del visitatore e il responsabile della sicurezza della struttura da visitare. Il modello di modulo da utilizzare a tal fine figura nell’allegato III, appendice C. Questa procedura eccezionale è definita nelle PSI o in altri accordi specifici. In questi casi non si applicano le procedure di cui all’articolo 8 e all’articolo 9, paragrafo 1.

2. Le visite che comportano l’accesso a informazioni classificate RESTREINT UE/EU RESTRICTED sono organizzate direttamente tra l’entità che invia e l’entità che riceve i visitatori senza dover seguire le procedure di cui all’articolo 8 e all’articolo 9, paragrafo 1.

1.

2. L’accreditamento di sicurezza del CIS del contraente che tratta ICUE di livello RESTREINT UE/EU RESTRICTED e di tutte le relative interconnessioni può essere delegato al responsabile della sicurezza del contraente se consentito dalle disposizioni legislative e regolamentari nazionali. In caso di delega, il contraente è responsabile dell’attuazione dei requisiti minimi di sicurezza descritti nella SAL per il trattamento di informazioni RESTREINT UE/EU RESTRICTED nel suo CIS. Tuttavia, le NSA/DSA e le SAA competenti restano responsabili della protezione delle informazioni RESTREINT UE/EU RESTRICTED trattate dal contraente e conservano il diritto di ispezionare le misure di sicurezza adottate dai contraenti. Inoltre, il contraente fornisce all’autorità contraente e, se richiesto dalle disposizioni legislative e regolamentari nazionali, alla SAA nazionale competente una dichiarazione di conformità in cui si certifica che il CIS del contraente e le relative interconnessioni sono stati accreditati per il trattamento di ICUE di livello RESTREINT UE/EU RESTRICTED¹².

1. Il trasporto a mano di informazioni classificate è soggetto a rigorosi requisiti di sicurezza.

2. All’interno dell’UE le informazioni RESTREINT UE/EU RESTRICTED possono essere trasportate a mano dal personale del contraente, purché siano rispettate le seguenti condizioni:

1. a) la busta o l’imballaggio utilizzati devono essere opachi e non recare alcuna indicazione della classificazione del contenuto;

2. b) il latore deve portare sempre con sé le informazioni classificate;

3. c) la busta o l’imballaggio non devono essere aperti durante il trasporto.

3. Per le informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET, il trasporto a mano effettuato dal personale del contraente all’interno di uno Stato membro dell’UE è precedentemente organizzato tra l’entità mittente e l’entità ricevente. L’autorità o la struttura mittente comunicano all’autorità o alla struttura ricevente i dettagli della spedizione, compresi il riferimento, la classifica, l’orario previsto di arrivo e il nome del corriere. Il trasporto a mano è consentito, purché siano soddisfatte le seguenti condizioni:

1. a) le informazioni classificate devono essere trasportate in doppia busta o doppio imballaggio;

2. b) la busta o l’imballaggio esterni devono essere protetti e non riportano indicazioni della classificazione del contenuto, mentre la busta interna deve recare il livello di classifica;

3. c) il latore deve portare sempre con sé le ICUE;

4. d) la busta o l’imballaggio non devono essere aperti durante il trasporto;

5. e) la busta o l’imballaggio devono essere trasportati in una valigetta chiudibile a chiave o in un contenitore analogo approvato di dimensioni e peso tali da consentire al latore di portarla sempre con sé senza doverla consegnare come bagaglio al seguito;

6. f) il corriere deve essere in possesso di un certificato di corriere rilasciato dalla competente autorità di sicurezza che lo autorizza a trasportare la spedizione classificata indicata.

4.

5. Il trasporto a mano effettuato dal personale del contraente di informazioni classificate RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET verso un paese terzo o un’organizzazione internazionale è soggetto alle disposizioni dell’accordo sulla sicurezza delle informazioni o dell’accordo amministrativo concluso tra, rispettivamente, l’Unione europea o la Commissione e il paese terzo o l’organizzazione internazionale in questione.