1.   Is-suġġett u l-ambitu ta' din id-Deċiżjoni huma pprovduti fl-Artikolu 1 tad-Deċiżjoni (UE, Euratom) 2017/46.

2.   Id-dispożizzjonijiet f'din id-Deċiżjoni japplikaw għas-sistemi ta' komunikazzjoni u informazzjoni kollha (SKI). Madankollu, ir-responsabbiltajiet definiti f'din id-Deċiżjoni m'għandhomx japplikaw għal SKI li jittrattaw informazzjoni klassifikata tal-UE. Ir-responsabbiltajiet rilevanti għal dawn is-sistemi għandhom jiġu stabbiliti mis-sid tas-sistema u l-Awtorità tas-Sigurtà tal-Kummissjoni f'konformità mad-Deċiżjoni tal-Kummissjoni (UE, Euratom) 2015/444 (3).

3.   Il-Kapitolu 2 ta' din id-Deċiżjoni jagħti ħarsa ġenerali lejn l-implimentazzjoni prattika tal-organizzazzjoni u r-responsabbiltajiet fir-rigward tas-sigurtà tal-IT. Il-Kapitolu 3 ta' din id-Deċiżjoni jippreżenta ħarsa ġenerali tal-proċessi marbuta mal-Artikolu 6 tad-Deċiżjoni (UE, Euratom) 2017/46.

1.   Id-Direttorat Ġenerali tar-Riżorsi Umani u tas-Sigurtà għandu jirrevedi l-politika tas-sigurtà tal-IT tal-Kummissjoni u l-istandards u l-linji gwida relatati biex jiżgura li huma konformi mal-politiki ta' sigurtà ġenerali tal-Kummissjoni, b'mod partikolari mad-Deċiżjoni tal-Kummissjoni (UE, Euratom) 2015/443 (4) u d-Deċiżjoni (UE, Euratom) 2015/444.

2.   Fuq talba minn dipartimenti oħra tal-Kummissjoni, id-Direttorat Ġenerali tar-Riżorsi Umani u s-Sigurtà jista' jagħmel rieżami tal-politiki ta' sigurtà tal-IT jew dokumentazzjoni oħra tal-IT sabiex tiġi żgurata l-konsistenza tagħhom mal-politika għas-sigurtà tal-informazzjoni tal-Kummissjoni. Il-kap tad-dipartiment tal-Kummissjoni kkonċernat għandu jiżgura li kwalunkwe inkonsistenza tkun indirizzata.

3.   Taħt ir-responsabbiltà tiegħu għas-sigurtà tal-informazzjoni, id-Direttorat Ġenerali tar-Riżorsi Umani u s-Sigurtà għandu jikkoopera mad-Direttorat Ġenerali għall-Informatika sabiex jiġi żgurat li l-proċessi ta' sigurtà tal-IT jieħdu kont sħiħ tal-klassifikazzjoni u tal-prinċipji ta' sigurtà stabbiliti fid-Deċiżjoni (UE, Euratom) 2015/443, b'mod partikolari l-Artikoli 3 u 9.

1.   L-użu ta' teknoloġiji ta' kriptaġġ għall-protezzjoni tal-informazzjoni klassifikata tal-UE (IKUE) għandu jkun konformi mad-Deċiżjoni (UE, Euratom) 2015/444.

2.   Id-deċiżjonijiet dwar l-użu ta' teknoloġiji ta' kriptaġġ għall-protezzjoni tad-dejta li mhix IKUE għandhom jittieħdu minn sid is-sistema ta' kull SKI, filwaqt li jitqiesu kemm ir-riskji li huma maħsuba biex jiġu mitigati permezz ta' kriptaġġ u r-riskji li huwa jintroduċi.

3.   L-approvazzjoni minn qabel mill-AAK hija meħtieġa għal kull użu ta' teknoloġija ta' kriptaġġ, sakemm il-kriptaġġ ma jintużax biss biex iħares il-kunfidenzjalità ta' dejta li mhix IKUE fi tranżitu u juża protokolli ta' komunikazzjoni tan-netwerk standard.

4.   Bl-eċċezzjoni indikata fil-paragrafu 3 ta' dan l-Artikolu, id-dipartimenti tal-Kummissjoni għandhom jiżguraw li backups ta' kull kodiċi ta' dekriptaġġ jinħażen f'depożiti tal-kodiċi bil-għan li jkun possibbli li tiġi irkuprata d-dejta maħżuna f'każ li l-kodiċi ta' dekriptaġġ ma jkunx disponibbli. L-irkupru ta' dejta kriptata bl-użu ta' backups ta' kodiċijiet ta' dekriptaġġ għandu jitwettaq biss meta jkun awtorizzat f'konformità mal-istandard definit mill-AAK.

