               COMMISSIONE EUROPEA
            Bruxelles, 23.6.2020
            COM(2020) 255 final
            2020/0123(NLE)
            Proposta di
            DECISIONE DEL CONSIGLIO
            relativa alla posizione da assumere a nome dell'Unione europea in sede di comitato misto istituito dall'accordo tra l'Unione europea e la Confederazione svizzera concernente il collegamento dei rispettivi sistemi di scambio di quote di emissione di gas a effetto serra, per quanto riguarda l'adozione di procedure operative comuni
            (Testo rilevante ai fini del SEE)

               RELAZIONE

               1.Oggetto della proposta

               La presente proposta riguarda la decisione relativa alla posizione da assumere a nome dell'Unione in sede di comitato misto istituito dall'accordo tra l'Unione europea e la Confederazione svizzera concernente il collegamento dei rispettivi sistemi di scambio di quote di emissione di gas a effetto serra, in riferimento alla prevista adozione di una decisione relativa all'adozione di procedure operative comuni.

               2.Contesto della proposta

               2.1.Accordo tra l'Unione europea e la Confederazione svizzera concernente il collegamento dei rispettivi sistemi di scambio di quote di emissioni di gas a effetto serra

               L'accordo tra l'Unione europea e la Confederazione svizzera concernente il collegamento dei rispettivi sistemi di scambio di quote di emissione di gas a effetto serra ("l'accordo") è volto a collegare il sistema di scambio di quote di emissione di gas a effetto serra dell'UE ("EU ETS") con quello svizzero, permettendo di scambiare le quote assegnate in un sistema e di utilizzarle a fini di conformità nell'altro, ampliando in questo modo le opportunità di mitigazione dei cambiamenti climatici. L'accordo è entrato in vigore il 1° gennaio 2020.

               2.2.Il comitato misto

               Il comitato misto istituito dall'articolo 12 dell'accordo è incaricato di gestire l'accordo e provvedere alla sua corretta applicazione. Può decidere di adottare nuovi allegati dell'accordo o di modificare gli allegati esistenti. Ha altresì la facoltà di esaminare le proposte di modifica degli articoli dell'accordo, facilitare lo scambio di opinioni in merito alla legislazione delle parti e riesaminare l'accordo.

               Il comitato misto è un organo bilaterale composto dai rappresentanti delle parti (l'UE e la Confederazione svizzera). Le decisioni assunte dal comitato misto sono concordate da entrambe le parti.

               A norma dell'articolo 3, paragrafo 6, dell'accordo, l'amministratore del registro della Svizzera e l'amministratore centrale dell'Unione stabiliscono procedure operative comuni (POC) necessarie per il funzionamento del collegamento tra il catalogo delle operazioni dell'Unione europea (EUTL) del registro dell'Unione e il libro di bordo elettronico supplementare della Svizzera (SSTL) del registro svizzero, tenuto conto delle priorità della normativa interna. Le procedure operative comuni entrano in vigore una volta adottate con decisione del comitato misto.

               2.3.L'atto previsto del comitato misto

               Nel corso della sua terza riunione, che si terrà nel 2020, il comitato misto è chiamato ad adottare una decisione a norma dell'articolo 3, paragrafo 6, dell'accordo per quanto riguarda l'adozione di procedure operative comuni ("l'atto previsto").

               L'obiettivo dell'atto previsto è determinare le procedure operative che entrambe le parti devono applicare e riguarda questioni tecniche e di altra natura necessarie per il funzionamento del collegamento tra l'EUTL e il SSTL, tenuto conto delle priorità della normativa interna. A tal fine, esso illustra gli obblighi procedurali per quanto riguarda il funzionamento. Per ridurre al minimo il rischio di frodi, abusi o attività criminali che coinvolgono i registri e preservare l'integrità del collegamento, i dettagli delle procedure necessarie, nonché le considerazioni e le convenzioni sottostanti, dovrebbero essere trattati in maniera riservata. L'atto previsto descrive pertanto gli elementi necessari con un grado di precisione piuttosto elevato, senza rivelare procedure e informazioni relative alla sicurezza del collegamento. È opportuno che le procedure e le informazioni in questione siano definite in orientamenti tecnici supplementari da elaborare a cura di un gruppo di lavoro in conformità dell'articolo 12, paragrafo 5, dell'accordo. Il gruppo di lavoro dovrebbe includere almeno l'amministratore del registro della Svizzera e l'amministratore centrale dell'Unione che dovrebbero entrambi garantire il funzionamento costante, efficace ed efficiente del collegamento, nonché il suo adeguamento al progresso tecnico e alle nuove prescrizioni in materia di sicurezza interna e esterna del collegamento. Data la natura tecnica e riservata di tali orientamenti e la necessità di adeguarli per mantenere un livello appropriato di sicurezza interna e esterna del collegamento, i rappresentanti dell'Unione in sede di comitato misto dovrebbero esserne informati e, se del caso, dovrebbero poter concordare questi orientamenti senza un'ulteriore decisione del Consiglio.

               L'atto previsto vincolerà le parti a norma dell'articolo 3, paragrafo 6, dell'accordo, che stabilisce che le procedure operative comuni entreranno in vigore quando saranno adottate, mediante decisione, dal comitato misto. A norma dell'articolo 12, paragrafo 3, dell'accordo, le decisioni assunte dal comitato misto nei casi previsti dal presente accordo sono vincolanti per le parti a decorrere dalla loro entrata in vigore.

               3.La posizione che dovrà essere assunta a nome dell'Unione

               La decisione del Consiglio basata sulla presente proposta della Commissione determina la posizione dell'Unione europea sulla decisione che deve essere assunta dal comitato misto in merito all'adozione di procedure operative comuni per il funzionamento del collegamento tra l'EUTL e l'SSTL.

               L'articolo 3, paragrafo 6, dell'accordo di collegamento prevede la messa a punto di procedure operative comuni che entreranno in vigore dopo la loro adozione da parte del comitato misto. Le procedure operative comuni stabiliscono le procedure operative cui entrambe le parti devono conformarsi per rendere operativo il collegamento tra l'EUTL e l'SSTL. Queste procedure sono pertanto necessarie per il funzionamento del collegamento.

               Conformemente alla decisione n. 2/2019 del comitato misto
                  1
                del 5 dicembre 2019
                  2
               , le procedure operative comuni riguardano una soluzione provvisoria per rendere operativo il collegamento tra l'ETS dell'UE e l'ETS della Svizzera. La soluzione provvisoria dovrebbe essere disponibile a partire dal maggio 2020 o il prima possibile dopo tale data.

               Lo sviluppo di un mercato internazionale del carbonio efficiente grazie al collegamento dal basso verso l'alto dei sistemi di scambio di quote di emissione è un traguardo programmatico a lungo termine dell'UE e della comunità internazionale, segnatamente come mezzo per realizzare gli obiettivi in materia di clima dell'accordo di Parigi. A tale proposito, l'articolo 25 della direttiva istitutiva del sistema di scambio di quote di emissione dell'UE (EU ETS) ne consente il collegamento ad altri sistemi omologhi, a condizione che siano vincolanti, compatibili e prevedano un limite massimo assoluto di emissioni, come nel caso del sistema svizzero. Dopo l'entrata in vigore dell'accordo il 1º gennaio 2020, l'inizio dell'applicazione delle procedure operative comuni rappresenta un importante passo avanti verso l'attuazione dell'accordo.

