1.   La presente decisione stabilisce le condizioni di trattamento per le informazioni classificate UE (ICUE) di livello CONFIDENTIEL UE/EU CONFIDENTIAL (6) e SECRET UE/EU SECRET (7) conformemente alla decisione (UE, Euratom) 2015/444.

2.   La presente decisione si applica a tutti i servizi e in tutti i locali della Commissione.

1.   L’accesso alle informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET può essere autorizzato dopo che:

2.   Ai tirocinanti della Commissione non sono assegnati compiti per i quali sia necessario accedere ad informazioni CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET.

3.   L’accesso è negato o autorizzato per altre categorie di personale secondo la tabella riportata in allegato.

1.   Il personale che redige un documento sulla base delle informazioni di cui all’articolo 1 verifica sempre se il documento debba essere classificato. La classificazione di un documento come ICUE implica una valutazione e la decisione, da parte dell’originatore, che la sua divulgazione a persone non autorizzate potrebbe essere pregiudizievole per gli interessi dell’Unione europea o di uno o più Stati membri. Se i redattori nutrono dubbi sul fatto che il documento che redigono debba essere classificato come CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET, è opportuno che consultino il capo unità o il direttore responsabile.

2.   Un documento è classificato almeno CONFIDENTIEL UE/EU CONFIDENTIAL se la sua divulgazione non autorizzata potrebbe, tra l’altro:

3.   Un’informazione è classificata almeno SECRET UE/EU SECRET se la sua divulgazione non autorizzata potrebbe, tra l’altro:

4.   Gli originatori possono decidere di attribuire un livello di classifica standard alle categorie di informazioni che producono con regolarità. Essi garantiscono tuttavia che le singole informazioni ricevano il livello di classifica appropriato.

1.   Le informazioni sono classificate non appena prodotte. Le note personali, i progetti preliminari o i messaggi contenenti le informazioni che giustificano una classifica di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono contrassegnati come tali sin dall’inizio e sono prodotti e trattati in conformità della presente decisione.

2.   Se non giustifica più il livello iniziale di classifica, il documento finale sarà declassato o declassificato.

1.   A norma dell’articolo 22, paragrafo 6, della decisione (UE, Euratom) 2015/444, il livello generale di classifica di un documento è almeno quello del suo componente con livello di classifica più elevato. Quando si riprendono informazioni da varie fonti, il documento aggregato finale è riesaminato per determinarne il livello generale di classifica di sicurezza, in quanto esso può richiedere una classifica più elevata di quella dei suoi componenti.

2.   I documenti che contengono parti classificate e parti non classificate sono impostati e contrassegnati in modo che i componenti con livelli diversi di classifica e/o di sensibilità possano essere facilmente individuati e, se necessario, separati. Ciò consente di trattare adeguatamente ciascuna parte una volta separata dagli altri componenti.

1.   Le informazioni che devono essere classificate sono contrassegnate e trattate come tali, a prescindere dalla loro forma materiale. Il livello di classifica è comunicato chiaramente ai destinatari mediante un contrassegno di classifica, se le informazioni sono fornite per iscritto su carta, supporti di memorizzazione rimovibili o utilizzando un sistema di comunicazione e informazione (CIS) o mediante annuncio, se le informazioni sono fornite oralmente, ad esempio in una conversazione o una presentazione. Il materiale classificato è contrassegnato materialmente in modo da consentire una facile identificazione della sua classifica di sicurezza.

2.   Sui documenti, il contrassegno di classifica completo CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET è scritto in stampatello, in francese e in inglese, conformemente al paragrafo 3. Il contrassegno non è tradotto in altre lingue.

3.   Il contrassegno di classifica CONFIDENTIEL UE/EU CONFIDENTIAL or SECRET UE/EU SECRET è apposto come segue:

4.   Quando è creato un documento CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET

5.   Qualora possibile, il contrassegno SECRET UE/EU SECRET appare in rosso.

1.   I documenti CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET possono recare altri contrassegni o «indicazioni di sicurezza» che specifichino, ad esempio, il settore cui si riferisce il documento o indichino una distribuzione particolare in base al principio della necessità di conoscere. Un esempio è:

2.   I documenti CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET possono recare un’avvertenza di sicurezza che fornisce istruzioni specifiche su come trattarli e gestirli.

3.   Ogniqualvolta possibile, le eventuali indicazioni per il declassamento e la declassificazione sono apposte sulla prima pagina del documento al momento della sua creazione. Ad esempio, può essere apposto il seguente contrassegno:

1.   I documenti CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET sono creati con mezzi elettronici, se disponibili.

2.   Nel creare informazioni di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET il personale della Commissione utilizza il CIS accreditato per il livello di classifica corrispondente o per un livello di classifica più elevato. Qualora vi siano dubbi in merito al CIS da usare, il personale consulta il responsabile locale per la sicurezza (LSO). In consultazione con l’autorità di sicurezza della Commissione, in situazioni di emergenza o in configurazioni tecniche specifiche possono essere applicate procedure specifiche.

3.   I documenti CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET, compresi i progetti di cui all’articolo 5, non sono inviati per posta elettronica, non sono stampati o digitalizzati su stampanti o scanner standard o su dispositivi personali dei membri del personale. Per la stampa dei documenti CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET sono utilizzate solo stampanti o fotocopiatrici collegate a computer indipendenti protetti rispetto ad emissioni elettromagnetiche o a un sistema accreditato.

1.   Le informazioni di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono registrate a fini di sicurezza prima della diffusione e all’atto della ricezione. Le informazioni sono registrate:

2.   Tale registrazione può essere effettuata su carta o in registri elettronici.

3.   Se le informazioni sono trattate elettronicamente in un CIS, le procedure di registrazione possono essere eseguite mediante procedure interne allo stesso CIS. In tal caso il CIS comprende misure volte a garantire l’integrità delle registrazioni dei registri elettronici.

4.   Il funzionario responsabile del controllo delle registrazioni tiene un registro contenente almeno le seguenti informazioni per ciascun documento:

1.   L’originatore esercita il «controllo dell’originatore» sulle informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET che ha creato. L’autorizzazione preventiva per iscritto dell’originatore è necessaria prima che le informazioni possano essere:

2.   I detentori di informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET sono persone debitamente autorizzate che hanno ottenuto l’accesso alle informazioni classificate per poter svolgere le proprie funzioni. Sono responsabili del trattamento, archiviazione e protezione corretti delle informazioni conformemente alla decisione (UE, Euratom) 2015/444. A differenza degli originatori delle informazioni classificate, i detentori non sono autorizzati a decidere in merito al declassamento, alla declassificazione o alla successiva divulgazione delle informazioni CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET a paesi terzi o a organizzazioni internazionali.

3.   Se non è possibile individuare l’originatore di un’informazione CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, il dipartimento della Commissione che detiene le informazioni classificate esercita il controllo dell’originatore. Il gruppo di esperti in materia di sicurezza della Commissione è consultato prima che le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET siano comunicate a un paese terzo o a un’organizzazione internazionale.

1.   Le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET sono trattate e trasmesse con mezzi elettronici, se disponibili. Sono utilizzati solo i CIS e le apparecchiature approvati dall’autorità di accreditamento in materia di sicurezza della Commissione per il trattamento delle informazioni classificate al livello pertinente o a un livello di classifica più elevato.

2.   Se un dipartimento della Commissione dispone di attrezzature adeguate per trattare e inviare informazioni classificate a tali livelli, il dipartimento assiste le altre entità della Commissione nella gestione e nell’invio delle informazioni in modo appropriato, nella misura in cui sia in grado di farlo.

1.   L’uso dei supporti di memorizzazione rimovibili è rigorosamente controllato e registrato. Sono utilizzati solo supporti rimovibili forniti dalla Commissione e criptati con un prodotto approvato dall’autorità di sicurezza della Commissione. Per il trasferimento di informazioni classificate non possono essere utilizzati i supporti personali rimovibili e quelli forniti gratuitamente in occasione di conferenze, seminari ecc. Ove possibile, dovrebbero essere utilizzati supporti di memorizzazione rimovibili con sicurezza Tempest, conformemente agli orientamenti dell’autorità di sicurezza della Commissione.

2.   Quando un documento classificato è trattato o archiviato elettronicamente su supporti di memorizzazione rimovibili, quali chiavette USB, CD o schede di memoria, il contrassegno di classifica è chiaramente visibile nelle informazioni visualizzate, nonché sul nome del file e sul supporto di memorizzazione rimovibile.

3.   Il personale tiene presente che quando grandi quantità di informazioni classificate sono conservate su supporti di memorizzazione rimovibili può essere necessario assegnare un livello di classifica più elevato al dispositivo nel suo insieme.

4.   Solo i CIS opportunamente autorizzati sono utilizzati per la trasmissione di informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET verso o da supporti di memorizzazione rimovibili.

5.   Quando si scaricano tali informazioni classificate da supporti di memorizzazione rimovibili, prima del trasferimento dei dati è necessario prestare particolare attenzione al fatto che i supporti non contengano virus o malware.

6.   Se del caso, i supporti di memorizzazione rimovibili sono trattati nel rispetto delle procedure di sicurezza relative al sistema di cifratura utilizzato.

7.   I documenti su supporti di memorizzazione rimovibili che non sono più necessari o che sono stati trasferiti su un CIS appropriato, sono rimossi o cancellati in modo sicuro utilizzando prodotti o metodi approvati. A meno che non siano conservati in una cassaforte idonea, i supporti di memorizzazione rimovibili sono distrutti quando non sono più necessari. Qualsiasi distruzione o cancellazione è effettuata con un metodo conforme alle norme di sicurezza della Commissione. È tenuto un inventario dei supporti di memorizzazione rimovibili e la loro distruzione è registrata.

1.   Conformemente all’articolo 19, paragrafo 3, lettera a), della decisione (UE, Euratom) 2015/444, le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET sono trattate in una zona protetta (8).

