Document ID: 32019D1963
Language: ITA

<table><col/><col/><col/><col/><tbody><tr><td><p>2.12.2019&#160;&#160;&#160;</p></td><td><p>IT</p></td><td><p>Gazzetta ufficiale dell'Unione europea</p></td><td><p>L 311/37</p></td></tr></tbody></table>
DECISIONE (UE, Euratom) 2019/1963 DELLA COMMISSIONE
del 17 ottobre 2019
che stabilisce le norme di attuazione in materia di sicurezza industriale per quanto riguarda i contratti di appalto classificati
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 249,
visto il trattato che istituisce la Comunità europea dell’energia atomica, in particolare l’articolo 106,
vista la decisione (UE, Euratom) 2015/443 della Commissione, del 13 marzo 2015, sulla sicurezza nella Commissione ( 1 ) ,
vista la decisione (UE, Euratom) 2015/444 della Commissione, del 13 marzo 2015, sulle norme di sicurezza per proteggere le informazioni classificate UE ( 2 ) ,
vista la decisione (UE, Euratom) 2017/46 della Commissione, del 10 gennaio 2017, sulla sicurezza dei sistemi di comunicazione e informazione della Commissione europea ( 3 ) ,
previa consultazione del gruppo di esperti in materia di sicurezza della Commissione a norma dell’articolo 41, paragrafo 5, della decisione (UE, Euratom) 2015/444,
considerando quanto segue:
<table><col/><col/><tbody><tr><td><p>(1)</p></td><td><p>Gli articoli 41, 42, 47 e 48 della decisione (UE, Euratom) 2015/444 prevedono che siano stabilite disposizioni pi&#249; dettagliate a integrazione e supporto del capo 6 della medesima decisione mediante norme di attuazione in materia di sicurezza industriale per disciplinare aspetti quali la procedura di appalto, la conclusione di contratti classificati, il nulla osta di sicurezza delle imprese, il nulla osta di sicurezza del personale, le visite e la trasmissione e il trasporto delle informazioni classificate UE (ICUE).</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(2)</p></td><td><p>La decisione (UE, Euratom) 2015/444 stabilisce che l&#8217;attuazione dei contratti classificati avvenga in stretta collaborazione con l&#8217;autorit&#224; di sicurezza nazionale, l&#8217;autorit&#224; di sicurezza designata o qualsiasi altra autorit&#224; competente degli Stati membri interessati. Gli Stati membri hanno convenuto di provvedere affinch&#233; qualsiasi soggetto sotto la loro giurisdizione che pu&#242; ottenere o produrre informazioni classificate provenienti dalla Commissione sia in possesso di un nulla osta di sicurezza adeguato e sia in grado di assicurare la protezione di sicurezza del livello adeguato, equivalente a quella accordata dalle norme di sicurezza del Consiglio dell&#8217;Unione europea per proteggere le informazioni classificate UE che recano un contrassegno di classifica corrispondente, secondo quanto previsto dall&#8217;accordo tra gli Stati membri dell&#8217;Unione europea, riuniti in sede di Consiglio, sulla protezione delle informazioni classificate scambiate nell&#8217;interesse dell&#8217;Unione europea (2011/C 202/05)&#160;<a>(<span>4</span>)</a>.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(3)</p></td><td><p>Il Consiglio, la Commissione e l&#8217;Alta rappresentante dell&#8217;Unione per gli affari esteri e la politica di sicurezza hanno convenuto di garantire la massima coerenza nell&#8217;applicazione delle norme di sicurezza relative alla protezione delle ICUE tenendo conto allo stesso tempo delle loro specifiche esigenze istituzionali e organizzative, conformemente alle dichiarazioni allegate al verbale della sessione del Consiglio in cui &#232; stata adottata la decisione 2013/488/UE del Consiglio&#160;<a>(<span>5</span>)</a> sulle norme di sicurezza per proteggere le informazioni classificate UE.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(4)</p></td><td><p>Le norme di attuazione della Commissione in materia di sicurezza industriale per quanto riguarda i contratti classificati dovrebbero pertanto garantire anche la massima coerenza e tenere conto degli orientamenti sulla sicurezza industriale approvati dal comitato per la sicurezza del Consiglio il 13 dicembre 2016 e degli articoli 7 e 22 della direttiva 2009/81/CE del Parlamento europeo e del Consiglio&#160;<a>(<span>6</span>)</a>.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(5)</p></td><td><p>Il 4 maggio 2016 la Commissione ha adottato una decisione&#160;<a>(<span>7</span>)</a> che abilita il membro della Commissione responsabile per le questioni di sicurezza ad adottare, a nome della Commissione e sotto la sua responsabilit&#224;, le norme di attuazione a norma dell&#8217;articolo 60 della decisione (UE, Euratom) 2015/444,</p></td></tr></tbody></table>
HA ADOTTATO LA PRESENTE DECISIONE:
CAPO 1
DISPOSIZIONI GENERALI
Articolo 1
Oggetto e ambito di applicazione
1. La presente decisione stabilisce le norme di attuazione in materia di sicurezza industriale per quanto riguarda i contratti di appalto classificati a supporto dell’attuazione della decisione (UE, Euratom) 2015/444, in particolare il capo 6 della medesima.
2. La presente decisione stabilisce requisiti specifici per garantire la protezione delle informazioni classificate UE (ICUE) da parte degli operatori economici nella fase precontrattuale, lungo tutto il ciclo di vita dei contratti classificati conclusi dalla Commissione europea e per i subcontratti conclusi da contraenti della Commissione.
3. La presente decisione riguarda le informazioni classificate ai seguenti livelli:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>RESTREINT UE/EU RESTRICTED;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>CONFIDENTIEL UE/EU CONFIDENTIAL;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>SECRET UE/EU SECRET.</p></td></tr></tbody></table>
Articolo 2
Responsabilità in seno alla Commissione
1. Nell’ambito delle responsabilità descritte nel regolamento finanziario ( 8 ) , ciascun ordinatore dell’autorità contraente della Commissione garantisce che il contratto classificato faccia riferimento alle norme minime di sicurezza industriale di cui al capo 6 della decisione (UE, Euratom) 2015/444 e alle presenti norme di attuazione e, se del caso, al bando di gara o all’invito a presentare offerte, e che tali norme minime siano rispettate nel corso dell’attuazione.
2. A tal fine, in tutte le fasi, l’ordinatore interessato chiede il parere dell’autorità di sicurezza della Commissione sulle questioni riguardanti gli elementi di sicurezza del contratto, programma o progetto classificato e informa il responsabile locale della sicurezza in merito ai contratti conclusi. La decisione sul livello di classifica di determinate materie spetta all’autorità contraente ed è presa tenendo in debito conto la guida alle classifiche di sicurezza.
3. Nel rispetto dei requisiti delle presenti norme di attuazione, l’autorità di sicurezza della Commissione collabora strettamente con le autorità di sicurezza nazionali (NSA) e le autorità di sicurezza designate (DSA) degli Stati membri interessati, in particolare per quanto riguarda il nulla osta di sicurezza delle imprese (FCS) e il nulla osta di sicurezza del personale (PSC), la procedura relativa alle visite e i programmi di trasporto.
CAPO 2
GESTIONE DELLE GARE D’APPALTO PER I CONTRATTI CLASSIFICATI
Articolo 3
Principi di base
1. I contratti classificati sono aggiudicati esclusivamente a operatori economici registrati in uno Stato membro o a operatori economici registrati in un paese terzo o istituiti da un’organizzazione internazionale, purché il paese terzo o l’organizzazione internazionale abbiano concluso un accordo sulla sicurezza delle informazioni con l’Unione europea o un accordo amministrativo con la Commissione ( 9 ) .
2. Prima di pubblicare l’invito a presentare offerte per un contratto classificato, l’autorità contraente determina la classifica di sicurezza delle informazioni che potrebbero essere fornite agli offerenti. L’autorità contraente determina anche la classifica di sicurezza massima delle informazioni generate durante l’esecuzione del contratto, del programma o del progetto, o almeno il volume e il tipo delle informazioni che si prevede di produrre o trattare e stabilisce la necessità di un sistema di comunicazione e informazione (CIS) classificato.
3. L’autorità contraente provvede affinché i bandi di gara relativi a contratti classificati forniscano informazioni sugli obblighi specifici di sicurezza connessi alle informazioni classificate. L’allegato I contiene il modello delle informazioni da includere nel bando di gara.
4. L’autorità contraente provvede affinché le informazioni classificate RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET siano comunicate agli offerenti solo dopo che questi ultimi abbiano firmato l’impegno alla non divulgazione, che li obbliga a trattare e proteggere le ICUE a norma della decisione (UE, Euratom) 2015/444 e delle relative norme di attuazione.
5. Tutti i contraenti tenuti a trattare o conservare informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nelle loro strutture, nel corso dell’esecuzione del contratto classificato stesso o nella fase precontrattuale, devono essere in possesso dell’FSC al livello richiesto. Di seguito sono indicate le tre situazioni che possono presentarsi nella fase di gara relativa ad un contratto classificato che comporta ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>nessun accesso alle ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nella fase di gara:</p><p>se il bando di gara o l&#8217;invito a presentare offerte riguarda un contratto che comporter&#224; ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, ma l&#8217;offerente non sar&#224; tenuto a trattare dette informazioni nella fase di gara, il mancato possesso da parte dell&#8217;offerente dell&#8217;FSC al livello richiesto non determina l&#8217;esclusione dalla procedura di presentazione dell&#8217;offerta;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>accesso alle ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei locali dell&#8217;autorit&#224; contraente nella fase di gara:</p><p>l&#8217;accesso &#232; consentito al personale dell&#8217;offerente che sia in possesso del PSC al livello richiesto e che abbia necessit&#224; di conoscere. Prima di concedere l&#8217;accesso, l&#8217;autorit&#224; contraente verifica presso l&#8217;NSA/DSA competente, tramite l&#8217;autorit&#224; di sicurezza della Commissione, se in questa fase l&#8217;FSC &#232; richiesto anche a norma delle disposizioni legislative e regolamentari nazionali;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>trattamento o conservazione delle ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei locali dell&#8217;offerente nella fase di gara:</p><p>se il bando di gara o l&#8217;invito a presentare offerte impone agli offerenti di trattare o conservare le ICUE nei loro locali, l&#8217;offerente deve essere in possesso dell&#8217;FSC al livello richiesto. In questi casi l&#8217;autorit&#224; contraente ottiene, tramite l&#8217;autorit&#224; di sicurezza della Commissione, l&#8217;assicurazione dell&#8217;NSA/DSA competente che all&#8217;offerente &#232; stato rilasciato l&#8217;FSC adeguato. L&#8217;accesso &#232; consentito al personale dell&#8217;offerente che sia in possesso del PSC al livello richiesto e che abbia necessit&#224; di conoscere.</p></td></tr></tbody></table>
6. Di norma, non è richiesto l’FSC per l’accesso alle informazioni RESTREINT UE/EU RESTRICTED, né nella fase di gara né in quella di esecuzione del contratto. Quando gli Stati membri prescrivono l’FSC per contratti o subcontratti di livello RESTREINT UE/EU RESTRICTED a norma di disposizioni legislative e regolamentari nazionali, come indicato nell’allegato IV, le prescrizioni nazionali non possono imporre obblighi supplementari agli altri Stati membri né impedire agli offerenti, contraenti o subcontraenti di Stati membri che non prevedono dette prescrizioni in materia di FSC l’accesso a informazioni RESTREINT UE/EU RESTRICTED derivanti da contratti/subcontratti connessi o la partecipazione alla relativa gara. Questi contratti sono eseguiti negli Stati membri conformemente alle rispettive disposizioni legislative e regolamentari nazionali.
7. Quando per l’esecuzione di un contratto classificato è richiesto l’FSC, l’autorità contraente, tramite l’autorità di sicurezza della Commissione, presenta richiesta all’NSA/DSA del contraente utilizzando il modulo di informazione sul nulla osta di sicurezza delle imprese (FSCIS). L’allegato III, appendice D, riporta un modello di FSCIS ( 10 ) . Il contratto classificato non può essere aggiudicato fino a quando l’NSA/DSA non ha confermato l’FSC del contraente. Se possibile, la risposta all’FSCIS è fornita entro dieci giorni lavorativi dalla data della richiesta.
Articolo 4
Subcontratti dei contratti classificati
1. Le condizioni alle quali il contraente aggiudicatario di un contratto classificato della Commissione può concludere subcontratti sono definite nell’invito a presentare offerte e nella documentazione contrattuale. Se il contratto classificato consente il subcontratto per alcune delle sue parti, il subcontratto è subordinato al consenso preliminare scritto dell’autorità contraente. Prima di dare l’assenso, l’autorità contraente consulta l’autorità di sicurezza della Commissione.
2. I contratti classificati sono concessi in subcontratto esclusivamente a operatori economici registrati in uno Stato membro o a operatori economici registrati in un paese terzo o istituiti da un’organizzazione internazionale, purché il paese terzo o l’organizzazione internazionale abbiano concluso un accordo sulla sicurezza delle informazioni con l’UE o un accordo amministrativo con la Commissione ( 11 ) .
CAPO 3
AGGIUDICAZIONE DI CONTRATTI CLASSIFICATI DELLA COMMISSIONE
Articolo 5
Principi di base
1. In sede di aggiudicazione di un contratto classificato, l’autorità contraente, assieme all’autorità di sicurezza della Commissione, garantisce che gli obblighi del contraente in materia di protezione delle ICUE fornite al contraente o generate nel corso dell’esecuzione del contratto siano parte integrante del contratto. I requisiti di sicurezza specifici del contratto assumono la forma di una lettera sugli aspetti di sicurezza (SAL). Nell’allegato III è riportato un modello di SAL.
2. Prima della firma del contratto classificato, l’autorità contraente prepara, previa consultazione dell’autorità di sicurezza della Commissione, una guida alle classifiche di sicurezza (SCG), in cui sono descritti i compiti da svolgere e le informazioni generate nell’esecuzione del contratto, o, se del caso, a livello di programma o di progetto. La SCG è inclusa nella SAL.
3. I requisiti di sicurezza specifici del programma o del progetto assumono la forma di istruzioni di sicurezza del programma/progetto (PSI). Le PSI possono essere redatte sulla base delle disposizioni del modello di SAL di cui all’allegato III. Le PSI sono elaborate dal servizio della Commissione responsabile della gestione del programma o del progetto, in stretta collaborazione con l’autorità di sicurezza della Commissione, e presentate per parere al gruppo di esperti in materia di sicurezza della Commissione. Se un contratto rientra in un programma o in un progetto dotato delle proprie PSI, la SAL del contratto è redatta in forma semplificata e rinvia alle disposizioni in materia di sicurezza contenute nelle PSI del programma o progetto.
4. L’autorità contraente è considerata l’originatore delle informazioni classificate create e trattate ai fini dell’esecuzione del contratto.
