1.   La presente decisione stabilisce le norme di attuazione in materia di sicurezza industriale per quanto riguarda le sovvenzioni classificate ai sensi della decisione (UE, Euratom) 2015/444, in particolare il capo 6 della medesima.

2.   La presente decisione stabilisce requisiti specifici per garantire la protezione delle informazioni classificate UE (ICUE) durante la pubblicazione degli inviti, l'aggiudicazione di sovvenzioni e l'attuazione delle convenzioni di sovvenzione classificate concluse dalla Commissione europea.

3.   La presente decisione si applica alle sovvenzioni comportanti informazioni classificate del livello seguente:

4.   La presente decisione si applica fatte salve le norme specifiche stabilite in altri atti giuridici, come quelle riguardanti il programma europeo di sviluppo del settore industriale della difesa.

1.   Nell'ambito delle sue responsabilità l'ordinatore dell'autorità erogatrice, di cui al regolamento (UE, Euratom) 2018/1046 del Parlamento europeo e del Consiglio, garantisce che la sovvenzione classificata è conforme alla decisione (UE, Euratom) 2015/444 e alle relative norme di attuazione.

2.   A tal fine in tutte le fasi l'ordinatore interessato chiede il parere dell'autorità di sicurezza della Commissione sulle questioni riguardanti gli elementi di sicurezza della convenzione di sovvenzione classificata, del programma o del progetto classificato e informa il responsabile locale della sicurezza in merito alle convenzioni di sovvenzione classificate firmate. La decisione sul livello di classifica di determinate materie spetta all'autorità erogatrice ed è presa tenendo in debito conto la guida alle classifiche di sicurezza.

3.   Se si applicano le istruzioni di sicurezza del programma/progetto di cui all'articolo 5, paragrafo 3, l'autorità erogatrice e l'autorità di sicurezza della Commissione assolvono le responsabilità loro assegnate in tali istruzioni.

4.   Nel rispetto dei requisiti delle presenti norme di attuazione, l'autorità di sicurezza della Commissione collabora strettamente con le autorità di sicurezza nazionali (NSA) e le autorità di sicurezza designate (DSA) degli Stati membri interessati, in particolare per quanto riguarda il nulla osta di sicurezza delle imprese (FSC) e il nulla osta di sicurezza del personale (PSC), la procedura relativa alle visite e i programmi di trasporto.

5.   Se le sovvenzioni sono gestite da agenzie esecutive dell'UE o da altri organismi di finanziamento e non si applicano le norme specifiche stabilite in altri atti giuridici di cui all'articolo 1, paragrafo 4:

1.   Le parti classificate delle sovvenzioni sono attuate esclusivamente da beneficiari registrati in uno Stato membro o da beneficiari registrati in un paese terzo o istituiti da un'organizzazione internazionale, purché il paese terzo o l'organizzazione internazionale abbia concluso un accordo sulla sicurezza delle informazioni con l'Unione o un accordo amministrativo con la Commissione (8).

2.   Prima di pubblicare l'invito per una sovvenzione classificata, l'autorità erogatrice determina la classifica di sicurezza delle informazioni a cui potrebbero avere accesso i richiedenti. L'autorità erogatrice determina anche la classifica di sicurezza massima delle informazioni generate durante l'esecuzione della convenzione di sovvenzione, del programma o del progetto, o almeno il volume e il tipo delle informazioni che si prevede di produrre o trattare e stabilisce la necessità di un sistema di comunicazione e informazione (CIS) classificato.

3.   L'autorità erogatrice provvede affinché gli inviti per sovvenzioni classificate diano informazioni sugli obblighi specifici di sicurezza connessi a dette informazioni. La documentazione dell'invito comprende chiarimenti sulle tempistiche a disposizione dei beneficiari per ottenere gli FSC ove necessario. Gli allegati I e II contengono modelli delle informazioni relative alle condizioni dell'invito.

4.   L'autorità erogatrice provvede affinché le informazioni classificate RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET siano comunicate ai richiedenti solo dopo che questi ultimi abbiano firmato l'impegno alla non divulgazione, che li obbliga a trattare e proteggere le ICUE a norma della decisione (UE, Euratom) 2015/444, e relative norme di attuazione e delle norme nazionali applicabili.

