COMMISSIONE EUROPEA Bruxelles, 22.3.2022 COM(2022) 119 final 2022/0084(COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO sulla sicurezza delle informazioni nelle istituzioni, negli organi e negli organismi dell'Unione {SWD(2022) 65 final} - {SWD(2022) 66 final}



RELAZIONE 1.CONTESTO DELLA PROPOSTA •Motivi e obiettivi della proposta La presente proposta fa parte della strategia dell'UE per l'Unione della sicurezza, adottata dalla Commissione il 24 luglio 2020, che enuncia l'impegno ad apportare il valore aggiunto dell'Unione europea agli sforzi nazionali nel settore della sicurezza. Questo impegno include l'iniziativa volta a razionalizzare i quadri giuridici interni per la sicurezza delle informazioni nell'insieme delle istituzioni e degli organi dell'Unione. Un elemento fondamentale dell'agenda strategica per il periodo 2019-2024, adottata dal Consiglio europeo nel giugno 2019, è proteggere le nostre società dalle minacce in continua evoluzione che incombono sulle informazioni trattate dalle istituzioni e dagli organi dell'Unione. Nelle sue conclusioni il Consiglio europeo ha invitato in particolare "le istituzioni dell'UE, insieme agli Stati membri, a lavorare a misure per aumentare la resilienza e migliorare la cultura della sicurezza dell'UE contro le minacce informatiche e ibride provenienti dall'esterno dell'UE, nonché per meglio proteggere da qualsiasi attività dolosa le reti di informazione e di comunicazione dell'UE e i suoi processi decisionali". Analogamente, il Consiglio "Affari generali" del dicembre 2019 ha concluso che le istituzioni e gli organi dell'UE, con il sostegno degli Stati membri, dovrebbero elaborare e mettere in pratica un insieme completo di misure destinate a garantirne la sicurezza. Questa conclusione fa eco alla richiesta di lunga data del comitato per la sicurezza del Consiglio di elaborare un nucleo comune di norme di sicurezza per il Consiglio, la Commissione e il Servizio europeo per l'azione esterna. Attualmente le istituzioni e gli organi dell'Unione hanno le proprie norme di sicurezza delle informazioni, basate sul proprio regolamento interno o atto istitutivo, oppure non ne hanno affatto. È il caso soprattutto di alcune piccole entità, che non dispongono di politiche formali in materia di sicurezza delle informazioni. Considerati il numero sempre crescente di informazioni sensibili non classificate e di informazioni classificate UE ("ICUE") che le istituzioni e gli organi dell'Unione devono condividere tra loro e il drammatico sviluppo del panorama delle minacce, l'amministrazione europea è esposta ad attacchi in tutti i suoi settori di attività. Le informazioni trattate dalle nostre istituzioni e dai nostri organi sono molto interessanti per gli autori delle minacce e devono essere adeguatamente protette. Ciò richiede un'azione rapida per migliorarne la protezione. Pertanto, al fine di aumentare la protezione delle informazioni trattate dall'amministrazione europea, la presente iniziativa mira a razionalizzare i diversi quadri giuridici delle istituzioni e degli organi dell'Unione in questo settore: •stabilendo categorie armonizzate e complete di informazioni, nonché norme comuni in materia di trattamento per tutte le istituzioni e tutti gli organi dell'Unione; •istituendo un sistema snello di cooperazione in materia di sicurezza delle informazioni tra le istituzioni e gli organi dell'Unione, in grado di promuovere una cultura coerente della sicurezza delle informazioni in tutta l'amministrazione europea; •modernizzando le politiche in materia di sicurezza delle informazioni a tutti i livelli di classifica/categorizzazione, per tutte le istituzioni e tutti gli organi dell'Unione, tenendo conto della trasformazione digitale e dello sviluppo del telelavoro come pratica strutturale. •Coerenza con le disposizioni vigenti nel settore normativo interessato L'iniziativa è conforme a un'ampia gamma di politiche dell'UE nel settore della sicurezza e della sicurezza delle informazioni. Nel 2016 il Parlamento europeo e il Consiglio hanno adottato una direttiva recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell'Unione. Tale direttiva è stata la prima misura legislativa a livello dell'UE volta ad aumentare la cooperazione tra gli Stati membri in materia di cibersicurezza. Sebbene nel dicembre 2020 la Commissione abbia adottato una proposta di revisione di tale strumento, che introduce misure di vigilanza per le autorità nazionali, l'amministrazione dell'Unione rimane esclusa dal suo ambito di applicazione. Nella stessa ottica e per integrare gli sforzi degli Stati membri nel settore della sicurezza, è di fondamentale importanza che le istituzioni e gli organi dell'Unione raggiungano un elevato livello di protezione delle loro informazioni e dei relativi sistemi di informazione e comunicazione al fine di salvaguardare la sicurezza delle informazioni. Nel luglio 2020 la Commissione ha adottato la strategia per l'Unione della sicurezza, che comprende un impegno globale dell'UE a integrare gli sforzi degli Stati membri in tutti i settori della sicurezza. Tale strategia, che va dal 2020 al 2025, delinea quattro principali pilastri d'azione: assicurare un ambiente della sicurezza adeguato alle esigenze future, affrontare le minacce in evoluzione, proteggere i cittadini europei dal terrorismo e dalla criminalità organizzata e costruire un forte ecosistema europeo della sicurezza. Molti dei temi affrontati nell'ambito di questi pilastri riguardano la sicurezza delle informazioni, la cibersicurezza, la cooperazione e lo scambio di informazioni e le infrastrutture critiche. In linea con la strategia per l'Unione della sicurezza, la Commissione europea propone la creazione di un insieme minimo di norme in materia di sicurezza delle informazioni in tutte le istituzioni e tutti gli organi dell'Unione, che darà l'avvio a norme comuni rigorose e obbligatorie per lo scambio sicuro di informazioni. La presente iniziativa rappresenta l'impegno delle istituzioni e degli organi a fissare, in seno all'amministrazione europea, lo stesso livello di ambizione nel settore della sicurezza richiesto dagli Stati membri. Il 16 dicembre 2020 la Commissione e l'alto rappresentante per gli affari esteri e la politica di sicurezza hanno presentato una nuova strategia dell'UE per la cibersicurezza, che definisce le priorità e le azioni chiave per rafforzare la resilienza, l'autonomia, la leadership e la capacità operativa dell'Europa di fronte alle minacce crescenti e complesse per le sue reti e i suoi sistemi informativi, e per promuovere un ciberspazio globale e aperto e i relativi partenariati internazionali. È altrettanto importante che le istituzioni e gli organi dell'Unione contribuiscano al conseguimento di tali priorità stabilendo requisiti equivalenti sia nel settore della sicurezza delle informazioni che in quello della cibersicurezza.

La presente proposta, unitamente alla proposta di regolamento che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell'Unione, mira a completare il quadro normativo della strategia per l'Unione della sicurezza con requisiti specifici per l'amministrazione europea. In considerazione delle interconnessioni esistenti tra la sicurezza delle informazioni e la cibersicurezza, è opportuno assicurare che queste due proposte seguano un approccio coerente alla protezione delle informazioni non classificate. •Coerenza con le altre normative dell'Unione La presente iniziativa tiene conto anche di altre normative dell'Unione pertinenti per la sicurezza delle informazioni. Nel settore della protezione dei dati vige il regolamento (UE) 2018/1725 sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell'Unione e sulla libera circolazione di tali dati, applicabile all'amministrazione dell'Unione europea e della Comunità europea dell'energia atomica ("Euratom"). Nella stessa ottica, è necessario ricordare che per alcune istituzioni e alcuni organi dell'Unione i legislatori dell'UE hanno adottato norme specifiche pertinenti per la protezione dei dati personali. Nel settore della trasparenza, la presente proposta si basa sui principi sanciti dal regolamento (CE) n. 1049/2001 relativo all'accesso del pubblico ai documenti del Parlamento europeo, del Consiglio e della Commissione, per quanto riguarda altre norme pertinenti. 2.BASE GIURIDICA, SUSSIDIARIETÀ E PROPORZIONALITÀ •Base giuridica Tenuto conto dell'obiettivo e del contenuto della presente proposta, la sua base giuridica più appropriata è l'articolo 298 del trattato sul funzionamento dell'Unione europea (TFUE) e l'articolo 106 bis del trattato che istituisce la Comunità europea dell'energia atomica. L'articolo 298 TFUE è stato introdotto dal trattato di Lisbona e consente ai legislatori di stabilire disposizioni per creare un'amministrazione efficace e indipendente che assista le istituzioni, gli organi e gli organismi nell'assolvimento dei loro compiti. Un'amministrazione efficace e indipendente ha bisogno che sia garantita la sicurezza delle sue informazioni. Al fine di svolgere i loro compiti, le istituzioni e gli organi dell'Unione devono disporre di un ambiente sicuro per le informazioni che trattano e conservano quotidianamente. Inoltre, fornire una base comune di norme obbligatorie per tutti garantirebbe un elevato livello di sicurezza, ridurrebbe il rischio di anelli deboli nel sostegno all'interoperabilità tra le istituzioni e gli organi e stimolerebbe le sinergie, rafforzando in tal modo la resilienza dell'amministrazione di fronte alle minacce in evoluzione. Peraltro, perseguendo l'obiettivo generale di conseguire un elevato livello comune di sicurezza per le ICUE e le informazioni non classificate trattate e conservate dalle istituzioni e dagli organi dell'Unione, la presente proposta consente all'amministrazione europea di proteggersi meglio dalle interferenze esterne e dalle attività di spionaggio. L'articolo 298 TFUE consente all'Unione di stabilire norme comuni per l'intera amministrazione europea al fine di garantire che tutte le istituzioni e tutti gli organi dell'Unione trattino le ICUE e le informazioni non classificate allo stesso modo. Il regolamento proposto stabilisce pertanto norme applicabili all'amministrazione e può indirettamente imporre obblighi solo alle persone che svolgono compiti per conto di tale amministrazione o su base contrattuale (esclusi i commissari, i rappresentanti degli Stati membri che agiscono in seno al Consiglio, i membri del Parlamento europeo, i giudici degli organi giurisdizionali dell'Unione o i membri della Corte dei conti europea). Conformemente all'articolo 298 TFUE, il Parlamento europeo e il Consiglio deliberano mediante regolamento e secondo la procedura legislativa ordinaria. La presente proposta necessita di una base giuridica supplementare in quanto copre anche le informazioni relative ad alcune attività della Comunità europea dell'energia atomica. Tali informazioni non sono informazioni classificate Euratom, ma sono trattate dalle istituzioni e dagli organi dell'Unione nell'ambito del regime generale delle ICUE. Questa base giuridica supplementare è costituita dall'articolo 106 bis del trattato che istituisce la Comunità europea dell'energia atomica, che rende l'articolo 298 TFUE applicabile anche alle suddette attività dell'Euratom. •Sussidiarietà (per la competenza non esclusiva) In virtù del principio di sussidiarietà enunciato all'articolo 5, paragrafo 3, del trattato sull'Unione europea (TUE), l'Unione interviene soltanto se e in quanto gli obiettivi dell'azione prevista non possono essere conseguiti in misura sufficiente dagli Stati membri, ma possono, a motivo della portata o degli effetti delle azioni in questione, essere conseguiti meglio a livello di Unione. Poiché solo l'Unione può adottare norme che disciplinano le ICUE e le informazioni sensibili non classificate trattate e conservate dalle istituzioni e dagli organi dell'Unione, il principio di sussidiarietà non si applica. •Proporzionalità L'istituzione di una base comune di riferimento per la sicurezza delle informazioni per tutte le istituzioni e tutti gli organi dell'Unione è necessaria per contribuire a un'amministrazione indipendente ed efficace.