5. L’autorità contraente, tramite l’autorità di sicurezza della Commissione, notifica alle NSA/DSA di tutti i contraenti e subcontraenti la conclusione di contratti o subcontratti classificati e la loro eventuale proroga o estinzione anticipata. Nell’allegato IV è riportato l’elenco delle prescrizioni per paese.
6. I contratti che comportano informazioni classificate RESTREINT UE/EU RESTRICTED includono una clausola di sicurezza che rende vincolanti per il contraente le disposizioni di cui all’allegato III, appendice E. Tali contratti includono la SAL, che stabilisce, come minimo, i requisiti per il trattamento delle informazioni RESTREINT UE/EU RESTRICTED, compresi gli aspetti relativi alla garanzia di sicurezza delle informazioni e i requisiti specifici che il contraente delegato dall’autorità contraente deve rispettare per l’accreditamento del CIS del contraente che tratta informazioni RESTREINT UE/EU RESTRICTED.
7. Quando agli offerenti o ai potenziali contraenti sono fornite informazioni RESTREINT UE/EU RESTRICTED, i requisiti minimi di cui al paragrafo 6 sono inclusi nelle offerte o nel pertinente impegno alla non divulgazione concluso nella fase di gara.
8. Ove previsto dalle disposizioni legislative e regolamentari degli Stati membri, le NSA/DSA garantiscono che i contraenti o i subcontraenti sotto la loro giurisdizione rispettino le disposizioni di sicurezza applicabili per la protezione delle informazioni RESTREINT UE/EU RESTRICTED e svolgono visite di verifica presso le strutture del contraente situate sul loro territorio. Se l’NSA/DSA non è soggetta a tale obbligo, l’autorità contraente garantisce che il contraente attui le disposizioni di sicurezza richieste di cui all’allegato III.
Articolo 6
Accesso alle ICUE da parte del personale dei contraenti e dei subcontraenti
1. Il servizio della Commissione, in qualità di autorità contraente, assicura che i contratti classificati contengano disposizioni secondo le quali il personale del contraente o del subcontraente che per l’esecuzione del contratto o del subcontratto classificato debba avere accesso alle ICUE può beneficiare di tale accesso soltanto se:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>&#232; stato stabilito che ha necessit&#224; di conoscere;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>per le informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, l&#8217;NSA/DSA o altra autorit&#224; di sicurezza competente gli ha rilasciato il PSC di livello appropriato;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>&#232; stato istruito sulle norme di sicurezza applicabili per la protezione delle ICUE e ha riconosciuto le proprie responsabilit&#224; in materia di protezione di tali informazioni.</p></td></tr></tbody></table>
2. Se il contraente o il subcontraente intendono assumere un cittadino di un paese non UE in una posizione che richiede l’accesso a ICUE classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, spetta al contraente o al subcontraente avviare la procedura per il rilascio del nulla osta di sicurezza per detta persona a norma delle disposizioni legislative e regolamentari nazionali applicabili nel luogo in cui deve essere concesso l’accesso alle ICUE.
CAPO 4
VISITE IN RELAZIONE A CONTRATTI CLASSIFICATI
Articolo 7
Principi di base
1. Se la Commissione, i contraenti o i subcontraenti richiedono l’accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei reciproci locali per l’esecuzione del contratto classificato, le visite sono organizzate di concerto con le NSA/DSA o altre autorità di sicurezza competenti interessate.
2. Le visite di cui al paragrafo 1 sono soggette alle seguenti condizioni:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>la visita deve avere uno scopo ufficiale inerente ad un contratto classificato aggiudicato dalla Commissione;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>per accedere alle ICUE fornite o generate nell&#8217;esecuzione di un contratto classificato aggiudicato dalla Commissione i visitatori devono essere in possesso del PSC al livello richiesto e avere la necessit&#224; di conoscere.</p></td></tr></tbody></table>
Articolo 8
Richiesta di visita
1. Le visite dei contraenti presso le strutture di altri contraenti, o presso i locali della Commissione, che comportano l’accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate secondo la seguente procedura:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>il responsabile della sicurezza della struttura che invia il visitatore deve compilare tutte le parti pertinenti del modulo per la richiesta di visita (RFV) e presentare la richiesta all&#8217;NSA/DSA della struttura. Nell&#8217;allegato III, appendice C, &#232; riportato un modello del modulo RFV;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>l&#8217;NSA/DSA della struttura che invia il visitatore deve confermare il PSC del visitatore prima di inoltrare l&#8217;RFV all&#8217;NSA/DSA della struttura ospitante (o all&#8217;autorit&#224; di sicurezza della Commissione se la visita viene effettuata nei locali della Commissione);</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>il responsabile della sicurezza della struttura che invia il visitatore deve poi acquisire dalla propria NSA/DSA la risposta dell&#8217;NSA/DSA della struttura ospitante (o dell&#8217;autorit&#224; di sicurezza della Commissione) di approvazione o di rigetto dell&#8217;RFV;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>l&#8217;RFV &#232; considerata approvata se non vengono sollevate obiezioni fino ai cinque giorni lavorativi precedenti la data della visita.</p></td></tr></tbody></table>
2. Le visite effettuate da funzionari della Commissione presso le strutture del contraente che comportano l’accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate secondo la seguente procedura:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>il visitatore deve compilare tutte le parti pertinenti del modulo RFV e inoltrarlo all&#8217;autorit&#224; di sicurezza della Commissione;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>l&#8217;autorit&#224; di sicurezza della Commissione conferma il PSC del visitatore prima di presentare l&#8217;RFV all&#8217;NSA/DSA della struttura ospitante;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>l&#8217;autorit&#224; di sicurezza della Commissione acquisisce dall&#8217;NSA/DSA della struttura ospitante la risposta di approvazione o di rigetto dell&#8217;RFV;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>l&#8217;RFV &#232; considerata approvata se non vengono sollevate obiezioni fino ai cinque giorni lavorativi precedenti la data della visita.</p></td></tr></tbody></table>
3. L’RFV può riguardare una singola visita o visite ricorrenti. In caso di visite ricorrenti, l’RFV può essere valida per un periodo massimo di un anno a decorrere dalla data di inizio richiesta.
4. La durata di validità dell’RFV non può superare la durata di validità del PSC del visitatore.
5. Di norma, l’RFV deve essere presentata all’autorità di sicurezza competente della struttura ospitante almeno 15 giorni lavorativi prima della data della visita.
Articolo 9
Procedure di visita
1. Prima di consentire ai visitatori di accedere alle ICUE, l’ufficio di sicurezza della struttura ospitante deve espletare tutte le procedure e rispettare tutte le norme in materia di sicurezza delle visite stabilite dalla propria NSA/DSA.
2. I visitatori devono dimostrare la propria identità all’arrivo presso la struttura ospitante presentando una carta d’identità o un passaporto validi. I dati identificativi devono corrispondere alle informazioni fornite nell’RFV.
3. La struttura ospitante provvede alla tenuta dei registri di tutti i visitatori, contenenti nome e cognome, organizzazione che rappresentano, data di scadenza del PSC, data della visita e nome e cognome delle persone visitate. I registri sono conservati per un periodo di almeno cinque anni, o per un periodo di durata superiore se previsto dalle norme e dai regolamenti nazionali del paese in cui è situata la struttura ospitante.
Articolo 10
Visite organizzate direttamente
1. Nel quadro di progetti specifici, le pertinenti NSA/DSA e l’autorità di sicurezza della Commissione possono concordare una procedura in base alla quale le visite per un determinato contratto classificato possono essere organizzate direttamente tra il responsabile della sicurezza del visitatore e il responsabile della sicurezza della struttura da visitare. Il modello di modulo da utilizzare a tal fine figura nell’allegato III, appendice C. Questa procedura eccezionale è definita nelle PSI o in altri accordi specifici. In questi casi non si applicano le procedure di cui all’articolo 8 e all’articolo 9, paragrafo 1.
2. Le visite che comportano l’accesso a informazioni classificate RESTREINT UE/EU RESTRICTED sono organizzate direttamente tra l’entità che invia e l’entità che riceve i visitatori senza dover seguire le procedure di cui all’articolo 8 e all’articolo 9, paragrafo 1.
CAPO 5
TRASMISSIONE E TRASPORTO DI ICUE NEL QUADRO DELL’ESECUZIONE DEI CONTRATTI CLASSIFICATI
Articolo 11
Principi di base
L’autorità contraente garantisce che tutte le decisioni relative al trasferimento e al trasporto di ICUE siano conformi alla decisione (UE, Euratom) 2015/444 e alle relative norme di attuazione, nonché alle condizioni del contratto classificato, compreso il consenso dell’originatore.
Articolo 12
Trattamento elettronico
1. Il trattamento e la trasmissione elettronici delle ICUE sono effettuati conformemente ai capi 5 e 6 della decisione (UE, Euratom) 2015/444 e alle relative norme di attuazione.
I sistemi di comunicazione e informazione di proprietà del contraente utilizzati per trattare le ICUE per l’esecuzione del contratto (di seguito «CIS del contraente») sono soggetti all’accreditamento da parte dell’autorità di accreditamento in materia di sicurezza (SAA) responsabile. Ogni trasmissione elettronica di ICUE è protetta mediante prodotti crittografici approvati conformemente all’articolo 36, paragrafo 4, della decisione (UE, Euratom) 2015/444. Le misure TEMPEST sono attuate conformemente all’articolo 36, paragrafo 6, della medesima decisione.
2. L’accreditamento di sicurezza del CIS del contraente che tratta ICUE di livello RESTREINT UE/EU RESTRICTED e di tutte le relative interconnessioni può essere delegato al responsabile della sicurezza del contraente se consentito dalle disposizioni legislative e regolamentari nazionali. In caso di delega, il contraente è responsabile dell’attuazione dei requisiti minimi di sicurezza descritti nella SAL per il trattamento di informazioni RESTREINT UE/EU RESTRICTED nel suo CIS. Tuttavia, le NSA/DSA e le SAA competenti restano responsabili della protezione delle informazioni RESTREINT UE/EU RESTRICTED trattate dal contraente e conservano il diritto di ispezionare le misure di sicurezza adottate dai contraenti. Inoltre, il contraente fornisce all’autorità contraente e, se richiesto dalle disposizioni legislative e regolamentari nazionali, alla SAA nazionale competente una dichiarazione di conformità in cui si certifica che il CIS del contraente e le relative interconnessioni sono stati accreditati per il trattamento di ICUE di livello RESTREINT UE/EU RESTRICTED ( 12 ) .
Articolo 13
Trasporto mediante corrieri commerciali
Il trasporto di ICUE mediante corrieri commerciali rispetta le pertinenti disposizioni delle decisioni della Commissione sulle norme di attuazione relative al trattamento delle informazioni RESTREINT UE/EU RESTRICTED e delle informazioni CONFIDENTIEL UE/EU CONFIDENTIAL.
Articolo 14
Trasporto a mano
1. Il trasporto a mano di informazioni classificate è soggetto a rigorosi requisiti di sicurezza.
2. All’interno dell’UE le informazioni RESTREINT UE/EU RESTRICTED possono essere trasportate a mano dal personale del contraente, purché siano rispettate le seguenti condizioni:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>la busta o l&#8217;imballaggio utilizzati devono essere opachi e non recare alcuna indicazione della classificazione del contenuto;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>il latore deve portare sempre con s&#233; le informazioni classificate;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>la busta o l&#8217;imballaggio non devono essere aperti durante il trasporto.</p></td></tr></tbody></table>
3. Per le informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET, il trasporto a mano effettuato dal personale del contraente all’interno di uno Stato membro dell’UE è precedentemente organizzato tra l’entità mittente e l’entità ricevente. L’autorità o la struttura mittente comunicano all’autorità o alla struttura ricevente i dettagli della spedizione, compresi il riferimento, la classifica, l’orario previsto di arrivo e il nome del corriere. Il trasporto a mano è consentito, purché siano soddisfatte le seguenti condizioni:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>le informazioni classificate devono essere trasportate in doppia busta o doppio imballaggio;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>la busta o l&#8217;imballaggio esterni devono essere protetti e non riportano indicazioni della classificazione del contenuto, mentre la busta interna deve recare il livello di classifica;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>il latore deve portare sempre con s&#233; le ICUE;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>la busta o l&#8217;imballaggio non devono essere aperti durante il trasporto;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>e)</p></td><td><p>la busta o l&#8217;imballaggio devono essere trasportati in una valigetta chiudibile a chiave o in un contenitore analogo approvato di dimensioni e peso tali da consentire al latore di portarla sempre con s&#233; senza doverla consegnare come bagaglio al seguito;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>f)</p></td><td><p>il corriere deve essere in possesso di un certificato di corriere rilasciato dalla competente autorit&#224; di sicurezza che lo autorizza a trasportare la spedizione classificata indicata.</p></td></tr></tbody></table>
4. Per il trasporto a mano effettuato dal personale del contraente di informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET da uno Stato membro dell’UE ad un altro, si applicano le seguenti disposizioni aggiuntive:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>il corriere &#232; responsabile della custodia in condizioni di sicurezza del materiale classificato che trasporta, fino alla consegna al destinatario;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>in caso di violazione della sicurezza, l&#8217;NSA/DSA del mittente pu&#242; chiedere che le autorit&#224; del paese in cui si &#232; verificata la violazione effettuino un&#8217;indagine, ne riferiscano l&#8217;esito e avviino, se del caso, azioni legali o di altro tipo;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>il corriere deve essere stato istruito su tutti gli obblighi in materia di sicurezza da rispettare durante il trasporto e deve aver firmato un apposito impegno;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>le istruzioni per il corriere sono allegate al certificato di corriere;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>e)</p></td><td><p>il corriere ha ricevuto la descrizione della spedizione e dell&#8217;itinerario;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>f)</p></td><td><p>i documenti sono restituiti all&#8217;NSA/DSA che li ha emessi al termine del viaggio/dei viaggi o sono tenuti a disposizione dal destinatario a fini di controllo;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>g)</p></td><td><p>le autorit&#224; doganali, le autorit&#224; competenti in materia di immigrazione o la polizia di frontiera che chiedono di esaminare e ispezionare la spedizione sono autorizzate ad aprire e prendere visione di una parte sufficiente che consenta loro di accertare che non contenga materiale diverso da quello dichiarato;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>h)</p></td><td><p>le autorit&#224; doganali devono essere sollecitate a rispettare l&#8217;autorit&#224; ufficiale dei documenti di spedizione e dei documenti di autorizzazione trasportati dal corriere.</p></td></tr></tbody></table>
L’eventuale apertura della spedizione da parte delle autorità doganali deve avvenire lontano dagli sguardi di persone non autorizzate e, se possibile, in presenza del corriere. Il corriere esige che la spedizione sia reimballata e chiede alle autorità che effettuano l’ispezione di sigillarla nuovamente e di confermare per iscritto che è stata da esse aperta.
5. Il trasporto a mano effettuato dal personale del contraente di informazioni classificate RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET verso un paese terzo o un’organizzazione internazionale è soggetto alle disposizioni dell’accordo sulla sicurezza delle informazioni o dell’accordo amministrativo concluso tra, rispettivamente, l’Unione europea o la Commissione e il paese terzo o l’organizzazione internazionale in questione.
