diritto.io

Decisione (UE) 2022/640 della Commissione del 7 aprile 2022 sulle norme di attuazione concernenti i ruoli e le responsabilità dei principali operatori della sicurezza

Testo vigente

LA COMMISSIONE EUROPEA,

vista la decisione (UE, Euratom) 2015/443 della Commissione, del 13 marzo 2015, sulla sicurezza nella Commissione1,

vista la decisione (UE, Euratom) 2015/444 della Commissione, del 13 marzo 2015, sulle norme di sicurezza per proteggere le informazioni classificate UE2,

Le decisioni (UE, Euratom) 2015/443 e (UE, Euratom) 2015/444 si applicano a tutti i servizi e in tutti i locali della Commissione.

Laddove necessario devono essere adottate norme di attuazione intese a integrare o sostenere la decisione (UE, Euratom) 2015/444 in conformità dell’articolo 60 della medesima.

Le misure di sicurezza per proteggere le informazioni classificate UE nel corso del loro ciclo di vita dovrebbero essere commisurate in particolare alla rispettiva classifica di sicurezza.

Le misure di sicurezza per proteggere i sistemi di comunicazione e informazione della Commissione sono stabilite nella decisione (UE, Euratom) 2017/46 della Commissione3, in particolare all’articolo 3 relativo ai principi per la sicurezza informatica alla Commissione e all’articolo 9 relativo ai proprietari dei sistemi.

L’obiettivo delle norme di attuazione concernenti i ruoli e le responsabilità dei principali operatori della sicurezza è orientare sui presupposti e sulle mansioni stabiliti per tali ruoli nelle decisioni (UE, Euratom) 2015/443 e (UE, Euratom) 2015/444.

L’articolo 36, paragrafo 7, della decisione (UE, Euratom) 2015/444 elenca una serie di funzioni aggiuntive legate alla sicurezza che devono essere assegnate all’autorità di sicurezza della Commissione. I compiti associati a tali funzioni sono definiti nella presente decisione.

In conformità della decisione (UE, Euratom) 2015/444 i responsabili locali della sicurezza e i funzionari responsabili del controllo delle registrazioni hanno responsabilità specifiche in materia di protezione delle informazioni classificate UE nei rispettivi servizi.

Il 4 maggio 2016 la Commissione ha adottato una decisione4 che abilita il membro della Commissione responsabile per le questioni di sicurezza ad adottare, a nome della Commissione e sotto la sua responsabilità, le norme di attuazione di cui all’articolo 60 della decisione (UE, Euratom) 2015/444; il 13 aprile 2021 il membro della Commissione responsabile per le questioni di sicurezza ha poi adottato, a nome della Commissione e sotto la sua responsabilità, una decisione5 che subdelega al direttore generale delle Risorse umane e della sicurezza i poteri per l’adozione di tali norme di attuazione,

HA ADOTTATO LA PRESENTE DECISIONE:

Capo 1. Disposizioni generali

Art. 1 Oggetto e ambito di applicazione

1. La presente decisione stabilisce i ruoli e le responsabilità dei principali operatori della sicurezza cui compete la protezione delle informazioni classificate UE (ICUE) nella Commissione a norma delle decisioni (UE, Euratom) 2015/443 e (UE, Euratom) 2015/444.

2. La presente decisione si applica a tutti i servizi e in tutti i locali della Commissione.

Capo 2. Direzione generale Risorse umane e sicurezza

Art. 2 Autorità di sicurezza della Commissione

1. Il direttore della direzione Sicurezza della direzione generale Risorse umane e sicurezza è l’autorità di sicurezza della Commissione di cui all’articolo 7 della decisione (UE, Euratom) 2015/444.

2. L’autorità di sicurezza della Commissione espleta le sue funzioni nei seguenti ambiti definiti nella decisione (UE, Euratom) 2015/444, in conformità degli articoli da 3 a 7 della presente decisione:

  1. a) sicurezza del personale;

  2. b) sicurezza materiale;

  3. c) gestione delle ICUE;

  4. d) accreditamento di qualsiasi sistema di comunicazione e informazione (CIS) che tratta ICUE;

  5. e) sicurezza industriale; e

  6. f) scambio di informazioni classificate.