               4.Base giuridica

               4.1.Base giuridica procedurale

               4.1.1.Principi

               L'articolo 218, paragrafo 9, del trattato sul funzionamento dell'Unione europea (TFUE) prevede l'adozione di decisioni che stabiliscono "le posizioni da adottare a nome dell'Unione in un organo istituito da un accordo, se tale organo deve adottare atti che hanno effetti giuridici, fatta eccezione per gli atti che integrano o modificano il quadro istituzionale dell'accordo".

               Rientrano nel concetto di "atti che hanno effetti giuridici" gli atti che hanno effetti giuridici in forza delle norme di diritto internazionale disciplinanti l'organismo in questione. Vi rientrano anche gli atti sprovvisti di carattere vincolante ai sensi del diritto internazionale ma che "sono tali da incidere in modo determinante sul contenuto della normativa adottata dal legislatore dell'Unione"
                  3
               .

               4.1.2.Applicazione al caso concreto

               Il comitato misto è un organo istituito in forza dell'articolo 12 dell'accordo tra l'Unione europea e la Confederazione svizzera concernente il collegamento dei rispettivi sistemi di scambio di quote di emissione di gas a effetto serra.

               L'atto che il comitato misto è chiamato ad adottare costituisce un atto avente effetti giuridici. L'atto previsto avrà carattere vincolante nel diritto internazionale a norma dell'articolo 12, paragrafo 3, dell'accordo tra l'Unione europea e la Confederazione svizzera concernente il collegamento dei rispettivi sistemi di scambio di quote di emissione di gas a effetto serra.

               L'atto previsto non integra né modifica il quadro istituzionale dell'accordo.

               La base giuridica procedurale della decisione proposta è pertanto l'articolo 218, paragrafo 9, del TFUE.

               4.2.Base giuridica sostanziale

               4.2.1.Principi

               La base giuridica sostanziale delle decisioni di cui all'articolo 218, paragrafo 9, del TFUE dipende essenzialmente dall'obiettivo e dal contenuto dell'atto previsto su cui si prende una posizione a nome dell'Unione. Se l'atto previsto persegue una duplice finalità o ha una doppia componente, una delle quali sia da considerarsi principale e l'altra solo accessoria, la decisione a norma dell'articolo 218, paragrafo 9, del TFUE deve fondarsi su una sola base giuridica sostanziale, ossia su quella richiesta dalla finalità o dalla componente principale o preponderante.

               4.2.2.Applicazione al caso concreto

               L'obiettivo principale e il contenuto dell'atto previsto riguardano l'ambiente.

               La base giuridica sostanziale della decisione proposta è pertanto l'articolo 192, paragrafo 1, del TFUE.

               4.3.Conclusioni

               La base giuridica della decisione proposta dovrebbe essere costituita dall'articolo 192, paragrafo 1, del TFUE, in combinato disposto con l'articolo 218, paragrafo 9, del TFUE.

               2020/0123 (NLE)

               Proposta di

               DECISIONE DEL CONSIGLIO

               relativa alla posizione da assumere a nome dell'Unione europea in sede di comitato misto istituito dall'accordo tra l'Unione europea e la Confederazione svizzera concernente il collegamento dei rispettivi sistemi di scambio di quote di emissione di gas a effetto serra, per quanto riguarda l'adozione di procedure operative comuni

               (Testo rilevante ai fini del SEE)

               IL CONSIGLIO DELL'UNIONE EUROPEA,

               visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 192, paragrafo 1, in combinato disposto con l'articolo 218, paragrafo 9,

               vista la proposta della Commissione europea,

               considerando quanto segue:

               (1)L'accordo tra l'Unione europea e la Confederazione svizzera concernente il collegamento dei rispettivi sistemi di scambio di quote di emissione dei gas a effetto serra
                  4
                ("l'accordo") è stato concluso dall'Unione con la decisione (UE) 2018/219 del Consiglio
                  5
                ed è entrato in vigore il 1° gennaio 2020.

               (2)A norma dell'articolo 3, paragrafo 6, dell'accordo, il comitato misto può adottare una decisione relativa alle procedure operative comuni messe a punto dall'amministratore del registro della Svizzera e dall'amministratore centrale dell'Unione relative a questioni tecniche e di altra natura necessarie per il funzionamento del collegamento, tenuto conto delle priorità della normativa interna. Le procedure operative comuni entrano in vigore una volta adottate con decisione del comitato misto.

               (3)Nel corso della sua terza riunione, che si terrà nel 2020, il comitato misto è chiamato ad adottare le procedure operative comuni messe a punto.

               (4)È opportuno stabilire la posizione che dovrà essere assunta a nome dell'Unione nel comitato misto, poiché le procedure operative comuni vincoleranno l'Unione.

               (5)L'adozione delle procedure operative comuni costituisce un elemento importante per l'attuazione dell'accordo, in quanto stabilisce le procedure operative necessarie per il funzionamento del collegamento che entrambe le parti devono seguire.

               (6)A norma dell'articolo 13, paragrafo 1, dell'accordo, il comitato misto può approvare orientamenti tecnici per garantire la corretta attuazione dell'accordo, comprese le questioni tecniche o di altro tipo necessarie per il funzionamento del collegamento, tenendo conto delle priorità della normativa interna. Gli orientamenti tecnici dovrebbero essere elaborati da un gruppo di lavoro istituito a norma dell'articolo 12, paragrafo 5, dell'accordo. Del gruppo di lavoro dovrebbero far parte quanto meno l'amministratore del registro svizzero e l'amministratore centrale del registro dell'Unione; il gruppo di lavoro dovrebbe inoltre assistere il comitato misto nell'esercizio delle sue funzioni a norma dell'articolo 13 dell'accordo,

               HA ADOTTATO LA PRESENTE DECISIONE:

               Articolo 1

               La posizione da assumere a nome dell'Unione europea in occasione della terza riunione del comitato misto istituito dall'accordo tra l'Unione europea e la Confederazione svizzera concernente il collegamento dei rispettivi sistemi di scambio di quote di emissione di gas a effetto serra, per quanto riguarda l'adozione di procedure operative comuni, si basa sul progetto di atto del comitato misto allegato alla presente decisione.

               I rappresentanti dell'Unione in seno al comitato misto possono concordare modifiche marginali del progetto di decisione senza un'ulteriore decisione del Consiglio.

               Articolo 2

               I rappresentanti dell'Unione in seno al comitato misto possono approvare orientamenti tecnici per garantire la corretta attuazione dell'accordo, comprese le questioni tecniche o di altro tipo necessarie per il funzionamento del collegamento, tenuto conto delle priorità della normativa interna. A tal fine è istituito, a norma dell'articolo 12, paragrafo 5, dell'accordo, un gruppo di lavoro che assiste il comitato misto nell'esercizio delle sue funzioni a norma dell'articolo 13, in particolare del paragrafo 1 di tale articolo, dell'accordo.

