RESTREINT UE: non serve il nulla osta aziendale, serve il sistema accreditato
7 min di lettura
Un’impresa che entra in un programma europeo di difesa o sicurezza guarda per prima cosa al proprio nulla osta aziendale: è il riflesso naturale. Ma la decisione (UE, Euratom) 2015/444 della Commissione, del 13 marzo 2015, «sulle norme di sicurezza per proteggere le informazioni classificate UE», dice altro per il livello che la maggior parte dei contraenti incontra per primo. A RESTREINT UE/EU RESTRICTED quel nulla osta non è richiesto. Serve invece che il sistema informativo con cui l’impresa tratta le informazioni sia accreditato — uno spostamento che cambia da dove parte la due diligence di chi risponde a un bando.
Il cancello per l’impresa, quando c’è davvero
Il capo 6 della decisione — sicurezza industriale — definisce il nulla osta di sicurezza delle imprese (FSC) all’art. 44, par. 1: «una decisione amministrativa di un’NSA, una DSA o altra autorità di sicurezza competente, secondo la quale un’impresa è in grado, sotto il profilo della sicurezza, di offrire un adeguato livello di protezione alle ICUE ad un determinato livello di classifica di sicurezza». Vale per CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET, non in assoluto. Il par. 4 fissa il punto che conta per un’azienda: l’autorità contraente «non assegna […] un contratto classificato o una convenzione di sovvenzione prima di aver ricevuto conferma dall’NSA, DSA, o da altra autorità di sicurezza competente dello Stato membro in cui ha sede il contraente o subcontraente interessato, che laddove necessario è stato rilasciato l’FSC adatto». Il par. 6 chiude il cerchio dall’altra parte: la revoca dell’FSC «è motivo sufficiente per far sì che l’autorità contraente […] estingua il contratto classificato o escluda un candidato, offerente o richiedente dalla gara».
L’art. 43 aggiunge la condizione per le persone, non solo per l’azienda: il personale del contraente accede alle ICUE solo se dispone «dell’autorizzazione di sicurezza del livello pertinente o è autorizzato debitamente in altro modo da una necessità di conoscere riconosciuta», è stato «istruito sulle norme di sicurezza applicabili» e ha «riconosciuto le proprie responsabilità», e ha ricevuto il nulla osta al livello pertinente per CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET. E l’art. 42 mette per iscritto ciò che rende tutto questo azionabile in un contratto: la PSI (istruzione di sicurezza del programma o progetto) e soprattutto la SAL (lettera sugli aspetti di sicurezza), definita come un pacchetto di condizioni «che è parte integrante di un contratto classificato» e che «contiene le disposizioni che impongono al contraente o al beneficiario di osservare le norme minime stabilite dalla presente decisione», con l’avvertimento esplicito che «l’inosservanza di tali norme minime può essere motivo sufficiente di estinzione del contratto». Obbligatoria anche la SCG (guida alle classifiche di sicurezza), con una regola aritmetica netta: «il livello generale di classifica del contratto non può essere inferiore alla classifica più elevata di uno dei suoi elementi».
RESTREINT UE: l’obbligo si sposta dall’azienda al sistema
Tutto questo impianto — FSC, nulla osta personale, SAL, SCG — presuppone informazioni di livello CONFIDENTIEL UE o SECRET UE. Al livello sotto, l’art. 50 cambia registro fin dal par. 1: la protezione di RESTREINT UE/EU RESTRICTED si basa su «principi di proporzionalità e efficienza economica». Il par. 2 è la frase che regge il pezzo: «Non sono richiesti FSC o PSC nell’ambito di contratti o convenzioni di sovvenzione classificati che implicano il trattamento di informazioni classificate di livello RESTREINT UE/EU RESTRICTED». Per la parte di programmi europei di difesa e sicurezza che la maggior parte delle imprese incontra davvero, il nulla osta aziendale semplicemente non è un requisito.
Ma il par. 3 non lascia campo libero: se quel trattamento avviene «in un CIS gestito da un contraente», l’autorità contraente garantisce che nel contratto «siano specificati i requisiti tecnici e amministrativi necessari in merito all’accreditamento o all’approvazione del CIS commisurati al rischio valutato», e «la portata dell’accreditamento o dell’approvazione di tale CIS è concordata tra l’autorità di sicurezza della Commissione e l’NSA, DSA competente». L’obbligo non sparisce: si sposta. Dall’azienda al sistema informativo su cui l’azienda lavora — e la decisione rinvia esplicitamente all’autorità nazionale, l’NSA o la DSA competente, per concordarne la portata caso per caso.