3. L’autorità di sicurezza della Commissione impartisce ai responsabili locali della sicurezza (LSO), agli LSO aggiunti, ai funzionari responsabili del controllo delle registrazioni (RCO) e agli RCO aggiunti la formazione obbligatoria sulle rispettive responsabilità e mansioni.

Art. 3 Autorità per la garanzia di sicurezza delle informazioni

L’autorità per la garanzia di sicurezza delle informazioni è responsabile delle seguenti attività con riferimento alla protezione delle ICUE:

  1. a) elaborare politiche e orientamenti di sicurezza in materia di garanzia di sicurezza delle informazioni e monitorarne l’efficacia e la pertinenza;

  2. b) salvaguardare e gestire informazioni tecniche relative ai prodotti crittografici;

  3. c) provvedere affinché le misure in materia di garanzia di sicurezza delle informazioni siano conformi alle politiche della Commissione in materia di sicurezza e di appalti;

  4. d) garantire che i prodotti crittografici siano selezionati nel rispetto delle politiche che ne disciplinano l’ammissibilità e la selezione;

  5. e) consultare i proprietari di sistemi, i fornitori di sistemi, gli operatori della sicurezza e i rappresentanti degli utenti per quanto riguarda le politiche e gli orientamenti di sicurezza in materia di garanzia di sicurezza delle informazioni.

Art. 4 Autorità di accreditamento di sicurezza

1. L’autorità di sicurezza della Commissione è responsabile dell’accreditamento delle zone protette conformi ai requisiti di cui all’articolo 18 della decisione (UE, Euratom) 2015/444 e dell’accreditamento dei CIS per il trattamento delle ICUE.

2.

Ciascun servizio della Commissione consulta, in coordinamento con il proprio LSO o con il proprio responsabile della sicurezza informatica a livello locale (LISO) secondo il caso, l’autorità di accreditamento di sicurezza ogniqualvolta intende:

  1. a) allestire una zona protetta;

  2. b) approntare un CIS per il trattamento di ICUE;

  3. c) installare qualsiasi altra attrezzatura per il trattamento di informazioni classificate, compreso il collegamento con un CIS di terzi.

L’autorità di accreditamento di sicurezza offre consulenza sulle attività elencate, nelle fasi di pianificazione e di allestimento così come di sviluppo.

3. Le ICUE sono trattate in una zona protetta o in un CIS soltanto previo accreditamento rilasciato dall’autorità di accreditamento di sicurezza per il livello di ICUE adeguato.

4. Sono presupposti indispensabili dell’accreditamento della zona protetta:

  1. a) l’approvazione dei piani per la zona protetta;

  2. b) l’approvazione di qualsiasi contratto d’opera per lavori eseguiti da contraenti esterni, tenuto conto delle disposizioni in materia di sicurezza industriale quali l’obbligo di nulla osta di sicurezza dei contraenti e del relativo personale;

  3. c) la disponibilità di tutte le dichiarazioni e di tutti i certificati di conformità necessari;

  4. d) un’ispezione fisica della zona protetta per verificare che i materiali e i metodi di costruzione, i controlli dell’accesso, le attrezzature di sicurezza e ogni altro elemento soddisfino i requisiti stabiliti dall’autorità di sicurezza della Commissione;

  5. e) la convalida delle misure contro le radiazioni elettromagnetiche per qualsiasi zona protetta tecnicamente;

  6. f) l’approvazione delle procedure operative di sicurezza (SecOP) per la zona protetta.