2.   A norma dell’articolo 19, paragrafo 3, lettera b), della decisione (UE, Euratom) 2015/444, tali informazioni possono essere trattate in una zona amministrativa (9) purché le ICUE siano protette dall’accesso di persone non autorizzate.

3.   Tali informazioni possono essere trattate al di fuori di una zona protetta o di una zona amministrativa purché il detentore si sia impegnato a rispettare le misure compensative di cui all’articolo 19, paragrafo 3, lettera c), della decisione (UE, Euratom) 2015/444, che prevedono almeno le seguenti azioni:

4.   Le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET sono conservate in una zona protetta in un contenitore di sicurezza o in una camera blindata.

5.   Ulteriori istruzioni possono essere chieste al responsabile locale della sicurezza (LSO) del dipartimento competente della Commissione.

6.   Qualsiasi incidente, presunto o effettivo, in materia di sicurezza che riguardi il documento è segnalato quanto prima all’LSO.

1.   Le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET possono essere riprodotte o tradotte su istruzione del detentore, purché l’originatore non abbia imposto limitazioni. Tuttavia, il numero di copie non è superiore a quanto strettamente necessario.

2.   Se viene riprodotta solo una parte di un documento classificato, si applicano le stesse condizioni previste per la copia dell’intero documento. Gli estratti sono anch’essi classificati allo stesso livello, a meno che l’originatore non li abbia espressamente classificati a un livello più basso o contrassegnati come non classificati.

3.   Le misure di sicurezza applicabili alle informazioni originali si applicano alle copie e alle traduzioni.

1.   Ove possibile, le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET che devono essere trasportate all’esterno delle zone protette o delle aree amministrative sono inviate per via elettronica mediante mezzi adeguatamente accreditati e/o protetti da prodotti crittografici approvati.

2.   A seconda dei mezzi disponibili o in funzione delle circostanze particolari, le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET possono essere trasportate fisicamente a mano sotto forma di documenti su supporto cartaceo o su supporti di memorizzazione rimovibili. L’utilizzo dei supporti di memorizzazione rimovibili per la trasmissione delle informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET è da preferirsi all’invio di documenti cartacei.

3.   Possono essere utilizzati solo supporti di memorizzazione rimovibili criptati con un prodotto approvato dall’autorità di sicurezza della Commissione. Le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET su supporti di memorizzazione rimovibili che non sono protette da un prodotto crittografico approvato dall’autorità di sicurezza della Commissione sono trattate allo stesso modo delle copie cartacee.

4.   Una spedizione può contenere più di una ICUE, purché sia rispettato il principio della necessità di conoscere.

5.   Gli imballaggi utilizzati assicurano che il contenuto non sia visibile. Le informazioni SECRET UE/EU SECRET sono trasportate in un imballaggio doppio opaco, ad esempio una busta, una cartella opaca o una valigetta portadocumenti. L’esterno dell’imballaggio non reca indicazioni sulla natura o sul livello di classifica del contenuto; Lo strato interno dell’imballaggio presenta il contrassegno CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET. Entrambi gli strati indicano il nome del destinatario designato, il suo titolo e indirizzo, nonché un indirizzo di ritorno nel caso in cui la consegna non possa essere effettuata.

6.   Il personale o i corrieri che trasportano a mano informazioni CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET dispongono di un nulla osta di sicurezza e sono muniti di un certificato di corriere.

7.   La busta/l’imballaggio non sono aperti en route. L’autorizzazione di sicurezza rilasciata al corriere non autorizza quest’ultimo ad accedere al contenuto delle informazioni classificate.

8.   Eventuali incidenti di sicurezza che riguardano informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, trasportate dal personale o da corrieri, sono segnalati per ulteriori indagini alla direzione Sicurezza della direzione generale Risorse umane e sicurezza, tramite lo LSO del dipartimento competente della Commissione.

1.   I supporti di memorizzazione rimovibili utilizzati per il trasporto di informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET sono accompagnati da una nota di spedizione, indicante nel dettaglio i supporti di memorizzazione rimovibili contenenti le informazioni classificate e tutti i fascicoli contenuti sui supporti, per consentire al destinatario di effettuare le necessarie verifiche.

2.   Solo i documenti da fornire sono memorizzati sui supporti. Ad esempio, tutte le informazioni classificate salvate su una singola chiavetta USB dovrebbero essere destinate allo stesso destinatario. Il mittente tiene presente che quando grandi quantità di informazioni classificate sono conservate su tali dispositivi, può essere necessario assegnare un livello di classifica più elevato al dispositivo nel suo insieme.

3.   Per trasportare informazioni CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono utilizzati unicamente supporti di memorizzazione rimovibili muniti di un contrassegno di classifica appropriato.

4.   Le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET salvate su supporti di memorizzazione rimovibili sono registrate a fini di sicurezza.

1.   Il personale in possesso del nulla osta di sicurezza può trasportare documenti CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET all’interno di un edificio della Commissione, ma i documenti rimangono sempre in possesso del latore e non sono letti in pubblico.

2.   I documenti CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET non sono inviati tramite il servizio postale interno.

1.   Le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET possono essere trasportate dal personale o da corrieri della Commissione in tutta l’Unione a condizione che soddisfino le seguenti istruzioni:

2.   Il personale del dell’ufficio di registrazione che intende inviare informazioni CONFIDENTIEL UE/EU CONFIDENTIAL ad altre località dell’Unione ne può organizzare il trasporto mediante una delle seguenti modalità:

3.   Il personale che intende inviare informazioni SECRET UE/EU SECRET ad altri Stati membri dell’UE può disporre che i rispettivi uffici di registrazione utilizzino a tal fine un corriere militare o governativo o una valigia diplomatica, ma non servizi postali o corrieri commerciali.

4.   Il personale della Commissione o i corrieri ufficiali della Commissione che trasportano informazioni CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono muniti di un certificato emesso dall’ufficio di registrazione del rispettivo dipartimento attestante che il latore è autorizzato a trasportare la spedizione.

1.   Le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET possono essere trasportate a mano dal personale tra il territorio dell’Unione e il territorio di un paese terzo.

2.   Il personale dell’ufficio di registrazione può organizzare il trasporto tramite corriere militare o valigia diplomatica.

3.   Quando trasportano a mano documenti cartacei o supporti di memorizzazione rimovibili classificati come CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, i membri del personale rispettano tutte le seguenti misure supplementari:

1.   Ai fini della presente decisione, per «corrieri commerciali» si intendono i servizi postali nazionali e le società di spedizione che offrono un servizio in cui le informazioni sono fornite dietro pagamento di una commissione e sono consegnate personalmente a mano o monitorate.

2.   I corrieri commerciali possono trasmettere informazioni «CONFIDENTIEL UE/EU CONFIDENTIAL» all’interno di uno Stato membro o da uno Stato membro a un altro Stato membro. I corrieri commerciali possono trasmettere informazioni SECRET UE/EU SECRET solo all’interno di uno Stato membro, ma non verso l’estero.

3.   I servizi di corriere commerciale sono informati del fatto che possono consegnare spedizioni CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET solo al funzionario responsabile del controllo dell’ufficio di registrazione, al suo sostituto debitamente autorizzato o al destinatario designato.

4.   I corrieri commerciali possono avvalersi dei servizi di un subappaltatore. Tuttavia, la responsabilità di conformarsi alla presente decisione spetta alla società di corriere.

5.   I servizi prestati da corrieri commerciali che trasmettono per via elettronica i documenti inviati per posta raccomandata non sono utilizzati per le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET.

1.   Nella fase di preparazione delle spedizioni classificate, il mittente tiene conto del fatto che i servizi di corriere commerciale consegnano le spedizioni CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET solo al destinatario designato, a un suo sostituto debitamente autorizzato, al funzionario responsabile del controllo dell’ufficio di registrazione o al suo sostituto debitamente autorizzato o un addetto al ricevimento.

2.   Quando tali informazioni sono trasmesse da un corriere commerciale autorizzato, la spedizione è preparata e imballata nella maniera seguente:

3.   Il mittente si mette in contatto con il destinatario indicato prima dell’invio della spedizione per concordare una data e un orario adeguati per la consegna.

4.   Il mittente è l’unico responsabile delle spedizioni inviate mediante corriere commerciale. Qualora la spedizione vada perduta o non consegnata entro i termini stabiliti, il mittente lo riferisce all’autorità di sicurezza della Commissione, che monitorerà l’incidente di sicurezza.

1.   Sono rispettate tutte le condizioni di trasporto stabilite in un accordo sulla sicurezza delle informazioni o in accordi amministrativi. In caso di dubbio, il personale consulta il rispettivo ufficio di registrazione o la direzione «Sicurezza» della direzione generale Risorse umane e sicurezza.

2.   Il requisito del doppio imballaggio può venir meno per le informazioni classificate che sono protette da prodotti crittografici approvati. Tuttavia, per indicare l’indirizzo e anche in considerazione del fatto che è munito di un esplicito contrassegno di sicurezza, il supporto di memorizzazione rimovibile è trasportato almeno in una normale busta, ma può richiedere misure di protezione fisica supplementari, ad esempio buste imbottite a bolle d’aria.

1.   Le riunioni nelle quali sono discusse informazioni di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET si svolgono unicamente in sale riunioni accreditate per il livello appropriato o un livello superiore. Se queste sale non sono disponibili, il personale chiede il parere dell’autorità di sicurezza della Commissione.

2.   In linea generale, gli ordini del giorno non dovrebbero essere classificati. Un ordine del giorno di una riunione che menziona documenti classificati non è automaticamente classificato. I punti all’ordine del giorno sono formulati in modo da evitare di compromettere la protezione dell’Unione o gli interessi di uno o più Stati membri.

3.   Gli organizzatori delle riunioni ricordano ai partecipanti che è vietato inviare le osservazioni su un punto CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET dell’ordine del giorno tramite messaggi di posta elettronica o altri mezzi che non siano stati adeguatamente accreditati, conformemente all’articolo 11 della presente decisione.