Che cosa comporta accreditare un CIS
L’art. 37 dice a che cosa ci si iscrive accettando quello spostamento. «Tutti i CIS che trattano ICUE sono soggetti a una procedura di accreditamento», con una convalida formale del piano di sicurezza che accerta, tra l’altro, che «il proprietario del sistema abbia accettato consapevolmente il rischio residuo»: non una formula di stile, una responsabilità nominata. L’autorità di accreditamento rilascia poi «una dichiarazione di accreditamento che determina il livello di classifica più elevato delle ICUE che può essere trattato nel CIS nonché i termini e le condizioni associati al funzionamento» — un tetto e un perimetro, scritti.
Il par. 5 mette l’onere documentale tutto da una parte: «Il proprietario del sistema CIS è il solo responsabile della preparazione dei fascicoli e della documentazione». E il par. 6 rende l’accreditamento un rapporto che continua nel tempo, non un timbro una tantum: l’autorità può, «in qualsiasi momento del ciclo di vita del CIS», chiedere una nuova procedura di accreditamento, «effettuare audit o ispezioni del CIS» e, se le condizioni non sono più soddisfatte, arrivare a «ritirare l’autorizzazione al funzionamento del CIS fino a quando le condizioni di funzionamento non siano nuovamente soddisfatte».
La domanda giusta prima di rispondere a un bando
Conviene invertire l’ordine con cui la maggior parte delle imprese si prepara a un programma di difesa o sicurezza europeo. La domanda non è «abbiamo il nulla osta?» — a RESTREINT UE, quasi mai serve: è un regime europeo, distinto da quello delle classifiche di sicurezza nazionali, da non confondere anche quando i due si applicano allo stesso progetto. La domanda è: il sistema su cui tratteremo quelle informazioni può essere accreditato, e chi prepara il fascicolo che lo dimostra? L’accreditamento fissa un livello massimo di classifica trattabile e termini e condizioni di funzionamento specifici: un sistema che cambia architettura, fornitore o configurazione in continuazione è un sistema che deve tornare in procedura ogni volta, con il rischio concreto — previsto testualmente dall’art. 37 — di vedersi ritirare l’autorizzazione a operare finché non torna conforme.
Questo non riguarda solo le ICUE della Commissione: come per la qualificazione cloud sui dati critici della PA, la decisione rinvia sistematicamente alle NSA e DSA nazionali per la portata concreta dell’accreditamento — un rinvio che ogni impresa deve seguire fino in fondo prima di firmare, senza dare per scontato che le proprie procedure interne bastino da sole.
Come lo risolviamo noi
Un fascicolo di accreditamento costruito a mano, aggiornato quando qualcuno se ne ricorda, è esattamente il rischio che l’art. 37 mette in conto quando parla di ritiro dell’autorizzazione. Il modo per non correrlo è far diventare i requisiti della SAL e della SCG un controllo che gira sui documenti e sui sistemi del cliente, così che il fascicolo di accreditamento sia un prodotto del sistema, non un allegato scritto a mano: chi ha trattato quale informazione, a quale classifica, quando, con quale esito — la traccia che un audit o un’ispezione può chiedere in qualunque momento del ciclo di vita del CIS.
Lo stesso impianto, esteso oltre il singolo obbligo contrattuale, tiene insieme gli archivi, i gestionali, i sensori e i documenti sparsi di un’organizzazione in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando — per grandi imprese, difesa, pubblica amministrazione e sanità. Qui l’argomento on-premise pesa più che altrove: un sistema con perimetro definito e livello massimo di classifica dichiarato si accredita più facilmente su macchine autonome, senza integrazione profonda nella rete del cliente, secondo il metodo con cui costruiamo la piattaforma. L’alternativa resta il cloud dedicato, con data center residente in Italia — mai una sola modalità, sempre con gestione condivisa.
Dovete rispondere a un bando che tratta informazioni classificate UE e non sapete se il vostro sistema può essere accreditato? Mezz’ora con un nostro esperto per la prima lettura di quello che il contratto vi chiederà davvero.