               Fatto a Bruxelles, il

                     Per il Consiglio

                     Il presidente

                     (1)

                        La posizione da assumere a nome dell'UE è stata stabilita mediante la decisione (UE) 2019/2106 del Consiglio, del 21 novembre 2019, relativa alla posizione da adottare, a nome dell'Unione europea, in sede di comitato misto istituito dall'accordo tra l'Unione europea e la Confederazione svizzera concernente il collegamento dei rispettivi sistemi di scambio di quote di emissione di gas a effetto serra, riguardo alla modifica degli allegati I e II dell'accordo (GU L 318 del 10.12.2019, pag. 96).

                     (2)

                        Disponibile al seguente link
                  https://ec.europa.eu/clima/sites/clima/files/ets/markets/docs/decision_201902_swiss_ets_linking.pdf

                     (3)

                        Sentenza della Corte di giustizia del 7 ottobre 2014, Germania contro Consiglio, C-399/12, ECLI:EU:C:2014:2258, punti 61-64.

                     (4)

                        GU L 322 del 7.12.2017, pag. 3.

                     (5)

                        Decisione (UE) 2018/219 del Consiglio, del 23 gennaio 2018, relativa alla conclusione dell'accordo tra l'Unione europea e la Confederazione svizzera concernente il collegamento dei rispettivi sistemi di scambio di quote di emissione di gas a effetto serra (GU L 43 del 16.2.2018, pag. 1).

    ---documentbreak---

               COMMISSIONE EUROPEA
            Bruxelles, 23.6.2020
            COM(2020) 255 final
            ALLEGATO
            della
            proposta di decisione del Consiglio

               sulla posizione da assumere a nome dell'Unione europea in seno al comitato misto istituito dall'accordo tra l'Unione europea e la Confederazione svizzera concernente il collegamento dei rispettivi sistemi di scambio di quote di emissione di gas a effetto serra per quanto riguarda l'adozione di procedure operative comuni

               DECISIONE N. 1/2020 DEL COMITATO MISTO ISTITUITO DALL'ACCORDO TRA L'UNIONE EUROPEA E LA CONFEDERAZIONE SVIZZERA CONCERNENTE IL COLLEGAMENTO DEI RISPETTIVI SISTEMI DI SCAMBIO DI QUOTE DI EMISSIONE DI GAS A EFFETTO SERRA
                  del...
                  sulle procedure operative comuni (POC)

               IL COMITATO MISTO

               visto l'accordo tra l'Unione europea e la Confederazione svizzera concernente il collegamento dei rispettivi sistemi di scambio di quote di emissione dei gas a effetto serra
                  1
                ("l'accordo"), in particolare l'articolo 3,

               considerando quanto segue:

               (1)La decisione n. 2/2019 del comitato misto, del 5 dicembre 2019, ha modificato gli allegati I e II dell'accordo soddisfacendo in tal modo le condizioni per il collegamento di cui all'accordo.

               (2)A seguito dell'adozione della decisione n. 2/2019 del comitato misto e a norma dell'articolo 21, paragrafo 3, dell'accordo, le parti hanno scambiato i loro strumenti di ratifica o di approvazione, in quanto ritengono soddisfatte tutte le condizioni per il collegamento previste nell'accordo.

               (3)A norma dell'articolo 21, paragrafo 4, dell'accordo, quest'ultimo è entrato in vigore il 1° gennaio 2020.

               (4)A norma dell'articolo 3, paragrafo 6, dell'accordo, l'amministratore del registro della Svizzera e l'amministratore centrale dell'Unione dovrebbero stabilire procedure operative comuni (POC) relative a questioni tecniche o di altra natura necessarie al funzionamento del collegamento tra il catalogo delle operazioni dell'Unione europea (European Union transaction log - EUTL) del registro dell'Unione e il libro di bordo elettronico supplementare della Svizzera (Swiss Supplementary Transaction Log - SSTL) del registro svizzero, tenuto conto delle priorità della normativa interna. Le COP dovrebbero entrare in vigore una volta adottate con decisione del comitato misto.

               (5)A norma dell'articolo 13, paragrafo 1, dell'accordo, il comitato misto dovrebbe stabilire orientamenti tecnici per garantire la corretta attuazione dell'accordo, anche per quanto riguarda le questioni tecniche o di altra natura necessarie per il funzionamento del collegamento, tenuto conto delle priorità della normativa interna. Gli orientamenti tecnici possono essere elaborati da un gruppo di lavoro istituito a norma dell'articolo 12, paragrafo 5, dell'accordo. Del gruppo di lavoro dovrebbero far parte quanto meno l'amministratore del registro svizzero e l'amministratore centrale del registro dell'Unione; il gruppo di lavoro dovrebbe inoltre assistere il comitato misto nell'esercizio delle sue funzioni a norma dell'articolo 13 dell'accordo.

               (6)Data la natura tecnica degli orientamenti e la necessità di adeguarli agli sviluppi in corso, gli orientamenti tecnici elaborati dall'amministratore del registro svizzero e dall'amministratore centrale dell'Unione dovrebbero essere trasmessi al comitato misto per informazione o, se del caso, approvazione,

               HA ADOTTATO LA PRESENTE DECISIONE:

               Articolo 1

               Sono adottate le procedure operative comuni (POC) allegate alla presente decisione.

               Articolo 2

               A norma dell'articolo 12, paragrafo 5, dell'accordo è istituito un gruppo di lavoro. Esso assiste il comitato misto al fine di garantire la corretta attuazione dell'accordo, compresa l'elaborazione di orientamenti tecnici per l'attuazione delle procedure operative comuni (POC).

               Il gruppo di lavoro comprende almeno l'amministratore del registro della Svizzera e l'amministratore centrale del registro dell'Unione.

               Articolo 3

               La presente decisione entra in vigore il giorno dell'adozione.

               Fatto in inglese a Bruxelles, il XX 2020.

               Per il comitato misto

                        Il segretario per l'Unione europea

                        Il presidente

                        Il segretario per la Svizzera

               APPENDICE

               ALLEGATO

               PROCEDURE OPERATIVE COMUNI (POC)

               a norma dell'articolo 3, paragrafo 6, dell'accordo tra l'Unione europea e la Confederazione svizzera concernente il collegamento dei rispettivi sistemi di scambio di quote di emissione di gas a effetto serra
                  - Procedure per le soluzioni provvisorie -

               1.Glossario

               Tabella 1-1 Acronimi e definizioni

                        Acronimo/Termine

                        Definizione

                        Autorità di certificazione (AC)

                        Organismo che rilascia certificati digitali

                        CH

                        Confederazione svizzera

                        ETS

                        Sistema di scambio di quote di emissione

                        UE

                        Unione europea

                        IMT

                        Squadra di gestione degli incidenti (Incident Management Team)

                        Risorsa di informazione

                        Un'informazione utile per un'impresa o un'organizzazione

                        TI

                        Tecnologie dell'informazione (Information technology)

                        ITIL

                        Biblioteca dell'infrastruttura delle tecnologie dell'informazione (Information Technology Infrastructure Library)

                        ITSM

                        Gestione dei servizi informatici (IT Service Management)

                        NTC

                        Norme tecniche di collegamento

                        Registro

                        Un sistema contabile per le quote rilasciate nell'ambito dell'ETS, che tiene traccia della titolarità delle quote detenute in conti elettronici.