5.   Quando ai richiedenti sono comunicate informazioni RESTREINT UE/EU RESTRICTED, nell'invito o negli accordi di non divulgazione conclusi nella fase di proposta sono inseriti i requisiti minimi di cui all'articolo 5, paragrafo 7, della presente decisione.

6.   Tutti i richiedenti e i beneficiari tenuti a trattare o conservare informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nelle loro strutture nella fase di proposta o durante l'esecuzione della convenzione di sovvenzione classificata sono in possesso dell'FSC del livello richiesto, ad eccezione dei casi di cui al paragrafo 9. Di seguito sono indicate le tre situazioni che possono presentarsi nella fase di proposta relativa a una sovvenzione classificata che comporta ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET:

7.   Di norma non è richiesto l'FSC o il PSC per l'accesso alle informazioni RESTREINT UE/EU RESTRICTED, né nella fase di proposta né in quella di esecuzione della convenzione di sovvenzione. Quando gli Stati membri prescrivono l'FSC o il PSC per convenzioni di sovvenzione o subcontratti di livello RESTREINT UE/EU RESTRICTED a norma di disposizioni legislative e regolamentari nazionali, come indicato nell'allegato IV, le prescrizioni nazionali non possono imporre obblighi supplementari agli altri Stati membri né impedire ai richiedenti, beneficiari o subcontraenti di Stati membri che non prevedono dette prescrizioni in materia di FSC o PSC l'accesso a informazioni RESTREINT UE/EU RESTRICTED derivanti da convenzioni di sovvenzione o da subcontratti connessi o la partecipazione alla relativa gara. Queste convenzioni di sovvenzione sono eseguite negli Stati membri conformemente alle rispettive disposizioni legislative e regolamentari nazionali.

8.   Quando nella gestione di un invito è richiesto l'FSC per l'attuazione di una convenzione di sovvenzione classificata, l'autorità erogatrice ne fa richiesta, tramite l'autorità di sicurezza della Commissione, all'NSA o alla DSA del beneficiario utilizzando il modulo di informazione sul nulla osta di sicurezza delle imprese (FSCIS) o altro modello elettronico equivalente previsto. L'allegato III, appendice D, riporta un modello di FSCIS (9). Se possibile, la risposta all'FSCIS è data entro dieci giorni lavorativi dalla data della richiesta.

9.   Se istituzioni pubbliche degli Stati membri o istituti soggetti al controllo del loro governo partecipano a sovvenzioni classificate per cui sono necessari FSC e se il diritto nazionale non prevede il rilascio di FSC a tali istituzioni e istituti, l'autorità erogatrice verifica con la NSA o la DSA interessata, tramite l'autorità di sicurezza della Commissione, se dette istituzioni o istituti sono in grado di trattare le ICUE al livello richiesto.

10.   Se per l'esecuzione di una convenzione di sovvenzione classificata è necessario un PSC e se a norma delle disposizioni nazionali occorre un FSC perché sia rilasciato un PSC, l'autorità erogatrice verifica con l'NSA o la DSA del beneficiario, tramite l'autorità di sicurezza della Commissione utilizzando un FSCIS, se il beneficiario è in possesso di un FSC o se è in corso il processo per ottenere l'FSC. In questo caso la Commissione non fa richiesta di PSC utilizzando il modulo di informazione sul nulla osta di sicurezza del personale («PSCIS»).

1.   Le condizioni alle quali i beneficiari possono subappaltare azioni relative alle prestazioni che comportano ICUE sono definite nell'invito e nella convenzione di sovvenzione. Tali condizioni comprendono l'obbligo che tutti i FSCIS siano trasmessi tramite l'autorità di sicurezza della Commissione. Il subcontratto è subordinato al previo consenso scritto dell'autorità erogatrice. Se del caso, il subcontratto deve essere conforme all'atto di base che istituisce il programma.