5. Sono presupposti indispensabili dell’accreditamento del CIS che tratta ICUE:

  1. a) la definizione di una strategia di accreditamento del sistema;

  2. b) la convalida del piano di sicurezza del CIS in linea con un approccio di gestione del rischio;

  3. c) la convalida delle SecOP per il CIS;

  4. d) la convalida di ogni altra documentazione di sicurezza necessaria, stabilita dall’autorità di accreditamento di sicurezza;

  5. e) l’approvazione dell’impiego di tecnologie di crittografia;

  6. f) la convalida delle misure contro le radiazioni elettromagnetiche per il CIS che tratta informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore;

  7. g) l’ispezione del CIS per verificare la corretta attuazione delle misure di sicurezza documentate.

6. Se i requisiti per l’accreditamento sono soddisfatti, l’autorità di accreditamento di sicurezza rilascia l’autorizzazione ufficiale per il trattamento delle ICUE nella zona protetta o nel CIS, per un dato livello massimo di ICUE e per un periodo non superiore a cinque anni, a seconda del livello delle ICUE trattate e dei rischi collegati.

7. Se è notificata una violazione della sicurezza o una variazione consistente della progettazione o delle misure di sicurezza della zona protetta o del CIS, l’autorità di accreditamento di sicurezza riesamina l’autorizzazione di trattare ICUE e, se del caso, può revocarla fino alla risoluzione dei problemi riscontrati.

Art. 5 Autorità TEMPEST

1. Sono attuate misure di sicurezza TEMPEST per proteggere i CIS che trattano informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore; misure TEMPEST possono essere attuate per le informazioni classificate di livello RESTREINT UE/EU RESTRICTED.

2. L’autorità TEMPEST è responsabile dell’approvazione delle misure di protezione adottate per evitare che le ICUE siano compromesse da emissioni elettroniche non intenzionali.

3. Su richiesta del proprietario di un sistema CIS che tratta ICUE, l’autorità TEMPEST emana opportune specifiche per le misure di sicurezza TEMPEST in base al livello di classifica delle informazioni.

4. L’autorità TEMPEST esegue prove tecniche durante il processo di accreditamento delle zone protette e dei CIS per il trattamento di ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore e, una volta concluse con esito positivo le prove, rilascia un certificato TEMPEST.

5. Il certificato TEMPEST riporta almeno le informazioni seguenti:

  1. a) data di esecuzione della prova;

  2. b) descrizione delle misure di sicurezza TEMPEST, corredate di pianta dei locali;

  3. c) data di scadenza del certificato;

  4. d) eventuali variazioni che invalideranno la certificazione;

  5. e) firma dell’autorità TEMPEST.

6. L’LSO o l’organizzatore di riunioni incaricato di organizzare una riunione classificata, in coordinamento con l’LSO, può chiedere all’autorità TEMPEST di sottoporre a prova la sala riunioni per accertare che sia protetta tecnicamente.

Art. 6 Autorità di approvazione degli apparati crittografici

1. L’autorità di approvazione degli apparati crittografici è incaricata di approvare l’uso di tecnologie di crittografia.

2. L’autorità di approvazione degli apparati crittografici emana orientamenti relativi ai requisiti per l’impiego e l’approvazione di tecnologie di crittografia.

3. L’autorità di approvazione degli apparati crittografici approva l’impiego di soluzioni di crittografia sulla scorta di una richiesta del proprietario del sistema. L’approvazione presuppone una valutazione soddisfacente almeno per quanto riguarda gli aspetti seguenti:

  1. a) le esigenze di sicurezza delle informazioni da proteggere;

  2. b) una panoramica del CIS interessato dalla soluzione;

  3. c) una valutazione del rischio intrinseco e del rischio residuo;

  4. d) la descrizione della soluzione proposta;

  5. e) le SecOP per la soluzione di crittografia.

4. L’autorità di approvazione degli apparati crittografici conserva un registro delle soluzioni di crittografia approvate.

Art. 7 Autorità di distribuzione degli apparati crittografici

1. L’autorità di distribuzione degli apparati crittografici è responsabile della distribuzione del materiale crittografico utilizzato per la protezione delle ICUE (principalmente dispositivi di cifratura, chiavi crittografiche, certificati e relativi autenticatori) ai soggetti seguenti:

  1. a) utenti o servizi interni alla Commissione per i CIS gestiti da soggetti esterni;

  2. b) utenti o organizzazioni esterni alla Commissione per i CIS gestiti dalla Commissione.

