Decisione (UE, Euratom) 2021/259 della Commissione del 10 febbraio 2021 che stabilisce le norme di attuazione in materia di sicurezza industriale per quanto riguarda le sovvenzioni classificate

1. Se l'autorità erogatrice, gli esperti, i beneficiari o i subcontraenti richiedono l'accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei reciproci locali per l'esecuzione della convenzione di sovvenzione classificata, le visite sono organizzate di concerto con le NSA o DSA o altra autorità di sicurezza competente interessata.

2. Le visite di cui al paragrafo 1 sono soggette alle condizioni seguenti:

1. (a) la visita deve avere uno scopo ufficiale inerente a una sovvenzione classificata;

2. (b) per accedere alle ICUE utilizzate o generate nell'esecuzione di una sovvenzione classificata i visitatori devono essere in possesso del PSC al livello richiesto e avere la necessità di conoscere.

1. Le visite dei beneficiari o dei subcontraenti presso le strutture di altri beneficiari o subcontraenti o presso i locali dell'autorità erogatrice che comportano l'accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate secondo la procedura seguente:

1. (a) il responsabile della sicurezza della struttura che invia il visitatore deve compilare tutte le parti pertinenti del modulo per la richiesta di visita (RFV) e presentare la richiesta all'NSA o alla DSA della struttura. Nell'allegato III, appendice C, è riportato un modello del modulo RFV;

2. (b) l'NSA o la DSA della struttura che invia il visitatore deve confermare il PSC del visitatore prima di inoltrare l'RFV all'NSA o alla DSA della struttura ospitante (o all'autorità di sicurezza della Commissione se la visita avviene nei locali dell'autorità erogatrice);

3. (c) il responsabile della sicurezza della struttura che invia il visitatore deve poi acquisire dalla propria NSA o DSA la risposta dell'NSA o della DSA della struttura ospitante (o dell'autorità di sicurezza della Commissione) di approvazione o di rigetto dell'RFV;

4. (d) l'RFV è considerata approvata se non vengono sollevate obiezioni fino ai cinque giorni lavorativi precedenti la data della visita.

2. Le visite di funzionari dell'autorità erogatrice o di esperti o revisori presso le strutture dei beneficiari o dei subcontraenti che comportano l'accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate secondo la procedura seguente:

1. (a) il visitatore deve compilare tutte le parti pertinenti del modulo RFV e inoltrarlo all'autorità di sicurezza della Commissione;

2. (b) l'autorità di sicurezza della Commissione conferma il PSC del visitatore prima di presentare l'RFV all'NSA o alla DSA della struttura ospitante;

3. (c) l'autorità di sicurezza della Commissione acquisisce dall'NSA o dalla DSA della struttura ospitante la risposta di approvazione o di rigetto dell'RFV;

4. (d) l'RFV è considerata approvata se non vengono sollevate obiezioni fino ai cinque giorni lavorativi precedenti la data della visita.

3. L'RFV può riguardare una singola visita o visite ricorrenti. In caso di visite ricorrenti l'RFV può essere valida per un periodo massimo di un anno a decorrere dalla data di inizio richiesta.

4. La durata di validità dell'RFV non può superare la durata di validità del PSC del visitatore.

5. Di norma l'RFV deve essere presentata all'autorità di sicurezza competente della struttura ospitante almeno 15 giorni lavorativi prima della data della visita.

1. Prima di consentire ai visitatori di accedere alle ICUE, l'ufficio di sicurezza della struttura ospitante deve espletare tutte le procedure e rispettare tutte le norme in materia di sicurezza delle visite stabilite dalla propria NSA o DSA.

2. I visitatori devono dimostrare la propria identità all'arrivo presso la struttura ospitante presentando una carta d'identità o un passaporto validi. I dati identificativi devono corrispondere alle informazioni fornite nell'RFV.

3. La struttura ospitante provvede alla tenuta dei registri di tutti i visitatori, contenenti nome e cognome, organizzazione che rappresentano, data di scadenza del PSC, data della visita e nome e cognome delle persone visitate. I registri sono conservati per un periodo di almeno cinque anni, o per un periodo di durata superiore se previsto dalle norme e dai regolamenti nazionali del paese in cui è situata la struttura ospitante.

