Decisione (UE, Euratom) 2021/259 della Commissione del 10 febbraio 2021 che stabilisce le norme di attuazione in materia di sicurezza industriale per quanto riguarda le sovvenzioni classificate

1. La presente decisione stabilisce le norme di attuazione in materia di sicurezza industriale per quanto riguarda le sovvenzioni classificate ai sensi della decisione (UE, Euratom) 2015/444, in particolare il capo 6 della medesima.

2. La presente decisione stabilisce requisiti specifici per garantire la protezione delle informazioni classificate UE (ICUE) durante la pubblicazione degli inviti, l'aggiudicazione di sovvenzioni e l'attuazione delle convenzioni di sovvenzione classificate concluse dalla Commissione europea.

3. La presente decisione si applica alle sovvenzioni comportanti informazioni classificate del livello seguente:

1. (a) RESTREINT UE/EU RESTRICTED;

2. (b) CONFIDENTIEL UE/EU CONFIDENTIAL;

3. (c) SECRET UE/EU SECRET.

4. La presente decisione si applica fatte salve le norme specifiche stabilite in altri atti giuridici, come quelle riguardanti il programma europeo di sviluppo del settore industriale della difesa.

1. Nell'ambito delle sue responsabilità l'ordinatore dell'autorità erogatrice, di cui al regolamento (UE, Euratom) 2018/1046 del Parlamento europeo e del Consiglio, garantisce che la sovvenzione classificata è conforme alla decisione (UE, Euratom) 2015/444 e alle relative norme di attuazione.

2. A tal fine in tutte le fasi l'ordinatore interessato chiede il parere dell'autorità di sicurezza della Commissione sulle questioni riguardanti gli elementi di sicurezza della convenzione di sovvenzione classificata, del programma o del progetto classificato e informa il responsabile locale della sicurezza in merito alle convenzioni di sovvenzione classificate firmate. La decisione sul livello di classifica di determinate materie spetta all'autorità erogatrice ed è presa tenendo in debito conto la guida alle classifiche di sicurezza.

3. Se si applicano le istruzioni di sicurezza del programma/progetto di cui all'articolo 5, paragrafo 3, l'autorità erogatrice e l'autorità di sicurezza della Commissione assolvono le responsabilità loro assegnate in tali istruzioni.

4. Nel rispetto dei requisiti delle presenti norme di attuazione, l'autorità di sicurezza della Commissione collabora strettamente con le autorità di sicurezza nazionali (NSA) e le autorità di sicurezza designate (DSA) degli Stati membri interessati, in particolare per quanto riguarda il nulla osta di sicurezza delle imprese (FSC) e il nulla osta di sicurezza del personale (PSC), la procedura relativa alle visite e i programmi di trasporto.

5. Se le sovvenzioni sono gestite da agenzie esecutive dell'UE o da altri organismi di finanziamento e non si applicano le norme specifiche stabilite in altri atti giuridici di cui all'articolo 1, paragrafo 4:

1. (a) il servizio della Commissione delegante esercita i diritti dell'originatore di ICUE generate nel contesto delle sovvenzioni, se previsto dalle modalità di delega;

2. (b) il servizio della Commissione delegante ha la responsabilità di stabilire la classifica di sicurezza;

3. (c) le richieste di informazioni sui nulla osta di sicurezza e le comunicazioni alle NSA e/o alle DSA sono trasmesse tramite l'autorità di sicurezza della Commissione.

1. Le parti classificate delle sovvenzioni sono attuate esclusivamente da beneficiari registrati in uno Stato membro o da beneficiari registrati in un paese terzo o istituiti da un'organizzazione internazionale, purché il paese terzo o l'organizzazione internazionale abbia concluso un accordo sulla sicurezza delle informazioni con l'Unione o un accordo amministrativo con la Commissione⁸.

2. Prima di pubblicare l'invito per una sovvenzione classificata, l'autorità erogatrice determina la classifica di sicurezza delle informazioni a cui potrebbero avere accesso i richiedenti. L'autorità erogatrice determina anche la classifica di sicurezza massima delle informazioni generate durante l'esecuzione della convenzione di sovvenzione, del programma o del progetto, o almeno il volume e il tipo delle informazioni che si prevede di produrre o trattare e stabilisce la necessità di un sistema di comunicazione e informazione (CIS) classificato.