                        RDM

                        Richiesta di modifica

                        EIR

                        Elenco delle informazioni riservate

                        RS

                        Richiesta di servizio

                        Wiki

                        Un sito web che consente agli utenti di scambiare informazioni e conoscenze aggiungendo o adattando i contenuti direttamente attraverso un browser.

               2.Introduzione

               L'accordo tra l'Unione europea e la Confederazione svizzera concernente il collegamento dei rispettivi sistemi di scambio di quote di emissione di gas a effetto serra, del 23 novembre 2017 (in appresso l'"accordo"), prevede il riconoscimento reciproco delle quote di emissione che possono essere utilizzate per conformarsi al sistema di scambio di quote di emissione dell'Unione europea ("EU ETS") o al sistema di scambio di quote di emissione della Svizzera ("ETS della Svizzera"). Per rendere operativo il collegamento tra l'EU ETS e l'ETS della Svizzera, è opportuno stabilire un collegamento diretto tra il catalogo delle operazioni dell'Unione europea (EUTL) del registro dell'Unione e il libro di bordo elettronico supplementare della Svizzera (SSTL) del registro svizzero tale da consentire il trasferimento da un registro all'altro delle quote di emissioni rilasciate nell'ambito dei due ETS (articolo 3, paragrafo 2, dell'accordo). Per rendere operativo il collegamento tra l'EU ETS e l'ETS della Svizzera, nel maggio 2020 o il prima possibile dopo tale data sarà predisposta una soluzione provvisoria. Le parti cooperano per sostituire al più presto la soluzione provvisoria con un collegamento permanente dei registri (Allegato II dell'accordo).

               A norma dell'articolo 3, paragrafo 6, dell'accordo, l'amministratore del registro della Svizzera e l'amministratore centrale dell'Unione stabiliscono procedure operative comuni (POC) relative a questioni tecniche o di altra natura necessarie al funzionamento del collegamento, tenuto conto delle priorità della normativa interna. Le POC elaborate dagli amministratori entrano in vigore una volta adottate con decisione del comitato misto.

               Le POC descritte nel presente documento devono essere adottate dal comitato misto conformemente alla decisione n. 1/2020. Conformemente alla presente decisione, il comitato misto chiede all'amministratore del registro della Svizzera e all'amministratore centrale dell'Unione di elaborare ulteriori orientamenti tecnici per rendere operativo il collegamento e di garantire che tali orientamenti siano costantemente adattati al progresso tecnico e alle nuove prescrizioni relative alla sicurezza e alla protezione del collegamento e al suo funzionamento efficace ed efficiente.

               2.1.Ambito di applicazione

               Il presente documento rappresenta l'intesa comune tra le parti dell'accordo per quanto riguarda la definizione delle procedure di base del collegamento tra i registri dell'EU ETS e l'ETS della Svizzera. Illustra gli obblighi procedurali generali in termini di operazioni, ma saranno necessari ulteriori orientamenti tecnici per rendere operativo il collegamento.

               Per il corretto funzionamento del collegamento, occorreranno specifiche tecniche che ne rafforzino l'operatività. A norma dell'articolo 3, paragrafo 7, dell'accordo, tali aspetti sono trattati dettagliatamente nel documento relativo alle norme tecniche di collegamento (NTC), che deve essere adottato separatamente mediante decisione del comitato misto.

               L'obiettivo delle POC è garantire che i servizi informatici relativi al funzionamento del collegamento tra i registri del sistema EU ETS e del sistema ETS della Svizzera siano forniti in modo efficace ed efficiente, in particolare per soddisfare le richieste di servizio, rimediare ai disservizi, risolvere problemi e svolgere compiti operativi di routine conformemente alle norme internazionali per la gestione dei servizi informatici.

               Per la soluzione provvisoria concordata, saranno necessarie solo le POC seguenti, incluse nel presente documento:

               ·Gestione degli incidenti

               ·Gestione dei problemi

               ·Soddisfacimento delle richieste

               ·Gestione delle modifiche

               ·Gestione del rilascio delle versioni (release management)

               ·Gestione degli incidenti di sicurezza

               ·Gestione della sicurezza delle informazioni

               Successivamente, dopo aver reso operativo il collegamento permanente dei registri, le POC dovranno essere adeguate e integrate laddove necessario.

               2.2.Destinatari

               I destinatari di queste POC sono le squadre di sostegno dei registri dell'UE e della Svizzera.

               3.Approccio e norme

               Il principio seguente si applica a tutte le POC:

               ·L'UE e la Svizzera convengono di definire le POC sulla base dell'ITIL (Biblioteca dell'infrastruttura delle tecnologie dell'informazione, versione 3). Le pratiche tratte da questa norma sono riutilizzate e adattate alle esigenze specifiche relazione alla soluzione provvisoria.

               ·La comunicazione e il coordinamento necessari per il trattamento delle POC tra le due parti si svolgono attraverso gli sportelli di servizio dei registri della Svizzera e dell'UE. I compiti sono sempre assegnati in seno ad una parte.

               ·In caso di disaccordo sul trattamento di una POC, la questione sarà analizzata e risolta dai due sportelli di servizio. Se non è possibile raggiungere un accordo, la ricerca di una soluzione comune è trasferita al livello superiore.

                        ·Livelli successivi di interventi

                        ·UE

                        ·CH

                        ·1° livello

                        ·Sportello di servizio UE

                        ·Sportello di servizio CH

                        ·2° livello

                        ·Responsabile operativo dell'UE

                        ·Gestore delle applicazioni del registro CH

                        ·3º livello

                        Comitato misto (che può delegare tale responsabilità alla luce dell'articolo 12, paragrafo 5, dell'accordo)

                        ·4° livello

                        Comitato misto, se al 3° livello si è ricorsi ad una delega

               ·Ciascuna parte può stabilire le procedure per il funzionamento del proprio sistema di registro, tenendo conto delle prescrizioni e delle interfacce relative a queste POC.

               ·A sostegno delle POC, in particolare per la gestione degli incidenti, la gestione dei problemi e il soddisfacimento delle richieste, ma anche per la comunicazione tra le due parti viene utilizzato uno strumento di gestione dei servizi informatici (IT Service management - ITSM).

               ·È inoltre consentito lo scambio di informazioni via e-mail.

               ·Entrambe le parti garantiscono il rispetto delle prescrizioni in materia di sicurezza delle informazioni conformemente alle istruzioni di trattamento.

               4.Gestione degli incidenti

               L'obiettivo del processo di gestione degli incidenti è riportare i servizi informatici a un normale livello di servizio il più rapidamente possibile e con un'interruzione minima dell'attività.

               La gestione degli incidenti dovrebbe inoltre tenere traccia degli incidenti avvenuti a fini di segnalazione e integrarsi con altri processi per favorire un miglioramento costante.