Conformemente al principio di proporzionalità di cui all'articolo 5, paragrafo 4, TUE, le disposizioni del regolamento non sono eccessivamente prescrittive e lasciano spazio a diversi livelli di azione specifica, in linea con il grado di maturità di sicurezza di ogni istituzione e organo dell'Unione. Inoltre, la soluzione ha un impatto limitato sui diritti fondamentali delle persone. Pertanto, la proposta non va al di là di quanto necessario per affrontare il problema della mancanza di un insieme comune di norme di sicurezza delle informazioni per tutte le istituzioni e tutti gli organi dell'Unione. •Scelta dell'atto giuridico Un regolamento basato sull'articolo 298 TFUE è considerato lo strumento giuridico appropriato. Questo è giustificato dalla prevalenza di elementi che richiedono un'applicazione uniforme che non lasci margini di attuazione alle istituzioni e agli organi dell'Unione e che crei un quadro orizzontale minimo. 3.RISULTATI DELLE VALUTAZIONI EX POST, DELLE CONSULTAZIONI DEI PORTATORI DI INTERESSI E DELLE VALUTAZIONI D'IMPATTO •Valutazioni ex post / Vaglio di adeguatezza della legislazione vigente Non applicabile •Consultazioni dei portatori di interessi La Commissione ha effettuato un'ampia consultazione dei principali portatori di interessi su vari aspetti relativi alle norme di sicurezza delle informazioni delle istituzioni e degli organi dell'Unione. L'obiettivo generale delle attività di consultazione era raccogliere contributi pertinenti per la preparazione di un'iniziativa legislativa su norme di sicurezza delle informazioni comuni a tutte le istituzioni e tutti gli organi dell'Unione. Le consultazioni intendevano raccogliere contributi su: •problemi connessi al quadro esistente in materia di sicurezza delle informazioni in seno alle istituzioni e agli organi dell'Unione, che secondo i portatori di interessi dovrebbero essere affrontati nell'ambito dell'iniziativa; •pertinenza, efficacia, efficienza e valore aggiunto dell'iniziativa; •impatti previsti dell'iniziativa e altre eventuali conseguenze per i portatori di interessi. In preparazione della presente proposta legislativa, la Commissione ha consultato le seguenti categorie di portatori di interessi: 1.istituzioni, organi e organismi dell'Unione; 2.autorità di sicurezza nazionali degli Stati membri; 3.esperti del JRC nel campo della ricerca. Data la specificità della presente iniziativa, che si applica esclusivamente alle istituzioni e agli organi dell'Unione, con un impatto minimo sui cittadini e sulle imprese europei, i servizi della Commissione hanno scelto di dare priorità alla raccolta di punti di vista dei pertinenti gruppi di portatori di interessi. Pertanto non è stata condotta alcuna consultazione pubblica specificamente per la presente iniziativa legislativa. Nel corso del processo di consultazione, i servizi della Commissione hanno utilizzato i seguenti metodi e forme di consultazione: 1.opportunità per tutti i portatori di interessi di fornire un riscontro sulla valutazione d'impatto iniziale attraverso la piattaforma "Dì la tua" della Commissione;

2.questionario mirato rivolto agli esperti in materia di sicurezza delle informazioni in seno alle istituzioni e agli organi dell'Unione attraverso un'indagine online dell'UE; 3.questionario mirato rivolto alle autorità di sicurezza nazionali degli Stati membri attraverso un'indagine online dell'UE; 4.una richiesta di valutazione del rischio su misura delle risorse essenziali per la sicurezza delle informazioni, e 5.numerose riunioni e scambi con gli omologhi di istituzioni, organi e organismi, nonché con le autorità di sicurezza nazionali degli Stati membri. Come contributo principale delle attività di consultazione, la Commissione sottolinea quanto segue: •la frammentazione dei quadri giuridici pertinenti tra le nostre istituzioni e i nostri organi crea una notevole duplicazione degli sforzi per la creazione e il mantenimento di norme interne e pratiche non interoperabili per trattare le informazioni. Per gli Stati membri, la diversità di tali norme aumenta il rischio di fraintendimenti, interpretazioni errate e non conformità; •la definizione di una base di riferimento per la sicurezza delle informazioni per tutte le istituzioni e tutti gli organi dell'Unione creerebbe un ecosistema con norme di sicurezza standardizzate e migliori pratiche, tuttavia occorre tenere conto della diversità e del diverso contesto operativo di ogni istituzione e organo dell'Unione e consentire soluzioni locali; •la presente iniziativa deve rispettare l'autonomia e i diversi gradi di maturità di sicurezza delle istituzioni e degli organi dell'Unione, che rimarranno pienamente responsabili della loro organizzazione della sicurezza delle informazioni. •Assunzione e uso di perizie La Commissione ha utilizzato le proprie risorse per svolgere la consultazione dei portatori di interessi. La direzione Sicurezza della DG HR ha svolto i relativi lavori sui sondaggi, le videoconferenze e altri seminari. Questo compito ha comportato sia la selezione dei partecipanti che l'organizzazione di eventi e il trattamento dei contributi ricevuti. Il Centro comune di ricerca (JRC) ha effettuato una valutazione dei rischi delle principali risorse in materia di sicurezza delle informazioni, utilizzata come base per l'analisi d'impatto. •Valutazione d'impatto La presente iniziativa è rivolta esclusivamente alle istituzioni e agli organi dell'Unione e ha un impatto limitato per gli Stati membri e le persone. Pertanto, non è stato necessario effettuare una valutazione d'impatto approfondita in quanto non vi erano impatti chiaramente identificabili o significativi sui cittadini e sulle imprese. Una tabella di marcia completa è stata pubblicata sul sito web Europa e ha raccolto i contributi dei portatori di interessi. •Efficienza normativa e semplificazione Non applicabile •Diritti fondamentali L'UE si è impegnata a garantire elevati livelli di protezione dei diritti fondamentali. La presente iniziativa garantisce il pieno rispetto dei diritti fondamentali sanciti dalla Carta dei diritti fondamentali dell'Unione europea, come segue: •Diritto ad una buona amministrazione Migliorando la sicurezza delle informazioni che trattano quando si occupano delle questioni dei cittadini europei, le istituzioni e gli organi dell'Unione contribuiscono alla realizzazione del principio di buona amministrazione. •Protezione dei dati di carattere personale

Tutti i trattamenti di dati personali nel quadro della presente proposta sarebbero effettuati in ambienti di fiducia e nel pieno rispetto del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio. •Diritto d'accesso ai documenti L'accesso del pubblico alle ICUE e ai documenti sensibili non classificati rimane pienamente disciplinato dal regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio. •Diritto di proprietà intellettuale Durante il trattamento e la conservazione di informazioni non classificate e ICUE, le istituzioni e gli organi dell'Unione proteggono la proprietà intellettuale conformemente alla direttiva n. 2001/29/CE del Parlamento europeo e del Consiglio. •Libertà di espressione e d'informazione Sebbene tutti abbiano la libertà di ricevere e condividere informazioni e idee senza interferenze da parte dell'autorità pubblica, ciò non impedisce all'Unione di stabilire le condizioni per l'accesso, il trattamento e la conservazione di determinati tipi di informazioni, sulla base del loro livello di riservatezza. L'esercizio di tali libertà può essere soggetto a condizioni e restrizioni previste dalla legge e necessarie in una società democratica, al fine di impedire la divulgazione di informazioni ricevute in via riservata e nell'interesse della sicurezza dell'UE. 4.INCIDENZA SUL BILANCIO La presente proposta richiede l'assegnazione di un funzionario AD e di un assistente AST per il segretariato permanente del gruppo di coordinamento, fornito dalla Commissione, in seno alla direzione Sicurezza della direzione generale Risorse umane e sicurezza. Per le istituzioni e gli organi si prevedono risparmi sui costi in termini di compiti condivisi e collaborativi e di prevenzione di potenziali danni economici derivanti da incidenti di sicurezza, dovuti a miglioramenti nella sicurezza delle informazioni. Gli sforzi finanziari richiesti per l'attuazione della nuova legislazione possono essere coperti nell'ambito dei programmi di miglioramento della sicurezza delle informazioni esistenti in ogni istituzione e organo dell'Unione. 5.ALTRI ELEMENTI •Piani attuativi e modalità di monitoraggio, valutazione e informazione La proposta prevede l'obbligo per la Commissione di riferire ogni tre anni al Parlamento europeo e al Consiglio in merito all'attuazione del regolamento, compreso il funzionamento della governance istituita dal regolamento stesso. Inoltre, ogni cinque anni, la Commissione valuta il regolamento per esaminarne i risultati effettivi e, su tale base, per stabilire se occorra modificare la legislazione. •Illustrazione dettagliata delle singole disposizioni della proposta La presente proposta si articola attorno ai requisiti per il trattamento e la conservazione delle informazioni non classificate e delle ICUE, che costituiscono l'oggetto principale dell'iniziativa, la quale mira a rafforzarne la protezione. Oggetto e ambito di applicazione (articoli 1 e 2) Il regolamento è inteso a creare un insieme minimo di norme di sicurezza delle informazioni applicabili a tutte le istituzioni e tutti gli organi dell'Unione. Esso si applica a tutte le informazioni trattate e conservate dalle istituzioni e dagli organi dell'Unione, comprese le informazioni riguardanti le attività della Comunità europea dell'energia atomica diverse dalle informazioni classificate Euratom. Il regolamento disciplina sia le informazioni non classificate che le ICUE.

Definizioni e principi generali (articoli da 3 a 5) Le definizioni di cui all'articolo 3 si basano sulle norme vigenti in materia di sicurezza delle informazioni adottate separatamente dalle istituzioni e dagli organi dell'Unione. Oltre ai principi generali della legislazione dell'Unione, vale a dire trasparenza, proporzionalità, efficienza e responsabilità, il regolamento stabilisce le principali linee guida vincolanti, quali la procedura distinta di gestione del rischio di sicurezza delle informazioni applicata da ogni istituzione e organo dell'Unione e la valutazione delle loro informazioni affinché siano categorizzate adeguatamente. Governance e organizzazione della sicurezza (articoli da 6 a 8) Tutte le istituzioni e tutti gli organi dell'Unione cooperano in seno a un gruppo di coordinamento interistituzionale per la sicurezza delle informazioni, che delibera per consenso e nell'interesse comune delle istituzioni e degli organi dell'Unione. Il gruppo di coordinamento riunisce le autorità di sicurezza di tutte le istituzioni e tutti gli organi ed elabora documenti di orientamento sull'attuazione del regolamento. Intrattiene contatti regolari con le autorità di sicurezza nazionali degli Stati membri, riunite in un comitato per la sicurezza delle informazioni. Sono istituiti cinque sottogruppi composti da esperti che rappresentano diverse istituzioni e organi al fine di razionalizzare le procedure e altri aspetti pratici relativi alla sicurezza delle informazioni. Ogni istituzione e organo dell'Unione è tenuto a designare un'autorità di sicurezza, che è responsabile di definire le politiche interne di sicurezza delle informazioni e di attuarle. L'autorità di sicurezza stabilisce funzioni specifiche quali l'autorità per la garanzia di sicurezza delle informazioni, l'autorità operativa per la garanzia di sicurezza delle informazioni, l'autorità di accreditamento di sicurezza, l'autorità TEMPEST, l'autorità di approvazione degli apparati crittografici e l'autorità di distribuzione degli apparati crittografici, che possono essere delegate a un'altra istituzione o un altro organo per motivi di efficienza o di risorse. Garanzia di sicurezza delle informazioni e sistemi di comunicazione e informazione (articoli da 9 a 11) Il regolamento istituisce un sottogruppo sulla garanzia di sicurezza delle informazioni, con l'obiettivo di migliorare la coerenza nelle istituzioni e negli organi dell'Unione tra le norme di sicurezza delle informazioni e la base di riferimento per la cibersicurezza quale definita dal regolamento che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell'Unione. Le istituzioni e gli organi dell'Unione sono tenuti a rispettare i principi menzionati in tali articoli e ad adottare norme interne distinte per specifiche misure di sicurezza, adeguate al proprio ambiente di sicurezza. Informazioni non classificate (articoli da 12 a 17 e allegato I) Il regolamento prevede tre categorie di informazioni non classificate: informazioni ad uso pubblico, informazioni normali e informazioni sensibili non classificate. Tutte le categorie sono definite; sono inoltre stabiliti i contrassegni e le condizioni di trattamento per proteggere tali informazioni. Al fine di coordinare le operazioni di equivalenza tra le particolari categorie stabilite da alcune istituzioni e alcuni organi dell'Unione e le categorie comuni previste dal regolamento, la proposta istituisce un sottogruppo sulle informazioni non classificate. ICUE (articoli da 18 a 58 e allegati da II a VI) Essendo il più voluminoso della proposta, questo capo è strutturato in sette sezioni, come segue: disposizioni generali, sicurezza del personale, sicurezza materiale, gestione delle ICUE, protezione delle ICUE nei sistemi di comunicazione e informazione, sicurezza industriale e condivisione di ICUE e scambio di informazioni classificate. La sezione relativa alle disposizioni generali prevede quattro livelli di ICUE: TRES SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL e RESTREINT UE/EU RESTRICTED e impone l'obbligo per le istituzioni e gli organi dell'Unione di adottare le misure di sicurezza necessarie in base ai risultati di una procedura di gestione del rischio di sicurezza delle informazioni. Ciascuna delle altre sezioni si concentra sulle norme di protezione delle ICUE, in funzione del settore specifico considerato. Le modalità di tale protezione delle ICUE sono specificate negli allegati da II a V. L'allegato VI contiene la tabella di equivalenza delle ICUE con le classificazioni di sicurezza degli Stati membri e della Comunità europea dell'energia atomica. Al fine di razionalizzare le pertinenti procedure nel settore ed evitare la duplicazione degli sforzi, il regolamento istituisce il sottogruppo sulla garanzia di sicurezza delle informazioni, il sottogruppo sulle informazioni non classificate, il sottogruppo sulla sicurezza materiale, il sottogruppo sull'accreditamento dei sistemi di comunicazione e informazione che trattano e conservano ICUE e il sottogruppo sulla condivisione di ICUE e lo scambio di informazioni classificate. Disposizioni finali (articoli da 59 a 62)