4.   Gli organizzatori delle riunioni si adoperano per raggruppare in ordine consecutivo i punti CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET nell’ordine del giorno al fine di agevolare il buon funzionamento della riunione. Ai dibattiti sui punti classificati possono essere presenti solo le persone con necessità di conoscere che dispongono di un nulla osta di sicurezza di livello adeguato.

5.   Nella convocazione si avvertono i partecipanti che durante la riunione saranno discussi temi classificati e che saranno applicate le misure di sicurezza corrispondenti.

6.   Occorre ricordare ai partecipanti che tutti i dispositivi elettronici portatili devono essere lasciati fuori della sala riunione durante il dibattito sui punti CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET.

7.   Prima della riunione gli organizzatori preparano un elenco completo dei partecipanti.

1.   Gli organizzatori della riunione informano l’autorità di sicurezza della Commissione in merito a qualsiasi visitatore esterno che partecipa a una riunione CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei locali della Commissione.

2.   Per poter partecipare a un dibattito sui punti CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET dell’ordine del giorno, i partecipanti dovranno dimostrare di disporre di un valido nulla osta di sicurezza del personale di livello appropriato.

1.   Solo sistemi informatici accreditati in conformità all’articolo 11 della presente decisione possono essere utilizzati quando sono trasmesse informazioni classificate, ad esempio durante una presentazione nella quale si mostrano informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET o quando sono organizzate videoconferenze.

2.   Il presidente assicura che i dispositivi elettronici portatili non autorizzati restino al di fuori della sala riunione.

1.   All’inizio di un dibattito classificato, il presidente comunica che la riunione passerà alla «modalità classificata». Le porte sono chiuse.

2.   Se del caso, all’inizio del dibattito è firmato e consegnato ai partecipanti e agli interpreti solo il numero necessario di documenti.

3.   I documenti CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET non sono lasciati incustoditi durante gli intervalli della riunione.

4.   Alla fine della riunione occorre ricordare ai partecipanti e agli interpreti di non lasciare incustodito nella sala alcun documento classificato o nota classificata. I documenti CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET non richiesti dai partecipanti alla fine della riunione e, in ogni caso, tutti i documenti degli interpreti, sono firmati e rinviati al funzionario responsabile del controllo dell’ufficio di registrazione per essere distrutti in appositi distruggi documenti.

5.   L’elenco dei partecipanti e una sintesi di eventuali informazioni classificate condivise con gli Stati membri e comunicate oralmente a paesi terzi o organizzazioni internazionali sono annotati durante la riunione per essere registrati nei risultati dei lavori.

1.   Le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET sono condivise con un’altra istituzione, agenzia, organo o ufficio dell’Unione se il destinatario ha necessità di conoscere e l’entità ha un corrispondente accordo giuridico con la Commissione.

2.   Nella Commissione, l’ufficio di registrazione delle ICUE gestito dal segretariato generale è di norma il principale punto d’ingresso e uscita per gli scambi delle informazioni classificate con altre istituzioni, agenzie, organi e uffici dell’Unione. L’autorità di sicurezza della Commissione è sempre consultata quando esistono motivi di sicurezza, organizzativi o operativi che rendono più opportuno che i registri locali delle ICUE operino come punto di entrata e di uscita per le questioni di competenza del dipartimento interessato.

1.   Le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET possono essere condivise con gli Stati membri se il destinatario ha necessità di conoscere e dispone di un nulla osta di sicurezza.

2.   Alle informazioni classificate degli Stati membri che recano un contrassegno nazionale di classifica equivalente (10) e sono state fornite alla Commissione è garantito lo stesso livello di protezione delle informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET.

1.   Le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET sono comunicate a un paese terzo o a un’organizzazione internazionale solo se il destinatario ha necessità di conoscere e il paese o l’organizzazione internazionale dispone di un adeguato quadro giuridico o amministrativo, quale un accordo sulla sicurezza delle informazioni o un accordo amministrativo con la Commissione. Le disposizioni di tali accordi prevalgono sulle disposizioni della presente decisione.

2.   L’ufficio di registrazione delle ICUE gestito dal segretariato generale funge di norma da principale punto d’ingresso e uscita per le informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET scambiate tra la Commissione e i paesi terzi o le organizzazioni internazionali. L’autorità di sicurezza della Commissione è sempre consultata quando esistono motivi di sicurezza, organizzativi o operativi che rendono più opportuno che gli uffici di registrazione locali delle ICUE operino come punto di entrata e di uscita per le questioni di competenza del dipartimento interessato.

3.   Tutte le informazioni classificate ricevute da un paese terzo o da un’organizzazione internazionale sono registrate a fini di sicurezza. Il personale contatta pertanto l’ufficio di registrazione se riceve informazioni classificate che non provengono dal circuito ordinario di tale ufficio.

4.   Per assicurarne la tracciabilità le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET sono registrate:

5.   Tale registrazione può essere effettuata su carta o in registri elettronici.

6.   Le procedure di registrazione delle informazioni classificate trattate nell’ambito di un CIS accreditato possono essere eseguite mediante procedure interne allo stesso CIS. In tal caso il CIS prevede misure volte a garantire l’integrità delle registrazioni dei registri elettronici.

7.   Alle informazioni classificate ricevute dai paesi terzi o dalle organizzazioni internazionali è attribuito un livello di protezione equivalente alle ICUE recanti un contrassegno di classifica equivalente a quello stabilito nel rispettivo accordo amministrativo sulla sicurezza delle informazioni.

1.   Se la Commissione o uno dei suoi dipartimenti stabilisce che è necessario comunicare informazioni CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET in via eccezionale a un paese terzo, un’organizzazione internazionale o un’entità dell’UE, ma non esiste un accordo sulla sicurezza delle informazioni o un accordo amministrativo, si applica la procedura di comunicazione eccezionale ad hoc.

2.   I dipartimenti della Commissione contattano l’autorità di sicurezza della Commissione, che consulta il gruppo di esperti in materia di sicurezza della Commissione.

3.   Dopo aver consultato il gruppo di esperti in materia di sicurezza della Commissione, la Commissione può, su proposta del membro della commissione competente in materia di sicurezza, autorizzare la comunicazione delle informazioni in questione.

1.   Le informazioni restano classificate solo finché necessitano di protezione. Per declassamento si intende una riduzione del livello di classifica di sicurezza. Per declassificazione si intende che le informazioni non sono più considerate classificate. Al momento della creazione l’originatore indica, laddove possibile, se le ICUE possono essere declassificate ad una certa data o in seguito ad un dato evento. In mancanza di tale indicazione, l’originatore riesamina le informazioni e valuta i rischi almeno ogni cinque anni al fine di determinare se il livello di classificazione iniziale sia ancora giustificato.

2.   I documenti della Commissione possono anche essere declassati o declassificati ad hoc, ad esempio a seguito di una richiesta di accesso da parte del pubblico.

1.   Le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET non sono declassate o declassificate senza l’autorizzazione dell’originatore.

2.   Il dipartimento della Commissione che crea un documento classificato è responsabile della decisione relativa al declassamento o alla declassificazione. All’interno della Commissione, tutte le richieste di declassamento o declassificazione sono soggette alla consultazione del capo unità o del direttore del dipartimento originatore. Se ha compilato informazioni classificate a partire da varie fonti, il dipartimento chiede dapprima l’autorizzazione a tutte le altre parti che hanno fornito le fonti, compresi gli Stati membri, altri organismi dell’UE, paesi terzi od organizzazioni internazionali.

3.   Se il dipartimento originatore della Commissione non esiste più e le sue competenze sono state assunte da un altro servizio, quest’ultimo prende la decisione in merito al declassamento e alla declassificazione. Se il dipartimento originatore non esiste più e le sue competenze non sono state assunte da un altro servizio, la decisione in merito al declassamento o alla declassificazione è presa congiuntamente dai capi unità o dai direttori delle direzioni generali destinatarie.

4.   Il dipartimento responsabile del declassamento o della declassificazione collabora con il rispettivo ufficio di registrazione in merito alle modalità pratiche di declassamento o declassificazione.

1.   Il contrassegno originale di classifica in alto e in basso di ogni pagina è barrato in modo visibile (non rimosso) utilizzando la funzione «barrato» per i formati elettronici, o manualmente per i documenti stampati.

2.   La prima pagina (di copertina) è timbrata come declassata o declassificata e compilata con i dati dell’autorità responsabile del declassamento o della declassificazione e la relativa data.

3.   I destinatari originari delle informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET sono informati del declassamento o della declassificazione. I destinatari iniziali sono responsabili di informare tutti i successivi destinatari ai quali hanno trasmesso l’originale delle informazioni CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET o ai quali ne hanno fornito copia.

4.   Il servizio Archivi storici dell’Unione europea è informato di tutte le decisioni di declassificazione adottate.

5.   Tutte le traduzioni di informazioni classificate sono soggette alle stesse procedure di declassamento o declassificazione della versione linguistica originale.

1.   È possibile anche un declassamento o una declassificazione parziale (ad esempio allegati, solo alcuni paragrafi). La procedura è identica a quella prevista per il declassamento o la declassificazione di un intero documento.

2.   In caso di declassificazione parziale (sanitisation) di informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET, è prodotto un estratto declassificato.

3.   Le parti che rimangono classificate sono sostituite da:

nel corpo del testo, se la parte che rimane classificata è parte di un paragrafo, oppure come paragrafo, se la parte che rimane classificata è un paragrafo specifico o più di un paragrafo.

4.   Una menzione specifica è aggiunta nel testo se un allegato completo non può essere declassificato ed è pertanto stato ritirato dall’estratto.

1.   La Commissione non accumula grandi quantità di informazioni classificate.

2.   I dipartimenti originatori sottopongono a revisione i documenti almeno ogni cinque anni per distruggerli o cancellarli. Un riesame è svolto a intervalli regolari sia per le informazioni archiviate in formato cartaceo sia per le informazioni archiviate nel CIS.

