# Gazzetta ufficiale C 126/2018

| | ISSN 1977-0944 |
| --- | --- |
| Gazzetta ufficiale
  dell'Unione europea | C 126 |
| | |
| Edizione in lingua italiana | Comunicazioni e informazioni | 61° anno10 aprile 2018 |

ISSN 1977-0944

Gazzetta ufficiale

dell'Unione europea

C 126

Edizione in lingua italiana

Comunicazioni e informazioni

61° anno10 aprile 2018

---

| Numero d'informazione | Sommario | pagina |
| --- | --- | --- |
| | IV   Informazioni |
| | INFORMAZIONI PROVENIENTI DALLE ISTITUZIONI, DAGLI ORGANI E DAGLI ORGANISMI DELL'UNIONE EUROPEA |
| 2018/C 126/01 | Decisione dell'Alto rappresentante dell'Unione per gli affari esteri e la politica di sicurezza del 19 settembre 2017 relativa alle norme di sicurezza del Servizio europeo per l'azione esterna — ADMIN(2017) 10 | 1 |

Numero d'informazione

Sommario

pagina

IV   Informazioni

INFORMAZIONI PROVENIENTI DALLE ISTITUZIONI, DAGLI ORGANI E DAGLI ORGANISMI DELL'UNIONE EUROPEA

2018/C 126/01

Decisione dell'Alto rappresentante dell'Unione per gli affari esteri e la politica di sicurezza del 19 settembre 2017 relativa alle norme di sicurezza del Servizio europeo per l'azione esterna — ADMIN(2017) 10

1

---

| IT | |
| --- | --- |

IT

---

IV Informazioni

INFORMAZIONI PROVENIENTI DALLE ISTITUZIONI, DAGLI ORGANI E DAGLI ORGANISMI DELL'UNIONE EUROPEA

| 10.4.2018 | IT | Gazzetta ufficiale dell'Unione europea | C 126/1 |
| --- | --- | --- | --- |

10.4.2018

IT

Gazzetta ufficiale dell'Unione europea

C 126/1

---

Decisione dell'Alto rappresentante dell'Unione per gli affari esteri e la politica di sicurezza del 19 settembre 2017 relativa alle norme di sicurezza del Servizio europeo per l'azione esterna

ADMIN(2017) 10

(2018/C 126/01)

L'ALTO RAPPRESENTANTE DELL'UNIONE PER GLI AFFARI ESTERI E LA POLITICA DI SICUREZZA,

vista la decisione 2010/427/UE del Consiglio, del 26 luglio 2010, che fissa l'organizzazione e il funzionamento del Servizio europeo per l'azione esterna (1) («SEAE»),

visto il parere del Comitato di cui all'articolo 9, paragrafo 6, della decisione dell'Alto rappresentante, del 15 giugno 2011, relativa alle norme di sicurezza del Servizio europeo per l'azione esterna (2),

considerando quanto segue:

| (1) | In quanto organo dell'Unione europea (UE) che opera in autonomia funzionale, il SEAE deve essere dotato di norme di sicurezza, come previsto all'articolo 10, paragrafo 1, della decisione 2010/427/UE del Consiglio. |
| --- | --- |

(1)

In quanto organo dell'Unione europea (UE) che opera in autonomia funzionale, il SEAE deve essere dotato di norme di sicurezza, come previsto all'articolo 10, paragrafo 1, della decisione 2010/427/UE del Consiglio.

| (2) | L'Alto rappresentante dell'Unione per gli affari esteri e la politica di sicurezza (in seguito, «Alto rappresentante» o «AR») deve adottare norme di sicurezza del SEAE che contemplino tutti gli aspetti della sicurezza relativi al funzionamento del SEAE affinché quest'ultimo possa gestire efficacemente i rischi per il personale posto sotto la sua responsabilità, per i beni materiali, le informazioni e i visitatori e assolvere l'obbligo di diligenza che gli incombe a tale riguardo. |
| --- | --- |

(2)

L'Alto rappresentante dell'Unione per gli affari esteri e la politica di sicurezza (in seguito, «Alto rappresentante» o «AR») deve adottare norme di sicurezza del SEAE che contemplino tutti gli aspetti della sicurezza relativi al funzionamento del SEAE affinché quest'ultimo possa gestire efficacemente i rischi per il personale posto sotto la sua responsabilità, per i beni materiali, le informazioni e i visitatori e assolvere l'obbligo di diligenza che gli incombe a tale riguardo.

| (3) | Occorre segnatamente dotare il personale posto sotto la responsabilità del SEAE, i beni materiali, compresi i sistemi di comunicazione e informazione, le informazioni e i visitatori del SEAE, di un livello di protezione comparabile alle migliori prassi applicate al Consiglio, alla Commissione e negli Stati membri e, eventualmente, nelle organizzazioni internazionali. |
| --- | --- |

(3)

Occorre segnatamente dotare il personale posto sotto la responsabilità del SEAE, i beni materiali, compresi i sistemi di comunicazione e informazione, le informazioni e i visitatori del SEAE, di un livello di protezione comparabile alle migliori prassi applicate al Consiglio, alla Commissione e negli Stati membri e, eventualmente, nelle organizzazioni internazionali.

| (4) | È opportuno che le norme di sicurezza del SEAE contribuiscano all'elaborazione di un quadro generale completo e più coerente nell'UE per proteggere le informazioni classificate UE (in seguito, «ICUE»), in base alle norme di sicurezza del Consiglio dell'Unione europea (in seguito, «il Consiglio») e alle disposizioni della Commissione europea in materia di sicurezza, mantenendo il più possibile la coerenza generale. |
| --- | --- |

(4)

È opportuno che le norme di sicurezza del SEAE contribuiscano all'elaborazione di un quadro generale completo e più coerente nell'UE per proteggere le informazioni classificate UE (in seguito, «ICUE»), in base alle norme di sicurezza del Consiglio dell'Unione europea (in seguito, «il Consiglio») e alle disposizioni della Commissione europea in materia di sicurezza, mantenendo il più possibile la coerenza generale.

| (5) | Il SEAE, il Consiglio e la Commissione si impegnano ad applicare norme di sicurezza equivalenti per proteggere le ICUE. |
| --- | --- |

(5)

Il SEAE, il Consiglio e la Commissione si impegnano ad applicare norme di sicurezza equivalenti per proteggere le ICUE.

| (6) | La presente decisione lascia impregiudicati gli articoli 15 e 16 del trattato sul funzionamento dell'Unione europea (TFUE) e i relativi strumenti di attuazione. |
| --- | --- |

(6)

La presente decisione lascia impregiudicati gli articoli 15 e 16 del trattato sul funzionamento dell'Unione europea (TFUE) e i relativi strumenti di attuazione.

| (7) | È necessario definire l'organizzazione della sicurezza nel SEAE e l'attribuzione delle mansioni di sicurezza all'interno delle sue strutture. |
| --- | --- |

(7)

È necessario definire l'organizzazione della sicurezza nel SEAE e l'attribuzione delle mansioni di sicurezza all'interno delle sue strutture.

| (8) | L'Alto rappresentante deve, all'occorrenza, avvalersi delle competenze tecniche esistenti negli Stati membri, al Segretariato generale del Consiglio e alla Commissione. |
| --- | --- |

(8)

L'Alto rappresentante deve, all'occorrenza, avvalersi delle competenze tecniche esistenti negli Stati membri, al Segretariato generale del Consiglio e alla Commissione.

| (9) | L'Alto rappresentante deve adottare tutte le idonee misure necessarie per dare attuazione alle norme di sicurezza con il sostegno degli Stati membri, del Segretariato generale del Consiglio e della Commissione, |
| --- | --- |

(9)

L'Alto rappresentante deve adottare tutte le idonee misure necessarie per dare attuazione alle norme di sicurezza con il sostegno degli Stati membri, del Segretariato generale del Consiglio e della Commissione,

| (10) | Il Segretario generale del SEAE è l'autorità di sicurezza del SEAE, e l'articolo 1 della decisione ADMIN (2015)34 del 14 settembre 2015 del Segretario generale del Servizio europeo per l'azione esterna stabilisce che le funzioni di sicurezza dell'autorità di sicurezza, previste nelle norme di sicurezza del SEAE, sono esercitate dal direttore generale per il bilancio e l'amministrazione, |
| --- | --- |

(10)

Il Segretario generale del SEAE è l'autorità di sicurezza del SEAE, e l'articolo 1 della decisione ADMIN (2015)34 del 14 settembre 2015 del Segretario generale del Servizio europeo per l'azione esterna stabilisce che le funzioni di sicurezza dell'autorità di sicurezza, previste nelle norme di sicurezza del SEAE, sono esercitate dal direttore generale per il bilancio e l'amministrazione,

HA ADOTTATO LA PRESENTE DECISIONE:

Articolo 1

Oggetto e ambito di applicazione

La presente decisione stabilisce le norme di sicurezza applicabili al Servizio europeo per l'azione esterna (in seguito, «norme di sicurezza del SEAE»).

Ai sensi dell'articolo 10, paragrafo 1, della decisione 2010/427/UE del Consiglio, del 26 luglio 2010, che fissa l'organizzazione e il funzionamento del Servizio europeo per l'azione esterna, la presente decisione si applica a tutto il personale del SEAE e a tutto il personale delle delegazioni dell'Unione a prescindere dalla condizione amministrativa o dalla provenienza, e istituisce un quadro normativo generale di gestione efficace dei rischi cui sono soggetti il personale posto sotto la responsabilità del SEAE, di cui all'articolo 2, i locali, i beni materiali, le informazioni e i visitatori del SEAE.

Articolo 2

Definizioni

Ai fini della presente decisione s'intende per:

(a)   «personale del SEAE»: i funzionari del SEAE e altri agenti, tra cui i membri dei servizi diplomatici degli Stati membri nominati agenti temporanei e gli esperti nazionali distaccati, ai sensi dell'articolo 6 della decisione 2010/427/UE del Consiglio, del 26 luglio 2010, che fissa l'organizzazione e il funzionamento del Servizio europeo per l'azione esterna;

(b)   «personale posto sotto la responsabilità del SEAE»: il personale del SEAE nella sede centrale e nelle delegazioni dell'Unione e tutti gli altri membri del personale delle delegazioni dell'Unione, a prescindere dalla condizione amministrativa o dalla provenienza, nonché, ai fini della presente decisione, l'Alto rappresentante e, se del caso, altro personale in servizio nei locali della sede centrale del SEAE;

(c)   «persone a carico»: i familiari dei membri del personale posto sotto la responsabilità del SEAE nelle delegazioni dell'Unione che sono compresi nei rispettivi nuclei familiari come notificato al ministero degli Affari esteri dello Stato ospitante;

(d)   «locali del SEAE»: tutti gli stabilimenti del SEAE, compresi gli edifici, gli uffici, le stanze o altre zone, nonché le zone che contengono i sistemi di comunicazione e informazione (compresi quelli che trattano ICUE), in cui il SEAE svolge attività permanenti o temporanee;

(e)   «interessi del SEAE in materia di sicurezza»: il personale posto sotto la responsabilità del SEAE, i locali, le persone a carico, i beni materiali, compresi i sistemi di comunicazione e di informazione, le informazioni e i visitatori di quest'ultimo;

(f)   «ICUE»: qualsiasi informazione o qualsiasi materiale designati da una classifica di sicurezza UE, la cui divulgazione non autorizzata potrebbe recare in varia misura pregiudizio agli interessi dell'Unione europea o di uno o più Stati membri;

(g)   «delegazione dell'Unione»: le delegazioni nei paesi terzi e presso le organizzazioni internazionali di cui all'articolo 1, paragrafo 4, della decisione 2010/427/UE del Consiglio, del 26 luglio 2010, che fissa l'organizzazione e il funzionamento del servizio europeo per l'azione esterna.

Altre definizioni sono elencate negli allegati pertinenti e nell'appendice A.

Articolo 3

Obbligo di diligenza

1.   Le norme di sicurezza del SEAE intendono assolvere l'obbligo di diligenza che incombe al SEAE.

2.   L'obbligo di diligenza del SEAE richiede di intraprendere con debita diligenza ogni iniziativa idonea per attuare misure di sicurezza volte a prevenire danni ragionevolmente prevedibili agli interessi del SEAE in materia di sicurezza.

Esso sottende elementi che attengono sia alla sicurezza che all'incolumità delle persone, compresi quelli determinati da situazioni di emergenza o di crisi, indipendentemente dalla loro natura.

3.   Considerato l'obbligo di diligenza degli Stati membri, delle istituzioni e degli organi dell'UE, e di altre parti con personale proprio presso le delegazioni dell'Unione e/o nei locali delle delegazioni dell'Unione, o considerato che tale responsabilità incombe sul SEAE quando le delegazioni dell'Unione sono ospitate nei locali delle suddette altre parti, il SEAE conclude accordi amministrativi con ciascuna delle suddette entità per definire i rispettivi ruoli e responsabilità, compiti e meccanismi di cooperazione.

Articolo 4

Sicurezza materiale e delle infrastrutture

1.   Per la tutela dei suoi interessi in materia di sicurezza, il SEAE attua tutte le misure di sicurezza materiale adeguate (permanenti o temporanee), comprese le modalità di controllo dell'accesso, in tutti i suoi locali. Di tali misure si terrà conto nella progettazione e nella pianificazione di nuovi locali o prima di prenderne in locazione di esistenti.

2.   Al personale posto sotto la responsabilità del SEAE, e alle rispettive persone a carico, per ragioni di sicurezza possono essere imposti obblighi o restrizioni speciali per un periodo specifico e in zone specifiche.

3.   Le misure di cui ai paragrafi 1 e 2 sono commisurate alla valutazione del rischio.

Articolo 5

Stati di allerta e gestione delle situazioni di crisi

1.   L'autorità di sicurezza del SEAE definita all'articolo 13, sezione 1, paragrafo 1, è responsabile della disposizione di opportune misure relative allo stato di allerta, preliminarmente o in risposta a minacce e incidenti che interessano la sicurezza del SEAE, e delle misure necessarie alla gestione delle situazioni di crisi.

2.   Le misure relative allo stato di allerta di cui al paragrafo 1 sono commisurate al livello di minaccia per la sicurezza. I livelli dello stato di allerta sono definiti in stretta collaborazione con i servizi competenti di altre istituzioni, agenzie o organi dell'Unione, o dello Stato membro o degli Stati membri che ospitano i locali del SEAE.

3.   L'autorità di sicurezza del SEAE è il punto di contatto per gli stati di allerta e la gestione delle situazioni di crisi.

Articolo 6

Protezione delle informazioni classificate

1.   La protezione delle ICUE è disciplinata dalle disposizioni di cui alla presente decisione, in particolare all'allegato A, conformemente alle quali il detentore di qualsiasi ICUE è responsabile della sua protezione.

2.   Il SEAE provvede affinché l'accesso alle informazioni classificate sia consentito solo alle persone che soddisfano le condizioni di cui all'articolo 5 dell'allegato A.

3.   Le condizioni alle quali gli agenti locali possono avere accesso alle ICUE sono stabilite anch'esse dall'Alto rappresentante, conformemente alle norme per la protezione delle ICUE di cui all'allegato A della presente decisione.

4.   La direzione del SEAE responsabile della sicurezza gestisce una banca dati dei nulla osta di sicurezza di tutto il personale posto sotto la responsabilità del SEAE e dei suoi contraenti.

5.   Quando gli Stati membri introducono informazioni classificate che recano un contrassegno di classifica di sicurezza nazionale nelle strutture o nelle reti del SEAE, quest'ultimo protegge tali informazioni conformemente ai requisiti applicabili alle ICUE di livello equivalente come indicato nella tabella di equivalenza delle classifiche di sicurezza che figura nell'appendice B della presente decisione.

6.   Le zone nel SEAE in cui sono conservate informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, o classificate ad un livello equivalente, sono costituite come zone sicure, conformemente alle norme di cui all'allegato AII della presente decisione, e sono approvate dall'autorità di sicurezza del SEAE.

7.   Le procedure per l'esercizio di responsabilità da parte dell'Alto rappresentante nel quadro di accordi o intese amministrative per lo scambio di ICUE con Stati terzi o organizzazioni internazionali sono descritte negli allegati A e A VI della presente decisione.

8.   Il Segretario generale determina le condizioni in base alle quali il SEAE può condividere ICUE da esso detenute con altre istituzioni, organi, uffici o agenzie dell'Unione. A tal fine sarà istituito un quadro appropriato, anche mediante la conclusione di accordi interistituzionali o altre intese qualora necessario a tale scopo.

9.   Ogni quadro garantisce che alle ICUE sia data una protezione adeguata al loro livello di classifica e conforme ai principi fondamentali e alle norme minime equivalenti a quelli stabiliti dalla presente decisione.

Articolo 7

Incidenti ed emergenze in materia di sicurezza

1.   Al fine di garantire una risposta tempestiva ed efficace agli incidenti riguardanti la sicurezza, il SEAE istituisce una procedura per comunicare tali incidenti ed emergenze, operativa 24 ore al giorno, 7 giorni alla settimana, competente per qualsiasi tipo di incidente o minaccia ai suoi interessi in materia di sicurezza (ad esempio, infortuni, conflitti, atti dolosi, atti criminali, rapimenti e prese d'ostaggi, emergenze sanitarie, incidenti dei sistemi di comunicazione e d'informazione, attacchi informatici, ecc.).

2.   Si istituiscono canali di collegamento di emergenza tra la sede centrale del SEAE, le delegazioni dell'Unione, il Consiglio, la Commissione, i rappresentanti speciali dell'Unione europea e gli Stati membri al fine di aiutarli nella gestione degli incidenti riguardanti la sicurezza, che coinvolgono il personale, e delle loro conseguenze, compresa la pianificazione di emergenza.

3.   Tale gestione degli incidenti riguardanti la sicurezza comprende, tra l'altro:

| — | procedure per sostenere in maniera efficace il processo decisionale in relazione a un incidente riguardante la sicurezza che coinvolga il personale, comprese le decisioni circa l'estrazione o la sospensione di una missione; e |
| --- | --- |

—

procedure per sostenere in maniera efficace il processo decisionale in relazione a un incidente riguardante la sicurezza che coinvolga il personale, comprese le decisioni circa l'estrazione o la sospensione di una missione; e

| — | criteri e procedure per il recupero del personale – ad esempio, in caso di scomparsa di membri del personale o di rapimenti e prese di ostaggi – tenendo conto delle particolari responsabilità a tale riguardo degli Stati membri, delle istituzioni dell'UE e del SEAE. Nel valutare la necessità di capacità specifiche per gestire, sotto questo aspetto, tali operazioni, si tiene conto delle risorse che potrebbero essere apprestate dagli Stati membri. |
| --- | --- |

—

criteri e procedure per il recupero del personale – ad esempio, in caso di scomparsa di membri del personale o di rapimenti e prese di ostaggi – tenendo conto delle particolari responsabilità a tale riguardo degli Stati membri, delle istituzioni dell'UE e del SEAE. Nel valutare la necessità di capacità specifiche per gestire, sotto questo aspetto, tali operazioni, si tiene conto delle risorse che potrebbero essere apprestate dagli Stati membri.

4.   Il SEAE attua adeguate procedure amministrative per segnalare gli incidenti riguardanti la sicurezza nelle delegazioni dell'Unione. Se del caso, ne sono informati gli Stati membri, la Commissione e ogni altra autorità competente, nonché i competenti comitati per la sicurezza.

5.   Le procedure per la gestione degli incidenti dovrebbero essere oggetto di esercitazioni e verifiche periodiche.

Articolo 8

Sicurezza dei sistemi di comunicazione e informazione

1.   Il SEAE protegge le informazioni trattate nei sistemi di comunicazione e informazione (communication and information systems, «CIS») dalle minacce alla riservatezza, integrità, disponibilità, autenticità e non disconoscibilità.

2.   L'autorità di sicurezza del SEAE approva norme, orientamenti di sicurezza e un programma in materia di sicurezza per proteggere tutti i CIS appartenenti al SEAE o da quest'ultimo gestiti.

3.   Tali norme, politica e programma sono conformi e attuati in stretto coordinamento con quelli del Consiglio e della Commissione e, se del caso, con le politiche in materia di sicurezza applicate dagli Stati membri.

4.   Tutti i CIS che trattano informazioni classificate sono sottoposti a una procedura di accreditamento. Il SEAE attua un sistema di gestione degli accreditamenti di sicurezza concertato con il Segretariato generale del Consiglio e la Commissione.

5.   Qualora la protezione delle ICUE trattate dal SEAE sia assicurata mediante prodotti crittografici, tali prodotti sono approvati dall'autorità di approvazione degli apparati crittografici del SEAE, in base a una raccomandazione del Comitato per la sicurezza del Consiglio.

6.   Ove necessario, l'autorità di sicurezza del SEAE istituisce le seguenti funzioni in materia di garanzia di sicurezza delle informazioni:

| (a) | un'autorità per la garanzia di sicurezza delle informazioni; |
| --- | --- |

(a)

un'autorità per la garanzia di sicurezza delle informazioni;

| (b) | un'autorità TEMPEST; |
| --- | --- |

(b)

un'autorità TEMPEST;

| (c) | un'autorità di approvazione degli apparati crittografici; |
| --- | --- |

(c)

un'autorità di approvazione degli apparati crittografici;

| (d) | un'autorità di distribuzione degli apparati crittografici. |
| --- | --- |

(d)

un'autorità di distribuzione degli apparati crittografici.

7.   Per ciascun sistema l'autorità di sicurezza del SEAE istituisce le seguenti funzioni:

| (a) | un'autorità di accreditamento di sicurezza; |
| --- | --- |

(a)

un'autorità di accreditamento di sicurezza;

| (b) | un'autorità operativa per la garanzia di sicurezza delle informazioni. |
| --- | --- |

(b)

un'autorità operativa per la garanzia di sicurezza delle informazioni.

8.   Le disposizioni di attuazione del presente articolo, per quanto riguarda la protezione delle ICUE, figurano negli allegati A e A IV.

Articolo 9

Violazioni della sicurezza e compromissione di informazioni classificate

1.   Una violazione della sicurezza è la conseguenza di un atto o di un'omissione contrari alle norme di sicurezza contenute nella presente decisione e/o alle politiche o orientamenti in materia di sicurezza che precisano le misure necessarie per la sua attuazione, approvate conformemente all'articolo 21, paragrafo 1.

2.   La compromissione di informazioni classificate si verifica con la loro divulgazione, totale o parziale, a persone o entità non autorizzate.

3.   Qualsiasi violazione o sospetta violazione della sicurezza e qualsiasi compromissione o sospetta compromissione di informazioni classificate è immediatamente riferita alla direzione del SEAE responsabile della sicurezza, che adotta le misure del caso di cui all'articolo 11 dell'allegato A.

4.   Ogni persona responsabile di una violazione delle norme di sicurezza contenute nella presente decisione, o della compromissione di informazioni classificate, è passibile di sanzioni disciplinari e/o azioni legali secondo le disposizioni legislative, normative e regolamentari applicabili, come stabilito all'articolo 11, paragrafo 3, dell'allegato A.

Articolo 10

Indagini su incidenti, violazioni e/o compromissioni della sicurezza e azioni correttive

1.   Fatte salve le disposizioni di cui all'articolo 86 (misure disciplinari) e l'allegato IX dello statuto (3), la direzione del SEAE responsabile della sicurezza può condurre indagini di sicurezza:

| (a) | in caso di potenziale perdita, manomissione o compromissione di ICUE, informazioni Euratom classificate o informazioni sensibili non classificate; |
| --- | --- |

(a)

in caso di potenziale perdita, manomissione o compromissione di ICUE, informazioni Euratom classificate o informazioni sensibili non classificate;

| (b) | per contrastare gli attacchi di servizi di intelligence ostili contro il SEAE e il suo personale; |
| --- | --- |

(b)

per contrastare gli attacchi di servizi di intelligence ostili contro il SEAE e il suo personale;

| (c) | per contrastare gli attentati terroristici contro il SEAE e il suo personale; |
| --- | --- |

(c)

per contrastare gli attentati terroristici contro il SEAE e il suo personale;

| (d) | in caso di incidenti informatici; |
| --- | --- |

(d)

in caso di incidenti informatici;

| (e) | in caso di altri eventi che incidono o possono incidere sulla sicurezza generale del SEAE, comprese le ipotesi di reato. |
| --- | --- |

(e)

in caso di altri eventi che incidono o possono incidere sulla sicurezza generale del SEAE, comprese le ipotesi di reato.

2.   La direzione del SEAE responsabile della sicurezza, assistita da esperti degli Stati membri e/o delle altre istituzioni dell'UE, se opportuno, e previa autorizzazione dell'autorità di sicurezza del SEAE, ove necessario, prende tutte le misure correttive che si rendano necessarie in esito alle indagini, nei tempi e modi opportuni.

Il potere di condurre e coordinare indagini di sicurezza nel SEAE può essere conferito solo al personale autorizzato con incarico nominativo attribuito dall'autorità di sicurezza del SEAE in base alle rispettive funzioni.

3.   Gli investigatori hanno accesso a tutte le informazioni necessarie per lo svolgimento di tali indagini e a tale riguardo ricevono pieno sostegno da tutti i servizi e dal personale del SEAE.

Gli investigatori possono intraprendere azioni adeguate per salvaguardare l'insieme delle prove in modo commisurato alla gravità dei fatti oggetto dell'indagine.

4.   Quando l'accesso alle informazioni ha per oggetto dati personali, compresi quelli contenuti nei sistemi di comunicazione e informazione, tale accesso deve avvenire in conformità del regolamento (CE) n. 45/2001 (4).

5.   Al garante europeo della protezione dei dati è data notifica, in conformità al predetto regolamento, della creazione di una banca dati investigativa qualora questa contenga dati personali.

Articolo 11

Gestione dei rischi per la sicurezza

1.   Per definire le proprie esigenze in materia di sicurezza, il SEAE elabora una metodologia generale di valutazione dei rischi per la sicurezza in stretta collaborazione con la direzione «Sicurezza» della Commissione e, se del caso, con il servizio di sicurezza del Segretariato generale del Consiglio.

2.   I rischi per gli interessi del SEAE in materia di sicurezza sono gestiti secondo una procedura. Tale procedura è volta a determinare i rischi noti per la sicurezza, a definire le misure di sicurezza per contenere tali rischi entro un livello accettabile e ad applicare misure secondo il concetto di difesa in profondità. L'efficacia di tali misure e il livello di rischio sono sottoposti a costante valutazione.

3.   I ruoli, le responsabilità e i compiti stabiliti nella presente decisione non pregiudicano la responsabilità di ciascun membro del personale posto sotto la responsabilità del SEAE; in particolare, il personale dell'Unione in missione in paesi terzi deve comportarsi con buon senso e discernimento rispetto alla propria incolumità e sicurezza e rispettare tutte le norme, regolamenti, procedure e istruzioni di sicurezza applicabili.

4.   Per prevenire e controllare i rischi per la sicurezza, il personale incaricato può procedere a controlli dei precedenti delle persone che rientrano nell'ambito di applicazione della presente decisione, al fine di stabilire se il loro accesso ai locali o alle informazioni del SEAE presenti una minaccia per la sicurezza. A tal fine, e conformemente al regolamento (CE) n. 45/2001, il personale incaricato può: a) avvalersi di tutte le fonti d'informazione disponibili presso il SEAE, tenendo conto dell'affidabilità della fonte; b) accedere al fascicolo personale o ai dati che il SEAE detiene sulle persone che assume o intende assumere, o a quelli del personale dell'appaltatore, se debitamente giustificato.

5.   Il SEAE prende tutte le misure del caso per proteggere i propri interessi in materia di sicurezza e per prevenire danni ragionevolmente prevedibili.

6.   Le misure di sicurezza del SEAE per proteggere le ICUE nel corso del loro ciclo di vita sono commisurate in particolare alla rispettiva classifica di sicurezza, alla forma e al volume delle informazioni o dei materiali, all'ubicazione e alla costruzione delle strutture in cui sono conservate le ICUE e alla valutazione, anche a livello locale, della minaccia di attività dolose e/o criminali, compresi lo spionaggio, il sabotaggio e il terrorismo.

Articolo 12

Formazione e sensibilizzazione alla sicurezza

1.   L'autorità di sicurezza del SEAE provvede a elaborare e attuare adeguati programmi di formazione e sensibilizzazione alla sicurezza e a far impartire ai membri del personale posto sotto la responsabilità del SEAE nonché, se del caso, alle rispettive persone a carico, le necessarie istruzioni sulla sensibilizzazione e la formazione proporzionate ai rischi esistenti nel luogo di lavoro o di residenza.

2.   Prima che gli sia accordato l'accesso alle ICUE, e successivamente ad intervalli regolari, il personale è informato e riconosce le proprie responsabilità in materia di protezione delle ICUE, conformemente alle norme di cui all'articolo 6.

Articolo 13

Organizzazione della sicurezza nel SEAE

1.   Il Segretario generale è l'autorità di sicurezza del SEAE. In tale veste, il Segretario generale provvede affinché:

| (a) | le misure di sicurezza siano coordinate ove necessario con le competenti autorità degli Stati membri, il Segretariato generale del Consiglio e la Commissione e, se del caso, di Stati terzi o organizzazioni internazionali, su tutti gli aspetti della sicurezza pertinenti alle attività del SEAE, compresa la natura dei rischi per gli interessi del SEAE in materia di sicurezza e i mezzi di protezione da tali minacce; |
| --- | --- |

(a)

le misure di sicurezza siano coordinate ove necessario con le competenti autorità degli Stati membri, il Segretariato generale del Consiglio e la Commissione e, se del caso, di Stati terzi o organizzazioni internazionali, su tutti gli aspetti della sicurezza pertinenti alle attività del SEAE, compresa la natura dei rischi per gli interessi del SEAE in materia di sicurezza e i mezzi di protezione da tali minacce;

| (b) | si tenga pienamente conto degli aspetti della sicurezza fin dall'avvio di tutte le attività del SEAE; |
| --- | --- |

(b)

si tenga pienamente conto degli aspetti della sicurezza fin dall'avvio di tutte le attività del SEAE;

| (c) | l'accesso alle informazioni classificate sia consentito solo alle persone che soddisfano le condizioni di cui all'articolo 5 dell'allegato A; |
| --- | --- |

(c)

l'accesso alle informazioni classificate sia consentito solo alle persone che soddisfano le condizioni di cui all'articolo 5 dell'allegato A;

| (d) | sia istituito un sistema di registrazione affinché le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore siano trattate conformemente alla presente decisione nell'ambito del SEAE e quando rese agli Stati membri, a istituzioni, organi o agenzie dell'UE o ad altri destinatari autorizzati; si tenga una registrazione separata di tutte le ICUE trasmesse dal SEAE a Stati terzi o a organizzazioni internazionali e di tutte le informazioni classificate ricevute da paesi terzi o da organizzazioni internazionali; |
| --- | --- |

(d)

sia istituito un sistema di registrazione affinché le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore siano trattate conformemente alla presente decisione nell'ambito del SEAE e quando rese agli Stati membri, a istituzioni, organi o agenzie dell'UE o ad altri destinatari autorizzati; si tenga una registrazione separata di tutte le ICUE trasmesse dal SEAE a Stati terzi o a organizzazioni internazionali e di tutte le informazioni classificate ricevute da paesi terzi o da organizzazioni internazionali;

| (e) | siano effettuate le ispezioni di sicurezza di cui all'articolo 16; |
| --- | --- |

(e)

siano effettuate le ispezioni di sicurezza di cui all'articolo 16;

| (f) | siano condotte indagini su violazioni di sicurezza, accertate o sospette, comprese compromissioni o perdite, accertate o sospette, di informazioni classificate detenute o originate dal SEAE e sia chiesto alle competenti autorità di sicurezza di partecipare a tali indagini; |
| --- | --- |

(f)

siano condotte indagini su violazioni di sicurezza, accertate o sospette, comprese compromissioni o perdite, accertate o sospette, di informazioni classificate detenute o originate dal SEAE e sia chiesto alle competenti autorità di sicurezza di partecipare a tali indagini;

| (g) | per fornire una risposta tempestiva ed efficace agli incidenti in materia di sicurezza, siano stabiliti idonei piani e meccanismi di gestione degli incidenti e delle relative conseguenze; |
| --- | --- |

(g)

per fornire una risposta tempestiva ed efficace agli incidenti in materia di sicurezza, siano stabiliti idonei piani e meccanismi di gestione degli incidenti e delle relative conseguenze;

| (h) | siano adottate adeguate misure in caso di inosservanza della presente decisione da parte di singole persone; |
| --- | --- |

(h)

siano adottate adeguate misure in caso di inosservanza della presente decisione da parte di singole persone;

| (i) | siano predisposte idonee misure materiali e organizzative a protezione degli interessi del SEAE in materia di sicurezza.
  A tale riguardo, l'autorità di sicurezza del SEAE:






  — | fissa, di concerto con la Commissione, la categoria di sicurezza delle delegazioni dell'Unione, |
| --- | --- | --- |

(i)

siano predisposte idonee misure materiali e organizzative a protezione degli interessi del SEAE in materia di sicurezza.

A tale riguardo, l'autorità di sicurezza del SEAE:

—

fissa, di concerto con la Commissione, la categoria di sicurezza delle delegazioni dell'Unione,

| — | decide, previa consultazione con l'AR, ove opportuno, quando il personale delle delegazioni dell'Unione debba essere evacuato, qualora la situazione lo richieda sotto il profilo della sicurezza, |
| --- | --- |

—

decide, previa consultazione con l'AR, ove opportuno, quando il personale delle delegazioni dell'Unione debba essere evacuato, qualora la situazione lo richieda sotto il profilo della sicurezza,

| — | decide, ove opportuno, sulle misure applicabili alla protezione delle persone a carico, tenendo conto degli accordi con le istituzioni dell'UE di cui all'articolo 3, paragrafo 3, |
| --- | --- |

—

decide, ove opportuno, sulle misure applicabili alla protezione delle persone a carico, tenendo conto degli accordi con le istituzioni dell'UE di cui all'articolo 3, paragrafo 3,

| — | approva la politica in materia di comunicazione crittografata, in particolare il programma di installazione dei prodotti e del meccanismo di crittografia. |
| --- | --- |

—

approva la politica in materia di comunicazione crittografata, in particolare il programma di installazione dei prodotti e del meccanismo di crittografia.

2.   L'autorità di sicurezza del SEAE è assistita in questo compito dal direttore generale per il bilancio e l'amministrazione (DGBA), dal direttore del SEAE responsabile della sicurezza e, se opportuno, dal segretario generale aggiunto per la PSDC e la risposta alle crisi.

3.   A tale riguardo, e secondo il caso, il Segretario generale, in quanto autorità di sicurezza del SEAE, può delegare compiti.

4.   Ciascun responsabile di dipartimento/divisione è responsabile dell'attuazione delle norme in materia di protezione delle ICUE all'interno del proprio dipartimento/divisione.

Ferma restando la sua responsabilità, come indicato sopra, il responsabile di ciascun dipartimento/divisione designa il personale da assegnare alla funzione di coordinatore dipartimentale della sicurezza cui sono attribuite risorse commisurate alla quantità di ICUE trattate da quel dipartimento/divisione.

I coordinatori dipartimentali della sicurezza, quando e se del caso, assistono e sostengono il proprio responsabile di dipartimento/divisione nell'espletamento dei compiti connessi alla sicurezza, quali:

| (a) | elaborare misure di sicurezza supplementari adeguate alle specifiche esigenze del dipartimento/divisione; |
| --- | --- |

(a)

elaborare misure di sicurezza supplementari adeguate alle specifiche esigenze del dipartimento/divisione;

| (b) | tenere riunioni informative periodiche in materia di sicurezza con i membri del proprio dipartimento/divisione; |
| --- | --- |

(b)

tenere riunioni informative periodiche in materia di sicurezza con i membri del proprio dipartimento/divisione;

| (c) | assicurare il rispetto del principio della necessità di conoscere nel proprio dipartimento/divisione; |
| --- | --- |

(c)

assicurare il rispetto del principio della necessità di conoscere nel proprio dipartimento/divisione;

| (d) | mantenere aggiornato un elenco di codici e chiavi di sicurezza; |
| --- | --- |

(d)

mantenere aggiornato un elenco di codici e chiavi di sicurezza;

| (e) | mantenere procedure di sicurezza e misure di sicurezza; |
| --- | --- |

(e)

mantenere procedure di sicurezza e misure di sicurezza;

| (f) | segnalare ogni violazione della sicurezza e/o compromissione di ICUE sia al proprio direttore che alla direzione responsabile della sicurezza; |
| --- | --- |

(f)

segnalare ogni violazione della sicurezza e/o compromissione di ICUE sia al proprio direttore che alla direzione responsabile della sicurezza;

| (g) | tenere riunioni conclusive per il personale che cessa l'incarico presso il SEAE; |
| --- | --- |

(g)

tenere riunioni conclusive per il personale che cessa l'incarico presso il SEAE;

| (h) | trasmettere periodicamente per via gerarchica relazioni su questioni di sicurezza nel dipartimento/divisione; |
| --- | --- |

(h)

trasmettere periodicamente per via gerarchica relazioni su questioni di sicurezza nel dipartimento/divisione;

| (i) | tenere contatti con la direzione del SEAE responsabile della sicurezza sulle questioni di sicurezza. |
| --- | --- |

(i)

tenere contatti con la direzione del SEAE responsabile della sicurezza sulle questioni di sicurezza.

Qualsiasi attività o questione che possa incidere sulla sicurezza è tempestivamente notificata alla direzione del SEAE responsabile della sicurezza.

5.   Ogni capo delegazione è responsabile dell'attuazione di tutte le misure attinenti alla sicurezza della delegazione dell'Unione.

1.   Il SEAE dispone di una direzione responsabile della sicurezza. La direzione provvede a:

| (a) | gestire, coordinare, controllare e/o attuare tutte le misure di sicurezza in tutti i locali sotto la responsabilità del SEAE presso la sede centrale, nell'Unione europea e negli Stati terzi; |
| --- | --- |

(a)

gestire, coordinare, controllare e/o attuare tutte le misure di sicurezza in tutti i locali sotto la responsabilità del SEAE presso la sede centrale, nell'Unione europea e negli Stati terzi;

| (b) | garantire coerenza e compatibilità con la presente decisione e con le disposizioni di attuazione di qualsiasi attività che possa avere un impatto sulla protezione degli interessi del SEAE in materia di sicurezza; |
| --- | --- |

(b)

garantire coerenza e compatibilità con la presente decisione e con le disposizioni di attuazione di qualsiasi attività che possa avere un impatto sulla protezione degli interessi del SEAE in materia di sicurezza;

| (c) | porsi come principale consigliere dell'AR, dell'autorità di sicurezza del SEAE e del Segretario generale aggiunto su tutte le questioni relative alla sicurezza; |
| --- | --- |

(c)

porsi come principale consigliere dell'AR, dell'autorità di sicurezza del SEAE e del Segretario generale aggiunto su tutte le questioni relative alla sicurezza;

| (d) | farsi assistere dai servizi competenti degli Stati membri conformemente all'articolo 10, paragrafo 3, della decisione 2010/427/UE del Consiglio che fissa l'organizzazione e il funzionamento del SEAE; |
| --- | --- |

(d)

farsi assistere dai servizi competenti degli Stati membri conformemente all'articolo 10, paragrafo 3, della decisione 2010/427/UE del Consiglio che fissa l'organizzazione e il funzionamento del SEAE;

| (e) | sostenere le attività dell'autorità di accreditamento di sicurezza del SEAE effettuando valutazioni della sicurezza materiale dell'ambiente di sicurezza generale/ambiente di sicurezza locale dei sistemi di comunicazione e informazione che trattano ICUE e dei locali da autorizzare per il trattamento e la conservazione di ICUE. |
| --- | --- |

(e)

sostenere le attività dell'autorità di accreditamento di sicurezza del SEAE effettuando valutazioni della sicurezza materiale dell'ambiente di sicurezza generale/ambiente di sicurezza locale dei sistemi di comunicazione e informazione che trattano ICUE e dei locali da autorizzare per il trattamento e la conservazione di ICUE.