Le disposizioni finali assicurano la transizione dalle norme e procedure attuali al nuovo quadro giuridico stabilito dal regolamento. Esse riguardano le norme interne di sicurezza delle informazioni attualmente applicabili nelle istituzioni e negli organi dell'Unione, il riconoscimento delle visite di valutazione effettuate prima dell'inizio dell'applicazione del regolamento, il trattamento delle intese amministrative concluse in precedenza e il mantenimento dei quadri di sicurezza specifici applicabili alle convenzioni di sovvenzione. Il regolamento si applica dopo due anni dalla data di entrata in vigore. 2022/0084 (COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO sulla sicurezza delle informazioni nelle istituzioni, negli organi e negli organismi dell'Unione IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL'UNIONE EUROPEA, visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 298, visto il trattato che istituisce la Comunità europea dell'energia atomica, in particolare l'articolo 106 bis, vista la proposta della Commissione europea, previa trasmissione del progetto di atto legislativo ai parlamenti nazionali, deliberando secondo la procedura legislativa ordinaria, considerando quanto segue: 1)Le istituzioni e gli organi dell'Unione hanno attualmente le proprie norme di sicurezza delle informazioni basate sul proprio regolamento interno o atto istitutivo, oppure non ne hanno affatto. In tale contesto, ogni istituzione e organo dell'Unione investe molte energie in approcci diversi, con la conseguenza che lo scambio di informazioni non è sempre affidabile. La mancanza di un approccio comune impedisce l'uso di strumenti comuni basati su una serie concordata di norme in funzione delle esigenze di sicurezza delle informazioni da proteggere. 2)Sebbene siano stati compiuti progressi verso norme più coerenti per la protezione delle informazioni classificate UE ("ICUE") e delle informazioni non classificate, l'interoperabilità dei pertinenti sistemi rimane limitata, ostacolando la fluidità del trasferimento delle informazioni tra le diverse istituzioni e i diversi organi dell'Unione. Sono pertanto opportuni ulteriori sforzi per consentire un approccio interistituzionale alla condivisione delle ICUE e delle informazioni sensibili non classificate, con categorie comuni di informazioni e con principi fondamentali di trattamento comuni. Si dovrebbe inoltre prevedere una base di riferimento per semplificare le procedure di condivisione delle ICUE e delle informazioni sensibili non classificate tra le istituzioni e gli organi dell'Unione e con gli Stati membri. 3)È pertanto opportuno stabilire norme pertinenti che assicurino un livello comune di sicurezza delle informazioni in tutte le istituzioni e tutti gli organi dell'Unione. Esse dovrebbero costituire un quadro generale completo e coerente per la protezione delle ICUE e delle informazioni non classificate e garantire l'equivalenza dei principi di base e delle norme minime. 4)La recente pandemia ha provocato un cambiamento significativo nelle prassi di lavoro, facendo diventare gli strumenti di comunicazione remota la regola. Molte procedure che, almeno in parte, erano ancora cartacee sono state quindi rapidamente adattate per permettere il trattamento e lo scambio di informazioni per via elettronica. Questi sviluppi richiedono modifiche nel trattamento e nella protezione delle informazioni. Il presente regolamento tiene conto delle nuove prassi di lavoro. 5)Creando un livello minimo comune di protezione delle ICUE e delle informazioni non classificate, il presente regolamento contribuisce ad assicurare che le istituzioni e gli organi dell'Unione abbiano il sostegno di un'amministrazione efficace e indipendente nell'assolvimento dei loro compiti. Nel contempo, ogni istituzione e organo dell'Unione conserva la propria autonomia nel determinare le modalità di attuazione delle norme stabilite nel presente regolamento, in linea con le proprie esigenze di sicurezza. Il presente regolamento non impedisce in alcun caso alle istituzioni e agli organi dell'Unione di assolvere i propri compiti, quali conferiti dalla legislazione dell'UE, né viola la loro autonomia istituzionale. 6)Il presente regolamento non pregiudica il regolamento n. 3/1958, il regolamento n. 31 (CEE), n. 11 (CEEA), relativo allo statuto dei funzionari e al regime applicabile agli altri agenti della Comunità Economica Europea e della Comunità Europea dell'Energia Atomica, il regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio, il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, il regolamento (CEE, Euratom) n. 354/83 del Consiglio, il regolamento (UE, Euratom) 2018/1046 del Parlamento europeo e del Consiglio, il regolamento (UE) 2021/697 del Parlamento europeo e del Consiglio e il regolamento (UE) [...] del Parlamento europeo e del Consiglio che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell'Unione. 7)Al fine di preservare la natura specifica delle attività della Comunità europea dell'energia atomica disciplinate dal regolamento n. 3/1958 del Consiglio della Comunità europea dell'energia atomica, il presente regolamento non dovrebbe applicarsi alle informazioni classificate Euratom. Tuttavia, tutte le informazioni riguardanti altre attività Euratom non contemplate dal regolamento n. 3/1958 dovrebbero rientrare nell'ambito di applicazione del presente regolamento.

8)Al fine di creare una struttura formale per la cooperazione tra le istituzioni e gli organi dell'Unione nel settore della sicurezza delle informazioni, occorre istituire un gruppo di coordinamento interistituzionale ("gruppo di coordinamento") in cui siano rappresentate tutte le autorità di sicurezza delle istituzioni e degli organi dell'Unione. Senza essere dotato di poteri decisionali, il gruppo di coordinamento dovrebbe migliorare la coerenza delle politiche nel settore della sicurezza delle informazioni e contribuire all'armonizzazione delle procedure e degli strumenti per la sicurezza delle informazioni in tutte le istituzioni e tutti gli organi dell'Unione. 9)Il lavoro del gruppo di coordinamento necessita del sostegno di esperti in diversi settori della sicurezza delle informazioni: categorizzazione e apposizione di un contrassegno, sistemi di comunicazione e informazione, accreditamento, sicurezza materiale e condivisione di ICUE e scambio di informazioni classificate. Al fine di evitare la duplicazione degli sforzi tra le istituzioni e gli organi dell'Unione, dovrebbero essere istituiti sottogruppi tematici. Inoltre, ove necessario, il gruppo di coordinamento dovrebbe poter istituire altri sottogruppi con compiti specifici. 10)Il gruppo di coordinamento dovrebbe cooperare strettamente con le autorità di sicurezza nazionali degli Stati membri allo scopo di rafforzare la sicurezza delle informazioni nell'Unione. È pertanto opportuno istituire un comitato degli Stati membri per la sicurezza delle informazioni, incaricato di fornire consulenza al gruppo di coordinamento. 11)Benché le entità comuni che rappresentano tutte le istituzioni e tutti gli organi dell'Unione siano istituite in base al principio di cooperazione, ogni istituzione e organo dell'Unione dovrebbe rimanere pienamente responsabile della sicurezza delle informazioni al proprio interno. Ogni istituzione e organo dell'Unione dovrebbe disporre di un'autorità di sicurezza e, se necessario, di altre autorità incaricate di responsabilità specifiche in materia di sicurezza delle informazioni. 12)Il principio della gestione dei rischi relativi alla sicurezza delle informazioni dovrebbe essere al centro della politica che ogni istituzione e organo dell'Unione deve sviluppare in questo settore. Sebbene debbano essere soddisfatti i requisiti minimi previsti dal presente regolamento, ogni istituzione e organo dell'Unione dovrebbe adottare misure di sicurezza specifiche per proteggere le informazioni conformemente ai risultati di una valutazione interna del rischio. Analogamente, i mezzi tecnici per proteggere le informazioni dovrebbero essere adattati alla situazione specifica di ogni istituzione e organo. 13)Data la diversità delle categorie di informazioni non classificate che le istituzioni e gli organi dell'Unione hanno sviluppato sulla base delle proprie norme di sicurezza delle informazioni, e al fine di evitare ritardi nell'attuazione del presente regolamento, le istituzioni e gli organi dell'Unione dovrebbero poter mantenere il proprio sistema di contrassegni a fini interni o quando scambiano informazioni con i propri particolari omologhi di altre istituzioni e organi dell'Unione o degli Stati membri. 14)Onde adeguarsi alle nuove prassi di telelavoro, le reti per la connessione ai servizi di accesso remoto dell'istituzione o dell'organo dell'Unione dovrebbero essere protette mediante misure di sicurezza adeguate. 15)Poiché le istituzioni e gli organi dell'Unione ricorrono spesso a contraenti e all'esternalizzazione, è importante stabilire disposizioni comuni sul personale dei contraenti che svolge compiti correlati alla sicurezza delle informazioni. 16)Le disposizioni sostanziali relative all'accesso alle ICUE previste dalle norme interne di varie istituzioni e vari organi dell'Unione sono attualmente allineate, ma vi sono differenze significative per quanto riguarda le denominazioni e le procedure richieste. Ciò comporta un onere per le autorità di sicurezza nazionali degli Stati membri, che devono adeguarsi a requisiti diversi. È pertanto necessario prevedere un glossario comune e procedure comuni nel settore della sicurezza del personale, in modo da semplificare la cooperazione con le autorità di sicurezza nazionali degli Stati membri e limitare il rischio di compromissione delle ICUE. 17)Data la disparità di risorse tra istituzioni e organi dell'Unione e al fine di razionalizzare le loro procedure e prassi pertinenti, i compiti relativi al nulla osta di sicurezza possono essere affidati alla Commissione onde proseguire una prassi consolidata nel settore del nulla osta di sicurezza e contribuire alla centralizzazione dei compiti assegnati a ogni autorità di sicurezza. 18)La protezione delle ICUE è assicurata anche mediante misure tecniche e organizzative che si applicano ai locali, agli edifici, alle sale, agli uffici o alle strutture delle istituzioni e degli organi dell'Unione in cui le ICUE sono discusse, trattate o conservate. Il presente regolamento prevede l'attuazione di una procedura di gestione della sicurezza delle informazioni nel settore della sicurezza materiale che consentirebbe alle istituzioni e agli organi dell'Unione di scegliere le misure di sicurezza adeguate per i loro siti. 19)Tutte le istituzioni e tutti gli organi dell'Unione che trattano e conservano ICUE dovrebbero predisporre nei loro siti zone oggetto di protezione materiale, al fine di garantire lo stesso livello di protezione per i pertinenti livelli di classifica ICUE trattati e conservati all'interno. Tali zone dovrebbero essere designate come zone amministrative e zone protette e rispettare norme minime comuni per la protezione delle ICUE. 20)Il controllo dell'originatore è un principio importante nella gestione delle ICUE, pertanto esso deve essere chiaramente stabilito e sviluppato. A tale riguardo, la creazione di ICUE conferisce all'originatore una responsabilità che dovrebbe coprire l'intero ciclo di vita del pertinente documento ICUE. 21)Le istituzioni e gli organi dell'Unione tradizionalmente hanno sviluppato i propri sistemi di comunicazione e informazione per lo più in modo autonomo, senza prestare sufficiente attenzione alla loro interoperabilità in tutte le istituzioni e tutti gli organi dell'Unione. Occorre pertanto stabilire requisiti minimi di sicurezza relativi ai sistemi di comunicazione e informazione ("CIS") che trattano e conservano sia ICUE che informazioni non classificate, allo scopo di garantire uno scambio fluido delle informazioni con le pertinenti parti interessate. 22)Al fine di stabilire una norma di accreditamento unica dei CIS che trattano e conservano ICUE, le istituzioni e gli organi dell'Unione dovrebbero collaborare in un gruppo istituito a tale scopo. Si raccomanda che tutte le istituzioni e tutti gli organi dell'Unione utilizzino tale norma per contribuire a un livello generale di protezione delle ICUE. Tuttavia, per quanto riguarda l'autonomia organizzativa, la decisione spetta all'autorità competente di ogni istituzione od organo. 23)Tutte le istituzioni e tutti gli organi dell'Unione dovrebbero seguire le stesse procedure e applicare le stesse misure quando aggiudicano e attuano contratti o convenzioni di sovvenzione classificati. È pertanto necessario stabilire chiaramente sia gli elementi obbligatori che quelli facoltativi di un contratto e di una convenzione di sovvenzione classificati. Tuttavia le misure per la protezione delle ICUE in relazione ai contratti e alle convenzioni di sovvenzione classificati dovrebbero tenere conto delle norme già sviluppate separatamente in questo settore dalle istituzioni e dagli organi dell'Unione insieme agli Stati membri. 24)La stretta cooperazione tra le istituzioni e gli organi dell'Unione e la molteplicità di sinergie sviluppate tra di essi comportano la condivisione di una grande quantità di informazioni. Ai fini della sicurezza delle informazioni classificate, l'onestà di un'istituzione o un organo dell'Unione dovrebbe essere valutata prima che l'istituzione o l'organo in questione tratti e conservi un livello specifico di ICUE. 25)Inoltre, anche la condivisione di ICUE tra le istituzioni e gli organi dell'Unione e lo scambio di informazioni classificate con organizzazioni internazionali e paesi terzi dovrebbero essere disciplinati da misure di sicurezza adeguate per la protezione di tali informazioni. Quando sono previsti accordi sulla sicurezza delle informazioni, si applicano le disposizioni dell'articolo 218 del trattato. 26)Gli accordi sulla sicurezza delle informazioni sono intesi a garantire il quadro giuridico generale per lo scambio di informazioni classificate dell'Unione con paesi terzi e organizzazioni internazionali, tuttavia è necessario prevedere anche la possibilità per le istituzioni e gli organi dell'Unione di concludere intese amministrative con un omologo specifico di un paese terzo o di un'organizzazione internazionale per lo scambio di ICUE. 27)Il presente regolamento stabilisce un quadro comune a tutte le istituzioni e tutti gli organi dell'Unione. Al fine di evitare di imporre alle istituzioni e agli organi dell'Unione un onere amministrativo eccessivo nel processo di adeguamento delle loro norme di sicurezza interne alle norme stabilite dal presente regolamento, quest'ultimo dovrebbe applicarsi a decorrere da due anni dopo l'entrata in vigore.