               ·Da una prospettiva globale, la gestione degli incidenti comprende le seguenti attività:

               ·Individuazione e registrazione degli incidenti

               ·Classificazione e sostegno iniziale

               ·Indagini e diagnosi

               ·Risoluzione e ripristino del servizio

               ·Chiusura dell'incidente

               Durante l'intero ciclo di vita di un incidente, il processo di gestione degli incidenti deve consentire il trattamento costante della titolarità, del monitoraggio, del tracciamento e della comunicazione.

               4.1.Individuazione e registrazione degli incidenti

               Un incidente può essere rilevato da una squadra di sostegno, da strumenti di monitoraggio automatico o da personale tecnico nel corso della sorveglianza di routine.

               Una volta individuato, occorre registrare l'incidente e assegnargli un identificatore unico ai fini di un tracciamento e un monitoraggio adeguati. L'identificatore unico di un incidente è quello assegnato nel sistema di ticketing comune dallo sportello di servizio della parte (UE o CH) che ha segnalato l'incidente e deve essere utilizzato in ogni comunicazione relativa a questo incidente.

               Per tutti gli incidenti il punto di contatto dovrebbe essere lo sportello di servizio della parte che ha registrato il ticket.

               4.2.Classificazione e sostegno iniziale

               La classificazione degli incidenti serve a capire e identificare il sistema e/o il servizio interessato e la gravità dell'evento. Per essere efficace, la classificazione dovrebbe permettere di far risalire l'incidente alla risorsa corretta al primo tentativo, al fine di accelerare la risoluzione degli incidenti.

               Nella fase di classificazione si dovrebbe classificare l'incidente anche per ordine di priorità in funzione del suo impatto e della sua urgenza affinché possa essere trattato entro i tempi stabiliti per ogni livello di priorità.

               Se ha un potenziale impatto sulla riservatezza o sull'integrità di dati riservati e/o sulla disponibilità del sistema, l'incidente è dichiarato anche come incidente di sicurezza e successivamente gestito secondo la procedura di cui al capitolo "Gestione degli incidenti di sicurezza" del presente documento.

               Se possibile, lo sportello di servizio che ha effettuato la registrazione del ticket procede alla diagnosi iniziale. A tal fine, lo sportello di servizio verifica se l'incidente è legato ad un errore noto. In caso affermativo, il metodo per risolvere o aggirare il problema è già conosciuto e documentato.

               Se riesce a risolvere l'incidente, lo sportello di servizio chiude l'incidente in questa fase, in quanto è stata conseguita la finalità principale della gestione degli incidenti (ossia il rapido ripristino del servizio per l'utente finale). In caso contrario, lo sportello di servizio trasmette l'incidente al gruppo risolutore competente per ulteriori indagini e diagnosi.

               4.3.Indagini e diagnosi

               L'indagine e la diagnosi si effettuano quando un incidente non può essere risolto dallo sportello di servizio nell'ambito della diagnosi iniziale ed è pertanto trasmesso al livello superiore adeguato. L'attivazione dei livelli successivi di intervento in caso di incidenti è parte integrante del processo investigativo e diagnostico.

               Una pratica comune nella fase investigativa e di diagnosi è il tentativo di ricreare l'incidente in condizioni controllate. Nello svolgimento delle indagini e della diagnosi dell'incidente, è fondamentale comprendere l'effettivo ordine degli eventi che hanno portato all'incidente.

               Questa procedura viene attivata quando si constata che l'incidente non può essere risolto al livello di supporto attuale e deve essere trasferito a un gruppo di supporto di livello superiore o all'altra parte. La procedura può seguire due percorsi: orizzontale (funzionale) o verticale (gerarchico).

               Lo sportello di servizio che ha registrato e avviato la procedura di risoluzione è responsabile del trasferimento dell'incidente al livello di risorsa adeguato e del monitoraggio della situazione generale e dell'assegnazione dell'incidente.

               La parte alla quale è stato assegnato l'incidente deve garantire che le azioni necessarie siano eseguite in modo tempestivo e deve fornire un riscontro al proprio sportello di servizio.

               4.4.Risoluzione e ripristino del servizio

               Una volta chiarita la dinamica dell'incidente si procede alla risoluzione dell'incidente e al ripristino del servizio. La risoluzione di un incidente significa che è stato individuato un modo per porre rimedio al problema. L'applicazione della soluzione costituisce la fase di ripristino.

               Una volta risolta l'interruzione del servizio con le risorse adeguate, l'incidente è ritrasferito allo sportello di servizio competente che ha registrato l'incidente; quest'ultimo verifica con il servizio che per primo ha segnalato l'incidente che l'errore è stato corretto e che l'incidente può essere chiuso. Le informazioni emerse dal trattamento dell'incidente devono essere registrate per un uso futuro.

               Il ripristino può essere eseguito dal personale di supporto informatico o fornendo all'utente finale una serie di istruzioni da seguire.

               4.5.Chiusura dell'incidente

               La chiusura è la tappa finale del processo di gestione degli incidenti e avviene poco dopo la risoluzione.

               Nell'elenco delle operazioni da eseguire durante la fase di chiusura figurano in particolare:

               ·la verifica della classificazione iniziale attribuita all'incidente;

               ·la corretta acquisizione di tutte le informazioni relative all'incidente;

               ·l'adeguata documentazione dell'incidente e l'aggiornamento della base di conoscenze;

               ·la corretta comunicazione a tutti i portatori di interessi direttamente o indirettamente coinvolti.

               Un incidente è ufficialmente chiuso non appena lo sportello di servizio effettua la fase di chiusura e lo comunica all'altra parte.

               Una volta chiuso, l'incidente non viene riaperto. Se poco dopo si riverifica lo stesso incidente, l'incidente iniziale non è riaperto, ma viene registrato un nuovo incidente.

               Se l'incidente è individuato da entrambi gli sportelli di servizio UE e CH, la chiusura finale spetta allo sportello di servizio che ha registrato il ticket.

               5.Gestione dei problemi

               Questa procedura dovrebbe essere seguita ogni volta che viene individuato un problema, innescando quindi il processo di gestione dei problemi. La gestione dei problemi mira a migliorare la qualità e a ridurre il numero di incidenti segnalati. Un problema può determinare uno o più incidenti. Quando viene segnalato un incidente, l'obiettivo della gestione degli incidenti è ripristinare il servizio il più rapidamente possibile, eventualmente ricorrendo a espedienti tecnici. Quando viene registrato un problema, l'obiettivo è indagare sulle cause di fondo al fine di individuare una modifica che garantirà che il problema e gli incidenti che ne derivano non si verifichino più.

               5.1.Individuazione e registrazione del problema

               A seconda della parte che registra il ticket, lo sportello di servizio UE o CH diventeranno il punto di contatto per le questioni connesse al problema.

               L'identificatore unico di un problema è l'identificatore assegnato dalla gestione dei servizi informatici (ITSM) che deve essere utilizzato in ogni comunicazione relativa a questo problema.

               La procedura di gestione di un problema può essere avviata a seguito di un incidente o per iniziativa autonoma al fine di risolvere problemi individuati nel sistema in una fase qualsiasi.