1. Nel quadro di progetti specifici le pertinenti NSA o DSA e l'autorità di sicurezza della Commissione possono concordare una procedura in base alla quale le visite per una determinata sovvenzione classificata possono essere organizzate direttamente tra il responsabile della sicurezza del visitatore e il responsabile della sicurezza della struttura da visitare. Il modello di modulo da utilizzare a tal fine figura nell'allegato III, appendice C. Questa procedura eccezionale è definita nelle PSI o in altri accordi specifici. In questi casi non si applicano le procedure di cui all'articolo 9 e all'articolo 10, paragrafo 1.

2. Le visite che comportano l'accesso a informazioni classificate RESTREINT UE/EU RESTRICTED sono organizzate direttamente tra il soggetto che invia e il soggetto che riceve i visitatori senza dover seguire le procedure di cui all'articolo 9 e all'articolo 10, paragrafo 1.

1.

2. L'accreditamento di sicurezza del CIS del beneficiario che tratta ICUE di livello RESTREINT UE/EU RESTRICTED e di tutte le relative interconnessioni può essere delegato al responsabile della sicurezza del beneficiario se consentito dalle disposizioni legislative e regolamentari nazionali. In caso di delega il beneficiario è responsabile dell'attuazione dei requisiti minimi di sicurezza descritti nella SAL per il trattamento di informazioni RESTREINT UE/EU RESTRICTED nel suo CIS. Tuttavia le NSA/DSA e le SAA competenti restano responsabili della protezione delle informazioni RESTREINT UE/EU RESTRICTED trattate dal beneficiario e conservano il diritto di ispezionare le misure di sicurezza adottate dal beneficiario. Inoltre il beneficiario trasmette all'autorità erogatrice e se richiesto dalle disposizioni legislative e regolamentari nazionali alla SAA nazionale competente, una dichiarazione di conformità in cui si certifica che il CIS del beneficiario e le relative interconnessioni sono stati accreditati per il trattamento di ICUE di livello RESTREINT UE/EU RESTRICTED¹¹.

1. Il trasporto a mano di informazioni classificate è soggetto a rigorosi requisiti di sicurezza.

2. All'interno dell'UE le informazioni RESTREINT UE/EU RESTRICTED possono essere trasportate a mano dal personale del beneficiario, purché siano rispettate le condizioni seguenti:

1. (a) la busta o l'imballaggio utilizzati devono essere opachi e non recare alcuna indicazione della classificazione del contenuto;

2. (b) il latore deve portare sempre con sé le informazioni classificate;

3. (c) la busta o l'imballaggio non devono essere aperti durante il trasporto.

3. Per le informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET il trasporto a mano effettuato dal personale del beneficiario all'interno di uno Stato membro è precedentemente organizzato tra soggetto mittente e soggetto ricevente. L'autorità o la struttura mittente comunica all'autorità o alla struttura ricevente i dettagli della spedizione, compresi il riferimento, la classifica, l'orario previsto di arrivo e il nome del corriere. Il trasporto a mano è consentito, purché siano soddisfatte le condizioni seguenti:

1. (a) le informazioni classificate devono essere trasportate in doppia busta o doppio imballaggio;

2. (b) la busta o l'imballaggio esterni devono essere protetti e non devono recare indicazioni della classificazione del contenuto, mentre la busta interna deve recare il livello di classifica;

3. (c) il latore deve portare sempre con sé le ICUE;

4. (d) la busta o l'imballaggio non devono essere aperti durante il trasporto;

5. (e) la busta o l'imballaggio devono essere trasportati in una valigetta chiudibile a chiave o in un contenitore analogo approvato di dimensioni e peso tali da consentire al latore di portarla sempre con sé senza doverla consegnare come bagaglio al seguito;

6. (f) il corriere deve essere in possesso di un certificato di corriere rilasciato dalla competente autorità di sicurezza che lo autorizza a trasportare la spedizione classificata indicata.

4.

5. Il trasporto a mano effettuato dal personale del beneficiario di informazioni classificate RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET verso un paese terzo o un'organizzazione internazionale è soggetto alle disposizioni dell'accordo sulla sicurezza delle informazioni o dell'accordo amministrativo concluso tra, rispettivamente, l'Unione europea o la Commissione e il paese terzo o l'organizzazione internazionale in questione.