28)In conformità dei punti 22 e 23 dell'accordo interistituzionale "Legiferare meglio" del 13 aprile 2016, la Commissione dovrebbe valutare il presente regolamento per valutarne gli effetti concreti e la necessità di un'azione ulteriore. Al più tardi tre anni dopo la data di applicazione del presente regolamento, la Commissione dovrebbe presentare al Parlamento europeo e al Consiglio una relazione sulla sua attuazione. 29)Conformemente all'articolo 42 del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere il […], HANNO ADOTTATO IL PRESENTE REGOLAMENTO: Capo 1

Disposizioni generali Articolo 1 Oggetto 1.Il presente regolamento stabilisce le norme di sicurezza delle informazioni per tutte le istituzioni e tutti gli organi dell'Unione. Articolo 2 Ambito di applicazione 1.Il presente regolamento si applica a tutte le informazioni trattate e conservate dalle istituzioni e dagli organi dell'Unione, comprese le informazioni riguardanti le attività della Comunità europea dell'energia atomica diverse dalle informazioni classificate Euratom. 2.Esso si applica ai seguenti livelli di riservatezza delle informazioni: a)tre livelli di informazioni non classificate: informazioni ad uso pubblico, informazioni normali e informazioni sensibili non classificate; b)quattro livelli di informazioni classificate UE: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET. 3.Questi livelli si basano sul danno che la divulgazione non autorizzata può arrecare ai legittimi interessi privati e pubblici, compresi quelli dell'Unione, delle istituzioni e degli organi dell'Unione, degli Stati membri o di altre parti interessate, in modo che possano essere applicate le misure di protezione adeguate. Articolo 3 Definizioni Ai fini del presente regolamento si applicano le definizioni seguenti: a)"informazioni": qualsiasi dato in forma orale, visiva, elettronica, magnetica o materiale, o sotto forma di materiale, attrezzature o tecnologie, comprese riproduzioni, traduzioni e materiale in corso di elaborazione; b)"sicurezza delle informazioni": la garanzia dell'autenticità, della disponibilità, della riservatezza, dell'integrità e della non disconoscibilità delle informazioni; c)"trattamento" delle informazioni: qualsiasi azione di cui possono essere oggetto le informazioni nel loro ciclo di vita; ciò comprende la loro creazione, raccolta, registrazione, assegnazione di un livello di riservatezza, elaborazione, visualizzazione, consultazione, trasporto, trasmissione, declassamento, declassificazione, archiviazione e distruzione;

d)"conservazione": l'atto di custodire le informazioni su qualsiasi supporto per garantirne la disponibilità per un uso futuro; e)"istituzioni e organi dell'Unione": le istituzioni, gli organi e gli organismi dell'Unione istituiti dal trattato sull'Unione europea, dal trattato sul funzionamento dell'Unione europea, dal trattato che istituisce la Comunità europea dell'energia atomica o da un atto legislativo, oppure sulla base dei medesimi; f)"informazioni classificate Euratom": le informazioni ai sensi del regolamento n. 3/1958 del Consiglio della Comunità europea dell'energia atomica; g)"autorità di sicurezza": la funzione di sicurezza di ogni istituzione e organo dell'Unione, designata conformemente al rispettivo regolamento interno o atto istitutivo; h)"procedura di gestione del rischio di sicurezza delle informazioni": l'intera procedura che consiste nell'individuare, controllare e ridurre al minimo eventi incerti che possono incidere sulla sicurezza di un'organizzazione o di un sistema in uso; essa contempla tutte le attività correlate al rischio, tra cui la valutazione, il trattamento, l'accettazione e la comunicazione; i)"risorsa": qualsiasi cosa che ha valore per un'istituzione o un organo dell'Unione, le sue operazioni e la loro continuità, comprese le risorse dell'informazione che sostengono la sua missione; j)"procedure operative di sicurezza": una serie di procedure documentate, quali indicate nell'allegato III, per il funzionamento di una zona protetta, di un sistema di comunicazione e informazione o di altre risorse o servizi connessi alla sicurezza, al fine di garantirne l'efficacia; k)"sistema di comunicazione e informazione" o "CIS": ogni sistema che consente il trattamento e la conservazione delle informazioni in forma elettronica, compreso l'insieme delle risorse necessarie al suo funzionamento; l)"garanzia di sicurezza delle informazioni": la certezza che i sistemi di comunicazione e informazione proteggeranno le informazioni che trattano e conservano, e funzioneranno nel modo dovuto e a tempo debito sotto il controllo degli utenti legittimi, garantendo nel contempo gli adeguati livelli di autenticità, disponibilità, riservatezza, integrità e non disconoscibilità; m)"accreditamento": l'autorizzazione formale accordata dall'autorità di accreditamento di sicurezza a un sistema di comunicazione e informazione o a una zona protetta per, rispettivamente, il trattamento o la conservazione di un livello di classifica predeterminato di ICUE; n)"procedura di accreditamento": le fasi e i compiti richiesti prima dell'accreditamento; o)"misure di sicurezza TEMPEST": le misure volte a proteggere i CIS che trattano e conservano informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore in modo tale che tali informazioni non possano essere compromesse da radiazioni elettromagnetiche non intenzionali; p)"CERT-UE": il centro per la cibersicurezza delle istituzioni e degli organi dell'Unione ai sensi del regolamento (UE) [...] del Parlamento europeo e del Consiglio che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell'Unione; q)"incidente di sicurezza delle informazioni": qualsiasi evento che potenzialmente compromette l'autenticità, la disponibilità, la riservatezza, l'integrità o la non disconoscibilità delle informazioni conservate, trasmesse o trattate; r)"necessità di conoscere": la necessità di una persona di accedere a specifiche informazioni trattate o conservate da un'istituzione o un organo dell'Unione per assolvere i compiti di tale istituzione o organo dell'Unione; s)"zero trust": un modello di sicurezza, una serie di principi di progettazione dei sistemi e una strategia coordinata di cibersicurezza e di gestione dei sistemi, basati sul riconoscimento dell'esistenza di minacce all'interno e all'esterno dei confini di rete tradizionali; t)"contrassegno": un'etichetta apposta alle informazioni per garantire l'applicazione delle misure di sicurezza adeguate; u)"contrassegno di sicurezza": un contrassegno indicante il livello di riservatezza delle informazioni; v)"contrassegno di distribuzione": un contrassegno indicante i destinatari previsti delle informazioni all'interno dell'istituzione o dell'organo dell'Unione di origine; w)"contrassegno di divulgabilità": un contrassegno indicante i destinatari ammessi al di fuori dell'istituzione o dell'organo dell'Unione di origine;

