2001D0844 — IT — 05.08.2006 — 003.001

---

Trattandosi di un semplice strumento di documentazione, esso non impegna la responsabilità delle istituzioni

►B	DECISIONE DELLA COMMISSIONE del 29 novembre 2001 che modifica il regolamento interno della Commissione [notificata con il numero C(2001) 3031] (2001/844/CE, CECA, Euratom) (GU L 317, 3.12.2001, p.1)

Modificato da:

		Gazzetta ufficiale
		No	page	date
►M1	DECISIONE DELLA COMMISSIONE del 3 febbraio 2005	L 31	66	4.2.2005
►M2	DECISIONE DELLA COMMISSIONE del 31 gennaio 2006	L 34	32	7.2.2006
►M3	DECISIONE DELLA COMMISSIONE del 2 agosto 2006	L 215	38	5.8.2006

---

▼B

DECISIONE DELLA COMMISSIONE

del 29 novembre 2001

che modifica il regolamento interno della Commissione

[notificata con il numero C(2001) 3031]

(2001/844/CE, CECA, Euratom)

Articolo 1

Le disposizioni della Commissione in materia di sicurezza, il cui testo è allegato alla presente decisione, sono aggiunte in allegato al regolamento interno della Commissione.

Articolo 2

La presente decisione entra in vigore il giorno della pubblicazione nella Gazzetta ufficiale delle Comunità europee.

Essa si applica a decorrere dal 1o dicembre 2001.

---

ALLEGATO

DISPOSIZIONI DELLA COMMISSIONE

Considerando quanto segue:

▼M2

▼B

Articolo 1

Le disposizioni della Commissione in materia di sicurezza sono riportate nell'allegato.

Articolo 2

1.  Il membro della Commissione preposto alla sicurezza prende le misure necessarie per garantire che, nel trattare informazioni classificate UE, i funzionari e gli altri agenti della Commissione, il personale distaccato presso la Commissione, il personale impiegato in tutte le sedi della Commissione, compresi gli uffici di rappresentanza nell'Unione e le delegazioni nei paesi terzi, nonché i contraenti esterni della Commissione rispettino le disposizioni di cui all'articolo 1.

▼M3

Qualora un contratto o una convenzione di sovvenzione fra la Commissione e un contraente o un beneficiario esterno comporti il trattamento di informazioni classificate UE nella sede del contraente o del beneficiario, le misure necessarie che tale contraente o beneficiario esterno deve adottare per garantire che le disposizioni di cui all’articolo 1 siano rispettate nel trattamento di informazioni classificate UE, devono essere parte integrante del contratto o della convenzione di sovvenzione.

▼B

2.  Gli Stati membri, nonché le altre istituzioni, organi, uffici ed agenzie istituiti dai trattati o in base ad essi sono autorizzati a ricevere informazioni classificate UE a condizione che essi garantiscano che, nel trattare tali informazioni, siano rispettate nelle loro sedi di servizio disposizioni strettamente equivalenti a quelle menzionate all'articolo 1, in particolare da parte:

Articolo 3

Gli Stati terzi, le organizzazioni internazionali ed altri organismi sono autorizzati a ricevere informazioni classificate UE a condizione che essi garantiscano che, nel trattare tali informazioni, siano rispettate disposizioni strettamente equivalenti a quelle menzionate all'articolo 1.

Articolo 4

Conformemente ai principi fondamentali e alle norme minime di sicurezza contenuti nella parte I dell'allegato, il membro della Commissione preposto alla sicurezza può adottare misure ai sensi della parte II dell'allegato.

Articolo 5

A decorrere dalla data della loro applicazione, le presenti disposizioni sostituiscono:

Articolo 6

A decorrere dalla data di applicazione delle presenti disposizioni, tutte le informazioni classificate in possesso della Commissione fino a tale data, eccetto le informazioni classificate Euratom,

---

ALLEGATO

DISPOSIZIONI IN MATERIA DI SICUREZZA

Indice
PARTE I:	PRINCIPI FONDAMENTALI E NORME MINIME DI SICUREZZA
1.	INTRODUZIONE
2.	PRINCIPI GENERALI
3.	FONDAMENTI DELLA SICUREZZA
4.	PRINCIPI DI SICUREZZA DELLE INFORMAZIONI
4.1.	Obiettivi
4.2.	Definizioni
4.3.	Classificazione
4.4.	Finalità delle misure di sicurezza
5.	ORGANIZZAZIONI DELLA SICUREZZA
5.1.	Norme comuni minime
5.2.	Organizzazione
6.	SICUREZZA DEL PERSONALE
6.1.	Nulla osta di sicurezza del personale
6.2.	Registrazione dei nulla osta del personale
6.3.	Istruzioni di sicurezza per il personale
6.4.	Responsabilità dei dirigenti
6.5.	Affidabilità del personale in fatto di sicurezza
7.	SICUREZZA MATERIALE
7.1.	Necessità della protezione
7.2.	Controlli
7.3.	Sicurezza degli edifici
7.4.	Piani d'emergenza
8.	SICUREZZA DELLE INFORMAZIONI
9.	MISURE CONTRO IL SABOTAGGIO ED ALTRE FORME DI DANNO INTENZIONALE PREMEDITATO
10.	COMUNICAZIONE DI INFORMAZIONI CLASSIFICATE A STATI TERZI OD ORGANIZZAZIONI INTERNAZIONALI
PARTE II:	L'ORGANIZZAZIONE DELLA SICUREZZA NELLA COMMISSIONE
11.	IL MEMBRO DELLA COMMISSIONE COMPETENTE IN MATERIA DI SICUREZZA
12.	IL GRUPPO CONSULTIVO PER LA POLITICA DI SICUREZZA
13.	IL COMITATO DI SICUREZZA DELLA COMMISSIONE
14.	LA ►M2  DIREZIONE DELLA SICUREZZA DELLA COMMISSIONE ◄
15.	ISPEZIONI DI SICUREZZA
16.	CLASSIFICAZIONI, INDICAZIONI DI SICUREZZA E CONTRASSEGNI
16.1.	Gradi di classificazione
16.2.	Indicazione di sicurezza
16.3.	Contrassegni
16.4.	Apposizione della classificazione
16.5.	Apposizione delle indicazioni di sicureza
17.	GESTIONE DELLA CLASSIFICAZIONE
17.1.	Considerazioni generali
17.2.	Attribuzione delle classificazioni
17.3.	Declassamento e declassificazione
18.	SICUREZZA MATERIALE
18.1.	Considerazioni generali
18.2.	Requisiti di sicurezza
18.3.	Misure di sicurezza materiale
18.3.1.	Zone di sicurezza
18.3.2.	Zona amministrativa
18.3.3.	Controlli all'entrata e all'uscita
18.3.4.	Ronde di controllo
18.3.5.	Contenitori di sicurezza e camere blindate
18.3.6.	Dispositivi di chiusura
18.3.7.	Controllo delle chiavi e delle combinazioni
18.3.8.	Dispositivi per il rilevamento di intrusi
18.3.9.	Attrezzatura approvata
18.3.10.	Protezione materiale delle fotocopiatrici e dei fax
18.4.	Protezione contro sguardi e ascolti indiscreti
18.4.1.	Sguardi indiscreti
18.4.2.	Ascolti indiscreti
18.4.3.	Introduzione di apparecchi elettronici e di registrazione
18.5.	Zone tecnicamente sicure
19.	REGOLE GENERALI RELATIVE AL PRINCIPIO DELLA NECESSITÀ DI SAPRE E AL NULLA OSTA DI SICUREZZA
19.1.	Considerazioni generali
19.2.	Regole particolari sull'accesso alle informazioni TRES SECRET UE/EU TOP SECRET
19.3.	Regole particolari sull'accesso alle informazioni SECRET UE e CONFIDENTIEL UE
19.4.	Regole particolari sull'accesso alle informazioni RESTREINT UE
19.5.	Trasferimenti
19.6.	Istruzioni particolari
20.	PROCEDURA PER IL RILASCIO DEL NULLA OSTA DI SICUREZZA AI FUNZIONARI E ALTRI AGENTI DELLA COMMISSIONE
21.	ELABORAZIONE, DISTRIBUZIONE, TRASMISSIONE, SICUREZZA DEL PERSONALE DEI CORRIERI, COPIE, TRADUZIONI ED ESTRATTI DI DOCUMENTI CLASSIFICATI UE
21.1.	Elaborazione
21.2.	Distribuzione
21.3.	Trasmissione di documenti classificati UE
21.3.1.	Picco, ricevuta
21.3.2.	Trasmissione all'interno di un edificio o di un gruppo di edifici
21.3.3.	Trasmissione all'interno di un paese
21.3.4.	Trasmissione da uno Stato all'altro
21.3.5.	Trasmissione di documenti classificati RESTREINT UE
21.4.	Sicurezza del personale dei corrieri
21.5.	Trasmissione elettronica e altri mezzi di trasmissione tecnica
21.6.	Esemplari supplementari, traduzioni ed estratti di documenti classificati UE
22.	UFFICI DI REGISTRAZIONE DELLE INFORMAZIONI CLASSIFICATI UE, RASSEGNE, CONTROLLI, ARCHIVIAZIONE E DISTRIBUZIONE DELLE INFORMAZIONI CLASSIFICATE UE
22.1.	Uffici locali di registrazione ICUE (Informazioni classificate UE)
22.2.	L'ufficio di registrazione TRES SECRET UE/EU TOP SECRET
22.2.1.	Considerazioni generali
22.2.2.	L'ufficio centrale di registrazione TRES SECRET UE/EU TOP SECRET
22.2.3.	Sottosezioni dell'ufficio di registrazione TRES SECRET UE/EU TOP SECRET
22.3.	Inventari, rassegne e controlli dei documenti classificati UE
22.4.	Archiviazione delle informazioni classificate UE
22.5.	Distribuzione di documenti classificati UE
22.6.	Distruzione in situazioni di emergenza
23.	MISURE DI SICUREZZA DA APPLICARE IN OCCASIONE DI RIUNIONI SPECIFICHE TENUTE FUORI DEI LOCALI DELLA COMMISSIONE E CONCERNENTI INFORMAZIONI CLASSIFICATE UE
23.1.	Considerazioni generali
23.2.	Responsabilità
23.2.1.	Il servizio di sicurezza della Commissione
23.2.2.	Responsabile della sicurezza della riuinione (MSO)
23.3	Misure di sicurezza
23.3.1.	Zone di sicurezza
23.3.2.	Lasciapassare
23.3.3.	Controllo degli apparecchi fotografici e degli apparecchi di registrazione audiovisiva
23.3.4.	Controllo di valigie, computer portatili e plichi
23.3.5.	Sicurezza tecnica
23.3.6.	Documenti delle delegazioni
23.3.7.	Custodia dei documenti in luogo sicuro
23.3.8.	Ispezione degli uffici
23.3.9.	Eliminazione dei rifiuiti classificati
24.	VIOLAZIONE DELLA SICUREZZA E MANOMISSIONE DI INFORMAZIONI CLASSIFICATE UE
24.1.	Definizioni
24.2.	Relazioni sulle violazioni della sicurezza
24.3.	Procedimenti giudiziari
25.	PROTEZIONE DELLE INFORMAZIONI CLASSIFICATE UE TRATTATE IN SISTEMI INFORMATICI E SISTEMI DI COMUNICAZIONE
25.1.	Introduzione
25.1.1.	Considerazioni generali
25.1.2.	Minacce ai sistemi e loro vulnerabilità
25.1.3.	Obiettivo principale delle misure di sicurezza
25.1.4.	Dichiarazione relativa ai requisiti di sicurezza specifici del sistema (SSRS)
25.1.5.	Funzionamento in condizioni di sicurezza
25.2.	Definizioni
25.3.	Responsabilità in materia di sicurezza
25.3.1.	Considerazioni generali
25.3.2.	L'autorità di accreditamento in materia di sicurezza (SAA)
25.3.3.	L'autorità INFOSEC (IA)
25.3.4.	Il proprietario dei sistemi tecnici (TSO)
25.3.5.	Il proprietario delle informazioni (IO)
25.3.6.	Utenti
25.3.7.	Formazione INFOSEC
25.4.	Misure di sicurezza non tecniche
25.4.1.	Sicurezza del personale
25.4.2.	Sicurezza materiale
25.4.3.	Controllo dell'accesso a un sistema
25.5.	Misure tecniche di sicurezza
25.5.1.	Sicurezza delle informazioni
25.5.2.	Controllo e responsabilità delle informazioni
25.5.3.	Trattamento e controllo dei supporti informatici rimovibili
25.5.4.	Declassificazione e distruzione di supporti informatici
25.5.5.	Sicurezza delle comunicazioni
25.5.6.	Misure di sicurezza concernenti l'installazione e le radiazioni
25.6.	Sicurezza durante il trattamento
25.6.1.	Procedure operative di sicurezza (SecOP)
25.6.2.	Protezione del software/gestione della configurazione
25.6.3.	Controlli contro la presenza di software «maligni»/virus informatici
25.6.4.	Manutenzione
25.7.	Fornitura
25.7.1.	Considerazioni generali
25.7.2.	Accreditamento
25.7.3.	Valutazione e certificazione
25.7.4.	Verifica sistematica degli elementi di sicurezza per la proroga dell'accreditamento
25.8.	Utilizzo temporaneo o occasionale
25.8.1.	Sicurezza dei microcomputer/personal computer
25.8.2.	Uso di attrezzatura informatica privata per i lavori ufficiali della Commissione
25.8.3.	Uso di attrezzatura informatica appartenente a un appaltarore o fornita dagli Stati membri per i lavori ufficiali della Commissione
26.	COMUNICAZIONE DI INFORMAZIONI CLASSIFICATI UE A STATI TERZI O ORGANIZZAZIONI INTERNAZIONALI
26.1.1.	Principi che regolano la comunicazione di informazioni classificate UE
26.1.2.	Livelli
26.1.3.	Accordi in materia di sicurezza
APPENDICE 1:	RAFFRONTO TRA LE CLASSIFICAZIONI NAZIONALI DI SICUREZZA
APPENDICE 2:	GUIDA PRATICA ALLA CLASSIFICAZIONE
APPENDICE 3:	LINEE DIRETTRICI PER LA COMUNICAZIONE DI INFORMAZIONI CLASSIFICATE UE A STATI TERZI O ORGANIZZAZIONI INTERNAZIONALI: LIVELLO 1 COOPERAZIONE
APPENDICE 4:	LINEE DIRETTRICI PER LA COMUNICAZIONE DI INFORMAZIONI CLASSIFICATE UE A STATI TERZI O ORGANIZZAZIONI INTERNAZIONALI: LIVELLO 2 COOPERAZIONE
APPENDICE 5:	LINEE DIRETTRICI PER LA COMUNICAZIONE DI INFORMAZIONI CLASSIFICATE UE A STATI TERZI O ORGANIZZAZIONI INTERNAZIONALI: LIVELLO 3 COOPERAZIONE
APPENDICE 6:	ELENCO DELLE ABBREVIAZIONI

PARTE I:   PRINCIPI FONDAMENTALI E NORME MINIME DI SICUREZZA

1.   INTRODUZIONE

Con queste disposizioni si stabiliscono i principi fondamentali e le norme minime di sicurezza che devono essere debitamente rispettate dalla Commissione in tutte le sue sedi di servizio e da tutti i destinatari di informazioni classificate UE, perché sia salvaguardata la sicurezza e ognuno abbia la garanzia che è in vigore un regime comune di protezione.