3.   Il personale non distrugge le copie cartacee dei documenti CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET di cui non ha più bisogno, ma chiede invece al suo funzionario responsabile del controllo dell’ufficio di registrazione di distruggere i documenti, fatti salvi gli obblighi di archiviazione del documento originale.

4.   Il personale non è tenuto a informare l’originatore se cancella copie di documenti CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET.

5.   I progetti di materiale contenenti informazioni classificate sono soggetti agli stessi metodi di eliminazione dei documenti classificati finalizzati.

6.   Solo distruggi documenti approvati sono utilizzati per distruggere documenti CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET. I distruggi documenti di livello 5 di DIN 66399 e livello 5 di DIN 66399 sono conformi per la distruzione di documenti CONFIDENTIEL UE/EU CONFIDENTIAL. I distruggi documenti di livello 6 di DIN 66399 e livello 5 di DIN 66399 sono conformi per la distruzione di documenti SECRET UE/EU SECRET.

7.   I frammenti di documenti provenienti dai distruggi documenti approvati possono essere eliminati come normali rifiuti di ufficio.

8.   Il funzionario responsabile del controllo dell’ufficio di registrazione crea i certificati di distruzione e aggiorna di conseguenza i registri e le altre informazioni di registrazione.

9.   Tutti i supporti e i dispositivi contenenti informazioni CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono sottoposti ad adeguata cancellazione sicura dei dati al termine del loro ciclo di vita. I dati elettronici sono distrutti o soppressi dalle risorse informatiche e dai relativi supporti di memorizzazione in modo da garantire ragionevolmente che le informazioni non possano essere recuperate. La cancellazione sicura dei dati elimina i dati dal dispositivo di memorizzazione e tutte le etichette, i contrassegni e le registrazioni delle attività.

10.   I supporti informatici sono consegnati all’LSO o al responsabile della sicurezza informatica locale e/o al funzionario responsabile del controllo delle registrazioni per essere distrutti ed eliminati.

1.   Il capo dipartimento elabora, approva e, se necessario, avvia l’evacuazione di emergenza e i piani di distruzione per la salvaguardia delle ICUE che presentano un rischio significativo di cadere in mano a persone non autorizzate durante una crisi. In ordine di priorità e in funzione della natura dell’emergenza, occorre:

2.   Quando i piani di emergenza sono stati attivati, le informazioni SECRET UE/EU SECRET sono trasferite o distrutte prioritariamente, seguono le informazioni CONFIDENTIEL UE/EU CONFIDENTIAL.

3.   I dettagli operativi dei piani di evacuazione e di distruzione di emergenza sono classificati come RESTREINT UE/EU RESTRICTED. Una copia è conservata in ogni cassaforte che contiene informazioni CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET affinché sia accessibile in caso di emergenza.

1.   Le decisioni in merito all’archiviazione e alle misure pratiche corrispondenti sono conformi alla politica della Commissione in materia di gestione dei documenti.

2.   I documenti CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET non sono inviati agli Achivi storici dell’Unione europea a Firenze.

1.   La presente decisione stabilisce le condizioni di trattamento per le informazioni classificate UE (ICUE) di livello RESTREINT UE/EU RESTRICTED (6) conformemente alla decisione (UE, Euratom) 2015/444.

2.   La presente decisione si applica a tutti i servizi e in tutti i locali della Commissione.

1.   L’accesso alle informazioni classificate RESTREINT UE/EU RESTRICTED può essere autorizzato dopo che:

2.   Ai tirocinanti della Commissione non sono assegnati compiti per i quali sia necessario accedere ad informazioni RESTREINT UE/EU RESTRICTED.

3.   L’accesso è negato o autorizzato per altre categorie di personale secondo la tabella riportata in allegato.

1.   Il personale che redige un documento sulla base delle informazioni di cui all’articolo 1 verifica sempre se il documento debba essere classificato. La classificazione di un documento come ICUE implica una valutazione e la decisione, da parte dell’originatore, che la sua divulgazione a persone non autorizzate potrebbe essere pregiudizievole per gli interessi dell’Unione europea o di uno o più Stati membri. Se i redattori nutrono dubbi sul fatto che il documento che redigono debba essere classificato come RESTREINT UE/EU RESTRICTED, è opportuno che consultino il capo unità o il direttore responsabile.

2.   Un documento è classificato almeno RESTREINT UE/EU RESTRICTED se la sua divulgazione non autorizzata potrebbe, tra l’altro:

3.   Gli originatori possono decidere di attribuire un livello di classifica standard alle categorie di informazioni che creano periodicamente. Essi garantiscono tuttavia che le singole informazioni ricevano il livello di classifica appropriato.

1.   Le informazioni sono classificate non appena prodotte. Le note personali, i progetti preliminari o i messaggi contenenti le informazioni che giustificano una classifica di livello RESTREINT UE/EU RESTRICTED sono contrassegnati come tali sin dall’inizio e sono prodotti e trattati in conformità della presente decisione.

2.   Se il documento finale non richiede più il livello RESTREINT UE/EU RESTRICTED, il documento è declassificato.

1.   A norma dell’articolo 22, paragrafo 6, della decisione (UE, Euratom) 2015/444, il livello generale di classifica di un documento è almeno quello del suo componente con livello di classifica più elevato. Quando si riprendono informazioni da varie fonti, il documento aggregato finale è riesaminato per determinarne il livello generale di classifica di sicurezza, in quanto può richiedere una classifica più elevata di quella dei suoi componenti.

2.   I documenti che contengono parti classificate e parti non classificate sono impostati e contrassegnati in modo che i componenti con livelli diversi di classifica e/o di sensibilità possano essere facilmente individuati e, se necessario, separati. Ciò consente di trattare adeguatamente ciascuna parte una volta separata dagli altri componenti.

1.   Le informazioni che devono essere classificate sono contrassegnate e trattate come tali, a prescindere dalla loro forma materiale. Il livello di classifica è comunicato chiaramente ai destinatari mediante un contrassegno di classifica, se le informazioni sono fornite per iscritto su carta, supporti di memorizzazione rimovibili o utilizzando un sistema di comunicazione e informazione (CIS) o mediante annuncio, se le informazioni sono fornite oralmente, ad esempio in una conversazione o una presentazione. Il materiale classificato è contrassegnato materialmente in modo da consentire una facile identificazione della sua classifica di sicurezza.

2.   Sui documenti, il contrassegno di classifica completo RESTREINT UE/EU RESTRICTED è scritto in stampatello, in francese e in inglese, conformemente al paragrafo 3. Il contrassegno non è tradotto in altre lingue.

3.   Il contrassegno di classifica RESTREINT UE/EU RESTRICTED è apposto come segue:

4.   Quando è creato un documento RESTREINT UE/EU RESTRICTED:

1.   I documenti RESTREINT UE/EU RESTRICTED possono recare altri contrassegni o «indicazioni di sicurezza» che specifichino, ad esempio, il settore cui si riferisce il documento o indichino una distribuzione particolare in base al principio della necessità di conoscere. Un esempio è:

2.   I documenti RESTREINT UE/EU RESTRICTED possono recare un’avvertenza di sicurezza che fornisce istruzioni specifiche su come trattarli e gestirli.

3.   Ogniqualvolta possibile, le eventuali indicazioni per la declassificazione sono apposte sulla prima pagina del documento al momento della sua creazione. Ad esempio, può essere apposto il seguente contrassegno:

1.   I documenti RESTREINT UE/EU RESTRICTED sono creati con mezzi elettronici, se disponibili.

2.   Il personale della Commissione usa il CIS accreditato per la creazione di informazioni di livello RESTREINT UE/EU RESTRICTED. Il personale consulta il responsabile locale per la sicurezza (LSO) se vi sono dubbi su quale CIS possa essere utilizzato. In consultazione con l’autorità di sicurezza della Commissione, possono essere applicate procedure specifiche in situazioni di emergenza o in configurazioni tecniche specifiche.

3.   I documenti RESTREINT UE/EU RESTRICTED, compresi i progetti di cui all’articolo 5, non sono inviati per posta elettronica ordinaria non criptata, non sono stampati o digitalizzati su stampanti o scanner standard o su dispositivi personali dei membri del personale. Per la stampa dei documenti RESTREINT UE/EU RESTRICTED sono utilizzate solo stampanti o fotocopiatrici collegate a computer indipendenti o a un sistema accreditato.

1.   L’originatore esercita il «controllo dell’originatore» sulle informazioni RESTREINT UE/EU RESTRICTED che ha creato. L’autorizzazione preventiva per iscritto dell’originatore è necessaria prima che le informazioni possano essere:

2.   I detentori di informazioni classificate RESTREINT UE/EU RESTRICTED hanno ottenuto l’accesso alle informazioni classificate per poter svolgere le proprie funzioni. Sono responsabili del trattamento, archiviazione e protezione corretti delle informazioni conformemente alla decisione (UE, Euratom) 2015/444. A differenza degli originatori delle informazioni classificate, i detentori non sono autorizzati a decidere in merito alla declassificazione o alla successiva divulgazione delle informazioni RESTREINT UE/EU RESTRICTED a paesi terzi o a organizzazioni internazionali.

3.   Se non è possibile individuare l’originatore di un documento RESTREINT UE/EU RESTRICTED, il dipartimento della Commissione che detiene le informazioni classificate esercita il controllo dell’originatore. Il gruppo di esperti in materia di sicurezza della Commissione è consultato prima che le informazioni RESTREINT UE/EU RESTRICTED siano comunicate a un paese terzo o a un’organizzazione internazionale.

1.   L’uso dei supporti di memorizzazione rimovibili è controllato e registrato. Sono utilizzati solo supporti rimovibili forniti dalla Commissione e criptati con un prodotto approvato dall’autorità di sicurezza della Commissione. Per il trasferimento di informazioni classificate non possono essere utilizzati i supporti personali rimovibili e quelli forniti gratuitamente in occasione di conferenze, seminari ecc. Ove possibile, dovrebbero essere utilizzati supporti di memorizzazione rimovibili con sicurezza Tempest, conformemente agli orientamenti dell’autorità di sicurezza della Commissione.