CAPO 6
PIANI DI CONTINUITÀ OPERATIVA
Articolo 15
Piani di emergenza e misure di recupero
Il servizio della Commissione, in qualità di autorità contraente, garantisce che il contratto classificato imponga al contraente di predisporre piani di emergenza (BCP) per proteggere le ICUE trattate nell’esecuzione del contratto classificato in situazioni di emergenza, e di mettere in atto misure di prevenzione e recupero nel contesto di piani di continuità operativa per ridurre al minimo l’impatto degli incidenti in relazione al trattamento e alla conservazione delle ICUE. Il contraente informa l’autorità contraente del suo BCP.
Articolo 16
Entrata in vigore
La presente decisione entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea .
Fatto a Bruxelles, il 17 ottobre 2019
Per la Commissione
A nome del presidente
Günther OETTINGER
Membro della Commissione
( 1 ) GU L 72 del 17.3.2015, pag. 41 .
( 2 ) GU L 72 dell’17.3.2015, pag. 53 .
( 3 ) GU L 6 dell’11.1.2017, pag. 40 .
( 4 ) GU C 202 dell’8.7.2011, pag. 13 .
( 5 ) Decisione 2013/488/UE del Consiglio, del 23 settembre 2013, sulle norme di sicurezza per proteggere le informazioni classificate UE ( GU L 274 del 15.10.2013, pag. 1 ).
( 6 ) Direttiva 2009/81/CE del Parlamento europeo e del Consiglio, del 13 luglio 2009, relativa al coordinamento delle procedure per l’aggiudicazione di taluni appalti di lavori, di forniture e di servizi nei settori della difesa e della sicurezza da parte delle amministrazioni aggiudicatrici/degli enti aggiudicatori ( GU L 216 del 20.8.2009, pag. 76 ).
( 7 ) Decisione della Commissione, del 4 maggio 2016, relativa alla delega di poteri in materia di sicurezza [C(2016) 2797 final].
( 8 ) Regolamento (UE, Euratom) 2018/1046 del Parlamento europeo e del Consiglio, del 18 luglio 2018, che stabilisce le regole finanziarie applicabili al bilancio generale dell’Unione, che modifica i regolamenti (UE) n. 1296/2013, (UE) n. 1301/2013, (UE) n. 1303/2013, (UE) n. 1304/2013, (UE) n. 1309/2013, (UE) n. 1316/2013, (UE) n. 223/2014, (UE) n. 283/2014 e la decisione n. 541/2014/UE e abroga il regolamento (UE, Euratom) n. 966/2012 ( GU L 193 del 30.7.2018, pag. 1 ).
( 9 ) Sul sito web della Commissione è disponibile l’elenco degli accordi conclusi dall’UE e degli accordi amministrativi conclusi dalla Commissione europea, in base ai quali le informazioni classificate UE possono essere scambiate con i paesi terzi e le organizzazioni internazionali.
( 10 ) Altri modelli utilizzati possono presentare differenze di forma rispetto al modello fornito nelle presenti norme di attuazione.
( 11 ) Sul sito web della Commissione è disponibile l’elenco degli accordi conclusi dall’UE e degli accordi amministrativi conclusi dalla Commissione europea, in base ai quali le informazioni classificate UE possono essere scambiate con i paesi terzi e le organizzazioni internazionali.
( 12 ) I requisiti minimi per i sistemi di comunicazione e informazione che trattano ICUE a livello RESTREINT UE/EU RESTRICTED sono stabiliti nell’allegato III, appendice E.
ALLEGATO I
INFORMAZIONI STANDARD DA INCLUDERE NEI BANDI DI GARA DEGLI APPALTI
(da adattare al bando di gara utilizzato)
Per i contratti che comportano informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET
Altre condizioni particolari ( se applicabile )
<table><col/><col/><col/><tbody><tr><td><p>L&#8217;esecuzione del contratto &#232; soggetta a condizioni particolari</p></td><td><p><img/></p> s&#236;</td><td><p><img/></p> no</td></tr></tbody></table>
( in caso affermativo ) Descrizione delle condizioni particolari:
Il contratto comporterà l’accesso a, il trattamento e/o la conservazione di informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, soggette alle norme di sicurezza per proteggere le informazioni classificate UE di cui alla decisione (UE, Euratom) 2015/444, e alle relative norme di attuazione ( 1 ) .
Saranno richiesti il nulla osta di sicurezza delle imprese, nonché il nulla osta di sicurezza del personale per il personale del contraente che tratterà le informazioni classificate.
Nel contratto saranno previsti obblighi speciali in materia di sicurezza (lettera sugli aspetti di sicurezza, allegata al contratto). Il subappalto sarà subordinato al previo accordo scritto dell’amministrazione aggiudicatrice e al rispetto di tutte le norme di sicurezza da parte del subcontraente e del suo personale.
Per i contratti che comportano informazioni classificate RESTREINT UE/EU RESTRICTED
Altre condizioni particolari ( se applicabile )
<table><col/><col/><col/><tbody><tr><td><p>L&#8217;esecuzione del contratto &#232; soggetta a condizioni particolari</p></td><td><p><img/></p> s&#236;</td><td><p><img/></p> no</td></tr></tbody></table>
( in caso affermativo ) Descrizione delle condizioni particolari:
Il contratto comporta l’accesso a, il trattamento e/o la conservazione di informazioni classificate RESTREINT UE/EU RESTRICTED, soggette alle norme di sicurezza per proteggere le informazioni classificate UE di cui alla decisione (UE, Euratom) 2015/444 della, e alle relative norme di attuazione ( 2 ) .
Nel contratto saranno previsti obblighi speciali in materia di sicurezza (lettera sugli aspetti di sicurezza, allegata al contratto). Il subappalto sarà subordinato al previo accordo scritto dell’amministrazione aggiudicatrice e al rispetto di tutte le norme di sicurezza da parte del subcontraente e del suo personale.
( 1 ) Il riferimento dovrà essere inserito dall’amministrazione aggiudicatrice dopo l’adozione delle norme di attuazione.
( 2 ) Il riferimento dovrà essere inserito dall’amministrazione aggiudicatrice dopo l’adozione delle norme di attuazione.
ALLEGATO II
CLAUSOLE STANDARD DEI CONTRATTI DI APPALTO
(da adattare al contratto utilizzato)
ARTICOLO XX
OBBLIGHI RELATIVI ALLA SICUREZZA
XX.1 Informazioni classificate UE
Se l’attuazione del contratto comporta l’uso o la creazione di informazioni classificate UE, fino alla loro declassificazione tali informazioni devono essere trattate conformemente alla lettera sugli aspetti di sicurezza (SAL) e alla relativa guida alle classifiche di sicurezza (SCG) di cui all’allegato 1, e alla decisione (UE, Euratom) 2015/444 e relative norme di attuazione ( 1 ) .
I deliverable contenenti informazioni classificate devono essere presentati conformemente a procedure speciali convenute con l’amministrazione aggiudicatrice.
Le azioni relative alle prestazioni che comportano informazioni classificate non possono essere subappaltate senza previa autorizzazione espressa scritta dell’amministrazione aggiudicatrice.
Le informazioni classificate UE non possono essere comunicate a terzi (compresi i subappaltatori) senza previa autorizzazione espressa scritta dell’amministrazione aggiudicatrice.
( 1 ) Il riferimento dovrà essere inserito dall’amministrazione aggiudicatrice dopo l’adozione delle norme di attuazione.
ALLEGATO III
[Allegato IV (del contratto quadro)]
LETTERA SUGLI ASPETTI DI SICUREZZA (SAL)
[Modello]
Appendice A
REQUISITI DI SICUREZZA
Nella lettera sugli aspetti di sicurezza (SAL) l’amministrazione aggiudicatrice deve includere i requisiti di sicurezza che si indicano di seguito. Alcune clausole (indicate tra parentesi quadre) potrebbero non essere applicabili al contratto.
L’elenco delle clausole non è esaustivo. Ulteriori clausole possono essere aggiunte in funzione della natura del contratto classificato.
CONDIZIONI GENERALI
[ N.B.: applicabili a tutti i contratti classificati ]
<table><col/><col/><col/><tbody><tr><td/><td><p>1.</p></td><td><span>La presente lettera sugli aspetti di sicurezza (SAL) &#232; parte integrante del contratto [o del subappalto] classificato e descrive i requisiti di sicurezza specifici del contratto. L&#8217;inosservanza di detti requisiti pu&#242; costituire motivo sufficiente di risoluzione del contratto.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>2.</p></td><td><span>I contraenti sono soggetti a tutti gli obblighi previsti dalla decisione (UE, Euratom) 2015/444 e dalle relative norme di attuazione&#160;<a>(<span>1</span>)</a>.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>3.</p></td><td><span>Le informazioni classificate generate durante l&#8217;esecuzione del contratto devono essere contrassegnate come informazioni classificate UE (ICUE) al livello di classifica di sicurezza stabilito nella guida alle classifiche di sicurezza (SCG) di cui all&#8217;appendice B della presente lettera. Lo scostamento dal livello di classifica di sicurezza stabilito dalla SCG &#232; consentito solo previa autorizzazione scritta dell&#8217;amministrazione aggiudicatrice.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>4.</p></td><td><span>I diritti dell&#8217;originatore delle ICUE create e trattate per l&#8217;esecuzione del contratto classificato sono esercitati dalla Commissione in qualit&#224; di amministrazione aggiudicatrice.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>5.</p></td><td><span>Senza il consenso scritto dell&#8217;amministrazione aggiudicatrice, il contraente o il subappaltatore non possono fare uso delle informazioni o dei materiali forniti dall&#8217;amministrazione aggiudicatrice o prodotti per suo conto per fini diversi da quelli del contratto.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>6.</p></td><td><span>Il contraente deve indagare su tutte le violazioni della sicurezza relative alle ICUE e riferirne all&#8217;amministrazione aggiudicatrice appena possibile. Il contraente o il subappaltatore devono riferire immediatamente alla propria autorit&#224; di sicurezza nazionale (NSA) responsabile o all&#8217;autorit&#224; di sicurezza designata (DSA) e, se le disposizioni legislative e regolamentari nazionali lo permettono, all&#8217;autorit&#224; di sicurezza della Commissione tutti i casi in cui &#232; noto, o vi &#232; motivo di sospettare, che le ICUE fornite o generate nel quadro del contratto sono state smarrite o sono state comunicate a persone non autorizzate.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>7.</p></td><td><span>Al termine del contratto il contraente o il subappaltatore devono restituire il prima possibile all&#8217;amministrazione aggiudicatrice tutte le ICUE in loro possesso. Ove possibile, il contraente o il subappaltatore possono distruggere le ICUE anzich&#233; restituirle. A tal fine, devono attenersi alle disposizioni legislative e regolamentari del paese in cui ha sede il contraente, previo accordo dell&#8217;autorit&#224; di sicurezza della Commissione, e conformemente alle istruzioni di quest&#8217;ultima. Le ICUE devono essere distrutte in modo tale da non poter essere ricostruite n&#233; totalmente n&#233; parzialmente.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>8.</p></td><td><span>Se il contraente o il subappaltatore sono autorizzati a conservare le ICUE dopo la risoluzione o la conclusione del contratto, le ICUE devono continuare ad essere protette conformemente alla decisione (UE, Euratom) 2015/444 (di seguito &#171;decisione 2015/444&#187;) e alle relative norme di attuazione&#160;<a>(<span>2</span>)</a>.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>9.</p></td><td><span>Il trattamento, l&#8217;elaborazione e la trasmissione elettronici delle ICUE avvengono nel rispetto delle disposizioni dei capi 5 e 6 della decisione 2015/444. Queste prevedono, tra l&#8217;altro, l&#8217;obbligo di sottoporre ad accreditamento i sistemi di comunicazione e informazione di propriet&#224; del contraente e utilizzati per il trattamento delle ICUE ai fini del contratto (di seguito &#171;il CIS del contraente&#187;)&#160;<a>(<span>3</span>)</a>; l&#8217;obbligo di proteggere la trasmissione elettronica delle ICUE mediante prodotti crittografici approvati a norma dell&#8217;articolo 36, paragrafo 4, della decisione 2015/444 e l&#8217;obbligo di attuare misure TEMPEST a norma dell&#8217;articolo 36, paragrafo 6, della decisione 2015/444.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>10.</p></td><td><span>Il contraente o il subappaltatore si dotano di piani di emergenza dell&#8217;impresa (BCP) per proteggere le ICUE trattate nell&#8217;esecuzione del contratto classificato in situazioni di emergenza e mettono in atto misure di prevenzione e recupero per ridurre al minimo l&#8217;impatto degli incidenti in relazione al trattamento e alla conservazione delle ICUE. Il contraente o il subappaltatore devono comunicare il loro BCP all&#8217;amministrazione aggiudicatrice.</span></td></tr></tbody></table>
CONTRATTI CHE RICHIEDONO L’ACCESSO A INFORMAZIONI CLASSIFICATE RESTREINT UE/EU RESTRICTED
<table><col/><col/><col/><tbody><tr><td/><td><p>11.</p></td><td><span>Ai fini della conformit&#224; al contratto non &#232; richiesto il nulla osta di sicurezza del personale (PSC). Tuttavia, le informazioni o i materiali classificati RESTREINT UE/EU RESTRICTED devono essere accessibili solo al personale del contraente che ha bisogno di dette informazioni per eseguire il contratto (principio della necessit&#224; di conoscere), che &#232; stato istruito dal responsabile della sicurezza del contraente sulle sue responsabilit&#224; e sulle conseguenze di compromissioni o violazioni della sicurezza di dette informazioni e che ha riconosciuto per iscritto le conseguenze della mancata protezione delle ICUE.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>12.</p></td><td><span>Senza il consenso scritto dell&#8217;amministrazione aggiudicatrice il contraente o il subappaltatore non possono concedere l&#8217;accesso alle informazioni o al materiale classificati RESTREINT UE/EU RESTRICTED a entit&#224; o persone diverse dal proprio personale che ha necessit&#224; di conoscere.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>13.</p></td><td><span>Il contraente o il subappaltatore devono mantenere i contrassegni di classifica di sicurezza delle informazioni classificate generate o fornite durante l&#8217;attuazione del contratto e non devono declassificarle senza il consenso scritto dell&#8217;amministrazione aggiudicatrice.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>14.</p></td><td><span>Le informazioni o i materiali classificati RESTREINT UE/EU RESTRICTED, quando non sono utilizzati, devono essere conservati in mobili da ufficio chiusi a chiave. Durante il trasporto i documenti devono essere contenuti in una busta opaca. Il latore deve sempre portare con s&#233; i documenti, che non possono essere aperti durante il trasporto.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>15.</p></td><td><span>Il contraente o il subappaltatore possono trasmettere alla Commissione i documenti classificati RESTREINT UE/EU RESTRICTED tramite corriere commerciale, servizio postale, trasporto a mano o mediante mezzi elettronici. A tal fine il contraente o il subappaltatore devono attenersi alle istruzioni di sicurezza del programma (o progetto) (PSI) impartite dalla Commissione e/o alle norme di attuazione della Commissione in materia di sicurezza industriale per quanto riguarda i contratti di appalto classificati&#160;<a>(<span>4</span>)</a>.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>16.</p></td><td><span>Quando non sono pi&#249; necessari, i documenti classificati RESTREINT UE/EU RESTRICTED devono essere distrutti in modo tale da non poter essere ricostruiti n&#233; totalmente n&#233; parzialmente.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>17.</p></td><td><span>L&#8217;accreditamento di sicurezza del CIS del contraente che tratta le ICUE a livello RESTREINT UE/EU RESTRICTED e di tutte le relative interconnessioni pu&#242; essere delegato al responsabile della sicurezza del contraente se consentito dalle disposizioni legislative e regolamentari nazionali. Nei casi in cui l&#8217;accreditamento viene delegato, le NSA/DSA/SAA restano responsabili della protezione delle informazioni RESTREINT UE/EU RESTRICTED trattate dal contraente e conservano il diritto di ispezionare le misure di sicurezza che quest&#8217;ultimo ha adottato. Inoltre, il contraente fornisce all&#8217;amministrazione aggiudicatrice e, se richiesto dalle disposizioni legislative e regolamentari nazionali, alla SAA nazionale competente, una dichiarazione di conformit&#224; in cui si certifica che il CIS del contraente e le relative interconnessioni sono stati accreditati per il trattamento di ICUE di livello RESTREINT UE/EU RESTRICTED.</span></td></tr></tbody></table>