2.   PRINCIPI GENERALI

La politica di sicurezza della Commissione forma parte integrante della sua politica generale di gestione interna e si basa pertanto sugli stessi principi informatori di quest'ultima.

Tra questi principi si annoverano la legalità, la trasparenza, la responsabilità (o dovere di rendere conto delle proprie azioni) e la sussidiarietà (o proporzionalità).

Per legalità si intende la stretta adesione al quadro giuridico nell'espletamento delle funzioni legate alla sicurezza e la rigorosa ottemperanza alle prescrizioni legali. Questo concetto implica altresì che le responsabilità nel campo della sicurezza si fondino su adeguate disposizioni normative. Tra queste, trovano piena applicazione le disposizioni dello statuto del personale, segnatamente l'articolo 17 sull'obbligo di discrezione imposto al personale riguardo alle informazioni della Commissione e il titolo VI sulle misure disciplinari. Un'altra implicazione, infine, è che le violazioni della sicurezza nell'ambito di responsabilità della Commissione devono essere affrontate in maniera coerente con la politica della Commissione in materia disciplinare e con la sua politica di cooperazione con gli Stati membri in campo penale e giudiziario.

Per trasparenza si intende chiarezza in tutte le norme e disposizioni sulla sicurezza, equilibrio nella ripartizione delle competenze tra i vari servizi e settori (sicurezza materiale, protezione delle informazioni, ecc.) e un'azione sistematica e strutturata di coscientizzazione alla tematica della sicurezza. Oltre a ciò, questo termine presuppone l'esistenza di chiari orientamenti scritti per l'attuazione delle misure di sicurezza.

Per responsabilità si intende innanzi tutto una chiara definizione delle competenze in materia di sicurezza, da cui discende la necessità di una regolare verifica del corretto esercizio di tali competenze.

Sussidiarietà, o proporzionalità, significa che la sicurezza dev'essere organizzata al livello gerarchico più basso, il più possibile in connessione con le direzioni generali e con i servizi della Commissione. Inoltre, gli interventi nel campo della sicurezza devono essere limitati allo stretto indispensabile e, infine, le misure di sicurezza devono essere proporzionate agli interessi da tutelare e alle minacce, reali o potenziali, contro tali interessi, i quali vanno comunque difesi con il minor danno possibile.

3.   FONDAMENTI DELLA SICUREZZA

Un'efficace sicurezza si fonda sui seguenti elementi:

4.   PRINCIPI DI SICUREZZA DELLE INFORMAZIONI

4.1.   Obiettivi

La sicurezza delle informazioni persegue principalmente i seguenti obiettivi:

4.2.   Definizioni

Ai fini delle presenti disposizioni, si intende per:

4.3.   Classificazione

4.4.   Finalità delle misure di sicurezza

Le misure di sicurezza:

5.   ORGANIZZAZIONE DELLA SICUREZZA

5.1.   Norme comuni minime

La Commissione garantisce che tutti i destinatari di ICUE, all'interno dell'istituzione e nei servizi soggetti alla sua competenza, compresi i contraenti, osservino norme minime comuni di sicurezza affinché le informazioni classificate UE possano essere trasmesse con la certezza che saranno trattate con la stessa diligenza. Dette norme minime includono criteri per il rilascio del nulla osta di sicurezza al personale e procedure per la protezione delle informazioni classificate UE.

La Commissione autorizza l'accesso alle ICUE ad organismi esterni solo a condizione che essi garantiscano che, nel trattare le ICUE, siano rispettate disposizioni strettamente equivalenti alle suddette norme minime.

▼M3

Dette norme minime si applicano altresì qualora la Commissione affidi a soggetti industriali o di altra natura, mediante contratto o convenzione di sovvenzione, mansioni che comportano, implicano e/o comprendono informazioni classificate UE: tali norme minime comuni figurano nella parte II, sezione 27.

▼B

5.2.   Organizzazione

All'interno della Commissione, la sicurezza è organizzata a due livelli:

6.   SICUREZZA DEL PERSONALE

6.1.   Nulla osta di sicurezza del personale

Tutti coloro che devono accedere a informazioni classificate ►M1  CONFIDENTIEL UE ◄ o di grado superiore devono aver debitamente ricevuto l'apposito nulla osta prima di essere autorizzate a tale accesso. Lo stesso nulla osta è richiesto alle persone che si occupano del funzionamento tecnico o della manutenzione dei sistemi di comunicazione e di informazione contenenti informazioni classificate. Questo nulla osta deve servire a determinare se detti individui:

Nell'ambito delle procedure di nulla osta, sono sottoposti ad un esame particolarmente accurato coloro che:

Nelle circostanze di cui alle lettere d), e) e f) si deve impiegare nella massima misura possibile la tecnica delle indagini di fondo.

Le persone che non hanno una vera e propria «necessità di sapere» e lavorano in circostanze nelle quali possono avere accesso a informazioni classificate UE (per esempio fattorini, agenti della sicurezza, personale addetto alla manutenzione o alle pulizie ecc.), devono prima di tutto ottenere un apposito nulla osta di sicurezza.

6.2.   Registrazione dei nulla osta del personale

Tutti i servizi della Commissione che trattano informazioni classificate UE ovvero ospitano sistemi di comunicazione o d'informazione protetti tengono una traccia dei nulla osta concessi al personale addetto. Ciascun nulla osta deve essere verificato all'occorrenza, per accertare che sia adatto ai compiti svolti da quella persona; deve essere immediatamente riesaminato non appena nuove informazioni indichino che non è più nell'interesse della sicurezza mantenere quella persona a contatto con informazioni classificate. Il responsabile della sicurezza a livello locale presso il servizio interessato tiene una traccia dei nulla osta che rientrano nella sua sfera di competenza.

6.3.   Istruzioni di sicurezza per il personale

Tutto il personale che ricopre incarichi in cui potrebbe aver accesso a informazioni classificate è dettagliatamente istruito al momento di assumere l'incarico e a intervalli regolari circa le esigenze di sicurezza e le relative procedure. Detto personale è tenuto a certificare per iscritto di aver letto e perfettamente capito le presenti norme di sicurezza.

6.4.   Responsabilità dei dirigenti

I dirigenti hanno il dovere di sapere quali dei loro subordinati lavorino a contatto con informazioni classificate o abbiano accesso a sistemi di comunicazione o d'informazione protetti e di registrare e riferire qualsiasi incidente o caso di palese vulnerabilità che possa avere conseguenze sulla sicurezza.

6.5.   Affidabilità del personale in fatto di sicurezza

Sono istituite procedure per garantire che, allorché si viene a conoscenza di informazioni negative riguardo a un individuo, si chiarisca se costui svolge un lavoro a contatto con informazioni classificate o ha accesso a sistemi di comunicazione o d'informazione protetti e l'ufficio di sicurezza ne sia informato. Se si stabilisce che rappresenta un pericolo per la sicurezza, detto individuo deve essere allontanato o rimosso da ogni incarico in cui potrebbe mettere a repentaglio la sicurezza.

7.   SICUREZZA MATERIALE

7.1.   Necessità della protezione

Il grado di sicurezza materiale da applicare per garantire la protezione delle informazioni classificate UE deve essere proporzionato alla classificazione, al volume e alle minacce che incombono sulle informazioni e sul materiale custodito. Tutti i detentori di informazioni classificate UE devono seguire pratiche uniformi per quanto riguarda la classificazione delle informazioni in loro possesso e ottemperare a norme comuni di protezione per quel che riguarda la custodia, la trasmissione e la diffusione di informazioni e di materiale soggetti a protezione.

7.2.   Controlli

Prima di lasciare i luoghi in cui sono riposte informazioni classificate UE, non sottoposti a sorveglianza, le persone a cui detti luoghi sono affidati devono assicurarsi che le informazioni siano immagazzinate in modo sicuro e che tutti i dispositivi di sicurezza siano stati attivati (serrature, allarmi, ecc.). Al termine dell'orario di lavoro devono essere effettuati altri controlli indipendenti.

7.3.   Sicurezza degli edifici

Gli edifici contenenti informazioni classificate UE o sistemi di comunicazione e d'informazione protetti devono essere tutelati contro l'accesso non autorizzato. Il tipo di protezione destinato alle informazioni classificate UE, per esempio sbarramento di finestre, serrature alle porte, guardie all'entrata, sistemi di controllo dell'accesso automatizzati, controlli di sicurezza e ispezioni, sistemi d'allarme, sistemi di individuazione delle intrusioni e cani da guardia dipendono:

Anche per i sistemi di comunicazione e d'informazione il tipo di protezione prescelto deve dipendere da una stima del valore di quanto è in gioco e del danno potenziale che deriverebbe dal venir meno della sicurezza, dalle caratteristiche e dall'ubicazione dell'edificio nel quale è custodito il sistema e dalla collocazione del sistema all'interno dell'edificio.

7.4.   Piani d'emergenza

Occorre predisporre in anticipo piani dettagliati per la protezione delle informazioni classificate durante un'emergenza locale o nazionale.

8.   SICUREZZA DELLE INFORMAZIONI

La sicurezza delle informazioni (INFOSEC) riguarda l'individuazione e l'applicazione di misure di sicurezza per proteggere le informazioni classificate UE elaborate, immagazzinate o trasmesse in sistemi elettronici di comunicazione e d'informazione o altri, contro il venir meno della riservatezza, dell'integrità o della disponibilità, accidentale o intenzionale. Adeguate contromisure devono essere prese per prevenire l'accesso alle informazioni classificate UE da parte di utenti non autorizzati, per impedire che a utenti autorizzati sia opposto il rifiuto di accedere alle informazioni classificate UE e per prevenire l'alterazione ovvero la modificazione o la cancellazione non autorizzate di informazioni classificate UE.

9.   MISURE CONTRO IL SABOTAGGIO ED ALTRE FORME DI DANNO INTENZIONALE PREMEDITATO

Le precauzioni materiali per la protezione di importanti installazioni in cui sono conservate informazioni classificate sono la migliore garanzia di sicurezza e di protezione contro il sabotaggio e il danno intenzionale premeditato, laddove il solo nulla osta del personale non basta. L'organismo nazionale competente è invitato a comunicare le informazioni raccolte in materia di spionaggio, sabotaggio, terrorismo e altre attività sovversive.

10.   COMUNICAZIONE DI INFORMAZIONI CLASSIFICATE A STATI TERZI OD ORGANIZZAZIONI INTERNAZIONALI

Spetta alla Commissione decidere collegialmente se comunicare a uno Stato terzo o a un'organizzazione internazionale informazioni classificate UE. Se l'originatore delle informazioni che si vogliono comunicare non è la Commissione, quest'ultima deve anzitutto ottenere il consenso dell'originatore. Se è impossibile stabilire l'originatore, la Commissione ne assume la responsabilità.

Le informazioni classificate che la Commissione riceve da Stati terzi, da organizzazioni internazionali o da altri terzi devono essere oggetto di protezione proporzionata alla loro classificazione ed equivalente alle norme stabilite dalle presenti disposizioni per le informazioni classificate UE o alle norme più severe richieste dai terzi che comunicano l'informazione. Possono essere predisposti controlli reciproci.

I principi di cui sopra devono essere applicati in conformità delle disposizioni dettagliate della parte II, sezione 26, e delle appendici 3, 4 e 5.

PARTE II:   L'ORGANIZZAZIONE DELLA SICUREZZA NELLA COMMISSIONE

11.   IL MEMBRO DELLA COMMISSIONE COMPETENTE IN MATERIA DI SICUREZZA

Il membro della Commissione competente in materia di sicurezza:

In particolare, il membro della Commissione competente in materia di sicurezza ha tra le sue attribuzioni:

12.   IL GRUPPO CONSULTIVO PER LA POLITICA DI SICUREZZA

È istituito un gruppo consultivo della Commissione per la politica di sicurezza. Esso è presieduto dal membro della Commissione competente in materia di sicurezza o da chi ne fa le veci ed è composto da rappresentanti delle NSA degli Stati membri. Possono essere invitati a parteciparvi anche rappresentanti di altre istituzioni europee, come pure rappresentanti degli organismi decentrati UE quando vi si discutono questioni che li riguardano.

Il gruppo consultivo della Commissione per la politica di sicurezza si riunisce a richiesta del presidente o di uno dei suoi membri. Esso ha il compito di esaminare e valutare tutte le questioni relative alla sicurezza e, se del caso, di presentare raccomandazioni alla Commissione.

▼M2

13.   IL COMITATO DI SICUREZZA DELLA COMMISSIONE

È istituito un comitato di sicurezza. Esso è composto dal direttore generale dell’Amministrazione e del personale, che assume la presidenza, da un membro del gabinetto del commissario competente in materia di sicurezza, da un membro del gabinetto del presidente, dal segretario generale aggiunto che presiede il gruppo di gestione delle crisi della Commissione, dai direttori generali del Servizio giuridico, delle Relazioni esterne, di Giustizia, libertà e sicurezza, del Centro comune di ricerca, dell’Informatica e del Servizio di audit interno e dal direttore della direzione della sicurezza o dai rispettivi rappresentanti. Possono essere invitati a parteciparvi anche altri funzionari della Commissione. Il comitato ha il compito di valutare le misure di sicurezza vigenti all’interno della Commissione e di rivolgere raccomandazioni in materia al membro della Commissione competente per la sicurezza.

▼B

14.   LA ►M2  DIREZIONE DELLA SICUREZZA DELLA COMMISSIONE ◄

Per adempiere le responsabilità di cui alla sezione 11, il membro della Commissione competente per la sicurezza dispone della ►M2  direzione della sicurezza della Commissione ◄ per il coordinamento, la supervisione e l'applicazione delle misure di sicurezza.

Il ►M2  direttore della direzione della sicurezza della Commissione ◄ è il consigliere principale del membro della Commissione competente in materia di sicurezza circa le questioni di sicurezza e funge da segretario del gruppo consultivo per la politica di sicurezza. Dirige l'aggiornamento della normativa in materia di sicurezza e coordina le misure di sicurezza con le autorità competenti degli Stati membri e, se del caso, con le organizzazioni internazionali che hanno concluso con la Commissione accordi in materia di sicurezza. A questo scopo agisce come ufficiale di collegamento.

Il ►M2  direttore della direzione della sicurezza della Commissione ◄ è responsabile dell'accreditamento dei sistemi e delle reti di TI all'interno della Commissione. Il ►M2  direttore della direzione della sicurezza della Commissione ◄ decide, d'intesa con le competenti NSA, circa l'accreditamento dei sistemi e delle reti di TI che coinvolgono la Commissione, da un lato, e qualsiasi altro destinatario di informazioni classificate UE, dall'altro.