2. L’autorità di distribuzione degli apparati crittografici può, a norma dell’articolo 17, paragrafo 3, della decisione 2015/443, delegare ad altri servizi la distribuzione del materiale crittografico per soggetti terzi.

3. L’autorità di distribuzione degli apparati crittografici provvede affinché tutto il materiale crittografico sia inviato mediante canali sicuri in grado di prevenire e rilevare manomissioni, in conformità delle norme di sicurezza applicabili per il livello di classifica delle ICUE destinate ad essere protette per mezzo di tale materiale.

4. L’autorità di distribuzione degli apparati crittografici offre orientamento all’LSO e, se del caso, al responsabile della sicurezza informatica a livello locale di ciascun servizio della Commissione che partecipa alla produzione, alla distribuzione o all’impiego del materiale crittografico.

5. L’autorità di distribuzione degli apparati crittografici provvede affinché siano stabilite SecOP idonee per il processo di distribuzione.

Capo 3. Servizi della Commissione

Art. 8 Caposervizio

1. Ciascun caposervizio nomina:

  1. a) un LSO e uno o più LSO aggiunti ove opportuno per il servizio o gabinetto;

  2. b) un RCO e uno o più RCO aggiunti ove opportuno per il servizio che gestisce un ufficio di registrazione delle ICUE;

  3. c) un proprietario del sistema per ciascun CIS che tratta ICUE.

2. Prima di procedere alla nomina degli LSO, degli LSO aggiunti, degli RCO e degli RCO aggiunti il caposervizio chiede l’approvazione del direttore della direzione Sicurezza della direzione generale Risorse umane e sicurezza.

3. Il caposervizio individua, in consultazione con l’LSO, tutti i posti per i quali è necessario un nulla osta per l’accesso alle ICUE. I candidati a tali posti sono informati dell’obbligo di nulla osta nel corso dell’iter di assunzione.

4. Il capo del servizio che detiene ICUE è responsabile di attivare, ove necessario, i piani di distruzione e di evacuazione di emergenza. I piani prevedono un’alternativa per le situazioni in cui non sia possibile contattare il caposervizio.

Art. 9 Proprietari di CIS che trattano ICUE

1. Il proprietario del sistema contatta l’autorità di accreditamento di sicurezza in una fase il più possibile precoce del progetto per l’attuazione di un CIS che tratta ICUE, al fine di stabilire le necessarie norme e i requisiti di sicurezza e di avviare la procedura di accreditamento di sicurezza.

2. Il proprietario del sistema provvede a che le misure di sicurezza soddisfino i requisiti definiti dall’autorità di accreditamento di sicurezza e che il CIS non tratti ICUE prima di essere stato accreditato.

3. Il proprietario del sistema contatta l’autorità di approvazione degli apparati crittografici per richiedere l’autorizzazione di impiegare tecnologie di crittografia. Il proprietario del sistema mette in funzione tecnologie di crittografia nei sistemi di produzione soltanto previa approvazione.

4. Il proprietario del sistema consulta il LISO del servizio sulle questioni inerenti alla sicurezza del CIS.

5. Il proprietario del sistema riesamina le misure di sicurezza applicate al sistema, compreso il relativo piano di sicurezza, almeno con frequenza annuale.

6. Qualora in un CIS si verifichi un incidente di sicurezza a seguito del quale risulti evidente che il CIS non è più in grado di proteggere adeguatamente le ICUE, il proprietario del sistema informa l’LSO e contatta immediatamente l’autorità di accreditamento di sicurezza chiedendo consiglio sulle misure da adottare. Nella citata eventualità l’accreditamento può essere sospeso e il sistema può essere messo fuori servizio fino ad adozione di idoneo intervento correttivo.