x)"proprietario del sistema": la persona responsabile del complesso degli appalti, dello sviluppo, dell'integrazione, della modifica, del funzionamento, della manutenzione e del ritiro di un sistema di comunicazione e informazione; y)"minaccia per la sicurezza delle informazioni": un evento o agente che presumibilmente, in mancanza di una reazione che lo ponga sotto controllo, compromette la sicurezza delle informazioni; z)"vulnerabilità": un punto debole, una suscettibilità o un difetto di una risorsa, di un sistema, di un processo o di un controllo che possono essere sfruttati da una o più minacce; aa)"rischio": il potenziale effetto negativo di una determinata minaccia che sfrutti le vulnerabilità interne ed esterne di un'istituzione o un organo dell'Unione o dei sistemi da essa o esso utilizzati arrecando danni ai legittimi interessi privati e pubblici, calcolato come una combinazione tra le probabilità del verificarsi delle minacce e il loro impatto; ab)"rischio residuo": il rischio che resta una volta attuate le misure di sicurezza; ac)"valutazione del rischio": l'identificazione delle minacce e delle vulnerabilità e l'esecuzione delle relative analisi del rischio, ossia l'analisi della probabilità e dell'impatto; ad)"trattamento del rischio": mitigazione, rimozione, riduzione (tramite un'opportuna combinazione di misure tecniche, materiali, organizzative o procedurali), trasferimento o controllo del rischio. ae)"certificato europeo di cibersicurezza": un certificato ai sensi dell'articolo 2, punto 11, del regolamento (UE) 2019/881; af)"detentore": una persona debitamente autorizzata con una necessità di conoscere stabilita, che detiene un elemento di informazione che necessita di protezione ed è di conseguenza responsabile della sua protezione; ag)"materiale": qualsiasi documento, vettore di dati o elemento di macchinario o attrezzatura, sia sotto forma di prodotto finito sia in corso di lavorazione; ah)"informazioni classificate UE" o "ICUE": qualsiasi informazione o qualsiasi materiale designati da una classifica di sicurezza UE, la cui divulgazione non autorizzata potrebbe recare in varia misura pregiudizio agli interessi dell'Unione o di uno o più Stati membri; ai)"autorizzazione di accesso alle ICUE": una decisione dell'autorità di sicurezza in base alla quale un funzionario o altro agente di un'istituzione o un organo dell'Unione o un esperto nazionale distaccato presso un'istituzione o un organo dell'Unione può avere accesso alle ICUE fino a un livello di classifica specifico per un determinato periodo; aj)"autorità di sicurezza nazionale" o "NSA": un'autorità pubblica di uno Stato membro che ha la responsabilità finale per la sicurezza delle informazioni classificate in tale Stato membro; ak)"autorità di sicurezza designata" o "DSA": un'autorità di uno Stato membro (NSA o altra autorità competente) responsabile di fornire guida e assistenza nell'attuazione della sicurezza industriale o nelle procedure di nulla osta, o in entrambe; al)"indagine di sicurezza": le procedure investigative condotte dall'autorità competente di uno Stato membro conformemente alle disposizioni legislative e regolamentari nazionali volte ad accertare l'inesistenza di informazioni negative note sul conto di una persona che osterebbero alla concessione di un nulla osta di sicurezza fino a un livello specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore); am)"sicurezza materiale": l'applicazione di misure materiali, tecniche e organizzative ai locali, agli edifici, alle sale, agli uffici o alle strutture di un'istituzione o un organo dell'Unione che necessitano di essere protetti dall'accesso non autorizzato alle informazioni ivi trattate, conservate o discusse; an)"siti": i locali, gli edifici, le sale, gli uffici o le strutture di un'istituzione o un organo dell'Unione; ao)"difesa in profondità": un tipo di sicurezza che utilizza più livelli indipendenti di controlli di sicurezza per garantire che qualora uno venga meno un altro sia funzionante; ap)"materiale crittografico (crypto)": algoritmi crittografici, moduli hardware e software crittografici e prodotti comprendenti dettagli di attuazione e documentazione associata e materiale di codifica; aq)"prodotto crittografico": prodotto la cui funzione principale e primaria è la fornitura di servizi di sicurezza (autenticità, disponibilità, riservatezza, integrità e non disconoscibilità) mediante uno o più meccanismi crittografici;

ar)"originatore": istituzione o organo dell'Unione, Stato membro, paese terzo o organizzazione internazionale sotto la cui autorità sono state create o introdotte nelle strutture dell'Unione informazioni classificate; as)"documento": qualsiasi contenuto, a prescindere dal suo supporto (cartaceo, elettronico, magnetico o di altro tipo), in forma scritta o in una registrazione visiva o audiovisiva; at)"registrazione a fini di sicurezza": l'applicazione di procedure che registrano il ciclo di vita dei materiali, ivi comprese la diffusione e la distruzione; au)"declassificazione": la soppressione di qualsiasi classifica di sicurezza; av)"declassamento": una riduzione del livello di classifica di sicurezza; aw)"contratto classificato": un contratto quadro o un contratto, conformemente al regolamento (UE, Euratom) 2018/1046 del Parlamento europeo e del Consiglio, stipulato da un'istituzione o un organo dell'Unione, con un contraente per la fornitura di beni mobili o immobili, l'esecuzione di lavori o la prestazione di servizi, la cui esecuzione richiede o implica il trattamento, compresa la creazione, o la conservazione di ICUE; ax)"convenzione di sovvenzione classificata": una convenzione con cui un'istituzione o un organo dell'Unione concede una sovvenzione, come stabilito nel titolo VIII, del regolamento (UE, Euratom) 2018/1046, la cui esecuzione richiede o implica il trattamento, compresa la creazione, o la conservazione di ICUE; ay)"subcontratto classificato": un contratto stipulato da un contraente o un beneficiario di un'istituzione o un organo dell'Unione con un subcontraente per la fornitura di beni mobili o immobili, l'esecuzione di lavori o la prestazione di servizi, la cui esecuzione richiede o implica il trattamento, compresa la creazione, o la conservazione di ICUE; az)"istruzione di sicurezza del programma o progetto" o "PSI": un elenco delle procedure di sicurezza che sono applicate a un programma o progetto specifico per uniformare le procedure di sicurezza; ba)"lettera sugli aspetti di sicurezza" o "SAL": un pacchetto di condizioni contrattuali specifiche emesso dall'autorità contraente o che eroga la sovvenzione, che è parte integrante di un contratto o una convenzione di sovvenzione classificati implicante l'accesso o la creazione di ICUE e in cui sono individuati i requisiti di sicurezza e gli elementi del contratto o della sovvenzione che richiedono una protezione di sicurezza; bb)"guida alle classifiche di sicurezza" o "SCG": un documento che illustra gli elementi di un programma, progetto, contratto o convenzione di sovvenzione classificati e precisa i livelli di classifica di sicurezza applicabili. Articolo 4 Principi generali 1.Ogni istituzione e organo dell'Unione è responsabile dell'attuazione delle disposizioni del presente regolamento al proprio interno, tenuto conto della propria procedura di gestione del rischio di sicurezza delle informazioni. 2.L'inosservanza del presente regolamento, in particolare la divulgazione non autorizzata di informazioni aventi un livello di riservatezza di cui all'articolo 2, paragrafo 2, ad eccezione delle informazioni ad uso pubblico, è oggetto di indagine e può far sorgere la responsabilità del personale conformemente ai trattati o allo statuto del personale applicabile. 3.Le istituzioni e gli organi dell'Unione valutano tutte le informazioni che trattano e che conservano al fine di ordinarle secondo categorie conformemente ai livelli di riservatezza di cui all'articolo 2, paragrafo 2. 4.Le istituzioni e gli organi dell'Unione determinano le esigenze di sicurezza di tutte le informazioni che gestiscono e conservano tenuto conto dei seguenti aspetti: a)autenticità: la garanzia che l'informazione è veritiera e proviene da fonti in buona fede; b)disponibilità: l'accessibilità e l'utilizzabilità su richiesta di un'entità autorizzata; c)riservatezza: la non divulgazione dell'informazione a persone, entità o procedure non autorizzate;

d)integrità: il fatto che l'informazione è completa e che la completezza dell'informazione non è modificata; e)non disconoscibilità: la capacità di provare che un'azione o un evento sono effettivamente accaduti e non possono essere negati in seguito. 5.Per ogni sistema di comunicazione e informazione sotto la loro responsabilità, le istituzioni e gli organi dell'Unione individuano il massimo livello di riservatezza che il sistema di comunicazione e informazione può trattare e conservare, effettuano una valutazione del rischio di sicurezza delle informazioni e monitorano regolarmente le esigenze di sicurezza e la corretta attuazione delle misure di protezione individuate. 6.Tutte le istituzioni e tutti gli organi dell'Unione forniscono attività di formazione e sensibilizzazione sulle modalità di trattamento e conservazione delle informazioni non classificate e delle ICUE. Le istituzioni e gli organi dell'Unione che trattano e conservano ICUE organizzano una formazione obbligatoria almeno una volta ogni cinque anni destinata a tutte le persone autorizzate ad accedere alle ICUE. Le istituzioni e gli organi dell'Unione interessati organizzano una formazione specifica per le funzioni specifiche incaricate di compiti riguardanti la sicurezza delle informazioni. Un'istituzione o un organo dell'Unione può coordinare tali attività di formazione e sensibilizzazione con altre istituzioni e altri organi dell'Unione. Articolo 5 Procedura di gestione del rischio di sicurezza delle informazioni 1.Ogni istituzione e organo dell'Unione istituisce una procedura di gestione del rischio di sicurezza delle informazioni per la protezione delle informazioni che tratta e conserva. 2.La procedura di gestione del rischio di sicurezza delle informazioni comprende le seguenti fasi: a)identificazione delle minacce e delle vulnerabilità; b)valutazione del rischio; c)trattamento del rischio; d)accettazione del rischio; e)comunicazione del rischio. 3.La procedura di gestione del rischio di sicurezza delle informazioni tiene conto di tutti gli elementi pertinenti per l'istituzione o l'organo in questione, in particolare: a)il livello di riservatezza delle informazioni e i correlati obblighi giuridici; b)la forma e la quantità delle informazioni e le strutture o i CIS in cui le informazioni sono trattate e conservate; c)le persone che accedono alle informazioni in sito o da remoto; d)l'ambiente circostante e la struttura degli edifici o delle zone in cui sono conservate le informazioni;

e)le minacce nei confronti dell'Unione, delle istituzioni e degli organi dell'Unione o degli Stati membri derivanti da attacchi informatici, attacchi della catena di approvvigionamento, spionaggio, sabotaggio, attività terroristiche, attività sovversive o altre attività criminali; f)la continuità operativa e il ripristino in caso di disastro; g)i risultati di ispezioni, audit o visite di valutazione, se del caso. Capo 2

Governance e organizzazione della sicurezza Articolo 6 Gruppo di coordinamento interistituzionale per la sicurezza delle informazioni 1.È istituito un gruppo di coordinamento interistituzionale per la sicurezza delle informazioni ("gruppo di coordinamento"). Esso è composto da tutte le autorità di sicurezza delle istituzioni e degli organi dell'Unione e ha il mandato di definirne la politica comune nel settore della sicurezza delle informazioni. 2.Deliberando per consenso e nell'interesse comune di tutte le istituzioni e tutti gli organi dell'Unione, il gruppo di coordinamento: a)adotta il proprio regolamento interno e gli obiettivi e le priorità comuni annuali; b)adotta decisioni sull'istituzione di sottogruppi tematici e sul loro mandato; c)elabora documenti di orientamento sull'attuazione del presente regolamento, in cooperazione con il comitato interistituzionale per la cibersicurezza di cui all'articolo 9 del regolamento (UE) [...] che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell'Unione, se del caso; d)istituisce apposite piattaforme per la condivisione delle migliori pratiche e delle conoscenze su temi comuni pertinenti per la sicurezza delle informazioni, nonché per l'assistenza in caso di incidenti di sicurezza delle informazioni; e)assicura il necessario coordinamento delle misure di sicurezza con le competenti autorità di sicurezza nazionali per proteggere le ICUE. 3.Il gruppo di coordinamento designa un presidente e due vicepresidenti tra i suoi membri, per un periodo di tre anni. 4.Il gruppo di coordinamento si riunisce almeno una volta all'anno su iniziativa del presidente o su domanda di un'istituzione o un organo dell'Unione. 5.Il gruppo di coordinamento riceve assistenza amministrativa da un segretariato permanente fornito dalla Commissione. 6.Ogni istituzione od organo dell'Unione è adeguatamente rappresentato nel gruppo di coordinamento e, se del caso, nei sottogruppi tematici. 7.Le istituzioni e gli organi dell'Unione sottopongono all'attenzione del gruppo di coordinamento qualsiasi sviluppo significativo della politica di sicurezza delle informazioni all'interno della propria organizzazione. 8.Nell'adempimento dei compiti di cui al paragrafo 2, lettera e), il gruppo di coordinamento è assistito da un comitato per la sicurezza delle informazioni. Tale comitato è composto da un rappresentante di ogni autorità di sicurezza nazionale ed è presieduto dal segretariato del gruppo di coordinamento di cui al paragrafo 5. Il comitato per la sicurezza delle informazioni svolge un ruolo consultivo.