2.   Il direttore del SEAE responsabile della sicurezza è incaricato di:

| (a) | garantire la protezione generale degli interessi del SEAE in materia di sicurezza; |
| --- | --- |

(a)

garantire la protezione generale degli interessi del SEAE in materia di sicurezza;

| (b) | elaborare, verificare e aggiornare le norme di sicurezza e coordinare le misure di sicurezza con le autorità competenti degli Stati membri e, se del caso, con le autorità competenti di Stati terzi e organizzazioni internazionali che hanno concluso con l'UE accordi e/o intese in materia di sicurezza; |
| --- | --- |

(b)

elaborare, verificare e aggiornare le norme di sicurezza e coordinare le misure di sicurezza con le autorità competenti degli Stati membri e, se del caso, con le autorità competenti di Stati terzi e organizzazioni internazionali che hanno concluso con l'UE accordi e/o intese in materia di sicurezza;

| (c) | sostenere i lavori del Comitato per la sicurezza del SEAE, come stabilito all'articolo 15, paragrafo 1, della presente decisione; |
| --- | --- |

(c)

sostenere i lavori del Comitato per la sicurezza del SEAE, come stabilito all'articolo 15, paragrafo 1, della presente decisione;

| (d) | mantenere, se del caso, un collegamento in materia di sicurezza con partner o autorità diversi da quelli di cui alla lettera b); |
| --- | --- |

(d)

mantenere, se del caso, un collegamento in materia di sicurezza con partner o autorità diversi da quelli di cui alla lettera b);

| (e) | ordinare secondo priorità e formulare proposte per la gestione del bilancio per la sicurezza nella sede centrale e nelle delegazioni dell'Unione. |
| --- | --- |

(e)

ordinare secondo priorità e formulare proposte per la gestione del bilancio per la sicurezza nella sede centrale e nelle delegazioni dell'Unione.

3.   Il capo della direzione del SEAE responsabile della sicurezza:

| (a) | provvede affinché le violazioni e le compromissioni della sicurezza siano registrate, e siano avviate e intraprese indagini se e quando necessario; |
| --- | --- |

(a)

provvede affinché le violazioni e le compromissioni della sicurezza siano registrate, e siano avviate e intraprese indagini se e quando necessario;

| (b) | si riunisce periodicamente, e ogniqualvolta necessario, con il direttore della sicurezza del Segretariato generale del Consiglio e con il direttore della direzione «Sicurezza» della Commissione per discutere argomenti di interesse comune. |
| --- | --- |

(b)

si riunisce periodicamente, e ogniqualvolta necessario, con il direttore della sicurezza del Segretariato generale del Consiglio e con il direttore della direzione «Sicurezza» della Commissione per discutere argomenti di interesse comune.

4.   La direzione del SEAE responsabile della sicurezza prende contatto e mantiene una stretta cooperazione con:

| — | i servizi incaricati della sicurezza presso i ministeri degli Affari esteri degli Stati membri; |
| --- | --- |

—

i servizi incaricati della sicurezza presso i ministeri degli Affari esteri degli Stati membri;

| — | le autorità di sicurezza nazionali (National Security Authorities, NSA) e/o le altre autorità di sicurezza competenti degli Stati membri, al fine di sollecitarne l'assistenza per quanto riguarda le informazioni di cui ha necessità ai fini della valutazione dei rischi e delle minacce che il SEAE, il suo personale, attività, beni e risorse e informazioni classificate possano trovarsi ad affrontare nella abituale sede di attività; |
| --- | --- |

—

le autorità di sicurezza nazionali (National Security Authorities, NSA) e/o le altre autorità di sicurezza competenti degli Stati membri, al fine di sollecitarne l'assistenza per quanto riguarda le informazioni di cui ha necessità ai fini della valutazione dei rischi e delle minacce che il SEAE, il suo personale, attività, beni e risorse e informazioni classificate possano trovarsi ad affrontare nella abituale sede di attività;

| — | le autorità di sicurezza competenti degli Stati membri o dei paesi ospitanti sul territorio dei quali il SEAE eserciti la sua attività, in relazione a qualsiasi questione inerente alla protezione del suo personale, attività, beni e risorse, e informazioni classificate, fintantoché questi si trovino nel loro territorio; |
| --- | --- |

—

le autorità di sicurezza competenti degli Stati membri o dei paesi ospitanti sul territorio dei quali il SEAE eserciti la sua attività, in relazione a qualsiasi questione inerente alla protezione del suo personale, attività, beni e risorse, e informazioni classificate, fintantoché questi si trovino nel loro territorio;

| — | il servizio di sicurezza del Segretariato generale del Consiglio e la direzione «Sicurezza» della direzione generale Risorse umane e sicurezza della Commissione e, se del caso, i servizi di sicurezza delle altre istituzioni, organi e agenzie dell'UE; |
| --- | --- |

—

il servizio di sicurezza del Segretariato generale del Consiglio e la direzione «Sicurezza» della direzione generale Risorse umane e sicurezza della Commissione e, se del caso, i servizi di sicurezza delle altre istituzioni, organi e agenzie dell'UE;

| — | i servizi di sicurezza di Stati terzi o organizzazioni internazionali al fine di ogni utile coordinamento, e |
| --- | --- |

—

i servizi di sicurezza di Stati terzi o organizzazioni internazionali al fine di ogni utile coordinamento, e

| — | le NSA degli Stati membri, in merito a qualsiasi questione relativa alla protezione delle ICUE. |
| --- | --- |

—

le NSA degli Stati membri, in merito a qualsiasi questione relativa alla protezione delle ICUE.

1.   Ogni capo delegazione è responsabile dell'attuazione e della gestione a livello locale di tutte le misure per la protezione degli interessi del SEAE in materia di sicurezza all'interno dei locali e nell'ambito delle competenze delle delegazioni dell'Unione.

A questo scopo, di concerto con le competenti autorità dello Stato ospitante, egli adotterà, se necessario, tutte le misure ragionevolmente praticabili per garantire che siano attuate adeguate misure materiali e organizzative.

Se del caso, il capo delegazione elabora procedure di sicurezza per la protezione delle persone a carico ai sensi dell'articolo 2, lettera c), tenendo conto di qualsiasi accordo amministrativo, di cui all'articolo 3, paragrafo 3. Il capo delegazione presenta una relazione su tutte le questioni attinenti alla sicurezza di sua competenza al capo della direzione del SEAE responsabile della sicurezza.

È assistito in queste mansioni dalla direzione del SEAE responsabile della sicurezza, dalla squadra di gestione della sicurezza della delegazione dell'Unione — composta di personale che svolge compiti e funzioni nel settore della sicurezza — e da personale di sicurezza assegnato laddove sia necessario.

La delegazione dell'Unione instaura contatti regolari e mantiene una stretta cooperazione nelle questioni di sicurezza con le missioni diplomatiche degli Stati membri.

2.   Inoltre, il capo delegazione:

| — | definisce dettagliati piani di sicurezza e di emergenza per la delegazione dell'Unione, sulla base di generiche procedure operative standard; |
| --- | --- |

—

definisce dettagliati piani di sicurezza e di emergenza per la delegazione dell'Unione, sulla base di generiche procedure operative standard;

| — | attua un efficace sistema di gestione, 24 ore su 24, 7 giorni su 7, degli incidenti e delle emergenze riguardanti la sicurezza nell'ambito delle attività della delegazione dell'Unione; |
| --- | --- |

—

attua un efficace sistema di gestione, 24 ore su 24, 7 giorni su 7, degli incidenti e delle emergenze riguardanti la sicurezza nell'ambito delle attività della delegazione dell'Unione;

| — | garantisce che tutto il personale della delegazione dell'Unione abbia una copertura assicurativa che tenga conto delle condizioni esistenti nella zona; |
| --- | --- |

—

garantisce che tutto il personale della delegazione dell'Unione abbia una copertura assicurativa che tenga conto delle condizioni esistenti nella zona;

| — | garantisce che la sicurezza sia ricompresa nella formazione iniziale della delegazione dell'Unione da impartire a tutto il personale della stessa, prima o al momento dell'arrivo nella delegazione dell'Unione e |
| --- | --- |

—

garantisce che la sicurezza sia ricompresa nella formazione iniziale della delegazione dell'Unione da impartire a tutto il personale della stessa, prima o al momento dell'arrivo nella delegazione dell'Unione e

| — | si accerta che vengano attuate tutte le raccomandazioni formulate sulla base di valutazioni della sicurezza e trasmette periodiche relazioni scritte sulla loro attuazione e su altre questioni in materia di sicurezza all'autorità di sicurezza del SEAE. |
| --- | --- |

—

si accerta che vengano attuate tutte le raccomandazioni formulate sulla base di valutazioni della sicurezza e trasmette periodiche relazioni scritte sulla loro attuazione e su altre questioni in materia di sicurezza all'autorità di sicurezza del SEAE.

3.   Pur mantenendo la responsabilità di salvaguardare la gestione della sicurezza nonché di garantire la resilienza complessiva, il capo delegazione può delegare l'esecuzione dei suoi compiti in materia di sicurezza al coordinatore della sicurezza della delegazione nella persona del vice capo delegazione o, nel caso in cui questi non sia stato nominato, ad una figura alternativa adeguata.

In particolare, al coordinatore della sicurezza della delegazione possono essere assegnate le seguenti funzioni:

| — | coordinare le funzioni di sicurezza presso la delegazione dell'Unione; |
| --- | --- |

—

coordinare le funzioni di sicurezza presso la delegazione dell'Unione;

| — | mantenere i contatti con le competenti autorità dello Stato ospitante e le competenti controparti nelle ambasciate e missioni diplomatiche degli Stati membri in merito alle questioni di sicurezza; |
| --- | --- |

—

mantenere i contatti con le competenti autorità dello Stato ospitante e le competenti controparti nelle ambasciate e missioni diplomatiche degli Stati membri in merito alle questioni di sicurezza;

| — | attuare adeguate procedure di gestione della sicurezza in funzione degli interessi del SEAE in materia di sicurezza, compresa la protezione delle ICUE; |
| --- | --- |

—

attuare adeguate procedure di gestione della sicurezza in funzione degli interessi del SEAE in materia di sicurezza, compresa la protezione delle ICUE;

| — | assicurare la conformità alle norme e istruzioni di sicurezza; |
| --- | --- |

—

assicurare la conformità alle norme e istruzioni di sicurezza;

| — | informare i membri del personale sulle norme di sicurezza che sono loro applicabili, nonché sui rischi specifici dello Stato ospitante; |
| --- | --- |

—

informare i membri del personale sulle norme di sicurezza che sono loro applicabili, nonché sui rischi specifici dello Stato ospitante;

| — | inoltrare richieste alla direzione del SEAE responsabile dei nulla osta di sicurezza per i posti che necessitano di un nulla osta di sicurezza personale (Personnel Security Clearance, PSC) e |
| --- | --- |

—

inoltrare richieste alla direzione del SEAE responsabile dei nulla osta di sicurezza per i posti che necessitano di un nulla osta di sicurezza personale (Personnel Security Clearance, PSC) e

| — | tenere il capo delegazione, il responsabile regionale della sicurezza e la direzione del SEAE responsabile della sicurezza costantemente informati in merito a incidenti o sviluppi nella zona che pregiudicano la protezione degli interessi del SEAE in materia di sicurezza. |
| --- | --- |

—

tenere il capo delegazione, il responsabile regionale della sicurezza e la direzione del SEAE responsabile della sicurezza costantemente informati in merito a incidenti o sviluppi nella zona che pregiudicano la protezione degli interessi del SEAE in materia di sicurezza.

4.   Il capo delegazione può delegare mansioni di sicurezza di natura amministrativa o tecnica al capo dell'amministrazione e ad altri membri del personale della delegazione dell'Unione.

5.   La delegazione dell'Unione è assistita da un responsabile regionale della sicurezza. Presso le delegazioni dell'Unione i responsabili regionali della sicurezza svolgono le funzioni di seguito definite nell'ambito di ciascuna delle rispettive aree geografiche di competenza.

In determinate circostanze, ove lo richieda la situazione contingente della sicurezza, un responsabile regionale della sicurezza può essere assegnato in servizio permanente a una delegazione dell'Unione specifica.

Il responsabile regionale della sicurezza può essere tenuto a trasferirsi in un'area diversa da quella di competenza, compresa la sede centrale, o persino ad assumere un incarico permanente in funzione della situazione della sicurezza in qualunque paese, secondo quanto richiesto dalla direzione del SEAE responsabile della sicurezza.

6.   I responsabili regionali della sicurezza sono posti sotto il diretto controllo operativo del servizio della sede centrale del SEAE responsabile della sicurezza sul campo, ma sotto il controllo amministrativo condiviso del capo delegazione della loro sede di servizio e del servizio della sede centrale responsabile della sicurezza sul campo. Essi consigliano e assistono il capo delegazione e il personale della delegazione dell'Unione nell'organizzazione e nell'attuazione di tutte le misure materiali, organizzative e procedurali relative alla sicurezza della delegazione dell'Unione.

7.   I responsabili regionali della sicurezza forniscono al capo delegazione e al personale della delegazione dell'Unione consulenza e sostegno. Ove appropriato, in particolare qualora in servizio permanente, il responsabile regionale della sicurezza dovrebbe assistere una delegazione dell'Unione nella gestione e attuazione della sicurezza, comprese la preparazione di contratti per la sicurezza, la gestione degli accreditamenti e dei nulla osta di sicurezza.

Articolo 14

Operazioni PSDC e rappresentanti speciali dell'UE

La direzione del SEAE responsabile della sicurezza consiglia il direttore della direzione per la gestione delle crisi e la pianificazione (Crisis Management and Planning Directorate, CMPD), il direttore generale dello Stato maggiore dell'UE (EUMS), il comandante civile delle operazioni a capo della capacità civile di pianificazione e condotta (Civilian Planning and Conduct Capacity, CPCC) e i comandanti delle operazioni militari dell'UE su aspetti delle operazioni PSDC relativi alla sicurezza, e i rappresentanti speciali dell'UE su aspetti della sicurezza relativi al loro mandato, che sono complementari alle specifiche disposizioni esistenti al riguardo nelle politiche adottate in materia dal Consiglio.

Articolo 15

Il Comitato per la sicurezza del SEAE

1.   È istituito un Comitato per la sicurezza del SEAE.

È presieduto dall'autorità di sicurezza del SEAE o da un delegato designato e si riunisce secondo le istruzioni del presidente o a richiesta di uno dei suoi membri. La direzione del SEAE responsabile della sicurezza sostiene il presidente in questa funzione e fornisce assistenza amministrativa, se necessario, ai lavori del Comitato.

2.   Il Comitato per la sicurezza del SEAE è composto da rappresentanti:

| — | di ciascuno Stato membro; |
| --- | --- |

—

di ciascuno Stato membro;

| — | del servizio di sicurezza del Segretariato generale del Consiglio; |
| --- | --- |

—

del servizio di sicurezza del Segretariato generale del Consiglio;

| — | della direzione «Sicurezza» della direzione generale Risorse umane e sicurezza della Commissione. |
| --- | --- |

—

della direzione «Sicurezza» della direzione generale Risorse umane e sicurezza della Commissione.

La delegazione di uno Stato membro presso il Comitato per la sicurezza del SEAE può essere composta da membri:

| — | dell'autorità di sicurezza nazionale (NSA) e/o dell'autorità di sicurezza designata (Designated Security Authority, DSA); |
| --- | --- |

—

dell'autorità di sicurezza nazionale (NSA) e/o dell'autorità di sicurezza designata (Designated Security Authority, DSA);

| — | dei servizi incaricati della sicurezza presso i ministeri degli Affari esteri. |
| --- | --- |

—

dei servizi incaricati della sicurezza presso i ministeri degli Affari esteri.

3.   I rappresentanti presso il Comitato possono farsi accompagnare e consigliare da esperti, se lo ritengono necessario. Possono essere invitati a partecipare rappresentanti di altre istituzioni, agenzie o organi dell'UE quando vi si discutono questioni attinenti alla loro sicurezza.

4.   Fatto salvo il disposto del paragrafo 5, il Comitato per la sicurezza del SEAE assiste il SEAE, mediante consultazioni, su tutte le questioni di sicurezza rilevanti per le attività del SEAE, per la sede centrale e le delegazioni dell'Unione.

In particolare, fatte salve le disposizioni di cui al paragrafo 5, il Comitato per la sicurezza del SEAE:

| (a) | è consultato relativamente a:






  — | politiche, orientamenti, concezioni o metodologie in materia di sicurezza, in particolare per quanto riguarda la protezione delle informazioni classificate e i provvedimenti da adottare in caso di mancato rispetto delle norme di sicurezza da parte del personale del SEAE; |
| --- | --- | --- |

(a)

è consultato relativamente a:

—

politiche, orientamenti, concezioni o metodologie in materia di sicurezza, in particolare per quanto riguarda la protezione delle informazioni classificate e i provvedimenti da adottare in caso di mancato rispetto delle norme di sicurezza da parte del personale del SEAE;

| — | aspetti tecnici della sicurezza che possano influenzare la decisione dell'AR di presentare una raccomandazione al Consiglio per l'avvio di negoziati volti a conseguire accordi sulla sicurezza delle informazioni di cui all'articolo 10, paragrafo 1, lettera a) dell'allegato A; |
| --- | --- |

—

aspetti tecnici della sicurezza che possano influenzare la decisione dell'AR di presentare una raccomandazione al Consiglio per l'avvio di negoziati volti a conseguire accordi sulla sicurezza delle informazioni di cui all'articolo 10, paragrafo 1, lettera a) dell'allegato A;

| — | eventuali modifiche alla presente decisione; |
| --- | --- |

—

eventuali modifiche alla presente decisione;

| (b) | può essere consultato o informato, ove opportuno, su questioni attinenti alla sicurezza del personale e dei beni entro la sede centrale del SEAE e nelle delegazioni dell'Unione, fatte salve le disposizioni dell'articolo 3, paragrafo 3; |
| --- | --- |

(b)

può essere consultato o informato, ove opportuno, su questioni attinenti alla sicurezza del personale e dei beni entro la sede centrale del SEAE e nelle delegazioni dell'Unione, fatte salve le disposizioni dell'articolo 3, paragrafo 3;

| (c) | è informato di qualsiasi compromissione o perdita di ICUE che si verifichi nel SEAE. |
| --- | --- |

(c)

è informato di qualsiasi compromissione o perdita di ICUE che si verifichi nel SEAE.

5.   Eventuali modifiche alle norme relative alla protezione delle ICUE contenute nella presente decisione e nell'allegato A richiedono il parere favorevole unanime degli Stati membri rappresentati nel Comitato per la sicurezza del SEAE. Tale parere è altresì richiesto prima di:

| — | avviare negoziati volti a concludere intese amministrative di cui all'articolo 10, paragrafo 1, lettera b), dell'allegato A; |
| --- | --- |

—

avviare negoziati volti a concludere intese amministrative di cui all'articolo 10, paragrafo 1, lettera b), dell'allegato A;

| — | comunicare informazioni classificate nelle circostanze eccezionali di cui ai paragrafi 9, 11 e 12 dell'allegato A VI; |
| --- | --- |

—

comunicare informazioni classificate nelle circostanze eccezionali di cui ai paragrafi 9, 11 e 12 dell'allegato A VI;

| — | assumere la responsabilità di originatore delle informazioni nelle circostanze di cui all'articolo 10, paragrafo 6, ultima frase, dell'allegato A. |
| --- | --- |

—

assumere la responsabilità di originatore delle informazioni nelle circostanze di cui all'articolo 10, paragrafo 6, ultima frase, dell'allegato A.

La condizione del parere favorevole unanime, se necessaria, s'intende soddisfatta se durante i lavori del Comitato le delegazioni degli Stati membri non hanno formulato obiezioni.

6.   Il Comitato per la sicurezza del SEAE tiene in debito conto le politiche e gli orientamenti in materia di sicurezza in vigore al Consiglio e alla Commissione.

7.   Il Comitato per la sicurezza del SEAE riceve l'elenco delle ispezioni annuali del SEAE e i rapporti di ispezione, una volta ultimati.

8.   Organizzazione delle riunioni:

| — | il Comitato per la sicurezza del SEAE si riunisce almeno due volte l'anno. Riunioni ulteriori, nella sua composizione plenaria o in quella di sicurezza dell'NSA/DSA o del ministero degli Affari esteri, possono essere fissate dal presidente o richieste dai membri del Comitato; |
| --- | --- |

—

il Comitato per la sicurezza del SEAE si riunisce almeno due volte l'anno. Riunioni ulteriori, nella sua composizione plenaria o in quella di sicurezza dell'NSA/DSA o del ministero degli Affari esteri, possono essere fissate dal presidente o richieste dai membri del Comitato;

| — | Il Comitato per la sicurezza del SEAE organizza le sue attività in modo da essere in grado di formulare raccomandazioni su questioni specifiche in materia di sicurezza. Può istituire altre sotto—sezioni di esperti ove necessario. Esso redige il mandato di tali sotto—sezioni e ne riceve le relazioni di attività; |
| --- | --- |

—

Il Comitato per la sicurezza del SEAE organizza le sue attività in modo da essere in grado di formulare raccomandazioni su questioni specifiche in materia di sicurezza. Può istituire altre sotto—sezioni di esperti ove necessario. Esso redige il mandato di tali sotto—sezioni e ne riceve le relazioni di attività;

| — | La direzione del SEAE responsabile della sicurezza ha il compito di preparare i temi di discussione. Il presidente stabilisce l'ordine del giorno provvisorio di ogni riunione. I membri del Comitato possono proporre ulteriori temi di discussione. |
| --- | --- |

—

La direzione del SEAE responsabile della sicurezza ha il compito di preparare i temi di discussione. Il presidente stabilisce l'ordine del giorno provvisorio di ogni riunione. I membri del Comitato possono proporre ulteriori temi di discussione.

Articolo 16

Ispezioni di sicurezza

1.   L'autorità di sicurezza del SEAE assicura che siano effettuate ispezioni di sicurezza periodiche presso la sede centrale del SEAE e nelle delegazioni dell'Unione per valutare l'adeguatezza delle misure di sicurezza e verificarne la conformità alla presente decisione. La direzione del SEAE responsabile della sicurezza può designare, se del caso, esperti a partecipare alle ispezioni di sicurezza nelle agenzie e negli organi dell'UE istituiti ai sensi del titolo V, capo 2, del TUE.

2.   Le ispezioni di sicurezza del SEAE si svolgono sotto l'autorità della direzione del SEAE responsabile della sicurezza e, se del caso, con il sostegno di esperti in materia di sicurezza che rappresentano altre istituzioni o Stati membri dell'UE, in particolare nell'ambito degli accordi di cui all'articolo 3, paragrafo 3.

3.   Se necessario, il SEAE può avvalersi delle competenze tecniche esistenti negli Stati membri, al Segretariato generale del Consiglio e alla Commissione.

Se necessario, alle ispezioni di sicurezza della delegazione dell'Unione possono essere invitati a partecipare gli esperti in materia di sicurezza presso le missioni degli Stati membri in Stati terzi e/o i rappresentanti dei servizi di sicurezza diplomatici degli Stati membri.

4.   Le disposizioni di attuazione del presente articolo, per quanto riguarda la protezione delle ICUE, figurano nell'allegato A III.

Articolo 17

Visite di valutazione

Sono organizzate visite di valutazione per accertare l'efficacia delle misure di sicurezza poste in essere in uno Stato terzo o in un'organizzazione internazionale al fine di proteggere le ICUE scambiate nell'ambito di un'intesa amministrativa di cui all'articolo 10, paragrafo 1, lettera b), dell'allegato A.

La direzione del SEAE responsabile della sicurezza può designare esperti a partecipare alle visite di valutazione in Stati terzi o in organizzazioni internazionali con cui l'UE abbia concluso un accordo sulla sicurezza delle informazioni di cui all'articolo 10, paragrafo 1, lettera a), dell'allegato A.

Articolo 18

Pianificazione della continuità operativa

La direzione del SEAE responsabile della sicurezza assiste l'autorità di sicurezza del SEAE nella gestione degli aspetti relativi alla sicurezza delle procedure di continuità operativa del SEAE nel quadro della pianificazione complessiva della continuità operativa del SEAE.

Articolo 19

Consigli di viaggio per le missioni al di fuori dell'UE

La direzione del SEAE responsabile della sicurezza assicura la disponibilità di consigli di viaggio al personale posto sotto la responsabilità del SEAE che effettua missioni al di fuori dell'UE attingendo alle risorse di tutti i servizi competenti del SEAE, in particolare la sala situazione dell'UE (SITROOM), il Centro dell'UE di analisi dell'intelligence (INTCEN), i dipartimenti geografici e le delegazioni dell'Unione.

La direzione del SEAE responsabile della sicurezza fornisce, su richiesta e in base alle risorse di cui sopra, specifici consigli di viaggio al personale posto sotto la responsabilità del SEAE che effettua missioni in Stati terzi con un livello di rischio elevato o aumentato.

Articolo 20

Salute e sicurezza

Le norme di sicurezza del SEAE integrano le norme del SEAE per la tutela della salute e della sicurezza adottate dall'Alto rappresentante.

Articolo 21

Attuazione e riesame

1.   L'autorità di sicurezza del SEAE, previa consultazione del Comitato per la sicurezza del SEAE ove opportuno, approva gli orientamenti di sicurezza che esplicitano le misure necessarie per mettere in pratica dette norme nel SEAE e si dota delle capacità necessarie per coprire tutti gli aspetti della sicurezza, in stretta cooperazione con le autorità di sicurezza competenti degli Stati membri e con il sostegno dei servizi competenti delle istituzioni UE.

2.   Ai sensi dell'articolo 4, paragrafo 5, della decisione 2010/427/UE del Consiglio, del 26 luglio 2010, che fissa l'organizzazione e il funzionamento del Servizio europeo per l'azione esterna, è possibile ricorrere a disposizioni transitorie, ove necessario, attraverso accordi a livello di servizi con i servizi competenti del Segretariato generale del Consiglio e della Commissione.

3.   Nell'applicazione della presente decisione l'AR assicura la coerenza generale e procede a una revisione periodica delle norme di sicurezza.

4.   Le norme di sicurezza del SEAE devono essere attuate in stretta collaborazione con le autorità di sicurezza competenti degli Stati membri.

5.   Il SEAE provvede affinché tutti gli aspetti del processo di sicurezza siano presi in considerazione nell'ambito del proprio sistema di risposta alle crisi.

6.   Il Segretario generale, in quanto autorità di sicurezza, e il capo della direzione del SEAE responsabile della sicurezza assicurano l'attuazione della presente decisione.

Articolo 22

Sostituzione di precedenti decisioni

La presente decisione abroga e sostituisce la decisione dell'Alto rappresentante dell'Unione per gli affari esteri e la politica di sicurezza del 19 aprile 2013 relativa alle norme di sicurezza del Servizio europeo per l'azione esterna (5).

Articolo 23

Disposizioni finali

La presente decisione entra in vigore il giorno della firma.

Essa è pubblicata nella Gazzetta ufficiale dell'Unione europea.

Le autorità competenti del SEAE danno debita e tempestiva comunicazione a tutto il personale che rientra nel campo di applicazione della presente decisione e dei suoi allegati, del contenuto, dell'entrata in vigore e di ogni modifica ad essi apportata successivamente.

Fatto a Bruxelles, il 19 settembre 2017

Federica MOGHERINI

Alta rappresentante dell'Unione per gli affari esteri e la politica di sicurezza

---

(1)  GU L 201 del 3.8.2010, pag. 30.

1

(2)  GU C 304 del 15.10.2011, pag. 7.

2

(3)  Statuto dei funzionari dell'Unione europea e regime applicabile agli altri agenti dell'Unione europea, definiti nel regolamento (CEE, Euratom, CECA) n. 259/68 del Consiglio, (GU L 56 del 4.3.1968, pag. 1), di seguito «lo statuto».

3

(4)  Regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati (GU L 8 del 12.1.2001, pag. 1).

4

(5)  GU C 190 del 29.6.2013, pag. 1.

5

---

ALLEGATO A

PRINCIPI E NORME PER LA PROTEZIONE DELLE ICUE

Articolo 1

Oggetto, ambito di applicazione e definizioni

1.   Il presente allegato stabilisce i principi fondamentali e le norme minime di sicurezza per proteggere le ICUE.

2.   Tali principi fondamentali e norme minime di sicurezza si applicano al SEAE e al personale sotto la sua responsabilità come indicato e definito rispettivamente agli articoli 1 e 2 della presente decisione.

Articolo 2

Definizione delle ICUE, delle classifiche e dei contrassegni di sicurezza

1.   Per «informazioni classificate UE» (ICUE) s'intende qualsiasi informazione o qualsiasi materiale designati da una classifica di sicurezza UE, la cui divulgazione non autorizzata potrebbe recare in varia misura pregiudizio agli interessi dell'Unione europea o di uno o più Stati membri.

2.   Le ICUE sono classificate a uno dei seguenti livelli:

(a)   TRÈS SECRET UE/EU TOP SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe arrecare danni di eccezionale gravità agli interessi fondamentali dell'Unione europea o di uno o più Stati membri.

(b)   SECRET UE/EU SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gravemente gli interessi fondamentali dell'Unione europea o di uno o più Stati membri.

(c)   CONFIDENTIEL UE/EU CONFIDENTIAL: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gli interessi fondamentali dell'Unione europea o di uno o più Stati membri.

(d)   RESTREINT UE/EU RESTRICTED: informazioni e materiali la cui divulgazione non autorizzata potrebbe essere pregiudizievole per gli interessi dell'Unione europea o di uno o più Stati membri.

3.   Le ICUE recano un contrassegno di classifica di sicurezza conformemente al paragrafo 2. Possono recare contrassegni supplementari intesi a designare il settore di attività cui si riferiscono, identificare l'originatore, limitare la distribuzione, restringere l'uso o indicare la divulgabilità.

Articolo 3

Gestione delle classifiche

1.   Il SEAE garantisce che le ICUE siano adeguatamente classificate, chiaramente identificate quali informazioni classificate e conservino il loro livello di classifica solo per il tempo necessario.

2.   Le ICUE sono declassate o declassificate e i contrassegni di cui all'articolo 2, paragrafo 3, sono modificati o rimossi unicamente previo consenso scritto dell'originatore.

3.   L'autorità di sicurezza del SEAE, previa consultazione del Comitato per la sicurezza del SEAE conformemente all'articolo 15, paragrafo 5, della presente decisione, approva orientamenti di sicurezza sulla creazione di ICUE che comprendono una guida pratica per la classificazione.

Articolo 4

Protezione di informazioni classificate

1.   Le ICUE sono protette conformemente alla presente decisione.

2.   Il detentore di ICUE è responsabile della loro protezione conformemente alla presente decisione.

3.   Quando gli Stati membri introducono informazioni classificate che recano un contrassegno di classifica di sicurezza nazionale nelle strutture o nelle reti del SEAE, quest'ultimo protegge tali informazioni conformemente ai requisiti applicabili alle ICUE di livello equivalente come indicato nella tabella di equivalenza delle classifiche di sicurezza di cui all'appendice B.

Il SEAE stabilisce procedure adeguate per conservare un'accurata documentazione in merito all'originatore:

| — | delle informazioni classificate che riceve; e |
| --- | --- |

—

delle informazioni classificate che riceve; e

| — | del materiale di base incluso nelle informazioni classificate originate dal SEAE. |
| --- | --- |

—

del materiale di base incluso nelle informazioni classificate originate dal SEAE.

Il Comitato per la sicurezza del SEAE è informato in merito a tali procedure.

4.   Considerevoli quantitativi di ICUE o una compilazione di esse possono richiedere un livello di protezione corrispondente a una classifica più elevata di quella dei loro componenti.

Articolo 5

Sicurezza del personale che tratta informazioni classificate UE

1.   Per «sicurezza del personale» s'intende l'applicazione di misure volte a garantire che l'accesso alle ICUE sia consentito solo alle persone che:

| — | hanno necessità di conoscere; |
| --- | --- |

—

hanno necessità di conoscere;

| — | per l'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, hanno ottenuto il nulla osta di sicurezza del livello adatto o sono in altro modo debitamente autorizzate in virtù delle loro funzioni secondo le disposizioni legislative e regolamentari nazionali; e |
| --- | --- |

—

per l'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, hanno ottenuto il nulla osta di sicurezza del livello adatto o sono in altro modo debitamente autorizzate in virtù delle loro funzioni secondo le disposizioni legislative e regolamentari nazionali; e

| — | sono state informate delle proprie responsabilità. |
| --- | --- |

—

sono state informate delle proprie responsabilità.

2.   Le procedure per il nulla osta di sicurezza personale (Personnel Security Clearance, PSC) determinano se una persona, in considerazione della sua lealtà, onestà e affidabilità, possa essere autorizzata ad accedere alle ICUE.

3.   Prima che sia loro accordato l'accesso a ICUE e, successivamente, ad intervalli regolari, tutte le persone sono informate e riconoscono per iscritto le proprie responsabilità in materia di protezione delle ICUE conformemente alla presente decisione.

4.   Le disposizioni di attuazione del presente articolo figurano nell'allegato A I.

Articolo 6

Sicurezza materiale delle informazioni classificate UE

1.   Per «sicurezza materiale» s'intende l'applicazione di misure di protezione materiali e tecniche volte ad impedire l'accesso non autorizzato alle ICUE.

2.   Le misure di sicurezza materiale sono intese a impedire a intrusi l'ingresso fraudolento o con la forza, a scoraggiare, ostacolare e scoprire azioni non autorizzate e a consentire la differenziazione del personale per quanto riguarda l'accesso alle ICUE in base al principio della necessità di conoscere. Le misure in questione sono determinate sulla base di una procedura di gestione del rischio.

3.   Le misure di sicurezza materiale sono attuate per tutti i locali, gli edifici, gli uffici, le stanze o altre zone in cui le ICUE sono trattate o conservate, comprese le zone che contengono i sistemi di comunicazione e informazione definiti all'articolo 8, paragrafo 2 dell'allegato A.

4.   Le zone in cui sono conservate ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono costituite come zone sicure conformemente all'allegato A II e approvate dall'autorità di sicurezza del SEAE.

5.   Per proteggere le ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore si usano solo attrezzature o dispositivi approvati.

6.   Le disposizioni di attuazione del presente articolo figurano nell'allegato A II.

Articolo 7

Gestione delle informazioni classificate

1.   Per «gestione delle informazioni classificate» s'intende l'applicazione delle misure amministrative intese a controllare le ICUE per tutto il loro ciclo di vita al fine di integrare le misure previste agli articoli 5, 6 e 8 e in tal modo contribuire a scoraggiare, scoprire e porre rimedio ai casi di compromissione o perdita intenzionale o accidentale di tali informazioni. Dette misure riguardano in particolare la creazione, la registrazione, la riproduzione, la traduzione, il trasporto, il trattamento, la conservazione e la distruzione di ICUE.

2.   Le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono registrate a fini di sicurezza prima della diffusione e all'atto della ricezione. Le autorità competenti presso il SEAE istituiscono un sistema di registrazione a tal fine. Le informazioni classificate di livello TRES SECRET UE/EU TOP SECRET sono registrate in uffici di registrazione dedicati.

3.   I servizi e i locali in cui sono trattate o conservate ICUE sono sottoposti a ispezioni periodiche da parte dell'autorità di sicurezza del SEAE.

4.   Le ICUE sono veicolate tra i servizi e i locali al di fuori delle zone oggetto di protezione materiale secondo le modalità seguenti:

| (a) | di norma, le ICUE sono trasmesse con mezzi elettronici protetti mediante prodotti crittografici approvati conformemente all'articolo 7, paragrafo 5, della presente decisione e in funzione di procedure operative di sicurezza (Security Operational Procedures, SecOp) definite esplicitamente; |
| --- | --- |

(a)

di norma, le ICUE sono trasmesse con mezzi elettronici protetti mediante prodotti crittografici approvati conformemente all'articolo 7, paragrafo 5, della presente decisione e in funzione di procedure operative di sicurezza (Security Operational Procedures, SecOp) definite esplicitamente;

| (b) | qualora non siano usati i mezzi di cui alla lettera a), le ICUE sono trasportate:






  (i) | su supporti elettronici (ad esempio chiave USB, CD, disco rigido) protetti mediante prodotti crittografici approvati conformemente all'articolo 8, paragrafo 5, della presente decisione; oppure |
| --- | --- | --- |

(b)

qualora non siano usati i mezzi di cui alla lettera a), le ICUE sono trasportate:

(i)

su supporti elettronici (ad esempio chiave USB, CD, disco rigido) protetti mediante prodotti crittografici approvati conformemente all'articolo 8, paragrafo 5, della presente decisione; oppure

| (ii) | in tutti gli altri casi, secondo quanto prescritto dall'autorità di sicurezza del SEAE, conformemente alle pertinenti misure di protezione di cui all'allegato A III, sezione V. |
| --- | --- |

(ii)

in tutti gli altri casi, secondo quanto prescritto dall'autorità di sicurezza del SEAE, conformemente alle pertinenti misure di protezione di cui all'allegato A III, sezione V.

5.   Le disposizioni di attuazione del presente articolo figurano nell'allegato A III.

Articolo 8

Protezione delle ICUE trattate nei sistemi di comunicazione e informazione

1.   Per «garanzia di sicurezza delle informazioni (Information Assurance, IA) nel campo dei sistemi di comunicazione e informazione» s'intende la fiducia nel fatto che tali sistemi proteggeranno le informazioni che trattano e funzioneranno nel modo dovuto e a tempo debito sotto il controllo degli utenti legittimi. Una IA efficace garantisce gli adeguati livelli di riservatezza, integrità, disponibilità, non disconoscibilità e autenticità. L'IA si basa su una procedura di gestione del rischio.

2.   Per «sistema di comunicazione e informazione» (Communication and Information System, CIS) s'intende ogni sistema che consente il trattamento delle informazioni in forma elettronica. Un sistema di comunicazione e informazione comprende l'insieme delle risorse necessarie al suo funzionamento, ivi compresi l'infrastruttura, l'organizzazione, il personale e le risorse dell'informazione. Il presente allegato si applica a tutti i CIS del SEAE che trattano ICUE.

3.   I CIS trattano le ICUE conformemente al concetto di IA.

4.   Tutti i CIS che trattano ICUE sono sottoposti a una procedura di accreditamento. L'accreditamento ha lo scopo di ottenere la garanzia che sono state messe in atto tutte le misure di sicurezza adeguate e che si è raggiunto un livello sufficiente di protezione delle ICUE e del CIS, conformemente alla presente decisione. La dichiarazione di accreditamento determina il livello di classifica più elevato delle informazioni che può essere trattato in un CIS nonché i termini e le condizioni ivi associati.

5.   I CIS che trattano informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL e superiore sono protetti in modo tale che le informazioni non possano essere compromesse da radiazioni elettromagnetiche non intenzionali («misure di sicurezza TEMPEST»).

6.   Qualora la protezione delle ICUE sia assicurata mediante prodotti crittografici, tali prodotti sono approvati secondo l'articolo 8, paragrafo 5, della presente decisione.

7.   Durante la trasmissione di ICUE con mezzi elettronici si usano prodotti crittografici approvati. In deroga a tale requisito, si possono applicare procedure specifiche in particolari situazioni di emergenza o in configurazioni tecniche specifiche di cui all'allegato A IV.

8.   A norma dell'articolo 8, paragrafo 6, della presente decisione, ove necessario sono stabilite le seguenti funzioni relative alla IA:

| (a) | un'autorità IA (IA Authority, IAA); |
| --- | --- |

(a)

un'autorità IA (IA Authority, IAA);

| (b) | un'autorità TEMPEST (TEMPEST Authority, TA); |
| --- | --- |

(b)

un'autorità TEMPEST (TEMPEST Authority, TA);

| (c) | un'autorità di approvazione degli apparati crittografici (Crypto Approval Authority, CAA); |
| --- | --- |

(c)

un'autorità di approvazione degli apparati crittografici (Crypto Approval Authority, CAA);

| (d) | un'autorità di distribuzione degli apparati crittografici (Crypto Distribution Authority, CDA). |
| --- | --- |

(d)

un'autorità di distribuzione degli apparati crittografici (Crypto Distribution Authority, CDA).