7. Il proprietario del sistema offre in ogni momento totale sostegno all’autorità di accreditamento di sicurezza nell’espletamento delle funzioni che le incombono per l’accreditamento del CIS.

Art. 10 Autorità operativa per la garanzia di sicurezza delle informazioni

Per ciascun CIS l’autorità operativa per la garanzia di sicurezza delle informazioni provvede a:

  1. a) elaborare una documentazione di sicurezza conforme alle politiche e agli orientamenti di sicurezza, in particolare il piano di sicurezza, le SecOP relative al sistema e la documentazione crittografica nell’ambito della procedura di accreditamento del CIS;

  2. b) partecipare alla selezione e alla prova di misure, dispositivi e software di sicurezza tecnica specifici del sistema, per sorvegliarne l’attuazione ed assicurarne l’installazione, la configurazione e la manutenzione in modo sicuro conformemente alla relativa documentazione di sicurezza;

  3. c) partecipare alla selezione di misure di sicurezza e dispositivi TEMPEST se richiesto nel piano di sicurezza e assicurarne l’installazione e la manutenzione in modo sicuro in collaborazione con l’autorità TEMPEST;

  4. d) controllare l’attuazione e l’applicazione delle SecOP relative al funzionamento del sistema;

  5. e) gestire e trattare prodotti crittografici, in collaborazione con l’autorità di distribuzione degli apparati crittografici, per assicurare la custodia adeguata del materiale crittografico e degli apparati controllati e, se richiesto, garantire la produzione di variabili crittografiche;

  6. f) svolgere analisi, esami e verifiche di sicurezza, in particolare per elaborare le pertinenti relazioni sui rischi, come richiesto dall’autorità di accreditamento di sicurezza;

  7. g) fornire una formazione specifica al CIS in materia di garanzia di sicurezza delle informazioni;

  8. h) attuare e mettere in funzione misure di sicurezza specifiche del CIS.

Capo 4. Responsabile locale della sicurezza

Art. 11 Nomina dell’LSO

1. L’LSO e l’LSO aggiunto sono funzionari o agenti temporanei.

2. Tutti gli LSO e i loro aggiunti sono in possesso di un’autorizzazione di sicurezza valida per l’accesso alle ICUE fino al livello SECRET UE/EU SECRET e, laddove necessario, fino al livello TRÈS SECRET UE/EU TOP SECRET. L’LSO o l’LSO aggiunto ottiene l’autorizzazione di sicurezza prima della nomina.

3. Le rappresentanze della Commissione possono chiedere all’autorità di sicurezza della Commissione di derogare ai requisiti previsti ai paragrafi 1 e 2.

Art. 12 Procedure operative di sicurezza per le zone protette

1. In ogni servizio della Commissione interessato l’LSO elabora le SecOP per ciascuna delle zone protette di cui è responsabile.

2. L’LSO provvede affinché le SecOP comprendano i seguenti requisiti:

  1. a) soltanto i membri del personale in possesso di un’autorizzazione di sicurezza valida e di cui è accertata la necessità di accedere a documenti classificati di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono autorizzati ad accedere senza scorta a una zona protetta durante l’orario d’ufficio;

  2. b) l’accesso senza scorta a una zona protetta al di fuori dell’orario d’ufficio è permesso soltanto all’LSO del servizio, agli RCO della zona protetta, ai loro aggiunti e al personale autorizzato della direzione Sicurezza della direzione generale Risorse umane e sicurezza;

  3. c) all’interno delle zone protette non sono ammessi dispositivi di registrazione e comunicazione quali telefoni mobili, computer, apparecchi fotografici o altri dispositivi intelligenti senza la previa autorizzazione dell’autorità di sicurezza della Commissione; un’eventuale deroga è richiesta in anticipo all’autorità di sicurezza della Commissione. L’LSO agisce da punto di contatto;

  4. d) il personale interno o esterno che ha necessità di accedere a una zona protetta ma che non soddisfa i criteri previsti alla lettera a) è scortato all’interno e sottoposto in ogni momento alla sorveglianza di un membro del personale debitamente autorizzato; tutti gli accessi di questo tipo a una zona protetta sono registrati in un repertorio conservato all’ingresso della zona protetta;