2.   Quando un documento classificato è trattato o archiviato elettronicamente su supporti di memorizzazione rimovibili, quali chiavette USB, CD o schede di memoria, il contrassegno di classifica è chiaramente visibile nelle informazioni visualizzate, nonché sul nome del file e sul supporto di memorizzazione rimovibile.

3.   Il personale tiene presente che quando grandi quantità di informazioni classificate sono conservate su supporti di memorizzazione rimovibili può essere necessario assegnare un livello di classifica più elevato al dispositivo nel suo insieme.

4.   Solo i CIS opportunamente autorizzati sono utilizzati per la trasmissione di informazioni classificate RESTREINT UE/EU RESTRICTED verso o da supporti di memorizzazione rimovibili.

5.   Quando si scaricano informazioni classificate RESTREINT UE/EU RESTRICTED da supporti di memorizzazione rimovibili, prima del trasferimento dei dati è necessario prestare particolare attenzione al fatto che i supporti non contengano virus o malware.

6.   Se del caso, i supporti di memorizzazione rimovibili sono trattati nel rispetto delle procedure di sicurezza relative al sistema di cifratura utilizzato.

7.   I documenti su supporti di memorizzazione rimovibili che non sono più necessari o che sono stati trasferiti su un CIS appropriato, sono rimossi o cancellati in modo sicuro utilizzando prodotti o metodi approvati. A meno che non siano conservati in idonei mobili da ufficio chiusi a chiave, i supporti di memorizzazione rimovibili sono distrutti quando non sono più necessari. Qualsiasi distruzione o cancellazione è effettuata con un metodo conforme alle norme di sicurezza della Commissione. È tenuto un inventario dei supporti di memorizzazione rimovibili e la loro distruzione è registrata.

1.   Conformemente all’articolo 19, paragrafo 1, lettere a) e b), della decisione (UE, Euratom) 2015/444, le informazioni RESTREINT UE/EU RESTRICTED possono essere trattate in una zona protetta o in una zona amministrativa (7) come segue:

2.   Conformemente all’articolo 19, paragrafo 1, lettera c), della decisione (UE, Euratom) 2015/444, le informazioni RESTREINT UE/EU RESTRICTED possono essere trattate all’esterno di una zona protetta o di una zona amministrativa purché il detentore si sia impegnato ad osservare le misure compensative necessarie per proteggere tali informazioni dall’accesso di persone non autorizzate. Le misure compensative prevedono almeno le seguenti azioni:

3.   Le informazioni RESTREINT UE/EU RESTRICTED su supporto cartaceo sono conservate in mobili da ufficio chiusi a chiave in una zona amministrativa o in una zona protetta. Esse possono essere temporaneamente conservate all’esterno di una zona protetta o di una zona amministrativa purché il detentore si sia impegnato ad osservare le misure compensative.

4.   Ulteriori istruzioni possono essere chieste al responsabile locale della sicurezza (LSO) del dipartimento competente della Commissione.

5.   Qualsiasi incidente, presunto o effettivo, in materia di sicurezza che riguardi il documento è segnalato quanto prima all’LSO.

1.   Le informazioni RESTREINT UE/EU RESTRICTED possono essere riprodotte o tradotte su istruzione del detentore, purché l’originatore non abbia imposto limitazioni. Tuttavia, il numero di copie non è superiore a quanto strettamente necessario.

2.   Se viene riprodotta solo una parte di un documento classificato, si applicano le stesse condizioni previste per la copia dell’intero documento. Gli estratti sono anch’essi classificati RESTREINT UE/EU RESTRICTED, a meno che l’originatore non li abbia espressamente contrassegnati come non classificati.

3.   Le misure di sicurezza applicabili alle informazioni originali si applicano alle copie e alle traduzioni.

1.   Ove possibile, le informazioni RESTREINT UE/EU RESTRICTED che devono essere trasportate all’esterno delle zone protette o delle aree amministrative sono inviate per via elettronica mediante mezzi adeguatamente accreditati e/o protetti da prodotti crittografici approvati.

2.   A seconda dei mezzi disponibili o in funzione delle circostanze particolari, le informazioni RESTREINT UE/EU RESTRICTED possono essere trasportate fisicamente a mano sotto forma di documenti su supporto cartaceo o su supporti di memorizzazione rimovibili. L’utilizzo dei supporti di memorizzazione rimovibili per la trasmissione delle informazioni RESTREINT UE/EU RESTRICTED è da preferirsi all’invio di documenti cartacei.

3.   Possono essere utilizzati solo supporti di memorizzazione rimovibili criptati con un prodotto approvato dall’autorità di sicurezza della Commissione. Le informazioni RESTREINT UE/EU RESTRICTED su supporti di memorizzazione rimovibili che non sono protette da un prodotto crittografico approvato dall’autorità di sicurezza della Commissione sono trattate allo stesso modo delle copie cartacee.

4.   Una spedizione può contenere più di una informazione RESTREINT UE/EU RESTRICTED, purché sia rispettato il principio della necessità di conoscere.

5.   Gli imballaggi utilizzati assicurano che il contenuto non sia visibile. Le informazioni RESTREINT UE/EU RESTRICTED sono trasportate in imballaggi opachi, quali una busta, una cartella opaca o una valigetta portadocumenti. L’imballaggio esterno non deve recare indicazioni sulla natura o sul livello di classifica del suo contenuto. Se utilizzato, lo strato interno dell’imballaggio presenta il contrassegno RESTREINT UE/EU RESTRICTED. Entrambi gli strati indicano il nome del destinatario, il suo titolo e indirizzo, nonché un indirizzo di ritorno nel caso in cui la consegna non possa essere effettuata.

6.   Eventuali incidenti di sicurezza che riguardano informazioni classificate RESTREINT UE/EU RESTRICTED, trasportate dal personale o da corrieri, sono segnalati per ulteriori indagini alla direzione Sicurezza della direzione generale Risorse umane, tramite lo LSO del dipartimento competente della Commissione.

1.   I supporti di memorizzazione rimovibili utilizzati per il trasporto di informazioni RESTREINT UE/EU RESTRICTED sono accompagnati da una nota di spedizione, indicante nel dettaglio i supporti di memorizzazione rimovibili contenenti le informazioni classificate e tutti i fascicoli contenuti sui supporti, per consentire al destinatario di effettuare le necessarie verifiche.

2.   Solo i documenti da fornire sono memorizzati sui supporti. Ad esempio, tutte le informazioni classificate salvate su una singola chiave USB dovrebbero essere destinate allo stesso destinatario. Il mittente tiene presente che quando grandi quantità di informazioni classificate sono conservate su tali dispositivi può essere necessario assegnare un livello di classifica più elevato al dispositivo nel suo insieme.

3.   Per trasportare informazioni RESTREINT UE/EU RESTRICTED sono utilizzati unicamente supporti di memorizzazione rimovibili muniti di un contrassegno di classifica appropriato.

1.   Il personale può trasportare documenti RESTREINT UE/EU RESTRICTED all’interno di un edificio della Commissione, ma i documenti rimangono sempre in possesso del latore e non sono letti in pubblico.

2.   I documenti RESTREINT UE/EU RESTRICTED possono essere inviati per posta interna ad altri uffici della Commissione europea in un’unica busta semplice opaca, ma senza alcuna indicazione sull’esterno che il contenuto è classificato. Documenti RESTREINT UE/EU RESTRICTED possono essere inviati con le stesse modalità anche alle altre istituzioni o organi dell’UE che sono serviti direttamente dal sistema di posta interna della Commissione.

1.   Le informazioni RESTREINT UE/EU RESTRICTED possono essere trasportate dal personale o da corrieri della Commissione in tutta l’Unione a condizione che soddisfino le seguenti istruzioni:

2.   Il personale che intende inviare informazioni RESTREINT UE/EU RESTRICTED ad altre località dell’Unione ne può organizzare il trasporto mediante una delle seguenti modalità:

1.   Le informazioni classificate di livello RESTREINT UE/EU RESTRICTED possono essere trasportate a mano dal personale tra il territorio dell’Unione e il territorio di un paese terzo.

2.   Il personale dell’ufficio di registrazione può predisporre uno dei seguenti tipi di trasporto:

3.   Quando trasportano a mano documenti cartacei o supporti di memorizzazione rimovibili classificati come RESTREINT UE/EU RESTRICTED, i membri del personale rispettano tutte le seguenti misure supplementari:

1.   Ai fini della presente decisione, per «corrieri commerciali» si intendono i servizi postali nazionali e le società di spedizione che offrono un servizio in cui le informazioni sono fornite dietro pagamento di una commissione e sono consegnate personalmente a mano o monitorate.

2.   I corrieri commerciali possono avvalersi dei servizi di un subappaltatore. Tuttavia, la responsabilità di conformarsi alla presente decisione spetta alla società di corriere.

3.   Se il destinatario indicato è al di fuori dell’UE, si utilizza un imballaggio doppio. Nella fase di preparazione delle spedizioni classificate, il mittente tiene conto del fatto che i servizi di corriere commerciale consegnano le spedizioni «RESTREINT UE/EU RESTRICTED» solo al legittimo destinatario, a un suo sostituto debitamente autorizzato, al funzionario responsabile del controllo delle registrazioni o al suo sostituto debitamente autorizzato o un addetto al ricevimento. Per attenuare il rischio che la spedizione non raggiunga il legittimo destinatario, l’esterno e, se del caso, l’eventuale strato di imballaggio interno della spedizione reca un indirizzo di ritorno.

4.   I servizi prestati da corrieri commerciali che trasmettono per via elettronica i documenti inviati per posta raccomandata non sono utilizzati per le informazioni RESTREINT UE/EU RESTRICTED.

1.   Sono rispettate tutte le condizioni di trasporto stabilite in un accordo sulla sicurezza delle informazioni o in accordi amministrativi. In caso di dubbio, il personale consulta il rispettivo ufficio del registro o la direzione «Sicurezza» della direzione generale Risorse umane e sicurezza.