9.   A norma dell'articolo 8, paragrafo 7, della presente decisione, per ciascun sistema è stabilita:

| (a) | un'autorità di accreditamento di sicurezza (Security Accreditation Authority, SAA); |
| --- | --- |

(a)

un'autorità di accreditamento di sicurezza (Security Accreditation Authority, SAA);

| (b) | un'autorità operativa IA. |
| --- | --- |

(b)

un'autorità operativa IA.

10.   Le disposizioni di attuazione del presente articolo figurano nell'allegato A IV.

Articolo 9

Sicurezza industriale

1.   Per «sicurezza industriale» s'intende l'applicazione di misure che assicurino la protezione delle ICUE da parte di contraenti o subcontraenti in sede di negoziati precontrattuali e lungo tutto il ciclo di vita dei contratti classificati. Di norma, tali contratti non contemplano l'accesso alle informazioni classificate TRÈS SECRET UE/EU TOP SECRET.

2.   Il SEAE può affidare per contratto mansioni che comportano o implicano l'accesso a, il trattamento o la conservazione di ICUE da parte di soggetti industriali o di altra natura registrati in uno Stato membro o in uno Stato terzo con cui sia stato concluso un accordo sulla sicurezza delle informazioni o un'intesa amministrativa conformemente all'articolo 10, paragrafo 1, dell'allegato A.

3.   In quanto autorità contraente, il SEAE, nell'aggiudicare un contratto classificato a un soggetto industriale o di altra natura, assicura il rispetto delle norme minime sulla sicurezza industriale previste nella presente decisione e a cui fa riferimento il contratto. Esso assicura l'osservanza di tali norme minime attraverso la competente autorità di sicurezza nazionale (NSA)/autorità di sicurezza designata (DSA).

4.   I contraenti o subcontraenti registrati in uno Stato membro e partecipanti in contratti o subcontratti classificati che richiedono la gestione e conservazione di informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nelle loro strutture, nell'esecuzione di tali contratti o nella fase precontrattuale, dispongono di un nulla osta di sicurezza delle imprese (Facility Security Clearance, FSC) del livello di classifica adatto, rilasciato dall'NSA, dalla DSA o da altra autorità di sicurezza competente di detto Stato membro.

5.   Il personale del contraente o subcontraente che, per l'esecuzione di un contratto classificato, necessita dell'accesso ad informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, è in possesso di un nulla osta di sicurezza personale (PSC) rilasciato dalla rispettiva NSA, DSA o da altra autorità di sicurezza competente secondo le disposizioni legislative e regolamentari nazionali e le norme minime figuranti nell'allegato A I.

6.   Le disposizioni di attuazione del presente articolo figurano nell'allegato A V.

Articolo 10

Scambio di informazioni classificate con Stati terzi e organizzazioni internazionali

1.   Il SEAE può scambiare ICUE con uno Stato terzo o un'organizzazione internazionale soltanto qualora:

| (a) | tra l'UE e tale Stato terzo o organizzazione internazionale sia in vigore un accordo sulla sicurezza delle informazioni concluso a norma dell'articolo 37 del TUE e dell'articolo 218 del TFUE; oppure |
| --- | --- |

(a)

tra l'UE e tale Stato terzo o organizzazione internazionale sia in vigore un accordo sulla sicurezza delle informazioni concluso a norma dell'articolo 37 del TUE e dell'articolo 218 del TFUE; oppure

| (b) | tra l'AR e le competenti autorità di sicurezza di tale Stato terzo o organizzazione internazionale abbia acquisito efficacia un'intesa amministrativa per lo scambio di informazioni classificate, in linea di principio, di livello non superiore a RESTREINT UE/EU RESTRICTED, conclusa secondo la procedura di cui all'articolo 15, paragrafo 5, della presente decisione; oppure |
| --- | --- |

(b)

tra l'AR e le competenti autorità di sicurezza di tale Stato terzo o organizzazione internazionale abbia acquisito efficacia un'intesa amministrativa per lo scambio di informazioni classificate, in linea di principio, di livello non superiore a RESTREINT UE/EU RESTRICTED, conclusa secondo la procedura di cui all'articolo 15, paragrafo 5, della presente decisione; oppure

| (c) | tra l'Unione europea e tale Stato terzo trovi applicazione un accordo quadro o un accordo ad hoc di partecipazione nell'ambito di un'operazione PSDC di gestione delle crisi, concluso a norma dell'articolo 37 del TUE e dell'articolo 218 del TFUE, |
| --- | --- |

(c)

tra l'Unione europea e tale Stato terzo trovi applicazione un accordo quadro o un accordo ad hoc di partecipazione nell'ambito di un'operazione PSDC di gestione delle crisi, concluso a norma dell'articolo 37 del TUE e dell'articolo 218 del TFUE,

e le condizioni stabilite in detto strumento siano state soddisfatte.

Le eccezioni alla regola generale di cui sopra sono riportate nell'allegato A VI, sezione V.

2.   Le intese amministrative di cui al paragrafo 1, lettera b), contengono disposizioni intese ad assicurare che gli Stati terzi o le organizzazioni internazionali che ricevono le ICUE conferiscano loro una protezione appropriata al loro livello di classifica e conforme a norme minime non meno rigorose di quelle previste nella presente decisione.

Le informazioni scambiate sulla base degli accordi di cui al paragrafo 1, lettera c), sono limitate alle informazioni concernenti operazioni PSDC a cui lo Stato terzo in questione partecipa sulla base di tali accordi e in conformità alle rispettive disposizioni.

3.   Se un accordo sulla sicurezza delle informazioni è successivamente concluso tra l'Unione e uno Stato terzo o un'organizzazione internazionale contributori, l'accordo sulla sicurezza delle informazioni prevale sulle disposizioni relative allo scambio di informazioni classificate stabilite da qualsiasi accordo quadro di partecipazione, accordo di partecipazione ad hoc o intesa amministrativa ad hoc per quanto riguarda lo scambio e il trattamento delle ICUE.

4.   Le ICUE prodotte ai fini di un'operazione PSDC possono essere diffuse al personale distaccato da Stati terzi o da organizzazioni internazionali per tale operazione conformemente all'allegato A VI, punti 1—3. Al momento di autorizzare l'accesso alle ICUE nei locali o nei CIS di un'operazione PSDC da parte di tale personale, sono applicate misure (tra cui la registrazione delle ICUE diffuse) per attenuare il rischio di perdita o di compromissione. Tali misure sono definite nei documenti di pianificazione o di missione pertinenti.

5.   Per accertare l'efficacia delle misure di sicurezza poste in essere a protezione delle ICUE scambiate sono organizzate visite di valutazione negli Stati terzi o presso organizzazioni internazionali, come indicato all'articolo 17 della presente decisione.

6.   La decisione di comunicare a uno Stato terzo o a una organizzazione internazionale ICUE detenute dal SEAE è presa caso per caso, in funzione della natura e del contenuto delle informazioni stesse, della necessità di conoscere del destinatario e dell'entità dei vantaggi per l'UE.

Il SEAE chiede il consenso scritto di ogni entità che abbia fornito informazioni classificate come materiale di base di ICUE originate dal SEAE stesso al fine di stabilire l'assenza di obiezioni al rilascio.

Se l'originatore delle informazioni classificate che si desiderano comunicare non è il SEAE, quest'ultimo chiede anzitutto il consenso scritto dell'originatore.

Tuttavia, se il SEAE non è in grado di stabilire l'originatore, l'autorità di sicurezza del SEAE si assume la responsabilità dell'originatore, previo parere favorevole unanime degli Stati membri rappresentati in seno al Comitato per la sicurezza del SEAE.

7.   Le disposizioni di attuazione del presente articolo figurano nell'allegato A VI.

Articolo 11

Violazione della sicurezza e compromissione di informazioni classificate

1.   Qualsiasi violazione o sospetta violazione della sicurezza e qualsiasi compromissione o sospetta compromissione di informazioni classificate è immediatamente riferita alla direzione del SEAE responsabile della sicurezza, che informa, se del caso, lo Stato membro o gli Stati membri interessati o altri soggetti interessati.

2.   Qualora sia nota o vi siano ragionevoli motivi per sospettare una compromissione o perdita di informazioni classificate, la direzione del SEAE responsabile della sicurezza informa l'autorità di sicurezza nazionale dello Stato membro o degli Stati membri interessati e adotta tutte le misure opportune secondo le pertinenti disposizioni legislative e regolamentari al fine di:

| (a) | conservare le prove; |
| --- | --- |

(a)

conservare le prove;

| (b) | assicurare che personale non direttamente interessato alla violazione o compromissione indaghi sul caso per accertare i fatti; |
| --- | --- |

(b)

assicurare che personale non direttamente interessato alla violazione o compromissione indaghi sul caso per accertare i fatti;

| (c) | informare immediatamente l'originatore o altri soggetti interessati; |
| --- | --- |

(c)

informare immediatamente l'originatore o altri soggetti interessati;

| (d) | adottare i provvedimenti opportuni per impedire che i fatti si ripetano; |
| --- | --- |

(d)

adottare i provvedimenti opportuni per impedire che i fatti si ripetano;

| (e) | valutare i potenziali danni agli interessi dell'UE o degli Stati membri; e |
| --- | --- |

(e)

valutare i potenziali danni agli interessi dell'UE o degli Stati membri; e

| (f) | informare le autorità competenti delle conseguenze della compromissione accertata o sospetta e delle misure adottate. |
| --- | --- |

(f)

informare le autorità competenti delle conseguenze della compromissione accertata o sospetta e delle misure adottate.

3.   Ogni membro del personale sotto la responsabilità del SEAE che si renda responsabile di una violazione delle norme di sicurezza contenute nella presente decisione è passibile di un'azione disciplinare secondo le disposizioni normative e regolamentari applicabili.

Ogni persona responsabile della compromissione o della perdita di informazioni classificate è passibile di sanzioni disciplinari e/o azioni legali secondo le disposizioni legislative, normative e regolamentari applicabili.

4.   Il capo della direzione del SEAE responsabile della sicurezza può sospendere l'accesso della persona alle ICUE e ai locali del SEAE per tutta la durata delle indagini sulla violazione e/o compromissione. Di questa decisione sono immediatamente informati la direzione «Sicurezza» della direzione generale Risorse umane e sicurezza della Commissione, il servizio di sicurezza del Segretariato generale del Consiglio o l'autorità di sicurezza nazionale (NSA) dello Stato membro o degli Stati membri interessati o gli altri soggetti interessati.

ALLEGATO A I

SICUREZZA DEL PERSONALE

I.   INTRODUZIONE

| 1. | Il presente allegato prevede le disposizioni di attuazione dell'articolo 5 dell'allegato A. Stabilisce, in particolare, criteri che il SEAE applica per determinare se una persona, in considerazione della sua lealtà, onestà e affidabilità, può essere autorizzata ad accedere alle ICUE, nonché le procedure di indagine e amministrative da seguire a tal fine. |
| --- | --- |

1.

Il presente allegato prevede le disposizioni di attuazione dell'articolo 5 dell'allegato A. Stabilisce, in particolare, criteri che il SEAE applica per determinare se una persona, in considerazione della sua lealtà, onestà e affidabilità, può essere autorizzata ad accedere alle ICUE, nonché le procedure di indagine e amministrative da seguire a tal fine.

| 2. | Il «nulla osta di sicurezza personale» (PSC) per l'accesso alle ICUE è una dichiarazione rilasciata da un'autorità competente di uno Stato membro al termine di un'indagine di sicurezza condotta dalle autorità competenti di uno Stato membro e attestante che una persona può avere accesso alle ICUE fino a un livello di classifica specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), e a una data stabilita, a condizione che sia stata accertata la sua necessità di conoscere; la persona così descritta è in possesso del «nulla osta di sicurezza». |
| --- | --- |

2.

Il «nulla osta di sicurezza personale» (PSC) per l'accesso alle ICUE è una dichiarazione rilasciata da un'autorità competente di uno Stato membro al termine di un'indagine di sicurezza condotta dalle autorità competenti di uno Stato membro e attestante che una persona può avere accesso alle ICUE fino a un livello di classifica specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), e a una data stabilita, a condizione che sia stata accertata la sua necessità di conoscere; la persona così descritta è in possesso del «nulla osta di sicurezza».

| 3. | Il «certificato di nulla osta di sicurezza personale» (Personnel Security Clearance Certificate, PSCC) è un certificato rilasciato dall'autorità di sicurezza del SEAE che stabilisce che una persona è in possesso del nulla osta di sicurezza e in cui figura il livello di ICUE cui può accedere la persona in questione, la data di validità del relativo PSC e la data di scadenza del certificato stesso. |
| --- | --- |

3.

Il «certificato di nulla osta di sicurezza personale» (Personnel Security Clearance Certificate, PSCC) è un certificato rilasciato dall'autorità di sicurezza del SEAE che stabilisce che una persona è in possesso del nulla osta di sicurezza e in cui figura il livello di ICUE cui può accedere la persona in questione, la data di validità del relativo PSC e la data di scadenza del certificato stesso.

| 4. | La «autorizzazione di accesso a ICUE» è un'autorizzazione rilasciata dall'autorità di sicurezza del SEAE ai sensi della presente decisione e previo rilascio di un PSC da parte delle competenti autorità di uno Stato membro, attestante che una persona può avere accesso a ICUE fino a un livello di classifica specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), e a una data stabilita, a condizione che sia stata accertata la sua necessità di conoscere; la persona così descritta è in possesso del «nulla osta di sicurezza». |
| --- | --- |

4.

La «autorizzazione di accesso a ICUE» è un'autorizzazione rilasciata dall'autorità di sicurezza del SEAE ai sensi della presente decisione e previo rilascio di un PSC da parte delle competenti autorità di uno Stato membro, attestante che una persona può avere accesso a ICUE fino a un livello di classifica specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), e a una data stabilita, a condizione che sia stata accertata la sua necessità di conoscere; la persona così descritta è in possesso del «nulla osta di sicurezza».

II   AUTORIZZAZIONE DI ACCESSO ALLE ICUE

| 5. | L'accesso a informazioni classificate RESTREINT UE/EU RESTRICTED non richiede un nulla osta di sicurezza ed è rilasciato dopo che:






  (a) | sia stato stabilito un rapporto per legge o contratto tra la persona e il SEAE, |
| --- | --- | --- |

5.

L'accesso a informazioni classificate RESTREINT UE/EU RESTRICTED non richiede un nulla osta di sicurezza ed è rilasciato dopo che:

(a)

sia stato stabilito un rapporto per legge o contratto tra la persona e il SEAE,

| (b) | sia stata accertata la necessità di conoscere della persona, |
| --- | --- |

(b)

sia stata accertata la necessità di conoscere della persona,

| (c) | la stessa sia stata istruita sulle norme e le procedure di sicurezza per la protezione delle ICUE ed abbia riconosciuto per iscritto la propria responsabilità in materia di protezione di tali informazioni conformemente alla presente decisione. |
| --- | --- |

(c)

la stessa sia stata istruita sulle norme e le procedure di sicurezza per la protezione delle ICUE ed abbia riconosciuto per iscritto la propria responsabilità in materia di protezione di tali informazioni conformemente alla presente decisione.

| 6. | Una persona è autorizzata ad accedere ad informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore solo dopo che:






  (a) | sia stato stabilito un rapporto per legge o contratto tra la persona e il SEAE; |
| --- | --- | --- |

6.

Una persona è autorizzata ad accedere ad informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore solo dopo che:

(a)

sia stato stabilito un rapporto per legge o contratto tra la persona e il SEAE;

| (b) | sia stata accertata la sua necessità di conoscere; |
| --- | --- |

(b)

sia stata accertata la sua necessità di conoscere;

| (c) | le sia stato concesso un PSC del livello adatto o sia in altro modo debitamente autorizzata in virtù delle sue funzioni conformemente alle disposizioni legislative e regolamentari nazionali; e |
| --- | --- |

(c)

le sia stato concesso un PSC del livello adatto o sia in altro modo debitamente autorizzata in virtù delle sue funzioni conformemente alle disposizioni legislative e regolamentari nazionali; e

| (d) | sia stata istruita sulle norme e le procedure di sicurezza per la protezione delle ICUE ed abbia riconosciuto per iscritto la propria responsabilità in materia di protezione di tali informazioni. |
| --- | --- |

(d)

sia stata istruita sulle norme e le procedure di sicurezza per la protezione delle ICUE ed abbia riconosciuto per iscritto la propria responsabilità in materia di protezione di tali informazioni.

| 7. | Il SEAE individua all'interno delle sue strutture i posti che richiedono l'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore e che richiedono pertanto un PSC del livello adatto, come indicato al paragrafo 4. |
| --- | --- |

7.

Il SEAE individua all'interno delle sue strutture i posti che richiedono l'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore e che richiedono pertanto un PSC del livello adatto, come indicato al paragrafo 4.

| 8. | Il personale del SEAE dichiara l'eventuale possesso della cittadinanza di più di un paese. |
| --- | --- |

8.

Il personale del SEAE dichiara l'eventuale possesso della cittadinanza di più di un paese.

Procedure di richiesta del PSC presso il SEAE

| 9. | Per il personale del SEAE, l'autorità di sicurezza del SEAE trasmette il questionario sulla sicurezza del personale compilato all'NSA dello Stato membro di cui è cittadino la persona interessata, chiedendo di avviare un'indagine di sicurezza per il livello di ICUE a cui la persona può chiedere di accedere. |
| --- | --- |

9.

Per il personale del SEAE, l'autorità di sicurezza del SEAE trasmette il questionario sulla sicurezza del personale compilato all'NSA dello Stato membro di cui è cittadino la persona interessata, chiedendo di avviare un'indagine di sicurezza per il livello di ICUE a cui la persona può chiedere di accedere.

| 10. | Qualora una persona abbia la cittadinanza di più di un paese, la richiesta di indagini viene indirizzata all'NSA del paese con la cui nazionalità l'interessato è stato assunto. |
| --- | --- |

10.

Qualora una persona abbia la cittadinanza di più di un paese, la richiesta di indagini viene indirizzata all'NSA del paese con la cui nazionalità l'interessato è stato assunto.

| 11. | Se viene a conoscenza di informazioni rilevanti per l'indagine di sicurezza relativa a una persona che ha chiesto un PSC, il SEAE le comunica all'NSA competente in conformità alle pertinenti disposizioni legislative e regolamentari. |
| --- | --- |

11.

Se viene a conoscenza di informazioni rilevanti per l'indagine di sicurezza relativa a una persona che ha chiesto un PSC, il SEAE le comunica all'NSA competente in conformità alle pertinenti disposizioni legislative e regolamentari.

| 12. | Al termine dell'indagine di sicurezza l'NSA competente ne comunica l'esito alla direzione del SEAE responsabile della sicurezza.






  (a) | Qualora dall'indagine di sicurezza emerga la garanzia dell'inesistenza di informazioni negative note che metterebbero in discussione la lealtà, l'onestà e l'affidabilità della persona, l'autorità di sicurezza del SEAE può rilasciare alla persona interessata un'autorizzazione di accesso a ICUE fino al livello adatto e a una data determinata; |
| --- | --- | --- |

12.

Al termine dell'indagine di sicurezza l'NSA competente ne comunica l'esito alla direzione del SEAE responsabile della sicurezza.

(a)

Qualora dall'indagine di sicurezza emerga la garanzia dell'inesistenza di informazioni negative note che metterebbero in discussione la lealtà, l'onestà e l'affidabilità della persona, l'autorità di sicurezza del SEAE può rilasciare alla persona interessata un'autorizzazione di accesso a ICUE fino al livello adatto e a una data determinata;

| (b) | Il SEAE adotta ogni opportuna misura per garantire che le condizioni e/o restrizioni imposte dall'NSA siano debitamente attuate. L'NSA è informata dell'esito. |
| --- | --- |

(b)

Il SEAE adotta ogni opportuna misura per garantire che le condizioni e/o restrizioni imposte dall'NSA siano debitamente attuate. L'NSA è informata dell'esito.

| (c) | Qualora dall'indagine di sicurezza non emerga tale garanzia, l'autorità di sicurezza del SEAE ne informa la persona interessata la quale può chiedere di essere ascoltata dall'autorità di sicurezza del SEAE. Quest'ultima può chiedere all'NSA competente ulteriori chiarimenti che l'autorità nazionale è in grado di fornire conformemente alle sue disposizioni legislative e regolamentari nazionali. In caso di riconferma dell'esito, l'autorizzazione ad accedere alle ICUE non può essere concessa. In tal caso, il SEAE adotta misure idonee ad assicurare che al richiedente sia negato l'accesso alle ICUE. |
| --- | --- |

(c)

Qualora dall'indagine di sicurezza non emerga tale garanzia, l'autorità di sicurezza del SEAE ne informa la persona interessata la quale può chiedere di essere ascoltata dall'autorità di sicurezza del SEAE. Quest'ultima può chiedere all'NSA competente ulteriori chiarimenti che l'autorità nazionale è in grado di fornire conformemente alle sue disposizioni legislative e regolamentari nazionali. In caso di riconferma dell'esito, l'autorizzazione ad accedere alle ICUE non può essere concessa. In tal caso, il SEAE adotta misure idonee ad assicurare che al richiedente sia negato l'accesso alle ICUE.

| 13. | L'indagine di sicurezza e i relativi risultati, su cui il SEAE fonda la decisione di concedere o meno un'autorizzazione ad accedere alle ICUE, sono soggetti alle pertinenti disposizioni legislative e regolamentari vigenti nello Stato membro in questione, ivi comprese quelle relative ai ricorsi. Le decisioni adottate dall'autorità di sicurezza del SEAE sono soggette a ricorso conformemente allo statuto. |
| --- | --- |

13.

L'indagine di sicurezza e i relativi risultati, su cui il SEAE fonda la decisione di concedere o meno un'autorizzazione ad accedere alle ICUE, sono soggetti alle pertinenti disposizioni legislative e regolamentari vigenti nello Stato membro in questione, ivi comprese quelle relative ai ricorsi. Le decisioni adottate dall'autorità di sicurezza del SEAE sono soggette a ricorso conformemente allo statuto.

| 14. | La garanzia su cui è basato un PSC in corso di validità copre qualsiasi incarico della persona interessata all'interno del SEAE, del Segretariato generale del Consiglio o della Commissione. |
| --- | --- |

14.

La garanzia su cui è basato un PSC in corso di validità copre qualsiasi incarico della persona interessata all'interno del SEAE, del Segretariato generale del Consiglio o della Commissione.

| 15. | Il SEAE accetta l'autorizzazione di accesso alle ICUE rilasciata da qualsiasi altra istituzione, organo o agenzia dell'Unione, purché in corso di validità. L'autorizzazione copre qualsiasi incarico della persona interessata all'interno del SEAE. L'istituzione, l'organo o l'agenzia dell'Unione in cui l'interessato è assunto notifica all'NSA competente il cambiamento del datore di lavoro. |
| --- | --- |

15.

Il SEAE accetta l'autorizzazione di accesso alle ICUE rilasciata da qualsiasi altra istituzione, organo o agenzia dell'Unione, purché in corso di validità. L'autorizzazione copre qualsiasi incarico della persona interessata all'interno del SEAE. L'istituzione, l'organo o l'agenzia dell'Unione in cui l'interessato è assunto notifica all'NSA competente il cambiamento del datore di lavoro.

| 16. | Se il periodo di servizio di una persona non inizia entro dodici mesi dalla comunicazione dell'esito dell'indagine di sicurezza all'autorità di sicurezza del SEAE o se vi è un'interruzione del servizio di dodici mesi o più durante la quale la persona non ha occupato un posto presso il SEAE, in altre istituzioni, agenzie o organi UE, o nell'amministrazione di uno Stato membro, che richieda l'accesso a informazioni classificate, tale esito è sottoposto all'NSA competente affinché questa confermi se resta valido e pertinente. |
| --- | --- |

16.

Se il periodo di servizio di una persona non inizia entro dodici mesi dalla comunicazione dell'esito dell'indagine di sicurezza all'autorità di sicurezza del SEAE o se vi è un'interruzione del servizio di dodici mesi o più durante la quale la persona non ha occupato un posto presso il SEAE, in altre istituzioni, agenzie o organi UE, o nell'amministrazione di uno Stato membro, che richieda l'accesso a informazioni classificate, tale esito è sottoposto all'NSA competente affinché questa confermi se resta valido e pertinente.

| 17. | Se viene a conoscenza di informazioni concernenti un rischio per la sicurezza posto da una persona in possesso di un PSC valido, il SEAE le comunica all'NSA competente in conformità alle pertinenti disposizioni legislative e regolamentari e può sospendere l'accesso alle ICUE o ritirare l'autorizzazione di accesso alle ICUE. Se un'NSA comunica al SEAE il ritiro della garanzia fornita in conformità al punto 12, lettera a) per una persona in possesso di un'autorizzazione valida per accedere a ICUE, l'autorità di sicurezza del SEAE può chiederle i chiarimenti che l'NSA è in grado di fornire conformemente alle sue disposizioni legislative e regolamentari nazionali. Se le informazioni negative sono confermate, l'autorizzazione suddetta è ritirata e la persona in questione è esclusa dall'accesso alle ICUE e da posti nei quali tale accesso sia possibile o nei quali la persona potrebbe mettere a repentaglio la sicurezza. |
| --- | --- |

17.

Se viene a conoscenza di informazioni concernenti un rischio per la sicurezza posto da una persona in possesso di un PSC valido, il SEAE le comunica all'NSA competente in conformità alle pertinenti disposizioni legislative e regolamentari e può sospendere l'accesso alle ICUE o ritirare l'autorizzazione di accesso alle ICUE. Se un'NSA comunica al SEAE il ritiro della garanzia fornita in conformità al punto 12, lettera a) per una persona in possesso di un'autorizzazione valida per accedere a ICUE, l'autorità di sicurezza del SEAE può chiederle i chiarimenti che l'NSA è in grado di fornire conformemente alle sue disposizioni legislative e regolamentari nazionali. Se le informazioni negative sono confermate, l'autorizzazione suddetta è ritirata e la persona in questione è esclusa dall'accesso alle ICUE e da posti nei quali tale accesso sia possibile o nei quali la persona potrebbe mettere a repentaglio la sicurezza.

| 18. | La decisione di ritiro di un'autorizzazione di accesso alle ICUE a un membro del personale del SEAE e, se opportuno, i relativi motivi sono comunicati alla persona interessata la quale può chiedere di essere ascoltata dall'autorità di sicurezza del SEAE. Le informazioni fornite dall'NSA sono soggette alle pertinenti disposizioni legislative e regolamentari vigenti nello Stato membro in questione, ivi comprese quelle relative ai ricorsi. Le decisioni adottate dall'autorità di sicurezza del SEAE sono soggette a ricorso conformemente allo statuto. |
| --- | --- |

18.

La decisione di ritiro di un'autorizzazione di accesso alle ICUE a un membro del personale del SEAE e, se opportuno, i relativi motivi sono comunicati alla persona interessata la quale può chiedere di essere ascoltata dall'autorità di sicurezza del SEAE. Le informazioni fornite dall'NSA sono soggette alle pertinenti disposizioni legislative e regolamentari vigenti nello Stato membro in questione, ivi comprese quelle relative ai ricorsi. Le decisioni adottate dall'autorità di sicurezza del SEAE sono soggette a ricorso conformemente allo statuto.

| 19. | Gli esperti nazionali distaccati presso il SEAE per un posto che richiede l'accesso alle informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, presentano all'autorità di sicurezza del SEAE un PSC valido per l'accesso a ICUE di livello corrispondente prima di assumere l'incarico. Il processo summenzionato è gestito dallo Stato membro che procede al distacco. |
| --- | --- |

19.

Gli esperti nazionali distaccati presso il SEAE per un posto che richiede l'accesso alle informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, presentano all'autorità di sicurezza del SEAE un PSC valido per l'accesso a ICUE di livello corrispondente prima di assumere l'incarico. Il processo summenzionato è gestito dallo Stato membro che procede al distacco.

Registrazioni dei PSC

| 20. | Il SEAE mantiene una banca dati dello status dei nulla osta di sicurezza di tutto il personale posto sotto la sua responsabilità e del personale dei suoi contraenti. Questi dati comprendono il livello di ICUE cui può accedere la persona in questione (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), la data di concessione del PSC e il suo periodo di validità. |
| --- | --- |

20.

Il SEAE mantiene una banca dati dello status dei nulla osta di sicurezza di tutto il personale posto sotto la sua responsabilità e del personale dei suoi contraenti. Questi dati comprendono il livello di ICUE cui può accedere la persona in questione (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), la data di concessione del PSC e il suo periodo di validità.

| 21. | Procedure di coordinamento appropriate sono messe in atto con gli Stati membri e altre istituzioni, agenzie e organi dell'UE per garantire che il SEAE detenga dati completi sullo status dei nulla osta di sicurezza di tutto il personale posto sotto la sua responsabilità e del personale dei suoi contraenti. |
| --- | --- |

21.

Procedure di coordinamento appropriate sono messe in atto con gli Stati membri e altre istituzioni, agenzie e organi dell'UE per garantire che il SEAE detenga dati completi sullo status dei nulla osta di sicurezza di tutto il personale posto sotto la sua responsabilità e del personale dei suoi contraenti.

| 22. | L'autorità di sicurezza del SEAE può rilasciare un certificato di nulla osta di sicurezza personale (PSCC) in cui figura il livello di ICUE cui può accedere la persona in questione (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), la data di validità del relativo PSC o autorizzazione e la data di scadenza del certificato stesso. |
| --- | --- |

22.

L'autorità di sicurezza del SEAE può rilasciare un certificato di nulla osta di sicurezza personale (PSCC) in cui figura il livello di ICUE cui può accedere la persona in questione (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), la data di validità del relativo PSC o autorizzazione e la data di scadenza del certificato stesso.

Esenzioni dall'obbligo del PSC

| 23. | Le persone debitamente autorizzate ad accedere alle ICUE in virtù delle rispettive funzioni, conformemente alle disposizioni legislative e regolamentari nazionali, sono informate, ove opportuno, dalla direzione del SEAE responsabile della sicurezza degli obblighi di sicurezza cui sono tenute per proteggere le ICUE. |
| --- | --- |

23.

Le persone debitamente autorizzate ad accedere alle ICUE in virtù delle rispettive funzioni, conformemente alle disposizioni legislative e regolamentari nazionali, sono informate, ove opportuno, dalla direzione del SEAE responsabile della sicurezza degli obblighi di sicurezza cui sono tenute per proteggere le ICUE.

III.   FORMAZIONE E SENSIBILIZZAZIONE ALLA SICUREZZA

| 24. | Prima di essere autorizzate ad accedere a ICUE, tutte le persone attestano per iscritto di aver compreso gli obblighi di protezione delle ICUE e le conseguenze che possono verificarsi se le ICUE risultano compromesse. Una registrazione di tale attestazione scritta è conservata dal SEAE. |
| --- | --- |

24.

Prima di essere autorizzate ad accedere a ICUE, tutte le persone attestano per iscritto di aver compreso gli obblighi di protezione delle ICUE e le conseguenze che possono verificarsi se le ICUE risultano compromesse. Una registrazione di tale attestazione scritta è conservata dal SEAE.

| 25. | Tutte le persone che sono autorizzate ad avere accesso alle ICUE o che le devono trattare sono sensibilizzate all'inizio e istruite periodicamente riguardo alle minacce per la sicurezza e devono comunicare immediatamente alle autorità di sicurezza competenti qualsiasi approccio o attività che ritengano sospetto o inusuale. |
| --- | --- |

25.

Tutte le persone che sono autorizzate ad avere accesso alle ICUE o che le devono trattare sono sensibilizzate all'inizio e istruite periodicamente riguardo alle minacce per la sicurezza e devono comunicare immediatamente alle autorità di sicurezza competenti qualsiasi approccio o attività che ritengano sospetto o inusuale.

| 26. | Tutte le persone cui è consentito l'accesso alle ICUE devono essere sottoposte a costanti misure di sicurezza del personale (ossia accompagnamento costante) per tutto il tempo in cui trattano ICUE. Della sicurezza del personale sono responsabili:






  a) | le persone cui è stato consentito l'accesso alle ICUE: sono responsabili personalmente della propria condotta sotto il profilo della sicurezza e devono comunicare immediatamente alle competenti autorità di sicurezza qualsiasi approccio o attività a loro giudizio sospetti o inusuali e i cambiamenti eventualmente intervenuti nella loro situazione personale che possano incidere sul loro PSC o sull'autorizzazione ad accedere alle ICUE; |
| --- | --- | --- |

26.

Tutte le persone cui è consentito l'accesso alle ICUE devono essere sottoposte a costanti misure di sicurezza del personale (ossia accompagnamento costante) per tutto il tempo in cui trattano ICUE. Della sicurezza del personale sono responsabili:

a)

le persone cui è stato consentito l'accesso alle ICUE: sono responsabili personalmente della propria condotta sotto il profilo della sicurezza e devono comunicare immediatamente alle competenti autorità di sicurezza qualsiasi approccio o attività a loro giudizio sospetti o inusuali e i cambiamenti eventualmente intervenuti nella loro situazione personale che possano incidere sul loro PSC o sull'autorizzazione ad accedere alle ICUE;

| b) | i superiori gerarchici: sono tenuti a garantire che il personale sia a conoscenza delle misure di sicurezza e delle responsabilità in materia di protezione delle ICUE, a vigilare sulla condotta del personale sotto il profilo della sicurezza e ad occuparsi direttamente di eventuali questioni di sicurezza o a comunicare alle autorità di sicurezza competenti ogni informazione negativa che possa incidere sul PSC o sull'autorizzazione del personale ad accedere alle ICUE; |
| --- | --- |

b)

i superiori gerarchici: sono tenuti a garantire che il personale sia a conoscenza delle misure di sicurezza e delle responsabilità in materia di protezione delle ICUE, a vigilare sulla condotta del personale sotto il profilo della sicurezza e ad occuparsi direttamente di eventuali questioni di sicurezza o a comunicare alle autorità di sicurezza competenti ogni informazione negativa che possa incidere sul PSC o sull'autorizzazione del personale ad accedere alle ICUE;

| c) | gli operatori dell'organizzazione della sicurezza del SEAE di cui all'articolo 12 della presente decisione: hanno il compito di sensibilizzare sulla sicurezza il personale del proprio settore attraverso sessioni informative periodiche, di promuovere una solida cultura della sicurezza nel settore di loro competenza, di attuare misure volte a vigilare sulla condotta del personale sotto il profilo della sicurezza e di comunicare alle autorità di sicurezza competenti tutte le informazioni negative che possano incidere sul PSC di qualsiasi persona; |
| --- | --- |

c)

gli operatori dell'organizzazione della sicurezza del SEAE di cui all'articolo 12 della presente decisione: hanno il compito di sensibilizzare sulla sicurezza il personale del proprio settore attraverso sessioni informative periodiche, di promuovere una solida cultura della sicurezza nel settore di loro competenza, di attuare misure volte a vigilare sulla condotta del personale sotto il profilo della sicurezza e di comunicare alle autorità di sicurezza competenti tutte le informazioni negative che possano incidere sul PSC di qualsiasi persona;

| d) | il SEAE e gli Stati membri: predispongono i canali necessari a comunicare le informazioni che possano incidere sul PSC o sull'autorizzazione di qualsiasi persona ad accedere alle ICUE. |
| --- | --- |

d)

il SEAE e gli Stati membri: predispongono i canali necessari a comunicare le informazioni che possano incidere sul PSC o sull'autorizzazione di qualsiasi persona ad accedere alle ICUE.

| 27. | Tutte le persone che cessano l'incarico per il quale era richiesto l'accesso alle ICUE sono informate sull'obbligo di continuare a proteggere le ICUE e, in caso, riconoscono per iscritto quest'obbligo. |
| --- | --- |

27.

Tutte le persone che cessano l'incarico per il quale era richiesto l'accesso alle ICUE sono informate sull'obbligo di continuare a proteggere le ICUE e, in caso, riconoscono per iscritto quest'obbligo.

IV.   CIRCOSTANZE ECCEZIONALI

| 28. | Per motivi di urgenza, se debitamente giustificati nell'interesse del SEAE e in attesa che sia ultimata l'indagine di sicurezza nel suo insieme, l'autorità di sicurezza del SEAE, dopo aver consultato l'NSA dello Stato membro di cui è cittadino la persona interessata e con riserva dell'esito dei controlli preliminari per verificare l'inesistenza di informazioni negative note, può rilasciare un'autorizzazione temporanea ai funzionari e altri agenti del SEAE per accedere alle ICUE per una funzione specifica. L'indagine di sicurezza deve essere completata il più rapidamente possibile. Tali autorizzazioni temporanee sono valide per sei mesi al massimo e non danno accesso alle informazioni classificate di livello TRES SECRET UE/EU TOP SECRET. Tutte le persone alle quali è stata concessa un'autorizzazione temporanea attestano per iscritto di aver compreso gli obblighi di protezione delle ICUE e le conseguenze che possono verificarsi se le ICUE risultano compromesse. Una registrazione di tale attestazione scritta è conservata dal SEAE. |
| --- | --- |

28.

Per motivi di urgenza, se debitamente giustificati nell'interesse del SEAE e in attesa che sia ultimata l'indagine di sicurezza nel suo insieme, l'autorità di sicurezza del SEAE, dopo aver consultato l'NSA dello Stato membro di cui è cittadino la persona interessata e con riserva dell'esito dei controlli preliminari per verificare l'inesistenza di informazioni negative note, può rilasciare un'autorizzazione temporanea ai funzionari e altri agenti del SEAE per accedere alle ICUE per una funzione specifica. L'indagine di sicurezza deve essere completata il più rapidamente possibile. Tali autorizzazioni temporanee sono valide per sei mesi al massimo e non danno accesso alle informazioni classificate di livello TRES SECRET UE/EU TOP SECRET. Tutte le persone alle quali è stata concessa un'autorizzazione temporanea attestano per iscritto di aver compreso gli obblighi di protezione delle ICUE e le conseguenze che possono verificarsi se le ICUE risultano compromesse. Una registrazione di tale attestazione scritta è conservata dal SEAE.

| 29. | Quando a una persona deve essere assegnato un posto che richiede un PSC di un livello superiore a quello posseduto in quel momento dalla persona stessa, l'incarico può essere affidato in via provvisoria purché:






  (a) | il superiore gerarchico della persona in questione giustifichi per iscritto che l'accesso a ICUE ad un livello superiore è assolutamente necessario; |
| --- | --- | --- |

29.