15.   ISPEZIONI DI SICUREZZA

La ►M2  direzione della sicurezza della Commissione ◄ compie ispezioni periodiche dei dispositivi di sicurezza per la protezione delle informazioni classificate UE.

La ►M2  direzione della sicurezza della Commissione ◄ può essere assistita, nell'esercizio di questa funzione, dai servizi di sicurezza di altre istituzioni dell'UE che custodiscono ICUE o dalle NSA degli Stati membri ( 5 ).

A richiesta di uno Stato membro, la rispettiva NSA può compiere un'ispezione di ICUE all'interno della Commissione, di comune accordo e in collaborazione con la ►M2  direzione della sicurezza della Commissione ◄ .

16.   CLASSIFICAZIONI, INDICAZIONI DI SICUREZZA E CONTRASSEGNI

16.1.   Gradi di classificazione  ( 6 )

Le informazioni sono classificate con i seguenti gradi (cfr. anche appendice 2):

Non sono ammesse altre classificazioni.

16.2.   Indicazioni di sicurezza

Possono essere utilizzate indicazioni di sicurezza convenzionali per porre limiti alla validità di una classificazione (per il declassamento o la declassificazione automatica di informazioni classificate). Tali indicazioni possono essere: «FINO A … (periodo/data)» o FINO A … (evento).

Qualora risultino necessari una distribuzione limitata e un trattamento speciale oltre a quanto indicato dalla classificazione di sicurezza, si appongono indicazioni supplementari quali CRYPTO o qualunque altra indicazione di sicurezza riconosciuta a livello UE.

Le indicazioni di sicurezza possono essere utilizzate soltanto unitamente ad una classificazione.

16.3.   Contrassegni

Un contrassegno può essere usato per specificare un settore che forma oggetto del documento o una distribuzione particolare sulla base del principio della necessità di sapere, ovvero per indicare il termine di un embargo (nel caso di informazioni non classificate).

Un contrassegno non è una classificazione e non deve essere usato al posto di questa.

Il contrassegno ESDP/PESD si appone su documenti e copie degli stessi concernenti la sicurezza e la difesa dell'Unione o di uno o più Stati membri o relativi alla gestione delle crisi militari o non militari.

16.4.   Apposizione della classificazione

La classificazione si appone nel modo seguente:

16.5.   Apposizione delle indicazioni di sicurezza

Le indicazioni di sicurezza sono apposte immediatamente sotto la classificazione, con lo stesso mezzo usato per la classificazione.

17.   GESTIONE DELLA CLASSIFICAZIONE

17.1.   Considerazioni generali

Le informazioni sono classificate solo se necessario. La classificazione è indicata chiaramente e correttamente ed è mantenuta solo per la durata in cui è necessario proteggere l'informazione.

La responsabilità della classificazione dell'informazione e di eventuali declassamenti o declassificazioni successivi spetta unicamente all'originatore.

Il funzionario o altro agente della Commissione classifica, declassa o declassifica un'informazione su istruzione del suo superiore gerarchico o d'intesa con il medesimo.

Le modalità dettagliate per il trattamento dei documenti classificati sono state elaborate in modo da garantire che essi siano soggetti a una protezione commisurata alle informazioni che contengono.

Il numero di persone autorizzate ad emanare documenti ►M1  TRES SECRET UE/EU TOP SECRET ◄ è limitato al minimo e il loro nominativo figura in un elenco compilato dalla ►M2  direzione della sicurezza della Commissione ◄ .

17.2.   Attribuzione delle classificazioni

La classificazione di un documento è determinata dal livello di sensibilità del suo contenuto, secondo la definizione di cui alla sezione 16. È importante che la classificazione sia attribuita correttamente e con moderazione, in particolare per quanto riguarda la classificazione ►M1  TRES SECRET UE/EU TOP SECRET ◄ .

L'originatore di un documento che deve essere classificato tiene presenti le disposizioni sopraelencate e limita la tendenza alla sovra - o sottoclassificazione.

Nell'appendice 2 figura una guida pratica per la classificazione.

È possibile che singole pagine, paragrafi, sezioni, annessi, appendici, allegati di un determinato documento e altro materiale accluso richiedano classificazioni differenti: in tal caso, all'insieme del documento viene attribuita la classificazione dell'elemento con grado più elevato.

Il grado di classificazione attribuito a una lettera o nota cui è accluso altro materiale corrisponde a quello dell'elemento accluso con grado più elevato. L'originatore indica chiaramente il grado di classificazione da attribuire alla lettera o nota quando è separata dal materiale accluso.

L'accesso del pubblico continua ad essere disciplinato dal regolamento (CE) n. 1049/2001.

17.3.   Declassamento e declassificazione

I documenti classificati UE possono essere declassati o declassificati unicamente con il consenso dell'originatore e, se necessario, previa discussione con le altre parti interessate. Il declassamento o la declassificazione sono confermati per iscritto. L'originatore è tenuto ad informare i destinatari del cambiamento di classificazione e questi ultimi sono a loro volta tenuti ad informarne i destinatari successivi ai quali hanno trasmesso l'originale o una copia del documento.

Nella misura del possibile, l'originatore indica sul documento classificato la data, un termine o un evento a partire dal quale le informazioni in esso contenute potranno essere declassate o declassificate. In caso contrario, esso verifica almeno ogni cinque anni che la classificazione iniziale del documento sia tuttora necessaria.

18.   SICUREZZA MATERIALE

18.1.   Considerazioni generali

Scopo principale delle misure di sicurezza materiale è di evitare che le persone non autorizzate abbiano accesso alle informazioni e/o al materiale classificato UE, di prevenire il furto e la manomissione di attrezzature e altri beni, nonché di impedire che il personale o altri agenti e visitatori vengano molestati o aggrediti.

18.2.   Requisiti di sicurezza

Tutti i locali, zone, edifici, uffici, stanze, sistemi di comunicazione e d'informazione, ecc. in cui sono custoditi e/o trattati informazioni e materiale classificati UE sono protetti da adeguate misure di sicurezza materiale.

Per la decisione sul grado di protezione materiale necessario occorre tener conto di tutti i fattori pertinenti, quali:

Le misure di sicurezza materiale applicate sono volte a:

18.3.   Misure di sicurezza materiale

18.3.1.   Zone di sicurezza

Le zone in cui sono trattate e custodite le informazioni classificate ►M1  CONFIDENTIEL UE ◄ o di grado superiore sono organizzate e strutturate in modo da corrispondere a uno dei seguenti parametri:

18.3.2.   Zona amministrativa

In prossimità delle zone di sicurezza di categoria I e II o per accedere a tali zone, può essere creata una zona amministrativa con minor livello di sicurezza. Occorre prevedere un perimetro chiaramente delimitato per l'ispezione del personale e dei veicoli. Nella zona amministrativa possono essere trattate e custodite solo informazioni classificate ►M1  RESTREINT UE ◄ o non classificate.

18.3.3.   Controlli all'entrata e all'uscita

L'ingresso alle zone di sicurezza delle categorie I e II è controllato da un lasciapassare o da un sistema di riconoscimento personale che si applica all'insieme del personale che presta regolarmente servizio in queste zone. È altresì predisposto un sistema di controllo dei visitatori al fine di impedire l'accesso non autorizzato ad informazioni classificate UE. I sistemi di lasciapassare possono essere completati da altri di identificazione automatizzata, senza che ciò sostituisca totalmente le guardie di sicurezza. Una modifica nella valutazione del rischio può comportare un rafforzamento delle misure di controllo delle entrate e delle uscite, per esempio durante le visite di personalità.

18.3.4.   Ronde di controllo

Le ronde di controllo delle zone di sicurezza di categoria I e II vengono effettuate al di fuori del normale orario di lavoro per proteggere i beni dell'UE dal rischio di manomissioni, danni o perdite. Le ronde sono effettuate secondo una frequenza determinata dalle circostanze locali ma, indicativamente, ogni due ore.

18.3.5.   Contenitori di sicurezza e camere blindate

Le informazioni classificate UE sono custodite in contenitori suddivisi in tre categorie:

Nelle camere blindate costruite in una zona di sicurezza della categoria I o II, e in tutte le zone di sicurezza della categoria I in cui le informazioni classificate ►M1  CONFIDENTIEL UE ◄ o di grado superiore sono custodite in scaffali aperti o in cui si visualizzano prospetti, piantine, ecc., le pareti, il pavimento ed il soffitto, la o le porte provviste di serratura o serrature sono omologate dalla SAA per garantire che offrano una protezione equivalente alla categoria di contenitore di sicurezza approvato per custodire informazioni con lo stesso grado di classificazione.

18.3.6.   Dispositivi di chiusura

I dispositivi di chiusura utilizzati per i contenitori di sicurezza e le camere blindate in cui sono custodite informazioni classificate UE devono soddisfare i seguenti requisiti:

18.3.7.   Controllo delle chiavi e delle combinazioni

Le chiavi dei contenitori di sicurezza non possono essere asportate dagli edifici della Commissione. La combinazione dei contenitori di sicurezza deve essere conosciuta a memoria dalle persone che ne fanno uso. Il responsabile della sicurezza a livello locale presso il servizio interessato ha la responsabilità delle chiavi di riserva e di una traccia scritta di tutte le combinazioni, conservate in singoli plichi opachi sigillati, di cui far uso in caso di emergenza. Le chiavi, le chiavi di riserva e le combinazioni sono custodite in contenitori di sicurezza separati. Le chiavi e le combinazioni ricevono almeno la stessa protezione riservata al materiale cui danno accesso.

La combinazione dei contenitori di sicurezza è portata a conoscenza del minor numero di persone possibile. Le combinazioni vengono sostituite:

18.3.8.   Dispositivi per il rilevamento di intrusi

Quando le informazioni classificate UE sono protette da sistemi di allarme, televisione a circuito chiuso e altri dispositivi elettrici, si prevede un'erogazione di elettricità di emergenza per garantire il funzionamento ininterrotto del sistema in caso di avaria del sistema centrale. È altresì indispensabile che in caso di disfunzione o di manomissione di detti sistemi, venga attivato un allarme o un altro segnale affidabile per il servizio di sicurezza.

18.3.9.   Attrezzatura approvata

La ►M2  direzione della sicurezza della Commissione ◄ mantiene elenchi aggiornati, suddivisi per tipo e modello, dell'attrezzatura di sicurezza approvata per la protezione delle informazioni classificate in varie circostanze e condizioni specificate. Questi elenchi sono compilati sulla base, tra l'altro, delle informazioni fornite dalle NSA.

18.3.10.   Protezione materiale delle fotocopiatrici e dei fax

Le fotocopiatrici e i fax sono protetti materialmente per quanto necessario a garantire che solo le persone autorizzate possano usarli e che tutti i documenti classificati da essi prodotti siano soggetti a opportuni controlli.

18.4.   Protezione contro sguardi e ascolti indiscreti

18.4.1.   Sguardi indiscreti

Per garantire che le informazioni classificate UE non siano visionate, anche accidentalmente, da persone non autorizzate, devono essere prese tutte le misure appropriate, sia di giorno che di notte.

18.4.2.   Ascolti indiscreti

Gli uffici o le zone in cui si discutono regolarmente informazioni classificate ►M1  SECRET UE ◄ o di grado superiore sono protetti dall'ascolto indiscreto attivo e passivo qualora il rischio lo giustifichi. La valutazione del rischio di tale eventualità spetta alla ►M2  direzione della sicurezza della Commissione ◄ , eventualmente previa consultazione delle NSA.

18.4.3.   Introduzione di apparecchi elettronici e di registrazione

È vietato introdurre telefoni cellulari, computer portatili, registratori, apparecchi fotografici e altri dispositivi elettronici o di registrazione nelle zone di sicurezza o nelle zone tecnicamente sicure senza previa autorizzazione del ►M2  direttore della direzione della sicurezza della Commissione ◄ .

Per decidere le misure di protezione che occorre prendere nei locali che possono essere soggetti ad ascolto indiscreto passivo (per esempio, isolamento dei muri, delle porte, del pavimento e del soffitto, misurazione delle emissioni compromettenti) e all'ascolto indiscreto attivo (per esempio, ricerca di microfoni), la ►M2  direzione della sicurezza della Commissione ◄ può chiedere l'assistenza di esperti delle NSA.

Parimenti, su richiesta del capo dell'ufficio di sicurezza, quando le circostanze lo rendano necessario, specialisti della sicurezza tecnica delle NSA possono ispezionare il materiale per le telecomunicazioni e qualsiasi tipo di attrezzatura elettrica o elettronica da ufficio utilizzata durante le riunioni di livello ►M1  SECRET UE ◄ e di grado superiore.

18.5.   Zone tecnicamente sicure

Talune zone possono essere designate come «zone tecnicamente sicure». Per queste zone è previsto un controllo speciale all'ingresso. Quando non vengono occupate, tali zone sono chiuse a chiave mediante una procedura convenuta, e tutte le chiavi sono considerate chiavi di sicurezza. Queste zone sono soggette a regolari ispezioni materiali, cui si procederà anche dopo ogni ingresso non autorizzato, effettivo o sospettato.

Si procede ad un inventario particolareggiato dell'attrezzatura e dei mobili per controllarne la movimentazione. In queste zone non possono essere introdotti mobili o altra attrezzatura che non siano stati precedentemente verificati con cura dal personale di sicurezza avente una formazione specifica per rilevare qualsiasi meccanismo di ascolto. Come regola generale, nelle zone tecnicamente sicure è vietato installare linee di comunicazione, salvo previa autorizzazione da parte dell'autorità competente.

19.   REGOLE GENERALI RELATIVE AL PRINCIPIO DELLA NECESSITÀ DI SAPERE E AL NULLA OSTA DI SICUREZZA

19.1.   Considerazioni generali

L'accesso alle ICUE è consentito solo alle persone che hanno «necessità di sapere» per lo svolgimento delle loro funzioni o missioni. L'accesso alle informazioni ►M1  TRES SECRET UE/EU TOP SECRET ◄ , ►M1  SECRET UE ◄ e ►M1  CONFIDENTIEL UE ◄ è autorizzato solo per le persone in possesso dell'apposito nulla osta di sicurezza.

La responsabilità di determinare la «necessità di sapere» spetta al capo del servizio presso il quale l'interessato deve lavorare.

Spetta a ciascun servizio fare richiesta di nulla osta per il proprio personale.

Tale procedura si conclude con il rilascio di un «nulla osta di sicurezza» in cui è specificato il grado di classificazione delle informazioni cui la persona abilitata ha accesso e la data di scadenza di tale nulla osta.

Un nulla osta di sicurezza per un determinato grado di classificazione può conferire al titolare il diritto di accesso ad informazioni classificate di grado inferiore.

Le persone che non sono funzionari o altri agenti delle istituzioni dell'UE, quali ad esempio contraenti, esperti o consulenti con cui possa essere necessario discutere informazioni classificate UE, o ai quali tali informazioni debbano essere mostrate, devono possedere un nulla osta di sicurezza per le informazioni classificate UE ed essere istruite quanto alla loro responsabilità in materia di sicurezza.

L'accesso del pubblico continua ad essere disciplinato dal regolamento (CE) n. 1049/2001.