TRATTAMENTO DELLE INFORMAZIONI CLASSIFICATE RESTREINT UE/EU RESTRICTED NEI SISTEMI DI COMUNICAZIONE E INFORMAZIONE (CIS)
<table><col/><col/><col/><tbody><tr><td/><td><p>18.</p></td><td><span>I requisiti minimi per i CIS che trattano informazioni classificate RESTREINT UE/EU RESTRICTED sono stabiliti nell&#8217;appendice E della presente SAL.</span></td></tr></tbody></table>
CONDIZIONI ALLE QUALI IL CONTRAENTE PUÒ SUBAPPALTARE
<table><col/><col/><col/><tbody><tr><td/><td><p>19.</p></td><td><span>Prima di subappaltare una parte di un contratto classificato, il contraente deve ottenere l&#8217;autorizzazione del servizio della Commissione interessato in quanto amministrazione aggiudicatrice.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>20.</p></td><td><span>Nessun subappalto pu&#242; essere attribuito ad una societ&#224; registrata in uno Stato non membro dell&#8217;UE o ad un&#8217;entit&#224; appartenente ad un&#8217;organizzazione internazionale se tale Stato o organizzazione non hanno concluso un accordo sulla sicurezza delle informazioni con l&#8217;UE o un accordo amministrativo con la Commissione.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>21.</p></td><td><span>Se il contraente ha concluso un subappalto, le disposizioni in materia di sicurezza del contratto si applicano<span>mutatis mutandis</span> al(ai) subappaltatore(i) e al relativo personale. In questi casi, spetta al contraente garantire che tutti i subappaltatori applichino a loro volta le predette disposizioni ai propri contratti di subappalto. Per garantire un adeguato controllo della sicurezza, le NSA/DSA del contraente e del subappaltatore sono informate della conclusione di tutti i subappalti connessi classificati CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET. Se del caso, alle NSA/DSA del contraente e del subappaltatore &#232; trasmessa copia delle disposizioni di sicurezza specifiche per i subappalti. Le NSA/DSA che richiedono la notifica delle disposizioni di sicurezza dei contratti classificati RESTREINT UE/EU RESTRICTED sono elencate nell&#8217;allegato delle norme di attuazione della Commissione in materia di sicurezza industriale per quanto riguarda i contratti di appalto classificati&#160;<a>(<span>5</span>)</a>.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>22.</p></td><td><span>Il contraente non pu&#242; comunicare le ICUE al subappaltatore senza la previa approvazione scritta dell&#8217;amministrazione aggiudicatrice. Se le ICUE devono essere inviate frequentemente o abitualmente ai subappaltatori, l&#8217;amministrazione aggiudicatrice pu&#242; concedere l&#8217;approvazione per un determinato periodo di tempo (per esempio 12 mesi) o per la durata del subappalto.</span></td></tr></tbody></table>
VISITE
Se per le visite riguardanti informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET deve essere applicata la procedura RFV standard, l’amministrazione aggiudicatrice deve includere le clausole 23, 24 e 25 e sopprimere la clausola 26. Se le visite che comportano informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate direttamente tra la struttura che invia e la struttura che riceve i visitatori, l’amministrazione aggiudicatrice deve sopprimere le clausole 24 e 25 e includere unicamente la clausola 26.
<table><col/><col/><col/><tbody><tr><td/><td><p>23.</p></td><td><span>Le visite che comportano l&#8217;accesso o il potenziale accesso a informazioni classificate RESTREINT UE/EU RESTRICTED sono organizzate direttamente tra la struttura che invia e la struttura che riceve i visitatori senza dover seguire la procedura di cui alle successive clausole da 24 a 26.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>[24.</p></td><td><span>Le visite che comportano l&#8217;accesso o il potenziale accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono soggette alla seguente procedura:</span><table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>il responsabile della sicurezza della struttura che invia il visitatore compila tutte le parti pertinenti del modulo RFV (appendice C) e presenta la richiesta all&#8217;NSA/DSA della struttura;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>l&#8217;NSA/DSA della struttura che invia il visitatore deve confermare il PSC del visitatore prima di presentare l&#8217;RFV all&#8217;NSA/DSA della struttura ospitante (o all&#8217;autorit&#224; di sicurezza della Commissione se la visita avviene nei locali della Commissione);</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>il responsabile della sicurezza della struttura che invia il visitatore deve poi acquisire dalla propria NSA/DSA la risposta dell&#8217;NSA/DSA della struttura ospitante (o dell&#8217;autorit&#224; di sicurezza della Commissione) di approvazione o di rigetto dell&#8217;RFV;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>l&#8217;RFV &#232; considerata approvata se non vengono sollevate obiezioni fino ai cinque giorni lavorativi precedenti la data della visita.]</p></td></tr></tbody></table></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>[25.</p></td><td><span>Prima di concedere ai visitatori l&#8217;accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, la struttura ospitante deve aver ottenuto l&#8217;autorizzazione dalla propria NSA/DSA.]</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>[26.</p></td><td><span>Le visite che comportano l&#8217;accesso o il potenziale accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono organizzate direttamente tra la struttura che invia e la struttura che riceve i visitatori (un esempio di modulo utilizzabile a questo scopo figura nell&#8217;appendice C).]</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>27.</p></td><td><span>I visitatori devono dimostrare la propria identit&#224; all&#8217;arrivo presso la struttura ospitante presentando una carta d&#8217;identit&#224; o un passaporto validi.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>28.</p></td><td><span>La struttura ospitante provvede alla tenuta dei registri di tutti i visitatori, in cui devono essere iscritti nome e cognome dei visitatori, organizzazione che rappresentano, data di scadenza del PSC (se applicabile), data della visita e nome e cognome della persona o delle persone visitate. Fatte salve le norme europee in materia di protezione dei dati, tali registri devono essere conservati per un periodo non inferiore a cinque anni o conformemente alle norme e ai regolamenti nazionali, a seconda dei casi.</span></td></tr></tbody></table>
VISITE DI VALUTAZIONE
<table><col/><col/><col/><tbody><tr><td/><td><p>29.</p></td><td><span>L&#8217;autorit&#224; di sicurezza della Commissione pu&#242;, in collaborazione con la pertinente NSA/DSA, effettuare visite presso le strutture dei contraenti o subappaltatori per verificare il rispetto dei requisiti di sicurezza per il trattamento delle ICUE.</span></td></tr></tbody></table>
GUIDA ALLE CLASSIFICHE DI SICUREZZA
<table><col/><col/><col/><tbody><tr><td/><td><p>30.</p></td><td><span>La guida alle classifiche di sicurezza (SCG) contiene l&#8217;elenco di tutti gli elementi del contratto classificati o da classificare nel corso dell&#8217;esecuzione del contratto, le relative norme e le specifiche dei livelli delle classifiche di sicurezza applicabili. L&#8217;SCG &#232; parte integrante del presente contratto e figura nell&#8217;appendice B del presente allegato.</span></td></tr></tbody></table>
( 1 ) Il riferimento dovrà essere inserito dall’amministrazione aggiudicatrice dopo l’adozione delle norme di attuazione.
( 2 ) Il riferimento dovrà essere inserito dall’amministrazione aggiudicatrice dopo l’adozione delle norme di attuazione.
( 3 ) La parte che chiede l’accreditamento dovrà presentare all’amministrazione aggiudicatrice una dichiarazione di conformità, tramite l’autorità di sicurezza della Commissione e in coordinamento con l’autorità nazionale di accreditamento in materia di sicurezza (SAA).
( 4 ) Il riferimento dovrà essere inserito dall’amministrazione aggiudicatrice dopo l’adozione delle norme di attuazione.
( 5 ) Il riferimento dovrà essere inserito dall’amministrazione aggiudicatrice dopo l’adozione delle norme di attuazione.
Appendice B
GUIDA ALLE CLASSIFICHE DI SICUREZZA
[testo specifico da adattare in funzione dell’oggetto del contratto]
Appendice C
REQUEST FOR VISIT
(MODEL)
Istruzioni dettagliate per la compilazione della richiesta di visita
(La richiesta deve essere presentata unicamente in inglese)
<table><col/><col/><tbody><tr><td><p><span>HEADING</span></p></td><td><p>Barrare le caselle per il tipo di visita e il tipo di informazione e indicare il numero di siti da visitare e il numero di visitatori.</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>4.</p></td><td><span>ADMINISTRATIVE DATA</span></td></tr></tbody></table></td><td><p>Da compilare a cura dell&#8217;NSA/DSA richiedente.</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>5.</p></td><td><span>REQUESTING ORGANISATION OR INDUSTRIAL FACILITY</span></td></tr></tbody></table></td><td><p>Indicare il nome completo e l&#8217;indirizzo postale.</p><p>Indicare la citt&#224;, lo Stato e il codice postale, a seconda dei casi.</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>6.</p></td><td><span>ORGANISATION OR INDUSTRIAL FACILITY TO BE VISITED</span></td></tr></tbody></table></td><td><p>Indicare il nome completo e l&#8217;indirizzo postale. Indicare la citt&#224;, lo Stato, il codice postale, il numero di telex o di fax (se del caso), il numero di telefono e l&#8217;e-mail. Indicare il nome, il numero di telefono/fax e l&#8217;e-mail del principale punto di contatto o della persona con cui &#232; stato fissato l&#8217;appuntamento per la visita.</p><p>Nota bene:</p><table><col/><col/><tbody><tr><td><p>1)</p></td><td><p>&#232; importante indicare il codice postale corretto, perch&#233; una societ&#224; pu&#242; avere diverse strutture;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>2)</p></td><td><p>se la richiesta &#232; presentata a mano, si pu&#242; utilizzare l&#8217;allegato 1 quando occorre visitare due o pi&#249; strutture in relazione allo stesso oggetto. Quando si utilizza un allegato, al punto 3 occorre inserire: &#171;SEE ANNEX 1, NUMBER OF FAC: &#8230;&#187; (indicando il numero di strutture).</p></td></tr></tbody></table></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>7.</p></td><td><span>DATES OF VISIT</span></td></tr></tbody></table></td><td><p>Indicare la data o il periodo effettivi (da data a data) della visita nel formato &#171;giorno &#8212; mese &#8212; anno&#187;. Se del caso, indicare tra parentesi una data o un periodo alternativi.</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>8.</p></td><td><span>TYPE OF INITIATIVE</span></td></tr></tbody></table></td><td><p>Specificare se la visita &#232; stata promossa dall&#8217;organizzazione o dalla struttura richiedente o se &#232; effettuata su invito della struttura da visitare.</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>9.</p></td><td><span>THE VISIT RELATES TO:</span></td></tr></tbody></table></td><td><p>Indicare il nome completo del progetto, del contratto o dell&#8217;invito a presentare offerte utilizzando solo abbreviazioni comunemente usate.</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>10.</p></td><td><span>SUBJECT TO BE DISCUSSED/JUSTIFICATION</span></td></tr></tbody></table></td><td><p>Breve descrizione dei motivi della visita. Non utilizzare abbreviazioni non spiegate.</p><p>Nota bene:</p><p>in caso di visite ricorrenti, in questa voce iniziare la frase con le parole &#171;Recurring visits&#187; (ad esempio &#171;Recurring visits to discuss_____&#187;)</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>11.</p></td><td><span>ANTICIPATED LEVEL OF CLASSIFIED INFORMATION TO BE INVOLVED</span></td></tr></tbody></table></td><td><p>Indicare SECRET UE/EU SECRET (S-UE/EU-S)</p><p>o</p><p>CONFIDENTIEL UE/EU CONFIDENTIAL (C-UE/EU-C), a seconda dei casi.</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>12.</p></td><td><span>PARTICULARS OF VISITOR</span></td></tr></tbody></table></td><td><p>Nota bene: quando alla visita partecipano pi&#249; di due visitatori, utilizzare l&#8217;allegato 2.</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>13.</p></td><td><span>THE SECURITY OFFICER OF THE REQUESTING ENTITY</span></td></tr></tbody></table></td><td><p>In questa voce indicare il nome e il cognome, il numero di telefono, il numero di fax e l&#8217;indirizzo e-mail del responsabile della sicurezza della struttura richiedente.</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>14.</p></td><td><span>CERTIFICATION OF SECURITY CLEARANCE</span></td></tr></tbody></table></td><td><p>Campo da compilare a cura dell&#8217;autorit&#224; di certificazione.</p><p>Note per l&#8217;autorit&#224; di certificazione:</p><table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>indicare il nome, l&#8217;indirizzo, il numero di telefono e di fax e l&#8217;e-mail (possono essere prestampati);</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>apporre firma e timbro (se del caso).</p></td></tr></tbody></table></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>15.</p></td><td><span>REQUESTING SECURITY AUTHORITY</span></td></tr></tbody></table></td><td><p>Campo da compilare a cura dell&#8217;NSA/DSA.</p><p>Nota per l&#8217;NSA/DSA:</p><table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>indicare il nome, l&#8217;indirizzo, il numero di telefono e di fax e l&#8217;e-mail (possono essere prestampati);</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>apporre firma e timbro (se del caso).</p></td></tr></tbody></table></td></tr></tbody></table>
Tutti i campi devono essere compilati e il modulo deve essere trasmesso mediante i canali di comunicazione tra amministrazioni ( 1 ) .