Quando a una persona deve essere assegnato un posto che richiede un PSC di un livello superiore a quello posseduto in quel momento dalla persona stessa, l'incarico può essere affidato in via provvisoria purché:

(a)

il superiore gerarchico della persona in questione giustifichi per iscritto che l'accesso a ICUE ad un livello superiore è assolutamente necessario;

| (b) | l'accesso sia limitato a specifici elementi delle ICUE in relazione con l'incarico; |
| --- | --- |

(b)

l'accesso sia limitato a specifici elementi delle ICUE in relazione con l'incarico;

| (c) | la persona sia in possesso di un PSC valido; |
| --- | --- |

(c)

la persona sia in possesso di un PSC valido;

| (d) | si sia dato avvio alla procedura per ottenere l'autorizzazione per il livello di accesso richiesto per il posto in questione; |
| --- | --- |

(d)

si sia dato avvio alla procedura per ottenere l'autorizzazione per il livello di accesso richiesto per il posto in questione;

| (e) | siano stati effettuati controlli soddisfacenti dall'autorità competente, volti ad accertare che la persona non abbia violato seriamente o ripetutamente le norme di sicurezza; |
| --- | --- |

(e)

siano stati effettuati controlli soddisfacenti dall'autorità competente, volti ad accertare che la persona non abbia violato seriamente o ripetutamente le norme di sicurezza;

| (f) | l'incarico della persona sia approvato dalla competente autorità del SEAE; |
| --- | --- |

(f)

l'incarico della persona sia approvato dalla competente autorità del SEAE;

| (g) | l'NSA/DSA competente che ha rilasciato il PSC della persona in questione sia stata consultata e non abbia formulato obiezioni; e |
| --- | --- |

(g)

l'NSA/DSA competente che ha rilasciato il PSC della persona in questione sia stata consultata e non abbia formulato obiezioni; e

| (h) | la deroga sia conservata nell'ufficio di registrazione responsabile o suo ufficio dipendente con una descrizione delle informazioni per cui è stato approvato l'accesso. |
| --- | --- |

(h)

la deroga sia conservata nell'ufficio di registrazione responsabile o suo ufficio dipendente con una descrizione delle informazioni per cui è stato approvato l'accesso.

| 30. | La procedura sopra descritta si usa per l'accesso singolo a ICUE di un livello superiore a quello autorizzato dal nulla osta della persona in questione. Tale procedura non è usata in maniera ricorrente. |
| --- | --- |

30.

La procedura sopra descritta si usa per l'accesso singolo a ICUE di un livello superiore a quello autorizzato dal nulla osta della persona in questione. Tale procedura non è usata in maniera ricorrente.

| 31. | In circostanze del tutto eccezionali, quali missioni in ambienti ostili o in periodi di tensione internazionale crescente quando richiesto da misure di emergenza, soprattutto per salvare vite umane, l'Alto rappresentante, l'autorità di sicurezza del SEAE o il DGBA possono concedere, se possibile per iscritto, l'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET a persone che non posseggono il PSC richiesto, purché ciò sia assolutamente necessario. La registrazione di tale autorizzazione è conservata con una descrizione delle informazioni per cui è stata data. |
| --- | --- |

31.

In circostanze del tutto eccezionali, quali missioni in ambienti ostili o in periodi di tensione internazionale crescente quando richiesto da misure di emergenza, soprattutto per salvare vite umane, l'Alto rappresentante, l'autorità di sicurezza del SEAE o il DGBA possono concedere, se possibile per iscritto, l'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET a persone che non posseggono il PSC richiesto, purché ciò sia assolutamente necessario. La registrazione di tale autorizzazione è conservata con una descrizione delle informazioni per cui è stata data.

| 32. | Nel caso di informazioni classificate di livello TRES SECRET UE/EU TOP SECRET questo accesso di emergenza è limitato a cittadini UE autorizzati ad accedere a informazioni il cui livello di classifica nazionale equivale a TRES SECRET UE/EU TOP SECRET o a informazioni classificate di livello SECRET UE/EU SECRET. |
| --- | --- |

32.

Nel caso di informazioni classificate di livello TRES SECRET UE/EU TOP SECRET questo accesso di emergenza è limitato a cittadini UE autorizzati ad accedere a informazioni il cui livello di classifica nazionale equivale a TRES SECRET UE/EU TOP SECRET o a informazioni classificate di livello SECRET UE/EU SECRET.

| 33. | Il Comitato per la sicurezza del SEAE è informato dei casi in cui si ricorre alla procedura descritta ai punti 31 e 32. |
| --- | --- |

33.

Il Comitato per la sicurezza del SEAE è informato dei casi in cui si ricorre alla procedura descritta ai punti 31 e 32.

| 34. | Il Comitato per la sicurezza del SEAE riceve una relazione annuale sul ricorso alle procedure stabilite nella presente sezione. |
| --- | --- |

34.

Il Comitato per la sicurezza del SEAE riceve una relazione annuale sul ricorso alle procedure stabilite nella presente sezione.

V.   PARTECIPAZIONE A RIUNIONI NELLA SEDE CENTRALE DEL SEAE E NELLE DELEGAZIONI DELL'UNIONE.

| 35. | Le persone che devono partecipare a riunioni presso la sede centrale del SEAE e nelle delegazioni dell'Unione in cui sono discusse informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, possono farlo solo se confermato dallo status del PSC in loro possesso. Per i rappresentanti degli Stati membri, i funzionari del Segretariato generale del Consiglio e della Commissione, il PSCC o altra prova di PSC è trasmesso dalle autorità competenti alla direzione del SEAE responsabile della sicurezza, al coordinatore della sicurezza della delegazione dell'Unione o, in via eccezionale, è presentato dall'interessato stesso. Se del caso, può essere usato un elenco di nomi consolidato che comprovi il PSC. |
| --- | --- |

35.

Le persone che devono partecipare a riunioni presso la sede centrale del SEAE e nelle delegazioni dell'Unione in cui sono discusse informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, possono farlo solo se confermato dallo status del PSC in loro possesso. Per i rappresentanti degli Stati membri, i funzionari del Segretariato generale del Consiglio e della Commissione, il PSCC o altra prova di PSC è trasmesso dalle autorità competenti alla direzione del SEAE responsabile della sicurezza, al coordinatore della sicurezza della delegazione dell'Unione o, in via eccezionale, è presentato dall'interessato stesso. Se del caso, può essere usato un elenco di nomi consolidato che comprovi il PSC.

| 36. | Se il PSC per l'accesso alle ICUE è ritirato a una persona i cui compiti richiedono la partecipazione a riunioni presso la sede centrale del SEAE o nelle delegazioni dell'Unione nelle quali si discutono informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, l'autorità competente ne informa il SEAE. |
| --- | --- |

36.

Se il PSC per l'accesso alle ICUE è ritirato a una persona i cui compiti richiedono la partecipazione a riunioni presso la sede centrale del SEAE o nelle delegazioni dell'Unione nelle quali si discutono informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, l'autorità competente ne informa il SEAE.

VI.   ACCESSO POTENZIALE ALLE ICUE

| 37. | Le persone che devono essere impiegate in circostanze nelle quali potrebbero avere un potenziale accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, ottengono il nulla osta di sicurezza adatto o sono scortate in ogni momento. |
| --- | --- |

37.

Le persone che devono essere impiegate in circostanze nelle quali potrebbero avere un potenziale accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, ottengono il nulla osta di sicurezza adatto o sono scortate in ogni momento.

| 38. | Corrieri, guardie e scorte ottengono il nulla osta di sicurezza di livello adatto o sono soggetti alle opportune indagini in conformità alle disposizioni legislative e regolamentari nazionali e sono informati periodicamente riguardo alle procedure di sicurezza in materia di protezione delle ICUE e sugli obblighi di protezione delle informazioni di tale natura loro affidate o alle quali possono involontariamente avere accesso. |
| --- | --- |

38.

Corrieri, guardie e scorte ottengono il nulla osta di sicurezza di livello adatto o sono soggetti alle opportune indagini in conformità alle disposizioni legislative e regolamentari nazionali e sono informati periodicamente riguardo alle procedure di sicurezza in materia di protezione delle ICUE e sugli obblighi di protezione delle informazioni di tale natura loro affidate o alle quali possono involontariamente avere accesso.

ALLEGATO A II

SICUREZZA MATERIALE DELLE INFORMAZIONI CLASSIFICATE UE

I.   INTRODUZIONE

| 1. | Il presente allegato prevede le disposizioni di attuazione dell'articolo 6 dell'allegato A. Esso stabilisce requisiti minimi per la protezione materiale di locali, edifici, uffici, stanze e altre zone in cui sono trattate e conservate ICUE, nonché le zone in cui sono conservati i CIS. |
| --- | --- |

1.

Il presente allegato prevede le disposizioni di attuazione dell'articolo 6 dell'allegato A. Esso stabilisce requisiti minimi per la protezione materiale di locali, edifici, uffici, stanze e altre zone in cui sono trattate e conservate ICUE, nonché le zone in cui sono conservati i CIS.

| 2. | Le misure di sicurezza materiale sono intese ad evitare l'accesso non autorizzato alle ICUE:






  (a) | assicurando che le ICUE siano trattate e conservate in modo adeguato; |
| --- | --- | --- |

2.

Le misure di sicurezza materiale sono intese ad evitare l'accesso non autorizzato alle ICUE:

(a)

assicurando che le ICUE siano trattate e conservate in modo adeguato;

| (b) | consentendo la segregazione del personale per quanto riguarda l'accesso alle ICUE in base alla loro necessità di conoscere e, in caso, ai loro nulla osta di sicurezza; |
| --- | --- |

(b)

consentendo la segregazione del personale per quanto riguarda l'accesso alle ICUE in base alla loro necessità di conoscere e, in caso, ai loro nulla osta di sicurezza;

| (c) | scoraggiando, ostacolando e scoprendo azioni non autorizzate; e |
| --- | --- |

(c)

scoraggiando, ostacolando e scoprendo azioni non autorizzate; e

| (d) | impedendo o ritardando l'ingresso fraudolento o con la forza di intrusi. |
| --- | --- |

(d)

impedendo o ritardando l'ingresso fraudolento o con la forza di intrusi.

II.   REQUISITI E MISURE DI SICUREZZA MATERIALE

| 3. | Il SEAE applica una procedura di gestione del rischio per proteggere le ICUE nei propri locali al fine di garantire un livello di protezione materiale corrispondente alla valutazione del rischio. La procedura di gestione del rischio tiene conto di tutti gli elementi pertinenti, in particolare:






  (a) | del livello di classifica delle ICUE; |
| --- | --- | --- |

3.

Il SEAE applica una procedura di gestione del rischio per proteggere le ICUE nei propri locali al fine di garantire un livello di protezione materiale corrispondente alla valutazione del rischio. La procedura di gestione del rischio tiene conto di tutti gli elementi pertinenti, in particolare:

(a)

del livello di classifica delle ICUE;

| (b) | della forma e del volume delle ICUE, tenendo presente che considerevoli quantitativi o compilazioni di ICUE possono richiedere l'applicazione di misure di protezione più rigorose; |
| --- | --- |

(b)

della forma e del volume delle ICUE, tenendo presente che considerevoli quantitativi o compilazioni di ICUE possono richiedere l'applicazione di misure di protezione più rigorose;

| (c) | dell'ambiente circostante e della struttura degli edifici o delle zone in cui sono conservate ICUE; |
| --- | --- |

(c)

dell'ambiente circostante e della struttura degli edifici o delle zone in cui sono conservate ICUE;

| (d) | della valutazione della minaccia del paese terzo effettuata dall'INTCEN, in particolare sulla base delle relazioni della delegazione dell'Unione, e |
| --- | --- |

(d)

della valutazione della minaccia del paese terzo effettuata dall'INTCEN, in particolare sulla base delle relazioni della delegazione dell'Unione, e

| (e) | della valutazione della minaccia rappresentata da servizi di intelligence che prendono di mira l'UE o gli Stati membri e da atti di sabotaggio, terrorismo e altri atti sovversivi o criminali. |
| --- | --- |

(e)

della valutazione della minaccia rappresentata da servizi di intelligence che prendono di mira l'UE o gli Stati membri e da atti di sabotaggio, terrorismo e altri atti sovversivi o criminali.

| 4. | Nell'applicare il concetto di difesa in profondità, l'autorità di sicurezza del SEAE stabilisce l'idonea combinazione di misure di sicurezza materiale da attuare. Queste ultime possono comprendere una o più delle seguenti misure:






  (a) | barriera perimetrale: barriera materiale che difende i confini della zona richiedente protezione; |
| --- | --- | --- |

4.

Nell'applicare il concetto di difesa in profondità, l'autorità di sicurezza del SEAE stabilisce l'idonea combinazione di misure di sicurezza materiale da attuare. Queste ultime possono comprendere una o più delle seguenti misure:

(a)

barriera perimetrale: barriera materiale che difende i confini della zona richiedente protezione;

| (b) | sistemi di rilevamento delle intrusioni (intrusion detection systems, IDS): un IDS può essere usato per accrescere il livello di sicurezza fornito dalla barriera perimetrale, oppure in stanze ed edifici al posto del personale addetto alla sicurezza o in ausilio a quest'ultimo; |
| --- | --- |

(b)

sistemi di rilevamento delle intrusioni (intrusion detection systems, IDS): un IDS può essere usato per accrescere il livello di sicurezza fornito dalla barriera perimetrale, oppure in stanze ed edifici al posto del personale addetto alla sicurezza o in ausilio a quest'ultimo;

| (c) | controllo dell'accesso: il controllo dell'accesso può essere esercitato su un sito, un edificio o più edifici in un sito, o su zone o stanze all'interno di un edificio. Il controllo può essere effettuato mediante dispositivi elettronici o elettromeccanici, dal personale addetto alla sicurezza e/o da un addetto all'accoglienza, o con altri mezzi materiali; |
| --- | --- |

(c)

controllo dell'accesso: il controllo dell'accesso può essere esercitato su un sito, un edificio o più edifici in un sito, o su zone o stanze all'interno di un edificio. Il controllo può essere effettuato mediante dispositivi elettronici o elettromeccanici, dal personale addetto alla sicurezza e/o da un addetto all'accoglienza, o con altri mezzi materiali;

| (d) | personale addetto alla sicurezza: formato e controllato e, ove necessario, munito di apposito nulla osta di sicurezza, può essere impiegato, tra l'altro, come deterrente contro individui che progettano un'intrusione dissimulata; |
| --- | --- |

(d)

personale addetto alla sicurezza: formato e controllato e, ove necessario, munito di apposito nulla osta di sicurezza, può essere impiegato, tra l'altro, come deterrente contro individui che progettano un'intrusione dissimulata;

| (e) | televisione a circuito chiuso (CCTV): la CCTV può essere usata dal personale addetto alla sicurezza per verificare incidenti e allarmi provenienti da IDS in siti o perimetri estesi; |
| --- | --- |

(e)

televisione a circuito chiuso (CCTV): la CCTV può essere usata dal personale addetto alla sicurezza per verificare incidenti e allarmi provenienti da IDS in siti o perimetri estesi;

| (f) | illuminazione di sicurezza: l'illuminazione di sicurezza può essere usata come deterrente contro intrusioni potenziali nonché per fornire l'illuminazione necessaria per una sorveglianza efficace diretta da parte del personale addetto alla sicurezza o indiretta attraverso un sistema di CCTV; e |
| --- | --- |

(f)

illuminazione di sicurezza: l'illuminazione di sicurezza può essere usata come deterrente contro intrusioni potenziali nonché per fornire l'illuminazione necessaria per una sorveglianza efficace diretta da parte del personale addetto alla sicurezza o indiretta attraverso un sistema di CCTV; e

| (g) | eventuali altre misure materiali volte a scoraggiare o scoprire l'accesso non autorizzato o a evitare la perdita o il danneggiamento di ICUE. |
| --- | --- |

(g)

eventuali altre misure materiali volte a scoraggiare o scoprire l'accesso non autorizzato o a evitare la perdita o il danneggiamento di ICUE.

| 5. | La direzione del SEAE responsabile della sicurezza può effettuare ispezioni all'entrata e all'uscita come deterrente all'introduzione non autorizzata di materiale o alla sottrazione non autorizzata di ICUE da locali o edifici. |
| --- | --- |

5.

La direzione del SEAE responsabile della sicurezza può effettuare ispezioni all'entrata e all'uscita come deterrente all'introduzione non autorizzata di materiale o alla sottrazione non autorizzata di ICUE da locali o edifici.

| 6. | Quando le ICUE sono a rischio di sguardi indiscreti, anche accidentalmente, sono adottate misure appropriate per combattere questo rischio. |
| --- | --- |

6.

Quando le ICUE sono a rischio di sguardi indiscreti, anche accidentalmente, sono adottate misure appropriate per combattere questo rischio.

| 7. | Per le nuove strutture sono definiti requisiti di sicurezza materiale e relative specifiche funzionali nell'ambito dello studio e della progettazione delle strutture. Per le strutture esistenti si applicano il più possibile i requisiti di sicurezza materiale. |
| --- | --- |

7.

Per le nuove strutture sono definiti requisiti di sicurezza materiale e relative specifiche funzionali nell'ambito dello studio e della progettazione delle strutture. Per le strutture esistenti si applicano il più possibile i requisiti di sicurezza materiale.

III.   ATTREZZATURE PER LA PROTEZIONE MATERIALE DELLE ICUE

| 8. | Nell'acquistare attrezzature (quali contenitori di sicurezza, macchine sminuzzatrici, serrature di porte, sistemi elettronici di controllo dell'accesso, IDS, sistemi d'allarme) per la protezione materiale delle ICUE, l'autorità di sicurezza del SEAE garantisce che tali attrezzature siano conformi alle norme tecniche e ai requisiti minimi approvati. |
| --- | --- |

8.

Nell'acquistare attrezzature (quali contenitori di sicurezza, macchine sminuzzatrici, serrature di porte, sistemi elettronici di controllo dell'accesso, IDS, sistemi d'allarme) per la protezione materiale delle ICUE, l'autorità di sicurezza del SEAE garantisce che tali attrezzature siano conformi alle norme tecniche e ai requisiti minimi approvati.

| 9. | Le specifiche tecniche delle attrezzature da utilizzare per la protezione materiale delle ICUE figurano negli orientamenti di sicurezza che devono essere approvati dal Comitato per la sicurezza del SEAE. |
| --- | --- |

9.

Le specifiche tecniche delle attrezzature da utilizzare per la protezione materiale delle ICUE figurano negli orientamenti di sicurezza che devono essere approvati dal Comitato per la sicurezza del SEAE.

| 10. | I sistemi di sicurezza sono ispezionati a intervalli regolari e le attrezzature sono regolarmente sottoposte a manutenzione. I lavori di manutenzione tengono conto del risultato delle ispezioni per garantire il costante funzionamento ottimale delle attrezzature. |
| --- | --- |

10.

I sistemi di sicurezza sono ispezionati a intervalli regolari e le attrezzature sono regolarmente sottoposte a manutenzione. I lavori di manutenzione tengono conto del risultato delle ispezioni per garantire il costante funzionamento ottimale delle attrezzature.

| 11. | L'efficacia delle singole misure di sicurezza nonché del sistema di sicurezza nel suo complesso è oggetto di una nuova valutazione in ogni ispezione. |
| --- | --- |

11.

L'efficacia delle singole misure di sicurezza nonché del sistema di sicurezza nel suo complesso è oggetto di una nuova valutazione in ogni ispezione.

IV.   ZONE OGGETTO DI PROTEZIONE MATERIALE

| 12. | Per la protezione materiale delle ICUE si stabiliscono due tipi di zona oggetto di protezione materiale o relativi equivalenti nazionali:






  (a) | zone amministrative e |
| --- | --- | --- |

12.

Per la protezione materiale delle ICUE si stabiliscono due tipi di zona oggetto di protezione materiale o relativi equivalenti nazionali:

(a)

zone amministrative e

| (b) | zone protette (comprese le zone protette tecnicamente). |
| --- | --- |

(b)

zone protette (comprese le zone protette tecnicamente).

| 13. | L'autorità di sicurezza del SEAE stabilisce che una zona soddisfa i requisiti per essere designata zona amministrativa, zona protetta o zona protetta tecnicamente. |
| --- | --- |

13.

L'autorità di sicurezza del SEAE stabilisce che una zona soddisfa i requisiti per essere designata zona amministrativa, zona protetta o zona protetta tecnicamente.

| 14. | Per le zone amministrative:






  (a) | è stabilito un perimetro chiaramente delimitato che permette l'ispezione delle persone e, se possibile, dei veicoli; |
| --- | --- | --- |

14.

Per le zone amministrative:

(a)

è stabilito un perimetro chiaramente delimitato che permette l'ispezione delle persone e, se possibile, dei veicoli;

| (b) | l'accesso senza scorta è consentito solo alle persone debitamente autorizzate dalla direzione del SEAE responsabile della sicurezza; e |
| --- | --- |

(b)

l'accesso senza scorta è consentito solo alle persone debitamente autorizzate dalla direzione del SEAE responsabile della sicurezza; e

| (c) | tutte le altre persone sono scortate in ogni momento o sottoposte a controlli equivalenti. |
| --- | --- |

(c)

tutte le altre persone sono scortate in ogni momento o sottoposte a controlli equivalenti.

| 15. | Per le zone protette:






  (a) | è stabilito un perimetro chiaramente delimitato e protetto attraverso cui sono controllati tutti gli ingressi e le uscite per mezzo di un lasciapassare o di un sistema di riconoscimento personale; |
| --- | --- | --- |

15.

Per le zone protette:

(a)

è stabilito un perimetro chiaramente delimitato e protetto attraverso cui sono controllati tutti gli ingressi e le uscite per mezzo di un lasciapassare o di un sistema di riconoscimento personale;

| (b) | l'accesso senza scorta è consentito solo alle persone in possesso di un nulla osta di sicurezza del livello adatto ed espressamente autorizzate ad entrare nella zona in base alla loro necessità di conoscere; |
| --- | --- |

(b)

l'accesso senza scorta è consentito solo alle persone in possesso di un nulla osta di sicurezza del livello adatto ed espressamente autorizzate ad entrare nella zona in base alla loro necessità di conoscere;

| (c) | tutte le altre persone sono scortate in ogni momento o sottoposte a controlli equivalenti. |
| --- | --- |

(c)

tutte le altre persone sono scortate in ogni momento o sottoposte a controlli equivalenti.

| 16. | Se l'ingresso in una zona protetta costituisce, a tutti i fini pratici, un accesso diretto alle informazioni classificate ivi conservate, si applicano i seguenti requisiti supplementari:






  (a) | il livello più elevato di classifica di sicurezza delle informazioni normalmente conservate nella zona è chiaramente indicato; |
| --- | --- | --- |

16.

Se l'ingresso in una zona protetta costituisce, a tutti i fini pratici, un accesso diretto alle informazioni classificate ivi conservate, si applicano i seguenti requisiti supplementari:

(a)

il livello più elevato di classifica di sicurezza delle informazioni normalmente conservate nella zona è chiaramente indicato;

| (b) | tutti i visitatori richiedono un'autorizzazione specifica ad entrare nella zona, sono scortati in ogni momento e sono in possesso del nulla osta di sicurezza adatto, a meno che non siano presi provvedimenti intesi a garantire che non sia possibile alcun accesso alle ICUE; |
| --- | --- |

(b)

tutti i visitatori richiedono un'autorizzazione specifica ad entrare nella zona, sono scortati in ogni momento e sono in possesso del nulla osta di sicurezza adatto, a meno che non siano presi provvedimenti intesi a garantire che non sia possibile alcun accesso alle ICUE;

| (c) | i dispositivi elettronici sono lasciati fuori della zona. |
| --- | --- |

(c)

i dispositivi elettronici sono lasciati fuori della zona.

| 17. | Le zone protette che vengono protette dall'ascolto indiscreto sono designate zone protette tecnicamente. Si applicano i seguenti requisiti supplementari:






  (a) | tali zone sono dotate di IDS, chiuse a chiave se non occupate e sorvegliate se occupate. Tutte le chiavi sono controllate in conformità alla sezione VI dell'allegato; |
| --- | --- | --- |

17.

Le zone protette che vengono protette dall'ascolto indiscreto sono designate zone protette tecnicamente. Si applicano i seguenti requisiti supplementari:

(a)

tali zone sono dotate di IDS, chiuse a chiave se non occupate e sorvegliate se occupate. Tutte le chiavi sono controllate in conformità alla sezione VI dell'allegato;

| (b) | tutte le persone o tutto il materiale che accedono a tali zone sono soggetti a controllo; |
| --- | --- |

(b)

tutte le persone o tutto il materiale che accedono a tali zone sono soggetti a controllo;

| (c) | tali zone sono regolarmente soggette a ispezioni materiali e/o tecniche, come richiesto dall'autorità di sicurezza del SEAE. Dette ispezioni sono inoltre effettuate dopo qualsiasi ingresso non autorizzato, effettivo o sospettato; e |
| --- | --- |

(c)

tali zone sono regolarmente soggette a ispezioni materiali e/o tecniche, come richiesto dall'autorità di sicurezza del SEAE. Dette ispezioni sono inoltre effettuate dopo qualsiasi ingresso non autorizzato, effettivo o sospettato; e

| (d) | tali zone sono prive di linee di comunicazione non autorizzate, telefoni o altri dispositivi di comunicazione ed attrezzature elettriche o elettroniche non autorizzati. |
| --- | --- |

(d)

tali zone sono prive di linee di comunicazione non autorizzate, telefoni o altri dispositivi di comunicazione ed attrezzature elettriche o elettroniche non autorizzati.

| 18. | Nonostante il punto 17, lettera d), prima di essere usati in zone in cui si svolgono riunioni o attività che implicano informazioni classificate di livello SECRET UE/EU SECRET o superiore, e laddove la minaccia alle ICUE sia valutata alta, tutti i dispositivi di comunicazione e tutte le attrezzature elettriche o elettroniche sono preventivamente esaminati dall'autorità di sicurezza del SEAE al fine di garantire che nessuna informazione intelligibile sia trasmessa inavvertitamente o illegalmente da tali attrezzature all'esterno del perimetro della zona protetta. |
| --- | --- |

18.

Nonostante il punto 17, lettera d), prima di essere usati in zone in cui si svolgono riunioni o attività che implicano informazioni classificate di livello SECRET UE/EU SECRET o superiore, e laddove la minaccia alle ICUE sia valutata alta, tutti i dispositivi di comunicazione e tutte le attrezzature elettriche o elettroniche sono preventivamente esaminati dall'autorità di sicurezza del SEAE al fine di garantire che nessuna informazione intelligibile sia trasmessa inavvertitamente o illegalmente da tali attrezzature all'esterno del perimetro della zona protetta.

| 19. | Ove opportuno, le zone protette non occupate da personale in servizio 24 ore su 24 sono ispezionate al termine del normale orario di lavoro e a intervalli casuali al di fuori del normale orario di lavoro, tranne nel caso in cui vi sia installato un IDS. |
| --- | --- |

19.

Ove opportuno, le zone protette non occupate da personale in servizio 24 ore su 24 sono ispezionate al termine del normale orario di lavoro e a intervalli casuali al di fuori del normale orario di lavoro, tranne nel caso in cui vi sia installato un IDS.

| 20. | Le zone protette e le zone protette tecnicamente possono essere istituite in via temporanea in una zona amministrativa per una riunione classificata o per altri motivi analoghi. |
| --- | --- |

20.

Le zone protette e le zone protette tecnicamente possono essere istituite in via temporanea in una zona amministrativa per una riunione classificata o per altri motivi analoghi.

| 21. | Per ciascuna zona protetta sono elaborate procedure operative di sicurezza che stabiliscono:






  (a) | il livello delle ICUE che possono essere trattate e conservate nella zona; |
| --- | --- | --- |

21.

Per ciascuna zona protetta sono elaborate procedure operative di sicurezza che stabiliscono:

(a)

il livello delle ICUE che possono essere trattate e conservate nella zona;

| (b) | le misure di sorveglianza e di protezione che devono essere applicate; |
| --- | --- |

(b)

le misure di sorveglianza e di protezione che devono essere applicate;

| (c) | le persone autorizzate ad accedere senza scorta alla zona in virtù della loro necessità di conoscere e del loro nulla osta di sicurezza; |
| --- | --- |

(c)

le persone autorizzate ad accedere senza scorta alla zona in virtù della loro necessità di conoscere e del loro nulla osta di sicurezza;

| (d) | ove opportuno, le procedure relative alle scorte o alla protezione delle ICUE quando si autorizza l'accesso di altre persone alla zona; |
| --- | --- |

(d)

ove opportuno, le procedure relative alle scorte o alla protezione delle ICUE quando si autorizza l'accesso di altre persone alla zona;

| (e) | ogni altra misura e procedura pertinente. |
| --- | --- |

(e)

ogni altra misura e procedura pertinente.

| 22. | Nelle zone protette sono costruite camere blindate. Le pareti, il pavimento, il soffitto, le finestre e le porte provviste di serratura sono approvati dall'autorità di sicurezza del SEAE e offrono una protezione equivalente a quella di un contenitore di sicurezza approvato per la conservazione di ICUE dello stesso livello di classifica. |
| --- | --- |

22.

Nelle zone protette sono costruite camere blindate. Le pareti, il pavimento, il soffitto, le finestre e le porte provviste di serratura sono approvati dall'autorità di sicurezza del SEAE e offrono una protezione equivalente a quella di un contenitore di sicurezza approvato per la conservazione di ICUE dello stesso livello di classifica.

V.   MISURE DI PROTEZIONE MATERIALE PER IL TRATTAMENTO E LA CONSERVAZIONE DELLE ICUE

| 23. | Le ICUE classificate di livello RESTREINT UE/EU RESTRICTED possono essere trattate:






  (a) | in una zona protetta; |
| --- | --- | --- |

23.

Le ICUE classificate di livello RESTREINT UE/EU RESTRICTED possono essere trattate:

(a)

in una zona protetta;

| (b) | in una zona amministrativa purché le ICUE siano protette dall'accesso di persone non autorizzate; |
| --- | --- |

(b)

in una zona amministrativa purché le ICUE siano protette dall'accesso di persone non autorizzate;

| (c) | all'esterno di una zona protetta o di una zona amministrativa purché il detentore trasporti le ICUE in conformità all'allegato A III, punti da 30 a 42, e si sia impegnato ad osservare le misure compensative stabilite nelle istruzioni di sicurezza emesse dall'autorità di sicurezza del SEAE per garantire che le ICUE siano protette dall'accesso di persone non autorizzate. |
| --- | --- |

(c)

all'esterno di una zona protetta o di una zona amministrativa purché il detentore trasporti le ICUE in conformità all'allegato A III, punti da 30 a 42, e si sia impegnato ad osservare le misure compensative stabilite nelle istruzioni di sicurezza emesse dall'autorità di sicurezza del SEAE per garantire che le ICUE siano protette dall'accesso di persone non autorizzate.

| 24. | Le ICUE classificate di livello RESTREINT UE/EU RESTRICTED sono conservate in idonei mobili da ufficio chiusi a chiave, in una zona amministrativa o in una zona protetta. Esse possono essere temporaneamente conservate all'esterno di una zona protetta o di una zona amministrativa purché il detentore si sia impegnato a osservare le misure compensative stabilite nelle istruzioni di sicurezza emesse dall'autorità di sicurezza del SEAE. |
| --- | --- |

24.

Le ICUE classificate di livello RESTREINT UE/EU RESTRICTED sono conservate in idonei mobili da ufficio chiusi a chiave, in una zona amministrativa o in una zona protetta. Esse possono essere temporaneamente conservate all'esterno di una zona protetta o di una zona amministrativa purché il detentore si sia impegnato a osservare le misure compensative stabilite nelle istruzioni di sicurezza emesse dall'autorità di sicurezza del SEAE.

| 25. | Le ICUE classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET possono essere trattate:






  (a) | in una zona protetta; |
| --- | --- | --- |

25.

Le ICUE classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET possono essere trattate:

(a)

in una zona protetta;

| (b) | in una zona amministrativa purché le ICUE siano protette dall'accesso di persone non autorizzate; oppure |
| --- | --- |

(b)

in una zona amministrativa purché le ICUE siano protette dall'accesso di persone non autorizzate; oppure

| (c) | all'esterno di una zona protetta o di una zona amministrativa purché il detentore:






  (i) | trasporti le ICUE in conformità all'allegato A III, punti da 30 a 42; |
| --- | --- | --- |

(c)

all'esterno di una zona protetta o di una zona amministrativa purché il detentore:

(i)

trasporti le ICUE in conformità all'allegato A III, punti da 30 a 42;

| (ii) | si sia impegnato ad osservare le misure compensative stabilite nelle istruzioni di sicurezza emesse dall'autorità di sicurezza del SEAE per garantire che le ICUE siano protette dall'accesso di persone non autorizzate; |
| --- | --- |

(ii)

si sia impegnato ad osservare le misure compensative stabilite nelle istruzioni di sicurezza emesse dall'autorità di sicurezza del SEAE per garantire che le ICUE siano protette dall'accesso di persone non autorizzate;

| (iii) | tenga le ICUE sempre sotto il proprio controllo; e |
| --- | --- |

(iii)

tenga le ICUE sempre sotto il proprio controllo; e

| (iv) | in caso di documenti cartacei, ne abbia informato il competente ufficio di registrazione. |
| --- | --- |

(iv)

in caso di documenti cartacei, ne abbia informato il competente ufficio di registrazione.

| 26. | Le ICUE classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET sono conservate in una zona protetta, in un contenitore di sicurezza o in una camera blindata. |
| --- | --- |

26.

Le ICUE classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET sono conservate in una zona protetta, in un contenitore di sicurezza o in una camera blindata.

| 27. | Le ICUE classificate di livello TRES SECRET UE/EU TOP SECRET sono trattate in una zona protetta. |
| --- | --- |

27.

Le ICUE classificate di livello TRES SECRET UE/EU TOP SECRET sono trattate in una zona protetta.

| 28. | Le ICUE classificate di livello TRES SECRET UE/EU TOP SECRET sono conservate in una zona protetta presso la sede centrale, secondo una delle modalità seguenti:






  (a) | in un contenitore di sicurezza conformemente al punto 8, con uno o più dei seguenti controlli supplementari:






  (i) | protezione continua o verifica da parte di personale con nulla osta di sicurezza o personale di servizio; |
| --- | --- | --- | --- |

28.

Le ICUE classificate di livello TRES SECRET UE/EU TOP SECRET sono conservate in una zona protetta presso la sede centrale, secondo una delle modalità seguenti:

(a)

in un contenitore di sicurezza conformemente al punto 8, con uno o più dei seguenti controlli supplementari:

(i)

protezione continua o verifica da parte di personale con nulla osta di sicurezza o personale di servizio;

| (ii) | un IDS approvato, in combinazione con personale di sicurezza incaricato degli interventi; |
| --- | --- |

(ii)

un IDS approvato, in combinazione con personale di sicurezza incaricato degli interventi;

oppure

| (b) | in una camera blindata dotata di IDS, in combinazione con personale di sicurezza incaricato degli interventi. |
| --- | --- |

(b)

in una camera blindata dotata di IDS, in combinazione con personale di sicurezza incaricato degli interventi.

| 29. | Le norme sul trasporto di ICUE al di fuori delle zone oggetto di protezione materiale figurano nell'allegato A III. |
| --- | --- |

29.

Le norme sul trasporto di ICUE al di fuori delle zone oggetto di protezione materiale figurano nell'allegato A III.

VI.   CONTROLLO DELLE CHIAVI E DELLE COMBINAZIONI USATE PER PROTEGGERE LE ICUE

| 30. | L'autorità di sicurezza del SEAE stabilisce le procedure di gestione delle chiavi e delle combinazioni per gli uffici, le stanze, le camere blindate e i contenitori di sicurezza. Tali procedure proteggono dall'accesso non autorizzato. |
| --- | --- |

30.

L'autorità di sicurezza del SEAE stabilisce le procedure di gestione delle chiavi e delle combinazioni per gli uffici, le stanze, le camere blindate e i contenitori di sicurezza. Tali procedure proteggono dall'accesso non autorizzato.

| 31. | Le combinazioni sono conosciute a memoria dal minor numero possibile di persone che hanno necessità di conoscerle. Le combinazioni dei contenitori di sicurezza e delle camere blindate in cui sono conservate ICUE sono modificate:






  (a) | al ricevimento di ogni nuovo contenitore; |
| --- | --- | --- |

31.

Le combinazioni sono conosciute a memoria dal minor numero possibile di persone che hanno necessità di conoscerle. Le combinazioni dei contenitori di sicurezza e delle camere blindate in cui sono conservate ICUE sono modificate:

(a)

al ricevimento di ogni nuovo contenitore;

| (b) | in caso di sostituzione del personale che conosce la combinazione; |
| --- | --- |

(b)

in caso di sostituzione del personale che conosce la combinazione;

| (c) | in caso di effettiva o sospetta compromissione; |
| --- | --- |

(c)

in caso di effettiva o sospetta compromissione;

| (d) | se una serratura è stata oggetto di manutenzione o riparazione; e |
| --- | --- |

(d)

se una serratura è stata oggetto di manutenzione o riparazione; e

| (e) | almeno ogni dodici mesi. |
| --- | --- |

(e)

almeno ogni dodici mesi.

ALLEGATO A III

GESTIONE DELLE INFORMAZIONI CLASSIFICATE

I.   INTRODUZIONE

| 1. | Il presente allegato prevede le disposizioni di attuazione dell'articolo 7 dell'allegato A. Esso stabilisce le misure amministrative per controllare le ICUE per tutto il loro ciclo di vita al fine di contribuire a scoraggiare, scoprire e porre rimedio ai casi di compromissione o perdita intenzionale o accidentale di tali informazioni. |
| --- | --- |

1.

Il presente allegato prevede le disposizioni di attuazione dell'articolo 7 dell'allegato A. Esso stabilisce le misure amministrative per controllare le ICUE per tutto il loro ciclo di vita al fine di contribuire a scoraggiare, scoprire e porre rimedio ai casi di compromissione o perdita intenzionale o accidentale di tali informazioni.

II   GESTIONE DELLE CLASSIFICHE

Classifiche e contrassegni

| 2. | Le informazioni sono classificate quando devono essere protette con riferimento alla loro riservatezza. |
| --- | --- |

2.

Le informazioni sono classificate quando devono essere protette con riferimento alla loro riservatezza.

| 3. | L'originatore delle ICUE è incaricato di determinare il livello di classifica di sicurezza, conformemente ai pertinenti orientamenti in materia di classifica, e della diffusione delle informazioni. |
| --- | --- |

3.

L'originatore delle ICUE è incaricato di determinare il livello di classifica di sicurezza, conformemente ai pertinenti orientamenti in materia di classifica, e della diffusione delle informazioni.

| 4. | Il livello di classifica delle ICUE è stabilito conformemente all'articolo 2, paragrafo 2 dell'allegato A e con riferimento agli orientamenti di sicurezza che devono essere approvati ai sensi dell'articolo 3, paragrafo 3, dell'allegato A. |
| --- | --- |

4.

Il livello di classifica delle ICUE è stabilito conformemente all'articolo 2, paragrafo 2 dell'allegato A e con riferimento agli orientamenti di sicurezza che devono essere approvati ai sensi dell'articolo 3, paragrafo 3, dell'allegato A.

| 5. | Alle informazioni classificate degli Stati membri scambiate con il SEAE sarà conferito lo stesso livello di protezione delle ICUE classificate ad un livello equivalente. Una tabella delle equivalenze è riportata nell'appendice B della presente decisione. |
| --- | --- |

5.

Alle informazioni classificate degli Stati membri scambiate con il SEAE sarà conferito lo stesso livello di protezione delle ICUE classificate ad un livello equivalente. Una tabella delle equivalenze è riportata nell'appendice B della presente decisione.

| 6. | La classifica di sicurezza e, se del caso, la data o un evento specifico a seguito dei quali possono essere declassate o declassificate, è chiaramente e correttamente indicata, indipendentemente dal fatto che le ICUE siano in forma cartacea, orale, elettronica o in altra forma. |
| --- | --- |

6.

La classifica di sicurezza e, se del caso, la data o un evento specifico a seguito dei quali possono essere declassate o declassificate, è chiaramente e correttamente indicata, indipendentemente dal fatto che le ICUE siano in forma cartacea, orale, elettronica o in altra forma.

| 7. | Le singole parti di un determinato documento (ad esempio pagine, paragrafi, sezioni, annessi, appendici, allegati e materiale accluso) possono richiedere classifiche differenti e sono contraddistinte di conseguenza anche nel caso in cui siano conservate in forma elettronica. |
| --- | --- |

7.

Le singole parti di un determinato documento (ad esempio pagine, paragrafi, sezioni, annessi, appendici, allegati e materiale accluso) possono richiedere classifiche differenti e sono contraddistinte di conseguenza anche nel caso in cui siano conservate in forma elettronica.

| 8. | Per quanto possibile, i documenti che contengono parti con livelli di classifica diversi sono impostati in modo che le parti con un livello di classifica diverso possano essere facilmente individuate e, se necessario, separate. |
| --- | --- |

8.