5.   Talbiet għal approvazzjoni għall-użu ta' teknoloġiji ta' kriptaġġ għandhom jiġu dokumentati b'mod formali u għandhom jinkludu dettalji tas-SKI u d-dejta li trid tiġi protetta, it-teknoloġiji li għandhom jintużaw u l-proċeduri operattivi ta' sigurtà relatati. Dawn it-talbiet għall-approvazzjoni għandhom ikunu ffirmati mis-sid tas-sistema.

6.   Talbiet għal approvazzjoni għall-użu ta' teknoloġiji ta' kriptaġġ għandhom jiġu vvalutati mill-AAK f'konformità mal-istandards u r-rekwiżiti ppubblikati.

1.   Id-Direttorat Ġenerali tar-Riżorsi Umani u s-Sigurtà għandu jwettaq spezzjonijiet għas-sigurtà tal-IT sabiex jivverifika jekk il-miżuri ta' sigurtà tal-IT ikunux konformi mal-politiki ta' sigurtà tal-IT tal-Kummissjoni u biex ikun hemm kontroll tal-integrità ta' dawn il-miżuri ta' kontroll.

2.   Id-Direttorat Ġenerali tar-Riżorsi Umani u tas-Sigurtà jista' jwettaq spezzjoni ta' sigurtà tal-IT:

(a)	fuq inizjattiva tiegħu stess;

(b)	fuq talba tal-Bord ta' Tmexxija tas-Sigurtà tal-Informazzjoni (ISSB);

(c)	fuq talba li ssir minn sid is-sistema;

(d)	wara inċident ta' sigurtà; jew

(e)	wara l-identifikazzjoni ta' riskju għoli għal sistema partikolari.

3.   Is-sidien tad-dejta jistgħu jitolbu li ssir spezzjoni tas-sigurtà tal-IT qabel ma tinħażen l-informazzjoni tagħhom fis-SKI.

4.   Ir-riżultati ta' spezzjoni għandhom jiġu ddokumentati f'rapport formali lis-sid tas-sistema, u jiġu kkupjati lil LISO, li jinkludu sejbiet u rakkomandazzjonijiet biex itejbu l-konformità tas-SKI mal-politika għas-sigurtà tal-IT. Id-Direttorat Ġenerali tar-Riżorsi Umani u tas-Sigurtà għandu jirrapporta kwistjonijiet sinifikanti u rakkomandazzjonijiet lill-ISSB.

5.   Id-Direttorat Ġenerali tar-Riżorsi Umani u tas-Sigurtà għandu jissorvelja l-implimentazzjoni ta' dawn ir-rakkomandazzjonijiet.

6.   Fejn xieraq, spezzjonijiet għas-sigurtà tal-IT għandhom jinkludu l-ispezzjoni ta' servizzi, stabbilimenti u tagħmir ipprovdut lil sid is-sistema, inklużi fornituri tas-servizz interni kif ukoll esterni.

1.   Id-Direttorat Ġenerali tar-Riżorsi Umani u tas-Sigurtà għandu jistabbilixxi r-regoli standard dwar l-awtorizzazzjoni ta' aċċess għas-SKIs tal-Kummissjoni u netwerks esterni.

2.   Ir-regoli għandhom jiddistingwu bejn tipi differenti ta' konnessjonijiet tan-netwerk esterni u jistabbilixxu regoli ta' sigurtà xierqa għal kull tip ta' konnessjoni, anki jekk awtorizzazzjoni minn qabel tkunx meħtieġa għall-konnessjoni mill-awtorità rilevanti kif indikat fil-paragrafu 4 ta' dan l-Artikolu.

3.   Jekk meħtieġ, l-awtorizzazzjoni għandha tingħata fuq il-bażi ta' talba formali u l-proċess ta' approvazzjoni. L-approvazzjoni għandha tkun valida għal tul ta' żmien speċifiku u għandha tinkiseb qabel ma tkun attivata l-konnessjoni.

4.   Id-Direttorat Ġenerali tar-Riżorsi Umani u tas-Sigurtà għandu jkollu responsabbiltà ġenerali għal awtorizzazzjoni ta' talbiet, iżda jista' jiddelega r-responsabbiltà għall-awtorizzazzjoni ta' xi tipi ta' konnessjoni fid-diskrezzjoni tiegħu f'konformità mal-Artikolu 17(3) tad-Deċiżjoni (UE, Euratom) 2015/443 u soġġett għall-kondizzjonijiet stabbiliti taħt (8).

5.   L-entità ta' awtorizzazzjoni tista' timponi obbligi ta' sigurtà addizzjonali bħala prerekwiżit għall-approvazzjoni, sabiex tipproteġi s-SKI tal-Kummissjoni u netwerks minn riskji ta' aċċess mhux awtorizzat jew ksur ieħor tas-sigurtà.