3. L'autorità erogatrice provvede affinché gli inviti per sovvenzioni classificate diano informazioni sugli obblighi specifici di sicurezza connessi a dette informazioni. La documentazione dell'invito comprende chiarimenti sulle tempistiche a disposizione dei beneficiari per ottenere gli FSC ove necessario. Gli allegati I e II contengono modelli delle informazioni relative alle condizioni dell'invito.

4. L'autorità erogatrice provvede affinché le informazioni classificate RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET siano comunicate ai richiedenti solo dopo che questi ultimi abbiano firmato l'impegno alla non divulgazione, che li obbliga a trattare e proteggere le ICUE a norma della decisione (UE, Euratom) 2015/444, e relative norme di attuazione e delle norme nazionali applicabili.

5. Quando ai richiedenti sono comunicate informazioni RESTREINT UE/EU RESTRICTED, nell'invito o negli accordi di non divulgazione conclusi nella fase di proposta sono inseriti i requisiti minimi di cui all'articolo 5, paragrafo 7, della presente decisione.

6. Tutti i richiedenti e i beneficiari tenuti a trattare o conservare informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nelle loro strutture nella fase di proposta o durante l'esecuzione della convenzione di sovvenzione classificata sono in possesso dell'FSC del livello richiesto, ad eccezione dei casi di cui al paragrafo 9. Di seguito sono indicate le tre situazioni che possono presentarsi nella fase di proposta relativa a una sovvenzione classificata che comporta ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET:

1. (a) nessun accesso alle ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nella fase di proposta: se l'invito riguarda una sovvenzione che comporterà ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, ma il richiedente non sarà tenuto a trattare dette informazioni nella fase di proposta, il mancato possesso da parte del richiedente dell'FSC del livello richiesto non determina l'esclusione dalla procedura di presentazione della domanda;

2. (b) accesso alle ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei locali dell'autorità erogatrice nella fase di proposta: l'accesso è consentito al personale del richiedente che sia in possesso del PSC del livello richiesto e che abbia necessità di conoscere;

3. (c) trattamento o conservazione delle ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei locali del richiedente nella fase di proposta: se l'invito impone ai richiedenti di trattare o conservare le ICUE nei loro locali, il richiedente deve essere in possesso dell'FSC del livello richiesto. In questi casi l'autorità erogatrice ottiene, tramite l'autorità di sicurezza della Commissione, l'assicurazione dell'NSA o della DSA competente che al richiedente è stato rilasciato l'FSC adeguato prima che gli sia consegnato il materiale delle ICUE. L'accesso è consentito al personale del richiedente che sia in possesso del PSC del livello richiesto e che abbia necessità di conoscere.

7. Di norma non è richiesto l'FSC o il PSC per l'accesso alle informazioni RESTREINT UE/EU RESTRICTED, né nella fase di proposta né in quella di esecuzione della convenzione di sovvenzione. Quando gli Stati membri prescrivono l'FSC o il PSC per convenzioni di sovvenzione o subcontratti di livello RESTREINT UE/EU RESTRICTED a norma di disposizioni legislative e regolamentari nazionali, come indicato nell'allegato IV, le prescrizioni nazionali non possono imporre obblighi supplementari agli altri Stati membri né impedire ai richiedenti, beneficiari o subcontraenti di Stati membri che non prevedono dette prescrizioni in materia di FSC o PSC l'accesso a informazioni RESTREINT UE/EU RESTRICTED derivanti da convenzioni di sovvenzione o da subcontratti connessi o la partecipazione alla relativa gara. Queste convenzioni di sovvenzione sono eseguite negli Stati membri conformemente alle rispettive disposizioni legislative e regolamentari nazionali.

8. Quando nella gestione di un invito è richiesto l'FSC per l'attuazione di una convenzione di sovvenzione classificata, l'autorità erogatrice ne fa richiesta, tramite l'autorità di sicurezza della Commissione, all'NSA o alla DSA del beneficiario utilizzando il modulo di informazione sul nulla osta di sicurezza delle imprese (FSCIS) o altro modello elettronico equivalente previsto. L'allegato III, appendice D, riporta un modello di FSCIS⁹. Se possibile, la risposta all'FSCIS è data entro dieci giorni lavorativi dalla data della richiesta.