19.2.   Regole particolari sull'accesso alle informazioni ►M1  TRES SECRET UE/EU TOP SECRET ◄

La persona che deve accedere ad informazioni ►M1  TRES SECRET UE/EU TOP SECRET ◄ vi è autorizzata solo previa indagine.

La persona che deve accedere ad informazioni ►M1  TRES SECRET UE/EU TOP SECRET ◄ è designata dal membro della Commissione competente in materia di sicurezza e il suo nominativo è inserito nell'apposito registro ►M1  TRES SECRET UE/EU TOP SECRET ◄ . Tale registro è compilato e tenuto dalla ►M2  direzione della sicurezza della Commissione ◄ .

Prima di accedere alle informazioni ►M1  TRES SECRET UE/EU TOP SECRET ◄ , la persona in questione deve firmare un certificato in cui dichiara di essere stata istruita sulle procedure della Commissione in materia di sicurezza e di essere pienamente consapevole della responsabilità che le incombe quanto alla protezione delle informazioni ►M1  TRES SECRET UE/EU TOP SECRET ◄ nonché delle conseguenze previste dalle norme UE e dalle norme legislative o amministrative nazionali qualora informazioni classificate vengano divulgate a persone non autorizzate, intenzionalmente o per negligenza.

Per le persone che hanno accesso a informazioni ►M1  TRES SECRET UE/EU TOP SECRET ◄ nel corso di riunioni, ecc., il funzionario di controllo competente del servizio o dell'organismo presso il quale dette persone sono assunte notifica all'organizzatore della riunione che le persone in questione sono debitamente autorizzate a parteciparvi.

Il nominativo della persona che cessi di svolgere funzioni per le quali è richiesto l'accesso ad informazioni ►M1  TRES SECRET UE/EU TOP SECRET ◄ è rimosso dall'elenco ►M1  TRES SECRET UE/EU TOP SECRET ◄ . Inoltre, la sua attenzione è nuovamente richiamata sulla responsabilità particolare che le incombe quanto alla protezione delle informazioni ►M1  TRES SECRET UE/EU TOP SECRET ◄ . Essa è anche tenuta a firmare una dichiarazione in cui si impegna a non utilizzare o divulgare le informazioni ►M1  TRES SECRET UE/EU TOP SECRET ◄ in suo possesso.

19.3.   Regole particolari sull'accesso alle informazioni ►M1  SECRET UE ◄ e ►M1  CONFIDENTIEL UE ◄

La persona che deve accedere ad informazioni ►M1  SECRET UE ◄ e ►M1  CONFIDENTIEL UE ◄ vi è autorizzata solo previa indagine.

La persona che deve accedere ad informazioni ►M1  SECRET UE ◄ e ►M1  CONFIDENTIEL UE ◄ deve essere a conoscenza delle pertinenti norme di sicurezza ed essere consapevole delle conseguenze di un atto di negligenza.

Per le persone che hanno accesso ad informazioni ►M1  SECRET UE ◄ e ►M1  CONFIDENTIEL UE ◄ nel corso di riunioni, ecc., il funzionario di controllo competente del servizio o dell'organismo presso il quale dette persone sono assunte notifica all'organizzatore della riunione che le persone in questione sono debitamente autorizzate a parteciparvi.

19.4.   Regole particolari sull'accesso alle informazioni ►M1  RESTREINT UE ◄

La persona che ha accesso ad informazioni ►M1  RESTREINT UE ◄ viene messa a conoscenza delle presenti norme di sicurezza e delle conseguenze di un atto di negligenza.

19.5.   Trasferimenti

Quando un membro del personale è trasferito da un posto che comporta il trattamento di materiale classificato UE, l'ufficio di registrazione provvede al corretto trasferimento di detto materiale dal funzionario uscente al funzionario entrante.

Quando un membro del personale è trasferito ad un altro posto che comporta il trattamento di materiale classificato UE, il responsabile della sicurezza a livello locale provvede ad impartirgli le debite istruzioni.

19.6.   Istruzioni particolari

La persona che deve trattare informazioni classificate UE deve essere messa a conoscenza, all'atto dell'assunzione e successivamente con periodicità, di quanto segue:

Tutti coloro che sono abitualmente esposti a frequenti contatti con rappresentanti di paesi i cui servizi segreti prendono di mira l'UE e gli Stati membri per quanto riguarda le informazioni e le attività classificate UE vengono istruiti sulle tecniche notoriamente impiegate dai vari servizi segreti.

Non esistono norme di sicurezza della Commissione per quanto riguarda i viaggi personali verso qualsiasi destinazione effettuati da personale abilitato all'accesso a informazioni classificate UE. La ►M2  direzione della sicurezza della Commissione ◄ , tuttavia, informa i funzionari e altri agenti di cui è responsabile in merito alle disposizioni in materia di viaggio cui possono essere soggetti.

20.   PROCEDURA PER IL RILASCIO DEL NULLA OSTA DI SICUREZZA AI FUNZIONARI E ALTRI AGENTI DELLA COMMISSIONE

21.   ELABORAZIONE, DISTRIBUZIONE, TRASMISSIONE, SICUREZZA DEL PERSONALE DEI CORRIERI, COPIE, TRADUZIONI ED ESTRATTI DI DOCUMENTI CLASSIFICATI UE

21.1.   Elaborazione

21.2.   Distribuzione

21.3.   Trasmissione di documenti classificati UE

21.3.1.   Plico, ricevuta

21.3.2.   Trasmissione all'interno di un edificio o di un gruppo di edifici

All'interno di un determinato edificio o gruppo di edifici, i documenti classificati possono essere trasportati in una busta sigillata recante unicamente il nome del destinatario, purché il trasporto sia effettuato direttamente da una persona abilitata al grado di classificazione dei documenti.

21.3.3.   Trasmissione all'interno di un paese

21.3.4.   Trasmissione da uno Stato all'altro

21.3.5.   Trasmissione di documenti classificati ►M1  RESTREINT UE ◄

Non sono previste disposizioni speciali per il trasporto di documenti ►M1  RESTREINT UE ◄ , eccetto per quanto riguarda la garanzia che non cadano nelle mani di persone non autorizzate.

21.4.   Sicurezza del personale dei corrieri

Tutto il personale dei servizi di corriere e di messaggeria addetto al trasporto di documenti ►M1  SECRET UE ◄ e ►M1  CONFIDENTIEL UE ◄ deve essere in possesso del pertinente nulla osta di sicurezza.

21.5.   Trasmissione elettronica e altri mezzi di trasmissione tecnica

21.6.   Esemplari supplementari, traduzioni ed estratti di documenti classificati UE

22.   UFFICI DI REGISTRAZIONE DELLE INFORMAZIONI CLASSIFICATE UE, RASSEGNE, CONTROLLI, ARCHIVIAZIONE E DISTRUZIONE DELLE INFORMAZIONI CLASSIFICATE UE

22.1.   Uffici locali di registrazione ICUE (Informazioni classificate UE)

22.2.   L'ufficio di registrazione ►M1  TRES SECRET UE/EU TOP SECRET ◄

22.2.1.   Considerazioni generali

22.2.2.   L'ufficio centrale di registrazione ►M1  TRES SECRET UE/EU TOP SECRET ◄

In qualità di funzionario di controllo, il capo di un ufficio centrale di registrazione ►M1  TRES SECRET UE/EU TOP SECRET ◄ è responsabile:

22.2.3.   Sottosezioni dell'ufficio di registrazione ►M1  TRES SECRET UE/EU TOP SECRET ◄

In qualità di funzionario di controllo, il capo di una sottosezione dell'ufficio di registrazione ►M1  TRES SECRET UE/EU TOP SECRET ◄ è responsabile:

22.3.   Inventari, rassegne e controlli dei documenti classificati UE

22.4.   Archiviazione delle informazioni classificate UE

22.5.   Distruzione di documenti classificati UE

22.6.   Distruzione in situazioni di emergenza

23.   MISURE DI SICUREZZA DA APPLICARE IN OCCASIONE DI RIUNIONI SPECIFICHE TENUTE FUORI DEI LOCALI DELLA COMMISSIONE E CONCERNENTI INFORMAZIONI CLASSIFICATE UE

23.1.   Considerazioni generali

Quando riunioni della Commissione o altre riunioni importanti si tengono fuori dei locali della Commissione ed ove le particolari esigenze di sicurezza connesse con l'elevata sensibilità delle questioni o delle informazioni discusse lo giustifichino, sono adottate le misure di sicurezza descritte in appresso. Tali misure riguardano unicamente la protezione delle informazioni classificate UE; potrebbe essere necessario prevedere altre misure di sicurezza.

23.2.   Responsabilità

23.2.1.   Il servizio di sicurezza della Commissione

Il servizio di sicurezza della Commissione coopera con le autorità competenti dello Stato membro sul cui territorio si svolge la riunione (Stato membro ospitante) per garantire la sicurezza delle riunioni della Commissione o di altre riunioni importanti, nonché della sicurezza fisica dei principali delegati e del loro seguito. Per quanto riguarda la salvaguardia della sicurezza, esso provvede in particolare:

Il servizio di sicurezza della Commissione funge da consulente in materia di sicurezza per la preparazione della riunione e invia in loco un suo rappresentante onde fornire, se necessario, assistenza e consulenza al responsabile della sicurezza della riunione (MSO) e alle delegazioni.

Ogni delegazione che prende parte ad una riunione deve designare un funzionario preposto alla sicurezza, incaricato di discutere con la rispettiva delegazione le questioni attinenti alla sicurezza e di mantenere i contatti con il responsabile della sicurezza della riunione e, se necessario, con il rappresentante del servizio di sicurezza della Commissione.

23.2.2.   Responsabile della sicurezza della riunione (MSO)

Dovrebbe essere designato un responsabile della sicurezza della riunione competente per la preparazione generale e il controllo delle misure generiche di sicurezza interna, nonché per il coordinamento con le altre autorità di sicurezza interessate. Le misure adottate dal responsabile della sicurezza sono, di norma, del seguente tipo:

23.3.   Misure di sicurezza

23.3.1.   Zone di sicurezza

Sono istituite le seguenti zone di sicurezza:

23.3.2.   Lasciapassare

Il responsabile della sicurezza della riunione rilascia appositi badge secondo le richieste delle delegazioni ed in base alle loro esigenze operando, se necessario, una distinzione per l'accesso alle diverse zone di sicurezza.

Le istruzioni di sicurezza relative alla riunione prevedono che all'interno della sede della riunione tutti gli interessati portino sempre in modo ben visibile i loro badge, affinché il personale addetto alla sicurezza possa provvedere ai necessari controlli.

Oltre che ai partecipanti forniti di badge, l'accesso alla sede della riunione è consentito al minor numero possibile di persone. Il responsabile della sicurezza della riunione consente alle delegazioni nazionali di ricevere visitatori nel corso della riunione solo dietro richiesta delle stesse delegazioni. Ai visitatori viene rilasciato un apposito badge, previa compilazione di un lasciapassare recante il nome del visitatore e della persona visitata. I visitatori sono sempre accompagnati da una guardia di sicurezza o dalla persona visitata. L'accompagnatore porta il lasciapassare del visitatore e lo riconsegna, assieme al badge del visitatore, al personale di sicurezza quando il visitatore lascia la sede della riunione.

23.3.3.   Controllo degli apparecchi fotografici e degli apparecchi di registrazione audiovisiva

Nella zona di sicurezza di categoria I è vietato introdurre apparecchi fotografici e di registrazione, ad eccezione delle apparecchiature dei fotografi e dei tecnici audio debitamente autorizzati dal responsabile della sicurezza della riunione.

23.3.4.   Controllo di valigie, computer portatili e plichi

I detentori di lasciapassare cui è consentito l'accesso ad una zona di sicurezza possono di norma introdurvi senza controlli le loro valigie ed i loro computer portatili (solo autoalimentati). I plichi per le delegazioni vengono loro consegnati dopo essere stati ispezionati dal funzionario della delegazione addetto alla sicurezza, controllati mediante apparecchiature speciali o aperti dal personale addetto alla sicurezza per verificarne il contenuto. Se il responsabile della sicurezza della riunione lo ritiene necessario, si possono prevedere misure più rigorose per il controllo di valigie e plichi.

23.3.5.   Sicurezza tecnica

Un'apposita squadra può garantire la sicurezza tecnica della sala di riunione e provvedere inoltre alla sorveglianza elettronica durante la riunione.

23.3.6.   Documenti delle delegazioni

Le delegazioni sono responsabili dei documenti classificati UE che portano con sé alle riunioni. Sono inoltre responsabili della verifica e della sicurezza di detti documenti durante la loro utilizzazione nei locali ad esse assegnati. Per il trasporto di documenti classificati nella e dalla sede della riunione può essere chiesto l'aiuto degli Stati membri ospitanti.

23.3.7.   Custodia dei documenti in luogo sicuro

Se la Commissione o le delegazioni non sono in grado di custodire i loro documenti classificati secondo le norme approvate, possono affidarli in busta sigillata, dietro ricevuta, al responsabile della sicurezza della riunione, che li custodisce in conformità di dette norme.

23.3.8.   Ispezione degli uffici

Il responsabile della sicurezza della riunione provvede a che gli uffici della Commissione e delle delegazioni siano ispezionati al termine di ogni giornata lavorativa per verificare che tutti i documenti classificati UE siano al sicuro. In caso contrario, adotta i provvedimenti necessari.

23.3.9.   Eliminazione dei rifiuti classificati

Tutti i rifiuti sono trattati come rifiuti classificati UE, per la cui eliminazione vengono forniti alla Commissione e alle delegazioni cestini o pacchi della spazzatura. Prima di lasciare i locali ad essi assegnati, la Commissione e le delegazioni portano i loro rifiuti al responsabile della sicurezza della riunione, che provvede alla loro distruzione secondo le disposizioni del caso.

Al termine della riunione tutti i documenti detenuti dalla Commissione e dalle delegazioni e divenuti superflui sono trattati alla stregua di rifiuti. Prima di revocare le misure di sicurezza adottate per la riunione, viene effettuata un'accurata ispezione dei locali assegnati alla Commissione ed alle delegazioni. I documenti per i quali era stata firmata una ricevuta sono distrutti, ove possibile, come prescritto alla sezione 22.5.

24.   VIOLAZIONE DELLA SICUREZZA E MANOMISSIONE DI INFORMAZIONI CLASSIFICATE UE

24.1.   Definizioni

Una violazione della sicurezza è la conseguenza di atti o omissioni contrari a una disposizione della Commissione in materia di sicurezza, che potrebbero mettere a repentaglio o compromettere informazioni classificate UE.

Le informazioni classificate UE sono compromesse quando esse, o parte di esse, giungono in possesso di persone non autorizzate, vale a dire sprovviste dell'appropriato nullaosta di sicurezza o che non abbiano la necessità di conoscerle, o quando è probabile che si sia verificata tale circostanza.

Le informazioni classificate UE possono essere compromesse per disattenzione o negligenza, a seguito di indiscrezioni o come conseguenza delle attività di servizi che prendono di mira l'UE o gli Stati membri, per quanto riguarda le loro informazioni ed attività classificate UE, ovvero di organizzazioni sovversive.