6.   Id-Direttorat Ġenerali għall-Informatika huwa l-fornitur standard tas-servizzi tan-netwerk għall-Kummissjoni. Kull dipartiment ieħor tal-Kummissjoni li jopera netwerk li ma jkunx ipprovdut mid-Direttorat Ġenerali għall-Informatika għandu l-ewwel jikseb il-ftehim tal-ISSB. Id-dipartiment tal-Kummissjoni għandu jiddokumenta ġustifikazzjoni kummerċjali għat-talba u juri li l-kontrolli tan-netwerk ikunu biżżejjed biex jissodisfaw ir-rekwiżiti biex jikkontrollaw il-flussi ta' informazzjoni deħlin u ħerġin.

7.   Is-sid tas-sistema ta' SKI għandu jiddetermina r-rekwiżiti ta' sigurtà għal aċċess estern għal dik is-SKI u għandu jiżgura l-implimentazzjoni ta' miżuri xierqa biex jipproteġi s-sigurtà tagħha, bl-appoġġ tal-LISO.

8.   Il-miżuri ta' sigurtà implimentati għal konnessjonijiet tan-netwerk estern għandhom ikunu bbażati fuq il-prinċipji ta' ħtieġa ta' tagħrif u l-inqas privileġġ, li jiżguraw li individwi jirċievu biss l-informazzjoni u d-drittijiet ta' aċċess li jkollhom bżonn biex iwettqu d-dmirijiet uffiċjali tagħhom għall-Kummissjoni.

9.   Il-konnessjonijiet tan-netwerk esterni kollha għandhom jiġu ffiltrati u mmonitorjati sabiex jikxfu ksur potenzjali tas-sigurtà.

10.   Fejn il-konnessjonijiet huma stabbiliti biex jippermettu l-esternalizzazzjoni ta' SKI, l-awtorizzazzjoni għandha tkun kondizzjonali fuq it-tlestija b'suċċess tal-proċedura deskritta fl-Artikolu 8.

1.   Għall-finijiet ta' din id-Deċiżjoni, SKI hija meqjusa biex tiġi esternalizzata meta din tkun ipprovduta abbażi ta' kuntratt ma' kuntrattur terz, taħt liema s-SKI tkun lokalizzata f'bini li mhux tal-Kummissjoni. Dan jinkludi l-esternalizzazzjoni ta' SKIs individwali jew multipli jew servizzi oħra tal-IT, ċentri ta' dejta f'post li mhuwiex tal-Kummissjoni, u t-trattament ta' settijiet ta' dejta minn servizzi esterni.

2.   L-esternalizzazzjoni ta' SKI għandha tieħu kont tas-sensittività jew il-klassifikazzjoni ta' informazzjoni ttrattata kif ġej:

(a)	SKI li tittratta IKUE għandha tkun akkreditata skont id-Deċiżjoni (UE, Euratom) 2015/444, u l-Awtorità ta' Akkreditament ta' Sigurtà tal-Kummissjoni (AAS) għandha tiġi kkonsultata minn qabel. Sistemi li jittrattaw IKUE m'għandhomx jiġu esternalizzati.

(b)

Sid is-sistema ta' SKI li tittratta informazzjoni mhux IKUE għandu jimplimenta miżuri proporzjonati biex jindirizza l-ħtiġijiet ta' sigurtà f'konformità mal-obbligi legali relevanti jew is-sensittività tal-informazzjoni, filwaqt li jitqiesu r-riskji ta' esternalizzazzjoni. Id-Direttorat Ġenerali tar-Riżorsi Umani u tas-Sigurtà jista' jimponi rekwiżiti addizzjonali.

(c)	Proġetti ta' żvilupp esternalizzati għandhom iqisu s-sensittività tal-kodiċi żviluppat u kwalunkwe dejta tat-testijiet użata matul l-iżvilupp.

3.   Il-prinċipji li ġejjin għandhom japplikaw għal SKI esternalizzata b'żieda ma' dawk stabbiliti fl-Artikolu 3 tad-Deċiżjoni (UE, Euratom) 2017/46:

(a)	arranġamenti ta' esternalizzazzjoni għandhom ikunu ddisinjati b'tali mod li jevitaw dipendenza fuq fornituri speċifiċi;

(b)	L-esternalizzazzjoni ta' arranġamenti ta' sigurtà għandhom inaqqsu kemm jista' jkun il-possibbiltajiet għal parti terza biex taċċessa jew timmodifika informazzjoni tal-Kummissjoni;

(c)	persunal terz li jkollu aċċess għal SKI esternalizzata għandu jipprovdi ftehimiet ta' kunfidenzjalità;

(d)	l-esternalizzazzjoni ta' SKI għandha tiġi indikata fl-inventarju tas-SKI.