9. Se istituzioni pubbliche degli Stati membri o istituti soggetti al controllo del loro governo partecipano a sovvenzioni classificate per cui sono necessari FSC e se il diritto nazionale non prevede il rilascio di FSC a tali istituzioni e istituti, l'autorità erogatrice verifica con la NSA o la DSA interessata, tramite l'autorità di sicurezza della Commissione, se dette istituzioni o istituti sono in grado di trattare le ICUE al livello richiesto.

10. Se per l'esecuzione di una convenzione di sovvenzione classificata è necessario un PSC e se a norma delle disposizioni nazionali occorre un FSC perché sia rilasciato un PSC, l'autorità erogatrice verifica con l'NSA o la DSA del beneficiario, tramite l'autorità di sicurezza della Commissione utilizzando un FSCIS, se il beneficiario è in possesso di un FSC o se è in corso il processo per ottenere l'FSC. In questo caso la Commissione non fa richiesta di PSC utilizzando il modulo di informazione sul nulla osta di sicurezza del personale («PSCIS»).

1. Le condizioni alle quali i beneficiari possono subappaltare azioni relative alle prestazioni che comportano ICUE sono definite nell'invito e nella convenzione di sovvenzione. Tali condizioni comprendono l'obbligo che tutti i FSCIS siano trasmessi tramite l'autorità di sicurezza della Commissione. Il subcontratto è subordinato al previo consenso scritto dell'autorità erogatrice. Se del caso, il subcontratto deve essere conforme all'atto di base che istituisce il programma.

2. Le parti classificate delle sovvenzioni sono subappaltate esclusivamente a soggetti registrati in uno Stato membro o a soggetti registrati in un paese terzo o istituiti da un'organizzazione internazionale, purché il paese terzo o l'organizzazione internazionale abbiano concluso un accordo sulla sicurezza delle informazioni con l'Unione o un accordo amministrativo con la Commissione¹⁰.

1. In sede di aggiudicazione di una sovvenzione classificata, l'autorità erogatrice, assieme all'autorità di sicurezza della Commissione, garantisce che gli obblighi dei beneficiari in materia di protezione delle ICUE usate o generate nel corso dell'esecuzione della convenzione di sovvenzione siano parte integrante della convenzione. I requisiti di sicurezza specifici della sovvenzione assumono la forma di una lettera sugli aspetti di sicurezza (SAL). Nell'allegato III è riportato un modello di SAL.

2. Prima della firma della sovvenzione classificata, l'autorità erogatrice approva una guida alle classifiche di sicurezza (SCG) in cui sono descritti i compiti da svolgere e le informazioni generate nell'attuazione della sovvenzione, o se del caso a livello di programma o di progetto. La SCG è inclusa nella SAL.

3. I requisiti di sicurezza specifici del programma o del progetto assumono la forma di istruzioni di sicurezza del programma/progetto (PSI). Le PSI possono essere redatte sulla base delle disposizioni del modello di SAL di cui all'allegato III. Sono elaborate dal servizio della Commissione responsabile della gestione del programma o del progetto, in stretta collaborazione con l'autorità di sicurezza della Commissione, e presentate per parere al gruppo di esperti in materia di sicurezza della Commissione. Se una convenzione di sovvenzione rientra in un programma o in un progetto dotato delle proprie PSI, la SAL della convenzione è redatta in forma semplificata e rinvia alle disposizioni in materia di sicurezza contenute nelle PSI del programma/progetto.

4. Ad eccezione dei casi di cui all'articolo 3, paragrafo 9, la convenzione di sovvenzione classificata non è firmata fino a quando l'NSA o la DSA del richiedente non ne abbia confermato l'FSC o, se è un consorzio ad aggiudicarsi la convenzione di sovvenzione classificata, fino a quando l'NSA o la DSA di almeno un richiedente all'interno del consorzio, o più se necessario, non abbia confermato l'FSC di tale richiedente.

5. In linea di principio e salvo diversamente disposto da altre norme pertinenti l'autorità erogatrice è considerata l'originatore di ICUE generate nell'esecuzione della convenzione di sovvenzione.