24.2.   Relazioni sulle violazioni della sicurezza

Tutte le persone che trattano informazioni classificate UE devono ricevere informazioni dettagliate sulle loro responsabilità in questo ambito e devono riferire immediatamente qualsiasi violazione della sicurezza di cui vengano a conoscenza.

Ove il responsabile locale della sicurezza o il responsabile della sicurezza della riunione riscontri o sia informato di una violazione della sicurezza relativa ad informazioni classificate UE o della perdita o della scomparsa di materiale classificato UE, adotta tempestivamente provvedimenti miranti a:

Non appena informata di una possibile violazione della sicurezza, ciascuna autorità di sicurezza riferisce immediatamente i fatti al servizio di sicurezza della Commissione.

I casi riguardanti informazioni ►M1  RESTREINT UE ◄ devono essere riferiti solo quando presentino aspetti inconsueti.

Il membro della Commissione responsabile per le questioni della sicurezza, informato di una violazione della sicurezza:

L'autorità d'origine informa i destinatari ed impartisce le istruzioni del caso.

24.3.   Procedimenti giudiziari

Chiunque sia responsabile della compromissione di informazioni classificate UE è passibile di sanzioni disciplinari in conformità delle norme e dei regolamenti pertinenti, in particolare del titolo VI dello statuto. Tali sanzioni non pregiudicano eventuali ulteriori procedimenti giudiziari.

25.   PROTEZIONE DELLE INFORMAZIONI CLASSIFICATE UE TRATTATE IN SISTEMI INFORMATICI E SISTEMI DI COMUNICAZIONE

25.1.   Introduzione

25.1.1.   Considerazioni generali

La strategia e le prescrizioni in materia di sicurezza si applicano a tutti i sistemi e a tutte le reti di comunicazioni e di informazioni (in seguito denominati sistemi) che trattano informazioni classificate di grado ►M1  CONFIDENTIEL UE ◄ o grado superiore. Esse sono applicate in complemento alla decisione C (95) 1510 def. della Commissione, del 23 novembre 1995, sulla protezione dei sistemi informatici.

I sistemi che trattano informazioni ►M1  RESTREINT UE ◄ richiedono anche misure di sicurezza atte a proteggere la riservatezza delle informazioni. Tutti i sistemi richiedono misure di sicurezza atte a proteggere l'integrità e la disponibilità dei sistemi stessi e delle informazioni in essi contenute.

La politica applicata dalla Commissione in materia di sicurezza informatica è caratterizzata dai seguenti elementi:

25.1.2.   Minacce ai sistemi e loro vulnerabilità

Si intende per minaccia la possibilità di una compromissione accidentale o deliberata della sicurezza. Nel caso dei sistemi, ciò implica la perdita di una o più delle caratteristiche di riservatezza, integrità e disponibilità. La vulnerabilità può essere definita come insufficienza o mancanza di controlli che rende più agevole o consente l'attuazione di una minaccia contro un bene o un bersaglio specifico.

Le informazioni classificate UE e non classificate trattate dai sistemi in forma compressa ai fini della rapidità di reperimento, comunicazione e utilizzo sono soggette a molteplici rischi, fra cui l'accesso alle informazioni da parte di utenti non abilitati o, viceversa, l'impossibilità di accesso per gli utenti abilitati. Altri rischi sono costituiti dalla divulgazione non autorizzata e dalla contaminazione, modifica o soppressione delle informazioni. Le apparecchiature in questione, complesse ed a volte fragili, sono inoltre costose e spesso difficili da riparare o da sostituire in tempi brevi.

25.1.3.   Obiettivo principale delle misure di sicurezza

Obiettivo principale delle misure di sicurezza previste nella presente sezione è offrire protezione contro la divulgazione non autorizzata di informazioni classificate UE (perdita di riservatezza) e contro la perdita di integrità e di disponibilità delle informazioni. Per conseguire l'adeguata protezione di sicurezza di un sistema che tratta informazioni classificate UE, la ►M2  direzione della sicurezza della Commissione ◄ deve specificare le opportune norme di sicurezza convenzionale, unitamente alle pertinenti procedure e tecniche di sicurezza speciali, progettate appositamente per ciascun sistema.

25.1.4.   Dichiarazione relativa ai requisiti di sicurezza specifici del sistema (SSRS)

Per tutti i sistemi che trattano informazioni classificate ►M1  CONFIDENTIEL UE ◄ o di grado superiore, il proprietario dei sistemi tecnici (TSO, cfr. sezione 25.3.4) e il proprietario delle informazioni (cfr. sezione 25.3.5) sono invitati a rilasciare una dichiarazione relativa ai requisiti di sicurezza specifici del sistema (SSRS), avvalendosi, ove necessario, dell'apporto e dell'assistenza del gruppo di progetto e della ►M2  direzione della sicurezza della Commissione ◄ (in qualità di autorità INFOSEC - IA, cfr. sezione 25.3.3), e con l'approvazione dell'autorità di accreditamento in materia di sicurezza (SAA, cfr. sezione 25.3.2).

Una SSRS è anche richiesta qualora la disponibilità e l'integrità delle informazioni classificate ►M1  RESTREINT UE ◄ o non classificate siano ritenute essenziali dalla SAA.

La SSRS è formulata nelle primissime fasi dell'avvio del progetto e viene sviluppata ed ampliata con l'evoluzione del progetto, svolgendo differenti funzioni nelle diverse fasi del ciclo di vita del progetto e del sistema.

25.1.5.   Funzionamento in condizioni di sicurezza

Tutti i sistemi che trattano informazioni classificate ►M1  CONFIDENTIEL UE ◄ o di grado superiore sono accreditati per funzionare in uno o, ove sia giustificato dai requisiti durante diversi periodi, più di uno dei seguenti modi di funzionamento in condizioni di sicurezza, o nel loro equivalente nazionale:

25.2.   Definizioni

Per «accreditamento» si intende l'autorizzazione e l'approvazione di un sistema per trattare informazioni classificate UE nel suo ambiente operativo.

Nota:

Tale accreditamento deve essere effettuato dopo che tutte le pertinenti procedure di sicurezza sono state attuate e una volta raggiunto un sufficiente livello di protezione delle risorse del sistema. L'accreditamento avviene di norma sulla base della SSRS e include:

Per «responsabile della sicurezza informatica a livello centrale» (CISO) si intende il funzionario che, nell'ambito di un servizio informatico centrale, coordina e sorveglia le misure di sicurezza per i sistemi a organizzazione centralizzata.

Per «certificazione» si intende il rilascio di una dichiarazione ufficiale, sulla base di un esame indipendente concernente il modo in cui è stata eseguita una valutazione e i risultati che ha prodotto, che indica in quale misura un sistema soddisfa il requisito di sicurezza o un prodotto per la sicurezza informatica offre le presunte prestazioni predefinite in materia di sicurezza.

Per «sicurezza delle comunicazioni» (COMSEC) si intende l'applicazione di misure di sicurezza alle telecomunicazioni al fine di negare alle persone non autorizzate informazioni preziose desumibili dal possesso e dall'analisi di tali comunicazioni o di assicurare l'autenticità di tali telecomunicazioni.

Nota:

Tali misure includono la sicurezza della crittografia, della trasmissione e dell'emissione nonché la sicurezza delle procedure, dei materiali, del personale, del documento e del computer.

Per «sicurezza informatica» (COMPUSEC) si intende l'applicazione a un sistema informatico di caratteristiche di sicurezza per l'hardware, il firmware e il software atte a proteggere le informazioni contro la divulgazione non autorizzata, la manipolazione, la modifica/soppressione, o a impedire tali atti, o a impedire l'interruzione di servizio.

Per «prodotto per la sicurezza informatica» si intende un elemento generico per la sicurezza informatica, destinato ad essere incorporato in un sistema TI ai fini di potenziare, o di offrire, la riservatezza, l'integrità e la disponibilità delle informazioni trattate.

Per «funzionamento esclusivo in condizioni di sicurezza» si intende un modo di funzionamento in cui TUTTE le persone che hanno accesso al sistema sono in possesso di un nullaosta di sicurezza per il grado più elevato di classificazione delle informazioni trattate nel sistema e con necessità di sapere comune rispetto a TUTTE le informazioni trattate nel sistema.

Note:

Per «valutazione» si intende l'esame tecnico dettagliato, da parte di un'autorità competente, degli aspetti di sicurezza di un sistema o di un prodotto per la sicurezza della crittografia o del computer.

Note:

Per «proprietario delle informazioni» (IO) si intende l'autorità (capo servizio) responsabile della creazione, del trattamento e dell'utilizzazione delle informazioni, inclusa la facoltà di decidere chi può avere accesso a queste ultime.

Per «sicurezza dell'informazione» (INFOSEC) si intende l'applicazione di misure di sicurezza atte a proteggere le informazioni elaborate, archiviate o trasmesse da sistemi di comunicazione, di informazione o da altri sistemi elettronici contro la perdita di riservatezza, integrità o disponibilità, accidentale o intenzionale, nonché a impedire la perdita di integrità e di disponibilità dei sistemi stessi.

Le misure INFOSEC comprendono la sicurezza del computer, della trasmissione, dell'emissione e della crittografia nonché l'individuazione, la documentazione e la neutralizzazione di minacce nei confronti dell'informazione e dei sistemi.

Per «area TI» si intende un'area che contiene uno o più computer, le loro locali periferiche e unità di archiviazione, le unità di controllo e l'attrezzatura specializzate per le reti e le comunicazioni.

Nota:

La definizione non include un'area separata in cui sono situati i dispositivi periferici o i terminali/postazioni remoti anche qualora detti dispositivi siano connessi all'attrezzatura collocata nell'area TI.

Per «rete TI» si intende l'organizzazione, geograficamente diffusa, di sistemi TI interconnessi per lo scambio di dati, comprendente i componenti dei sistemi TI interconnessi e la loro interfaccia con le reti dati o le reti di comunicazione di sostegno.

Note:

(2) Una rete TI è denominata «locale» se collega vari computer nel medesimo sito.

Le «caratteristiche di sicurezza di una rete TI» includono le caratteristiche di sicurezza del sistema TI dei singoli sistemi che compongono la rete unitamente ai componenti e agli elementi aggiuntivi associati con la rete in quanto tale (per esempio le comunicazioni di rete, i meccanismi e le procedure per l'identificazione e l'etichettatura di sicurezza, i controlli di accesso, i programmi e gli audit trail) necessari per fornire un livello di protezione accettabile delle informazioni classificate.

Per «sistema TI» si intende un insieme di attrezzature, metodi e procedure e, se necessario, di personale, organizzato in modo da compiere funzioni di trattamento delle informazioni.

Note:

Le «caratteristiche di sicurezza di un sistema TI» comprendono tutte le funzioni e le caratteristiche hardware/firmware/software, le procedure operative, le procedure di responsabilità, i controlli di accesso, l'area TI, l'area di terminali/postazioni remoti, i vincoli della gestione, la struttura e i dispositivi materiali, i controlli del personale e delle comunicazioni necessari per fornire un livello accettabile di protezione delle informazioni classificate da trattare nel sistema TI.

Per «responsabile della sicurezza informatica a livello locale» (LISO) si intende il funzionario che, nell'ambito di un servizio della Commissione, coordina e sorveglia le misure di sicurezza relative al settore di sua competenza.

Per «funzionamento multilivello in condizioni di sicurezza» si intende un modo di funzionamento in cui NON TUTTE le persone che hanno accesso al sistema sono in possesso di un nullaosta di sicurezza al grado più elevato di classificazione delle informazioni trattate nel sistema, e NON TUTTE le persone con accesso al sistema hanno una necessità di sapere comune rispetto alle informazioni trattate nel sistema.

Note:

Per «area di terminali/postazioni remoti» si intende un'area contenente alcune attrezzature informatiche, i suoi dispositivi locali periferici o terminali/postazioni e qualsiasi attrezzatura di comunicazione associata, separata dall'area TI.

Per «procedure operative di sicurezza» si intendono le procedure elaborate dal proprietario dei sistemi tecnici che definiscono i principi da adottare in materia di sicurezza, le procedure operative da seguire e le responsabilità del personale.

Per «funzionamento predominante in condizioni di sicurezza» si intende un modo di funzionamento in cui TUTTE le persone che hanno accesso al sistema sono in possesso di un nullaosta di sicurezza al grado più elevato di classificazione delle informazioni trattate nel sistema, ma NON TUTTE le persone con accesso al sistema hanno una necessità di sapere comune rispetto alle informazioni trattate nel sistema.

Note:

La «dichiarazione relativa ai requisiti di sicurezza specifici del sistema» (SSRS) è una dichiarazione completa ed esplicita relativa ai principi di sicurezza da osservare e ai requisiti particolareggiati di sicurezza da rispettare. È basata sulla politica della Commissione in materia di sicurezza e di valutazione del rischio, oppure imposta da parametri che disciplinano l'ambiente operativo, il grado più basso di nullaosta di sicurezza del personale, il grado più alto di classificazione delle informazioni trattate, il modo di funzionamento in condizioni di sicurezza o le esigenze degli utenti. La SSRS forma parte integrante della documentazione sul progetto sottoposta alle pertinenti autorità ai fini dell'approvazione tecnica, finanziaria e di sicurezza. Nella sua forma definitiva, la SSRS costituisce un elenco completo di quanto è necessario per garantire la sicurezza del sistema.

Per «proprietario dei sistemi tecnici» (TSO) si intende l'autorità responsabile della creazione, della manutenzione, del funzionamento e della chiusura di un sistema.

Per «contromisure dell'effetto tempesta» si intendono misure di sicurezza destinate a proteggere l'attrezzatura e le infrastrutture di comunicazione contro il rischio di compromissione delle informazioni classificate dovuta a emissioni elettromagnetiche non intenzionali e alla conduttività.

25.3.   Responsabilità in materia di sicurezza

25.3.1.   Considerazioni generali

Tra le responsabilità consultive del gruppo consultivo della Commissione per le politiche della sicurezza, di cui alla sezione 12, rientrano le questioni inerenti all'INFOSEC. Il suddetto gruppo organizza le proprie attività in modo da fornire una consulenza qualificata in materia.

Spetta alla ►M2  direzione della sicurezza della Commissione ◄ emanare disposizioni INFOSEC dettagliate, sulla base di quanto disposto al presente capitolo.

In caso di problemi concernenti la sicurezza (incidenti, violazioni, ecc.) la ►M2  direzione della sicurezza della Commissione ◄ prende misure immediate.

La ►M2  direzione della sicurezza della Commissione ◄ dispone di un'unità INFOSEC.

25.3.2.   L'autorità di accreditamento in materia di sicurezza (SAA)

Il ►M2  direttore della direzione della sicurezza della Commissione ◄ è l'autorità di accreditamento in materia di sicurezza (SAA) per la Commissione. La SAA è responsabile nell'ambito generale della sicurezza e negli ambiti specifici dell'INFOSEC (sicurezza delle comunicazioni, sicurezza Crypto e sicurezza Tempest).