4.   Sid is-sistema bil-parteċipazzjoni tas-sid tad-dejta għandu:

(a)	jivvaluta u jiddokumenta r-riskji marbuta mal-esternalizzazzjoni;

(b)	jistabbilixxi r-rekwiżiti ta' sigurtà rilevanti;

(c)	jikkonsulta ma' sidien is-sistema tas-SKI l-oħra kollha li huma konnessi biex jiżguraw li r-rekwiżiti ta' sigurtà tagħhom jiġu inklużi;

(d)	jiżgura li rekwiżiti u d-drittijiet xierqa ta' sigurtà huma inklużi fil-kuntratt tal-esternalizzazzjoni;

(e)	jissodisfa kwalunkwe rekwiżiti oħra stabbiliti skont il-proċedura dettaljata kif indikati fil-paragrafu 8 ta' dan l-Artikolu.

Dawn l-azzjonijiet għandhom jitlestew qabel ma jiġi ffirmat il-kuntratt jew ftehim ieħor għall-esternalizzazzjoni tas-SKI.

5.   Is-sidien tas-sistema għandhom jimmaniġġjaw ir-riskji marbuta mal-esternalizzazzjoni matul il-ħajja tas-SKI sabiex jissodisfaw ir-rekwiżiti ta' sigurtà definiti.

6.   Is-sidien tas-sistema għandhom jiżguraw li kuntratturi ta' partijiet terzi jkunu obbligati li immedjatament jinnotifikaw lill-Kummissjoni b'kull inċident għas-sigurtà tal-IT li jaffettwa SKI tal-Kummissjoni esternalizzata.

7.   Is-sid tas-sistema huwa responsabbli biex jiżgura l-konformità tas-SKI, l-għoti tal-kuntratt u l-arranġamenti ta' sigurtà mar-regoli tal-Kummissjoni dwar is-sigurtà tal-informazzjoni u s-sigurtà tal-IT.

8.   Id-Direttorat Ġenerali tar-Riżorsi Umani u tas-Sigurtà għandu jistabbilixxi standard dettaljat relatat mar-responsabbiltajiet u l-attivitajiet stipulati f'punti (1) sa (7) skont l-Artikolu 10 ta' hawn taħt.

1.   Id-dispożizzjonijiet ta' din id-Deċiżjoni għandhom, fejn meħtieġ, jiġu ddettaljati aktar fi standards u/jew linji gwida li għandhom jiġu adottati f'konformità mad-Deċiżjoni (UE, Euratom) 2017/46 u fid-Deċiżjoni C(2017) 7428. Standards tas-sigurtà tal-IT u l-linji gwida għandhom jipprovdu aktar dettalji dwar dawn ir-regoli ta' implimentazzjoni u d-Deċiżjoni (UE, Euratom) 2017/46 għal oqsma speċifiċi ta' sigurtà skont ISO 27001:2013 l-Anness A. Dawn l-istandards u l-linji gwida huma bbażati fuq l-aħjar prattiki fl-industrija u jintgħażlu biex ikunu adatti fl-ambjent tal-IT tal-Kummissjoni.

2.   L-istandards għandhom, fejn meħtieġ, jiġu żviluppati skont ISO 27001:2013 l-Anness A fl-oqsma li ġejjin:

(1)	Organizzazzjoni tas-sigurtà tal-informazzjoni;

(2)	Sigurtà tar-riżorsi umani;

(3)	Immaniġġjar tal-assi;

(4)	Kontroll tal-aċċess;

(5)	Kriptografija;

(6)	Sigurtà fiżika u ambjentali;

(7)	Sigurtà operazzjonali;

(8)	Sigurtà tal-komunikazzjoni;

(9)	Akkwiżizzjoni, żvilupp u manutenzjoni tas-sistema;

(10)	Relazzjonijiet mal-fornituri;

(11)	Il-ġestjoni tal-inċidenti tas-sigurtà tal-informazzjoni;

(12)	Aspetti tas-sigurtà tal-informazzjoni tal-ġestjoni tal-kontinwità tan-negozju;

(13)	Konformità.

3.   L-ISSB għandu japprova l-istandards imsemmija fil-paragrafu 1 u 2 ta' dan l-Artikolu qabel l-adozzjoni tagħhom.

4.   Ir-regoli ta' implimentazzjoni tad-Deċiżjoni C(2006) 3602 relatati mal-ambitu ta' din id-Deċiżjoni huma b'dan imħassra.

5.   L-istandards u l-linji gwida adottati skont id-Deċiżjoni C(2006) 3602 tas-16 ta' Awwissu 2006 għandhom jibqgħu fis-seħħ, ladarba dawn ma jmorrux kontra dawn ir-regoli ta' implimentazzjoni, sakemm dawn jitħassru jew jiġu sostitwiti minn standards jew linji gwida li għandhom jiġu adottati skont l-Artikolu 13 tad-Deċiżjoni (UE, Euratom) 2017/46.