2.   Le parti classificate delle sovvenzioni sono subappaltate esclusivamente a soggetti registrati in uno Stato membro o a soggetti registrati in un paese terzo o istituiti da un'organizzazione internazionale, purché il paese terzo o l'organizzazione internazionale abbiano concluso un accordo sulla sicurezza delle informazioni con l'Unione o un accordo amministrativo con la Commissione (10).

1.   In sede di aggiudicazione di una sovvenzione classificata, l'autorità erogatrice, assieme all'autorità di sicurezza della Commissione, garantisce che gli obblighi dei beneficiari in materia di protezione delle ICUE usate o generate nel corso dell'esecuzione della convenzione di sovvenzione siano parte integrante della convenzione. I requisiti di sicurezza specifici della sovvenzione assumono la forma di una lettera sugli aspetti di sicurezza (SAL). Nell'allegato III è riportato un modello di SAL.

2.   Prima della firma della sovvenzione classificata, l'autorità erogatrice approva una guida alle classifiche di sicurezza (SCG) in cui sono descritti i compiti da svolgere e le informazioni generate nell'attuazione della sovvenzione, o se del caso a livello di programma o di progetto. La SCG è inclusa nella SAL.

3.   I requisiti di sicurezza specifici del programma o del progetto assumono la forma di istruzioni di sicurezza del programma/progetto (PSI). Le PSI possono essere redatte sulla base delle disposizioni del modello di SAL di cui all'allegato III. Sono elaborate dal servizio della Commissione responsabile della gestione del programma o del progetto, in stretta collaborazione con l'autorità di sicurezza della Commissione, e presentate per parere al gruppo di esperti in materia di sicurezza della Commissione. Se una convenzione di sovvenzione rientra in un programma o in un progetto dotato delle proprie PSI, la SAL della convenzione è redatta in forma semplificata e rinvia alle disposizioni in materia di sicurezza contenute nelle PSI del programma/progetto.

4.   Ad eccezione dei casi di cui all'articolo 3, paragrafo 9, la convenzione di sovvenzione classificata non è firmata fino a quando l'NSA o la DSA del richiedente non ne abbia confermato l'FSC o, se è un consorzio ad aggiudicarsi la convenzione di sovvenzione classificata, fino a quando l'NSA o la DSA di almeno un richiedente all'interno del consorzio, o più se necessario, non abbia confermato l'FSC di tale richiedente.

5.   In linea di principio e salvo diversamente disposto da altre norme pertinenti l'autorità erogatrice è considerata l'originatore di ICUE generate nell'esecuzione della convenzione di sovvenzione.

6.   L'autorità erogatrice, tramite l'autorità di sicurezza della Commissione, notifica alle NSA e o alle DSA di tutti i beneficiari e subcontraenti la firma di convenzioni di sovvenzione o subcontratti classificati e la loro eventuale proroga o estinzione anticipata. Nell'allegato IV è riportato l'elenco delle prescrizioni per paese.

7.   Le convenzioni di sovvenzione che comportano informazioni classificate RESTREINT UE/EU RESTRICTED includono una clausola di sicurezza che rende vincolanti per i beneficiari le disposizioni di cui all'allegato III, appendice E. Tali convenzioni di sovvenzione includono la SAL che stabilisce come minimo i requisiti per il trattamento delle informazioni RESTREINT UE/EU RESTRICTED, compresi gli aspetti relativi alla garanzia di sicurezza delle informazioni e i requisiti specifici che devono rispettare i beneficiari per l'accreditamento del loro CIS che tratta informazioni RESTREINT UE/EU RESTRICTED.

8.   Ove previsto dalle disposizioni legislative e regolamentari degli Stati membri, le NSA o le DSA garantiscono che i beneficiari o i subcontraenti sotto la loro giurisdizione rispettino le disposizioni di sicurezza applicabili per la protezione delle informazioni RESTREINT UE/EU RESTRICTED e svolgono visite di verifica presso le strutture dei beneficiari o dei subcontraenti situate sul loro territorio. Se l'NSA o la DSA non è soggetta a tale obbligo, l'autorità erogatrice garantisce che i beneficiari attuino le disposizioni di sicurezza richieste di cui all'allegato III, appendice E.