<table><col/><col/><col/><tbody><tr><td><p><span>REQUEST FOR VISIT</span></p><p>(MODEL)</p><p>To: _______________________________________</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>1.</p></td><td><span>TYPE OF VISIT REQUEST</span></td></tr></tbody></table></td><td><table><col/><col/><tbody><tr><td><p>2.</p></td><td><span>TYPE OF INFORMATION</span></td></tr></tbody></table></td><td><table><col/><col/><tbody><tr><td><p>3.</p></td><td><span>SUMMARY</span></td></tr></tbody></table></td></tr><tr><td><p>&#9744; Single</p><p>&#9744; Recurring</p><p>&#9744; Emergency</p><p>&#9744; Amendment</p><table><col/><col/><tbody><tr><td><p>&#160;</p></td><td><p>&#9744; Dates</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>&#160;</p></td><td><p>&#9744; Visitors</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>&#160;</p></td><td><p>&#9744; Facility</p></td></tr></tbody></table><p>For an amendment, insert the NSA/DSA original RFV Reference No_____________</p></td><td><p>&#9744; C-UE/EU-C</p><p>&#9744; S-UE/EU-S</p></td><td><p>No of sites: _______</p><p>No of visitors: _____</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>4.</p></td><td><span>ADMINISTRATIVE DATA:</span></td></tr></tbody></table></td></tr><tr><td><p>Requester:</p><p>To:</p></td><td><p>NSA/DSA RFV Reference No________________</p><p>Date<span>(dd/mm/yyyy)</span>: _____/_____/_____</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>5.</p></td><td><span>REQUESTING ORGANISATION OR INDUSTRIAL FACILITY:</span></td></tr></tbody></table></td></tr><tr><td><p>NAME:</p><p>POSTAL ADDRESS:</p><p>E-MAIL ADDRESS:</p><p>FAX NO:</p></td><td><p>TELEPHONE NO:</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>6.</p></td><td><span>ORGANISATION(S) OR INDUSTRIAL FACILITY(IES) TO BE VISITED</span><span>(Annex 1 to be completed)</span></td></tr></tbody></table></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>7.</p></td><td><p><span>DATE OF VISIT</span><span>(dd/mm/yyyy)</span>: FROM _____/_____/_____ TO _____/_____/_____</p></td></tr></tbody></table></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>8.</p></td><td><span>TYPE OF INITIATIVE:</span></td></tr></tbody></table><p>&#9744; Initiated by requesting organisation or facility</p><p>&#9744; By invitation of the facility to be visited</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>9.</p></td><td><span>THE VISIT RELATES TO CONTRACT:</span></td></tr></tbody></table></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>10.</p></td><td><p><span>SUBJECT TO BE DISCUSSED/REASONS/PURPOSE</span><span>(Include details of host entity and any other relevant information. Abbreviations should be avoided)</span>:</p></td></tr></tbody></table></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>11.</p></td><td><span>ANTICIPATED HIGHEST CLASSIFICATION LEVEL OF INFORMATION/MATERIAL OR SITE ACCESS TO BE INVOLVED:</span></td></tr></tbody></table></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>12.</p></td><td><span>PARTICULARS OF VISITOR(S)</span><span>(Annex 2 to be completed)</span></td></tr></tbody></table></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>13.</p></td><td><span>THE SECURITY OFFICER OF THE REQUESTING ORGANISATION OR INDUSTRIAL FACILITY:</span></td></tr></tbody></table><p>NAME:</p><p>TELEPHONE NO:</p><p>E-MAIL ADDRESS:</p><p>SIGNATURE:</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>14.</p></td><td><span>CERTIFICATION OF SECURITY CLEARANCE LEVEL:</span></td></tr></tbody></table></td></tr><tr><td><p>NAME:</p><p>ADDRESS:</p><p>TELEPHONE NO:</p><p>E-MAIL ADDRESS:</p></td><td><p><img/></p></td></tr><tr><td><p>SIGNATURE:</p></td><td><p>DATE<span>(dd/mm/yyyy)</span>: _____/_____/_____</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>15.</p></td><td><span>REQUESTING NATIONAL SECURITY AUTHORITY/DESIGNATED SECURITY AUTHORITY:</span></td></tr></tbody></table></td></tr><tr><td><p>NAME:</p><p>ADDRESS:</p><p>TELEPHONE NO:</p><p>E-MAIL ADDRESS:</p></td><td><p><img/></p></td></tr><tr><td><p>SIGNATURE:</p></td><td><p>DATE<span>(dd/mm/yyyy)</span>: _____/_____/_____</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>16.</p></td><td><p><span>REMARKS</span><span>(Mandatory justification required in the case of an emergency visit)</span>:</p></td></tr></tbody></table></td></tr></tbody></table>
<Spazio riservato all’inserimento del riferimento alla legislazione applicabile in materia di dati personali e del link alle informazioni obbligatorie da fornire all’interessato, ad esempio le modalità di applicazione dell’articolo 13 del regolamento generale sulla protezione dei dati ( 2 ) .>
( 1 ) Se è stato concordato che le visite che comportano l’accesso o il potenziale accesso a ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET possono essere organizzate direttamente, il modulo compilato può essere presentato direttamente al responsabile della sicurezza della struttura da visitare.
( 2 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU L 119 del 4.5.2016, pag. 1 ).
ANNEX 1 to RFV FORM
<table><col/><tbody><tr><td><p><span>ORGANISATION(S) OR INDUSTRIAL FACILITY(IES) TO BE VISITED</span></p></td></tr><tr><td><p>1.</p><p>NAME:</p><p>ADDRESS:</p><p>TELEPHONE NO:</p><p>FAX NO:</p><p>NAME OF POINT OF CONTACT:</p><p>E-MAIL:</p><p>TELEPHONE NO:</p><p>NAME OF SECURITY OFFICER OR</p><p>SECONDARY POINT OF CONTACT:</p><p>E-MAIL:</p><p>TELEPHONE NO:</p></td></tr><tr><td><p>2.</p><p>NAME:</p><p>ADDRESS:</p><p>TELEPHONE NO:</p><p>FAX NO:</p><p>NAME OF POINT OF CONTACT:</p><p>E-MAIL:</p><p>TELEPHONE NO:</p><p>NAME OF SECURITY OFFICER OR</p><p>SECONDARY POINT OF CONTACT:</p><p>E-MAIL:</p><p>TELEPHONE NO:</p><p><span>(Continue as required)</span></p></td></tr></tbody></table>
<Spazio riservato all’inserimento del riferimento alla legislazione applicabile in materia di dati personali e del link alle informazioni obbligatorie da fornire all’interessato, ad esempio le modalità di applicazione dell’articolo 13 del regolamento generale sulla protezione dei dati ( 1 ) .>
( 1 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU L 119 del 4.5.2016, pag. 1 ).
ANNEX 2 to RFV FORM
<table><col/><tbody><tr><td><p><span>PARTICULARS OF VISITOR(S)</span></p></td></tr><tr><td><p>1.</p><p>SURNAME:</p><p>FIRST NAMES<span>(as per passport)</span>:</p><p>DATE OF BIRTH<span>(dd/mm/yyyy)</span>: ____/____/____</p><p>PLACE OF BIRTH:</p><p>NATIONALITY:</p><p>SECURITY CLEARANCE LEVEL:</p><p>PP/ID NUMBER:</p><p>POSITION:</p><p>COMPANY/ORGANISATION:</p></td></tr><tr><td><p>2.</p><p>SURNAME:</p><p>FIRST NAMES<span>(as per passport)</span>:</p><p>DATE OF BIRTH<span>(dd/mm/yyyy)</span>: ____/____/____</p><p>PLACE OF BIRTH:</p><p>NATIONALITY:</p><p>SECURITY CLEARANCE LEVEL:</p><p>PP/ID NUMBER:</p><p>POSITION:</p><p>COMPANY/ORGANISATION:</p><p><span>(Continue as required)</span></p></td></tr></tbody></table>
<Spazio riservato all’inserimento del riferimento alla legislazione applicabile in materia di dati personali e del link alle informazioni obbligatorie da fornire all’interessato, ad esempio le modalità di applicazione dell’articolo 13 del regolamento generale sulla protezione dei dati ( 1 ) .>
( 1 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU L 119 del 4.5.2016, pag. 1 ).
Appendice D
MODULO DI INFORMAZIONE SUL NULLA OSTA DI SICUREZZA DELLE IMPRESE (FSCIS)
(MODELLO)
1. Introduzione
<table><col/><col/><col/><tbody><tr><td/><td><p>1.1.</p></td><td><span>Il modulo allegato &#232; un modello di modulo di informazione sul nulla osta di sicurezza delle imprese (FSCIS) per lo scambio rapido di informazioni tra l&#8217;autorit&#224; di sicurezza nazionale (NSA) o l&#8217;autorit&#224; di sicurezza designata (DSA), altre autorit&#224; di sicurezza nazionali competenti e la Commissione (in qualit&#224; di amministrazione aggiudicatrice) sul nulla osta di sicurezza delle imprese (FSC) di una struttura partecipante a gare di appalto, contratti o subappalti classificati.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>1.2.</p></td><td><span>L&#8217;FSCIS &#232; valido solo se timbrato dall&#8217;NSA/DSA competente o da altra autorit&#224; competente.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>1.3.</p></td><td><span>L&#8217;FSCIS &#232; composto di due sezioni, una relativa alla richiesta e l&#8217;altra relativa alla risposta, e pu&#242; essere utilizzato per le summenzionate finalit&#224; o per altri scopi per i quali &#232; richiesto l&#8217;FSC di una specifica struttura. Il motivo della richiesta deve essere indicato dall&#8217;NSA/DSA richiedente nel campo 7 della sezione relativa alla richiesta.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>1.4.</p></td><td><span>Le informazioni contenute nell&#8217;FSCIS non sono di norma classificate; pertanto, l&#8217;invio dell&#8217;FSCIS tra NSA/DSA/Commissione andrebbe di preferenza effettuato mediante mezzi elettronici.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>1.5.</p></td><td><span>Le NSA/DSA dovrebbero compiere ogni sforzo per rispondere alla richiesta di FSCIS entro dieci giorni lavorativi.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>1.6.</p></td><td><span>In caso di trasferimento di informazioni classificate o di aggiudicazione di un contratto in relazione a tale assicurazione, l&#8217;NSA/DSA emittente deve essere informata.</span></td></tr></tbody></table>
Procedure e istruzioni per l’uso del modulo di informazione sul nulla osta di sicurezza delle imprese (FSCIS)
Le presenti istruzioni dettagliate sono rivolte all’NSA/DSA o all’amministrazione aggiudicatrice della Commissione che compila l’FSCIS. La richiesta dovrebbe preferibilmente essere dattiloscritta in stampatello.
<table><col/><col/><tbody><tr><td><p><span>INTESTAZIONE</span></p></td><td><p>Il richiedente inserisce il nome completo dell&#8217;NSA/DSA e del paese.</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>1.</p></td><td><span>TIPO DI RICHIESTA</span></td></tr></tbody></table></td><td><p>L&#8217;amministrazione aggiudicatrice richiedente barra la casella corrispondente al tipo di richiesta FSCIS. Indicare il livello di nulla osta di sicurezza oggetto della richiesta. Utilizzare le seguenti abbreviazioni:</p><p>SECRET UE/EU SECRET = S-UE/EU-S</p><p>CONFIDENTIEL UE/EU CONFIDENTIAL = C-UE/EU-C</p><p>CIS = sistemi di comunicazione e informazione per il trattamento delle informazioni classificate</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>2.</p></td><td><span>INFORMAZIONI SUL RICHIEDENTE</span></td></tr></tbody></table></td><td><p>I campi da 1 a 6 non necessitano di spiegazione.</p><p>Nel campo 4 utilizzare il codice paese standard a due lettere. Il campo 5 &#232; facoltativo.</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>3.</p></td><td><span>MOTIVO DELLA RICHIESTA</span></td></tr></tbody></table></td><td><p>Indicare il motivo specifico della richiesta, fornire i riferimenti del progetto, il numero del contratto o dell&#8217;invito a presentare offerte. Specificare il fabbisogno di capacit&#224; di stoccaggio, il livello di classifica del CIS ecc.</p><p>Indicare ogni data di termine/scadenza/aggiudicazione che pu&#242; influire sulla finalizzazione dell&#8217;FSC.</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>4.</p></td><td><span>NSA/DSA RICHIEDENTE</span></td></tr></tbody></table></td><td><p>Indicare il nome del richiedente effettivo (per conto dell&#8217;NSA/DSA) e la data della richiesta in formato numerico (gg/mm/aaaa).</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>5.</p></td><td><span>SEZIONE RELATIVA ALLA RISPOSTA</span></td></tr></tbody></table></td><td><p>Campi 1-5: selezionare i campi appropriati.</p><p>Campo 2: se l&#8217;FSC &#232; in lavorazione, si raccomanda di fornire al richiedente un&#8217;indicazione dei tempi di trattazione necessari (se noti).</p><p>Campo 6:</p><table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>sebbene la convalida vari da un paese all&#8217;altro o persino da una struttura all&#8217;altra, si raccomanda di indicare la data di scadenza dell&#8217;FSC;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>se la data di scadenza dell&#8217;assicurazione in relazione all&#8217;FSC &#232; indeterminata, sbarrare questo campo;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>conformemente alle norme e ai regolamenti nazionali rispettivi spetta al richiedente ovvero al contraente o al subappaltatore presentare domanda di rinnovo dell&#8217;FSC.</p></td></tr></tbody></table></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>6.</p></td><td><span>OSSERVAZIONI</span></td></tr></tbody></table></td><td><p>Campo utilizzabile per inserire ulteriori informazioni relative all&#8217;FSC, alla struttura o alle voci precedenti.</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>7.</p></td><td><span>NSA/DSA EMITTENTE</span></td></tr></tbody></table></td><td><p>Indicare il nome dell&#8217;autorit&#224; che ha fornito le informazioni (per conto dell&#8217;NSA/DSA) e la data della risposta in formato numerico (gg/mm/aaaa).</p></td></tr></tbody></table>
MODULO DI INFORMAZIONE SUL NULLA OSTA DI SICUREZZA DELLE IMPRESE (FSCIS)
(MODELLO)
Tutti i campi devono essere compilati e il modulo deve essere trasmesso mediante i canali di comunicazione tra amministrazioni o tra amministrazioni e organizzazioni internazionali.