               5.2.Classificazione dei problemi in funzione della loro priorità

               Come gli incidenti, anche i problemi possono essere classificati in funzione della loro gravità e priorità al fine di facilitare il loro tracciamento, tenendo conto dell'impatto e della frequenza degli incidenti che ne derivano.

               5.3.Indagini e diagnosi

               Ciascuna parte può sollevare un problema e lo sportello di servizio della parte promotrice è responsabile della registrazione del problema, dell'assegnazione alla risorsa adeguata e del monitoraggio globale.

               Il gruppo risolutore a cui è stato trasferito il problema è responsabile del trattamento del problema in modo tempestivo e della comunicazione con lo sportello di servizio.

               Su richiesta, entrambe le parti devono garantire l'attuazione delle azioni assegnate e la trasmissione di un feedback allo sportello di servizio della propria parte.

               5.4.Risoluzione

               Il gruppo risolutore a cui è assegnato il problema è responsabile della risoluzione del problema e della trasmissione delle informazioni pertinenti allo sportello di servizio della propria parte.

               Le informazioni emerse dal trattamento del problema devono essere registrate per un uso futuro.

               5.5.Chiusura del problema

               Il problema è ufficialmente chiuso quando viene risolto apportando la modifica necessaria. La fase di chiusura del problema sarà effettuata dallo sportello di servizio che ha registrato il problema e informato lo sportello di servizio dell'altra parte.

               6.Soddisfacimento delle richieste

               Il processo per il soddisfacimento delle richieste costituisce il trattamento da punto a punto di una richiesta di servizio nuovo o esistente dal momento in cui è registrata e approvata fino alla chiusura. Le richieste di servizio sono di solito di entità ridotta, predefinite, ripetibili, frequenti, preapprovate e si tratta perlopiù di richieste procedurali.

               Le principali tappe da seguire sono illustrate di seguito:

               6.1.Avvio della richiesta

               Le informazioni relative ad una richiesta di servizio sono trasmesse allo sportello di servizio UE o CH per email, telefono o attraverso lo strumento di gestione dei servizi informatici (ITSM) o qualsiasi altro mezzo di comunicazione riconosciuto.

               6.2.Registrazione e analisi della richiesta

               Per tutte le richieste di servizio, il punto di contatto dovrebbe essere lo sportello di servizio UE o CH, in funzione della parte che ha presentato la richiesta. Allo sportello di servizio spetterà registrare e analizzare la richiesta di servizio con la dovuta diligenza.

               6.3.Approvazione della richiesta

               L'agente dello sportello di servizio della parte che ha avviato la richiesta di servizio verifica se siano necessarie approvazioni dell'altra parte e in caso affermativo si attiva per ottenerle. Se la richiesta di servizio non è approvata, lo sportello di servizio aggiorna e chiude il ticket.

               6.4.Soddisfacimento delle richieste

               Questa tappa serve a garantire il trattamento efficace e efficiente delle richieste di servizio. Occorre effettuare una distinzione tra i casi seguenti:

               ·il soddisfacimento della richiesta di servizio riguarda solo una parte; in questo caso, la parte in questione emette gli ordini di lavoro e coordina l'esecuzione.

               ·L'esecuzione della richiesta di servizio riguarda sia l'UE che la Svizzera; in questo caso gli sportelli di servizio emettono gli ordini di lavoro nel loro ambito di competenza. Il soddisfacimento della richiesta di servizio è coordinato dagli sportelli di servizio di entrambe le parti. La responsabilità generale incombe allo sportello di servizio che ha ricevuto e avviato la richiesta di servizio.

               Una volta che la richiesta di servizio è stata soddisfatta, il suo status deve essere modificato in "soddisfatto".

               6.5.Attivazione dei livelli successivi di intervento per le richieste

               Lo sportello di servizio può trasferire la richiesta di servizio in sospeso alla risorsa adeguata (terza parte) se necessario.

               I trasferimenti ai livelli successivi di trattamento avvengono verso le terze parti rispettive: lo sportello di servizio dell'UE deve passare dallo sportello di servizio CH per l'attivazione di una terza parte svizzera, e vice versa.

               La terza parte cui è stata trasferita la richiesta di servizio è responsabile del trattamento della richiesta in modo tempestivo e della comunicazione con lo sportello di servizio che ha effettuato il trasferimento.

               Lo sportello di servizio che ha registrato la richiesta di servizio è responsabile del monitoraggio della situazione generale e dell'assegnazione di una richiesta di servizio.

               6.6.Esame del soddisfacimento delle richieste

               Lo sportello di servizio responsabile, prima di chiuderlo, sottopone il dossier della richiesta di servizio ad un controllo finale di qualità. L'obiettivo è garantire che la richiesta di servizio sia stata effettivamente trattata e che tutte le informazioni necessarie per descrivere l'iter della richiesta siano state fornite in modo sufficientemente dettagliato. Le informazioni emerse dal trattamento della richiesta devono inoltre essere registrate per un uso futuro.

               6.7.Chiusura della richiesta

               Se le parti cui la richiesta di servizio è stata assegnata convengono che la richiesta è stata soddisfatta e il richiedente ritiene che la questione sia stata risolta, lo status della richiesta passa a "chiusa".

               Una richiesta di servizio è ufficialmente chiusa una volta che lo sportello di servizio che ha registrato la richiesta di servizio ha eseguito la fase di chiusura della richiesta e ha informato lo sportello di servizio dell'altra parte.

               7.Gestione delle modifiche

               L'obiettivo è garantire che siano utilizzati metodi e procedure standardizzati per un trattamento efficace e tempestivo di tutte le modifiche che incidono sulle infrastrutture informatiche di controllo, al fine di ridurre al minimo il numero di incidenti e il loro impatto sul servizio. Le modifiche dell'infrastruttura informatica possono costituire una risposta a problemi o esigenze imposte dall'esterno, ad esempio modifiche legislative, o essere attuate in modo proattivo ai fini di una maggiore efficienza ed efficacia o per consentire o rispecchiare iniziative imprenditoriali.

               La procedura di gestione delle modifiche prevede più fasi nel corso delle quali vengono registrate, in vista di un tracciamento successivo, tutte le informazioni relative ad una richiesta di modifica, Questi processi garantiscono che la modifica sia convalidata e testata prima di essere implementata. Il processo di gestione dei rilasci è alla base di una corretta implementazione.

               7.1.Richiesta di modifica

               Le richieste di modifica (RDM) sono trasmesse alla squadra di gestione delle modifiche ai fini della convalida e dell'approvazione. Per tutte le richieste di modifica, il punto di contatto dovrebbe essere lo sportello di servizio UE o CH, in funzione della parte che ha presentato la richiesta. Lo sportello di servizio in questione è responsabile di registrare e analizzare la richiesta con la dovuta diligenza.

               Le richieste di modifica possono nascere da:

               ·un incidente che determina una modifica;

               ·un problema esistente che risulta in una modifica;

               ·un utente finale che richiede una nuova modifica;

               ·una modifica derivante da una manutenzione in corso;

               ·una modifica legislativa.