  5. e) l’LSO provvede affinché i sistemi di rilevamento delle intrusioni che controllano una zona protetta siano costantemente attivi e correttamente funzionanti e gestisce tutte le password, chiavi, PIN o altri meccanismi di accesso e di autenticazione;

  6. f) gli allarmi in una zona protetta sono segnalati alla direzione Sicurezza della direzione generale Risorse umane e sicurezza, che provvede immediatamente a notificarli all’LSO;

  7. g) l’LSO del servizio in cui è ubicata la zona protetta conserva traccia di ciascun intervento attuato in seguito a un allarme o a un incidente di sicurezza;

  8. h) sono predisposte procedure per i casi di allarme o per altre situazioni di emergenza all’interno della zona protetta, tra cui l’evacuazione del personale e, se necessario, la risposta rapida da parte di una squadra di emergenza sotto la direzione dell’autorità di sicurezza della Commissione e di servizi di emergenza esterni;

  9. i) l’LSO segnala immediatamente all’autorità di sicurezza della Commissione qualsiasi violazione della sicurezza verificatasi all’interno di una zona protetta o che interessa una zona protetta, al fine di determinare la risposta appropriata;

  10. j) i singoli uffici e le singole sale e casseforti all’interno di una zona protetta restano chiusi a chiave ogniqualvolta siano lasciati incustoditi;

  11. k) il personale evita di discutere di informazioni classificate nei corridoi o in altre aree comuni della zona protetta se nelle vicinanze sono presenti persone non autorizzate.

Art. 13 Chiavi e combinazioni di sicurezza

1. L’LSO ha la responsabilità generale della corretta gestione e conservazione delle chiavi e delle combinazioni usate all’interno delle zone protette o per accedervi. Le chiavi e combinazioni sono conservate in un contenitore di sicurezza e ricevono almeno la stessa protezione riservata al materiale a cui danno accesso.

2. L’LSO tiene un registro dei contenitori di sicurezza e delle camere blindate, unitamente a un elenco aggiornato di tutti i membri del personale che possono accedervi senza scorta.

3. L’LSO tiene un registro delle chiavi dei contenitori di sicurezza e delle camere blindate, con indicazione dei membri del personale ai quali sono assegnate. Per ciascuna chiave assegnata è conservata una ricevuta che riporta l’identificativo della chiave, il destinatario e la data e ora.

4. Le chiavi e combinazioni sono assegnate unicamente al personale che ha «necessità di conoscere» e a cui è stata rilasciata la necessaria autorizzazione per l’accesso alle ICUE. L’LSO recupera la chiave laddove dette condizioni non siano più soddisfatte.

5. L’LSO conserva le chiavi di riserva e una traccia scritta di tutte le combinazioni all’interno di singole buste opache sigillate, firmate e datate, fornite dal membro del personale responsabile delle chiavi. Le buste sono conservate in un contenitore di sicurezza idoneo al livello di classifica più elevato del materiale conservato nel contenitore stesso o nella camera blindata.

6. Se al momento della modifica della combinazione o della rotazione della chiave la busta presenta segni di manomissione o danneggiamento, l’LSO considera l’evento un incidente di sicurezza e ne informa immediatamente l’autorità di sicurezza della Commissione.

7. Le combinazioni dei contenitori di sicurezza nelle zone protette sono modificate sotto la supervisione dell’LSO. Le combinazioni sono modificate almeno ogni dodici mesi e:

  1. a) al ricevimento di un nuovo contenitore o al momento dell’installazione di una nuova serratura (in particolare le combinazioni predefinite devono essere modificate immediatamente);

  2. b) in caso di compromissione o sospetta compromissione;

  3. c) quando non è più necessario l’accesso di una persona in possesso della combinazione.

8. L’LSO tiene registrazione delle date delle modifiche delle combinazioni di cui al paragrafo 7.

Fonti e licenze