<table><col/><col/><tbody><tr><td><p><span>RICHIESTA DI ASSICURAZIONE IN RELAZIONE AL NULLA OSTA DI SICUREZZA DELLE IMPRESE</span></p><p>A: ____________________________________</p><p><span>(Nome del paese dell&#8217;NSA/DSA)</span></p></td></tr><tr><td><p>Completare le caselle di risposta, a seconda del caso:</p><p>[ ] Fornire un&#8217;assicurazione in relazione all&#8217;FSC di livello: [ ] S-UE/EU-S [ ] C-UE/EU-C</p><p>della struttura indicata in basso</p><table><col/><col/><tbody><tr><td><p>&#160;</p></td><td><p>[ ] anche per quanto riguarda la protezione di informazioni/materiali classificati</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>&#160;</p></td><td><p>[ ] anche per quanto riguarda i sistemi di comunicazione e informazione (CIS) per il trattamento delle informazioni classificate</p></td></tr></tbody></table><p>[ ] Avviare, direttamente o su richiesta di un contraente o subappaltatore, la procedura per il rilascio dell&#8217;FSC fino al livello di &#8230; incluso, con il livello di protezione &#8230; e il livello del CIS &#8230;, se la struttura non dispone attualmente di detti livelli di capacit&#224;.</p><p>Confermare l&#8217;esattezza dei dati sulla struttura indicata in basso e fornire rettifiche/aggiunte se necessario.</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>1.</p></td><td><p>Nome completo della struttura:</p></td></tr></tbody></table></td><td><p>Rettifiche/aggiunte:</p></td></tr><tr><td><p>&#8230;</p></td><td><p>&#8230;</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>2.</p></td><td><p>Indirizzo completo della struttura:</p></td></tr></tbody></table></td></tr><tr><td><p>&#8230;</p></td><td><p>&#8230;</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>3.</p></td><td><p>Indirizzo postale (se diverso da 2)</p></td></tr></tbody></table></td></tr><tr><td><p>&#8230;</p></td><td><p>&#8230;</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>4.</p></td><td><p>Codice postale/citt&#224;/Stato</p></td></tr></tbody></table></td></tr><tr><td><p>&#8230;</p></td><td><p>&#8230;</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>5.</p></td><td><p>Nome del responsabile della sicurezza</p></td></tr></tbody></table></td></tr><tr><td><p>&#8230;</p></td><td><p>&#8230;</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>6.</p></td><td><p>Telefono/fax/e-mail del responsabile della sicurezza</p></td></tr></tbody></table></td></tr><tr><td><p>&#8230;</p></td><td><p>&#8230;</p></td></tr><tr><td><table><col/><col/><tbody><tr><td><p>7.</p></td><td><p>La presente richiesta &#232; presentata per i seguenti motivi: (fornire i dati della fase precontrattuale (di selezione delle proposte), del contratto o del subappalto, del programma/progetto ecc.)</p></td></tr></tbody></table></td></tr><tr><td><p>&#8230;</p></td></tr><tr><td><p>NSA/DSA/amministrazione aggiudicatrice della Commissione richiedente: Nome: &#8230; Data:<span>(gg/mm/aaaa)</span> &#8230;</p></td></tr><tr><td><p><span>Risposta (entro 10 giorni lavorativi)</span></p></td></tr><tr><td><p>Si certifica quanto segue:</p><table><col/><col/><tbody><tr><td><p>1.</p></td><td><p>[ ] La summenzionata struttura &#232; in possesso di un FSC fino al livello [ ] S-UE/EU-S incluso</p><p>[ ] C-UE/EU-C incluso.</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>2.</p></td><td><p>La summenzionata struttura &#232; in grado di proteggere le informazioni/i materiali classificati:</p><p>[ ] s&#236;, livello: &#8230; [ ] no.</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>3.</p></td><td><p>La summenzionata struttura dispone di un CIS accreditato/autorizzato:</p><p>[ ] s&#236;, livello: &#8230; [ ] no.</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>4.</p></td><td><p>[ ] In relazione alla predetta richiesta, &#232; stata avviata la procedura di rilascio dell&#8217;FSC. Sarete informati del rilascio o del diniego dell&#8217;FSC.</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>5.</p></td><td><p>[ ] La summenzionata struttura non &#232; in possesso di FSC.</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>6.</p></td><td><p>La presente assicurazione in relazione all&#8217;FSC scade il: &#8230; (<span>gg/mm/aaaa</span>), o come altrimenti raccomandato dall&#8217;NSA/DSA. Sarete informati in caso di invalidamento anticipato o di modifica delle informazioni riportate in alto.</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>7.</p></td><td><p>Osservazioni:</p><p>&#8230;</p><p>NSA/DSA emittente Nome: &#8230; Data (gg/mm/aaaa) &#8230;</p></td></tr></tbody></table></td></tr></tbody></table>
<Spazio riservato all’inserimento del riferimento alla legislazione applicabile in materia di dati personali e del link alle informazioni obbligatorie da fornire all’interessato, ad esempio le modalità di applicazione dell’articolo 13 del regolamento generale sulla protezione dei dati ( 1 ) .>
( 1 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU L 119 del 4.5.2016, pag. 1 ).
Appendice E
Requisiti minimi per la protezione delle ICUE in formato elettronico di livello RESTREINT UE/EU RESTRICTED trattate nel CIS del contraente
Aspetti generali
<table><col/><col/><col/><tbody><tr><td/><td><p>1.</p></td><td><span>Il contraente deve assicurare che la protezione delle informazioni RESTREINT UE/EU RESTRICTED sia conforme ai requisiti minimi di sicurezza previsti dalla presente clausola di sicurezza e a ogni altro ulteriore requisito raccomandato dall&#8217;amministrazione aggiudicatrice o, se del caso, dall&#8217;autorit&#224; nazionale di sicurezza (NSA) o dall&#8217;autorit&#224; di sicurezza designata (DSA).</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>2.</p></td><td><span>Spetta al contraente attuare i requisiti di sicurezza indicati nel presente documento.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>3.</p></td><td><span>Ai fini del presente documento, per sistema di comunicazione e informazione (CIS) si intendono tutte le apparecchiature utilizzate per trattare, conservare e trasmettere le ICUE, tra cui terminali, stampanti, fotocopiatrici, fax, server, sistemi di gestione della rete, unit&#224; di controllo della rete, unit&#224; di controllo delle comunicazioni, laptop, notebook, tablet, smartphone e supporti di memoria removibili, come chiavette USB, CD, carte SD ecc.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>4.</p></td><td><span>Le apparecchiature speciali, quali i prodotti crittografici, devono essere protette conformemente a specifiche procedure operative di sicurezza (SecOP) dedicate.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>5.</p></td><td><span>I contraenti devono istituire una struttura responsabile della gestione della sicurezza del CIS che tratta informazioni classificate RESTREINT UE/EU RESTRICTED e nominare un responsabile della sicurezza della struttura stessa.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>6.</p></td><td><span>Per la conservazione o l&#8217;elaborazione delle informazioni RESTREINT UE/EU RESTRICTED non &#232; consentito l&#8217;uso di soluzioni informatiche (hardware, software o servizi) di propriet&#224; privata del personale del contraente.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>7.</p></td><td><span>L&#8217;accreditamento del CIS del contraente che tratta informazioni classificate RESTREINT UE/EU RESTRICTED deve essere approvato dall&#8217;autorit&#224; di accreditamento in materia di sicurezza (SAA) dello Stato membro interessato, oppure delegato al responsabile della sicurezza del contraente secondo quanto consentito dalle disposizioni legislative e regolamentari nazionali.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>8.</p></td><td><span>Solo le informazioni classificate RESTREINT UE/EU RESTRICTED cifrate utilizzando prodotti crittografici approvati possono essere trattate, conservate o trasmesse (via cavo o senza fili) come qualsiasi altra informazione non classificata nel quadro del contratto. I predetti prodotti crittografici devono essere approvati dall&#8217;UE o da uno Stato membro.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>9.</p></td><td><span>Le strutture esterne coinvolte nelle attivit&#224; di manutenzione/riparazione devono essere contrattualmente obbligate a rispettare le disposizioni applicabili in materia di trattamento delle informazioni classificate RESTREINT UE/EU RESTRICTED specificate nel presente documento.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>10.</p></td><td><span>Su richiesta dell&#8217;amministrazione aggiudicatrice o dell&#8217;NSA/DSA/SAA competente, il contraente deve fornire elementi a comprova del rispetto della clausola di sicurezza del contratto. Qualora, per verificare la conformit&#224; ai predetti requisiti, siano richiesti anche l&#8217;audit e l&#8217;ispezione dei processi e delle strutture del contraente, quest&#8217;ultimo consente ai rappresentanti dell&#8217;amministrazione aggiudicatrice, dell&#8217;NSA/DSA/SAA o dell&#8217;autorit&#224; di sicurezza competente dell&#8217;UE di effettuare l&#8217;audit e l&#8217;ispezione.</span></td></tr></tbody></table>
Sicurezza materiale
<table><col/><col/><col/><tbody><tr><td/><td><p>11.</p></td><td><span>Le zone in cui i CIS sono usati per visualizzare, conservare, elaborare o trasmettere informazioni RESTREINT UE/EU RESTRICTED o le zone che ospitano i server, i sistemi di gestione della rete, le unit&#224; di controllo della rete e le unit&#224; di controllo delle comunicazioni di tali CIS dovrebbero essere costituite come zone separate e controllate con un adeguato sistema di controllo dell&#8217;accesso. L&#8217;accesso a queste zone separate e controllate dovrebbe essere riservato alle persone fisiche in possesso di specifica autorizzazione. Fatta salva la clausola 8, le apparecchiature di cui alla clausola 3 devono essere custodite in zone separate e controllate.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>12.</p></td><td><span>Devono essere attuati meccanismi e/o procedure di sicurezza per disciplinare l&#8217;introduzione o la connessione di supporti informatici removibili (quali USB, memorie di massa o CD-RW) a componenti del CIS.</span></td></tr></tbody></table>
Accesso al CIS
<table><col/><col/><col/><tbody><tr><td/><td><p>13.</p></td><td><span>L&#8217;accesso al CIS del contraente che tratta ICUE &#232; consentito sulla base dell&#8217;applicazione rigorosa del principio della necessit&#224; di conoscere e dell&#8217;autorizzazione del personale.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>14.</p></td><td><span>Tutti i CIS devono disporre di elenchi aggiornati degli utilizzatori autorizzati. Tutti gli utilizzatori devono essere autenticati all&#8217;inizio di ogni sessione di elaborazione.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>15.</p></td><td><span>Le parole di accesso, previste dalla maggior parte delle misure di sicurezza per l&#8217;identificazione e l&#8217;autenticazione, devono essere formate da almeno nove caratteri, tra cui caratteri numerici, caratteri &#171;speciali&#187; (se consentito dal sistema) e caratteri alfabetici. Le parole di accesso devono essere modificate almeno ogni 180 giorni. Devono essere modificate il prima possibile se sono state compromesse o comunicate a persone non autorizzate, o se vi sono sospetti di compromissione o comunicazione.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>16.</p></td><td><span>Tutti i CIS devono disporre di controlli sull&#8217;accesso interno per impedire a utilizzatori non autorizzati di accedere a informazioni classificate RESTREINT UE/EU RESTRICTED o di modificarle, o di modificare il sistema e i controlli di sicurezza. L&#8217;utilizzatore viene automaticamente disconnesso dal CIS se il suo terminale rimane inattivo per un tempo predefinito, oppure il CIS deve attivare un salvaschermo protetto da parola di accesso dopo 15 minuti di inattivit&#224;.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>17.</p></td><td><span>A ogni utilizzatore del CIS viene attribuito un conto utilizzatore e un identificativo personale. I conti utilizzatori devono essere automaticamente bloccati almeno dopo cinque tentativi di accesso errati.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>18.</p></td><td><span>Tutti gli utilizzatori del CIS devono essere istruiti sulle proprie responsabilit&#224; e sulle procedure da seguire per proteggere le informazioni classificate RESTREINT UE/EU RESTRICTED nel CIS. Le responsabilit&#224; e le procedure da seguire devono essere documentate e accettate per iscritto dagli utilizzatori.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>19.</p></td><td><span>Agli utilizzatori e agli amministratori sono messe a disposizione le SecOP, le quali devono contenere la descrizione dei ruoli in materia di sicurezza e il relativo elenco di compiti, istruzioni e piani.</span></td></tr></tbody></table>
Registrazione, audit e risposta agli incidenti
<table><col/><col/><col/><tbody><tr><td/><td><p>20.</p></td><td><span>Ogni accesso al CIS deve essere registrato.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>21.</p></td><td><span>Devono essere registrati i seguenti eventi:</span><table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>tutti i tentativi di connessione, sia riusciti che non riusciti;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>la disconnessione (anche per sessione scaduta, se del caso);</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>la creazione, cancellazione o modifica dei diritti e dei privilegi di accesso;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>la creazione, cancellazione o modifica di parole di accesso.</p></td></tr></tbody></table></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>22.</p></td><td><span>Per tutti gli eventi sopraelencati devono essere comunicate almeno le seguenti informazioni:</span><table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>tipo di evento;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>identificativo dell&#8217;utilizzatore;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>data e ora;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>identificativo del dispositivo.</p></td></tr></tbody></table></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>23.</p></td><td><span>Le registrazioni dovrebbero essere di ausilio al responsabile della sicurezza nell&#8217;esame dei potenziali incidenti di sicurezza. Possono inoltre essere utilizzate a supporto delle indagini giudiziarie in caso di incidente di sicurezza. Tutte le registrazioni relative alla sicurezza dovrebbero essere verificate periodicamente per individuare potenziali incidenti di sicurezza. Le registrazioni devono essere protette da cancellazioni o modifiche non autorizzate.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>24.</p></td><td><span>Il contraente deve disporre di una strategia di risposta consolidata per far fronte agli incidenti di sicurezza. Gli utilizzatori e gli amministratori devono essere istruiti su come rispondere agli incidenti, su come segnalarli e su cosa fare in caso di emergenza.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>25.</p></td><td><span>La compromissione o sospetta compromissione di informazioni classificate RESTREINT UE/EU RESTRICTED devono essere segnalate all&#8217;amministrazione aggiudicatrice. La segnalazione deve contenere la descrizione delle informazioni in questione e la descrizione delle circostanze della compromissione o della sospetta compromissione. Tutti gli utilizzatori del CIS devono essere istruiti su come segnalare gli incidenti di sicurezza reali o presunti al responsabile della sicurezza.</span></td></tr></tbody></table>