Articolo 7 Sottogruppi tematici 1.Il gruppo di coordinamento istituisce i seguenti sottogruppi tematici permanenti per facilitare l'attuazione del presente regolamento: a)un sottogruppo sulla garanzia di sicurezza delle informazioni; b)un sottogruppo sulle informazioni non classificate: c)un sottogruppo sulla sicurezza materiale; d)un sottogruppo sull'accreditamento dei sistemi di comunicazione e informazione che trattano e conservano ICUE; e)un sottogruppo sulla condivisione di ICUE e lo scambio di informazioni classificate. 2.Ove necessario, il gruppo di coordinamento può istituire sottogruppi ad hoc per un compito specifico e per una durata limitata. 3.Salvo altrimenti disposto nel loro mandato, i sottogruppi si basano sull'adesione aperta in rappresentanza dell'istituzione o dell'organo dell'Unione in questione. I membri dei sottogruppi sono esperti nei rispettivi settori di competenza. 4.Il segretariato del gruppo di coordinamento di cui all'articolo 5, paragrafo 5, sostiene i lavori di tutti i sottogruppi e assicura la comunicazione tra i loro membri. Articolo 8 Organizzazione della sicurezza 1.Ogni istituzione e organo dell'Unione designa un'autorità di sicurezza che assume le responsabilità assegnate dal presente regolamento e, se del caso, dalle proprie norme di sicurezza interne. Nell'adempimento dei propri compiti, ogni autorità di sicurezza dispone del sostegno del servizio o funzionario incaricato dei compiti di sicurezza delle informazioni. 2.Ove necessario, l'autorità di sicurezza di ogni istituzione e organo dell'Unione adotta le norme di attuazione interne per la protezione delle informazioni, conformemente ai compiti specifici dell'istituzione o dell'organo in questione, quali conferiti dal diritto dell'UE, e in base alla sua autonomia istituzionale. 3.Ove opportuno, l'autorità di sicurezza assume anche le seguenti funzioni: a)autorità per la garanzia di sicurezza delle informazioni, incaricata di sviluppare le politiche di sicurezza della garanzia delle informazioni e gli orientamenti di sicurezza e di monitorare la loro efficacia e pertinenza; b)autorità operativa per la garanzia di sicurezza delle informazioni, responsabile dello sviluppo di una documentazione di sicurezza, in particolare le procedure operative di sicurezza e il piano crittografico nell'ambito della procedura di accreditamento del sistema di comunicazione e informazione; c)autorità di accreditamento di sicurezza, incaricata di accreditare le zone protette e il CIS che tratta e conserva ICUE; d)autorità TEMPEST, responsabile dell'approvazione delle misure adottate per proteggere le ICUE in modo tale che queste non possano essere compromesse da radiazioni elettromagnetiche non intenzionali;

e)autorità di approvazione degli apparati crittografici, responsabile dell'approvazione dell'uso delle tecnologie di crittografia sulla base di una richiesta del proprietario del sistema; f)autorità di distribuzione degli apparati crittografici, responsabile della distribuzione del materiale crittografico utilizzato per la protezione delle ICUE (dispositivi di cifratura, chiavi crittografiche, certificati e relativi autenticatori) agli utenti interessati. 4.Le responsabilità di una o più funzioni di cui al paragrafo 3 possono essere delegate a un'altra istituzione o un altro organo dell'Unione laddove il decentramento della sicurezza offra garanzie di efficienza, risparmio di tempo o di risorse. Capo 3

Garanzia di sicurezza delle informazioni e sistemi di comunicazione e informazione (CIS) Articolo 9 Principi di garanzia di sicurezza delle informazioni 1.La valutazione delle esigenze di sicurezza delle informazioni è presa in considerazione sin dall'inizio della creazione o nella fase di appalto per quanto riguarda tutti i CIS, compresi i CIS interni, esternalizzati e ibridi. 2.I CIS che trattano e conservano ICUE sono accreditati conformemente al capo 5, sezione 5. I CIS che trattano e conservano informazioni sensibili non classificate soddisfano i requisiti minimi per le informazioni sensibili non classificate nei CIS, di cui al capo 4. Articolo 10 Sottogruppo sulla garanzia di sicurezza delle informazioni 1.Il sottogruppo sulla garanzia di sicurezza delle informazioni di cui all'articolo 7, paragrafo 1, lettera a), ha i seguenti ruoli e responsabilità: a)fornire orientamenti e migliori pratiche in materia di contrassegni, trattamento e conservazione delle informazioni nei CIS, in stretta cooperazione con il comitato interistituzionale per la cibersicurezza di cui all'articolo 9 del regolamento (UE) [...] che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell'Unione; b)istituire uno schema di metadati per i contrassegni e tutte le informazioni tecniche necessarie per contribuire a uno scambio interoperabile e fluido delle informazioni in tutte le istituzioni e tutti gli organi dell'Unione quando interconnettono i rispettivi CIS; c)contribuire alla coerenza tra le norme di sicurezza delle informazioni e la base di riferimento per la cibersicurezza in tutte le istituzioni e tutti gli organi dell'Unione, di cui all'articolo 5 del regolamento UE [...] che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell'Unione. Articolo 11 Requisiti per i sistemi di comunicazione e informazione 1.Le istituzioni e gli organi dell'Unione informano gli utenti in merito ai livelli di riservatezza delle informazioni che possono essere trattati e conservati in un CIS. Se un CIS tratta e conserva più livelli di riservatezza, sono utilizzati metadati e contrassegni visivi per garantire che i diversi livelli possano essere distinti. 2.Le istituzioni e gli organi dell'Unione individuano gli utenti del CIS prima di concedere loro l'accesso a livelli di riservatezza diversi dall'uso pubblico. Gli utenti sono autenticati a un livello di garanzia di sicurezza adeguato al livello di riservatezza. Se del caso, è usato un sistema comune di identificazione sicuro. 3.Sono conservati log di sicurezza adeguati per tutti i CIS al fine di garantire indagini rapide in caso di violazione o fuga di informazioni. Tali log sono conservati per la durata stabilita nella valutazione dell'impatto operativo o nelle pertinenti politiche di sicurezza, in modo non ripudiabile. Se un CIS tratta e conserva ICUE, i log relativi alla necessità di conoscere e all'accesso alle informazioni sono conservati fino alla declassificazione delle informazioni. I log di sicurezza sono consultabili e accessibili da parte dell'autorità di sicurezza.

4.Le istituzioni e gli organi dell'Unione adottano norme interne sulla sicurezza dei CIS per specificare le misure di sicurezza adeguate in funzione delle esigenze di sicurezza delle informazioni da trattare e conservare e tenuto conto delle giurisdizioni in cui le informazioni sono conservate, trasmesse e trattate. Se del caso, tali misure comprendono i seguenti elementi: a)restrizioni all'ubicazione geografica; b)considerazione di potenziali conflitti di interesse, boicottaggi o sanzioni in relazione ai contraenti; c)disposizioni contrattuali per garantire la sicurezza delle informazioni; d)cifratura delle informazioni a riposo e in transito; e)restrizioni all'accessibilità delle informazioni delle istituzioni e degli organi dell'Unione da parte del personale del contraente; f)protezione dei dati personali conformemente alla legislazione applicabile in materia di protezione dei dati. 5.Le istituzioni e gli organi dell'Unione gestiscono i propri CIS nel rispetto dei seguenti principi: a)ogni CIS dispone di un proprietario del sistema o di un'autorità operativa per la garanzia di sicurezza delle informazioni responsabile della sua sicurezza; b)è eseguita una procedura di gestione del rischio di sicurezza delle informazioni che copra gli aspetti relativi alla sicurezza delle informazioni; c)i requisiti di sicurezza e le procedure operative di sicurezza sono formalmente definiti, attuati, verificati e riesaminati; d)gli incidenti di sicurezza delle informazioni sono formalmente registrati ed è dato loro seguito, conformemente al regolamento UE [...] che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell'Unione. Capo 4

Informazioni non classificate Articolo 12 Informazioni ad uso pubblico 1.Le informazioni destinate ad uso pubblico o alla pubblicazione ufficiale o già divulgate, che possono essere condivise senza restrizioni all'interno o all'esterno delle istituzioni e degli organi dell'Unione, sono categorizzate, trattate e conservate come informazioni ad uso pubblico. 2.Le istituzioni e gli organi dell'Unione possono assegnare il contrassegno "PUBLIC USE" alle informazioni di cui al paragrafo 1. 3.Tutte le istituzioni e tutti gli organi dell'Unione garantiscono l'integrità e la disponibilità delle informazioni ad uso pubblico mediante misure adeguate in funzione delle relative esigenze di sicurezza. Articolo 13 Informazioni normali

1.Le informazioni destinate ad essere utilizzate da un'istituzione o un organo dell'Unione nell'esercizio delle sue funzioni e che non sono né sensibili non classificate né ad uso pubblico sono categorizzate, trattate e conservate come informazioni normali. Tale categoria comprende tutte le informazioni a livello di lavoro normale trattate nell'istituzione o nell'organo dell'Unione in questione. 2.Le informazioni normali possono essere contrassegnate visivamente o con metadati ove necessario per garantirne la protezione, in particolare se condivise al di fuori delle istituzioni e degli organi dell'Unione. In tal caso è utilizzato il contrassegno "EU NORMAL" o "nome o acronimo dell'istituzione o dell'organo dell'Unione NORMAL" (adattato caso per caso). 3.Le istituzioni e gli organi dell'Unione definiscono le misure di protezione standard per le informazioni normali, tenuto conto degli orientamenti del sottogruppo sulle informazioni non classificate e di eventuali rischi specifici connessi ai propri compiti e alle proprie attività. 4.Le informazioni normali sono scambiate al di fuori delle istituzioni e degli organi dell'Unione solo con persone fisiche o giuridiche che hanno una necessità di conoscere. Articolo 14 Informazioni sensibili non classificate 1.Le istituzioni e gli organi dell'Unione categorizzano, trattano e conservano come informazioni sensibili non classificate tutte le informazioni che non sono classificate ma che essi devono proteggere in virtù di obblighi giuridici o del danno che la loro divulgazione non autorizzata può arrecare ai legittimi interessi privati e pubblici, compresi quelli delle istituzioni e degli organi dell'Unione, degli Stati membri o di persone fisiche. 2.Ogni istituzione e organo dell'Unione identifica le informazioni sensibili non classificate mediante un contrassegno di sicurezza visibile e definisce le corrispondenti istruzioni di trattamento conformemente all'allegato I. 3.Le istituzioni e gli organi dell'Unione proteggono le informazioni sensibili non classificate applicando misure adeguate per quanto riguarda il loro trattamento e la loro conservazione. Tali informazioni possono essere messe a disposizione solo all'interno delle istituzioni e degli organi dell'Unione a persone che hanno una necessità di conoscere ai fini dell'assolvimento dei compiti loro attribuiti. 4.Le informazioni sensibili non classificate sono scambiate al di fuori delle istituzioni e degli organi dell'Unione solo con persone fisiche e giuridiche che hanno una necessità di conoscere, nel rispetto delle istruzioni di trattamento che accompagnano le informazioni. Tutte le parti coinvolte sono informate delle opportune istruzioni di trattamento. Articolo 15 Protezione delle informazioni non classificate e interoperabilità 1.Le istituzioni e gli organi dell'Unione stabiliscono procedure per la segnalazione e la gestione di qualsiasi incidente o presunto incidente che possa compromettere la sicurezza delle informazioni non classificate. 2.Ove necessario, le istituzioni e gli organi dell'Unione utilizzano i contrassegni previsti agli articoli 12, 13 e 14. Eccezionalmente, a livello interno e in relazione ai loro omologhi particolari di altre istituzioni e organi dell'Unione o degli Stati membri, possono utilizzare altri contrassegni equivalenti, con l'accordo di tutte le parti. Tale eccezione è notificata al sottogruppo sulle informazioni non classificate di cui all'articolo 7, paragrafo 1, lettera b). 3.Sono stabilite garanzie contrattuali per assicurare la protezione delle informazioni normali e delle informazioni sensibili non classificate trattate dai servizi esternalizzati. Le garanzie sono concepite in modo da assicurare un livello di protezione almeno equivalente a quello previsto dal presente regolamento e comprendono impegni di riservatezza e di non divulgazione che devono essere firmati da tutti i prestatori di servizi pertinenti coinvolti nella fornitura dei sistemi esternalizzati. Articolo 16 Sottogruppo sulle informazioni non classificate 1.Il sottogruppo sulle informazioni non classificate di cui all'articolo 7, paragrafo 1, lettera b), ha i seguenti ruoli e responsabilità: a)razionalizzare le procedure relative al trattamento e alla conservazione delle informazioni non classificate e preparare gli orientamenti pertinenti; b)garantire il coordinamento con il sottogruppo sulla garanzia di sicurezza delle informazioni di cui all'articolo 7, paragrafo 1, lettera a), in merito alle questioni relative ai sistemi che trattano e conservano informazioni non classificate;