1.   L'autorità erogatrice assicura che le convenzioni di sovvenzione classificate contengano disposizioni secondo le quali il personale dei beneficiari o dei subcontraenti che per l'esecuzione della convenzione di sovvenzione classificata o del subcontratto debba avere accesso alle ICUE può ottenere tale accesso soltanto se:

2.   Se del caso, l'accesso alle ICUE deve altresì essere conforme all'atto di base che stabilisce il programma e tiene conto di eventuali contrassegni supplementari definiti nell'SCG.

3.   Se il beneficiario o il subcontraente intende assumere un cittadino di un paese non UE in una posizione che richiede l'accesso a ICUE classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, spetta a detto beneficiario o subcontraente avviare la procedura per il rilascio del nulla osta di sicurezza per tale cittadino a norma delle disposizioni legislative e regolamentari nazionali applicabili nel luogo in cui deve essere concesso l'accesso alle ICUE.

1.   Le persone esterne («esperti») che partecipano ai controlli, agli esami o audit effettuati dall'autorità erogatrice o alle valutazioni dei risultati dei beneficiari per cui è necessario accedere a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, ricevono un contratto solo se hanno ottenuto il nulla osta di sicurezza al livello appropriato dalla rispettiva NSA o DSA o da altra autorità di sicurezza competente. L'autorità erogatrice, tramite l'autorità di sicurezza della Commissione, verifica e se del caso chiede all'NSA o alla DSA di avviare accertamenti sugli esperti almeno sei mesi prima dell'inizio dei rispettivi contratti.

2.   Prima di firmare il contratto, gli esperti sono istruiti sulle norme di sicurezza applicabili per la protezione delle ICUE e riconoscono le proprie responsabilità in materia di protezione delle stesse.

1.   Se l'autorità erogatrice, gli esperti, i beneficiari o i subcontraenti richiedono l'accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei reciproci locali per l'esecuzione della convenzione di sovvenzione classificata, le visite sono organizzate di concerto con le NSA o DSA o altra autorità di sicurezza competente interessata.

2.   Le visite di cui al paragrafo 1 sono soggette alle condizioni seguenti:

1.   Le visite dei beneficiari o dei subcontraenti presso le strutture di altri beneficiari o subcontraenti o presso i locali dell'autorità erogatrice che comportano l'accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate secondo la procedura seguente:

2.   Le visite di funzionari dell'autorità erogatrice o di esperti o revisori presso le strutture dei beneficiari o dei subcontraenti che comportano l'accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate secondo la procedura seguente:

3.   L'RFV può riguardare una singola visita o visite ricorrenti. In caso di visite ricorrenti l'RFV può essere valida per un periodo massimo di un anno a decorrere dalla data di inizio richiesta.

4.   La durata di validità dell'RFV non può superare la durata di validità del PSC del visitatore.

5.   Di norma l'RFV deve essere presentata all'autorità di sicurezza competente della struttura ospitante almeno 15 giorni lavorativi prima della data della visita.

1.   Prima di consentire ai visitatori di accedere alle ICUE, l'ufficio di sicurezza della struttura ospitante deve espletare tutte le procedure e rispettare tutte le norme in materia di sicurezza delle visite stabilite dalla propria NSA o DSA.

2.   I visitatori devono dimostrare la propria identità all'arrivo presso la struttura ospitante presentando una carta d'identità o un passaporto validi. I dati identificativi devono corrispondere alle informazioni fornite nell'RFV.

3.   La struttura ospitante provvede alla tenuta dei registri di tutti i visitatori, contenenti nome e cognome, organizzazione che rappresentano, data di scadenza del PSC, data della visita e nome e cognome delle persone visitate. I registri sono conservati per un periodo di almeno cinque anni, o per un periodo di durata superiore se previsto dalle norme e dai regolamenti nazionali del paese in cui è situata la struttura ospitante.

1.   Nel quadro di progetti specifici le pertinenti NSA o DSA e l'autorità di sicurezza della Commissione possono concordare una procedura in base alla quale le visite per una determinata sovvenzione classificata possono essere organizzate direttamente tra il responsabile della sicurezza del visitatore e il responsabile della sicurezza della struttura da visitare. Il modello di modulo da utilizzare a tal fine figura nell'allegato III, appendice C. Questa procedura eccezionale è definita nelle PSI o in altri accordi specifici. In questi casi non si applicano le procedure di cui all'articolo 9 e all'articolo 10, paragrafo 1.