Reti e interconnessioni
<table><col/><col/><col/><tbody><tr><td/><td><p>26.</p></td><td><span>L&#8217;interconnessione del CIS del contraente che tratta informazioni classificate RESTREINT UE/EU RESTRICTED con un CIS non accreditato accresce in misura significativa le minacce per la sicurezza sia del CIS che delle informazioni RESTREINT UE/EU RESTRICTED trattate da tale CIS. Ci&#242; riguarda in particolare Internet e gli altri CIS pubblici o privati, quali gli altri CIS di propriet&#224; del contraente o del subappaltatore. In tal caso il contraente deve effettuare una valutazione del rischio per individuare le prescrizioni di sicurezza supplementari da applicare nel quadro del processo di accreditamento di sicurezza. Il contraente fornisce all&#8217;amministrazione aggiudicatrice e, se previsto dalle disposizioni legislative e regolamentari nazionali, alla SAA competente una dichiarazione di conformit&#224; in cui si certifica che il CIS del contraente e le relative interconnessioni sono stati accreditati per il trattamento di ICUE di livello RESTREINT UE/EU RESTRICTED.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>27.</p></td><td><span>&#200; vietato l&#8217;accesso a distanza ai servizi LAN da altri sistemi (ad esempio, l&#8217;accesso a distanza alle e-mail e il supporto a distanza del sistema), a meno che specifiche misure di sicurezza siano predisposte e approvate dall&#8217;amministrazione aggiudicatrice e, se previsto dalle disposizioni legislative e regolamentari nazionali, dalla SAA competente.</span></td></tr></tbody></table>
Gestione della configurazione
<table><col/><col/><col/><tbody><tr><td/><td><p>28.</p></td><td><span>Deve essere disponibile, e soggetta a periodica manutenzione, la configurazione dettagliata dell&#8217;hardware e del software, secondo quanto indicato nella documentazione di accreditamento/approvazione (compresi i diagrammi di sistema e di rete).</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>29.</p></td><td><span>Il responsabile della sicurezza del contraente deve effettuare controlli sulla configurazione dell&#8217;hardware e del software per accertare che non sia stato introdotto hardware o software non autorizzato.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>30.</p></td><td><span>Le modifiche della configurazione del CIS del contraente devono essere valutate dal punto di vista delle implicazioni per la sicurezza e devono essere approvate dal responsabile della sicurezza e, se previsto dalle disposizioni legislative e regolamentari nazionali, dalla SAA.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>31.</p></td><td><span>Almeno una volta a trimestre il sistema deve essere ispezionato alla ricerca di eventuali vulnerabilit&#224; sotto il profilo della sicurezza. Deve essere installato e tenuto aggiornato il software per l&#8217;individuazione di malware. Se possibile, detto software dovrebbe essere riconosciuto a livello nazionale o internazionale, o essere uno standard ampiamente accettato nel settore.</span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>32.</p></td><td><span>Il contraente deve elaborare un piano di continuit&#224; operativa. Devono essere stabilite procedure di back-up che disciplinino i seguenti aspetti:</span><table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>frequenza dei backup;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>requisiti in materia di conservazione in loco (contenitori ignifughi) o all&#8217;esterno del sito;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>controllo dell&#8217;accesso autorizzato alle copie di back-up.</p></td></tr></tbody></table></td></tr></tbody></table>
Sanitizzazione e distruzione
<table><col/><col/><col/><tbody><tr><td/><td><p>33.</p></td><td><span>Per i CIS o per supporti informatici che in un qualsiasi momento hanno contenuto informazioni RESTREINT UE/EU RESTRICTED deve essere eseguita la seguente sanitizzazione sull&#8217;intero sistema o sui supporti informatici prima del loro smaltimento:</span><table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>la memoria flash (ad esempio, chiavette USB, carte SD, dischi a stato solido, dischi rigidi ibridi) deve essere sovrascritta almeno tre volte e poi verificata, per garantire che il contenuto originario non possa essere recuperato, o cancellata con un software di cancellazione approvato;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>i supporti magnetici (ad esempio, dischi rigidi) devono essere sovrascritti o smagnetizzati;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>i supporti ottici (ad esempio, CD e DVD) devono essere triturati o disintegrati;</p></td></tr></tbody></table><table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>per ogni altro supporto, l&#8217;amministrazione aggiudicatrice o, se del caso, l&#8217;NSA/DSA/SAA, dovrebbe essere consultata in merito ai requisiti di sicurezza da rispettare.</p></td></tr></tbody></table></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>34.</p></td><td><span>Le informazioni classificate RESTREINT UE/EU RESTRICTED devono essere sanitizzate su qualsiasi supporto informatico prima che i supporti siano consegnati a soggetti non autorizzati ad accedere a informazioni classificate RESTREINT UE/EU RESTRICTED (ad esempio per la manutenzione).</span></td></tr></tbody></table>
ALLEGATO IV
Nulla osta di sicurezza dell’impresa e nulla osta di sicurezza del personale per i contraenti di contratti che comportano informazioni RESTREINT UE/EU RESTRICTED e NSA/DSA che richiedono la notifica di contratti classificati a livello RESTREINT UE/EU RESTRICTED ( 1 )
<table><col/><col/><col/><col/><col/><col/><col/><tbody><tr><td><p>Stato membro</p></td><td><p>FSC</p></td><td><p>Notifica all&#8217;NSA/DSA del contratto o del subappalto che comporta informazioni R-UE/EU-R</p></td><td><p>PSC</p></td></tr><tr><td><p>S&#204;</p></td><td><p>NO</p></td><td><p>S&#204;</p></td><td><p>NO</p></td><td><p>S&#204;</p></td><td><p>NO</p></td></tr><tr><td><p>Belgio</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Bulgaria</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Cechia</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Danimarca</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td></tr><tr><td><p>Germania</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Estonia</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Irlanda</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Grecia</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>X</p></td><td><p>&#160;</p></td></tr><tr><td><p>Spagna</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Francia</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Croazia</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Italia</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Cipro</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Lettonia</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Lituania</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Lussemburgo</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td></tr><tr><td><p>Ungheria</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Malta</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Paesi Bassi</p></td><td><p>X</p><p>(solo per i contratti nel settore della difesa)</p></td><td><p>&#160;</p></td><td><p>X</p><p>(solo per i contratti nel settore della difesa)</p></td><td><p>&#160;</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Austria</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Polonia</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Portogallo</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Romania</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Slovenia</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Slovacchia</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Finlandia</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr><tr><td><p>Svezia</p></td><td><p>X</p><p>(solo per i contratti nel settore della difesa)</p></td><td><p>&#160;</p></td><td><p>X</p><p>(solo per i contratti nel settore della difesa)</p></td><td><p>&#160;</p></td><td><p>X</p><p>(solo per i contratti nel settore della difesa)</p></td><td><p>&#160;</p></td></tr><tr><td><p>Regno Unito</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td><td><p>&#160;</p></td><td><p>X</p></td></tr></tbody></table>
( 1 ) Le prescrizioni nazionali in materia di FSC/PSC e di notifica di contratti che comportano informazioni RESTREINT UE/EU RESTRICTED non devono imporre obblighi supplementari agli altri Stati membri o ai contraenti sotto la loro giurisdizione.
NB: la notifica dei contratti che comportano informazioni CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET è obbligatoria.
ALLEGATO V
ELENCO DEI SERVIZI DELLE AUTORITÀ DI SICUREZZA NAZIONALI/DELLE AUTORITÀ DI SICUREZZA DESIGNATE RESPONSABILI DELLA GESTIONE DELLE PROCEDURE RELATIVE ALLA SICUREZZA INDUSTRIALE
BELGIO
<table><col/><tbody><tr><td><p>National Security Authority</p></td></tr><tr><td><p>FPS Foreign Affairs</p></td></tr><tr><td><p>Rue des Petits Carmes 15</p></td></tr><tr><td><p>1000 Brussels</p></td></tr><tr><td><p>Tel. +32 25014542 (Segretariato)</p></td></tr><tr><td><p>Fax +32 25014596</p></td></tr><tr><td><p>Email: nvo-ans@diplobel.fed.be</p></td></tr></tbody></table>
BULGARIA
<table><col/><col/><col/><tbody><tr><td/><td><p>1.</p></td><td><span><table><col/><tbody><tr><td><p>State Commission on Information Security - National Security Authority</p></td></tr><tr><td><p>4 Kozloduy Street</p></td></tr><tr><td><p>1202 Sofia</p></td></tr><tr><td><p>Tel. +359 29835775</p></td></tr><tr><td><p>Fax +359 29873750</p></td></tr><tr><td><p>Email: dksi@government.bg</p></td></tr></tbody></table></span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>2.</p></td><td><span><table><col/><tbody><tr><td><p>Defence Information Service at the Ministry of Defence (security service)</p></td></tr><tr><td><p>3 Dyakon Ignatiy Street</p></td></tr><tr><td><p>1092 Sofia</p></td></tr><tr><td><p>Tel. +359 29227002</p></td></tr><tr><td><p>Fax +359 29885211</p></td></tr><tr><td><p>Email: office@iksbg.org</p></td></tr></tbody></table></span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>3.</p></td><td><span><table><col/><tbody><tr><td><p>State Intelligence Agency (security service)</p></td></tr><tr><td><p>12 Hajdushka Polyana Street</p></td></tr><tr><td><p>1612 Sofia</p></td></tr><tr><td><p>Tel. +359 29813221</p></td></tr><tr><td><p>Fax +359 29862706</p></td></tr><tr><td><p>Email: office@dar.bg</p></td></tr></tbody></table></span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>4.</p></td><td><span><table><col/><tbody><tr><td><p>State Agency for Technical Operations (security service)</p></td></tr><tr><td><p>29 Shesti Septemvri Street</p></td></tr><tr><td><p>1000 Sofia</p></td></tr><tr><td><p>Tel. +359 29824971</p></td></tr><tr><td><p>Fax +359 29461339</p></td></tr><tr><td><p>Email: dato@dato.bg</p></td></tr></tbody></table></span><p><span>(Le predette autorit&#224; competenti effettuano gli accertamenti per il rilascio dell'FSC alle persone giuridiche che presentano offerte per la conclusione di un contratto classificato, e del PSC alle persone fisiche che danno attuazione ad un contratto classificato per le esigenze delle autorit&#224; stesse).</span></p></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>5.</p></td><td><span><table><col/><tbody><tr><td><p>State Agency National Security (security service)</p></td></tr><tr><td><p>45 Cherni Vrah Blvd.</p></td></tr><tr><td><p>1407 Sofia</p></td></tr><tr><td><p>Tel. +359 28147109</p></td></tr><tr><td><p>Fax +359 29632188, +359 28147441</p></td></tr><tr><td><p>Email: dans@dans.bg</p></td></tr></tbody></table></span><p><span>(Il predetto servizio di sicurezza effettua gli accertamenti per il rilascio dell'FSC e del PSC a tutte le altre persone giuridiche e fisiche del paese che presentano offerte per la conclusione di un contratto classificato o danno attuazione ad un contratto classificato).</span></p></td></tr></tbody></table>
CECHIA
<table><col/><tbody><tr><td><p>National Security Authority</p></td></tr><tr><td><p>Industrial Security Department</p></td></tr><tr><td><p>PO BOX 49</p></td></tr><tr><td><p>150 06 Praha 56</p></td></tr><tr><td><p>Tel. +420 257283129</p></td></tr><tr><td><p>Email: sbr@nbu.cz</p></td></tr></tbody></table>
DANIMARCA
<table><col/><col/><col/><tbody><tr><td/><td><p>1.</p></td><td><span><table><col/><tbody><tr><td><p>Politiets Efterretningstjeneste</p></td></tr><tr><td><p>(Danish Security Intelligence Service)</p></td></tr><tr><td><p>Klausdalsbrovej 1</p></td></tr><tr><td><p>2860 S&#248;borg</p></td></tr><tr><td><p>Tel. +45 33148888</p></td></tr><tr><td><p>Fax +45 33430190</p></td></tr></tbody></table></span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>2.</p></td><td><span><table><col/><tbody><tr><td><p>Forsvarets Efterretningstjeneste</p></td></tr><tr><td><p>(Danish Defence Intelligence Service)</p></td></tr><tr><td><p>Kastellet 30</p></td></tr><tr><td><p>2100 Copenhagen &#216;</p></td></tr><tr><td><p>Tel. +45 33325566</p></td></tr><tr><td><p>Fax +45 33931320</p></td></tr></tbody></table></span></td></tr></tbody></table>