Per quanto possibile, i documenti che contengono parti con livelli di classifica diversi sono impostati in modo che le parti con un livello di classifica diverso possano essere facilmente individuate e, se necessario, separate.

| 9. | Il livello generale di classifica di un documento o file è almeno quello del suo componente con livello di classifica più elevato. Quando si riprendono informazioni da varie fonti, il prodotto finale è riesaminato per determinarne il livello generale di classifica di sicurezza, in quanto può richiedere una classifica più elevata di quella dei suoi componenti. |
| --- | --- |

9.

Il livello generale di classifica di un documento o file è almeno quello del suo componente con livello di classifica più elevato. Quando si riprendono informazioni da varie fonti, il prodotto finale è riesaminato per determinarne il livello generale di classifica di sicurezza, in quanto può richiedere una classifica più elevata di quella dei suoi componenti.

| 10. | La classifica di una lettera o di una nota che comprende materiale accluso corrisponde a quella dell'elemento accluso con livello di classifica più elevato. L'originatore indica chiaramente il livello di classifica della lettera o della nota quando è separata dal materiale accluso mediante un contrassegno adeguato, ad esempio:
  CONFIDENTIEL UE/EU CONFIDENTIAL
  Senza allegato/i RESTREINT UE/EU RESTRICTED |
| --- | --- |

10.

La classifica di una lettera o di una nota che comprende materiale accluso corrisponde a quella dell'elemento accluso con livello di classifica più elevato. L'originatore indica chiaramente il livello di classifica della lettera o della nota quando è separata dal materiale accluso mediante un contrassegno adeguato, ad esempio:

CONFIDENTIEL UE/EU CONFIDENTIAL

Senza allegato/i RESTREINT UE/EU RESTRICTED

Contrassegni

| 11. | Oltre ad uno dei contrassegni di classifica di sicurezza di cui all'articolo 2, paragrafo 2, dell'allegato A, le ICUE possono recare altri contrassegni, quali:






  (a) | un identificatore per designare l'originatore; |
| --- | --- | --- |

11.

Oltre ad uno dei contrassegni di classifica di sicurezza di cui all'articolo 2, paragrafo 2, dell'allegato A, le ICUE possono recare altri contrassegni, quali:

(a)

un identificatore per designare l'originatore;

| (b) | avvertenze, parole chiave o acronimi per specificare il settore di attività cui si riferisce il documento, una distribuzione particolare sulla base del principio della necessità di conoscere o restrizioni d'uso; |
| --- | --- |

(b)

avvertenze, parole chiave o acronimi per specificare il settore di attività cui si riferisce il documento, una distribuzione particolare sulla base del principio della necessità di conoscere o restrizioni d'uso;

| (c) | contrassegni di divulgabilità. |
| --- | --- |

(c)

contrassegni di divulgabilità.

| 12. | A seguito di una decisione di comunicare ICUE a uno Stato terzo o a un'organizzazione internazionale, la direzione del SEAE responsabile della sicurezza trasmette le informazioni classificate in questione con apposto un contrassegno di divulgabilità che indica lo Stato terzo o l'organizzazione internazionale a cui saranno comunicate. |
| --- | --- |

12.

A seguito di una decisione di comunicare ICUE a uno Stato terzo o a un'organizzazione internazionale, la direzione del SEAE responsabile della sicurezza trasmette le informazioni classificate in questione con apposto un contrassegno di divulgabilità che indica lo Stato terzo o l'organizzazione internazionale a cui saranno comunicate.

| 13. | Un elenco dei contrassegni autorizzati sarà adottato dall'autorità di sicurezza del SEAE. |
| --- | --- |

13.

Un elenco dei contrassegni autorizzati sarà adottato dall'autorità di sicurezza del SEAE.

Contrassegni di classifica abbreviati

| 14. | Contrassegni di classifica abbreviati standard possono essere usati per indicare il livello di classifica di singoli paragrafi di un testo. Le abbreviazioni non sostituiscono i contrassegni di classifica per esteso. |
| --- | --- |

14.

Contrassegni di classifica abbreviati standard possono essere usati per indicare il livello di classifica di singoli paragrafi di un testo. Le abbreviazioni non sostituiscono i contrassegni di classifica per esteso.

| 15. | Le seguenti abbreviazioni standard possono essere usate nei documenti classificati UE per indicare il livello di classifica di sezioni o parti del testo di dimensioni inferiori a una pagina:






  TRES SECRET UE/EU TOP SECRET | TS—UE/EU—TS |
| --- | --- | --- |
| SECRET UE/EU SECRET | S—UE/EU—S |
| CONFIDENTIEL UE/EU CONFIDENTIAL | C—UE/EU—C |
| RESTREINT UE/EU RESTRICTED | R—UE/EU—R |

15.

Le seguenti abbreviazioni standard possono essere usate nei documenti classificati UE per indicare il livello di classifica di sezioni o parti del testo di dimensioni inferiori a una pagina:

TRES SECRET UE/EU TOP SECRET

TS—UE/EU—TS

SECRET UE/EU SECRET

S—UE/EU—S

CONFIDENTIEL UE/EU CONFIDENTIAL

C—UE/EU—C

RESTREINT UE/EU RESTRICTED

R—UE/EU—R

Creazione di ICUE

| 16. | Quando si produce un documento classificato UE:






  (a) | ciascuna pagina è contrassegnata chiaramente con il livello di classifica; |
| --- | --- | --- |

16.

Quando si produce un documento classificato UE:

(a)

ciascuna pagina è contrassegnata chiaramente con il livello di classifica;

| (b) | ciascuna pagina è numerata; |
| --- | --- |

(b)

ciascuna pagina è numerata;

| (c) | il documento reca un numero di riferimento e un oggetto che non è in sé un'informazione classificata, a meno che non sia contrassegnato come tale; |
| --- | --- |

(c)

il documento reca un numero di riferimento e un oggetto che non è in sé un'informazione classificata, a meno che non sia contrassegnato come tale;

| (d) | il documento è datato; |
| --- | --- |

(d)

il documento è datato;

| (e) | i documenti classificati di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, se devono essere distribuiti in più copie, recano un numero di copia su ciascuna pagina. |
| --- | --- |

(e)

i documenti classificati di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, se devono essere distribuiti in più copie, recano un numero di copia su ciascuna pagina.

| 17. | Qualora non sia possibile applicare il punto 16 alle ICUE, sono adottate altre misure appropriate conformemente agli orientamenti di sicurezza che devono essere stabiliti a norma della presente decisione. |
| --- | --- |

17.

Qualora non sia possibile applicare il punto 16 alle ICUE, sono adottate altre misure appropriate conformemente agli orientamenti di sicurezza che devono essere stabiliti a norma della presente decisione.

Declassamento e declassificazione delle ICUE

| 18. | Al momento della creazione l'originatore indica, laddove possibile e in particolare per le informazioni classificate RESTREINT UE/EU RESTRICTED, se le ICUE possono essere declassate o declassificate ad una certa data o in seguito ad un dato evento. |
| --- | --- |

18.

Al momento della creazione l'originatore indica, laddove possibile e in particolare per le informazioni classificate RESTREINT UE/EU RESTRICTED, se le ICUE possono essere declassate o declassificate ad una certa data o in seguito ad un dato evento.

| 19. | Il SEAE riesamina periodicamente le ICUE in suo possesso per accertare che il livello di classifica sia ancora applicabile. Il SEAE predispone un sistema per riesaminare il livello di classifica delle ICUE registrate che ha originato almeno ogni cinque anni. Tale riesame non è necessario se l'originatore ha indicato fin dall'inizio la data esatta in cui le informazioni saranno automaticamente declassate o declassificate e se le informazioni sono state contrassegnate di conseguenza. |
| --- | --- |

19.

Il SEAE riesamina periodicamente le ICUE in suo possesso per accertare che il livello di classifica sia ancora applicabile. Il SEAE predispone un sistema per riesaminare il livello di classifica delle ICUE registrate che ha originato almeno ogni cinque anni. Tale riesame non è necessario se l'originatore ha indicato fin dall'inizio la data esatta in cui le informazioni saranno automaticamente declassate o declassificate e se le informazioni sono state contrassegnate di conseguenza.

III.   REGISTRAZIONE DI ICUE A FINI DI SICUREZZA

| 20. | È istituito presso la sede centrale un ufficio centrale di registrazione. Per tutte le entità organizzative nel SEAE, nelle quali sono trattate ICUE, è istituito un ufficio di registrazione competente, subordinato all'ufficio centrale di registrazione, che provvede affinché le ICUE siano trattate conformemente alla presente decisione. Gli uffici di registrazione sono costituiti come zone protette definite nell'allegato A.
  Ciascuna delegazione dell'Unione istituisce il proprio ufficio di registrazione delle ICUE.
  Per questi uffici di registrazione l'autorità di sicurezza del SEAE designa un capo dell'ufficio di registrazione. |
| --- | --- |

20.

È istituito presso la sede centrale un ufficio centrale di registrazione. Per tutte le entità organizzative nel SEAE, nelle quali sono trattate ICUE, è istituito un ufficio di registrazione competente, subordinato all'ufficio centrale di registrazione, che provvede affinché le ICUE siano trattate conformemente alla presente decisione. Gli uffici di registrazione sono costituiti come zone protette definite nell'allegato A.

Ciascuna delegazione dell'Unione istituisce il proprio ufficio di registrazione delle ICUE.

Per questi uffici di registrazione l'autorità di sicurezza del SEAE designa un capo dell'ufficio di registrazione.

| 21. | Ai fini della presente decisione, per registrazione a fini di sicurezza («registrazione») s'intende l'applicazione di procedure che registrano il ciclo di vita delle informazioni, ivi comprese la diffusione e la distruzione. Nel caso di un CIS, le procedure di registrazione possono essere eseguite mediante procedure interne allo stesso CIS. |
| --- | --- |

21.

Ai fini della presente decisione, per registrazione a fini di sicurezza («registrazione») s'intende l'applicazione di procedure che registrano il ciclo di vita delle informazioni, ivi comprese la diffusione e la distruzione. Nel caso di un CIS, le procedure di registrazione possono essere eseguite mediante procedure interne allo stesso CIS.

| 22. | Tutto il materiale classificato di livello CONFIDENTIEL UE/EU CONFIDENTIAL e superiore è registrato quando entra o lascia un'entità organizzativa, comprese le delegazioni dell'Unione. Le informazioni classificate di livello TRES SECRET UE/EU TOP SECRET sono registrate in uffici di registrazione dedicati. |
| --- | --- |

22.

Tutto il materiale classificato di livello CONFIDENTIEL UE/EU CONFIDENTIAL e superiore è registrato quando entra o lascia un'entità organizzativa, comprese le delegazioni dell'Unione. Le informazioni classificate di livello TRES SECRET UE/EU TOP SECRET sono registrate in uffici di registrazione dedicati.

| 23. | L'ufficio centrale di registrazione costituisce, presso la sede centrale del SEAE, il principale punto di entrata e uscita degli scambi di informazioni classificate con Stati terzi e organizzazioni internazionali. Esso conserva una registrazione di tutti tali scambi. |
| --- | --- |

23.

L'ufficio centrale di registrazione costituisce, presso la sede centrale del SEAE, il principale punto di entrata e uscita degli scambi di informazioni classificate con Stati terzi e organizzazioni internazionali. Esso conserva una registrazione di tutti tali scambi.

| 24. | L'autorità di sicurezza del SEAE approva orientamenti di sicurezza sulla registrazione delle ICUE a fini di sicurezza, in conformità all'articolo 14 della presente decisione. |
| --- | --- |

24.

L'autorità di sicurezza del SEAE approva orientamenti di sicurezza sulla registrazione delle ICUE a fini di sicurezza, in conformità all'articolo 14 della presente decisione.

Uffici di registrazione TRES SECRET UE/EU TOP SECRET

| 25. | Nella sede centrale del SEAE è designato un ufficio centrale di registrazione che funge da autorità centrale ricevente e trasmittente per le informazioni classificate TRES SECRET UE/EU TOP SECRET. Per il trattamento delle informazioni a fini di registrazione possono essere designati, se necessario, uffici dipendenti. |
| --- | --- |

25.

Nella sede centrale del SEAE è designato un ufficio centrale di registrazione che funge da autorità centrale ricevente e trasmittente per le informazioni classificate TRES SECRET UE/EU TOP SECRET. Per il trattamento delle informazioni a fini di registrazione possono essere designati, se necessario, uffici dipendenti.

| 26. | Tali uffici dipendenti non possono trasmettere documenti di livello TRES SECRET UE/EU TOP SECRET direttamente ad altri uffici dipendenti dello stesso ufficio centrale di registrazione TRES SECRET UE/EU TOP SECRET o all'esterno senza l'approvazione esplicita e scritta di quest'ultimo. |
| --- | --- |

26.

Tali uffici dipendenti non possono trasmettere documenti di livello TRES SECRET UE/EU TOP SECRET direttamente ad altri uffici dipendenti dello stesso ufficio centrale di registrazione TRES SECRET UE/EU TOP SECRET o all'esterno senza l'approvazione esplicita e scritta di quest'ultimo.

IV.   RIPRODUZIONE E TRADUZIONE DI DOCUMENTI CLASSIFICATI UE

| 27. | I documenti di livello TRES SECRET UE/EU TOP SECRET possono essere riprodotti o tradotti solo previo consenso scritto dell'originatore. |
| --- | --- |

27.

I documenti di livello TRES SECRET UE/EU TOP SECRET possono essere riprodotti o tradotti solo previo consenso scritto dell'originatore.

| 28. | Se l'originatore di documenti classificati di livello SECRET UE/EU SECRET o inferiore non ha imposto limitazioni alla riproduzione o alla traduzione, detti documenti possono essere riprodotti o tradotti su istruzione del detentore. |
| --- | --- |

28.

Se l'originatore di documenti classificati di livello SECRET UE/EU SECRET o inferiore non ha imposto limitazioni alla riproduzione o alla traduzione, detti documenti possono essere riprodotti o tradotti su istruzione del detentore.

| 29. | Le misure di sicurezza applicabili al documento originale si applicano alle copie e alle traduzioni. Le copie di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono create solo da un competente ufficio di registrazione o ufficio di registrazione dipendente per mezzo di una fotocopiatrice protetta. Le copie devono essere registrate. |
| --- | --- |

29.

Le misure di sicurezza applicabili al documento originale si applicano alle copie e alle traduzioni. Le copie di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono create solo da un competente ufficio di registrazione o ufficio di registrazione dipendente per mezzo di una fotocopiatrice protetta. Le copie devono essere registrate.

V.   TRASPORTO DELLE ICUE

| 30. | Il trasporto di ICUE è soggetto alle misure di protezione menzionate nei punti da 32 a 42. Se le ICUE sono trasportate con mezzi elettronici, e in deroga all'articolo 7, paragrafo 4, dell'allegato A, le misure di protezione di seguito descritte possono essere integrate da opportune contromisure tecniche prescritte dall'autorità di sicurezza del SEAE per ridurre al minimo il rischio di perdita o di compromissione. |
| --- | --- |

30.

Il trasporto di ICUE è soggetto alle misure di protezione menzionate nei punti da 32 a 42. Se le ICUE sono trasportate con mezzi elettronici, e in deroga all'articolo 7, paragrafo 4, dell'allegato A, le misure di protezione di seguito descritte possono essere integrate da opportune contromisure tecniche prescritte dall'autorità di sicurezza del SEAE per ridurre al minimo il rischio di perdita o di compromissione.

| 31. | L'autorità di sicurezza del SEAE impartisce istruzioni relative al trasporto di ICUE conformemente alla presente decisione. |
| --- | --- |

31.

L'autorità di sicurezza del SEAE impartisce istruzioni relative al trasporto di ICUE conformemente alla presente decisione.

All'interno di un edificio o di un gruppo autonomo di edifici

| 32. | Le ICUE trasportate all'interno di un edificio o di un gruppo autonomo di edifici sono occultate per impedire che ne sia osservato il contenuto. |
| --- | --- |

32.

Le ICUE trasportate all'interno di un edificio o di un gruppo autonomo di edifici sono occultate per impedire che ne sia osservato il contenuto.

| 33. | All'interno di un edificio o di un gruppo autonomo di edifici, le informazioni classificate di livello TRES SECRET UE/EU TOP SECRET sono trasportate da persone in possesso del nulla osta di sicurezza di livello adatto in una busta protetta recante unicamente il nome del destinatario. |
| --- | --- |

33.

All'interno di un edificio o di un gruppo autonomo di edifici, le informazioni classificate di livello TRES SECRET UE/EU TOP SECRET sono trasportate da persone in possesso del nulla osta di sicurezza di livello adatto in una busta protetta recante unicamente il nome del destinatario.

All'interno dell'UE

| 34. | Le ICUE trasportate tra edifici o locali all'interno dell'UE sono racchiuse in plichi in modo da proteggerle da divulgazione non autorizzata. |
| --- | --- |

34.

Le ICUE trasportate tra edifici o locali all'interno dell'UE sono racchiuse in plichi in modo da proteggerle da divulgazione non autorizzata.

| 35. | Il trasporto di informazioni classificate fino al livello SECRET UE/EU SECRET all'interno dell'UE è effettuato secondo una delle seguenti modalità:






  (a) | corriere militare, governativo o valigia diplomatica, secondo i casi; |
| --- | --- | --- |

35.

Il trasporto di informazioni classificate fino al livello SECRET UE/EU SECRET all'interno dell'UE è effettuato secondo una delle seguenti modalità:

(a)

corriere militare, governativo o valigia diplomatica, secondo i casi;

| (b) | trasporto a mano, a condizione che:






  (i) | le ICUE siano sempre detenute dal latore, a meno che non siano conservate conformemente ai requisiti di cui all'allegato A II; |
| --- | --- | --- |

(b)

trasporto a mano, a condizione che:

(i)

le ICUE siano sempre detenute dal latore, a meno che non siano conservate conformemente ai requisiti di cui all'allegato A II;

| (ii) | le ICUE non siano aperte durante il trasporto né lette in luoghi pubblici; |
| --- | --- |

(ii)

le ICUE non siano aperte durante il trasporto né lette in luoghi pubblici;

| (iii) | le persone siano dotate del nulla osta di sicurezza del livello adatto e informate delle loro responsabilità in materia di sicurezza; |
| --- | --- |

(iii)

le persone siano dotate del nulla osta di sicurezza del livello adatto e informate delle loro responsabilità in materia di sicurezza;

| (iv) | le persone dispongano, se necessario, di un certificato di corriere; |
| --- | --- |

(iv)

le persone dispongano, se necessario, di un certificato di corriere;

| (c) | servizi postali o servizi di corriere commerciale, a condizione che:






  (i) | siano approvati dall'NSA competente in conformità alle disposizioni legislative e regolamentari nazionali; |
| --- | --- | --- |

(c)

servizi postali o servizi di corriere commerciale, a condizione che:

(i)

siano approvati dall'NSA competente in conformità alle disposizioni legislative e regolamentari nazionali;

| (ii) | applichino adeguate misure di protezione in conformità dei requisiti minimi da stabilire negli orientamenti di sicurezza a norma dell'articolo 21, paragrafo 1 della presente decisione. |
| --- | --- |

(ii)

applichino adeguate misure di protezione in conformità dei requisiti minimi da stabilire negli orientamenti di sicurezza a norma dell'articolo 21, paragrafo 1 della presente decisione.

In caso di trasporto da uno Stato membro all'altro, le disposizioni della lettera c) sono limitate alle informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL.

| 36. | Il materiale classificato CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET (ad esempio attrezzature o macchinari), che non può essere trasportato secondo le modalità di cui al punto 34, è trasportato come carico da società di vettori commerciali conformemente all'allegato A V. |
| --- | --- |

36.

Il materiale classificato CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET (ad esempio attrezzature o macchinari), che non può essere trasportato secondo le modalità di cui al punto 34, è trasportato come carico da società di vettori commerciali conformemente all'allegato A V.

| 37. | Il trasporto di informazioni classificate TRES SECRET UE/EU TOP SECRET tra edifici o locali all'interno dell'UE è effettuato per corriere militare, governativo o valigia diplomatica, secondo i casi. |
| --- | --- |

37.

Il trasporto di informazioni classificate TRES SECRET UE/EU TOP SECRET tra edifici o locali all'interno dell'UE è effettuato per corriere militare, governativo o valigia diplomatica, secondo i casi.

Dall'UE al territorio di uno Stato terzo, o tra entità dell'UE in Stati terzi

| 38. | Le ICUE trasportate dall'UE al territorio di uno Stato terzo, o tra entità dell'UE in Stati terzi, sono racchiuse in plichi in modo da proteggerle da divulgazione non autorizzata. |
| --- | --- |

38.

Le ICUE trasportate dall'UE al territorio di uno Stato terzo, o tra entità dell'UE in Stati terzi, sono racchiuse in plichi in modo da proteggerle da divulgazione non autorizzata.

| 39. | Il trasporto di informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET dall'UE al territorio di uno Stato terzo, e il trasporto di ICUE classificate fino al livello SECRET UE/EU SECRET tra entità dell'UE in Stati terzi, è effettuato secondo una delle seguenti modalità:






  (a) | corriere militare o valigia diplomatica; |
| --- | --- | --- |

39.

Il trasporto di informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET dall'UE al territorio di uno Stato terzo, e il trasporto di ICUE classificate fino al livello SECRET UE/EU SECRET tra entità dell'UE in Stati terzi, è effettuato secondo una delle seguenti modalità:

(a)

corriere militare o valigia diplomatica;

| (b) | trasporto a mano, a condizione che:






  (i) | il plico rechi un sigillo ufficiale o l'indicazione che è una consegna ufficiale non soggetta a controllo doganale o di sicurezza; |
| --- | --- | --- |

(b)

trasporto a mano, a condizione che:

(i)

il plico rechi un sigillo ufficiale o l'indicazione che è una consegna ufficiale non soggetta a controllo doganale o di sicurezza;

| (ii) | le persone dispongano di un certificato di corriere che identifica il plico e le autorizza a trasportarlo; |
| --- | --- |

(ii)

le persone dispongano di un certificato di corriere che identifica il plico e le autorizza a trasportarlo;

| (iii) | le ICUE siano sempre detenute dal latore, a meno che non siano conservate conformemente ai requisiti di cui all'allegato A II; |
| --- | --- |

(iii)

le ICUE siano sempre detenute dal latore, a meno che non siano conservate conformemente ai requisiti di cui all'allegato A II;

| (iv) | le ICUE non siano aperte durante il trasporto né lette in luoghi pubblici; e |
| --- | --- |

(iv)

le ICUE non siano aperte durante il trasporto né lette in luoghi pubblici; e

| (v) | le persone siano dotate del nulla osta di sicurezza del livello adatto e informate delle loro responsabilità in materia di sicurezza. |
| --- | --- |

(v)

le persone siano dotate del nulla osta di sicurezza del livello adatto e informate delle loro responsabilità in materia di sicurezza.

| 40. | Il trasporto di informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET comunicate dall'UE a uno Stato terzo o a un'organizzazione internazionale è conforme alle pertinenti disposizioni previste in un accordo sulla sicurezza delle informazioni o un'intesa amministrativa in conformità all'articolo 10, paragrafo 2, dell'allegato A. |
| --- | --- |

40.

Il trasporto di informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET comunicate dall'UE a uno Stato terzo o a un'organizzazione internazionale è conforme alle pertinenti disposizioni previste in un accordo sulla sicurezza delle informazioni o un'intesa amministrativa in conformità all'articolo 10, paragrafo 2, dell'allegato A.

| 41. | Le informazioni classificate RESTREINT UE/EU RESTRICTED possono essere trasportate dall'UE al territorio di uno Stato terzo anche con servizi postali o servizi di corriere commerciale. |
| --- | --- |

41.

Le informazioni classificate RESTREINT UE/EU RESTRICTED possono essere trasportate dall'UE al territorio di uno Stato terzo anche con servizi postali o servizi di corriere commerciale.

| 42. | Il trasporto di informazioni classificate TRES SECRET UE/EU TOP SECRET dall'UE al territorio di uno Stato terzo, o tra entità dell'UE in Stati terzi, è effettuato per corriere militare o valigia diplomatica. |
| --- | --- |

42.

Il trasporto di informazioni classificate TRES SECRET UE/EU TOP SECRET dall'UE al territorio di uno Stato terzo, o tra entità dell'UE in Stati terzi, è effettuato per corriere militare o valigia diplomatica.

VI.   DISTRUZIONE DI ICUE

| 43. | I documenti classificati UE che non sono più necessari possono essere distrutti, fatti salvi norme e regolamenti pertinenti in materia di archiviazione. |
| --- | --- |

43.

I documenti classificati UE che non sono più necessari possono essere distrutti, fatti salvi norme e regolamenti pertinenti in materia di archiviazione.

| 44. | I documenti soggetti a registrazione ai sensi dell'articolo 7, paragrafo 2, dell'allegato A sono distrutti dall'ufficio di registrazione competente su istruzione del detentore o di un'autorità competente. I repertori e gli altri dati sulla registrazione sono aggiornati di conseguenza. |
| --- | --- |

44.

I documenti soggetti a registrazione ai sensi dell'articolo 7, paragrafo 2, dell'allegato A sono distrutti dall'ufficio di registrazione competente su istruzione del detentore o di un'autorità competente. I repertori e gli altri dati sulla registrazione sono aggiornati di conseguenza.

| 45. | Per i documenti classificati SECRET UE/EU SECRET o TRES SECRET UE/EU TOP SECRET la distruzione avviene in presenza di un testimone che possiede un nulla osta di sicurezza almeno fino al livello di classifica del documento da distruggere. |
| --- | --- |

45.

Per i documenti classificati SECRET UE/EU SECRET o TRES SECRET UE/EU TOP SECRET la distruzione avviene in presenza di un testimone che possiede un nulla osta di sicurezza almeno fino al livello di classifica del documento da distruggere.

| 46. | L'ufficiale del registro e il testimone, laddove sia richiesta la presenza di quest'ultimo, firmano un certificato di distruzione che è archiviato presso l'ufficio di registrazione. L'ufficio di registrazione conserva i certificati di distruzione dei documenti TRES SECRET UE/EU TOP SECRET per un periodo di almeno dieci anni e quelli dei documenti CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET per un periodo di almeno cinque anni. |
| --- | --- |

46.

L'ufficiale del registro e il testimone, laddove sia richiesta la presenza di quest'ultimo, firmano un certificato di distruzione che è archiviato presso l'ufficio di registrazione. L'ufficio di registrazione conserva i certificati di distruzione dei documenti TRES SECRET UE/EU TOP SECRET per un periodo di almeno dieci anni e quelli dei documenti CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET per un periodo di almeno cinque anni.

| 47. | I documenti classificati, compresi quelli di livello RESTREINT UE/EU RESTRICTED, sono distrutti con metodi conformi alle pertinenti norme dell'Unione o equivalenti ovvero approvati dagli Stati membri conformemente alle norme tecniche nazionali per impedirne la ricostituzione integrale o parziale. |
| --- | --- |

47.

I documenti classificati, compresi quelli di livello RESTREINT UE/EU RESTRICTED, sono distrutti con metodi conformi alle pertinenti norme dell'Unione o equivalenti ovvero approvati dagli Stati membri conformemente alle norme tecniche nazionali per impedirne la ricostituzione integrale o parziale.

| 48. | La distruzione dei supporti informatici delle ICUE è effettuata secondo procedure approvate dall'autorità di sicurezza del SEAE. |
| --- | --- |

48.

La distruzione dei supporti informatici delle ICUE è effettuata secondo procedure approvate dall'autorità di sicurezza del SEAE.

VII.   ISPEZIONI DI SICUREZZA

Ispezioni di sicurezza del SEAE

| 49. | Conformemente all'articolo 16 della presente decisione, le ispezioni di sicurezza del SEAE comprendono:






  (a) | ispezioni di sicurezza generali, il cui obiettivo è valutare il livello di sicurezza generale della sede centrale del SEAE, delle delegazioni dell'Unione e di tutti i locali accessori o collegati, soprattutto al fine di valutare l'efficacia delle misure di sicurezza attuate per proteggere gli interessi del SEAE in materia di sicurezza; |
| --- | --- | --- |

49.

Conformemente all'articolo 16 della presente decisione, le ispezioni di sicurezza del SEAE comprendono:

(a)

ispezioni di sicurezza generali, il cui obiettivo è valutare il livello di sicurezza generale della sede centrale del SEAE, delle delegazioni dell'Unione e di tutti i locali accessori o collegati, soprattutto al fine di valutare l'efficacia delle misure di sicurezza attuate per proteggere gli interessi del SEAE in materia di sicurezza;

| (b) | ispezioni di sicurezza delle ICUE, il cui scopo è valutare, generalmente in vista di un accreditamento, l'efficacia delle misure attuate per la protezione delle ICUE nella sede centrale del SEAE e nelle delegazioni dell'Unione.
  In particolare, tali ispezioni sono effettuate, tra l'altro, al fine di:






  (i) | garantire il rispetto delle norme minime per proteggere le ICUE stabilite dalla presente decisione; |
| --- | --- | --- |

(b)

ispezioni di sicurezza delle ICUE, il cui scopo è valutare, generalmente in vista di un accreditamento, l'efficacia delle misure attuate per la protezione delle ICUE nella sede centrale del SEAE e nelle delegazioni dell'Unione.

In particolare, tali ispezioni sono effettuate, tra l'altro, al fine di:

(i)

garantire il rispetto delle norme minime per proteggere le ICUE stabilite dalla presente decisione;

| (ii) | sottolineare l'importanza della sicurezza e della gestione efficiente del rischio presso le entità ispezionate; |
| --- | --- |

(ii)

sottolineare l'importanza della sicurezza e della gestione efficiente del rischio presso le entità ispezionate;

| (iii) | raccomandare contromisure per attenuare l'impatto specifico della perdita di riservatezza, integrità o disponibilità delle informazioni classificate; e |
| --- | --- |

(iii)

raccomandare contromisure per attenuare l'impatto specifico della perdita di riservatezza, integrità o disponibilità delle informazioni classificate; e

| (iv) | rafforzare i programmi in corso di formazione e sensibilizzazione alla sicurezza, condotti dalle autorità di sicurezza. |
| --- | --- |

(iv)

rafforzare i programmi in corso di formazione e sensibilizzazione alla sicurezza, condotti dalle autorità di sicurezza.

Svolgimento delle ispezioni di sicurezza e stesura dei rapporti di ispezione del SEAE

| 50. | Le ispezioni di sicurezza del SEAE sono condotte da una squadra addetta della direzione del SEAE responsabile della sicurezza e, se necessario, con il sostegno di esperti in materia di sicurezza di altre istituzioni dell'UE o degli Stati membri.
  La squadra addetta all'ispezione ha accesso a tutti i luoghi in cui sono trattate ICUE, in particolare gli uffici di registrazione e i punti di presenza del CIS. |
| --- | --- |

50.

Le ispezioni di sicurezza del SEAE sono condotte da una squadra addetta della direzione del SEAE responsabile della sicurezza e, se necessario, con il sostegno di esperti in materia di sicurezza di altre istituzioni dell'UE o degli Stati membri.

La squadra addetta all'ispezione ha accesso a tutti i luoghi in cui sono trattate ICUE, in particolare gli uffici di registrazione e i punti di presenza del CIS.

| 51. | Le ispezioni di sicurezza del SEAE nelle delegazioni dell'Unione possono essere effettuate, ove necessario, con il sostegno dei responsabili della sicurezza presso le ambasciate degli Stati membri nei paesi terzi. |
| --- | --- |

51.

Le ispezioni di sicurezza del SEAE nelle delegazioni dell'Unione possono essere effettuate, ove necessario, con il sostegno dei responsabili della sicurezza presso le ambasciate degli Stati membri nei paesi terzi.

| 52. | Prima della fine di ciascun anno civile, l'autorità di sicurezza del SEAE adotta un programma per le ispezioni di sicurezza del SEAE per l'anno successivo. |
| --- | --- |

52.

Prima della fine di ciascun anno civile, l'autorità di sicurezza del SEAE adotta un programma per le ispezioni di sicurezza del SEAE per l'anno successivo.

| 53. | Ogniqualvolta sia necessario, l'autorità di sicurezza del SEAE può organizzare ispezioni di sicurezza non contemplate nel programma suddetto. |
| --- | --- |

53.

Ogniqualvolta sia necessario, l'autorità di sicurezza del SEAE può organizzare ispezioni di sicurezza non contemplate nel programma suddetto.

| 54. | Al termine dell'ispezione di sicurezza le conclusioni e raccomandazioni principali sono presentate all'entità ispezionata. Successivamente, la squadra addetta all'ispezione redige un rapporto sull'ispezione. Qualora siano state proposte misure correttive e raccomandazioni, il rapporto contiene precisazioni sufficienti a sostegno delle conclusioni. Il rapporto è trasmesso all'autorità di sicurezza del SEAE e al responsabile dell'entità ispezionata.
  Un regolare rapporto è stilato sotto la responsabilità della direzione del SEAE responsabile della sicurezza per evidenziare gli insegnamenti tratti dalle ispezioni condotte durante un determinato periodo ed esaminato dal Comitato per la sicurezza del SEAE. |
| --- | --- |

54.

Al termine dell'ispezione di sicurezza le conclusioni e raccomandazioni principali sono presentate all'entità ispezionata. Successivamente, la squadra addetta all'ispezione redige un rapporto sull'ispezione. Qualora siano state proposte misure correttive e raccomandazioni, il rapporto contiene precisazioni sufficienti a sostegno delle conclusioni. Il rapporto è trasmesso all'autorità di sicurezza del SEAE e al responsabile dell'entità ispezionata.

Un regolare rapporto è stilato sotto la responsabilità della direzione del SEAE responsabile della sicurezza per evidenziare gli insegnamenti tratti dalle ispezioni condotte durante un determinato periodo ed esaminato dal Comitato per la sicurezza del SEAE.

Svolgimento delle ispezioni di sicurezza, e stesura dei rapporti d'ispezione, nelle agenzie e organi UE istituiti ai sensi del titolo V, capo 2, del TUE

| 55. | La direzione del SEAE responsabile della sicurezza può, se opportuno, designare esperti a partecipare a squadre comuni UE che effettuano ispezioni nelle agenzie e negli organi dell'UE istituiti ai sensi del titolo V, capo 2, del TUE. |
| --- | --- |

55.

La direzione del SEAE responsabile della sicurezza può, se opportuno, designare esperti a partecipare a squadre comuni UE che effettuano ispezioni nelle agenzie e negli organi dell'UE istituiti ai sensi del titolo V, capo 2, del TUE.

Lista di controllo delle ispezioni di sicurezza del SEAE

| 56. | La direzione del SEAE responsabile della sicurezza elabora e aggiorna la lista di controllo delle ispezioni di sicurezza per i punti da verificare nel corso di un'ispezione del SEAE. La lista è trasmessa al Comitato per la sicurezza del SEAE. |
| --- | --- |

56.

La direzione del SEAE responsabile della sicurezza elabora e aggiorna la lista di controllo delle ispezioni di sicurezza per i punti da verificare nel corso di un'ispezione del SEAE. La lista è trasmessa al Comitato per la sicurezza del SEAE.

| 57. | Le informazioni per completare la lista di controllo sono ottenute in particolare durante l'ispezione dal personale addetto alla gestione della sicurezza dell'entità ispezionata. Una volta completata con le risposte dettagliate ottenute, la lista di controllo è classificata, d'intesa con l'entità ispezionata. Essa non fa parte del rapporto di ispezione. |
| --- | --- |

57.

Le informazioni per completare la lista di controllo sono ottenute in particolare durante l'ispezione dal personale addetto alla gestione della sicurezza dell'entità ispezionata. Una volta completata con le risposte dettagliate ottenute, la lista di controllo è classificata, d'intesa con l'entità ispezionata. Essa non fa parte del rapporto di ispezione.

ALLEGATO A IV

PROTEZIONE DELLE ICUE TRATTATE NEI CIS

I.   INTRODUZIONE

| 1. | Il presente allegato stabilisce le disposizioni di attuazione dell'articolo 8 dell'allegato A. |
| --- | --- |

1.

Il presente allegato stabilisce le disposizioni di attuazione dell'articolo 8 dell'allegato A.

| 2. | Le proprietà e i concetti seguenti in materia di garanzia di sicurezza delle informazioni (IA) sono essenziali per la sicurezza e il corretto funzionamento operativo dei sistemi di comunicazione e di informazione (CIS):






  Autenticità: | garanzia che l'informazione è veritiera e proviene da fonti in buona fede; |
| --- | --- | --- |
| Disponibilità: | proprietà di accessibilità e utilizzabilità su richiesta di un'entità autorizzata; |
| Riservatezza: | proprietà per cui l'informazione non è divulgata a persone, entità o procedure non autorizzate; |
| Integrità: | proprietà di tutela della precisione e della completezza delle informazioni e delle risorse; |
| Non disconoscibilità: | capacità di provare che un'azione o un evento sono effettivamente accaduti e non possono essere negati in seguito. |

2.

Le proprietà e i concetti seguenti in materia di garanzia di sicurezza delle informazioni (IA) sono essenziali per la sicurezza e il corretto funzionamento operativo dei sistemi di comunicazione e di informazione (CIS):

Autenticità:

garanzia che l'informazione è veritiera e proviene da fonti in buona fede;

Disponibilità:

proprietà di accessibilità e utilizzabilità su richiesta di un'entità autorizzata;

Riservatezza:

proprietà per cui l'informazione non è divulgata a persone, entità o procedure non autorizzate;

Integrità:

proprietà di tutela della precisione e della completezza delle informazioni e delle risorse;

Non disconoscibilità:

capacità di provare che un'azione o un evento sono effettivamente accaduti e non possono essere negati in seguito.

II   PRINCIPI DI GARANZIA DI SICUREZZA DELLE INFORMAZIONI

| 3. | Le disposizioni esposte di seguito sono alla base della sicurezza di tutti i CIS che trattano ICUE. I requisiti d'attuazione dettagliati di queste disposizioni sono definiti nelle politiche e negli orientamenti di sicurezza in materia di garanzia di sicurezza delle informazioni (IA). |
| --- | --- |

3.

Le disposizioni esposte di seguito sono alla base della sicurezza di tutti i CIS che trattano ICUE. I requisiti d'attuazione dettagliati di queste disposizioni sono definiti nelle politiche e negli orientamenti di sicurezza in materia di garanzia di sicurezza delle informazioni (IA).

Gestione dei rischi per la sicurezza

| 4. | La gestione del rischio per la sicurezza è parte integrante della definizione, dello sviluppo, del funzionamento e della manutenzione dei CIS. La gestione del rischio (valutazione, trattamento, accettazione e comunicazione) è condotta congiuntamente, nel quadro di un processo iterativo, da rappresentanti dei proprietari dei sistemi, autorità di progetto, autorità operative e autorità preposte all'approvazione di sicurezza, avvalendosi di una procedura comprovata, trasparente e ben comprensibile di valutazione del rischio. La portata del CIS e delle relative risorse è definita esplicitamente all'inizio della procedura di gestione del rischio. |
| --- | --- |

4.

La gestione del rischio per la sicurezza è parte integrante della definizione, dello sviluppo, del funzionamento e della manutenzione dei CIS. La gestione del rischio (valutazione, trattamento, accettazione e comunicazione) è condotta congiuntamente, nel quadro di un processo iterativo, da rappresentanti dei proprietari dei sistemi, autorità di progetto, autorità operative e autorità preposte all'approvazione di sicurezza, avvalendosi di una procedura comprovata, trasparente e ben comprensibile di valutazione del rischio. La portata del CIS e delle relative risorse è definita esplicitamente all'inizio della procedura di gestione del rischio.

| 5. | Le autorità competenti del SEAE esaminano le potenziali minacce ai CIS e tengono aggiornate e complete le valutazioni delle minacce corrispondenti all'ambiente operativo del momento. Esse tengono costantemente aggiornate le proprie conoscenze relative alle questioni della vulnerabilità e rivedono periodicamente la valutazione di vulnerabilità alla luce dell'evoluzione dell'ambiente di tecnologia dell'informazione (IT). |
| --- | --- |

5.