2.   Le visite che comportano l'accesso a informazioni classificate RESTREINT UE/EU RESTRICTED sono organizzate direttamente tra il soggetto che invia e il soggetto che riceve i visitatori senza dover seguire le procedure di cui all'articolo 9 e all'articolo 10, paragrafo 1.

1.   Il trattamento e la trasmissione elettronici delle ICUE sono effettuati conformemente ai capi 5 e 6 della decisione (UE, Euratom) 2015/444 e alle relative norme di attuazione.

I sistemi di comunicazione e informazione di proprietà del beneficiario utilizzati per trattare le ICUE per l'esecuzione della convenzione di sovvenzione (CIS del beneficiario) sono soggetti all'accreditamento da parte dell'autorità di accreditamento di sicurezza (SAA) responsabile. Ogni trasmissione elettronica di ICUE è protetta mediante prodotti crittografici approvati conformemente all'articolo 36, paragrafo 4, della decisione (UE, Euratom) 2015/444. Le misure di sicurezza TEMPEST sono attuate conformemente all'articolo 36, paragrafo 6, della medesima decisione.

2.   L'accreditamento di sicurezza del CIS del beneficiario che tratta ICUE di livello RESTREINT UE/EU RESTRICTED e di tutte le relative interconnessioni può essere delegato al responsabile della sicurezza del beneficiario se consentito dalle disposizioni legislative e regolamentari nazionali. In caso di delega il beneficiario è responsabile dell'attuazione dei requisiti minimi di sicurezza descritti nella SAL per il trattamento di informazioni RESTREINT UE/EU RESTRICTED nel suo CIS. Tuttavia le NSA/DSA e le SAA competenti restano responsabili della protezione delle informazioni RESTREINT UE/EU RESTRICTED trattate dal beneficiario e conservano il diritto di ispezionare le misure di sicurezza adottate dal beneficiario. Inoltre il beneficiario trasmette all'autorità erogatrice e se richiesto dalle disposizioni legislative e regolamentari nazionali alla SAA nazionale competente, una dichiarazione di conformità in cui si certifica che il CIS del beneficiario e le relative interconnessioni sono stati accreditati per il trattamento di ICUE di livello RESTREINT UE/EU RESTRICTED (11).

1.   Il trasporto a mano di informazioni classificate è soggetto a rigorosi requisiti di sicurezza.

2.   All'interno dell'UE le informazioni RESTREINT UE/EU RESTRICTED possono essere trasportate a mano dal personale del beneficiario, purché siano rispettate le condizioni seguenti:

3.   Per le informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET il trasporto a mano effettuato dal personale del beneficiario all'interno di uno Stato membro è precedentemente organizzato tra soggetto mittente e soggetto ricevente. L'autorità o la struttura mittente comunica all'autorità o alla struttura ricevente i dettagli della spedizione, compresi il riferimento, la classifica, l'orario previsto di arrivo e il nome del corriere. Il trasporto a mano è consentito, purché siano soddisfatte le condizioni seguenti:

4.   Per il trasporto a mano effettuato dal personale del beneficiario di informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET da uno Stato membro ad un altro si applicano le disposizioni aggiuntive seguenti:

L'eventuale apertura della spedizione da parte delle autorità doganali deve avvenire lontano dagli sguardi di persone non autorizzate e, se possibile, in presenza del corriere. Il corriere esige che la spedizione sia reimballata e chiede alle autorità che effettuano l'ispezione di sigillarla nuovamente e di confermare per iscritto che è stata da esse aperta.

5.   Il trasporto a mano effettuato dal personale del beneficiario di informazioni classificate RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET verso un paese terzo o un'organizzazione internazionale è soggetto alle disposizioni dell'accordo sulla sicurezza delle informazioni o dell'accordo amministrativo concluso tra, rispettivamente, l'Unione europea o la Commissione e il paese terzo o l'organizzazione internazionale in questione.