La SAA è responsabile di accertare la conformità dei sistemi con la politica della Commissione in materia di sicurezza. Tra i suoi compiti rientra il rilascio dell'approvazione di un sistema per il trattamento delle informazioni classificate UE ad un determinato grado di classificazione nel suo ambiente operativo.

La competenza della SAA della Commissione si estende a tutti i sistemi in funzione all'interno dei locali della Commissione. Quando diversi componenti di un sistema rientrano nella competenza della SAA della Commissione e di altre SAA, tutte le parti interessate nominano un comitato comune di accreditamento posto sotto il coordinamento della SAA della Commissione.

25.3.3.   L'autorità INFOSEC (IA)

Il capo dell'unità INFOSEC della ►M2  direzione della sicurezza della Commissione ◄ è l'autorità INFOSEC per la Commissione. L'autorità INFOSEC è responsabile delle seguenti attività:

25.3.4.   Il proprietario dei sistemi tecnici (TSO)

La responsabilità dell'attuazione dei controlli e del funzionamento dei dispositivi di sicurezza di un sistema spetta al proprietario di quel sistema, il «proprietario dei sistemi tecnici» (TSO). Per i sistemi gestiti a livello centrale è nominato un «responsabile della sicurezza informatica a livello centrale» (CISO). Ciascun servizio nomina, se necessario, un «responsabile della sicurezza informatica a livello locale» (LISO). Le responsabilità di un TSO includono la creazione delle «procedure operative di sicurezza» (SecOP) e permangono lungo tutto il ciclo di vita di un sistema, dalla fase di concezione del progetto alla sua disattivazione finale.

Il TSO specifica le norme e le procedure di sicurezza che il fornitore del sistema è tenuto a rispettare.

Se necessario, il TSO può delegare una parte delle sue responsabilità a un responsabile della sicurezza informatica a livello locale. Le varie mansioni INFOSEC possono essere svolte da una sola persona.

25.3.5.   Il proprietario delle informazioni (IO)

Il proprietario delle informazioni (IO) è responsabile delle informazioni classificate UE (e delle altre informazioni) che devono essere introdotte, elaborate e prodotte in sistemi tecnici. Egli definisce i requisiti relativi all'accesso a tali informazioni nei sistemi. Questa responsabilità può essere delegata a un gestore delle informazioni o a un gestore di basi di dati nel settore di sua competenza.

25.3.6.   Utenti

Tutti gli utenti sono tenuti a garantire che le loro azioni non compromettano la sicurezza del sistema che utilizzano.

25.3.7.   Formazione INFOSEC

La formazione e l'informazione INFOSEC è disponibile per tutto il personale che ne ha bisogno.

25.4.   Misure di sicurezza non tecniche

25.4.1.   Sicurezza del personale

Gli utenti del sistema devono essere in possesso di nulla osta di sicurezza ed avere necessità di sapere, in funzione della classificazione e del contenuto delle informazioni trattate dal loro specifico sistema. L'accesso a determinate attrezzature o a informazioni inerenti alla sicurezza dei sistemi richiede uno speciale nulla osta di sicurezza rilasciato in base alle procedure della Commissione.

La SAA designa tutti i posti sensibili e specifica il grado del nulla osta e la sorveglianza necessaria da parte delle persone che li ricoprono.

I sistemi sono specificati e progettati in modo da facilitare l'attribuzione dei compiti e delle responsabilità al personale onde evitare che una sola persona abbia la conoscenza o il controllo totali dei punti nevralgici per la sicurezza del sistema.

Le aree TI e quelle di terminali/postazioni remoti in cui la sicurezza del sistema può essere modificata non sono occupate da un solo funzionario/altro dipendente abilitato.

I dispositivi di sicurezza di un sistema possono essere modificati solo da almeno due persone autorizzate che operano congiuntamente.

25.4.2.   Sicurezza materiale

Le aree TI e le aree di terminali/postazioni remoti (quali definite nella sezione 25.2) in cui sono trattate informazioni classificate ►M1  CONFIDENTIEL UE ◄ o di grado superiore con strumenti TI, o in cui è possibile un accesso a tali informazioni, sono classificate secondo il caso come aree di sicurezza di categoria UE I o II.

25.4.3.   Controllo dell'accesso a un sistema

Tutte le informazioni e il materiale che consentono il controllo dell'accesso a un sistema sono protette da disposizioni commisurate al grado di classificazione e alla designazione di categoria più elevati delle informazioni cui danno accesso.

Le informazioni e il materiale per il controllo dell'accesso che non sono più utilizzati a questo scopo vengono distrutte conformemente alla sezione 25.5.4.

25.5.   Misure tecniche di sicurezza

25.5.1.   Sicurezza delle informazioni

L'originatore delle informazioni è tenuto a identificare e classificare tutti i documenti contenenti informazioni, siano essi su supporto cartaceo o informatico. Ciascuna pagina delle copie cartacee viene contrassegnata, in testa e in calce, con la pertinente classificazione. I documenti, che siano su supporto cartaceo o informatico, hanno la classificazione più elevata tra quelle attribuite all'informazione utilizzata per produrli. Il modo di funzionamento di un sistema può anche avere un impatto sulla classificazione dei documenti prodotti da tale sistema.

I servizi della Commissione e coloro che, al loro interno, sono in possesso di informazioni sono tenuti a valutare i problemi inerenti al raggruppamento di singoli elementi informativi, e alle deduzioni che si possono trarre dagli elementi connessi, nonché a determinare se una classificazione di grado più elevato sia pertinente per la totalità delle informazioni così raggruppate.

Il fatto che l'informazione possa essere formulata come un codice abbreviato, un codice di trasmissione o qualsiasi altra forma di rappresentazione binaria non conferisce alcuna protezione della sicurezza e non deve, pertanto, incidere sulla classificazione dell'informazione.

Quando l'informazione è trasferita da un sistema ad un altro, l'informazione è protetta durante il trasferimento e nel sistema ricevente in modo commisurato alla classificazione e alla categoria originarie dell'informazione.

Tutti i mezzi di archiviazione informatica sono trattati in modo commisurato alla classificazione più elevata dell'informazione archiviata o del contrassegno apposto sul mezzo, e opportunamente protetti in ogni momento.

I mezzi di archiviazione informatica riutilizzabili usati per registrare informazioni classificate UE mantengono la classificazione più elevata per la quale sono stati usati finché le informazioni in questione non vengono declassate o declassificate e il mezzo di archiviazione riclassificato di conseguenza, oppure il mezzo declassificato o distrutto con una procedura approvata dalla SAA (cfr. sezione 25.5.4).

25.5.2.   Controllo e responsabilità delle informazioni

I log automatici (audit trail) o manuali sono tenuti quale traccia dell'accesso alle informazioni classificate ►M1  SECRET UE ◄ o di grado superiore. Queste tracce sono conservate conformemente alle presenti norme di sicurezza.

I prodotti classificati UE detenuti nella zona TI possono essere trattati come un elemento classificato e non necessitano di registrazione, purché il materiale sia identificato, contrassegnato con la sua classificazione e controllato in modo appropriato.

Allorché un sistema che tratta informazioni classificate UE genera dati che vengono trasmessi da un'area TI all'area di terminali/postazioni remoti, vengono istituite procedure, approvate dalla SAA, per controllare e registrare i dati trasmessi. Per le classificazioni di grado ►M1  SECRET UE ◄ o superiore tali procedure includono specifiche istruzioni per la responsabilità delle informazioni.

25.5.3.   Trattamento e controllo dei supporti informatici rimovibili

Tutti i supporti informatici rimovibili classificati ►M1  CONFIDENTIEL UE ◄ o di grado superiore sono trattati come materiale classificato cui si applicano le norme generali. I contrassegni di identificazione e classificazione devono essere adattati alle specifiche caratteristiche fisiche dei supporti, in modo da renderli chiaramente riconoscibili.

Spetta agli utenti assicurare che le informazioni classificate UE siano archiviate su supporti provvisti dell'appropriato contrassegno di classificazione e adeguatamente protetti. Sono stabilite procedure atte ad assicurare che, per tutti i gradi di classificazione UE, l'archiviazione delle informazioni su supporti informatici avvenga in conformità delle presenti norme di sicurezza.

25.5.4.   Declassificazione e distruzione di supporti informatici

I supporti informatici utilizzati per la registrazione di informazioni classificate UE possono essere declassati o declassificati a condizione che siano applicate procedure approvate dalla SAA.

I supporti informatici che hanno contenuto informazioni ►M1  TRES SECRET UE/EU TOP SECRET ◄ o informazioni di una categoria speciale non sono declassificati né riutilizzati.

I supporti informatici che non possono essere declassificati o riutilizzati sono distrutti secondo una procedura approvata dalla SAA.

25.5.5.   Sicurezza delle comunicazioni

Il ►M2  direttore della direzione della sicurezza della Commissione ◄ è l'autorità Crypto.

Quando informazioni classificate UE sono trasmesse per via elettromagnetica, si applicano misure speciali atte a proteggere la riservatezza, l'integrità e la disponibilità della trasmissione. La SAA stabilisce i requisiti relativi alla protezione delle trasmissioni dalla detezione e dalle intercettazioni. Le informazioni trasmesse all'interno di un sistema di comunicazioni sono protette tenendo conto dei requisiti di riservatezza, integrità e disponibilità.

I metodi crittografici, e i prodotti connessi, che si rendano necessari per la protezione della riservatezza, dell'integrità e della disponibilità sono specificamente approvati a tal fine dalla SAA in qualità di autorità Crypto.

Durante la trasmissione, la riservatezza delle informazioni classificate ►M1  SECRET UE ◄ o di grado superiore è protetta mediante metodi o prodotti crittografici approvati dal membro della Commissione responsabile per le questioni della sicurezza previa consultazione del gruppo consultivo della Commissione per le politiche della sicurezza. Durante la trasmissione, la riservatezza delle informazioni classificate ►M1  CONFIDENTIEL UE ◄ o ►M1  RESTREINT UE ◄ è protetta mediante metodi o prodotti crittografici approvati dall'autorità Crypto della Commissione previa consultazione del gruppo consultivo della Commissione per le politiche della sicurezza.

Specifiche istruzioni di sicurezza approvate dalla ►M2  direzione della sicurezza della Commissione ◄ previa consultazione del gruppo consultivo della Commissione per le politiche della sicurezza contengono norme particolareggiate applicabili alla trasmissione di informazioni classificate UE.

In circostanze operative eccezionali le informazioni classificate ►M1  RESTREINT UE ◄ , ►M1  CONFIDENTIEL UE ◄ e ►M1  SECRET UE ◄ possono essere trasmesse sotto forma di testo in chiaro, previa esplicita autorizzazione per ogni singolo caso e opportuna registrazione ad opera del proprietario delle informazioni. Le circostanze eccezionali di cui sopra si verificano:

Un sistema deve essere in grado di negare con certezza ad una o tutte le sue postazioni o ai suoi terminali remoti l'accesso ad informazioni classificate UE, se necessario disconnettendoli materialmente o mediante speciali caratteristiche del software approvate dalla SAA.

25.5.6.   Misure di sicurezza concernenti l'installazione e le radiazioni

Le specifiche relative all'installazione iniziale dei sistemi e a qualsiasi successiva modifica di rilievo prevedono che l'installazione sia effettuata da installatori provvisti di nulla osta di sicurezza sotto la costante sorveglianza di personale tecnico qualificato abilitato all'accesso ad informazioni aventi un grado di classificazione UE equivalente al grado più alto delle informazioni che il sistema dovrà archiviare o trattare.

I sistemi che trattano informazioni classificate ►M1  CONFIDENTIEL UE ◄ o di grado superiore sono protetti in modo tale che la loro sicurezza non possa essere minacciata da radiazioni o da una conduttività compromettenti, il cui studio e la cui prevenzione sono designati dal termine «TEMPEST».

Le contromisure dell'«effetto tempesta» sono esaminate e approvate dall'autorità Tempest (cfr. sezione 25.3.2).

25.6.   Sicurezza durante il trattamento

25.6.1.   Procedure operative di sicurezza (SecOP)

Le procedure operative di sicurezza (SecOP) definiscono i principi da adottare in materia di sicurezza, le procedure operative da seguire e le responsabilità del personale. Le SecOP sono elaborate sotto la responsabilità del proprietario dei sistemi tecnici (TSO).

25.6.2.   Protezione del software/gestione della configurazione

Il livello di protezione dei programmi applicativi è determinato in base ad una valutazione della classificazione di sicurezza dei programmi stessi piuttosto che delle informazioni che devono trattare. Le versioni dei software in uso devono essere verificate ad intervalli regolari per assicurarne l'integrità ed il corretto funzionamento.

Versioni nuove o modificate dei software vengono utilizzate per il trattamento di informazioni classificate UE solo dopo essere state verificate dal TSO.

25.6.3.   Controlli contro la presenza di software «maligni»

Controlli contro la presenza di software «maligni»/virus informatici sono effettuati periodicamente secondo quanto prescritto dalla SAA.

Prima di essere immessi in un sistema, tutti i supporti informatici introdotti nella Commissione devono essere controllati al fine di rilevare l'eventuale presenza di software «maligni» o virus informatici.

25.6.4.   Manutenzione

Nei contratti e nelle procedure concernenti la manutenzione periodica e su richiesta dei sistemi per cui sia stata stilata una SSRS sono specificati i requisiti e le disposizioni applicabili al personale addetto alla manutenzione ed alle relative apparecchiature che entrano in una zona TI.

Tali requisiti e tali procedure sono chiaramente indicati, rispettivamente, nella SSRS e nelle SecOP. Le operazioni di manutenzione di competenza del contraente che richiedono procedure di telediagnostica sono consentite solo in circostanze eccezionali, sotto rigoroso controllo ed esclusivamente previa approvazione della SAA.

25.7.   Fornitura

25.7.1.   Considerazioni generali

Qualsiasi prodotto relativo alla sicurezza da utilizzare con il sistema oggetto della fornitura, deve già essere stato valutato e certificato oppure essere in fase di valutazione e certificazione da parte di un apposito organismo di uno degli Stati membri dell'UE, secondo criteri riconosciuti a livello internazionale (quali i criteri comuni per la valutazione della sicurezza delle tecnologie dell'informazione: cfr. ISO 15408). Procedure specifiche sono richieste per ottenere l'approvazione della CCAC.

Per decidere se noleggiare piuttosto che acquistare un'attrezzatura, specie supporti informatici, occorre tener presente che, una volta utilizzata per le informazioni classificate UE, tale attrezzatura non potrà essere resa disponibile al di fuori di un ambiente adeguatamente protetto senza prima essere declassificata con il consenso della SAA e che non sempre detto consenso sarà possibile.

25.7.2.   Accreditamento

Tutti i sistemi che necessitano in via preventiva, per il trattamento di informazioni classificate UE, di una dichiarazione relativa ai requisiti di sicurezza specifici del sistema, sono accreditati dalla SAA sulla scorta delle informazioni fornite nella suddetta dichiarazione, delle SecOP e di qualsiasi altra documentazione pertinente. I sottosistemi e i terminali/postazioni remoti sono accreditati in quanto parte di tutti i sistemi a cui sono collegati. Quando un sistema serve sia la Commissione che altre organizzazioni, la Commissione e le competenti autorità incaricate della sicurezza approvano l'accreditamento di comune accordo.