               7.2.Valutazione e pianificazione delle modifiche

               Nel corso di questa fase si svolgono le attività di valutazione delle modifiche e di pianificazione, che comprendono attività di definizione delle priorità e di pianificazione per ridurre al minimo i rischi e l'impatto.

               Se l'attuazione della RDM interessa sia l'UE che la Svizzera, la parte che ha registrato l'RDM verifica la valutazione e la pianificazione della modifica con l'altra parte.

               7.3.Approvazione delle modifiche

               Qualsiasi richiesta di modifica registrata deve essere approvata dal livello di trattamento adeguato.

               7.4.Attuazione delle modifiche

               L'attuazione delle modifiche è gestita nell'ambito della gestione dei rilasci. Le squadre delle due parti responsabili della gestione dei rilasci seguono le proprie procedure che prevedono attività di pianificazione e di prova. L'esame delle modifiche avviene una volta completata l'attuazione. Al fine di garantire che tutto si sia svolto in modo corretto, il processo di gestione delle modifiche esistente è costantemente riesaminato e aggiornato ogniqualvolta necessario.

               8.Gestione dei rilasci delle nuove versioni

               Il rilascio di una nuova versione riguarda una o più modifiche di un servizio informatico, riunite in un piano di rilascio, che devono essere autorizzate, preparate, costruite, testate e attuate simultaneamente. Un singolo rilascio può costituire la correzione di un errore in una procedura informatica, un cambiamento di hardware o di altri componenti, modifiche del software, aggiornamenti delle versioni delle applicazioni, modifiche della documentazione e/o dei processi. Il contenuto di ogni rilascio è gestito, testato e applicato come un'entità unica.

               L'obiettivo della gestione dei rilasci è pianificare, costruire, testare e convalidare e garantire la capacità di fornire i servizi progettati, che consentiranno di soddisfare le esigenze dei portatori di interessi e di realizzare gli obiettivi previsti. I criteri di accettazione di tutte le modifiche apportate al servizio saranno definiti e documentati nel corso del coordinamento della progettazione e messi a disposizione delle squadre responsabili della gestione dei rilasci.

               Il rilascio, di norma, consiste in una serie di soluzioni di problemi e di miglioramenti di un servizio. Contiene il software nuovo o modificato e qualsiasi hardware nuovo o modificato necessari per attuare le modifiche approvate.

               8.1.Programmazione dei rilasci

               La prima fase del processo assegna le modifiche autorizzate a pacchetti di rilasci e definisce la portata e il contenuto dei rilasci. Sulla base di queste informazioni, nell'ambito del sottoprocesso della pianificazione dei rilasci viene messo a punto un calendario per la costruzione, la prova e l'implementazione del rilascio.

               La pianificazione dovrebbe stabilire:

               ·il campo di applicazione e il contenuto del rilascio;

               ·la valutazione del rischio e il profilo di rischio del rilascio;

               ·i clienti/utilizzatori interessati dal rilascio;

               ·la squadra responsabile del rilascio;

               ·la strategia di consegna e di implementazione;

               ·le risorse per il rilascio e l'implementazione.

               Le due parti si informano reciprocamente in merito alla pianificazione dei rilasci e ai periodi di manutenzione. Se una versione interessa sia l'UE che la Svizzera, le due parti coordinano la pianificazione e definiscono un periodo di manutenzione comune.

               8.2.Costruire e testare un pacchetto di rilasci

               La fase di costruzione e di prova del processo di gestione del rilascio definisce le modalità di esecuzione del rilascio o del pacchetto di rilasci, avendo cura di mantenere gli ambienti controllati prima di modificare la produzione, e di testare tutte le modifiche in tutti gli ambienti di rilascio.

               Se un rilascio interessa sia l'UE che la Svizzera, le due parti coordinano i piani di consegna e le prove. Questo coordinamento riguarda gli aspetti seguenti:

               ·come e quando le unità di rilascio e i componenti di servizio saranno consegnati;

               ·quali sono i tempi di realizzazione abituali; cosa succede in caso di ritardi;

               ·come seguire l'andamento delle consegne e ottenere una conferma;

               ·gli indicatori che consentono di monitorare e stabilire la riuscita dell'implementazione del rilascio;

               ·metodi di prova comuni per le funzionalità e le modifiche interessate.

               Al termine di questo sottoprocesso, tutti i componenti necessari del rilascio sono pronti per entrare nella fase di implementazione vera e propria.

               8.3.Preparare l'implementazione

               Il sottoprocesso di preparazione assicura che i piani di comunicazione siano definiti correttamente, le notifiche siano pronte per essere inviate a tutti i portatori di interessi e agli utenti finali e il rilascio sia integrato nel processo di gestione delle modifiche per garantire che tutte le modifiche siano effettuate in modo controllato e approvate dai consessi competenti.

               Qualora un rilascio riguardi sia l'UE che la Svizzera, le due parti coordinano le seguenti attività:

               ·registrazione della richiesta di modifica per programmare e preparare l'implementazione nell'ambiente di produzione;

               ·creazione del piano di attuazione;

               ·approccio del ritorno alla situazione precedente (rollback) in modo che, nel caso l'implementazione non vada a buon fine, si possa ripristinare lo stato precedente;

               ·invio di notifiche a tutte le parti interessate;

               ·richiesta di approvazione per l'esecuzione del rilascio dal livello di trattamento pertinente.

               8.4.Ripristino della situazione precedente

               Qualora l'implementazione non sia andata a buon fine o le prove abbiamo evidenziato che l'implementazione non è riuscita o non ha soddisfatto i criteri di accettazione/qualità concordati, le squadre di gestione dei rilasci di entrambe le parti dovranno ripristinare lo stato precedente. Tutti i portatori di interessi devono essere informati, compresi gli utilizzatori finali interessati/coinvolti. In attesa dell'approvazione, il processo può essere riavviato in una qualsiasi delle fasi precedenti.

               8.5.Verifica e chiusura del rilascio

               Al momento della verifica di un'implementazione, occorre:

               ·ottenere un feedback sulla soddisfazione dei clienti e degli utilizzatori e sulla qualità del servizio riguardo all'implementazione (raccogliere i feedback e valutare come migliorare costantemente il servizio);

               ·riesaminare i criteri di qualità che non sono stati rispettati;

               ·verificare che tutte le azioni, le correzioni e le modifiche necessarie siano state completate;

               ·garantire che al termine dell'implementazione non sussistano problemi legati alle funzionalità, alle risorse, alla capacità o alle prestazioni;

               ·verificare che eventuali problemi, errori noti e soluzioni di aggiramento siano documentati e accettati dal cliente, dagli utenti finali, dal sostegno operativo e dalle altre parti interessate;

               ·garantire il monitoraggio degli incidenti e dei problemi causati dall'implementazione (fornire un sostegno tempestivo alle squadre operative qualora il rilascio abbia comportato un aumento del carico del lavoro);

               ·aggiornare la documentazione di accompagnamento (ossia i documenti informativi tecnici);

               ·trasferire formalmente l'implementazione del rilascio alle operazioni di servizio;

               ·documentare gli insegnamenti tratti;

               ·recuperare il documento sintetico sul rilascio dalle squadre responsabili dell'implementazione;

               ·chiudere ufficialmente il rilascio dopo aver verificato la registrazione della richiesta di modifica.