2.   Il requisito del doppio imballaggio può venir meno per le informazioni classificate che sono protette da prodotti crittografici approvati. Tuttavia, per indicare l’indirizzo e anche in considerazione del fatto che è munito di un esplicito contrassegno di sicurezza, il supporto di memorizzazione rimovibile è trasportato almeno in una normale busta, ma può richiedere misure di protezione fisica supplementari, ad esempio buste imbottite a bolle d’aria.

1.   Le riunioni nelle quali sono discusse informazioni di livello RESTREINT UE/EU RESTREINT si svolgono unicamente in sale riunioni accreditate per il livello appropriato o un livello superiore. Se queste sale non sono disponibili, il personale chiede il parere dell’autorità di sicurezza della Commissione.

2.   In linea generale, gli ordini del giorno non dovrebbero essere classificati. Un ordine del giorno di una riunione che menziona documenti classificati non è automaticamente classificato. I punti all’ordine del giorno sono formulati in modo da evitare di compromettere la protezione dell’Unione o gli interessi di uno o più Stati membri.

3.   Se all’ordine del giorno devono essere allegati file elettronici contenenti informazioni RESTREINT UE/EU RESTRICTED, è obbligatorio proteggere tali file con prodotti crittografici approvati dall’autorità Crypto della Commissione.

4.   Gli organizzatori delle riunioni ricordano ai partecipanti che è vietato inviare le osservazioni su un punto RESTREINT UE/EU RESTRICTED dell’ordine del giorno tramite messaggi di posta elettronica ordinari o altri mezzi che non siano stati adeguatamente accreditati, conformemente all’articolo 11 della presente decisione.

5.   Gli organizzatori delle riunioni si adoperano per raggruppare in ordine consecutivo i punti RESTREINT UE/EU RESTRICTED nell’ordine del giorno al fine di agevolare il buon funzionamento della riunione. Ai dibattiti sui punti classificati possono essere presenti solo le persone con necessità di conoscere.

6.   Nella convocazione si avvertono i partecipanti che durante la riunione saranno discussi temi classificati e che saranno applicate le misure di sicurezza corrispondenti.

7.   Nella convocazione o nella nota sull’ordine del giorno si ricorda ai partecipanti che tutti i dispositivi elettronici portatili devono essere spenti durante il dibattito sui punti RESTREINT UE/EU RESTRICTED.

8.   Prima della riunione gli organizzatori preparano un elenco completo dei partecipanti esterni.

1.   Solo sistemi informatici accreditati in conformità all’articolo 11 della presente decisione possono essere utilizzati quando sono trasmesse informazioni classificate, ad esempio durante una presentazione nella quale si mostrano informazioni classificate RESTREINT UE/EU RESTRICTED o quando sono organizzate videoconferenze.

2.   Il presidente assicura che siano spenti i dispositivi elettronici portatili non autorizzati.

1.   All’inizio di un dibattito classificato, il presidente comunica che la riunione passerà alla «modalità classificata». Le porte e le tende sono chiuse.

2.   Se del caso, all’inizio del dibattito i partecipanti e gli interpreti ricevono solo il numero necessario di documenti.

I documenti RESTREINT UE/EU RESTRICTED non sono lasciati incustoditi durante gli intervalli della riunione.

3.   Alla fine della riunione occorre ricordare ai partecipanti e agli interpreti di non lasciare incustoditi nella sala alcun documento classificato o nota classificata. I documenti o le note classificati che i partecipanti non portano via alla fine della riunione sono raccolti dagli organizzatori della riunione e distrutti in appositi distruggi documenti.

4.   L’elenco dei partecipanti e una sintesi di eventuali informazioni classificate condivise con gli Stati membri e comunicate oralmente a paesi terzi o organizzazioni internazionali sono annotati durante la riunione per essere registrati nei risultati dei lavori.

1.   Le informazioni RESTREINT UE/EU RESTRICTED sono condivise con un’altra istituzione, agenzia, organo o ufficio dell’Unione se il destinatario ha necessità di conoscere e l’entità ha un corrispondente accordo giuridico con la Commissione.

2.   Nella Commissione, l’ufficio di registrazione delle ICUE gestito dal segretariato generale è di norma il principale punto d’ingresso e uscita per gli scambi delle informazioni classificate con altre istituzioni, agenzie, organi e uffici dell’Unione. Tuttavia, le informazioni RESTREINT UE/EU RESTRICTED possono essere condivise direttamente con i legittimi destinatari.

1.   Le informazioni RESTREINT UE/EU RESTRICTED possono essere condivise con gli Stati membri se il destinatario ha necessità di conoscere.

2.   Alle informazioni classificate degli Stati membri che recano un contrassegno nazionale di classifica equivalente (8) e sono state fornite alla Commissione è garantito lo stesso livello di protezione delle informazioni RESTREINT UE/EU RESTRICTED.

1.   Le informazioni RESTREINT UE/EU RESTRICTED sono comunicate a un paese terzo o a un’organizzazione internazionale solo se il destinatario ha necessità di conoscere e il paese o l’organizzazione internazionale dispone di un adeguato quadro giuridico o amministrativo, quale un accordo sulla sicurezza delle informazioni o un accordo amministrativo con la Commissione. Le disposizioni di tali accordi prevalgono sulle disposizioni della presente decisione.

2.   L’ufficio di registrazione delle ICUE gestito dal segretariato generale funge di norma da principale punto d’ingresso e uscita per le informazioni classificate RESTREINT UE/EU RESTRICTED scambiate tra la Commissione e i paesi terzi o le organizzazioni internazionali. L’autorità di sicurezza della Commissione è sempre consultata quando esistono motivi di sicurezza, organizzativi o operativi che rendono più opportuno che i registri locali delle ICUE operino come punto di entrata e di uscita per le questioni di competenza del dipartimento interessato.

3.   Per garantirne la tracciabilità, le informazioni RESTREINT UE/EU RESTRICTED sono registrate:

4.   Tale registrazione può essere effettuata su carta o in registri elettronici.

5.   Le procedure di registrazione delle informazioni classificate trattate nell’ambito di un CIS accreditato possono essere eseguite mediante procedure interne allo stesso CIS. In tal caso il CIS comprende misure volte a garantire l’integrità delle registrazioni dei registri elettronici.

6.   Alle informazioni classificate ricevute dai paesi terzi o dalle organizzazioni internazionali è attribuito un livello di protezione equivalente alle ICUE recanti un contrassegno di classifica equivalente a quello stabilito nel rispettivo accordo amministrativo sulla sicurezza delle informazioni.

1.   Se la Commissione o uno dei suoi dipartimenti stabilisce che è necessario comunicare informazioni RESTREINT UE/EU RESTRICTED in via eccezionale a un paese terzo, un’organizzazione internazionale o un’entità dell’UE, ma non esiste un accordo sulla sicurezza delle informazioni o un accordo amministrativo, si applica la procedura di comunicazione eccezionale ad hoc.

2.   I dipartimenti della Commissione contattano l’autorità di sicurezza della Commissione, che consulta il gruppo di esperti in materia di sicurezza della Commissione.

3.   Dopo aver consultato il gruppo di esperti in materia di sicurezza della Commissione, la Commissione può, su proposta del membro della commissione competente in materia di sicurezza, autorizzare la comunicazione delle informazioni in questione.

1.   Le informazioni restano classificate solo finché necessitano di protezione. Per declassificazione si intende che le informazioni non sono più considerate classificate. Al momento della creazione l’originatore indica, laddove possibile, se le ICUE possono essere declassificate ad una certa data o in seguito ad un dato evento. In mancanza di tale indicazione, l’originatore riesamina regolarmente le informazioni RESTREINT UE/EU RESTRICTED per stabilire se la classificazione sia ancora giustificata.

2.   Le informazioni classificate di livello RESTREINT UE/EU RESTRICTED di cui la Commissione è l’originatore saranno automaticamente declassificate dopo trent’anni, conformemente al regolamento (CEE, Euratom) n. 354/83 modificato dal regolamento (CE, Euratom) n. 1700/2003 (9) del Consiglio e all’articolo 59, paragrafo 2, lettera a) della decisione (UE, Euratom) 2015/444.

3.   I documenti della Commissione possono anche essere declassificati ad hoc, ad esempio a seguito di una richiesta di accesso da parte del pubblico.

1.   Le informazioni RESTREINT UE/EU RESTRICTED non sono declassificate senza l’autorizzazione dell’originatore.

2.   Il dipartimento della Commissione che crea un documento classificato è responsabile della decisione relativa alla sua declassificazione. All’interno della Commissione, tutte le richieste di declassificazione sono soggette alla consultazione del capo unità o del direttore del dipartimento originatore. Se ha compilato informazioni classificate a partire da varie fonti, il dipartimento chiede dapprima l’autorizzazione a tutte le altre parti che hanno fornito fonti, compresi gli Stati membri, altri organismi dell’UE, paesi terzi od organizzazioni internazionali.

3.   Se il dipartimento originatore della Commissione non esiste più e le sue competenze sono state assunte da un altro servizio, quest’ultimo prende la decisione in merito alla declassificazione. Se il dipartimento originatore non esiste più e le sue competenze non sono state assunte da un altro servizio, la decisione in merito alla declassificazione è presa congiuntamente dai capi unità o dai direttori delle direzioni generali destinatarie.

1.   Il contrassegno originale di classifica in alto e in basso di ogni pagina è barrato in modo visibile (non rimosso) utilizzando la funzione «barrato» per i formati elettronici o manualmente per i documenti stampati.

2.   La prima pagina (di copertina) è timbrata come declassificata e compilata con i dati dell’autorità responsabile della declassificazione e la relativa data.

3.   I destinatari originari delle informazioni RESTREINT UE/EU RESTRICTED sono informati della declassificazione. I destinatari iniziali sono responsabili di informare tutti i successivi destinatari ai quali hanno trasmesso l’originale delle informazioni RESTREINT UE/EU RESTRICTED o ai quali ne hanno fornito copia.

4.   Il servizio Archivi storici dell’Unione europea è informato di tutte le decisioni di declassificazione adottate.

5.   Tutte le traduzioni di informazioni classificate sono soggette alle stesse procedure di declassificazione della versione linguistica originale.