Le autorità competenti del SEAE esaminano le potenziali minacce ai CIS e tengono aggiornate e complete le valutazioni delle minacce corrispondenti all'ambiente operativo del momento. Esse tengono costantemente aggiornate le proprie conoscenze relative alle questioni della vulnerabilità e rivedono periodicamente la valutazione di vulnerabilità alla luce dell'evoluzione dell'ambiente di tecnologia dell'informazione (IT).

| 6. | La gestione del rischio di sicurezza è volta ad applicare una serie di misure di sicurezza che risultino in un equilibrio soddisfacente tra le esigenze degli utenti e il rischio per la sicurezza residuo. |
| --- | --- |

6.

La gestione del rischio di sicurezza è volta ad applicare una serie di misure di sicurezza che risultino in un equilibrio soddisfacente tra le esigenze degli utenti e il rischio per la sicurezza residuo.

| 7. | I requisiti, la portata e il grado di dettaglio specifici determinati dall'autorità di accreditamento di sicurezza (SAA) competente per l'accreditamento di un CIS sono commisurati al rischio valutato, tenendo conto di tutti i fattori pertinenti, tra cui il livello di classifica delle ICUE trattate nel CIS. L'accreditamento comprende una dichiarazione formale sul rischio residuo e l'accettazione di tale rischio da parte di un'autorità responsabile. |
| --- | --- |

7.

I requisiti, la portata e il grado di dettaglio specifici determinati dall'autorità di accreditamento di sicurezza (SAA) competente per l'accreditamento di un CIS sono commisurati al rischio valutato, tenendo conto di tutti i fattori pertinenti, tra cui il livello di classifica delle ICUE trattate nel CIS. L'accreditamento comprende una dichiarazione formale sul rischio residuo e l'accettazione di tale rischio da parte di un'autorità responsabile.

Sicurezza lungo tutto il ciclo di vita del CIS

| 8. | La garanzia della sicurezza è un obbligo lungo tutto il ciclo di vita del CIS, dall'inizio al ritiro dal servizio. |
| --- | --- |

8.

La garanzia della sicurezza è un obbligo lungo tutto il ciclo di vita del CIS, dall'inizio al ritiro dal servizio.

| 9. | Il ruolo e l'interazione di ciascun attore di un CIS con riferimento alla sua sicurezza è individuato per ciascuna fase del ciclo di vita. |
| --- | --- |

9.

Il ruolo e l'interazione di ciascun attore di un CIS con riferimento alla sua sicurezza è individuato per ciascuna fase del ciclo di vita.

| 10. | Qualsiasi CIS, comprese le relative misure di sicurezza tecniche e non tecniche, è soggetto a prove di sicurezza durante il processo di accreditamento per assicurarsi che le misure di sicurezza attuate rispondano a un adeguato livello di garanzia e per verificare che sia applicato, integrato e configurato correttamente. |
| --- | --- |

10.

Qualsiasi CIS, comprese le relative misure di sicurezza tecniche e non tecniche, è soggetto a prove di sicurezza durante il processo di accreditamento per assicurarsi che le misure di sicurezza attuate rispondano a un adeguato livello di garanzia e per verificare che sia applicato, integrato e configurato correttamente.

| 11. | Le valutazioni, le ispezioni e le verifiche di sicurezza sono effettuate periodicamente durante il funzionamento e la manutenzione di un CIS nonché quando si verificano circostanze eccezionali. |
| --- | --- |

11.

Le valutazioni, le ispezioni e le verifiche di sicurezza sono effettuate periodicamente durante il funzionamento e la manutenzione di un CIS nonché quando si verificano circostanze eccezionali.

| 12. | La documentazione di sicurezza di un CIS evolve durante il suo ciclo di vita come parte integrante del processo di gestione dei cambiamenti e delle configurazioni. |
| --- | --- |

12.

La documentazione di sicurezza di un CIS evolve durante il suo ciclo di vita come parte integrante del processo di gestione dei cambiamenti e delle configurazioni.

Migliori prassi

| 13. | Il SEAE collabora con il Segretariato generale del Consiglio, la Commissione e gli Stati membri per sviluppare migliori prassi di protezione delle ICUE trattate nei CIS. Gli orientamenti sulle migliori prassi stabiliscono misure di sicurezza tecniche, materiali, organizzative e procedurali per i CIS di comprovata efficacia nel combattere determinate minacce e vulnerabilità. |
| --- | --- |

13.

Il SEAE collabora con il Segretariato generale del Consiglio, la Commissione e gli Stati membri per sviluppare migliori prassi di protezione delle ICUE trattate nei CIS. Gli orientamenti sulle migliori prassi stabiliscono misure di sicurezza tecniche, materiali, organizzative e procedurali per i CIS di comprovata efficacia nel combattere determinate minacce e vulnerabilità.

| 14. | La protezione delle ICUE trattate nei CIS si avvale dell'esperienza maturata dalle entità coinvolte nell'IA all'interno e al di fuori dell'UE. |
| --- | --- |

14.

La protezione delle ICUE trattate nei CIS si avvale dell'esperienza maturata dalle entità coinvolte nell'IA all'interno e al di fuori dell'UE.

| 15. | La diffusione e successiva attuazione delle migliori prassi favorisce il raggiungimento di un livello equivalente di garanzia di sicurezza dei vari CIS, gestiti dal SEAE, che trattano ICUE. |
| --- | --- |

15.

La diffusione e successiva attuazione delle migliori prassi favorisce il raggiungimento di un livello equivalente di garanzia di sicurezza dei vari CIS, gestiti dal SEAE, che trattano ICUE.

Difesa in profondità

| 16. | Per attenuare il rischio per i CIS è attuata una serie di misure di sicurezza tecniche e non tecniche, organizzate come fasi multiple di difesa. Tali fasi comprendono:
  (a)   
  la deterrenza
  : misure di sicurezza volte a scoraggiare progetti ostili di attacco ai CIS;
  (b)   
  la prevenzione
  : misure di sicurezza volte a ostacolare o bloccare un attacco ai CIS;
  (c)   
  il rilevamento
  : misure di sicurezza volte a scoprire un attacco ai CIS;
  (d)   
  la resilienza
  : misure di sicurezza volte a limitare l'impatto di un attacco ad una serie minima di informazioni o risorse del CIS evitando ulteriori danni; e
  (e)   
  il ripristino
  : misure di sicurezza volte a ripristinare il funzionamento in sicurezza del CIS.
  Il livello di rigore e applicabilità di tali misure di sicurezza è determinato in base a una valutazione del rischio. |
| --- | --- |

16.

Per attenuare il rischio per i CIS è attuata una serie di misure di sicurezza tecniche e non tecniche, organizzate come fasi multiple di difesa. Tali fasi comprendono:

(a)   
  la deterrenza
  : misure di sicurezza volte a scoraggiare progetti ostili di attacco ai CIS;

(b)   
  la prevenzione
  : misure di sicurezza volte a ostacolare o bloccare un attacco ai CIS;

(c)   
  il rilevamento
  : misure di sicurezza volte a scoprire un attacco ai CIS;

(d)   
  la resilienza
  : misure di sicurezza volte a limitare l'impatto di un attacco ad una serie minima di informazioni o risorse del CIS evitando ulteriori danni; e

(e)   
  il ripristino
  : misure di sicurezza volte a ripristinare il funzionamento in sicurezza del CIS.

Il livello di rigore e applicabilità di tali misure di sicurezza è determinato in base a una valutazione del rischio.

| 17. | Le autorità competenti del SEAE assicurano di poter rispondere a incidenti che trascendano i limiti organizzativi e nazionali, coordinando le risposte e mettendo in comune le informazioni sui suddetti incidenti e il relativo rischio (capacità di risposta in caso di emergenza informatica). |
| --- | --- |

17.

Le autorità competenti del SEAE assicurano di poter rispondere a incidenti che trascendano i limiti organizzativi e nazionali, coordinando le risposte e mettendo in comune le informazioni sui suddetti incidenti e il relativo rischio (capacità di risposta in caso di emergenza informatica).

Principio di essenzialità e privilegio minimo

| 18. | Per evitare rischi inutili sono attuate solo le funzionalità, i dispositivi e i servizi per soddisfare i requisiti operativi. |
| --- | --- |

18.

Per evitare rischi inutili sono attuate solo le funzionalità, i dispositivi e i servizi per soddisfare i requisiti operativi.

| 19. | Agli utenti dei CIS e alle procedure automatizzate sono forniti solo l'accesso, i privilegi o le autorizzazioni necessari allo svolgimento dei loro compiti, onde limitare i danni derivanti da incidenti, errori o uso non autorizzato delle risorse dei CIS. |
| --- | --- |

19.

Agli utenti dei CIS e alle procedure automatizzate sono forniti solo l'accesso, i privilegi o le autorizzazioni necessari allo svolgimento dei loro compiti, onde limitare i danni derivanti da incidenti, errori o uso non autorizzato delle risorse dei CIS.

| 20. | Le procedure di registrazione effettuate dal CIS, ove necessario, sono verificate nel quadro del processo di accreditamento. |
| --- | --- |

20.

Le procedure di registrazione effettuate dal CIS, ove necessario, sono verificate nel quadro del processo di accreditamento.

Sensibilizzazione alla garanzia di sicurezza delle informazioni

| 21. | La sensibilizzazione ai rischi e alle misure di sicurezza disponibili è la prima linea di difesa per la sicurezza dei CIS. In particolare tutto il personale attivo nel ciclo di vita dei CIS, compresi gli utenti, è consapevole di quanto segue:






  (a) | le disfunzioni della sicurezza possono danneggiare gravemente i CIS e l'intera organizzazione; |
| --- | --- | --- |

21.

La sensibilizzazione ai rischi e alle misure di sicurezza disponibili è la prima linea di difesa per la sicurezza dei CIS. In particolare tutto il personale attivo nel ciclo di vita dei CIS, compresi gli utenti, è consapevole di quanto segue:

(a)

le disfunzioni della sicurezza possono danneggiare gravemente i CIS e l'intera organizzazione;

| (b) | il potenziale danno ad altri che può derivare dall'interconnettività e dall'interdipendenza; e |
| --- | --- |

(b)

il potenziale danno ad altri che può derivare dall'interconnettività e dall'interdipendenza; e

| (c) | la responsabilità personale e l'obbligo di rendere conto della sicurezza dei CIS secondo i rispettivi ruoli all'interno dei sistemi e delle procedure. |
| --- | --- |

(c)

la responsabilità personale e l'obbligo di rendere conto della sicurezza dei CIS secondo i rispettivi ruoli all'interno dei sistemi e delle procedure.

| 22. | Per assicurare che le responsabilità in materia di sicurezza siano ben comprese, tutto il personale coinvolto, ivi compresi i quadri dirigenziali e gli utenti dei CIS, è tenuto a seguire corsi di formazione e sensibilizzazione all'IA. |
| --- | --- |

22.

Per assicurare che le responsabilità in materia di sicurezza siano ben comprese, tutto il personale coinvolto, ivi compresi i quadri dirigenziali e gli utenti dei CIS, è tenuto a seguire corsi di formazione e sensibilizzazione all'IA.

Valutazione e approvazione dei prodotti di sicurezza IT

| 23. | Il livello necessario di fiducia nelle misure di sicurezza, definito quale livello di garanzia, è determinato in base ai risultati della procedura di gestione del rischio e conformemente alle politiche e agli orientamenti di sicurezza pertinenti. |
| --- | --- |

23.

Il livello necessario di fiducia nelle misure di sicurezza, definito quale livello di garanzia, è determinato in base ai risultati della procedura di gestione del rischio e conformemente alle politiche e agli orientamenti di sicurezza pertinenti.

| 24. | Il livello di garanzia è verificato tramite procedure e metodologie riconosciute internazionalmente o approvate a livello nazionale. Ciò comprende in primo luogo valutazione, controlli e verifiche. |
| --- | --- |

24.

Il livello di garanzia è verificato tramite procedure e metodologie riconosciute internazionalmente o approvate a livello nazionale. Ciò comprende in primo luogo valutazione, controlli e verifiche.

| 25. | I prodotti crittografici per la protezione delle ICUE sono valutati e approvati dall'autorità di approvazione degli apparati crittografici (CAA) nazionale di uno Stato membro. |
| --- | --- |

25.

I prodotti crittografici per la protezione delle ICUE sono valutati e approvati dall'autorità di approvazione degli apparati crittografici (CAA) nazionale di uno Stato membro.

| 26. | Prima di essere raccomandati per approvazione della CAA del SEAE, conformemente all'articolo 8, paragrafo 5, della presente decisione, tali prodotti crittografici sono valutati positivamente da un secondo soggetto, ossia l'autorità di validazione qualificata (Appropriately Qualified Authority, AQUA) di uno Stato membro non coinvolto nella progettazione o produzione delle attrezzature in questione. Il livello di precisione richiesto nella valutazione del secondo soggetto dipende dal livello di classifica massima prevista per le ICUE che tali prodotti devono proteggere. |
| --- | --- |

26.

Prima di essere raccomandati per approvazione della CAA del SEAE, conformemente all'articolo 8, paragrafo 5, della presente decisione, tali prodotti crittografici sono valutati positivamente da un secondo soggetto, ossia l'autorità di validazione qualificata (Appropriately Qualified Authority, AQUA) di uno Stato membro non coinvolto nella progettazione o produzione delle attrezzature in questione. Il livello di precisione richiesto nella valutazione del secondo soggetto dipende dal livello di classifica massima prevista per le ICUE che tali prodotti devono proteggere.

| 27. | Ove giustificato da specifici motivi operativi, la CAA del SEAE può, su raccomandazione del Comitato per la sicurezza del Consiglio, dispensare dai requisiti di cui ai punti 25 o 26 e rilasciare un'approvazione temporanea per un determinato periodo in conformità all'articolo 8, paragrafo 5, della presente decisione. |
| --- | --- |

27.

Ove giustificato da specifici motivi operativi, la CAA del SEAE può, su raccomandazione del Comitato per la sicurezza del Consiglio, dispensare dai requisiti di cui ai punti 25 o 26 e rilasciare un'approvazione temporanea per un determinato periodo in conformità all'articolo 8, paragrafo 5, della presente decisione.

| 28. | Un'AQUA è una CAA di uno Stato membro che è stata accreditata in base ai criteri stabiliti dal Consiglio per procedere alla seconda valutazione dei prodotti crittografici ai fini della protezione delle ICUE. |
| --- | --- |

28.

Un'AQUA è una CAA di uno Stato membro che è stata accreditata in base ai criteri stabiliti dal Consiglio per procedere alla seconda valutazione dei prodotti crittografici ai fini della protezione delle ICUE.

| 29. | L'Alto rappresentante approva una politica di sicurezza sulla qualificazione e l'approvazione dei prodotti di sicurezza TI non crittografici. |
| --- | --- |

29.

L'Alto rappresentante approva una politica di sicurezza sulla qualificazione e l'approvazione dei prodotti di sicurezza TI non crittografici.

Trasmissione nelle zone protette

| 30. | In deroga alle disposizioni della presente decisione, se la trasmissione di ICUE è limitata a zone protette o a zone amministrative, è possibile procedere ad una trasmissione non cifrata o a una cifratura di livello inferiore in base ai risultati di una procedura di gestione del rischio e previa approvazione della SAA. |
| --- | --- |

30.

In deroga alle disposizioni della presente decisione, se la trasmissione di ICUE è limitata a zone protette o a zone amministrative, è possibile procedere ad una trasmissione non cifrata o a una cifratura di livello inferiore in base ai risultati di una procedura di gestione del rischio e previa approvazione della SAA.

Sicurezza dell'interconnessione dei CIS

| 31. | Ai fini della presente decisione, per «interconnessione» s'intende la connessione diretta tra due o più sistemi IT ai fini della condivisione dei dati e delle altre risorse dell'informazione (ad esempio comunicazione) in modo unidirezionale o multidirezionale. |
| --- | --- |

31.

Ai fini della presente decisione, per «interconnessione» s'intende la connessione diretta tra due o più sistemi IT ai fini della condivisione dei dati e delle altre risorse dell'informazione (ad esempio comunicazione) in modo unidirezionale o multidirezionale.

| 32. | Un CIS considera inaffidabili i sistemi IT interconnessi e applica misure di protezione per controllare lo scambio d'informazioni classificate. |
| --- | --- |

32.

Un CIS considera inaffidabili i sistemi IT interconnessi e applica misure di protezione per controllare lo scambio d'informazioni classificate.

| 33. | Per tutte le interconnessioni dei CIS con un altro sistema IT sono soddisfatti i requisiti di base seguenti:






  (a) | i requisiti commerciali o operativi di tali interconnessioni sono dichiarati e approvati dalle autorità competenti; |
| --- | --- | --- |

33.

Per tutte le interconnessioni dei CIS con un altro sistema IT sono soddisfatti i requisiti di base seguenti:

(a)

i requisiti commerciali o operativi di tali interconnessioni sono dichiarati e approvati dalle autorità competenti;

| (b) | l'interconnessione è soggetta ad una procedura di gestione del rischio e di accreditamento e richiede l'approvazione della SAA competente; e |
| --- | --- |

(b)

l'interconnessione è soggetta ad una procedura di gestione del rischio e di accreditamento e richiede l'approvazione della SAA competente; e

| (c) | lungo il perimetro di tutti i CIS sono attuati servizi di protezione perimetrale (Boundary Protection Services, BPS). |
| --- | --- |

(c)

lungo il perimetro di tutti i CIS sono attuati servizi di protezione perimetrale (Boundary Protection Services, BPS).

| 34. | Non vi è interconnessione tra un CIS accreditato e una rete non protetta o pubblica, ad eccezione dei casi in cui il CIS abbia installato un BPS approvato a tal fine tra il CIS stesso e la rete non protetta o pubblica. Le misure di sicurezza per tali interconnessioni sono esaminate dall'autorità per la garanzia di sicurezza delle informazioni (IAA) competente e approvate dalla SAA competente.
  Se la rete non protetta o pubblica è usata solo come vettore e i dati sono criptati con un prodotto crittografico approvato conformemente all'articolo 8, paragrafo 5, della presente decisione, tale connessione non è considerata un'interconnessione. |
| --- | --- |

34.

Non vi è interconnessione tra un CIS accreditato e una rete non protetta o pubblica, ad eccezione dei casi in cui il CIS abbia installato un BPS approvato a tal fine tra il CIS stesso e la rete non protetta o pubblica. Le misure di sicurezza per tali interconnessioni sono esaminate dall'autorità per la garanzia di sicurezza delle informazioni (IAA) competente e approvate dalla SAA competente.

Se la rete non protetta o pubblica è usata solo come vettore e i dati sono criptati con un prodotto crittografico approvato conformemente all'articolo 8, paragrafo 5, della presente decisione, tale connessione non è considerata un'interconnessione.

| 35. | È vietata l'interconnessione diretta o a cascata di un CIS accreditato per il trattamento di informazioni classificate TRES SECRET UE/EU TOP SECRET a una rete non protetta o pubblica. |
| --- | --- |

35.

È vietata l'interconnessione diretta o a cascata di un CIS accreditato per il trattamento di informazioni classificate TRES SECRET UE/EU TOP SECRET a una rete non protetta o pubblica.

Supporti informatici

| 36. | I supporti informatici sono distrutti secondo procedure approvate dall'autorità di sicurezza del SEAE. |
| --- | --- |

36.

I supporti informatici sono distrutti secondo procedure approvate dall'autorità di sicurezza del SEAE.

| 37. | I supporti informatici sono riutilizzati, declassati o declassificati secondo gli orientamenti di sicurezza da stabilire a norma dell'articolo 8, paragrafo 2, della presente decisione. |
| --- | --- |

37.

I supporti informatici sono riutilizzati, declassati o declassificati secondo gli orientamenti di sicurezza da stabilire a norma dell'articolo 8, paragrafo 2, della presente decisione.

Situazioni di emergenza

| 38. | In deroga alle disposizioni della presente decisione, le procedure specifiche descritte di seguito possono essere applicate per un periodo limitato di tempo in casi di emergenza, come in situazioni di crisi, conflitti, guerre imminenti o già in corso o in circostanze operative eccezionali. |
| --- | --- |

38.

In deroga alle disposizioni della presente decisione, le procedure specifiche descritte di seguito possono essere applicate per un periodo limitato di tempo in casi di emergenza, come in situazioni di crisi, conflitti, guerre imminenti o già in corso o in circostanze operative eccezionali.

| 39. | Le ICUE possono essere trasmesse, previo consenso dell'autorità competente, usando prodotti crittografici approvati per un livello di classifica inferiore o senza cifratura nel caso in cui un ritardo causerebbe un danno manifestamente maggiore di quello dovuto all'eventuale divulgazione del materiale classificato e se:






  (a) | il mittente e il destinatario non hanno l'attrezzatura di cifratura necessaria o non hanno alcuna attrezzatura di cifratura; e |
| --- | --- | --- |

39.

Le ICUE possono essere trasmesse, previo consenso dell'autorità competente, usando prodotti crittografici approvati per un livello di classifica inferiore o senza cifratura nel caso in cui un ritardo causerebbe un danno manifestamente maggiore di quello dovuto all'eventuale divulgazione del materiale classificato e se:

(a)

il mittente e il destinatario non hanno l'attrezzatura di cifratura necessaria o non hanno alcuna attrezzatura di cifratura; e

| (b) | il materiale classificato non può essere trasmesso in tempo utile con altri mezzi. |
| --- | --- |

(b)

il materiale classificato non può essere trasmesso in tempo utile con altri mezzi.

| 40. | Le informazioni classificate trasmesse nelle circostanze di cui al punto 39 non recano alcun contrassegno o indicazione che le distinguano da informazioni non classificate o che possono essere protette mediante prodotti crittografici disponibili. I destinatari sono informati tempestivamente, con altri mezzi, del livello di classifica. |
| --- | --- |

40.

Le informazioni classificate trasmesse nelle circostanze di cui al punto 39 non recano alcun contrassegno o indicazione che le distinguano da informazioni non classificate o che possono essere protette mediante prodotti crittografici disponibili. I destinatari sono informati tempestivamente, con altri mezzi, del livello di classifica.

| 41. | In caso di ricorso al punto 39, un successivo rapporto deve essere trasmesso alla direzione del SEAE responsabile della sicurezza e, per il tramite di questa, al Comitato per la sicurezza del SEAE. Tale rapporto dovrà indicare almeno il mittente, il destinatario e l'originatore di tutte le ICUE. |
| --- | --- |

41.

In caso di ricorso al punto 39, un successivo rapporto deve essere trasmesso alla direzione del SEAE responsabile della sicurezza e, per il tramite di questa, al Comitato per la sicurezza del SEAE. Tale rapporto dovrà indicare almeno il mittente, il destinatario e l'originatore di tutte le ICUE.

III.   FUNZIONI E AUTORITÀ DI GARANZIA DI SICUREZZA DELLE INFORMAZIONI

| 42. | Presso il SEAE sono istituite le seguenti funzioni in materia di garanzia di sicurezza delle informazioni (IA). Tali funzioni non richiedono entità organizzative uniche. Esse hanno mandati separati. Tuttavia, tali funzioni, e le responsabilità a esse collegate, possono combinarsi o integrarsi nella stessa entità organizzativa o suddividersi tra diverse entità organizzative, a condizione che si evitino conflitti interni di interessi o di mansioni. |
| --- | --- |

42.

Presso il SEAE sono istituite le seguenti funzioni in materia di garanzia di sicurezza delle informazioni (IA). Tali funzioni non richiedono entità organizzative uniche. Esse hanno mandati separati. Tuttavia, tali funzioni, e le responsabilità a esse collegate, possono combinarsi o integrarsi nella stessa entità organizzativa o suddividersi tra diverse entità organizzative, a condizione che si evitino conflitti interni di interessi o di mansioni.

Autorità per la garanzia di sicurezza delle informazioni (IAA)

| 43. | L'IAA ha il compito di:






  (a) | sviluppare orientamenti di sicurezza in materia di IA e monitorarne l'efficacia e la pertinenza; |
| --- | --- | --- |

43.

L'IAA ha il compito di:

(a)

sviluppare orientamenti di sicurezza in materia di IA e monitorarne l'efficacia e la pertinenza;

| (b) | salvaguardare e gestire informazioni tecniche relative ai prodotti crittografici; |
| --- | --- |

(b)

salvaguardare e gestire informazioni tecniche relative ai prodotti crittografici;

| (c) | garantire che le misure in materia di IA adottate per proteggere le ICUE rispettino gli orientamenti pertinenti che ne disciplinano l'ammissibilità e la selezione; |
| --- | --- |

(c)

garantire che le misure in materia di IA adottate per proteggere le ICUE rispettino gli orientamenti pertinenti che ne disciplinano l'ammissibilità e la selezione;

| (d) | garantire che i prodotti crittografici siano selezionati nel rispetto di orientamenti che ne disciplinano l'ammissibilità e la selezione; |
| --- | --- |

(d)

garantire che i prodotti crittografici siano selezionati nel rispetto di orientamenti che ne disciplinano l'ammissibilità e la selezione;

| (e) | coordinare la formazione e la sensibilizzazione in materia di IA; |
| --- | --- |

(e)

coordinare la formazione e la sensibilizzazione in materia di IA;

| (f) | consultare il fornitore del sistema, gli operatori della sicurezza e i rappresentanti degli utenti per quanto riguarda gli orientamenti di sicurezza in materia di IA; e |
| --- | --- |

(f)

consultare il fornitore del sistema, gli operatori della sicurezza e i rappresentanti degli utenti per quanto riguarda gli orientamenti di sicurezza in materia di IA; e

| (g) | assicurare la disponibilità di adeguate conoscenze tecniche nella sotto—sezione di esperti del Comitato per la sicurezza del SEAE per le questioni IA. |
| --- | --- |

(g)

assicurare la disponibilità di adeguate conoscenze tecniche nella sotto—sezione di esperti del Comitato per la sicurezza del SEAE per le questioni IA.

Autorità TEMPEST

| 44. | L'Autorità TEMPEST (TA) è responsabile della conformità dei CIS con le politiche e gli orientamenti TEMPEST. Essa approva le contromisure TEMPEST per le installazioni e i prodotti per la protezione delle ICUE a un determinato livello di classifica nel suo contesto operativo. |
| --- | --- |

44.

L'Autorità TEMPEST (TA) è responsabile della conformità dei CIS con le politiche e gli orientamenti TEMPEST. Essa approva le contromisure TEMPEST per le installazioni e i prodotti per la protezione delle ICUE a un determinato livello di classifica nel suo contesto operativo.

Autorità di approvazione degli apparati crittografici (CAA)

| 45. | L' autorità di approvazione degli apparati crittografici (CAA) ha il compito di assicurare che i prodotti crittografici siano conformi ai rispettivi orientamenti in materia di crittografia. L'autorità approva un prodotto crittografico per la protezione delle ICUE a un determinato livello di classifica nel suo contesto operativo. |
| --- | --- |

45.

L' autorità di approvazione degli apparati crittografici (CAA) ha il compito di assicurare che i prodotti crittografici siano conformi ai rispettivi orientamenti in materia di crittografia. L'autorità approva un prodotto crittografico per la protezione delle ICUE a un determinato livello di classifica nel suo contesto operativo.

Autorità di distribuzione degli apparati crittografici (Crypto Distribution Authority, CDA)

| 46. | L'autorità di distribuzione degli apparati crittografici (CDA) ha il compito di:






  (a) | gestire e rendere conto del materiale crittografico dell'UE; |
| --- | --- | --- |

46.

L'autorità di distribuzione degli apparati crittografici (CDA) ha il compito di:

(a)

gestire e rendere conto del materiale crittografico dell'UE;

| (b) | assicurare che siano attuate procedure appropriate e siano stabiliti canali per rendere conto di tutto il materiale crittografico dell'UE e assicurarne il trattamento, la conservazione e la diffusione in modo sicuro; e |
| --- | --- |

(b)

assicurare che siano attuate procedure appropriate e siano stabiliti canali per rendere conto di tutto il materiale crittografico dell'UE e assicurarne il trattamento, la conservazione e la diffusione in modo sicuro; e

| (c) | assicurare il trasferimento di materiale crittografico dell'UE verso o da singole persone o servizi che lo utilizzano. |
| --- | --- |

(c)

assicurare il trasferimento di materiale crittografico dell'UE verso o da singole persone o servizi che lo utilizzano.

Autorità di accreditamento di sicurezza (SAA)

| 47. | L'autorità di accreditamento di sicurezza (SAA) per ciascun sistema ha il compito di:






  (a) | assicurare che il CIS sia conforme agli orientamenti di sicurezza pertinenti, fornire una dichiarazione di approvazione del CIS per il trattamento di ICUE a un determinato livello di classifica nel suo contesto operativo, specificare i termini e le condizioni dell'accreditamento e i criteri in base ai quali è richiesta una nuova approvazione; |
| --- | --- | --- |

47.

L'autorità di accreditamento di sicurezza (SAA) per ciascun sistema ha il compito di:

(a)

assicurare che il CIS sia conforme agli orientamenti di sicurezza pertinenti, fornire una dichiarazione di approvazione del CIS per il trattamento di ICUE a un determinato livello di classifica nel suo contesto operativo, specificare i termini e le condizioni dell'accreditamento e i criteri in base ai quali è richiesta una nuova approvazione;

| (b) | stabilire un processo di accreditamento di sicurezza, conformemente ai pertinenti orientamenti, definendo chiaramente le condizioni per l'approvazione dei CIS sotto la sua autorità; |
| --- | --- |

(b)

stabilire un processo di accreditamento di sicurezza, conformemente ai pertinenti orientamenti, definendo chiaramente le condizioni per l'approvazione dei CIS sotto la sua autorità;

| (c) | definire una strategia di accreditamento di sicurezza che stabilisca il grado di dettaglio del processo di accreditamento commisurato al livello di garanzia richiesto; |
| --- | --- |

(c)

definire una strategia di accreditamento di sicurezza che stabilisca il grado di dettaglio del processo di accreditamento commisurato al livello di garanzia richiesto;

| (d) | esaminare e approvare la documentazione attinente alla sicurezza, comprese le dichiarazioni di gestione del rischio e quelle sul rischio residuo, le dichiarazioni relative ai requisiti di sicurezza specifici del sistema (System—specific Security Requirement Statement, «SSRS»), la documentazione relativa alla verifica dell'attuazione della sicurezza e le procedure operative di sicurezza (Security Operating Procedures, «SecOp»), e garantirne la conformità alle norme e agli orientamenti del SEAE in materia di sicurezza; |
| --- | --- |

(d)

esaminare e approvare la documentazione attinente alla sicurezza, comprese le dichiarazioni di gestione del rischio e quelle sul rischio residuo, le dichiarazioni relative ai requisiti di sicurezza specifici del sistema (System—specific Security Requirement Statement, «SSRS»), la documentazione relativa alla verifica dell'attuazione della sicurezza e le procedure operative di sicurezza (Security Operating Procedures, «SecOp»), e garantirne la conformità alle norme e agli orientamenti del SEAE in materia di sicurezza;

| (e) | controllare l'attuazione di misure di sicurezza in relazione al CIS effettuando o patrocinando valutazioni, ispezioni o riesami riguardo alla sicurezza; |
| --- | --- |

(e)

controllare l'attuazione di misure di sicurezza in relazione al CIS effettuando o patrocinando valutazioni, ispezioni o riesami riguardo alla sicurezza;

| (f) | definire requisiti di sicurezza (ad esempio, livelli di nulla osta di sicurezza del personale) per i posti sensibili in relazione al CIS; |
| --- | --- |

(f)

definire requisiti di sicurezza (ad esempio, livelli di nulla osta di sicurezza del personale) per i posti sensibili in relazione al CIS;

| (g) | approvare la selezione di prodotti crittografici e TEMPEST approvati, utilizzati per garantire la sicurezza di un CIS; |
| --- | --- |

(g)

approvare la selezione di prodotti crittografici e TEMPEST approvati, utilizzati per garantire la sicurezza di un CIS;

| (h) | approvare l'interconnessione ad altri CIS di un CIS o, se del caso, partecipare all'approvazione comune di tale interconnessione, e |
| --- | --- |

(h)

approvare l'interconnessione ad altri CIS di un CIS o, se del caso, partecipare all'approvazione comune di tale interconnessione, e

| (i) | consultare il fornitore del sistema, gli operatori della sicurezza e i rappresentanti degli utenti per quanto riguarda la gestione del rischio per la sicurezza, in particolare il rischio residuo, nonché i termini e le condizioni della dichiarazione di approvazione. |
| --- | --- |

(i)

consultare il fornitore del sistema, gli operatori della sicurezza e i rappresentanti degli utenti per quanto riguarda la gestione del rischio per la sicurezza, in particolare il rischio residuo, nonché i termini e le condizioni della dichiarazione di approvazione.

| 48. | L'autorità di accreditamento di sicurezza del SEAE è responsabile dell'accreditamento di tutti i CIS operanti nell'ambito di competenza del SEAE. |
| --- | --- |

48.

L'autorità di accreditamento di sicurezza del SEAE è responsabile dell'accreditamento di tutti i CIS operanti nell'ambito di competenza del SEAE.

Comitato di accreditamento di sicurezza (Security Accreditation Board, SAB)

| 49. | Un comitato di accreditamento di sicurezza comune è responsabile dell'accreditamento dei CIS nell'ambito di competenza sia dell'autorità di accreditamento di sicurezza (SAA) del SEAE che delle autorità di accreditamento di sicurezza degli Stati membri. Esso è composto di un rappresentante SAA per ciascuno Stato membro e vi partecipa un rappresentante SAA del Segretariato generale del Consiglio e della Commissione. Altri soggetti con nodi su un CIS sono invitati a partecipare alle discussioni su tale sistema.
  Il SAB è presieduto da un rappresentante dell'autorità di accreditamento di sicurezza del SEAE. Esso delibera per consenso dei rappresentanti SAA delle istituzioni, degli Stati membri e di altri soggetti con nodi sul CIS. Esso riferisce periodicamente circa le sue attività al Comitato per la sicurezza del SEAE a cui notifica tutte le dichiarazioni di accreditamento. |
| --- | --- |

49.

Un comitato di accreditamento di sicurezza comune è responsabile dell'accreditamento dei CIS nell'ambito di competenza sia dell'autorità di accreditamento di sicurezza (SAA) del SEAE che delle autorità di accreditamento di sicurezza degli Stati membri. Esso è composto di un rappresentante SAA per ciascuno Stato membro e vi partecipa un rappresentante SAA del Segretariato generale del Consiglio e della Commissione. Altri soggetti con nodi su un CIS sono invitati a partecipare alle discussioni su tale sistema.

Il SAB è presieduto da un rappresentante dell'autorità di accreditamento di sicurezza del SEAE. Esso delibera per consenso dei rappresentanti SAA delle istituzioni, degli Stati membri e di altri soggetti con nodi sul CIS. Esso riferisce periodicamente circa le sue attività al Comitato per la sicurezza del SEAE a cui notifica tutte le dichiarazioni di accreditamento.

Autorità operativa per la garanzia di sicurezza delle informazioni

| 50. | L'autorità operativa IA per ciascun sistema ha il compito di:






  (a) | sviluppare una documentazione di sicurezza conforme alle politiche e agli orientamenti di sicurezza, in particolare la dichiarazione relativa ai requisiti di sicurezza specifici del sistema (SSRS), compresa la dichiarazione sul rischio residuo, le procedure operative di sicurezza (SecOP) e il piano crittografico nell'ambito del processo di accreditamento del CIS; |
| --- | --- | --- |

50.

L'autorità operativa IA per ciascun sistema ha il compito di:

(a)

sviluppare una documentazione di sicurezza conforme alle politiche e agli orientamenti di sicurezza, in particolare la dichiarazione relativa ai requisiti di sicurezza specifici del sistema (SSRS), compresa la dichiarazione sul rischio residuo, le procedure operative di sicurezza (SecOP) e il piano crittografico nell'ambito del processo di accreditamento del CIS;

| (b) | partecipare alla selezione e alla verifica di misure, dispositivi e software di sicurezza tecnica specifici del sistema, per sorvegliarne l'attuazione ed assicurarne l'installazione, la configurazione e la manutenzione in modo sicuro conformemente alla relativa documentazione di sicurezza; |
| --- | --- |

(b)

partecipare alla selezione e alla verifica di misure, dispositivi e software di sicurezza tecnica specifici del sistema, per sorvegliarne l'attuazione ed assicurarne l'installazione, la configurazione e la manutenzione in modo sicuro conformemente alla relativa documentazione di sicurezza;

| (c) | partecipare alla selezione di misure di sicurezza e dispositivi TEMPEST se richiesto nell'SSRS e assicurarne l'installazione e la manutenzione in modo sicuro in cooperazione con la TA; |
| --- | --- |

(c)

partecipare alla selezione di misure di sicurezza e dispositivi TEMPEST se richiesto nell'SSRS e assicurarne l'installazione e la manutenzione in modo sicuro in cooperazione con la TA;

| (d) | controllare l'attuazione e l'applicazione delle SecOP e, ove opportuno, delegare le responsabilità di sicurezza operativa al proprietario del sistema; |
| --- | --- |

(d)

controllare l'attuazione e l'applicazione delle SecOP e, ove opportuno, delegare le responsabilità di sicurezza operativa al proprietario del sistema;

| (e) | gestire e trattare prodotti crittografici, assicurando la custodia di apparati crittografici e controllati e, se richiesto, garantire la produzione di variabili crittografiche; |
| --- | --- |

(e)

gestire e trattare prodotti crittografici, assicurando la custodia di apparati crittografici e controllati e, se richiesto, garantire la produzione di variabili crittografiche;

| (f) | procedere a verifiche dell'analisi di sicurezza e a prove, in particolare per elaborare le pertinenti relazioni sui rischi, come richiesto dalla SAA; |
| --- | --- |

(f)

procedere a verifiche dell'analisi di sicurezza e a prove, in particolare per elaborare le pertinenti relazioni sui rischi, come richiesto dalla SAA;

| (g) | fornire una formazione IA specifica del CIS; |
| --- | --- |

(g)

fornire una formazione IA specifica del CIS;

| (h) | attuare e mettere in funzione misure di sicurezza specifiche del CIS. |
| --- | --- |

(h)

attuare e mettere in funzione misure di sicurezza specifiche del CIS.

ALLEGATO A V

SICUREZZA INDUSTRIALE

I.   INTRODUZIONE

| 1. | Il presente allegato prevede le disposizioni di attuazione dell'articolo 9 dell'allegato A. Esso stabilisce disposizioni generali di sicurezza applicabili a soggetti industriali o di altra natura, in sede di negoziati precontrattuali e lungo tutto il ciclo di vita dei contratti classificati conclusi dal SEAE. |
| --- | --- |

1.

Il presente allegato prevede le disposizioni di attuazione dell'articolo 9 dell'allegato A. Esso stabilisce disposizioni generali di sicurezza applicabili a soggetti industriali o di altra natura, in sede di negoziati precontrattuali e lungo tutto il ciclo di vita dei contratti classificati conclusi dal SEAE.

| 2. | L'autorità di sicurezza del SEAE approva gli orientamenti sulla sicurezza industriale che delineano in particolare requisiti dettagliati in ordine al nulla osta di sicurezza delle imprese (Facility Security Clearances, FSC), alle lettere sugli aspetti di sicurezza (Security Aspects Letters, SAL), alle visite, alla trasmissione e al trasporto di ICUE. |
| --- | --- |

2.

L'autorità di sicurezza del SEAE approva gli orientamenti sulla sicurezza industriale che delineano in particolare requisiti dettagliati in ordine al nulla osta di sicurezza delle imprese (Facility Security Clearances, FSC), alle lettere sugli aspetti di sicurezza (Security Aspects Letters, SAL), alle visite, alla trasmissione e al trasporto di ICUE.