c)preparare le istruzioni di trattamento per i diversi livelli di riservatezza delle informazioni non classificate; d)assistere le istituzioni e gli organi dell'Unione nello stabilire l'equivalenza tra le loro categorie particolari di informazioni non classificate e quelle previste agli articoli 12, 13 e 14; e)agevolare la condivisione delle informazioni non classificate tra le istituzioni e gli organi dell'Unione, fornendo assistenza e orientamenti. Articolo 17 Trattamento e conservazione delle informazioni sensibili non classificate nei CIS 1.Le istituzioni e gli organi dell'Unione garantiscono che i CIS soddisfino i seguenti requisiti minimi per il trattamento e la conservazione delle informazioni sensibili non classificate: a)è attuata un'autenticazione forte per l'accesso alle informazioni sensibili non classificate e dette informazioni sono criptate ai fini della trasmissione e conservazione; b)le chiavi di cifratura utilizzate per la conservazione sono sotto la responsabilità dell'istituzione o dell'organo dell'Unione responsabile del funzionamento del CIS; c)le informazioni sensibili non classificate sono conservate e trattate nell'Unione; d)in tutti i contratti di esternalizzazione sono incluse disposizioni contrattuali sulla sicurezza del personale, delle risorse e delle informazioni; e)sono utilizzati metadati interoperabili per registrare il livello di riservatezza dei documenti elettronici e per facilitare l'automazione delle misure di sicurezza; f)le istituzioni e gli organi dell'Unione attuano misure volte a prevenire e individuare la fuga di dati per proteggere le informazioni sensibili non classificate; g)se disponibili, sono utilizzati dispositivi di sicurezza corredati di un certificato europeo di cibersicurezza; h)attuazione di misure di sicurezza basate sui principi della necessità di conoscere e "zero trust" per ridurre al minimo l'accesso alle informazioni sensibili non classificate da parte dei prestatori di servizi e dei contraenti. 2.Qualsiasi deroga ai requisiti minimi di cui al paragrafo 1 è soggetta all'approvazione dell'adeguato livello di dirigenza dell'istituzione o dell'organo dell'Unione in questione, sulla base di una valutazione del rischio relativa ai rischi giuridici e tecnici per la sicurezza delle informazioni sensibili non classificate. 3.L'autorità di garanzia di sicurezza delle informazioni dell'istituzione o dell'organo dell'Unione in questione può verificare la conformità ai principi di cui al paragrafo 1 in qualsiasi momento durante il ciclo di vita di un CIS. Capo 5

ICUE Sezione 1

Disposizioni generali Articolo 18 Classifiche e contrassegni di sicurezza

1.Le ICUE sono classificate a uno dei seguenti livelli e sono contrassegnate come segue: a)TRES SECRET UE/EU TOP SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe arrecare danni di eccezionale gravità agli interessi fondamentali dell'Unione o di uno o più Stati membri; b)SECRET UE/EU SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gravemente gli interessi fondamentali dell'Unione o di uno o più Stati membri; c)CONFIDENTIEL UE/EU CONFIDENTIAL: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gli interessi fondamentali dell'Unione o di uno o più Stati membri; d)RESTREINT UE/EU RESTRICTED: informazioni e materiali la cui divulgazione non autorizzata potrebbe essere pregiudizievole per gli interessi dell'Unione o di uno o più Stati membri. 2.Il gruppo di coordinamento adotta documenti di orientamento sulla creazione e la classificazione delle ICUE. Articolo 19 Idoneità a trattare e conservare ICUE 1.Qualsiasi istituzione e organo dell'Unione può trattare e conservare ICUE se soddisfa le seguenti condizioni: a)stabilisce norme e procedure conformemente al presente regolamento, garantendo la protezione delle informazioni per un determinato livello di classifica; e b)è stato sottoposto a una visita di valutazione conformemente all'articolo 53, ed è stato successivamente certificato che può proteggere le ICUE conformemente al presente regolamento e, se del caso, a qualsiasi altra norma e procedura pertinente. 2.Le condizioni di cui al paragrafo 1 si considerano automaticamente soddisfatte dai membri del sottogruppo sulla condivisione di ICUE e lo scambio di informazioni classificate di cui all'articolo 7, paragrafo 1, lettera e). Articolo 20 Protezione delle ICUE 1.Il detentore di qualsiasi ICUE è responsabile della loro protezione. 2.Qualora uno Stato membro introduca informazioni classificate recanti un contrassegno di classifica di sicurezza nazionale nelle strutture o nelle reti di un'istituzione o un organo dell'Unione, l'istituzione o l'organo in questione protegge tali informazioni conformemente al corrispondente contrassegno di classifica stabilito nell'accordo tra gli Stati membri dell'Unione europea, riuniti in sede di Consiglio, sulla protezione delle informazioni classificate scambiate nell'interesse dell'Unione europea. La corrispondente tabella di equivalenza figura nell'allegato VI del presente regolamento. 3.Un'aggregazione di ICUE può richiedere un livello di protezione corrispondente a una classifica più elevata di quella dei singoli componenti. Articolo 21 Procedura di gestione del rischio di sicurezza delle ICUE 1.L'autorità di sicurezza di ogni istituzione e organo dell'Unione approva le misure di sicurezza per proteggere le ICUE durante tutto il loro ciclo di vita conformemente all'esito di una valutazione del rischio effettuata dalla rispettiva istituzione o dal rispettivo organo dell'Unione.

2.Le misure di sicurezza adottate da ogni istituzione e organo dell'Unione sono commisurate al livello di classifica delle informazioni trattate e conservate, alla loro forma e al loro volume, nonché all'ubicazione e alle caratteristiche di protezione delle strutture in cui le ICUE sono trattate e conservate e alla minaccia di attività dolose o criminali valutata a livello locale. 3.Tutte le istituzioni e tutti gli organi dell'Unione stabiliscono: a)piani di emergenza per garantire la sicurezza delle ICUE in casi di emergenza; b)piani di continuità operativa che comprendono misure di prevenzione e recupero per minimizzare l'impatto di disfunzioni o incidenti di sicurezza gravi nel trattamento e nella conservazione delle ICUE. Articolo 22 Violazioni della sicurezza e compromissione di ICUE 1.Un'azione o un'omissione di un'istituzione o un organo dell'Unione o di una persona, che violi il presente regolamento, è da considerarsi una violazione della sicurezza. 2.Le ICUE sono considerate compromesse se, a seguito di una violazione, sono state divulgate, in tutto o in parte, a una o più persone che non sono autorizzate ad accedervi. 3.Qualsiasi compromissione o sospetta compromissione di ICUE è segnalata immediatamente all'autorità di sicurezza dell'istituzione o dell'organo dell'Unione pertinente, che svolge un'indagine di sicurezza e adotta almeno le seguenti misure: a)informare l'originatore; b)assicurare che personale non direttamente interessato dalla violazione indaghi sul caso per accertare i fatti; c)valutare i potenziali danni agli interessi dell'Unione o degli Stati membri; d)adottare i provvedimenti opportuni per impedire che i fatti si ripetano; e)informare le autorità competenti della compromissione accertata o potenziale e delle misure adottate. Sezione 2

Sicurezza del personale Articolo 23 Principi di base 1.L'autorità di sicurezza di un'istituzione o un organo dell'Unione può concedere alle persone l'accesso alle ICUE se sono soddisfatte tutte le seguenti condizioni: a)le persone hanno una necessità di conoscere; b)le persone sono state istruite sulle norme e procedure di sicurezza per la protezione delle ICUE, nonché sulle norme e gli orientamenti di sicurezza pertinenti, e hanno riconosciuto per iscritto le proprie responsabilità in materia di protezione di tali informazioni;

c)per le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL e superiore, le persone hanno ottenuto un nulla osta di sicurezza e sono state autorizzate al livello pertinente. 2.Le istituzioni e gli organi dell'Unione tengono conto della lealtà, dell'onestà e dell'affidabilità di una persona, accertate mediante un'indagine di sicurezza condotta dalle autorità competenti dello Stato membro di cui il richiedente è cittadino. 3.Le istituzioni e gli organi dell'Unione possono accettare nulla osta di sicurezza di paesi terzi e organizzazioni internazionali con cui l'Unione abbia concluso un accordo sulla sicurezza delle informazioni. 4.Le istituzioni e gli organi dell'Unione possono gestire le procedure di nulla osta in modo autonomo o stipulare un accordo sul livello dei servizi con la Commissione ai fini del nulla osta di sicurezza. In caso di conclusione di un accordo sul livello dei servizi, l'autorità di sicurezza della Commissione è il punto di contatto tra gli uffici di sicurezza dell'istituzione o dell'organo dell'Unione in questione e le competenti autorità nazionali degli Stati membri per quanto riguarda i nulla osta di sicurezza. 5.L'autorità di sicurezza di ogni istituzione e organo dell'Unione conserva una registrazione dei nulla osta di sicurezza, delle informative, delle attestazioni scritte e delle autorizzazioni di accesso alle ICUE. 6.Le istituzioni e gli organi dell'Unione che concludono un accordo sul livello dei servizi con la Commissione mettono le pertinenti registrazioni a disposizione dell'autorità di sicurezza della Commissione per quanto riguarda almeno il livello di ICUE cui può accedere la persona in questione, la data di rilascio dell'autorizzazione di accesso alle ICUE e il relativo periodo di validità. Tali registrazioni sono accessibili alle altre istituzioni e organi dell'Unione che hanno un accordo sul livello dei servizi, ove giustificato. Articolo 24 Autorizzazione di accesso alle ICUE 1.Ogni istituzione e organo dell'Unione individua al proprio interno le posizioni che richiedono l'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore che consentono al detentore di assolvere le proprie funzioni. 2.Laddove una persona necessiti di essere autorizzata ad accedere a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, l'istituzione o l'organo in questione informa l'autorità di sicurezza competente, che procede alle formalità di cui al punto 1 dell'allegato II. 3.L'autorità di sicurezza di ogni istituzione e organo dell'Unione è responsabile del rilascio, della sospensione, della revoca e del rinnovo delle autorizzazioni di accesso alle ICUE per il relativo personale. 4.In circostanze eccezionali, laddove sia debitamente giustificato nell'interesse del servizio e in attesa dell'esito dell'intera indagine di sicurezza, l'autorità di sicurezza di un'istituzione o un organo dell'Unione può rilasciare un'autorizzazione temporanea per accedere alle ICUE per una posizione specifica, fatte salve le disposizioni relative al rinnovo delle autorizzazioni di accesso alle ICUE e previa verifica dell'autorità di sicurezza nazionale pertinente. 5.Le istituzioni e gli organi dell'Unione seguono le procedure di gestione delle autorizzazioni di accesso alle ICUE di cui all'allegato II. Articolo 25 Riconoscimento delle autorizzazioni di accesso alle ICUE 1.Un'autorizzazione di accesso alle ICUE fino al livello specificato è valida in qualsiasi istituzione o organo dell'Unione cui la persona è assegnata. 2.Le istituzioni e gli organi dell'Unione accettano le autorizzazioni di accesso alle ICUE rilasciate da altre istituzioni o organi dell'Unione. 3.Qualora il titolare di un'autorizzazione di accesso alle ICUE sia assunto presso un'altra istituzione o un altro organo dell'Unione, tale istituzione o organo dell'Unione notifica all'NSA pertinente il cambiamento di datore di lavoro tramite l'autorità di sicurezza competente. Articolo 26