6. L'autorità erogatrice, tramite l'autorità di sicurezza della Commissione, notifica alle NSA e o alle DSA di tutti i beneficiari e subcontraenti la firma di convenzioni di sovvenzione o subcontratti classificati e la loro eventuale proroga o estinzione anticipata. Nell'allegato IV è riportato l'elenco delle prescrizioni per paese.

7. Le convenzioni di sovvenzione che comportano informazioni classificate RESTREINT UE/EU RESTRICTED includono una clausola di sicurezza che rende vincolanti per i beneficiari le disposizioni di cui all'allegato III, appendice E. Tali convenzioni di sovvenzione includono la SAL che stabilisce come minimo i requisiti per il trattamento delle informazioni RESTREINT UE/EU RESTRICTED, compresi gli aspetti relativi alla garanzia di sicurezza delle informazioni e i requisiti specifici che devono rispettare i beneficiari per l'accreditamento del loro CIS che tratta informazioni RESTREINT UE/EU RESTRICTED.

8. Ove previsto dalle disposizioni legislative e regolamentari degli Stati membri, le NSA o le DSA garantiscono che i beneficiari o i subcontraenti sotto la loro giurisdizione rispettino le disposizioni di sicurezza applicabili per la protezione delle informazioni RESTREINT UE/EU RESTRICTED e svolgono visite di verifica presso le strutture dei beneficiari o dei subcontraenti situate sul loro territorio. Se l'NSA o la DSA non è soggetta a tale obbligo, l'autorità erogatrice garantisce che i beneficiari attuino le disposizioni di sicurezza richieste di cui all'allegato III, appendice E.

1. L'autorità erogatrice assicura che le convenzioni di sovvenzione classificate contengano disposizioni secondo le quali il personale dei beneficiari o dei subcontraenti che per l'esecuzione della convenzione di sovvenzione classificata o del subcontratto debba avere accesso alle ICUE può ottenere tale accesso soltanto se:

1. (a) è stato stabilito che ha necessità di conoscere;

2. (b) per le informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, l'NSA o la DSA o altra autorità di sicurezza competente gli ha rilasciato il nulla osta di sicurezza di livello appropriato;

3. (c) è stato istruito sulle norme di sicurezza applicabili per la protezione delle ICUE e ha riconosciuto le proprie responsabilità in materia di protezione di tali informazioni.

2. Se del caso, l'accesso alle ICUE deve altresì essere conforme all'atto di base che stabilisce il programma e tiene conto di eventuali contrassegni supplementari definiti nell'SCG.

3. Se il beneficiario o il subcontraente intende assumere un cittadino di un paese non UE in una posizione che richiede l'accesso a ICUE classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, spetta a detto beneficiario o subcontraente avviare la procedura per il rilascio del nulla osta di sicurezza per tale cittadino a norma delle disposizioni legislative e regolamentari nazionali applicabili nel luogo in cui deve essere concesso l'accesso alle ICUE.

1. Le persone esterne («esperti») che partecipano ai controlli, agli esami o audit effettuati dall'autorità erogatrice o alle valutazioni dei risultati dei beneficiari per cui è necessario accedere a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, ricevono un contratto solo se hanno ottenuto il nulla osta di sicurezza al livello appropriato dalla rispettiva NSA o DSA o da altra autorità di sicurezza competente. L'autorità erogatrice, tramite l'autorità di sicurezza della Commissione, verifica e se del caso chiede all'NSA o alla DSA di avviare accertamenti sugli esperti almeno sei mesi prima dell'inizio dei rispettivi contratti.

2. Prima di firmare il contratto, gli esperti sono istruiti sulle norme di sicurezza applicabili per la protezione delle ICUE e riconoscono le proprie responsabilità in materia di protezione delle stesse.

1. Se l'autorità erogatrice, gli esperti, i beneficiari o i subcontraenti richiedono l'accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei reciproci locali per l'esecuzione della convenzione di sovvenzione classificata, le visite sono organizzate di concerto con le NSA o DSA o altra autorità di sicurezza competente interessata.

2. Le visite di cui al paragrafo 1 sono soggette alle condizioni seguenti:

1. (a) la visita deve avere uno scopo ufficiale inerente a una sovvenzione classificata;

2. (b) per accedere alle ICUE utilizzate o generate nell'esecuzione di una sovvenzione classificata i visitatori devono essere in possesso del PSC al livello richiesto e avere la necessità di conoscere.