Il processo di accreditamento può essere espletato secondo un'apposita strategia adeguata ad un determinato sistema, definita dalla SAA.

25.7.3.   Valutazione e certificazione

Prima di essere accreditati, in taluni casi, gli elementi di sicurezza di un sistema nel suo insieme — hardware, firmware e software — sono valutati e certificati idonei alla salvaguardia delle informazioni al grado di classificazione desiderato.

I requisiti per la valutazione e certificazione sono inclusi nella progettazione del sistema e chiaramente definiti nella SSRS.

I processi di valutazione e certificazione sono espletati secondo linee direttrici approvate da personale tecnicamente qualificato e adeguatamente abilitato che opera a nome del TSO.

I gruppi a ciò preposti possono essere inviati da un'autorità nazionale di valutazione o certificazione designata oppure da suoi rappresentanti designati, ad esempio un appaltatore competente e abilitato.

I processi di valutazione e certificazione richiesti possono essere di livello inferiore (ed includere, ad esempio, solo gli aspetti dell'integrazione) qualora i sistemi siano basati su prodotti per la sicurezza dei computer valutati e certificati in ambito nazionale.

25.7.4.   Verifica sistematica degli elementi di sicurezza per la proroga dell'accreditamento

Il TSO stabilisce procedure di controllo sistematico atte a garantire che tutti gli elementi di sicurezza del sistema siano ancora efficaci.

I tipi di cambiamenti che renderebbero necessario un riaccreditamento o che richiedono l'approvazione preventiva della SAA sono chiaramente individuati ed enunciati nella SSRS. Dopo qualsiasi modifica, riparazione o disfunzione che possa avere ripercussioni sugli elementi di sicurezza del sistema, il TSO provvede a far effettuare una verifica per assicurare il corretto funzionamento dei suddetti elementi. La proroga dell'accreditamento del sistema dipende normalmente da un risultato soddisfacente delle verifiche.

Tutti i sistemi dotati di elementi di sicurezza sono periodicamente ispezionati o riesaminati dalla SAA. Per i sistemi che trattano informazioni classificate ►M1  TRES SECRET UE/EU TOP SECRET ◄ , le ispezioni hanno luogo almeno una volta l'anno.

25.8.   Utilizzo temporaneo o occasionale

25.8.1.   Sicurezza dei microcomputer/personal computer

I microcomputer/personal computer (PC) muniti di disco fisso (o altri mezzi di archiviazione permanente), funzionanti sia autonomamente sia in rete, e i dispositivi informatici portatili (quali PC portatili e notebook elettronici) provvisti di disco rigido fisso sono considerati mezzi di archiviazione delle informazioni alla stessa stregua dei dischetti o altri supporti informatici rimovibili.

A tali attrezzature è attribuito il livello di protezione, in termini di accesso, gestione, archiviazione e trasporto, corrispondente al più alto grado di classificazione delle informazioni archiviate o elaborate (finché passeranno poi ad un livello di protezione inferiore o subiranno una declassificazione conformemente a procedure approvate).

25.8.2.   Uso di attrezzatura informatica privata per i lavori ufficiali della Commissione

Per il trattamento delle informazioni classificate UE è vietato utilizzare supporti informatici, software e hardware (quale PC e dispositivi informatici portatili) che siano dotati di memoria, di proprietà privata e rimovibili.

Hardware, software e supporti vari di proprietà privata non possono essere introdotti in nessuna zona di categoria I o II dove sono trattate informazioni classificate UE senza l'autorizzazione scritta del ►M2  direttore della direzione della sicurezza della Commissione ◄ . Tale autorizzazione può essere concessa solo in casi eccezionali per motivi tecnici.

25.8.3.   Uso di attrezzatura informatica appartenente a un appaltatore o fornita dagli Stati membri per i lavori ufficiali della Commissione

Il ►M2  direttore della direzione della sicurezza della Commissione ◄ può permettere l'utilizzo di attrezzatura IT e software detenuti da un appaltatore per i lavori ufficiali della Commissione. Può essere altresì autorizzato l'utilizzo di attrezzatura e software forniti dagli Stati membri: in tal caso, detta attrezzatura è posta sotto controllo e iscritta nell'apposito inventario della Commissione. Nell'uno o nell'altro caso, se l'attrezzatura serve al trattamento di informazioni classificate UE, si consulta la SAA competente ai fini di un'adeguata presa in considerazione e applicazione degli elementi INFOSEC applicabili al suo utilizzo.

26.   COMUNICAZIONE DI INFORMAZIONI CLASSIFICATE UE A STATI TERZI O ORGANIZZAZIONI INTERNAZIONALI

26.1.1.   Principi che regolano la comunicazione di informazioni classificate UE

La comunicazione di informazioni classificate UE a Stati terzi o organizzazioni internazionali è decisa collegialmente dalla Commissione in base:

All'originatore dell'informazione classificata UE è chiesto il consenso alla comunicazione.

Siffatte decisioni sono prese caso per caso, a seconda:

L'accettazione di informazioni classificate UE da parte di Stati terzi o organizzazioni internazionali implica la garanzia che saranno utilizzate esclusivamente agli scopi per cui sono state comunicate o scambiate e che sarà loro assicurata la protezione richiesta dalla Commissione.

26.1.2.   Livelli

Una volta decisa la comunicazione o lo scambio di informazioni classificate con un determinato Stato o organizzazione internazionale, la Commissione decide il livello di cooperazione possibile, che dipenderà soprattutto dalla politica seguita in materia di sicurezza e dalla normativa applicata da tale Stato o organizzazione.

I livelli di cooperazione sono tre:

26.1.3.   Accordi in materia di sicurezza

Constatata la necessità permanente o a lungo termine di uno scambio di informazioni classificate tra la Commissione e Stati terzi o altre organizzazioni internazionali, la Commissione procede alla stesura di «accordi sulle procedure di sicurezza per lo scambio di informazioni classificate» con essi, dove sono definite le finalità della cooperazione e le disposizioni reciproche sulla protezione delle informazioni scambiate.

Nel caso di una cooperazione occasionale di terzo livello, per definizione limitata nel tempo e nelle finalità, un semplice memorandum d'intesa in cui siano definiti la natura delle informazioni classificate da scambiare e gli obblighi reciproci ad esse relativi può sostituirsi agli «accordi sulle procedure di sicurezza per lo scambio di informazioni classificate» purché il grado di classificazione non sia più elevato di ►M1  RESTREINT UE ◄ .

Prima di essere presentati alla Commissione per una decisione, i progetti di accordi sulle procedure di sicurezza o di memorandum d'intesa sono approvati dal gruppo consultivo della Commissione per le politiche della sicurezza.

Le NSA degli Stati membri forniscono al membro della Commissione responsabile per le questioni della sicurezza tutta l'assistenza necessaria a garantire che le informazioni da divulgare siano utilizzate e protette conformemente ai suddetti accordi sulle procedure di sicurezza o ai memorandum d'intesa.

▼M3

27.   NORME MINIME COMUNI SULLA SICUREZZA INDUSTRIALE

27.1.   Introduzione

La presente sezione contempla gli aspetti di sicurezza delle attività industriali inerenti specificamente alla negoziazione e alla stipulazione dei contratti o delle convenzioni di sovvenzione, per l’assegnazione di mansioni che comportano, implicano e/o comprendono informazioni classificate UE, e all’esecuzione di tali contratti da parte di soggetti industriali o di altra natura, per quanto riguarda anche la comunicazione di informazioni classificate UE, o l’accesso alle medesime, durante la procedura di aggiudicazione e di invito a presentare proposte (fase di presentazione delle offerte e trattative precontrattuali).

27.2.   Definizioni

Ai fini delle norme minime comuni s’intende per:

27.3.   Organizzazione

27.4.   Contratti classificati e decisioni di sovvenzione

27.5.   Visite

Le visite del personale della Commissione nell’ambito dei contratti classificati presso i soggetti industriali o di altra natura situati negli Stati membri che eseguono contratti classificati UE devono essere fissate con la pertinente NSA/DSA. Le visite dei dipendenti di soggetti industriali o di altra natura nel quadro di un contratto classificato UE devono essere fissate fra le NSA/DSA interessate. Tuttavia, le NSA/DSA interessate da un contratto classificato UE hanno la facoltà di concordare una procedura secondo cui le visite dei dipendenti dei soggetti industriali o di altra natura possono essere fissate direttamente.

27.6.   Trasmissione e trasporto delle informazioni classificate UE

▼M1

---

Appendice 1

▼B

---

Appendice 2

GUIDA PRATICA ALLA CLASSIFICAZIONE

La presente guida è uno strumento indicativo, che non può essere interpretato come variante delle disposizioni sostanziali di cui alle sezioni 16, 17, 20 e 21.

---

Appendice 3

Linee direttrici per la comunicazione di informazioni classificate UE a Stati terzi o organizzazioni internazionali: livello 1 cooperazione

PROCEDURE

NORME DI SICUREZZA CHE DEVONO ESSERE APPLICATE DAI DESTINATARI

5.	Il membro della Commissione responsabile per le questioni della sicurezza notifica agli Stati o alle organizzazioni internazionali destinatari la decisione della Commissione di autorizzare la comunicazione di informazioni classificate UE.

6.	La decisione prende effetto soltanto previa garanzia scritta da parte dei destinatari che: — l'informazione sarà utilizzata ai soli scopi concordati, — sarà protetta conformemente alle presenti norme di sicurezza e in particolare alle disposizioni speciali riportate qui di seguito.

7.

Personale a) Il numero di funzionari aventi accesso alle informazioni classificate UE è rigorosamente limitato, secondo il principio della necessità di sapere, alle persone le cui funzioni lo richiedano. b) Tutti i funzionari o cittadini autorizzati ad accedere alle informazioni classificate ►M1  CONFIDENTIEL UE ◄ o di grado superiore sono in possesso di un attestato per un determinato grado di protezione o dell'equivalente nulla osta di sicurezza l'uno e l'altro emessi dal proprio governo nazionale.

8.

Trasmissione di documenti a) Le procedure pratiche per la trasmissione di documenti sono decise mediante accordo. In attesa della conclusione di tale accordo si applicano le disposizioni della sezione 21. L'accordo dovrà fornire in particolare indicazioni precise sulle sezioni dell'Ufficio di registrazione a cui devono essere inoltrate le informazioni classificate UE. b) Se l'autorizzazione della Commissione riguarda la comunicazione di informazioni classificate anche di grado ►M1  TRES SECRET UE/EU TOP SECRET ◄ , lo Stato o l'organizzazione internazionale che ne sono destinatari istituiscono un ufficio centrale di registrazione UE, eventualmente suddiviso in sottosezioni. Tali sottosezioni devono applicare disposizioni rigorosamente equivalenti a quelle della sezione 22 delle presenti disposizioni in materia di sicurezza.

9.

Registrazione Non appena riceve un documento classificato ►M1  CONFIDENTIEL UE ◄ o di grado superiore, l'ufficio di registrazione lo annota in un registro speciale dell'organizzazione, suddiviso in colonne per la data di ricezione, dettagli del documento (data, numero di riferimento e di copia), la classificazione, il titolo, il nome o la qualifica del ricevente, la data di ritorno della ricevuta e la data di rinvio del documento all'originatore UE o dell'avvenuta distruzione.

10.

Distruzione a) I documenti classificati UE vengono distrutti secondo le istruzioni riportate nella sezione 22 delle presenti disposizioni in materia di sicurezza. L'avvenuta distruzione di documenti classificati ►M1  SECRET UE ◄ e ►M1  TRES SECRET UE/EU TOP SECRET ◄ è attestata con certificati inviati in copia all'ufficio di registrazione UE che li aveva trasmessi. b) I documenti classificati UE sono inclusi nei programmi di distruzione d'emergenza predisposti per i documenti classificati degli organismi destinatari.

11.	Protezione dei documenti Non sarà tralasciata alcuna misura che possa impedire l'accesso di persone non autorizzate alle informazioni classificate UE.

12.

Copie, traduzioni ed estratti È vietato fotocopiare o tradurre un documento classificato ►M1  CONFIDENTIEL UE ◄ o ►M1  SECRET UE ◄ , oppure estrarne brani senza l'autorizzazione del responsabile della sicurezza, che registrerà e controllerà copie, traduzioni o estratti apponendovi, se necessario, una stampigliatura. La riproduzione o traduzione di un documento classificato ►M1  TRES SECRET UE/EU TOP SECRET ◄ può essere autorizzata soltanto dall'autorità d'origine, che preciserà il numero di copie autorizzate; se non è possibile risalire a tale autorità, la richiesta è deferita al servizio di sicurezza della Commissione.

13.

Violazioni della sicurezza In caso di violazione, presunta o reale, delle norme di sicurezza per un documento classificato UE, si dovrebbe immediatamente procedere, fatta salva la conclusione di un accordo in materia di sicurezza, a: a) effettuare un'indagine per accertare le circostanze di detta violazione; b) informare il servizio di sicurezza della Commissione, l'autorità nazionale competente in materia di sicurezza e l'autorità d'origine o dichiarare esplicitamente, se del caso, che quest'ultima non è stata informata; c) adottare misure concrete per limitare al minimo gli effetti della violazione; d) riesaminare e applicare le misure atte ad impedire nuovi episodi di questo tipo; e) porre in atto tutte le misure raccomandate dal servizio di sicurezza della Commissione per impedire il verificarsi di nuovi episodi.

14.	Ispezioni Il servizio di sicurezza della Commissione sarà autorizzato, con il consenso degli Stati o delle organizzazioni internazionali interessati, ad effettuare una valutazione dell'efficacia delle misure prese a protezione delle informazioni classificate UE che sono state comunicate a terzi.

15.

Relazioni Fatta salva la conclusione di accordi in materia di sicurezza, gli Stati o le organizzazioni internazionali dovrebbero, fintanto che detengono informazioni classificate UE, presentare una relazione annuale a conferma del rispetto delle presenti disposizioni in materia di sicurezza, entro una data specificata al momento in cui è stata autorizzata la comunicazione dell'informazione.

---

Appendice 4

Linee direttrici per la comunicazione di informazioni classificate UE a Stati terzi o organizzazioni internazionali: livello 2 cooperazione

PROCEDURE

NORME DI SICUREZZA CHE DEVONO ESSERE APPLICATE DAI DESTINATARI

7.	Il membro della Commissione responsabile per le questioni della sicurezza notifica agli Stati o alle organizzazioni internazionali destinatari la decisione della Commissione di autorizzare la comunicazione di informazioni classificate UE e le restrizioni relative a quest'ultime.

8.	La decisione prende effetto soltanto previa garanzia scritta da parte dei destinatari che: — l'informazione sarà utilizzata ai soli scopi concordati, — sarà protetta conformemente alle disposizioni della Commissione.

9.

Si applicano le norme di protezione di seguito esposte a meno che la Commissione, sentito il parere tecnico del Gruppo consultivo della Commissione per le politiche della sicurezza, decida di adottare una particolare procedura per il trattamento dei documenti classificati UE (cancellando la menzione della classificazione UE, contrassegni specifici ecc.).