II   ELEMENTI DI SICUREZZA IN UN CONTRATTO CLASSIFICATO

Guida alle classifiche di sicurezza (Security classification guide, SCG)

| 3. | Prima di indire un bando di gara o di concludere un contratto classificato, il SEAE, in quanto autorità contraente, stabilisce la classifica di sicurezza delle informazioni che devono essere fornite agli offerenti e ai contraenti, nonché la classifica di sicurezza delle informazioni che il contraente deve creare. A tal fine il SEAE mette a punto una SCG ai fini dell'esecuzione del contratto. |
| --- | --- |

3.

Prima di indire un bando di gara o di concludere un contratto classificato, il SEAE, in quanto autorità contraente, stabilisce la classifica di sicurezza delle informazioni che devono essere fornite agli offerenti e ai contraenti, nonché la classifica di sicurezza delle informazioni che il contraente deve creare. A tal fine il SEAE mette a punto una SCG ai fini dell'esecuzione del contratto.

| 4. | Per stabilire la classifica di sicurezza dei vari elementi di un contratto classificato si applicano i principi seguenti:






  (a) | nel redigere l'SCG, il SEAE tiene conto di tutti gli aspetti in materia di sicurezza, tra cui la classifica di sicurezza assegnata alle informazioni fornite e approvate per l'uso ai fini del contratto dall'originatore delle informazioni stesse; |
| --- | --- | --- |

4.

Per stabilire la classifica di sicurezza dei vari elementi di un contratto classificato si applicano i principi seguenti:

(a)

nel redigere l'SCG, il SEAE tiene conto di tutti gli aspetti in materia di sicurezza, tra cui la classifica di sicurezza assegnata alle informazioni fornite e approvate per l'uso ai fini del contratto dall'originatore delle informazioni stesse;

| (b) | il livello generale di classifica del contratto non può essere inferiore alla classifica più elevata di uno dei suoi elementi; e |
| --- | --- |

(b)

il livello generale di classifica del contratto non può essere inferiore alla classifica più elevata di uno dei suoi elementi; e

| (c) | ove opportuno, il SEAE si mette in contatto con le NSA/DSA degli Stati membri o altre autorità di sicurezza competenti interessate in caso di qualsiasi modifica nella classifica delle informazioni create dai contraenti o ad essi fornite nell'esecuzione di un contratto e di eventuali ulteriori modifiche alla SCG. |
| --- | --- |

(c)

ove opportuno, il SEAE si mette in contatto con le NSA/DSA degli Stati membri o altre autorità di sicurezza competenti interessate in caso di qualsiasi modifica nella classifica delle informazioni create dai contraenti o ad essi fornite nell'esecuzione di un contratto e di eventuali ulteriori modifiche alla SCG.

Lettera sugli aspetti di sicurezza (SAL)

| 5. | I requisiti di sicurezza specifici del contratto sono indicati in una SAL. Ove opportuno, tale SAL contiene la SCG ed è parte integrante di un contratto o subcontratto classificato. |
| --- | --- |

5.

I requisiti di sicurezza specifici del contratto sono indicati in una SAL. Ove opportuno, tale SAL contiene la SCG ed è parte integrante di un contratto o subcontratto classificato.

| 6. | La SAL contiene disposizioni che impongono al contraente e/o al subcontraente di osservare le norme minime stabilite dalla presente decisione. L'inosservanza di tali norme minime può essere motivo sufficiente di estinzione del contratto. |
| --- | --- |

6.

La SAL contiene disposizioni che impongono al contraente e/o al subcontraente di osservare le norme minime stabilite dalla presente decisione. L'inosservanza di tali norme minime può essere motivo sufficiente di estinzione del contratto.

Istruzioni di sicurezza del programma/progetto (PSI)

| 7. | Secondo la portata dei programmi o dei progetti che comportano l'accesso a ICUE o il loro trattamento o la loro conservazione, l'autorità contraente incaricata della gestione del programma o del progetto può redigere specifiche istruzioni di sicurezza del programma/progetto (PSI). Le PSI richiedono l'approvazione delle NSA/DSA degli Stati membri o delle altre autorità di sicurezza competenti che partecipano al programma/progetto e possono contenere requisiti di sicurezza supplementari. |
| --- | --- |

7.

Secondo la portata dei programmi o dei progetti che comportano l'accesso a ICUE o il loro trattamento o la loro conservazione, l'autorità contraente incaricata della gestione del programma o del progetto può redigere specifiche istruzioni di sicurezza del programma/progetto (PSI). Le PSI richiedono l'approvazione delle NSA/DSA degli Stati membri o delle altre autorità di sicurezza competenti che partecipano al programma/progetto e possono contenere requisiti di sicurezza supplementari.

III.   NULLA OSTA DI SICUREZZA DELLE IMPRESE (FSC)

| 8. | La direzione del SEAE responsabile della sicurezza richiede alla NSA o DSA o ad altra autorità di sicurezza competente dello Stato membro interessato di concedere un FSC per indicare, in conformità alle leggi e dei regolamenti nazionali, che un soggetto industriale o di altra natura è in grado di proteggere le ICUE al livello adatto di classifica (CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET) all'interno delle proprie strutture. A un contraente o subcontraente o potenziale contraente o subcontraente non sono fornite ICUE né è consentito l'accesso ad esse finché non è stata trasmessa prova dell'FSC al SEAE. |
| --- | --- |

8.

La direzione del SEAE responsabile della sicurezza richiede alla NSA o DSA o ad altra autorità di sicurezza competente dello Stato membro interessato di concedere un FSC per indicare, in conformità alle leggi e dei regolamenti nazionali, che un soggetto industriale o di altra natura è in grado di proteggere le ICUE al livello adatto di classifica (CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET) all'interno delle proprie strutture. A un contraente o subcontraente o potenziale contraente o subcontraente non sono fornite ICUE né è consentito l'accesso ad esse finché non è stata trasmessa prova dell'FSC al SEAE.

| 9. | Ove opportuno, il SEAE, in quanto autorità contraente, comunica all'NSA/DSA pertinente o altra autorità di sicurezza competente che è necessario un FSC in fase precontrattuale o di esecuzione del contratto. In fase precontrattuale è richiesto un FSC o un PSC laddove occorre fornire ICUE classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET durante il processo di presentazione delle offerte. |
| --- | --- |

9.

Ove opportuno, il SEAE, in quanto autorità contraente, comunica all'NSA/DSA pertinente o altra autorità di sicurezza competente che è necessario un FSC in fase precontrattuale o di esecuzione del contratto. In fase precontrattuale è richiesto un FSC o un PSC laddove occorre fornire ICUE classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET durante il processo di presentazione delle offerte.

| 10. | Il SEAE, in quanto autorità contraente, non assegna all'offerente selezionato un contratto classificato prima di aver ricevuto conferma dall'NSA/DSA, o da altra autorità di sicurezza competente dello Stato membro in cui ha sede il contraente o subcontraente interessato, che laddove necessario è stato rilasciato l'FSC adatto. |
| --- | --- |

10.

Il SEAE, in quanto autorità contraente, non assegna all'offerente selezionato un contratto classificato prima di aver ricevuto conferma dall'NSA/DSA, o da altra autorità di sicurezza competente dello Stato membro in cui ha sede il contraente o subcontraente interessato, che laddove necessario è stato rilasciato l'FSC adatto.

| 11. | Il SEAE, in quanto autorità contraente, chiede all'NSA/DSA o ad altra autorità di sicurezza competente che ha rilasciato un FSC di essere informato in merito a informazioni negative inerenti l'FSC. In caso di subcontratto, l'NSA/DSA o altra autorità di sicurezza competente è informata di conseguenza. |
| --- | --- |

11.

Il SEAE, in quanto autorità contraente, chiede all'NSA/DSA o ad altra autorità di sicurezza competente che ha rilasciato un FSC di essere informato in merito a informazioni negative inerenti l'FSC. In caso di subcontratto, l'NSA/DSA o altra autorità di sicurezza competente è informata di conseguenza.

| 12. | La revoca dell'FSC da parte dell'NSA/DSA interessata o di altra autorità di sicurezza competente è motivo sufficiente per far sì che il SEAE, in quanto autorità contraente, estingua il contratto classificato o escluda l'offerente dalla gara. |
| --- | --- |

12.

La revoca dell'FSC da parte dell'NSA/DSA interessata o di altra autorità di sicurezza competente è motivo sufficiente per far sì che il SEAE, in quanto autorità contraente, estingua il contratto classificato o escluda l'offerente dalla gara.

IV.   NULLA OSTA DI SICUREZZA DEL PERSONALE (PSC) PER IL PERSONALE DEI CONTRAENTI

| 13. | Il personale che lavora per contraenti, con necessità di accedere a ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, ha ricevuto il nulla osta di sicurezza adeguato e accede a tali informazioni secondo il principio della necessità di conoscere. Per l'accesso a ICUE di livello RESTREINT UE/EU RESTRICTED non è richiesto un PSC ma deve tuttavia sussistere la necessità di conoscere. |
| --- | --- |

13.

Il personale che lavora per contraenti, con necessità di accedere a ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, ha ricevuto il nulla osta di sicurezza adeguato e accede a tali informazioni secondo il principio della necessità di conoscere. Per l'accesso a ICUE di livello RESTREINT UE/EU RESTRICTED non è richiesto un PSC ma deve tuttavia sussistere la necessità di conoscere.

| 14. | Le richieste di PSC per il personale dei contraenti sono presentate all'NSA/DSA competente per l'entità interessata. |
| --- | --- |

14.

Le richieste di PSC per il personale dei contraenti sono presentate all'NSA/DSA competente per l'entità interessata.

| 15. | Ai contraenti che intendano assumere un cittadino di uno Stato terzo per una posizione che richiede l'accesso a ICUE, il SEAE fa presente che spetta alle NSA/DSA dello Stato membro in cui è ubicata e registrata l'entità che assume stabilire se la persona interessata può accedere a tali informazioni, in conformità alla presente decisione, e confermare che l'originatore vi abbia acconsentito, prima di fornire l'accesso. |
| --- | --- |

15.

Ai contraenti che intendano assumere un cittadino di uno Stato terzo per una posizione che richiede l'accesso a ICUE, il SEAE fa presente che spetta alle NSA/DSA dello Stato membro in cui è ubicata e registrata l'entità che assume stabilire se la persona interessata può accedere a tali informazioni, in conformità alla presente decisione, e confermare che l'originatore vi abbia acconsentito, prima di fornire l'accesso.

V.   CONTRATTI O SUBCONTRATTI CLASSIFICATI

| 16. | Qualora ad un offerente siano fornite ICUE in fase precontrattuale, l'invito a presentare offerte contiene una disposizione che impone all'offerente che non ha presentato l'offerta o che non è stato selezionato l'obbligo di restituire tutti i documenti classificati entro un periodo di tempo determinato. |
| --- | --- |

16.

Qualora ad un offerente siano fornite ICUE in fase precontrattuale, l'invito a presentare offerte contiene una disposizione che impone all'offerente che non ha presentato l'offerta o che non è stato selezionato l'obbligo di restituire tutti i documenti classificati entro un periodo di tempo determinato.

| 17. | Una volta aggiudicato il contratto o il subcontratto classificato, il SEAE, in quanto autorità contraente, notifica all'NSA/DSA o altra autorità di sicurezza competente del contraente o subcontraente le disposizioni di sicurezza del contratto classificato. |
| --- | --- |

17.

Una volta aggiudicato il contratto o il subcontratto classificato, il SEAE, in quanto autorità contraente, notifica all'NSA/DSA o altra autorità di sicurezza competente del contraente o subcontraente le disposizioni di sicurezza del contratto classificato.

| 18. | In caso di estinzione o scadenza dei suddetti contratti il SEAE, in quanto autorità contraente (e/o l'NSA/DSA o altra autorità di sicurezza competente, ove opportuno, in caso di subcontratto), ne informa immediatamente l'NSA/DSA o altra autorità di sicurezza competente dello Stato membro in cui il contraente o subcontraente ha sede. |
| --- | --- |

18.

In caso di estinzione o scadenza dei suddetti contratti il SEAE, in quanto autorità contraente (e/o l'NSA/DSA o altra autorità di sicurezza competente, ove opportuno, in caso di subcontratto), ne informa immediatamente l'NSA/DSA o altra autorità di sicurezza competente dello Stato membro in cui il contraente o subcontraente ha sede.

| 19. | Di norma, alla cessazione o scadenza del contratto o del subcontratto classificato, il contraente o subcontraente è tenuto a restituire all'autorità contraente le ICUE in suo possesso. |
| --- | --- |

19.

Di norma, alla cessazione o scadenza del contratto o del subcontratto classificato, il contraente o subcontraente è tenuto a restituire all'autorità contraente le ICUE in suo possesso.

| 20. | La SAL contiene disposizioni specifiche per l'eliminazione di ICUE durante l'esecuzione o alla cessazione o scadenza del contratto. |
| --- | --- |

20.

La SAL contiene disposizioni specifiche per l'eliminazione di ICUE durante l'esecuzione o alla cessazione o scadenza del contratto.

| 21. | Se è autorizzato a conservare le ICUE alla cessazione o scadenza del contratto, il contraente o subcontraente continua a rispettare le norme minime previste dalla presente decisione nonché a proteggere la riservatezza delle ICUE. |
| --- | --- |

21.

Se è autorizzato a conservare le ICUE alla cessazione o scadenza del contratto, il contraente o subcontraente continua a rispettare le norme minime previste dalla presente decisione nonché a proteggere la riservatezza delle ICUE.

| 22. | Le condizioni alle quali è ammesso il subcontratto da parte del contraente sono definite nel bando di gara e nel contratto. |
| --- | --- |

22.

Le condizioni alle quali è ammesso il subcontratto da parte del contraente sono definite nel bando di gara e nel contratto.

| 23. | Prima di subappaltare parti di un contratto classificato il contraente ottiene il consenso del SEAE in quanto autorità contraente. Nessun subcontratto può essere aggiudicato a un soggetto industriale o di altra natura avente sede in uno Stato non membro dell'UE che non abbia concluso un accordo sulla sicurezza delle informazioni con l'UE. |
| --- | --- |

23.

Prima di subappaltare parti di un contratto classificato il contraente ottiene il consenso del SEAE in quanto autorità contraente. Nessun subcontratto può essere aggiudicato a un soggetto industriale o di altra natura avente sede in uno Stato non membro dell'UE che non abbia concluso un accordo sulla sicurezza delle informazioni con l'UE.

| 24. | Spetta al contraente assicurare che tutte le attività del subcontratto si svolgano secondo le norme minime previste dalla presente decisione e astenersi dal fornire ICUE a un subcontraente senza previo consenso scritto dell'autorità contraente. |
| --- | --- |

24.

Spetta al contraente assicurare che tutte le attività del subcontratto si svolgano secondo le norme minime previste dalla presente decisione e astenersi dal fornire ICUE a un subcontraente senza previo consenso scritto dell'autorità contraente.

| 25. | L'autorità contraente esercita i diritti dell'originatore sulle ICUE create o trattate dal contraente o subcontraente. |
| --- | --- |

25.

L'autorità contraente esercita i diritti dell'originatore sulle ICUE create o trattate dal contraente o subcontraente.

VI.   VISITE E CONTRATTI CLASSIFICATI

| 26. | Se il SEAE, i contraenti o subcontraenti richiedono l'accesso ad informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei rispettivi locali per l'esecuzione di un contratto classificato, le visite sono fissate di concerto con le NSA/DSA o altre autorità di sicurezza competenti interessate. Nel contesto di progetti specifici ciò non pregiudica la prerogativa delle NSA/DSA di concordare una procedura secondo la quale tali visite possono essere fissate direttamente. |
| --- | --- |

26.

Se il SEAE, i contraenti o subcontraenti richiedono l'accesso ad informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei rispettivi locali per l'esecuzione di un contratto classificato, le visite sono fissate di concerto con le NSA/DSA o altre autorità di sicurezza competenti interessate. Nel contesto di progetti specifici ciò non pregiudica la prerogativa delle NSA/DSA di concordare una procedura secondo la quale tali visite possono essere fissate direttamente.

| 27. | Tutti i visitatori dispongono di un PSC adatto e hanno una necessità di conoscere per accedere alle ICUE relative ad un contratto del SEAE. |
| --- | --- |

27.

Tutti i visitatori dispongono di un PSC adatto e hanno una necessità di conoscere per accedere alle ICUE relative ad un contratto del SEAE.

| 28. | I visitatori possono accedere solo alle ICUE relative all'oggetto della visita. |
| --- | --- |

28.

I visitatori possono accedere solo alle ICUE relative all'oggetto della visita.

VII.   TRASMISSIONE E TRASPORTO DI ICUE

| 29. | Per la trasmissione elettronica di ICUE si applicano le pertinenti disposizioni dell'articolo 8 dell'allegato A e dell'allegato A IV. |
| --- | --- |

29.

Per la trasmissione elettronica di ICUE si applicano le pertinenti disposizioni dell'articolo 8 dell'allegato A e dell'allegato A IV.

| 30. | In ordine al trasporto di ICUE, si applicano le pertinenti disposizioni dell'allegato A III, conformemente alle disposizioni legislative e regolamentari nazionali. |
| --- | --- |

30.

In ordine al trasporto di ICUE, si applicano le pertinenti disposizioni dell'allegato A III, conformemente alle disposizioni legislative e regolamentari nazionali.

| 31. | Per il trasporto di materiale classificato come merce, nel fissare i dispositivi di sicurezza si applicano i principi seguenti:






  (a) | la sicurezza è garantita in tutte le fasi del trasporto dal luogo di origine alla destinazione finale; |
| --- | --- | --- |

31.

Per il trasporto di materiale classificato come merce, nel fissare i dispositivi di sicurezza si applicano i principi seguenti:

(a)

la sicurezza è garantita in tutte le fasi del trasporto dal luogo di origine alla destinazione finale;

| (b) | il livello di protezione attribuito a una spedizione è determinato dal livello di classifica più elevato del materiale trasportato; |
| --- | --- |

(b)

il livello di protezione attribuito a una spedizione è determinato dal livello di classifica più elevato del materiale trasportato;

| (c) | un FSC di livello adatto è ottenuto per le società addette al trasporto, se il trasporto comporta la conservazione delle informazioni classificate nei locali dei contraenti. In ogni caso, il personale addetto alla spedizione dispone di un nulla osta di sicurezza adeguato conformemente all'allegato A I; |
| --- | --- |

(c)

un FSC di livello adatto è ottenuto per le società addette al trasporto, se il trasporto comporta la conservazione delle informazioni classificate nei locali dei contraenti. In ogni caso, il personale addetto alla spedizione dispone di un nulla osta di sicurezza adeguato conformemente all'allegato A I;

| (d) | qualsiasi movimento transfrontaliero di materiale classificato CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET è subordinato a un programma di trasporto elaborato dal mittente e approvato dal SEAE, se del caso di concerto con l'NSA/DSA sia del mittente che del destinatario o con altre autorità di sicurezza competenti interessate; |
| --- | --- |

(d)

qualsiasi movimento transfrontaliero di materiale classificato CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET è subordinato a un programma di trasporto elaborato dal mittente e approvato dal SEAE, se del caso di concerto con l'NSA/DSA sia del mittente che del destinatario o con altre autorità di sicurezza competenti interessate;

| (e) | i tragitti sono effettuati, per quanto possibile, da punto a punto e sono completati quanto più rapidamente possibile secondo le circostanze; |
| --- | --- |

(e)

i tragitti sono effettuati, per quanto possibile, da punto a punto e sono completati quanto più rapidamente possibile secondo le circostanze;

| (f) | gli itinerari dovrebbero attraversare, per quanto possibile, unicamente Stati membri. Gli itinerari attraverso Stati diversi dagli Stati membri dovrebbero essere seguiti solo se autorizzati dal SEAE o da altra autorità di sicurezza competente degli Stati dello speditore e del destinatario. |
| --- | --- |

(f)

gli itinerari dovrebbero attraversare, per quanto possibile, unicamente Stati membri. Gli itinerari attraverso Stati diversi dagli Stati membri dovrebbero essere seguiti solo se autorizzati dal SEAE o da altra autorità di sicurezza competente degli Stati dello speditore e del destinatario.

VIII.   TRASMISSIONE DI ICUE A CONTRAENTI SITUATI IN PAESI TERZI

| 32. | Le ICUE sono trasmesse a contraenti e subcontraenti situati in paesi terzi che hanno un accordo di sicurezza valido con l'UE, secondo misure di sicurezza convenute tra il SEAE, in quanto autorità contraente, e l'NSA/DSA dello Stato terzo interessato in cui il contraente ha sede. |
| --- | --- |

32.

Le ICUE sono trasmesse a contraenti e subcontraenti situati in paesi terzi che hanno un accordo di sicurezza valido con l'UE, secondo misure di sicurezza convenute tra il SEAE, in quanto autorità contraente, e l'NSA/DSA dello Stato terzo interessato in cui il contraente ha sede.

IX.   TRATTAMENTO E CONSERVAZIONE DELLE INFORMAZIONI CLASSIFICATE RESTREINT UE/ EU RESTRICTED

| 33. | Di concerto con l'NSA/DSA dello Stato membro, se opportuno, il SEAE, in quanto autorità contraente, ha diritto di procedere a visite dei locali dei contraenti/subcontraenti in forza delle disposizioni contrattuali, per verificare che siano state predisposte le misure di sicurezza per la protezione delle ICUE di livello RESTREINT UE/EU RESTRICTED come da contratto. |
| --- | --- |

33.

Di concerto con l'NSA/DSA dello Stato membro, se opportuno, il SEAE, in quanto autorità contraente, ha diritto di procedere a visite dei locali dei contraenti/subcontraenti in forza delle disposizioni contrattuali, per verificare che siano state predisposte le misure di sicurezza per la protezione delle ICUE di livello RESTREINT UE/EU RESTRICTED come da contratto.

| 34. | Nella misura in cui è necessario a norma delle disposizioni legislative e regolamentari nazionali, le NSA/DSA o qualsiasi altra autorità nazionale competente sono informate dal SEAE, in quanto autorità contraente, dei contratti o subcontratti contenenti informazioni classificate RESTREINT UE/EU RESTRICTED. |
| --- | --- |

34.

Nella misura in cui è necessario a norma delle disposizioni legislative e regolamentari nazionali, le NSA/DSA o qualsiasi altra autorità nazionale competente sono informate dal SEAE, in quanto autorità contraente, dei contratti o subcontratti contenenti informazioni classificate RESTREINT UE/EU RESTRICTED.

| 35. | Per i contratti stipulati dal SEAE contenenti informazioni classificate RESTREINT UE/EU RESTRICTED, i contraenti o subcontraenti e relativo personale non sono tenuti a possedere un FSC o un PSC. |
| --- | --- |

35.

Per i contratti stipulati dal SEAE contenenti informazioni classificate RESTREINT UE/EU RESTRICTED, i contraenti o subcontraenti e relativo personale non sono tenuti a possedere un FSC o un PSC.

| 36. | Il SEAE, in quanto autorità contraente, esamina le risposte agli inviti a presentare offerte per i contratti che richiedono l'accesso a informazioni classificate RESTREINT UE/EU RESTRICTED, a prescindere da eventuali requisiti vigenti a norma delle disposizioni legislative e regolamentari nazionali in ordine agli FSC o PSC. |
| --- | --- |

36.

Il SEAE, in quanto autorità contraente, esamina le risposte agli inviti a presentare offerte per i contratti che richiedono l'accesso a informazioni classificate RESTREINT UE/EU RESTRICTED, a prescindere da eventuali requisiti vigenti a norma delle disposizioni legislative e regolamentari nazionali in ordine agli FSC o PSC.

| 37. | Le condizioni alle quali è ammesso il subcontratto da parte del contraente sono conformi ai punti 22—24. |
| --- | --- |

37.

Le condizioni alle quali è ammesso il subcontratto da parte del contraente sono conformi ai punti 22—24.

| 38. | Se un contratto comporta il trattamento di informazioni classificate RESTREINT UE/EU RESTRICTED in un CIS gestito da un contraente, il SEAE, in quanto autorità contraente, garantisce che nel contratto o eventuale subcontratto siano specificati i requisiti tecnici e amministrativi necessari in ordine all'accreditamento del CIS commisurati al rischio valutato, tenendo conto di tutti i fattori pertinenti. La portata dell'accreditamento di tale CIS è concordata tra l'autorità contraente e l'NSA/DSA competente. |
| --- | --- |

38.

Se un contratto comporta il trattamento di informazioni classificate RESTREINT UE/EU RESTRICTED in un CIS gestito da un contraente, il SEAE, in quanto autorità contraente, garantisce che nel contratto o eventuale subcontratto siano specificati i requisiti tecnici e amministrativi necessari in ordine all'accreditamento del CIS commisurati al rischio valutato, tenendo conto di tutti i fattori pertinenti. La portata dell'accreditamento di tale CIS è concordata tra l'autorità contraente e l'NSA/DSA competente.

ALLEGATO A VI

SCAMBIO DI INFORMAZIONI CLASSIFICATE CON STATI TERZI E ORGANIZZAZIONI INTERNAZIONALI

I.   INTRODUZIONE

| 1. | Il presente allegato stabilisce le disposizioni di attuazione dell'articolo 10 dell'allegato A. |
| --- | --- |

1.

Il presente allegato stabilisce le disposizioni di attuazione dell'articolo 10 dell'allegato A.

II.   QUADRI CHE DISCIPLINANO LO SCAMBIO DI INFORMAZIONI CLASSIFICATE

| 2. | Il SEAE può scambiare ICUE con Stati terzi o un'organizzazione internazionale ai sensi dell'articolo 10, paragrafo 1, dell'allegato A.
  Per sostenere l'Alto rappresentante (AR) nell'adempimento delle responsabilità di cui all'articolo 218 del trattato sul funzionamento dell'Unione europea:






  (a) | il dipartimento geografico o tematico pertinente del SEAE, in consultazione con la direzione del SEAE responsabile della sicurezza, individua, se del caso, la necessità di scambi di ICUE a lungo termine con lo Stato terzo o l'organizzazione internazionale interessati; |
| --- | --- | --- |

2.

Il SEAE può scambiare ICUE con Stati terzi o un'organizzazione internazionale ai sensi dell'articolo 10, paragrafo 1, dell'allegato A.

Per sostenere l'Alto rappresentante (AR) nell'adempimento delle responsabilità di cui all'articolo 218 del trattato sul funzionamento dell'Unione europea:

(a)

il dipartimento geografico o tematico pertinente del SEAE, in consultazione con la direzione del SEAE responsabile della sicurezza, individua, se del caso, la necessità di scambi di ICUE a lungo termine con lo Stato terzo o l'organizzazione internazionale interessati;

| (b) | la direzione del SEAE responsabile della sicurezza, in consultazione con il competente dipartimento geografico del SEAE, presenta all'AR, se del caso, progetti di testi da proporre al Consiglio a norma dell'articolo 218, paragrafi 3, 5 e 6 del TFUE; |
| --- | --- |

(b)

la direzione del SEAE responsabile della sicurezza, in consultazione con il competente dipartimento geografico del SEAE, presenta all'AR, se del caso, progetti di testi da proporre al Consiglio a norma dell'articolo 218, paragrafi 3, 5 e 6 del TFUE;

| (c) | la direzione del SEAE responsabile della sicurezza sostiene l'AR nella conduzione di negoziati, in coordinamento con i competenti servizi della Commissione e del Segretariato generale del Consiglio; |
| --- | --- |

(c)

la direzione del SEAE responsabile della sicurezza sostiene l'AR nella conduzione di negoziati, in coordinamento con i competenti servizi della Commissione e del Segretariato generale del Consiglio;

| (d) | in relazione ad accordi o intese con Stati terzi per la loro partecipazione a operazioni PSDC di gestione delle crisi di cui all'articolo 10, paragrafo 1, lettera c), dell'allegato A, la direzione Gestione delle crisi e pianificazione del SEAE, di concerto con i competenti servizi del SEAE, presenta se del caso all'AR progetti di testi da proporre al Consiglio a norma dell'articolo 218, paragrafi 3, 5 e 6 del TFUE, e sostiene l'AR nella conduzione di negoziati in coordinamento con i competenti servizi del SEAE e del Segretariato generale del Consiglio. |
| --- | --- |

(d)

in relazione ad accordi o intese con Stati terzi per la loro partecipazione a operazioni PSDC di gestione delle crisi di cui all'articolo 10, paragrafo 1, lettera c), dell'allegato A, la direzione Gestione delle crisi e pianificazione del SEAE, di concerto con i competenti servizi del SEAE, presenta se del caso all'AR progetti di testi da proporre al Consiglio a norma dell'articolo 218, paragrafi 3, 5 e 6 del TFUE, e sostiene l'AR nella conduzione di negoziati in coordinamento con i competenti servizi del SEAE e del Segretariato generale del Consiglio.

| 3. | Se gli accordi sulla sicurezza delle informazioni prevedono modalità tecniche di attuazione da concordare tra la direzione del SEAE responsabile della sicurezza — in coordinamento con la direzione «Sicurezza» della direzione generale Risorse umane e sicurezza della Commissione e il servizio di sicurezza del Segretariato generale del Consiglio — e l'autorità competente in materia di sicurezza dello Stato terzo o dell'organizzazione internazionale in questione, tali modalità tengono conto del livello di protezione stabilito dalle normative, strutture e procedure esistenti in materia di sicurezza nello Stato terzo o nell'organizzazione internazionale in questione. |
| --- | --- |

3.

Se gli accordi sulla sicurezza delle informazioni prevedono modalità tecniche di attuazione da concordare tra la direzione del SEAE responsabile della sicurezza — in coordinamento con la direzione «Sicurezza» della direzione generale Risorse umane e sicurezza della Commissione e il servizio di sicurezza del Segretariato generale del Consiglio — e l'autorità competente in materia di sicurezza dello Stato terzo o dell'organizzazione internazionale in questione, tali modalità tengono conto del livello di protezione stabilito dalle normative, strutture e procedure esistenti in materia di sicurezza nello Stato terzo o nell'organizzazione internazionale in questione.

| 4. | Qualora per il SEAE sussista la necessità a lungo termine di scambiare informazioni classificate di livello non superiore, in linea di principio, a RESTREINT UE/EU RESTRICTED con uno Stato terzo o un'organizzazione internazionale e sia stato accertato che il terzo in questione non possiede un sistema di sicurezza sufficientemente sviluppato da consentirgli di concludere un accordo sulla sicurezza delle informazioni, l'AR, previo parere favorevole unanime del Comitato per la sicurezza del SEAE e conformemente all'articolo 15, paragrafo 5, della presente decisione, può concludere un'intesa amministrativa con le autorità di sicurezza competenti dello Stato terzo o dell'organizzazione internazionale in questione. |
| --- | --- |

4.

Qualora per il SEAE sussista la necessità a lungo termine di scambiare informazioni classificate di livello non superiore, in linea di principio, a RESTREINT UE/EU RESTRICTED con uno Stato terzo o un'organizzazione internazionale e sia stato accertato che il terzo in questione non possiede un sistema di sicurezza sufficientemente sviluppato da consentirgli di concludere un accordo sulla sicurezza delle informazioni, l'AR, previo parere favorevole unanime del Comitato per la sicurezza del SEAE e conformemente all'articolo 15, paragrafo 5, della presente decisione, può concludere un'intesa amministrativa con le autorità di sicurezza competenti dello Stato terzo o dell'organizzazione internazionale in questione.

| 5. | Le ICUE non sono scambiate per via elettronica con uno Stato terzo o un'organizzazione internazionale se non esplicitamente previsto dall'accordo sulla sicurezza delle informazioni o dall'intesa amministrativa. |
| --- | --- |

5.

Le ICUE non sono scambiate per via elettronica con uno Stato terzo o un'organizzazione internazionale se non esplicitamente previsto dall'accordo sulla sicurezza delle informazioni o dall'intesa amministrativa.

| 6. | Nell'ambito di un'intesa amministrativa sullo scambio di informazioni classificate, il SEAE e lo Stato terzo o l'organizzazione internazionale designano ciascuno un ufficio di registrazione come principale punto d'ingresso e uscita delle informazioni classificate scambiate. Per il SEAE, tale ufficio è l'ufficio centrale di registrazione del SEAE. |
| --- | --- |

6.

Nell'ambito di un'intesa amministrativa sullo scambio di informazioni classificate, il SEAE e lo Stato terzo o l'organizzazione internazionale designano ciascuno un ufficio di registrazione come principale punto d'ingresso e uscita delle informazioni classificate scambiate. Per il SEAE, tale ufficio è l'ufficio centrale di registrazione del SEAE.

| 7. | Le intese amministrative assumono di norma la forma di uno scambio di lettere. |
| --- | --- |

7.

Le intese amministrative assumono di norma la forma di uno scambio di lettere.

III.   VISITE DI VALUTAZIONE

| 8. | Le visite di valutazione di cui all'articolo 17 della presente decisione sono effettuate di comune accordo con lo Stato terzo o l'organizzazione internazionale in questione, e valutano:






  (a) | il quadro normativo applicabile per la protezione delle informazioni classificate; |
| --- | --- | --- |

8.

Le visite di valutazione di cui all'articolo 17 della presente decisione sono effettuate di comune accordo con lo Stato terzo o l'organizzazione internazionale in questione, e valutano:

(a)

il quadro normativo applicabile per la protezione delle informazioni classificate;

| (b) | eventuali aspetti specifici di leggi, regolamenti, politiche o procedure in materia di sicurezza dello Stato terzo o dell'organizzazione internazionale che possano incidere sul livello massimo delle informazioni classificate che possono essere scambiate; |
| --- | --- |

(b)

eventuali aspetti specifici di leggi, regolamenti, politiche o procedure in materia di sicurezza dello Stato terzo o dell'organizzazione internazionale che possano incidere sul livello massimo delle informazioni classificate che possono essere scambiate;

| (c) | le procedure e misure di sicurezza in vigore per la protezione delle informazioni classificate; e |
| --- | --- |

(c)

le procedure e misure di sicurezza in vigore per la protezione delle informazioni classificate; e

| (d) | le procedure per il nulla osta di sicurezza per il livello delle ICUE da comunicare. |
| --- | --- |

(d)

le procedure per il nulla osta di sicurezza per il livello delle ICUE da comunicare.

| 9. | Non si procede allo scambio di ICUE prima che sia stata effettuata una visita di valutazione e sia stato determinato il livello al quale possono essere scambiate informazioni classificate tra le parti sulla base dell'equivalenza del livello di protezione che sarà loro assicurato.
  Se, in attesa di tale visita di valutazione, l'AR è messo a conoscenza di motivi urgenti o eccezionali per scambiare informazioni classificate, il SEAE:






  (a) | ottiene anzitutto il consenso scritto dell'originatore al fine di accertare l'assenza di obiezioni al loro rilascio; |
| --- | --- | --- |

9.

Non si procede allo scambio di ICUE prima che sia stata effettuata una visita di valutazione e sia stato determinato il livello al quale possono essere scambiate informazioni classificate tra le parti sulla base dell'equivalenza del livello di protezione che sarà loro assicurato.

Se, in attesa di tale visita di valutazione, l'AR è messo a conoscenza di motivi urgenti o eccezionali per scambiare informazioni classificate, il SEAE:

(a)

ottiene anzitutto il consenso scritto dell'originatore al fine di accertare l'assenza di obiezioni al loro rilascio;

| (b) | consulta l'autorità di sicurezza del SEAE, che può decidere di rilasciarle previo parere favorevole unanime degli Stati membri rappresentati in seno al Comitato per la sicurezza del SEAE. |
| --- | --- |

(b)

consulta l'autorità di sicurezza del SEAE, che può decidere di rilasciarle previo parere favorevole unanime degli Stati membri rappresentati in seno al Comitato per la sicurezza del SEAE.

Qualora il SEAE non sia in grado di stabilire l'originatore, l'autorità di sicurezza del SEAE si assume la responsabilità dell'originatore, previo parere favorevole unanime del Comitato per la sicurezza del SEAE.

IV.   FACOLTÀ DI COMUNICARE ICUE A STATI TERZI O ORGANIZZAZIONI INTERNAZIONALI

| 10. | Qualora esista un quadro in conformità all'articolo 10, paragrafo 1, dell'allegato A per lo scambio di informazioni classificate con uno Stato terzo o un'organizzazione internazionale, la decisione del SEAE di comunicare ICUE a uno Stato terzo o a un'organizzazione internazionale è presa dall'autorità di sicurezza del SEAE che può delegare tale autorizzazione ad alti funzionari del SEAE o ad altre persone poste sotto la sua autorità. |
| --- | --- |

10.

Qualora esista un quadro in conformità all'articolo 10, paragrafo 1, dell'allegato A per lo scambio di informazioni classificate con uno Stato terzo o un'organizzazione internazionale, la decisione del SEAE di comunicare ICUE a uno Stato terzo o a un'organizzazione internazionale è presa dall'autorità di sicurezza del SEAE che può delegare tale autorizzazione ad alti funzionari del SEAE o ad altre persone poste sotto la sua autorità.

| 11. | Se l'originatore delle informazioni classificate da comunicare, compresi gli originatori del materiale di base in esse eventualmente presente, non è il SEAE, quest'ultimo ne ottiene anzitutto il consenso scritto al fine di accertare l'assenza di obiezioni al rilascio. Se il SEAE non è in grado di stabilire l'originatore, l'autorità di sicurezza del SEAE si assume la responsabilità dell'originatore, previo parere favorevole unanime degli Stati membri rappresentati in seno al Comitato per la sicurezza del SEAE. |
| --- | --- |

11.

Se l'originatore delle informazioni classificate da comunicare, compresi gli originatori del materiale di base in esse eventualmente presente, non è il SEAE, quest'ultimo ne ottiene anzitutto il consenso scritto al fine di accertare l'assenza di obiezioni al rilascio. Se il SEAE non è in grado di stabilire l'originatore, l'autorità di sicurezza del SEAE si assume la responsabilità dell'originatore, previo parere favorevole unanime degli Stati membri rappresentati in seno al Comitato per la sicurezza del SEAE.

V.   COMUNICAZIONE ECCEZIONALE AD HOC DI ICUE

| 12. | In assenza di uno dei quadri di cui all'articolo 10, paragrafo 1, dell'allegato A, e se gli interessi dell'UE o di uno o più Stati membri richiedono il rilascio di ICUE per motivi politici, operativi o urgenti, queste possono essere eccezionalmente comunicate a uno Stato terzo o a un'organizzazione internazionale una volta intraprese le azioni che seguono.
  La direzione del SEAE responsabile della sicurezza, dopo aver accertato che le condizioni di cui al punto 11 sono soddisfatte:






  (a) | per quanto possibile, verifica con le autorità di sicurezza dello Stato terzo o dell'organizzazione internazionale in questione che le loro normative, strutture e procedure in materia di sicurezza siano tali da garantire che le ICUE ad essi comunicate saranno protette secondo criteri non meno rigorosi di quelli previsti nella presente decisione; |
| --- | --- | --- |

12.

In assenza di uno dei quadri di cui all'articolo 10, paragrafo 1, dell'allegato A, e se gli interessi dell'UE o di uno o più Stati membri richiedono il rilascio di ICUE per motivi politici, operativi o urgenti, queste possono essere eccezionalmente comunicate a uno Stato terzo o a un'organizzazione internazionale una volta intraprese le azioni che seguono.