1. Le visite dei beneficiari o dei subcontraenti presso le strutture di altri beneficiari o subcontraenti o presso i locali dell'autorità erogatrice che comportano l'accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate secondo la procedura seguente:

1. (a) il responsabile della sicurezza della struttura che invia il visitatore deve compilare tutte le parti pertinenti del modulo per la richiesta di visita (RFV) e presentare la richiesta all'NSA o alla DSA della struttura. Nell'allegato III, appendice C, è riportato un modello del modulo RFV;

2. (b) l'NSA o la DSA della struttura che invia il visitatore deve confermare il PSC del visitatore prima di inoltrare l'RFV all'NSA o alla DSA della struttura ospitante (o all'autorità di sicurezza della Commissione se la visita avviene nei locali dell'autorità erogatrice);

3. (c) il responsabile della sicurezza della struttura che invia il visitatore deve poi acquisire dalla propria NSA o DSA la risposta dell'NSA o della DSA della struttura ospitante (o dell'autorità di sicurezza della Commissione) di approvazione o di rigetto dell'RFV;

4. (d) l'RFV è considerata approvata se non vengono sollevate obiezioni fino ai cinque giorni lavorativi precedenti la data della visita.

2. Le visite di funzionari dell'autorità erogatrice o di esperti o revisori presso le strutture dei beneficiari o dei subcontraenti che comportano l'accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate secondo la procedura seguente:

1. (a) il visitatore deve compilare tutte le parti pertinenti del modulo RFV e inoltrarlo all'autorità di sicurezza della Commissione;

2. (b) l'autorità di sicurezza della Commissione conferma il PSC del visitatore prima di presentare l'RFV all'NSA o alla DSA della struttura ospitante;

3. (c) l'autorità di sicurezza della Commissione acquisisce dall'NSA o dalla DSA della struttura ospitante la risposta di approvazione o di rigetto dell'RFV;

4. (d) l'RFV è considerata approvata se non vengono sollevate obiezioni fino ai cinque giorni lavorativi precedenti la data della visita.

3. L'RFV può riguardare una singola visita o visite ricorrenti. In caso di visite ricorrenti l'RFV può essere valida per un periodo massimo di un anno a decorrere dalla data di inizio richiesta.

4. La durata di validità dell'RFV non può superare la durata di validità del PSC del visitatore.

5. Di norma l'RFV deve essere presentata all'autorità di sicurezza competente della struttura ospitante almeno 15 giorni lavorativi prima della data della visita.

1. Prima di consentire ai visitatori di accedere alle ICUE, l'ufficio di sicurezza della struttura ospitante deve espletare tutte le procedure e rispettare tutte le norme in materia di sicurezza delle visite stabilite dalla propria NSA o DSA.

2. I visitatori devono dimostrare la propria identità all'arrivo presso la struttura ospitante presentando una carta d'identità o un passaporto validi. I dati identificativi devono corrispondere alle informazioni fornite nell'RFV.

3. La struttura ospitante provvede alla tenuta dei registri di tutti i visitatori, contenenti nome e cognome, organizzazione che rappresentano, data di scadenza del PSC, data della visita e nome e cognome delle persone visitate. I registri sono conservati per un periodo di almeno cinque anni, o per un periodo di durata superiore se previsto dalle norme e dai regolamenti nazionali del paese in cui è situata la struttura ospitante.

1. Nel quadro di progetti specifici le pertinenti NSA o DSA e l'autorità di sicurezza della Commissione possono concordare una procedura in base alla quale le visite per una determinata sovvenzione classificata possono essere organizzate direttamente tra il responsabile della sicurezza del visitatore e il responsabile della sicurezza della struttura da visitare. Il modello di modulo da utilizzare a tal fine figura nell'allegato III, appendice C. Questa procedura eccezionale è definita nelle PSI o in altri accordi specifici. In questi casi non si applicano le procedure di cui all'articolo 9 e all'articolo 10, paragrafo 1.

2. Le visite che comportano l'accesso a informazioni classificate RESTREINT UE/EU RESTRICTED sono organizzate direttamente tra il soggetto che invia e il soggetto che riceve i visitatori senza dover seguire le procedure di cui all'articolo 9 e all'articolo 10, paragrafo 1.