10.

Personale a) Il numero dei funzionari aventi accesso alle informazioni classificate UE è rigorosamente ristretto, secondo il principio della necessità di sapere, alle persone le cui funzioni lo richiedono. b) Tutti i funzionari o i cittadini autorizzati ad accedere alle informazioni classificate comunicate dalla Commissione devono avere un nulla osta di sicurezza o un'autorizzazione nazionale per accedere a un determinato livello equivalente a quello dell'UE, secondo la definizione di cui alla tabella comparativa. c) I nulla osta di sicurezza o autorizzazioni nazionali sono inviati per informazione al ►M2  direttore della direzione della sicurezza della Commissione ◄ .

11.

Trasmissione di documenti Le procedure pratiche per la trasmissione di documenti sono decise mediante accordo. In attesa della conclusione di tale accordo si applicano le disposizioni della sezione 21. L'accordo dovrà specificare in particolare gli uffici di registrazione ai quali devono essere inoltrate le informazioni classificate UE e gli indirizzi esatti ai quali devono essere inoltrati i documenti nonché il corriere o i servizi postali usati per la trasmissione delle informazioni classificate UE.

12.

Registrazione al momento dell'arrivo La NSA dello Stato destinatario o il suo equivalente, che riceve le informazioni classificate inviate dalla Commissione a nome del proprio governo, ovvero l'ufficio di sicurezza dell'organizzazione internazionale destinataria, istituisce uno speciale registro per annotare le informazioni classificate UE all'atto del ricevimento. Il registro contiene colonne con l'indicazione della data, dettagli del documento (data, sigla e numero di esemplari), classificazione, titolo, nome o titolo del destinatario, data del ritorno della ricevuta e la data del rinvio del documento all'UE o quella della distruzione del documento.

13.	Rinvio dei documenti Il destinatario che rinvia un documento classificato alla Commissione, procede come indicato al precedente paragrafo «Trasmissione di documenti».

14.

Protezione a) I documenti che non sono in uso, sono custoditi in un contenitore di sicurezza omologato per la custodia di materiali dello stesso grado di classificazione, classificati a livello nazionale. Il contenitore non reca indicazioni del contenuto che è accessibile soltanto a persone autorizzate a trattare informazioni classificate UE. Per quanto riguarda le serrature a combinazione, questa è nota soltanto ai funzionari dello Stato o dell'organizzazione che sono autorizzati ad accedere alle informazioni classificate UE custodite nel contenitore ed è sostituita ogni sei mesi o quando un funzionario viene trasferito, oppure se a uno dei funzionari che conoscono la combinazione viene ritirato il nulla osta di sicurezza o se vi è un rischio di violazione. b) I documenti classificati UE sono tolti dal contenitore di sicurezza solo dai funzionari che hanno ricevuto il nulla osta per l'accesso ai documenti classificati UE e hanno necessità di sapere. Essi sono responsabili della custodia sicura dei documenti finché ne sono in possesso e in particolare garantiscono che nessuna persona non autorizzata abbia accesso ai documenti. Assicurano anche che i documenti siano custoditi in un contenitore di sicurezza quando hanno finito di consultarli e al di fuori dell'orario di lavoro. c) Non è permesso fare fotocopie di un documento classificato ►M1  CONFIDENTIEL UE ◄ o di grado superiore né trarne estratti senza l'autorizzazione del Servizio di sicurezza della Commissione. d) È necessario che la procedura per una rapida e totale distruzione dei documenti in caso di emergenza sia definita e confermata in collaborazione con il servizio di sicurezza della Commissione.

15.

Sicurezza materiale a) Quando non sono usati, i contenitori di sicurezza adibiti alla custodia dei documenti classificati UE devono essere chiusi a chiave in permanenza. b) Il personale addetto alla manutenzione o alle pulizie che deve entrare o lavorare in una stanza in cui sono situati i contenitori di sicurezza deve essere scortato continuamente da un membro del servizio di sicurezza dello Stato o dell'organizzazione o dal funzionario che è direttamente responsabile per la supervisione della sicurezza della stanza stessa. c) Al di fuori dell'orario di lavoro normale (la notte, nei fine settimana e nei giorni festivi) i contenitori di sicurezza che custodiscono documenti classificati UE sono protetti da una guardia o da un sistema d'allarme automatico.

16.

Violazioni della sicurezza Se si è verificata o si sospetta che si sia verificata una violazione della sicurezza relativamente a un documento classificato UE occorre immediatamente provvedere a: a) inviare subito una relazione al servizio di sicurezza della Commissione o alla NSA dello Stato membro che ha preso l'iniziativa di inviare documenti (con copia al servizio di sicurezza della Commissione); b) condurre un'inchiesta al termine della quale è presentata al servizio di sicurezza una relazione completa [cfr. a) supra]. Sono poi adottate le misure necessarie per porre rimedio alla situazione.

17.	Ispezioni Il servizio di sicurezza della Commissione sarà autorizzato, con il consenso degli Stati o delle organizzazioni internazionali interessati, ad effettuare una valutazione dell'efficacia delle misure prese a protezione delle informazioni classificate UE che sono state comunicate a terzi.

18.

Relazioni Fatta salva la conclusione di accordi in materia di sicurezza, gli Stati o le organizzazioni internazionali dovrebbero, fintanto che detengono informazioni classificate UE, presentare una relazione annuale a conferma del rispetto delle presenti disposizioni in materia di sicurezza, entro una data specificata al momento in cui è stata autorizzata la comunicazione dell'informazione.

---

Appendice 5

Linee direttrici per la comunicazione di informazioni classificate UE a Stati terzi o organizzazioni internazionali: livello 3 cooperazione

PROCEDURE

1.	Occasionalmente, in circostanze particolari, è possibile che la Commissione intenda cooperare con Stati o organizzazioni che non possono dare le garanzie richieste dalle presenti disposizioni in materia di sicurezza ma che tale cooperazione richieda la comunicazione di informazioni classificate UE.

2.

La facoltà di comunicare informazioni classificate UE a Stati terzi o organizzazioni internazionali la cui politica e normativa di sicurezza sono molto diverse da quelle dell'UE spetta all'originatore. La facoltà di decidere la trasmissione di informazioni classificate UE all'interno della Commissione spetta alla Commissione in quanto Collegio. In linea di principio, è limitata alle informazioni classificate fino al grado ►M1  SECRET UE ◄ compreso; ne sono escluse le informazioni classificate protette da speciali contrassegni di sicurezza.

3.	La Commissione valuta se comunicare le informazioni classificate, considera la necessità di sapere dei destinatari e decide quali informazioni classificate possano essere comunicate.

4.

Se la Commissione è favorevole, il membro della Commissione responsabile per le questioni della sicurezza: — chiedere il parere degli originatori delle informazioni classificate UE da trasmettere, — organizzare una riunione del gruppo consultivo della Commissione per le politiche della sicurezza o, se necessario con la procedura di approvazione tacita, indagare presso le autorità nazionali competenti in materia di sicurezza per ottenere il parere gruppo consultivo della Commissione per le politiche della sicurezza.

5.

Il parere del gruppo consultivo della Commissione per le politiche della sicurezza deve riguardare: a) una valutazione dei rischi di sicurezza corsi dall'UE o dagli Stati membri; b) il grado di classificazione delle informazioni che possono essere comunicate; c) il declassamento o la declassificazione prima di comunicare le informazioni; d) le procedure per il trattamento dei documenti da divulgare (vedi il paragrafo successivo); e) sui metodi di trasmissione (servizi postali, sistemi di telecomunicazioni pubblici o protetti, valigia diplomatica, corrieri autorizzati, ecc.).

6.

I documenti comunicati a Stati o organizzazioni che rientrano in questa appendice sono predisposti, in linea di massima, senza un riferimento alla fonte o a una classificazione UE. Il gruppo consultivo della Commissione per le politiche della sicurezza può raccomandare: — l'uso di un contrassegno o codice specifico, — l'uso di un sistema di classificazione specifico che rapporta la sensibilità delle informazioni alle necessarie misure di controllo dei metodi usati dal destinatario per trasmettere i documenti.

7.	Il ►M2  membro della Commissione competente in materia di sicurezza ◄ inoltra alla Commissione, affinché quest'ultima prenda una decisione, il parere formulato dal gruppo consultivo della Commissione per le politiche della sicurezza.

8.

Dopo che la Commissione ha approvato la comunicazione di informazioni classificate UE e le procedure pratiche di attuazione, il servizio di sicurezza della Commissione stabilisce i necessari contatti con l'organismo preposto alla sicurezza dello Stato o organizzazione interessati per facilitare l'applicazione delle misure di sicurezza prospettate.

9.	Il membro della Commissione responsabile per le questioni della sicurezza informa gli Stati membri sulla natura e la classificazione delle informazioni, elencando le organizzazioni e gli Stati ai quali queste possono essere comunicate, secondo quanto deciso dalla Commissione.

10.	Il servizio di sicurezza della Commissione prende le misure necessarie per facilitare la valutazione di qualsiasi possibile danno e la revisione delle procedure. In caso di mutamento delle condizioni di cooperazione, la Commissione deve procedere a un riesame della materia.

NORME DI SICUREZZA CHE DEVONO ESSERE APPLICATE DAI DESTINATARI

11.

Il membro della Commissione responsabile per le questioni della sicurezza notifica agli Stati o alle organizzazioni internazionali destinatari la decisione della Commissione di autorizzare la comunicazione di informazioni classificate UE, unitamente alle norme di protezione dettagliate proposte dal gruppo consultivo della Commissione per le politiche della sicurezza e approvata dalla Commissione stessa.

12.	La decisione entra in vigore soltanto quando i destinatari danno assicurazione scritta: — di non destinare le informazioni a un uso diverso dalla cooperazione decisa dalla Commissione, — di dare alle informazioni la protezione richiesta dalla Commissione,

13.

Trasmissione di documenti a) Le procedure pratiche per la trasmissione di documenti sono concordate tra il servizio sicurezza della Commissione e gli organi preposti alla sicurezza degli Stati e organizzazioni internazionali destinatari. In particolare devono essere specificati gli indirizzi esatti per l'invio dei documenti. b) I documenti classificati ►M1  CONFIDENTIEL UE ◄ e gradi superiori sono trasmessi in doppia busta. La busta interna reca lo specifico timbro o codice convenuto e la menzione della classificazione particolare che è stata approvata per il documento. A ciascun documento classificato è acclusa una ricevuta. La ricevuta, di per sé non classificata, cita soltanto i dettagli del documento (sigla, data, numero di esemplari) e la lingua, ma non il titolo. c) La busta interna è posta in un'altra busta che reca il numero del plico per consentire il rilascio di una ricevuta. La busta esterna non reca alcuna classificazione di sicurezza. d) Ai corrieri è sempre fornita una ricevuta con il numero del plico.

14.

Registrazione al momento dell'arrivo La NSA dello Stato destinatario o il suo equivalente, che riceve le informazioni classificate inviate dalla Commissione per conto del suo governo, ovvero l'ufficio di sicurezza dell'organizzazione internazionale destinataria, istituisce uno speciale registro per annotare le informazioni classificate UE all'atto del ricevimento. Il registro è suddiviso in colonne che riportano l'indicazione della data, i dettagli del documento (data, sigla e numero di esemplari), la classificazione, il titolo, il nome o titolo del destinatario, la data del ritorno della ricevuta e la data del rinvio del documento all'UE o quella della distruzione del documento.

15.

Utilizzazione e protezione delle informazioni classificate scambiate a) Le informazioni a livello ►M1  SECRET UE ◄ sono trattate da funzionari specificamente designati che sono autorizzati ad avere accesso alle informazioni aventi tale classificazione. Sono custodite in armadi di sicurezza di buona qualità che possono essere aperti soltanto da persone autorizzate ad avere accesso alle informazioni che contengono. I luoghi in cui detti armadi sono situati sono sorvegliati costantemente; un sistema di verifica garantisce che possono entrarvi soltanto le persone debitamente autorizzate. Le informazioni di livello ►M1  SECRET UE ◄ sono inviate per valigia diplomatica, servizi postali e servizi di telecomunicazioni protetti. Un documento ►M1  SECRET UE ◄ può essere copiato soltanto con l'accordo scritto dell'autorità d'origine. Tutte le copie sono registrate e controllate. Per tutte le operazioni relative a documenti ►M1  SECRET UE ◄ sono rilasciate ricevute. b) Le informazioni di livello ►M1  CONFIDENTIEL UE ◄ sono trattate da funzionari debitamente designati e autorizzati a conoscere l'argomento. I documenti sono custoditi in armadi di sicurezza chiusi a chiave in luoghi controllati. Le informazioni di livello ►M1  CONFIDENTIEL UE ◄ sono inviate per valigia diplomatica, servizi postali militari e telecomunicazioni protette. L'organismo destinatario può farne copie, annotando il relativo numero e la distribuzione in appositi registri. c) Le informazioni di livello ►M1  RESTREINT UE ◄ sono trattate in luoghi non accessibili a personale non autorizzato e custodite in contenitori chiusi a chiave. I documenti possono essere inviati tramite i servizi postali pubblici come plico raccomandato in doppia busta; in casi di emergenza durante le operazioni, tramite sistemi di telecomunicazioni pubblici non protetti. I destinatari possono fotocopiarli. d) Le informazioni non classificate non richiedono speciali misure di protezione e possono essere inviate per posta e tramite i sistemi pubblici di telecomunicazioni. I destinatari possono copiarle.

16.

Distruzione I documenti che non servono più devono essere distrutti. Nel caso di documenti ►M1  RESTREINT UE ◄ E ►M1  CONFIDENTIEL UE ◄ , viene inserita una nota nei registri speciali. Nel caso di documenti del livello ►M1  SECRET UE ◄ , sono rilasciati certificati di distruzione firmati da due testimoni della distruzione.

17.

Violazioni della sicurezza Se informazioni di livello ►M1  CONFIDENTIEL UE ◄ o ►M1  SECRET UE ◄ sono compromesse o se vi è un sospetto in tal senso, la NSA dello Stato o il capo del servizio di sicurezza dell'organizzazione conduce un'inchiesta per appurare le circostanze della violazione e notifica i risultati dell'inchiesta al servizio di sicurezza della Commissione. Si adottano quindi i provvedimenti atti a migliorare le procedure o i metodi di custodia inadeguati che possano essere all'origine della violazione.

---

Appendice 6

---

( 1 ) GU n. 17 del 6.10.1958, pag. 406/58.

( 2 ) GU L 151 del 15.6.1990, pag. 1.

( 3 ) GU L 101 dell'11.4.2001, pag. 1.

( 4 ) GU L 145 del 31.5.2001, pag. 43.

( 5 ) Fatti salvi la convenzione di Vienna del 1961 sulle relazioni diplomatiche e il protocollo sui privilegi e le immunità delle Comunità europee dell'8 aprile 1965.

( 6 ) Nell'appendice 1 è riportata una tabella comparativa delle classificazioni di sicurezza UE, NATO, UEO e degli Stati membri.