1.   È possibile anche una declassificazione parziale (ad esempio allegati, solo alcuni paragrafi). La procedura è identica a quella prevista per la declassificazione di un intero documento.

2.   In caso di declassificazione parziale (sanitisation) di informazioni RESTREINT UE/EU RESTRICTED, è prodotto un estratto declassificato.

3.   Le parti che rimangono classificate sono sostituite da:

nel corpo del testo, se la parte che rimane classificata è parte di un paragrafo, oppure come paragrafo, se la parte che rimane classificata è un paragrafo specifico o più di un paragrafo.

4.   Una menzione specifica è aggiunta nel testo se un allegato completo non può essere declassificato ed è pertanto stato ritirato dall’estratto.

1.   La Commissione non accumula grandi quantità di informazioni classificate.

2.   I dipartimenti originatori sottopongono periodicamente a revisione piccole quantità per distruggerle e cancellarle. Un riesame è svolto a intervalli regolari sia per le informazioni archiviate in formato cartaceo sia per le informazioni archiviate nel CIS.

3.   Il personale distrugge o cancella in modo sicuro i documenti RESTREINT UE/EU RESTRICTED che non sono più necessari su riserva di esigenze di archivio del documento originale.

4.   Il personale non è tenuto a informare l’originatore se distrugge o cancella copie di documenti RESTREINT UE/EU RESTRICTED.

5.   I progetti di materiale contenenti informazioni classificate sono soggetti agli stessi metodi di eliminazione dei documenti classificati finalizzati.

6.   Solo distruggi documenti approvati sono utilizzati per distruggere documenti RESTREINT UE/EU RESTRICTED. I distruggi documenti di livello 4 di DIN 32757 e livello 5 di DIN 66399 sono conformi per la distruzione di documenti RESTREINT UE/EU RESTRICTED.

7.   I frammenti di documenti provenienti dai distruggi documenti approvati possono essere eliminati come normali rifiuti di ufficio.

8.   Tutti i supporti e i dispositivi contenenti informazioni RESTREINT UE/EU RESTRICTED sono sottoposti ad adeguata cancellazione sicura dei dati al termine del loro ciclo di vita. I dati elettronici sono distrutti o soppressi dalle risorse informatiche e dai relativi supporti di memorizzazione in modo da garantire ragionevolmente che le informazioni non possano essere recuperate. La cancellazione sicura dei dati elimina i dati dal dispositivo di memorizzazione e tutte le etichette, i contrassegni e le registrazioni delle attività.

9.   I supporti informatici sono consegnati all’LSO o al responsabile della sicurezza informatica locale e/o al funzionario responsabile del controllo delle registrazioni per essere distrutti ed eliminati.

1.   Il capo dipartimento elabora, approva e, se necessario, avvia l’evacuazione di emergenza e i piani di distruzione per la salvaguardia delle informazioni RESTREINT UE/EU RESTRICTED che presentano un rischio significativo di cadere in mano a persone non autorizzate durante una crisi. In ordine di priorità e in funzione della natura dell’emergenza, occorre:

2.   Quando i piani di emergenza sono stati attivati, le informazioni di livello più elevato sono trasferite o distrutte prioritariamente.

3.   I dettagli operativi dei piani di evacuazione e di distruzione di emergenza sono classificati come RESTREINT UE/EU RESTRICTED.

1.   Le decisioni in merito all’archiviazione e alle misure pratiche corrispondenti sono conformi alla politica della Commissione in materia di gestione dei documenti.

2.   I documenti RESTREINT UE/EU RESTRICTED non sono inviati agli Archivi storici dell’Unione europea a Firenze.

1.   La presente decisione stabilisce le norme di attuazione in materia di sicurezza industriale per quanto riguarda i contratti di appalto classificati a supporto dell’attuazione della decisione (UE, Euratom) 2015/444, in particolare il capo 6 della medesima.

2.   La presente decisione stabilisce requisiti specifici per garantire la protezione delle informazioni classificate UE (ICUE) da parte degli operatori economici nella fase precontrattuale, lungo tutto il ciclo di vita dei contratti classificati conclusi dalla Commissione europea e per i subcontratti conclusi da contraenti della Commissione.

3.   La presente decisione riguarda le informazioni classificate ai seguenti livelli:

1.   Nell’ambito delle responsabilità descritte nel regolamento finanziario (8), ciascun ordinatore dell’autorità contraente della Commissione garantisce che il contratto classificato faccia riferimento alle norme minime di sicurezza industriale di cui al capo 6 della decisione (UE, Euratom) 2015/444 e alle presenti norme di attuazione e, se del caso, al bando di gara o all’invito a presentare offerte, e che tali norme minime siano rispettate nel corso dell’attuazione.

2.   A tal fine, in tutte le fasi, l’ordinatore interessato chiede il parere dell’autorità di sicurezza della Commissione sulle questioni riguardanti gli elementi di sicurezza del contratto, programma o progetto classificato e informa il responsabile locale della sicurezza in merito ai contratti conclusi. La decisione sul livello di classifica di determinate materie spetta all’autorità contraente ed è presa tenendo in debito conto la guida alle classifiche di sicurezza.

3.   Nel rispetto dei requisiti delle presenti norme di attuazione, l’autorità di sicurezza della Commissione collabora strettamente con le autorità di sicurezza nazionali (NSA) e le autorità di sicurezza designate (DSA) degli Stati membri interessati, in particolare per quanto riguarda il nulla osta di sicurezza delle imprese (FCS) e il nulla osta di sicurezza del personale (PSC), la procedura relativa alle visite e i programmi di trasporto.

1.   I contratti classificati sono aggiudicati esclusivamente a operatori economici registrati in uno Stato membro o a operatori economici registrati in un paese terzo o istituiti da un’organizzazione internazionale, purché il paese terzo o l’organizzazione internazionale abbiano concluso un accordo sulla sicurezza delle informazioni con l’Unione europea o un accordo amministrativo con la Commissione (9).

2.   Prima di pubblicare l’invito a presentare offerte per un contratto classificato, l’autorità contraente determina la classifica di sicurezza delle informazioni che potrebbero essere fornite agli offerenti. L’autorità contraente determina anche la classifica di sicurezza massima delle informazioni generate durante l’esecuzione del contratto, del programma o del progetto, o almeno il volume e il tipo delle informazioni che si prevede di produrre o trattare e stabilisce la necessità di un sistema di comunicazione e informazione (CIS) classificato.

3.   L’autorità contraente provvede affinché i bandi di gara relativi a contratti classificati forniscano informazioni sugli obblighi specifici di sicurezza connessi alle informazioni classificate. L’allegato I contiene il modello delle informazioni da includere nel bando di gara.

4.   L’autorità contraente provvede affinché le informazioni classificate RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET siano comunicate agli offerenti solo dopo che questi ultimi abbiano firmato l’impegno alla non divulgazione, che li obbliga a trattare e proteggere le ICUE a norma della decisione (UE, Euratom) 2015/444 e delle relative norme di attuazione.

5.   Tutti i contraenti tenuti a trattare o conservare informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nelle loro strutture, nel corso dell’esecuzione del contratto classificato stesso o nella fase precontrattuale, devono essere in possesso dell’FSC al livello richiesto. Di seguito sono indicate le tre situazioni che possono presentarsi nella fase di gara relativa ad un contratto classificato che comporta ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET:

6.   Di norma, non è richiesto l’FSC per l’accesso alle informazioni RESTREINT UE/EU RESTRICTED, né nella fase di gara né in quella di esecuzione del contratto. Quando gli Stati membri prescrivono l’FSC per contratti o subcontratti di livello RESTREINT UE/EU RESTRICTED a norma di disposizioni legislative e regolamentari nazionali, come indicato nell’allegato IV, le prescrizioni nazionali non possono imporre obblighi supplementari agli altri Stati membri né impedire agli offerenti, contraenti o subcontraenti di Stati membri che non prevedono dette prescrizioni in materia di FSC l’accesso a informazioni RESTREINT UE/EU RESTRICTED derivanti da contratti/subcontratti connessi o la partecipazione alla relativa gara. Questi contratti sono eseguiti negli Stati membri conformemente alle rispettive disposizioni legislative e regolamentari nazionali.

7.   Quando per l’esecuzione di un contratto classificato è richiesto l’FSC, l’autorità contraente, tramite l’autorità di sicurezza della Commissione, presenta richiesta all’NSA/DSA del contraente utilizzando il modulo di informazione sul nulla osta di sicurezza delle imprese (FSCIS). L’allegato III, appendice D, riporta un modello di FSCIS (10). Il contratto classificato non può essere aggiudicato fino a quando l’NSA/DSA non ha confermato l’FSC del contraente. Se possibile, la risposta all’FSCIS è fornita entro dieci giorni lavorativi dalla data della richiesta.

1.   Le condizioni alle quali il contraente aggiudicatario di un contratto classificato della Commissione può concludere subcontratti sono definite nell’invito a presentare offerte e nella documentazione contrattuale. Se il contratto classificato consente il subcontratto per alcune delle sue parti, il subcontratto è subordinato al consenso preliminare scritto dell’autorità contraente. Prima di dare l’assenso, l’autorità contraente consulta l’autorità di sicurezza della Commissione.

2.   I contratti classificati sono concessi in subcontratto esclusivamente a operatori economici registrati in uno Stato membro o a operatori economici registrati in un paese terzo o istituiti da un’organizzazione internazionale, purché il paese terzo o l’organizzazione internazionale abbiano concluso un accordo sulla sicurezza delle informazioni con l’UE o un accordo amministrativo con la Commissione (11).

1.   In sede di aggiudicazione di un contratto classificato, l’autorità contraente, assieme all’autorità di sicurezza della Commissione, garantisce che gli obblighi del contraente in materia di protezione delle ICUE fornite al contraente o generate nel corso dell’esecuzione del contratto siano parte integrante del contratto. I requisiti di sicurezza specifici del contratto assumono la forma di una lettera sugli aspetti di sicurezza (SAL). Nell’allegato III è riportato un modello di SAL.