GERMANIA
<table><col/><col/><col/><tbody><tr><td/><td><p>1.</p></td><td><span><table><col/><tbody><tr><td><p>Per le questioni relative alla politica di sicurezza industriale, gli FSC, i programmi di trasporto (tranne materiale crittografico/CCI):</p></td></tr><tr><td><p>Federal Ministry of Economic Affairs and Energy</p></td></tr><tr><td><p>Industrial Security Division - ZB3</p></td></tr><tr><td><p>Villemombler Str. 76</p></td></tr><tr><td><p>53123 Bonn</p></td></tr><tr><td><p>Tel. +49 228996154028</p></td></tr><tr><td><p>Fax +49 228996152676</p></td></tr><tr><td><p>Email: dsagermany-zb3@bmwi.bund.de (e-mail dell'ufficio)</p></td></tr></tbody></table></span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>2.</p></td><td><span><table><col/><tbody><tr><td><p>Per le richieste di visita standard da/presso imprese tedesche:</p></td></tr><tr><td><p>Federal Ministry of Economic Affairs and Energy</p></td></tr><tr><td><p>Industrial Security Division &#8211; ZB2</p></td></tr><tr><td><p>Villemombler Str. 76</p></td></tr><tr><td><p>53123 Bonn</p></td></tr><tr><td><p>Tel. +49 228996152401</p></td></tr><tr><td><p>Fax +49 228996152603</p></td></tr><tr><td><p>Email: zb2-international@bmwi.bund.de (e-mail dell'ufficio)</p></td></tr></tbody></table></span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>3.</p></td><td><span><table><col/><tbody><tr><td><p>Programmi di trasporto di materiale crittografico:</p></td></tr><tr><td><p>Federal Office for Information Security (BSI)</p></td></tr><tr><td><p>National Distribution Agency/NDA-EU DEU</p></td></tr><tr><td><p>Mainzer Str. 84</p></td></tr><tr><td><p>53179 Bonn</p></td></tr><tr><td><p>Tel. +49 2289995826052</p></td></tr><tr><td><p>Fax +49 228991095826052</p></td></tr><tr><td><p>Email: NDAEU@bsi.bund.de</p></td></tr></tbody></table></span></td></tr></tbody></table>
ESTONIA
<table><col/><tbody><tr><td><p>National Security Authority Department</p></td></tr><tr><td><p>Estonian Foreign Intelligence Service</p></td></tr><tr><td><p>Rahum&#228;e tee 4B</p></td></tr><tr><td><p>11316 Tallinn</p></td></tr><tr><td><p>Tel. +372 6939211</p></td></tr><tr><td><p>Fax +372 6935001</p></td></tr><tr><td><p>Email: nsa@fis.gov.ee</p></td></tr></tbody></table>
IRLANDA
<table><col/><tbody><tr><td><p>National Security Authority Ireland</p></td></tr><tr><td><p>Department of Foreign Affairs and Trade</p></td></tr><tr><td><p>76-78 Harcourt Street</p></td></tr><tr><td><p>Dublin 2</p></td></tr><tr><td><p>D02 DX45</p></td></tr><tr><td><p>Tel. +353 14082724</p></td></tr><tr><td><p>Email: nsa@dfa.ie</p></td></tr></tbody></table>
GRECIA
<table><col/><tbody><tr><td><p>Hellenic National Defence General Staff</p></td></tr><tr><td><p>&#200; Division (Security INTEL, CI BRANCH)</p></td></tr><tr><td><p>E3 Directorate</p></td></tr><tr><td><p>Industrial Security Office</p></td></tr><tr><td><p>227-231 Mesogeion Avenue</p></td></tr><tr><td><p>15561 Holargos, Athens</p></td></tr><tr><td><p>Tel. +30 2106572022, +30 2106572178</p></td></tr><tr><td><p>Fax +30 2106527612</p></td></tr><tr><td><p>Email: daa.industrial@hndgs.mil.gr</p></td></tr></tbody></table>
SPAGNA
<table><col/><tbody><tr><td><p>Autoridad Nacional de Seguridad</p></td></tr><tr><td><p>Oficina Nacional de Seguridad</p></td></tr><tr><td><p>Calle Argentona 30</p></td></tr><tr><td><p>28023 Madrid</p></td></tr><tr><td><p>Tel. +34 913725000</p></td></tr><tr><td><p>Fax +34 913725808</p></td></tr><tr><td><p>Email: nsa-sp@areatec.com</p></td></tr><tr><td><p>Per le questioni riguardanti i nulla osta di sicurezza del personale: asip@areatec.com</p></td></tr><tr><td><p>Per i programmi di trasporto e le visite internazionali: sp-ivtco@areatec.com</p></td></tr></tbody></table>
FRANCIA
<table><col/><tbody><tr><td><p>National Security Authority (NSA) (per le politiche e l'attuazione in settori diversi da quello della difesa)</p></td></tr><tr><td><p>Secr&#233;tariat g&#233;n&#233;ral de la d&#233;fense et de la s&#233;curit&#233; nationale</p></td></tr><tr><td><p>Sous-direction Protection du secret (SGDSN/PSD)</p></td></tr><tr><td><p>51 boulevard de la Tour-Maubourg</p></td></tr><tr><td><p>75700 Paris 07 SP</p></td></tr><tr><td><p>Tel. +33 171758193</p></td></tr><tr><td><p>Fax +33 171758200</p></td></tr><tr><td><p>Email: ANSFrance@sgdsn.gouv.fr</p></td></tr></tbody></table>
<table><col/><tbody><tr><td><p>Designated Security Authority (per l'attuazione nel settore della difesa)</p></td></tr><tr><td><p>Direction G&#233;n&#233;rale de l'Armement</p></td></tr><tr><td><p>Service de la S&#233;curit&#233; de D&#233;fense et des syst&#232;mes d'Information (DGA/SSDI)</p></td></tr><tr><td><p>60 boulevard du g&#233;n&#233;ral Martial Valin</p></td></tr><tr><td><p>CS 21623</p></td></tr><tr><td><p>75509 Paris Cedex 15</p></td></tr><tr><td><p>Tel. +33 988670421</p></td></tr><tr><td><p>Email: per moduli e RFV in uscita: dga-ssdi.ai.fct@intradef.gouv.fr</p></td></tr><tr><td><p>per RFV in entrata: dga-ssdi.visit.fct@intradef.gouv.fr</p></td></tr></tbody></table>
CROAZIA
<table><col/><tbody><tr><td><p>Office of the National Security Council</p></td></tr><tr><td><p>Croatian NSA</p></td></tr><tr><td><p>Jurjevska 34</p></td></tr><tr><td><p>10000 Zagreb</p></td></tr><tr><td><p>Tel. +385 14681222</p></td></tr><tr><td><p>Fax +385 14686049</p></td></tr><tr><td><p>Email: NSACroatia@uvns.hr</p></td></tr></tbody></table>
ITALIA
<table><col/><tbody><tr><td><p>Presidenza del Consiglio dei ministri</p></td></tr><tr><td><p>D.I.S. - U.C.Se.</p></td></tr><tr><td><p>Via di Santa Susanna 15</p></td></tr><tr><td><p>00187 Roma</p></td></tr><tr><td><p>Tel. +39 0661174266</p></td></tr><tr><td><p>Fax +39 064885273</p></td></tr></tbody></table>
CIPRO
<table><col/><tbody><tr><td><p>&#933;&#928;&#927;&#933;&#929;&#915;&#917;&#921;&#927; &#913;&#924;&#933;&#925;&#913;&#931;</p></td></tr><tr><td><p>&#917;&#952;&#957;&#953;&#954;&#942; &#913;&#961;&#967;&#942; &#913;&#963;&#966;&#940;&#955;&#949;&#953;&#945;&#962; (&#917;&#913;&#913;)</p></td></tr><tr><td><p>&#923;&#949;&#969;&#966;&#972;&#961;&#959;&#962; &#931;&#964;&#961;&#959;&#946;&#972;&#955;&#959;&#965;, 172-174</p></td></tr><tr><td><p>&#931;&#964;&#961;&#972;&#946;&#959;&#955;&#959;&#962;, 2048, &#923;&#949;&#965;&#954;&#969;&#963;&#943;&#945;</p></td></tr><tr><td><p>&#932;&#951;&#955;&#941;&#966;&#969;&#957;&#945;: +357 22807569, +357 22807764</p></td></tr><tr><td><p>&#932;&#951;&#955;&#949;&#959;&#956;&#959;&#953;&#972;&#964;&#965;&#960;&#959;: +357 22302351</p></td></tr><tr><td><p>Email: cynsa@mod.gov.cy</p></td></tr></tbody></table>
<table><col/><tbody><tr><td><p>Ministry of Defence</p></td></tr><tr><td><p>National Security Authority (NSA)</p></td></tr><tr><td><p>172-174, Strovolos Avenue</p></td></tr><tr><td><p>2048 Strovolos, Nicosia</p></td></tr><tr><td><p>Tel. +357 22807569, +357 22807764</p></td></tr><tr><td><p>Fax +357 22302351</p></td></tr><tr><td><p>Email: cynsa@mod.gov.cy</p></td></tr></tbody></table>
LETTONIA
<table><col/><tbody><tr><td><p>National Security Authority</p></td></tr><tr><td><p>Constitution Protection Bureau of the Republic of Latvia</p></td></tr><tr><td><p>P.O. Box 286</p></td></tr><tr><td><p>Riga LV-1001</p></td></tr><tr><td><p>Tel. +371 67025418, +371 67025463</p></td></tr><tr><td><p>Fax +371 67025454</p></td></tr><tr><td><p>Email: ndi@sab.gov.lt, ndi@zd.gov.lv</p></td></tr></tbody></table>
LITUANIA
<table><col/><tbody><tr><td><p>Lietuvos Respublikos paslap&#269;i&#371; apsaugos koordinavimo komisija</p></td></tr><tr><td><p>(The Commission for Secrets Protection Coordination of the Republic of Lithuania)</p></td></tr><tr><td><p>National Security Authority</p></td></tr><tr><td><p>Gedimino 40/1</p></td></tr><tr><td><p>LT-01110 Vilnius</p></td></tr><tr><td><p>Tel. +370 70666703, +370 70666701</p></td></tr><tr><td><p>Fax +370 70666700</p></td></tr><tr><td><p>Email: nsa@vsd.lt</p></td></tr></tbody></table>
LUSSEMBURGO
<table><col/><tbody><tr><td><p>Autorit&#233; Nationale de S&#233;curit&#233;</p></td></tr><tr><td><p>207, route d'Esch</p></td></tr><tr><td><p>L-1471 Luxembourg</p></td></tr><tr><td><p>Tel. +352 24782210</p></td></tr><tr><td><p>Email: ans@me.etat.lu</p></td></tr></tbody></table>
UNGHERIA
<table><col/><tbody><tr><td><p>National Security Authority of Hungary</p></td></tr><tr><td><p>H-1399 Budapest P.O. Box 710/50</p></td></tr><tr><td><p>H-1024 Budapest, Szil&#225;gyi Erzs&#233;bet fasor 11/B</p></td></tr><tr><td><p>Tel. +36 13911862</p></td></tr><tr><td><p>Fax +36 13911889</p></td></tr><tr><td><p>Email: nbf@nbf.hu</p></td></tr></tbody></table>
MALTA
<table><col/><tbody><tr><td><p>Director of Standardisation</p></td></tr><tr><td><p>Designated Security Authority for Industrial Security</p></td></tr><tr><td><p>Standards &amp; Metrology Institute</p></td></tr><tr><td><p>Malta Competition and Consumer Affairs Authority</p></td></tr><tr><td><p>Mizzi House</p></td></tr><tr><td><p>National Road</p></td></tr><tr><td><p>Blata I-Bajda HMR9010</p></td></tr><tr><td><p>Tel.: +356 23952000</p></td></tr><tr><td><p>Fax +356 21242406</p></td></tr><tr><td><p>Email: certification@mccaa.org.mt</p></td></tr></tbody></table>
PAESI BASSI
<table><col/><col/><col/><tbody><tr><td/><td><p>1.</p></td><td><span><table><col/><tbody><tr><td><p>Ministry of the Interior and Kingdom Relations</p></td></tr><tr><td><p>PO Box 20010</p></td></tr><tr><td><p>2500 EA The Hague</p></td></tr><tr><td><p>Tel. +31 703204400</p></td></tr><tr><td><p>Fax +31 703200733</p></td></tr><tr><td><p>Email: nsa-nl-industry@minbzk.nl</p></td></tr></tbody></table></span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>2.</p></td><td><span><table><col/><tbody><tr><td><p>Ministry of Defence</p></td></tr><tr><td><p>Industrial Security Department</p></td></tr><tr><td><p>PO Box 20701</p></td></tr><tr><td><p>2500 ES The Hague</p></td></tr><tr><td><p>Tel. +31 704419407</p></td></tr><tr><td><p>Fax +31 703459189</p></td></tr><tr><td><p>Email: indussec@mindef.nl</p></td></tr></tbody></table></span></td></tr></tbody></table>
AUSTRIA
<table><col/><col/><col/><tbody><tr><td/><td><p>1.</p></td><td><span><table><col/><tbody><tr><td><p>Federal Chancellery of Austria</p></td></tr><tr><td><p>Department I/12, Office for Information Security</p></td></tr><tr><td><p>Ballhausplatz 2</p></td></tr><tr><td><p>1014 Vienna</p></td></tr><tr><td><p>Tel. +43 153115202594</p></td></tr><tr><td><p>Email: isk@bka.gv.at</p></td></tr></tbody></table></span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>2.</p></td><td><span><table><col/><tbody><tr><td><p>DSA in the military sphere:</p></td></tr><tr><td><p>BMLVS/Abwehramt</p></td></tr><tr><td><p>Postfach 2000</p></td></tr><tr><td><p>1030 Vienna</p></td></tr><tr><td><p>Email: abwa@bmlvs.gv.at</p></td></tr></tbody></table></span></td></tr></tbody></table>
POLONIA
<table><col/><tbody><tr><td><p>Internal Security Agency</p></td></tr><tr><td><p>Department for the Protection of Classified Information</p></td></tr><tr><td><p>Rakowiecka 2 A</p></td></tr><tr><td><p>00-993 Warsaw</p></td></tr><tr><td><p>Tel. +48 225857944</p></td></tr><tr><td><p>Fax +48 225857443</p></td></tr><tr><td><p>Email: nsa@abw.gov.pl</p></td></tr></tbody></table>
PORTOGALLO
<table><col/><tbody><tr><td><p>Gabinete Nacional de Seguran&#231;a</p></td></tr><tr><td><p>Servi&#231;o de Seguran&#231;a Industrial</p></td></tr><tr><td><p>Rua da Junqueira n<span>o</span> 69</p></td></tr><tr><td><p>1300-342 Lisbon</p></td></tr><tr><td><p>Tel. +351 213031710</p></td></tr><tr><td><p>Fax +351 213031711</p></td></tr><tr><td><p>Email: sind@gns.gov.pt, franco@gns.gov.pt</p></td></tr></tbody></table>
ROMANIA
<table><col/><tbody><tr><td><p>Oficiul Registrului Na&#539;ional al Informa&#539;iilor Secrete de Stat - ORNISS</p></td></tr><tr><td><p>Romanian NSA - ORNISS - National Registry Office for Classified Information</p></td></tr><tr><td><p>4th Mures Street</p></td></tr><tr><td><p>012275 Bucharest</p></td></tr><tr><td><p>Tel. +40 212075115</p></td></tr><tr><td><p>Fax +40 212245830</p></td></tr><tr><td><p>Email: relatii.publice@orniss.ro, nsa.romania@nsa.ro</p></td></tr></tbody></table>
SLOVENIA
<table><col/><tbody><tr><td><p>Urad Vlade RS za varovanje tajnih podatkov</p></td></tr><tr><td><p>Gregor&#269;i&#269;eva 27</p></td></tr><tr><td><p>1000 Ljubljana</p></td></tr><tr><td><p>Tel. +386 14781390</p></td></tr><tr><td><p>Fax +386 14781399</p></td></tr><tr><td><p>Email: gp.uvtp@gov.si</p></td></tr></tbody></table>
SLOVACCHIA
<table><col/><tbody><tr><td><p>N&#225;rodn&#253; bezpe&#269;nostn&#253; &#250;rad</p></td></tr><tr><td><p>(National Security Authority)</p></td></tr><tr><td><p>Security Clearance Department</p></td></tr><tr><td><p>Budat&#237;nska 30</p></td></tr><tr><td><p>851 06 Bratislava</p></td></tr><tr><td><p>Tel. +421 268691111</p></td></tr><tr><td><p>Fax +421 268691700</p></td></tr><tr><td><p>Email: podatelna@nbu.gov.sk</p></td></tr></tbody></table>
FINLANDIA
<table><col/><tbody><tr><td><p>National Security Authority</p></td></tr><tr><td><p>Ministry for Foreign Affairs</p></td></tr><tr><td><p>P.O. Box 453</p></td></tr><tr><td><p>FI-00023 Government</p></td></tr><tr><td><p>Email: NSA@formin.fi</p></td></tr></tbody></table>
SVEZIA
<table><col/><col/><col/><tbody><tr><td/><td><p>1.</p></td><td><span><table><col/><tbody><tr><td><p>National Security Authority</p></td></tr><tr><td><p>Utrikesdepartementet (Ministry for Foreign Affairs)</p></td></tr><tr><td><p>UD S&#196;K/NSA</p></td></tr><tr><td><p>SE-103 39 Stockholm</p></td></tr><tr><td><p>Tel. +46 84051000</p></td></tr><tr><td><p>Fax +46 87231176</p></td></tr><tr><td><p>Email: ud-nsa@gov.se</p></td></tr></tbody></table></span></td></tr></tbody></table>
<table><col/><col/><col/><tbody><tr><td/><td><p>2.</p></td><td><span><table><col/><tbody><tr><td><p>DSA</p></td></tr><tr><td><p>F&#246;rsvarets Materielverk (Swedish Defence Materiel Administration)</p></td></tr><tr><td><p>FMV S&#228;kerhetsskydd</p></td></tr><tr><td><p>SE-115 88 Stockholm</p></td></tr><tr><td><p>Tel. +46 87824000</p></td></tr><tr><td><p>Fax +46 87826900</p></td></tr><tr><td><p>Email: security@fmv.se</p></td></tr></tbody></table></span></td></tr></tbody></table>
REGNO UNITO
<table><col/><tbody><tr><td><p>UK National Security Authority</p></td></tr><tr><td><p>Room 335, 3rd Floor</p></td></tr><tr><td><p>70 Whitehall</p></td></tr><tr><td><p>London</p></td></tr><tr><td><p>SW1 A 2AS</p></td></tr><tr><td><p>Tel. +44 2072765497, +44 2072765645</p></td></tr><tr><td><p>Email: UK-NSA@cabinet-office.x.gsi.gov.uk</p></td></tr></tbody></table>