Informativa sulle ICUE 1.L'autorità di sicurezza di un'istituzione o un organo dell'Unione informa tutte le persone che necessitano di accedere alle ICUE in merito a qualsiasi minaccia alla sicurezza e all'obbligo di segnalare qualsiasi attività sospetta. L'informativa ha luogo prima della concessione dell'accesso alle ICUE e successivamente almeno ogni cinque anni. 2.Dopo aver ricevuto l'informativa di cui al paragrafo 1, tutte le persone interessate riconoscono per iscritto di aver compreso gli obblighi di protezione delle ICUE e le eventuali conseguenze se le ICUE risultano compromesse. 3.L'informativa di cui al paragrafo 1 comprende le seguenti informazioni: a)ogni persona responsabile di una violazione delle norme di sicurezza contenute nel presente regolamento è passibile di azione disciplinare conformemente alle disposizioni legislative e regolamentari applicabili; b)ogni persona responsabile della compromissione o della perdita di ICUE è passibile di sanzioni disciplinari o azioni legali conformemente alle disposizioni legislative, normative e regolamentari applicabili. 4.Se le persone cui è stata rilasciata un'autorizzazione di accesso alle ICUE non necessitano più dell'accesso, le istituzioni e gli organi dell'Unione provvedono affinché tali persone siano informate dell'obbligo di continuare a proteggere le ICUE e, se del caso, riconoscano per iscritto quest'obbligo. 5.Il compito di creare e gestire le informative sulle ICUE può essere condiviso tra le istituzioni e gli organi dell'Unione, purché siano presi in considerazione i loro requisiti specifici. Sezione 3

Sicurezza materiale Articolo 27 Principi di base 1.Ogni istituzione e organo dell'Unione stabilisce le misure di sicurezza materiale adeguate ai propri siti, conformemente all'allegato III e al principio di difesa in profondità, sulla base di una valutazione del rischio effettuata dalla propria autorità di sicurezza. Le misure perseguono i seguenti obiettivi: a)impedire l'accesso alle ICUE o l'ingresso con la forza da parte di intrusi; b)scoraggiare, ostacolare e scoprire azioni non autorizzate e rispondere quanto prima agli incidenti di sicurezza; c)consentire la segregazione del personale per quanto riguarda l'accesso alle ICUE sulla base del principio della necessità di conoscere e, in caso, del nulla osta di sicurezza; 2.Le istituzioni e gli organi dell'Unione attuano misure di sicurezza materiale per tutti i siti in cui le ICUE sono discusse, conservate o trattate, comprese le zone che contengono i sistemi di comunicazione e informazione definiti alla sezione 5 del presente capo. 3.Per la protezione materiale delle informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono utilizzate solo le attrezzature di sicurezza approvate dall'autorità di sicurezza di un'istituzione o un organo dell'Unione. 4.Le istituzioni e gli organi dell'Unione possono condividere le zone protette di cui all'allegato III per il trattamento e la conservazione delle ICUE, previa conclusione di un accordo. Articolo 28 Sottogruppo sulla sicurezza materiale

1.Il sottogruppo sulla sicurezza materiale di cui all'articolo 7, paragrafo 1, lettera c), ha i seguenti ruoli e responsabilità: a)elaborare documenti di orientamento in materia di sicurezza fisica; b)definire i criteri di sicurezza generali per l'acquisto di attrezzature, quali contenitori di sicurezza, macchine sminuzzatrici, serrature di porte, sistemi elettronici di controllo dell'accesso, sistemi di rilevamento delle intrusioni, sistemi d'allarme, per la protezione materiale delle ICUE; c)assistere le istituzioni e gli organi dell'Unione nella definizione delle misure di sicurezza adeguate ai loro siti; d)proporre misure compensative per la protezione delle ICUE quando le ICUE sono trattate al di fuori delle zone oggetto di protezione materiale di un'istituzione o un organo dell'Unione. Articolo 29 Protezione materiale delle ICUE 1.Per garantire la protezione materiale delle ICUE, le istituzioni e gli organi dell'Unione stabiliscono le seguenti zone oggetto di protezione materiale: a)le zone amministrative di cui all'allegato III; b)ove opportuno, le zone protette, comprese le zone protette di categoria I e di categoria II e le zone protette tecnicamente, di cui all'allegato III. 2.L'autorità di sicurezza dell'istituzione o dell'organo dell'Unione in questione effettua un'ispezione interna per verificare se una zona soddisfa le condizioni di cui all'allegato III per costituire una zona amministrativa o una zona protetta. Se il rapporto di ispezione indica che le condizioni sono soddisfatte, l'autorità di sicurezza può rilasciare un accreditamento della zona protetta a proteggere le ICUE fino al livello dichiarato per un periodo non superiore a cinque anni. L'autorità di sicurezza dell'istituzione o dell'organo dell'Unione in questione è responsabile dello svolgimento della procedura di riaccreditamento delle zone protette prima della scadenza dell'accreditamento o in caso di attuazione di modifiche all'interno della zona accreditata. 3.Ogni istituzione e organo dell'Unione adotta le procedure di gestione delle chiavi e delle combinazioni per gli uffici, le stanze, le camere blindate e i contenitori di sicurezza in cui sono conservate informazioni di livello CONFIDENTIEL UE/EU-CONFIDENTIAL e superiore. 4.L'autorità di sicurezza può autorizzare ispezioni all'entrata e all'uscita per scoraggiare e individuare l'introduzione non autorizzata di materiale o la sottrazione non autorizzata di ICUE dai siti. 5.Le istituzioni e gli organi dell'Unione stabiliscono le misure per la protezione materiale delle ICUE conformemente all'allegato III. Sezione 4

Gestione delle ICUE Articolo 30 Principi di base 1.Le istituzioni e gli organi dell'Unione registrano, archiviano, conservano e da ultimo eliminano, campionano o trasferiscono i propri documenti ICUE agli archivi pertinenti conformemente alla politica e alle norme di conservazione specifiche dei fascicoli di ogni istituzione e organo dell'Unione. 2.Ogni istituzione e organo dell'Unione originatore di ICUE determina la classifica di sicurezza delle informazioni al momento della loro creazione e conformemente all'articolo 18, paragrafo 1.

3.Le istituzioni e gli organi dell'Unione comunicano chiaramente ai destinatari il livello di classifica mediante un contrassegno di classifica o un annuncio, se le informazioni sono fornite oralmente. 4.Le misure di sicurezza applicabili al documento originale si applicano ai progetti, alle copie e alle traduzioni. 5.Le istituzioni e gli organi dell'Unione stabiliscono le misure per la gestione delle ICUE conformemente all'allegato IV. Articolo 31 Creazione di ICUE 2. Le istituzioni e gli organi dell'Unione sotto la cui autorità sono create ICUE assicurano che siano soddisfatti i seguenti requisiti: a)ciascuna pagina è contrassegnata chiaramente con il livello di classifica; b)ciascuna pagina è numerata; c)il documento reca un numero di riferimento, se del caso un numero di registrazione e un oggetto che non è in sé un'ICUE, a meno che non sia contrassegnato come tale; d)il documento riporta la data in cui è stato creato; e)tutti gli allegati e il materiale accluso sono elencati, ove possibile, sulla prima pagina; f)i documenti classificati di livello SECRET UE/EU SECRET o superiore che debbano essere distribuiti in più copie recano un numero di copia su ciascuna pagina. Le copie elettroniche distribuite al di fuori del sistema detentore recano un identificativo univoco basato su una firma elettronica. Articolo 32 Controllo dell'originatore 1.L'istituzione o l'organo dell'Unione sotto la cui autorità è creato un documento ICUE esercita il controllo dell'originatore su tale documento. L'originatore determina il livello di classifica del documento ed è responsabile della sua diffusione iniziale. Fatto salvo il regolamento (CE) n. 1049/2001, il previo consenso scritto dell'originatore è necessario prima che le informazioni siano: a)declassificate o declassate; b)utilizzate a fini diversi da quelli stabiliti dall'originatore; c)trasmesse a qualsiasi entità esterna all'istituzione o all'organo dell'Unione che detiene le informazioni, compresi un paese terzo o un'organizzazione internazionale, un'altra istituzione o un altro organo dell'Unione, gli Stati membri, un contraente o potenziale contraente, un beneficiario o potenziale beneficiario; d)copiate e tradotte in caso di livello TRES SECRET-UE/EU-TOP SECRET. 2.Se non è possibile individuare l'originatore di un documento ICUE, l'istituzione o l'organo dell'Unione che detiene tali informazioni classificate esercita il controllo dell'originatore.

3.Gli originatori di qualsiasi documento ICUE tengono un registro di tutte le fonti classificate utilizzate per produrre documenti classificati, compresi i dettagli delle fonti provenienti dagli Stati membri, da organizzazioni internazionali o da paesi terzi. Se del caso, le informazioni classificate aggregate sono contrassegnate in modo da preservare l'identificazione degli originatori delle fonti classificate utilizzate. Articolo 33 Contrassegni di classifica 1.Se del caso, oltre a uno dei contrassegni di classifica di sicurezza, i documenti ICUE possono recare altri contrassegni, quali contrassegni di distribuzione o di divulgabilità o contrassegni per indicare l'originatore. 2.Parti diverse di un documento ICUE possono richiedere classifiche differenti e sono contrassegnate di conseguenza. Il livello di classifica generale di un documento o file corrisponde come minimo a quello del suo componente di livello più elevato. 3.I documenti che contengono parti con livelli di classifica diversi sono impostati in modo che le parti con un livello di classifica diverso possano essere facilmente individuate e, se necessario, separate. Articolo 34 Sistema di registrazione delle ICUE 1.Tutte le istituzioni e tutti gli organi dell'Unione che trattano e conservano informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIEL o superiore istituiscono uno o più uffici di registrazione delle ICUE per garantirne la registrazione a fini di sicurezza quando entrano o lasciano un'istituzione o un organo dell'Unione. 2.Tutti gli uffici di registrazione delle ICUE sono istituiti in zone protette di cui all'allegato III. 3.Le istituzioni e gli organi dell'Unione assegnano un funzionario responsabile del controllo delle registrazioni ("RCO") alla gestione di ciascun ufficio di registrazione delle ICUE. L'RCO deve essere munito di apposito nulla osta di sicurezza ed essere autorizzato conformemente all'articolo 24. Le istituzioni e gli organi dell'Unione assicurano una formazione adeguata per il proprio RCO. Articolo 35 Declassamento e declassificazione 1.Le informazioni restano classificate solo finché necessitano di protezione. Le ICUE che non necessitano più della classifica originaria sono declassate a un livello inferio