2.   Prima della firma del contratto classificato, l’autorità contraente prepara, previa consultazione dell’autorità di sicurezza della Commissione, una guida alle classifiche di sicurezza (SCG), in cui sono descritti i compiti da svolgere e le informazioni generate nell’esecuzione del contratto, o, se del caso, a livello di programma o di progetto. La SCG è inclusa nella SAL.

3.   I requisiti di sicurezza specifici del programma o del progetto assumono la forma di istruzioni di sicurezza del programma/progetto (PSI). Le PSI possono essere redatte sulla base delle disposizioni del modello di SAL di cui all’allegato III. Le PSI sono elaborate dal servizio della Commissione responsabile della gestione del programma o del progetto, in stretta collaborazione con l’autorità di sicurezza della Commissione, e presentate per parere al gruppo di esperti in materia di sicurezza della Commissione. Se un contratto rientra in un programma o in un progetto dotato delle proprie PSI, la SAL del contratto è redatta in forma semplificata e rinvia alle disposizioni in materia di sicurezza contenute nelle PSI del programma o progetto.

4.   L’autorità contraente è considerata l’originatore delle informazioni classificate create e trattate ai fini dell’esecuzione del contratto.

5.   L’autorità contraente, tramite l’autorità di sicurezza della Commissione, notifica alle NSA/DSA di tutti i contraenti e subcontraenti la conclusione di contratti o subcontratti classificati e la loro eventuale proroga o estinzione anticipata. Nell’allegato IV è riportato l’elenco delle prescrizioni per paese.

6.   I contratti che comportano informazioni classificate RESTREINT UE/EU RESTRICTED includono una clausola di sicurezza che rende vincolanti per il contraente le disposizioni di cui all’allegato III, appendice E. Tali contratti includono la SAL, che stabilisce, come minimo, i requisiti per il trattamento delle informazioni RESTREINT UE/EU RESTRICTED, compresi gli aspetti relativi alla garanzia di sicurezza delle informazioni e i requisiti specifici che il contraente delegato dall’autorità contraente deve rispettare per l’accreditamento del CIS del contraente che tratta informazioni RESTREINT UE/EU RESTRICTED.

7.   Quando agli offerenti o ai potenziali contraenti sono fornite informazioni RESTREINT UE/EU RESTRICTED, i requisiti minimi di cui al paragrafo 6 sono inclusi nelle offerte o nel pertinente impegno alla non divulgazione concluso nella fase di gara.

8.   Ove previsto dalle disposizioni legislative e regolamentari degli Stati membri, le NSA/DSA garantiscono che i contraenti o i subcontraenti sotto la loro giurisdizione rispettino le disposizioni di sicurezza applicabili per la protezione delle informazioni RESTREINT UE/EU RESTRICTED e svolgono visite di verifica presso le strutture del contraente situate sul loro territorio. Se l’NSA/DSA non è soggetta a tale obbligo, l’autorità contraente garantisce che il contraente attui le disposizioni di sicurezza richieste di cui all’allegato III.

1.   Il servizio della Commissione, in qualità di autorità contraente, assicura che i contratti classificati contengano disposizioni secondo le quali il personale del contraente o del subcontraente che per l’esecuzione del contratto o del subcontratto classificato debba avere accesso alle ICUE può beneficiare di tale accesso soltanto se:

2.   Se il contraente o il subcontraente intendono assumere un cittadino di un paese non UE in una posizione che richiede l’accesso a ICUE classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, spetta al contraente o al subcontraente avviare la procedura per il rilascio del nulla osta di sicurezza per detta persona a norma delle disposizioni legislative e regolamentari nazionali applicabili nel luogo in cui deve essere concesso l’accesso alle ICUE.

1.   Se la Commissione, i contraenti o i subcontraenti richiedono l’accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei reciproci locali per l’esecuzione del contratto classificato, le visite sono organizzate di concerto con le NSA/DSA o altre autorità di sicurezza competenti interessate.

2.   Le visite di cui al paragrafo 1 sono soggette alle seguenti condizioni:

1.   Le visite dei contraenti presso le strutture di altri contraenti, o presso i locali della Commissione, che comportano l’accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate secondo la seguente procedura:

2.   Le visite effettuate da funzionari della Commissione presso le strutture del contraente che comportano l’accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate secondo la seguente procedura:

3.   L’RFV può riguardare una singola visita o visite ricorrenti. In caso di visite ricorrenti, l’RFV può essere valida per un periodo massimo di un anno a decorrere dalla data di inizio richiesta.

4.   La durata di validità dell’RFV non può superare la durata di validità del PSC del visitatore.

5.   Di norma, l’RFV deve essere presentata all’autorità di sicurezza competente della struttura ospitante almeno 15 giorni lavorativi prima della data della visita.

1.   Prima di consentire ai visitatori di accedere alle ICUE, l’ufficio di sicurezza della struttura ospitante deve espletare tutte le procedure e rispettare tutte le norme in materia di sicurezza delle visite stabilite dalla propria NSA/DSA.

2.   I visitatori devono dimostrare la propria identità all’arrivo presso la struttura ospitante presentando una carta d’identità o un passaporto validi. I dati identificativi devono corrispondere alle informazioni fornite nell’RFV.

3.   La struttura ospitante provvede alla tenuta dei registri di tutti i visitatori, contenenti nome e cognome, organizzazione che rappresentano, data di scadenza del PSC, data della visita e nome e cognome delle persone visitate. I registri sono conservati per un periodo di almeno cinque anni, o per un periodo di durata superiore se previsto dalle norme e dai regolamenti nazionali del paese in cui è situata la struttura ospitante.

1.   Nel quadro di progetti specifici, le pertinenti NSA/DSA e l’autorità di sicurezza della Commissione possono concordare una procedura in base alla quale le visite per un determinato contratto classificato possono essere organizzate direttamente tra il responsabile della sicurezza del visitatore e il responsabile della sicurezza della struttura da visitare. Il modello di modulo da utilizzare a tal fine figura nell’allegato III, appendice C. Questa procedura eccezionale è definita nelle PSI o in altri accordi specifici. In questi casi non si applicano le procedure di cui all’articolo 8 e all’articolo 9, paragrafo 1.

2.   Le visite che comportano l’accesso a informazioni classificate RESTREINT UE/EU RESTRICTED sono organizzate direttamente tra l’entità che invia e l’entità che riceve i visitatori senza dover seguire le procedure di cui all’articolo 8 e all’articolo 9, paragrafo 1.

1.   Il trattamento e la trasmissione elettronici delle ICUE sono effettuati conformemente ai capi 5 e 6 della decisione (UE, Euratom) 2015/444 e alle relative norme di attuazione.

I sistemi di comunicazione e informazione di proprietà del contraente utilizzati per trattare le ICUE per l’esecuzione del contratto (di seguito «CIS del contraente») sono soggetti all’accreditamento da parte dell’autorità di accreditamento in materia di sicurezza (SAA) responsabile. Ogni trasmissione elettronica di ICUE è protetta mediante prodotti crittografici approvati conformemente all’articolo 36, paragrafo 4, della decisione (UE, Euratom) 2015/444. Le misure TEMPEST sono attuate conformemente all’articolo 36, paragrafo 6, della medesima decisione.

2.   L’accreditamento di sicurezza del CIS del contraente che tratta ICUE di livello RESTREINT UE/EU RESTRICTED e di tutte le relative interconnessioni può essere delegato al responsabile della sicurezza del contraente se consentito dalle disposizioni legislative e regolamentari nazionali. In caso di delega, il contraente è responsabile dell’attuazione dei requisiti minimi di sicurezza descritti nella SAL per il trattamento di informazioni RESTREINT UE/EU RESTRICTED nel suo CIS. Tuttavia, le NSA/DSA e le SAA competenti restano responsabili della protezione delle informazioni RESTREINT UE/EU RESTRICTED trattate dal contraente e conservano il diritto di ispezionare le misure di sicurezza adottate dai contraenti. Inoltre, il contraente fornisce all’autorità contraente e, se richiesto dalle disposizioni legislative e regolamentari nazionali, alla SAA nazionale competente una dichiarazione di conformità in cui si certifica che il CIS del contraente e le relative interconnessioni sono stati accreditati per il trattamento di ICUE di livello RESTREINT UE/EU RESTRICTED (12).

1.   Il trasporto a mano di informazioni classificate è soggetto a rigorosi requisiti di sicurezza.

2.   All’interno dell’UE le informazioni RESTREINT UE/EU RESTRICTED possono essere trasportate a mano dal personale del contraente, purché siano rispettate le seguenti condizioni:

3.   Per le informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET, il trasporto a mano effettuato dal personale del contraente all’interno di uno Stato membro dell’UE è precedentemente organizzato tra l’entità mittente e l’entità ricevente. L’autorità o la struttura mittente comunicano all’autorità o alla struttura ricevente i dettagli della spedizione, compresi il riferimento, la classifica, l’orario previsto di arrivo e il nome del corriere. Il trasporto a mano è consentito, purché siano soddisfatte le seguenti condizioni:

4.   Per il trasporto a mano effettuato dal personale del contraente di informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET da uno Stato membro dell’UE ad un altro, si applicano le seguenti disposizioni aggiuntive:

L’eventuale apertura della spedizione da parte delle autorità doganali deve avvenire lontano dagli sguardi di persone non autorizzate e, se possibile, in presenza del corriere. Il corriere esige che la spedizione sia reimballata e chiede alle autorità che effettuano l’ispezione di sigillarla nuovamente e di confermare per iscritto che è stata da esse aperta.

5.   Il trasporto a mano effettuato dal personale del contraente di informazioni classificate RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET verso un paese terzo o un’organizzazione internazionale è soggetto alle disposizioni dell’accordo sulla sicurezza delle informazioni o dell’accordo amministrativo concluso tra, rispettivamente, l’Unione europea o la Commissione e il paese terzo o l’organizzazione internazionale in questione.