La direzione del SEAE responsabile della sicurezza, dopo aver accertato che le condizioni di cui al punto 11 sono soddisfatte:

(a)

per quanto possibile, verifica con le autorità di sicurezza dello Stato terzo o dell'organizzazione internazionale in questione che le loro normative, strutture e procedure in materia di sicurezza siano tali da garantire che le ICUE ad essi comunicate saranno protette secondo criteri non meno rigorosi di quelli previsti nella presente decisione;

| (b) | invita il Comitato per la sicurezza del SEAE a formulare un parere, sulla base delle informazioni disponibili, circa la fiducia che può essere riposta in normative, strutture e procedure in materia di sicurezza dello Stato terzo o dell'organizzazione internazionale a cui devono essere comunicate le ICUE; |
| --- | --- |

(b)

invita il Comitato per la sicurezza del SEAE a formulare un parere, sulla base delle informazioni disponibili, circa la fiducia che può essere riposta in normative, strutture e procedure in materia di sicurezza dello Stato terzo o dell'organizzazione internazionale a cui devono essere comunicate le ICUE;

| (c) | consulta l'autorità di sicurezza del SEAE, che può decidere di rilasciarle previo parere favorevole unanime degli Stati membri rappresentati in seno al Comitato per la sicurezza del SEAE. |
| --- | --- |

(c)

consulta l'autorità di sicurezza del SEAE, che può decidere di rilasciarle previo parere favorevole unanime degli Stati membri rappresentati in seno al Comitato per la sicurezza del SEAE.

| 13. | In assenza di uno dei quadri di cui all'articolo 10, paragrafo 1, dell'allegato A, il terzo in questione si impegna per iscritto a proteggere le ICUE in modo appropriato. |
| --- | --- |

13.

In assenza di uno dei quadri di cui all'articolo 10, paragrafo 1, dell'allegato A, il terzo in questione si impegna per iscritto a proteggere le ICUE in modo appropriato.

Appendice A

Definizioni

Ai fini della presente decisione s'intende per:

| | «accreditamento», il processo che porta a una dichiarazione formale dell'autorità di accreditamento di sicurezza (SAA) con la quale un sistema è abilitato a funzionare con un determinato livello di classifica, in particolari condizioni di sicurezza nel proprio ambiente operativo e ad un livello di rischio accettabile, in base al presupposto dell'attuazione di una serie convenuta di misure di sicurezza a livello tecnico, materiale, organizzativo e procedurale; |
| --- | --- |

«accreditamento», il processo che porta a una dichiarazione formale dell'autorità di accreditamento di sicurezza (SAA) con la quale un sistema è abilitato a funzionare con un determinato livello di classifica, in particolari condizioni di sicurezza nel proprio ambiente operativo e ad un livello di rischio accettabile, in base al presupposto dell'attuazione di una serie convenuta di misure di sicurezza a livello tecnico, materiale, organizzativo e procedurale;

| | «risorsa», qualsiasi cosa che ha valore per un'organizzazione, le sue operazioni economiche e la loro continuità, comprese le risorse dell'informazione che sostengono la missione dell'organizzazione; |
| --- | --- |

«risorsa», qualsiasi cosa che ha valore per un'organizzazione, le sue operazioni economiche e la loro continuità, comprese le risorse dell'informazione che sostengono la missione dell'organizzazione;

| | «autorizzazione di accesso a ICUE», l'autorizzazione rilasciata dall'autorità di sicurezza del SEAE ai sensi della presente decisione previo rilascio di un PSC da parte delle autorità competenti di uno Stato membro, attestante che una persona può avere accesso a ICUE fino a un livello di classifica specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore) e a una data stabilita, a condizione che sia stata accertata la sua necessità di conoscere – cfr. l'articolo 2 dell'allegato A I; |
| --- | --- |

«autorizzazione di accesso a ICUE», l'autorizzazione rilasciata dall'autorità di sicurezza del SEAE ai sensi della presente decisione previo rilascio di un PSC da parte delle autorità competenti di uno Stato membro, attestante che una persona può avere accesso a ICUE fino a un livello di classifica specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore) e a una data stabilita, a condizione che sia stata accertata la sua necessità di conoscere – cfr. l'articolo 2 dell'allegato A I;

| | «violazione» l'atto o l'omissione di una persona contrari alle norme di sicurezza contenute nella presente decisione e/o alle politiche o agli orientamenti di sicurezza che precisano le misure necessarie per la sua attuazione; |
| --- | --- |

«violazione» l'atto o l'omissione di una persona contrari alle norme di sicurezza contenute nella presente decisione e/o alle politiche o agli orientamenti di sicurezza che precisano le misure necessarie per la sua attuazione;

| | «ciclo di vita del CIS», l'intera durata dell'esistenza di un CIS che comprende inizio, concezione, pianificazione, analisi dei requisiti, progettazione, sviluppo, verifica, attuazione, funzionamento, manutenzione e disattivazione; |
| --- | --- |

«ciclo di vita del CIS», l'intera durata dell'esistenza di un CIS che comprende inizio, concezione, pianificazione, analisi dei requisiti, progettazione, sviluppo, verifica, attuazione, funzionamento, manutenzione e disattivazione;

| | «contratto classificato», un contratto di fornitura di beni, di esecuzione di lavori o di prestazione di servizi, stipulato fra il SEAE e un contraente, la cui esecuzione richiede o implica l'accesso a ICUE o la loro produzione; |
| --- | --- |

«contratto classificato», un contratto di fornitura di beni, di esecuzione di lavori o di prestazione di servizi, stipulato fra il SEAE e un contraente, la cui esecuzione richiede o implica l'accesso a ICUE o la loro produzione;

| | «subcontratto classificato», un contratto di fornitura di beni, di esecuzione di lavori o di prestazione di servizi, stipulato fra un contraente del SEAE e un altro contraente (ossia il subcontraente), la cui esecuzione richiede o implica l'accesso a ICUE o la loro produzione; |
| --- | --- |

«subcontratto classificato», un contratto di fornitura di beni, di esecuzione di lavori o di prestazione di servizi, stipulato fra un contraente del SEAE e un altro contraente (ossia il subcontraente), la cui esecuzione richiede o implica l'accesso a ICUE o la loro produzione;

| | «sistema di comunicazione e informazione» (Communication and Information System, CIS) ogni sistema che consente il trattamento delle informazioni in forma elettronica. Un sistema di comunicazione e informazione comprende l'insieme delle risorse necessarie al suo funzionamento, ivi compresi l'infrastruttura, l'organizzazione, il personale e le risorse dell'informazione; cfr. articolo 8, paragrafo 2, dell'allegato A; |
| --- | --- |

«sistema di comunicazione e informazione» (Communication and Information System, CIS) ogni sistema che consente il trattamento delle informazioni in forma elettronica. Un sistema di comunicazione e informazione comprende l'insieme delle risorse necessarie al suo funzionamento, ivi compresi l'infrastruttura, l'organizzazione, il personale e le risorse dell'informazione; cfr. articolo 8, paragrafo 2, dell'allegato A;

| | «compromissione di ICUE», la divulgazione totale o parziale di ICUE a persone o entità non autorizzate; cfr. articolo 9, paragrafo 2; |
| --- | --- |

«compromissione di ICUE», la divulgazione totale o parziale di ICUE a persone o entità non autorizzate; cfr. articolo 9, paragrafo 2;

| | «contraente», una persona fisica o giuridica avente la capacità giuridica di sottoscrivere un contratto; |
| --- | --- |

«contraente», una persona fisica o giuridica avente la capacità giuridica di sottoscrivere un contratto;

| | «prodotti crittografici», algoritmi crittografici, moduli hardware e software crittografici e prodotti comprendenti dettagli di attuazione e documentazione associata e materiale di codifica; |
| --- | --- |

«prodotti crittografici», algoritmi crittografici, moduli hardware e software crittografici e prodotti comprendenti dettagli di attuazione e documentazione associata e materiale di codifica;

| | «operazione PSDC», un'operazione di gestione militare o civile delle crisi ai sensi del titolo V, capo 2, del TUE; |
| --- | --- |

«operazione PSDC», un'operazione di gestione militare o civile delle crisi ai sensi del titolo V, capo 2, del TUE;

| | «declassificazione», la soppressione di qualsiasi classifica di sicurezza; |
| --- | --- |

«declassificazione», la soppressione di qualsiasi classifica di sicurezza;

| | «difesa in profondità», l'applicazione di una serie di misure di sicurezza organizzate come fasi multiple di difesa; |
| --- | --- |

«difesa in profondità», l'applicazione di una serie di misure di sicurezza organizzate come fasi multiple di difesa;

| | «autorità di sicurezza designata» (Designated Security Authority, DSA), l'autorità che fa capo all'autorità di sicurezza nazionale (National Security Authority, NSA) di uno Stato membro, incaricata di comunicare ai soggetti industriali o di altra natura la linea politica nazionale riguardo a tutti gli aspetti della sicurezza industriale e di fornire guida e assistenza nell'attuazione della medesima. La funzione della DSA può essere espletata dall'NSA o da qualsiasi altra autorità competente; |
| --- | --- |

«autorità di sicurezza designata» (Designated Security Authority, DSA), l'autorità che fa capo all'autorità di sicurezza nazionale (National Security Authority, NSA) di uno Stato membro, incaricata di comunicare ai soggetti industriali o di altra natura la linea politica nazionale riguardo a tutti gli aspetti della sicurezza industriale e di fornire guida e assistenza nell'attuazione della medesima. La funzione della DSA può essere espletata dall'NSA o da qualsiasi altra autorità competente;

| | «documento», qualsiasi informazione registrata, a prescindere dalla forma o dalle caratteristiche materiali; |
| --- | --- |

«documento», qualsiasi informazione registrata, a prescindere dalla forma o dalle caratteristiche materiali;

| | «declassamento», una riduzione del livello di classifica di sicurezza; |
| --- | --- |

«declassamento», una riduzione del livello di classifica di sicurezza;

| | «informazioni classificate UE» (ICUE), qualsiasi informazione o qualsiasi materiale designati da una classifica di sicurezza UE, la cui divulgazione non autorizzata potrebbe recare in varia misura pregiudizio agli interessi dell'Unione europea o di uno o più Stati membri; cfr. articolo 2, lettera f); |
| --- | --- |

«informazioni classificate UE» (ICUE), qualsiasi informazione o qualsiasi materiale designati da una classifica di sicurezza UE, la cui divulgazione non autorizzata potrebbe recare in varia misura pregiudizio agli interessi dell'Unione europea o di uno o più Stati membri; cfr. articolo 2, lettera f);

| | «nulla osta di sicurezza delle imprese» (Facility Security Clearance, FSC), una decisione amministrativa di un'NSA o DSA, secondo la quale un'impresa è in grado, sotto il profilo della sicurezza, di offrire un adeguato livello di protezione alle ICUE di un determinato livello di classifica di sicurezza e il personale di detta impresa che deve accedere alle ICUE ha debitamente ottenuto il nulla osta di sicurezza ed è stato istruito sui pertinenti requisiti di sicurezza necessari per l'accesso e la protezione delle ICUE; |
| --- | --- |

«nulla osta di sicurezza delle imprese» (Facility Security Clearance, FSC), una decisione amministrativa di un'NSA o DSA, secondo la quale un'impresa è in grado, sotto il profilo della sicurezza, di offrire un adeguato livello di protezione alle ICUE di un determinato livello di classifica di sicurezza e il personale di detta impresa che deve accedere alle ICUE ha debitamente ottenuto il nulla osta di sicurezza ed è stato istruito sui pertinenti requisiti di sicurezza necessari per l'accesso e la protezione delle ICUE;

| | «trattamento» delle ICUE, qualsiasi azione di cui possono essere oggetto le ICUE nel loro ciclo di vita. Ciò comprende la loro creazione, elaborazione, trasporto, declassamento, declassificazione e distruzione. In relazione al CIS il trattamento comprende anche raccolta, visualizzazione, trasmissione e conservazione; |
| --- | --- |

«trattamento» delle ICUE, qualsiasi azione di cui possono essere oggetto le ICUE nel loro ciclo di vita. Ciò comprende la loro creazione, elaborazione, trasporto, declassamento, declassificazione e distruzione. In relazione al CIS il trattamento comprende anche raccolta, visualizzazione, trasmissione e conservazione;

| | «detentore», una persona debitamente autorizzata con una necessità di conoscere stabilita, che detiene un elemento di ICUE ed è di conseguenza responsabile della sua protezione; |
| --- | --- |

«detentore», una persona debitamente autorizzata con una necessità di conoscere stabilita, che detiene un elemento di ICUE ed è di conseguenza responsabile della sua protezione;

| | «soggetto industriale o di altra natura», un soggetto che si occupa della fornitura di beni, dell'esecuzione di lavori o della prestazione di servizi; può trattarsi di un soggetto del settore industriale, commerciale, di servizi, scientifico, di ricerca, didattico o di sviluppo, ovvero di un lavoratore autonomo; |
| --- | --- |

«soggetto industriale o di altra natura», un soggetto che si occupa della fornitura di beni, dell'esecuzione di lavori o della prestazione di servizi; può trattarsi di un soggetto del settore industriale, commerciale, di servizi, scientifico, di ricerca, didattico o di sviluppo, ovvero di un lavoratore autonomo;

| | «sicurezza industriale», l'applicazione di misure che assicurino la protezione delle ICUE da parte di contraenti o subcontraenti in sede di negoziati precontrattuali e lungo tutto il ciclo di vita dei contratti classificati; cfr. articolo 9, paragrafo 1, dell'allegato A; |
| --- | --- |

«sicurezza industriale», l'applicazione di misure che assicurino la protezione delle ICUE da parte di contraenti o subcontraenti in sede di negoziati precontrattuali e lungo tutto il ciclo di vita dei contratti classificati; cfr. articolo 9, paragrafo 1, dell'allegato A;

| | «garanzia di sicurezza delle informazioni (Information Assurance, IA)» nel campo dei sistemi di comunicazione e informazione, la fiducia nel fatto che tali sistemi proteggeranno le informazioni che trattano e funzioneranno nel modo dovuto e a tempo debito sotto il controllo degli utenti legittimi. Una IA efficace garantisce gli adeguati livelli di riservatezza, integrità, disponibilità, non disconoscibilità e autenticità. L'IA si basa su una procedura di gestione del rischio; cfr. articolo 8, paragrafo 1, dell'allegato A; |
| --- | --- |

«garanzia di sicurezza delle informazioni (Information Assurance, IA)» nel campo dei sistemi di comunicazione e informazione, la fiducia nel fatto che tali sistemi proteggeranno le informazioni che trattano e funzioneranno nel modo dovuto e a tempo debito sotto il controllo degli utenti legittimi. Una IA efficace garantisce gli adeguati livelli di riservatezza, integrità, disponibilità, non disconoscibilità e autenticità. L'IA si basa su una procedura di gestione del rischio; cfr. articolo 8, paragrafo 1, dell'allegato A;

| | «interconnessione» ai fini della presente decisione, è la connessione diretta tra due o più sistemi TI ai fini della condivisione dei dati e delle altre risorse dell'informazione (ad esempio comunicazione) in modo unidirezionale o multidirezionale; cfr. allegato A IV, punto 31; |
| --- | --- |

«interconnessione» ai fini della presente decisione, è la connessione diretta tra due o più sistemi TI ai fini della condivisione dei dati e delle altre risorse dell'informazione (ad esempio comunicazione) in modo unidirezionale o multidirezionale; cfr. allegato A IV, punto 31;

| | «gestione delle informazioni classificate», l'applicazione di misure amministrative intese a controllare le ICUE per tutto il loro ciclo di vita al fine di integrare le misure previste agli articoli 5, 6 e 8 e in tal modo contribuire a scoraggiare, scoprire e porre rimedio ai casi di compromissione o perdita intenzionale o accidentale di tali informazioni. Dette misure riguardano in particolare la creazione, la registrazione, la riproduzione, la traduzione, il trasporto, il trattamento, la conservazione e la distruzione di ICUE; cfr. articolo 7, paragrafo 1, dell'allegato A; |
| --- | --- |

«gestione delle informazioni classificate», l'applicazione di misure amministrative intese a controllare le ICUE per tutto il loro ciclo di vita al fine di integrare le misure previste agli articoli 5, 6 e 8 e in tal modo contribuire a scoraggiare, scoprire e porre rimedio ai casi di compromissione o perdita intenzionale o accidentale di tali informazioni. Dette misure riguardano in particolare la creazione, la registrazione, la riproduzione, la traduzione, il trasporto, il trattamento, la conservazione e la distruzione di ICUE; cfr. articolo 7, paragrafo 1, dell'allegato A;

| | «materiale», qualsiasi documento o elemento di macchinario o attrezzatura, sia sotto forma di prodotto finito sia in corso di lavorazione; |
| --- | --- |

«materiale», qualsiasi documento o elemento di macchinario o attrezzatura, sia sotto forma di prodotto finito sia in corso di lavorazione;

| | «originatore», l'istituzione, l'agenzia o l'organo dell'UE, lo Stato membro, lo Stato terzo o l'organizzazione internazionale sotto la cui autorità sono state create e/o introdotte nelle strutture dell'UE informazioni classificate; |
| --- | --- |

«originatore», l'istituzione, l'agenzia o l'organo dell'UE, lo Stato membro, lo Stato terzo o l'organizzazione internazionale sotto la cui autorità sono state create e/o introdotte nelle strutture dell'UE informazioni classificate;

| | «sicurezza del personale», l'applicazione di misure volte a garantire che l'accesso alle ICUE sia consentito solo alle persone che:






  — | hanno necessità di conoscere; |
| --- | --- | --- |

«sicurezza del personale», l'applicazione di misure volte a garantire che l'accesso alle ICUE sia consentito solo alle persone che:

—

hanno necessità di conoscere;

| — | per l'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, hanno ottenuto il nulla osta di sicurezza del livello adatto o sono in altro modo debitamente autorizzate in virtù delle loro funzioni secondo le disposizioni legislative e regolamentari nazionali; e |
| --- | --- |

—

per l'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, hanno ottenuto il nulla osta di sicurezza del livello adatto o sono in altro modo debitamente autorizzate in virtù delle loro funzioni secondo le disposizioni legislative e regolamentari nazionali; e

| — | sono state informate delle proprie responsabilità in materia; |
| --- | --- |

—

sono state informate delle proprie responsabilità in materia;

cfr. articolo 5, paragrafo 1, dell'allegato A;

| | «nulla osta di sicurezza personale» (Personnel Security Clearance, PSC) per l'accesso alle ICUE, una dichiarazione rilasciata da un'autorità competente di uno Stato membro fatta al termine di un'indagine di sicurezza condotta dalle autorità competenti di uno Stato membro e attestante che una persona può avere accesso a ICUE fino a un livello di classifica specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), e a una data stabilita, a condizione che sia stata accertata la sua necessità di conoscere; la persona così descritta è in possesso del «nulla osta di sicurezza». |
| --- | --- |

«nulla osta di sicurezza personale» (Personnel Security Clearance, PSC) per l'accesso alle ICUE, una dichiarazione rilasciata da un'autorità competente di uno Stato membro fatta al termine di un'indagine di sicurezza condotta dalle autorità competenti di uno Stato membro e attestante che una persona può avere accesso a ICUE fino a un livello di classifica specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), e a una data stabilita, a condizione che sia stata accertata la sua necessità di conoscere; la persona così descritta è in possesso del «nulla osta di sicurezza».

| | «certificato di nulla osta di sicurezza del personale» («Personnel Security Clearance Certificate, PSCC»), certificato rilasciato da un'autorità competente attestante che una persona è in possesso del nulla osta di sicurezza e detiene un PSC o un'autorizzazione di accesso alle ICUE in corso di validità, rilasciati dal capo della direzione responsabile della sicurezza, in cui figura il livello di ICUE cui detta persona può accedere (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), la data di validità del relativo PSC e la data di scadenza del certificato stesso; |
| --- | --- |

«certificato di nulla osta di sicurezza del personale» («Personnel Security Clearance Certificate, PSCC»), certificato rilasciato da un'autorità competente attestante che una persona è in possesso del nulla osta di sicurezza e detiene un PSC o un'autorizzazione di accesso alle ICUE in corso di validità, rilasciati dal capo della direzione responsabile della sicurezza, in cui figura il livello di ICUE cui detta persona può accedere (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), la data di validità del relativo PSC e la data di scadenza del certificato stesso;

| | «sicurezza materiale», l'applicazione di misure di protezione materiali e tecniche volte ad impedire l'accesso non autorizzato alle ICUE; cfr. articolo 6 dell'allegato A; |
| --- | --- |

«sicurezza materiale», l'applicazione di misure di protezione materiali e tecniche volte ad impedire l'accesso non autorizzato alle ICUE; cfr. articolo 6 dell'allegato A;

| | «istruzioni di sicurezza del programma/progetto» (Programme/Project Security Instruction, PSI), un elenco delle procedure di sicurezza che sono applicate a un programma/progetto specifico per uniformare le stesse procedure di sicurezza. Detto elenco può essere riveduto per tutta la durata del programma/progetto; |
| --- | --- |

«istruzioni di sicurezza del programma/progetto» (Programme/Project Security Instruction, PSI), un elenco delle procedure di sicurezza che sono applicate a un programma/progetto specifico per uniformare le stesse procedure di sicurezza. Detto elenco può essere riveduto per tutta la durata del programma/progetto;

| | «registrazione», l'applicazione di procedure che registrano il ciclo di vita delle informazioni, ivi comprese la diffusione e la distruzione; cfr. allegato A III, punto 21; |
| --- | --- |

«registrazione», l'applicazione di procedure che registrano il ciclo di vita delle informazioni, ivi comprese la diffusione e la distruzione; cfr. allegato A III, punto 21;

| | «rischio residuo», il rischio che resta una volta attuate le misure di sicurezza, dato che non tutte le minacce possono essere neutralizzate né tutte le vulnerabilità eliminate; |
| --- | --- |

«rischio residuo», il rischio che resta una volta attuate le misure di sicurezza, dato che non tutte le minacce possono essere neutralizzate né tutte le vulnerabilità eliminate;

| | «rischio», la possibilità che una data minaccia sfrutti le vulnerabilità interne ed esterne di un'organizzazione o di uno qualsiasi dei sistemi da essa utilizzati, arrecando pertanto danno all'organizzazione o ai suoi beni materiali o immateriali. È calcolato come una combinazione tra le probabilità del verificarsi delle minacce e il loro impatto; |
| --- | --- |

«rischio», la possibilità che una data minaccia sfrutti le vulnerabilità interne ed esterne di un'organizzazione o di uno qualsiasi dei sistemi da essa utilizzati, arrecando pertanto danno all'organizzazione o ai suoi beni materiali o immateriali. È calcolato come una combinazione tra le probabilità del verificarsi delle minacce e il loro impatto;

| | «accettazione del rischio», la decisione di accettare la permanenza di un rischio residuo in seguito al trattamento del rischio; |
| --- | --- |

«accettazione del rischio», la decisione di accettare la permanenza di un rischio residuo in seguito al trattamento del rischio;

| | «valutazione del rischio», l'identificazione delle minacce e delle vulnerabilità e l'esecuzione delle relative analisi del rischio, ossia l'analisi della probabilità e dell'impatto; |
| --- | --- |

«valutazione del rischio», l'identificazione delle minacce e delle vulnerabilità e l'esecuzione delle relative analisi del rischio, ossia l'analisi della probabilità e dell'impatto;

| | «comunicazione del rischio» consiste nello sviluppare la sensibilizzazione ai rischi tra le comunità di utenti del CIS, informando di tali rischi le autorità di approvazione e riferendo sugli stessi alle autorità operative, |
| --- | --- |

«comunicazione del rischio» consiste nello sviluppare la sensibilizzazione ai rischi tra le comunità di utenti del CIS, informando di tali rischi le autorità di approvazione e riferendo sugli stessi alle autorità operative,

| | «procedura di gestione del rischio», l'intera procedura di individuazione, controllo e riduzione al minimo di eventi incerti che possono incidere sulla sicurezza di un'organizzazione o di un qualsiasi sistema in uso. Contempla tutte le attività correlate al rischio, tra cui la valutazione, il trattamento, l'accettazione e la comunicazione; |
| --- | --- |

«procedura di gestione del rischio», l'intera procedura di individuazione, controllo e riduzione al minimo di eventi incerti che possono incidere sulla sicurezza di un'organizzazione o di un qualsiasi sistema in uso. Contempla tutte le attività correlate al rischio, tra cui la valutazione, il trattamento, l'accettazione e la comunicazione;

| | «trattamento del rischio», consiste nel mitigare, rimuovere, ridurre (tramite un'opportuna combinazione di misure tecniche, materiali, organizzative o procedurali), trasferire o controllare il rischio. |
| --- | --- |

«trattamento del rischio», consiste nel mitigare, rimuovere, ridurre (tramite un'opportuna combinazione di misure tecniche, materiali, organizzative o procedurali), trasferire o controllare il rischio.

| | «lettera sugli aspetti di sicurezza» (Security Aspects Letter, SAL), il pacchetto di condizioni contrattuali specifiche emesso dall'autorità contraente, che è parte integrante di un contratto classificato implicante l'accesso o la creazione di ICUE e in cui sono individuati i requisiti di sicurezza o gli elementi del contratto che richiedono una protezione di sicurezza; cfr. allegato A V, sezione II; |
| --- | --- |

«lettera sugli aspetti di sicurezza» (Security Aspects Letter, SAL), il pacchetto di condizioni contrattuali specifiche emesso dall'autorità contraente, che è parte integrante di un contratto classificato implicante l'accesso o la creazione di ICUE e in cui sono individuati i requisiti di sicurezza o gli elementi del contratto che richiedono una protezione di sicurezza; cfr. allegato A V, sezione II;

| | «guida alle classifiche di sicurezza» (Security Classification Guide, SCG), il documento che illustra gli elementi di un programma o di un contratto classificati e precisa i livelli di classifica di sicurezza applicabili. L'SCG può essere integrata per tutta la durata del programma o del contratto e gli elementi informativi possono essere riclassificati o declassati; laddove è presente, la SCG fa parte della SAL; cfr. allegato A V, sezione II; |
| --- | --- |

«guida alle classifiche di sicurezza» (Security Classification Guide, SCG), il documento che illustra gli elementi di un programma o di un contratto classificati e precisa i livelli di classifica di sicurezza applicabili. L'SCG può essere integrata per tutta la durata del programma o del contratto e gli elementi informativi possono essere riclassificati o declassati; laddove è presente, la SCG fa parte della SAL; cfr. allegato A V, sezione II;

| | «indagine di sicurezza», le procedure investigative condotte dall'autorità competente di uno Stato membro conformemente alle disposizioni legislative e regolamentari nazionali volte ad accertare l'inesistenza di informazioni negative note sul conto di una persona che osterebbero alla concessione in suo favore di un PSC nazionale o UE per accedere a ICUE fino a un livello specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore); |
| --- | --- |

«indagine di sicurezza», le procedure investigative condotte dall'autorità competente di uno Stato membro conformemente alle disposizioni legislative e regolamentari nazionali volte ad accertare l'inesistenza di informazioni negative note sul conto di una persona che osterebbero alla concessione in suo favore di un PSC nazionale o UE per accedere a ICUE fino a un livello specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore);

| | «procedure operative di sicurezza» (Security Operating Procedures, SecOP), la descrizione delle modalità da adottare per l'attuazione della politica di sicurezza, delle procedure operative da seguire e delle responsabilità del personale; |
| --- | --- |

«procedure operative di sicurezza» (Security Operating Procedures, SecOP), la descrizione delle modalità da adottare per l'attuazione della politica di sicurezza, delle procedure operative da seguire e delle responsabilità del personale;

| | «informazioni sensibili non classificate», le informazioni o il materiale che il SEAE deve tutelare in forza degli obblighi giuridici iscritti nei trattati o nei relativi atti di esecuzione, e/o in ragione della loro sensibilità. Le informazioni sensibili non classificate comprendono, ma non solo, le informazioni e il materiale coperti dal segreto professionale di cui all'articolo 339 del TFUE, le informazioni concernenti gli interessi tutelati nell'articolo 4 del regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio (1) in combinato disposto con la pertinente giurisprudenza della Corte di giustizia dell'Unione europea, e i dati personali che rientrano nell'ambito di applicazione del regolamento (CE) n. 45/2001; |
| --- | --- |

«informazioni sensibili non classificate», le informazioni o il materiale che il SEAE deve tutelare in forza degli obblighi giuridici iscritti nei trattati o nei relativi atti di esecuzione, e/o in ragione della loro sensibilità. Le informazioni sensibili non classificate comprendono, ma non solo, le informazioni e il materiale coperti dal segreto professionale di cui all'articolo 339 del TFUE, le informazioni concernenti gli interessi tutelati nell'articolo 4 del regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio (1) in combinato disposto con la pertinente giurisprudenza della Corte di giustizia dell'Unione europea, e i dati personali che rientrano nell'ambito di applicazione del regolamento (CE) n. 45/2001;

| | «dichiarazione relativa ai requisiti di sicurezza specifici» (Specific Security Requirement Statement, SSRS), una serie di principi di sicurezza vincolanti da osservare e di dettagliati requisiti di sicurezza da attuare su cui si fonda il processo di certificazione e di accreditamento dei CIS; |
| --- | --- |

«dichiarazione relativa ai requisiti di sicurezza specifici» (Specific Security Requirement Statement, SSRS), una serie di principi di sicurezza vincolanti da osservare e di dettagliati requisiti di sicurezza da attuare su cui si fonda il processo di certificazione e di accreditamento dei CIS;

| | «TEMPEST», l'indagine, lo studio e il controllo delle radiazioni elettromagnetiche che possono compromettere le informazioni e le misure per eliminarle; |
| --- | --- |

«TEMPEST», l'indagine, lo studio e il controllo delle radiazioni elettromagnetiche che possono compromettere le informazioni e le misure per eliminarle;

| | «minaccia», la causa potenziale di un incidente indesiderato che può recar danno a un'organizzazione o a uno dei sistemi in uso; tali minacce possono essere accidentali o intenzionali (dolose) e sono caratterizzate da elementi di minaccia, potenziali obiettivi e metodologie d'attacco; |
| --- | --- |

«minaccia», la causa potenziale di un incidente indesiderato che può recar danno a un'organizzazione o a uno dei sistemi in uso; tali minacce possono essere accidentali o intenzionali (dolose) e sono caratterizzate da elementi di minaccia, potenziali obiettivi e metodologie d'attacco;

| | «vulnerabilità», una debolezza di qualsiasi tipo che una o più minacce possono sfruttare. La vulnerabilità può derivare da un'omissione o essere legata a una debolezza nei controlli in termini di rigore, completezza o coerenza e può essere di natura tecnica, procedurale, materiale, organizzativa od operativa. |
| --- | --- |

«vulnerabilità», una debolezza di qualsiasi tipo che una o più minacce possono sfruttare. La vulnerabilità può derivare da un'omissione o essere legata a una debolezza nei controlli in termini di rigore, completezza o coerenza e può essere di natura tecnica, procedurale, materiale, organizzativa od operativa.

---

(1)  Regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio, del 30 maggio 2001, relativo all'accesso del pubblico ai documenti del Parlamento europeo, del Consiglio e della Commissione (GU L 145 del 31.5.2001, pag. 43).

Appendice B

Equivalenza delle classifiche di sicurezza

| UE | TRES SECRET UE/EU TOP SECRET | SECRET UE/EU SECRET | CONFIDENTIEL UE/EU CONFIDENTIAL | RESTREINT UE/EU RESTRICTED |
| --- | --- | --- | --- | --- |
| EURATOM | EURA TOP SECRET | EURA SECRET | EURA CONFIDENTIAL | EURA RESTRICTED |
| Belgio | Très Secret (Loi 11.12.1998)
  Zeer Geheim (Wet 11.12.1998) | Secret (Loi 11.12.1998)
  Geheim (Wet 11.12.1998) | Confidentiel (Loi 11.12.1998)
  Vertrouwelijk (Wet 11.12.1998) | Nota (1) infra |
| Bulgaria | Cтpoгo ceкретно | Ceкретно | Поверително | За служебно ползване |
| Repubblica ceca | Přísně tajné | Tajné | Důvěrné | Vyhrazené |
| Danimarca | Yderst hemmeligt | Hemmeligt | Fortroligt | Til tjenestebrug |
| Germania | STRENG GEHEIM | GEHEIM | VS (2) — VERTRAULICH | VS — NUR FÜR DEN DIENSTGEBRAUCH |
| Estonia | Täiesti salajane | Salajane | Konfidentsiaalne | Piiratud |
| Irlanda | Top Secret | Secret | Confidential | Restricted |
| Grecia | Άκρως Απόρρητο
  Abr: ΑΑΠ | Απόρρητο
  Abr: (ΑΠ) | Εμπιστευτικό
  Αbr: (ΕΜ) | Περιορισμένης Χρήσης
  Abr: (ΠΧ) |
| Spagna | SECRETO | RESERVADO | CONFIDENCIAL | DIFUSIÓN LIMITADA |
| Francia | Très Secret Défense | Secret Défense | Confidentiel Défense | Nota (3) infra |
| Croazia | VRLO TAJNO | TAJNO | POVJERLJIVO | OGRANIČENO |
| Italia | Segretissimo | Segreto | Riservatissimo | Riservato |
| Cipro | Άκρως Απόρρητο
  Αbr: (AΑΠ) | Απόρρητο
  Αbr: (ΑΠ) | Εμπιστευτικό
  Αbr: (ΕΜ) | Περιορισμένης Χρήσης
  Αbr: (ΠΧ) |
| Lettonia | Sevišķi slepeni | Slepeni | Konfidenciāli | Dienesta vajadzībām |
| Lituania | Visiškai slaptai | Slaptai | Konfidencialiai | Riboto naudojimo |
| Lussemburgo | Très Secret Lux | Secret Lux | Confidentiel Lux | Restreint Lux |
| Ungheria | «Szigorúan titkos!» | «Titkos!» | «Bizalmas!» | «Korlátozott terjesztésű!» |
| Malta | L—Ogħla Segretezza | Sigriet | Kunfidenzjali | Ristrett |
| Paesi Bassi | Stg. ZEER GEHEIM | Stg. GEHEIM | Stg. CONFIDENTIEEL | Dep. VERTROUWELIJK |
| Austria | Streng Geheim | Geheim | Vertraulich | Eingeschränkt |
| Polonia | Ściśle Tajne | Tajne | Poufne | Zastrzeżone |
| Portogallo | Muito Secreto | Secreto | Confidencial | Reservado |
| Romania | Strict secret de importanță deosebită | Strict secret | Secret | Secret de serviciu |
| Slovenia | Strogo tajno | Tajno | Zaupno | Interno |
| Slovacchia | Prísne tajné | Tajné | Dôverné | Vyhradené |
| Finlandia | ERITTÄIN SALAINEN
  YTTERST HEMLIG | SALAINEN
  HEMLIG | LUOTTAMUKSELLINEN
  KONFIDENTIELL | KÄYTTÖ RAJOITETTU
  BEGRÄNSAD TILLGÅNG |
| Svezia (4) | HEMLIG/TOP SECRET | HEMLIG/SECRET | HEMLIG/CONFIDENTIAL | HEMLIG/RESTRICTED |
| HEMLIG AV SYNNERLIG BETYDELSE FÖR RIKETS SÄKERHET | HEMLIG | HEMLIG | HEMLIG |
| Regno Unito | UK TOP SECRET | UK SECRET | Senza equivalente (5) | UK OFFICIAL — SENSITIVE |

UE

TRES SECRET UE/EU TOP SECRET

SECRET UE/EU SECRET

CONFIDENTIEL UE/EU CONFIDENTIAL

RESTREINT UE/EU RESTRICTED

EURATOM

EURA TOP SECRET

EURA SECRET

EURA CONFIDENTIAL

EURA RESTRICTED

Belgio

Très Secret (Loi 11.12.1998)

Zeer Geheim (Wet 11.12.1998)

Secret (Loi 11.12.1998)

Geheim (Wet 11.12.1998)

Confidentiel (Loi 11.12.1998)

Vertrouwelijk (Wet 11.12.1998)

Nota (1) infra

Bulgaria

Cтpoгo ceкретно

Ceкретно

Поверително

За служебно ползване

Repubblica ceca

Přísně tajné

Tajné

Důvěrné

Vyhrazené

Danimarca

Yderst hemmeligt

Hemmeligt

Fortroligt

Til tjenestebrug

Germania

STRENG GEHEIM

GEHEIM

VS (2) — VERTRAULICH

VS — NUR FÜR DEN DIENSTGEBRAUCH

Estonia

Täiesti salajane

Salajane

Konfidentsiaalne

Piiratud

Irlanda

Top Secret

Secret

Confidential

Restricted

Grecia

Άκρως Απόρρητο

Abr: ΑΑΠ

Απόρρητο

Abr: (ΑΠ)

Εμπιστευτικό

Αbr: (ΕΜ)

Περιορισμένης Χρήσης

Abr: (ΠΧ)

Spagna

SECRETO

RESERVADO

CONFIDENCIAL

DIFUSIÓN LIMITADA

Francia

Très Secret Défense

Secret Défense

Confidentiel Défense

Nota (3) infra

Croazia

VRLO TAJNO

TAJNO

POVJERLJIVO

OGRANIČENO

Italia

Segretissimo

Segreto

Riservatissimo

Riservato

Cipro

Άκρως Απόρρητο

Αbr: (AΑΠ)

Απόρρητο

Αbr: (ΑΠ)

Εμπιστευτικό

Αbr: (ΕΜ)

Περιορισμένης Χρήσης

Αbr: (ΠΧ)

Lettonia

Sevišķi slepeni

Slepeni

Konfidenciāli

Dienesta vajadzībām

Lituania

Visiškai slaptai

Slaptai

Konfidencialiai

Riboto naudojimo

Lussemburgo

Très Secret Lux

Secret Lux

Confidentiel Lux

Restreint Lux

Ungheria

«Szigorúan titkos!»

«Titkos!»

«Bizalmas!»

«Korlátozott terjesztésű!»

Malta

L—Ogħla Segretezza

Sigriet

Kunfidenzjali

Ristrett

Paesi Bassi

Stg. ZEER GEHEIM

Stg. GEHEIM

Stg. CONFIDENTIEEL

Dep. VERTROUWELIJK

Austria

Streng Geheim

Geheim

Vertraulich

Eingeschränkt

Polonia

Ściśle Tajne

Tajne

Poufne

Zastrzeżone

Portogallo

Muito Secreto

Secreto

Confidencial

Reservado

Romania

Strict secret de importanță deosebită

Strict secret

Secret

Secret de serviciu

Slovenia

Strogo tajno

Tajno

Zaupno

Interno

Slovacchia

Prísne tajné

Tajné

Dôverné

Vyhradené

Finlandia

ERITTÄIN SALAINEN

YTTERST HEMLIG

SALAINEN

HEMLIG

LUOTTAMUKSELLINEN

KONFIDENTIELL

KÄYTTÖ RAJOITETTU

BEGRÄNSAD TILLGÅNG

Svezia (4)

HEMLIG/TOP SECRET

HEMLIG/SECRET

HEMLIG/CONFIDENTIAL

HEMLIG/RESTRICTED

HEMLIG AV SYNNERLIG BETYDELSE FÖR RIKETS SÄKERHET

HEMLIG

HEMLIG

HEMLIG

Regno Unito

UK TOP SECRET

UK SECRET

Senza equivalente (5)

UK OFFICIAL — SENSITIVE

---

(1)  Diffusion Restreinte/Beperkte Verspreiding non è una classifica di sicurezza in Belgio. Il Belgio tratta e protegge le informazioni «RESTREINT UE/EU RESTRICTED» in modo non meno rigoroso delle norme e procedure descritte nella normativa di sicurezza del Consiglio dell'Unione europea.

(2)  Germania: VS = Verschlusssache (informazioni classificate).

(3)  La Francia non usa il grado di classifica «RESTREINT» nel proprio sistema nazionale. La Francia tratta e protegge le informazioni «RESTREINT UE/EU RESTRICTED» in modo non meno rigoroso delle norme e procedure descritte nella normativa di sicurezza del Consiglio dell'Unione europea.

(4)  Svezia: i contrassegni di classifica nella riga superiore sono usati dalle autorità della difesa e quelli nella riga inferiore dalle altre autorità.

(5)  Il Regno Unito tratta e protegge le ICUE contrassegnate «CONFIDENTIEL UE/EU CONFIDENTIAL» in conformità ai requisiti protettivi di sicurezza per «UK SECRET».

---