               9.Gestione degli incidenti di sicurezza

               La gestione degli incidenti di sicurezza è un processo per il trattamento di questo tipo di incidenti che consente di comunicare con i portatori di interessi potenzialmente coinvolti; di valutare e stabilire la priorità degli incidenti; di reagire per porre rimedio a qualsiasi violazione effettiva, sospettata o potenziale della riservatezza, della disponibilità o dell'integrità delle risorse di informazione riservate.

               9.1.Classificazione degli incidenti relativi alla sicurezza delle informazioni

               Tutti gli incidenti che hanno un impatto sul collegamento tra il registro dell'Unione e il registro svizzero sono analizzati per determinare un'eventuale violazione della riservatezza, dell'integrità o della disponibilità delle informazioni riservate registrate nell'elenco delle informazioni sensibili (EIR).

               In tal caso, l'incidente è considerato un incidente relativo alla sicurezza delle informazioni, immediatamente registrato nello strumento informatico di gestione dei servizi informatici (ITSM) e gestito in quanto tale.

               9.2.Trattamento degli incidenti relativi alla sicurezza delle informazioni

               Gli incidenti di sicurezza sono posti sotto la responsabilità del 3° livello di trattamento e la risoluzione degli incidenti sarà trattata da una apposita squadra di gestione degli incidenti (Incident management team - IMT).

               L'IMT è responsabile di:

               ·effettuare una prima analisi, classificare e valutare la gravità dell'incidente;

               ·coordinare le azioni di tutti i portatori di interessi, compresa la documentazione completa dell'analisi dell'incidente, le decisioni adottate per porre rimedio all'incidente e le eventuali carenze individuate;

               ·a seconda della gravità dell'incidente di sicurezza, le informazioni e/o le decisioni più opportune sono trasferite al livello più adeguato.

               Nel processo di gestione della sicurezza delle informazioni, tutte le informazioni concernenti gli incidenti sono classificate al livello di riservatezza delle informazioni più elevato, e comunque non inferiore a "ETS SENSIBILI".

               Per un'indagine in corso e/o una carenza che potrebbe essere sfruttata e fino alla sua risoluzione, le informazioni sono classificate come "ETS CRITICA".

               9.3.Individuazione degli incidenti di sicurezza

               In base al tipo di evento di sicurezza, l'agente incaricato della sicurezza delle informazioni stabilisce quali siano le organizzazioni appropriate da coinvolgere e che faranno parte dell'IMT.

               9.4.Analisi degli incidenti di sicurezza

               L'IMT si mette in contatto con tutte le organizzazioni coinvolte e i membri competenti delle loro squadre, a seconda dei casi, per esaminare l'incidente. L'analisi consente di stabilire la portata della perdita di riservatezza, integrità o disponibilità di una risorsa di informazione e di valutare le conseguenze per tutte le organizzazioni interessate. Successivamente vengono definite le misure iniziali e di follow-up da adottare per risolvere l'incidente e gestirne l'impatto, nonché l'impatto di queste misure sulle risorse.

               9.5.Valutazione della gravità dell'incidente di sicurezza, trasferimento dell'incidente al livello adeguato e elaborazione delle relazioni

               L'IMT valuta la gravità di tutti i nuovi incidenti di sicurezza dopo la loro caratterizzazione e avvia immediatamente le azioni necessarie in funzione della gravità dell'incidente.

               9.6.Relazione in risposta ad un incidente

               L'IMT include i risultati del contenimento degli incidenti e del ripristino del servizio nella relazione in risposta ad un incidente relativo alla sicurezza delle informazioni. La relazione è trasferita al 3° livello di trattamento utilizzando una email sicura o altri mezzi di comunicazione sicuri reciprocamente accettati.

               La parte responsabile esamina i risultati del contenimento e del ripristino e:

               ·ricollega il registro in caso sia stato scollegato in precedenza;

               ·fornisce comunicazioni sull'incidente alle squadre del registro;

               ·chiude l'incidente.

               Nella relazione sugli incidenti relativi alla sicurezza delle informazioni l'IMT dovrebbe riportare, in modo sicuro, i dettagli importanti al fine di garantire la coerenza della registrazione e della comunicazione e di consentire un intervento tempestivo e adeguato per contenere l'incidente. Dopo averla completata, l'IMT trasmette in tempo utile la relazione finale concernente l'incidente relativo alla sicurezza delle informazioni.

               9.7.Monitoraggio, rafforzamento delle capacità e miglioramento continuo

               L'IMT trasmette le relazioni relative a tutti gli incidenti di sicurezza al 3º livello di trattamento, che le utilizza al fine di determinare:

               ·i punti deboli nei controlli di sicurezza e/o nel funzionamento che devono essere rafforzati;

               ·l'eventuale necessità di rafforzare questa procedura per migliorare l'efficacia della risposta agli incidenti;

               ·le possibilità di formazione e di rafforzamento delle capacità per migliorare ulteriormente la resilienza dei sistemi di registri in presenza di incidenti relativi alla sicurezza delle informazioni, diminuire il rischio di incidenti futuri e ridurne al minimo l'impatto.

               10.Gestione della sicurezza delle informazioni

               La gestione della sicurezza delle informazioni mira a garantire la riservatezza, l'integrità e la disponibilità delle informazioni e dei dati classificati e dei servizi informatici sensibili di un'organizzazione. Oltre alle componenti tecniche, compresa la loro progettazione e il loro collaudo (cfr. NTC), per soddisfare le prescrizioni in materia di sicurezza per la soluzione provvisoria sono necessarie le seguenti procedure operative comuni.

               10.1.Individuazione delle informazioni riservate

               La riservatezza di un'informazione viene valutata determinando il livello di impatto sull'attività (ad es. perdite finanziarie, degrado dell'immagine, violazione del diritto...) di una violazione della sicurezza relativa all'informazione in questione.

               Le risorse di informazione riservate sono caratterizzate in funzione del loro impatto sul collegamento.

               Il livello di sensibilità di queste informazioni è valutato in base alla scala di sensibilità applicabile a questo collegamento e illustrata nella sezione "Trattamento degli incidenti relativi alla sicurezza delle informazioni" del presente documento.

               10.2.Livelli di riservatezza delle risorse di informazione

               Al momento della sua caratterizzazione, la risorsa di informazione è classificata in base alle regole seguenti:

               ·l'individuazione di almeno un livello ELEVATO di riservatezza, integrità o disponibilità comporta la classificazione della risorsa come "ETS RISERVATISSIMA";

               ·l'individuazione di almeno un livello MEDIO di riservatezza, integrità o disponibilità comporta la classificazione della risorsa come "ETS RISERVATA";

               ·l'individuazione di un livello BASSO di riservatezza, integrità o disponibilità comporta la classificazione della risorsa come "ETS A DIVULGAZIONE LIMITATA".

               10.3.Designazione del titolare della risorsa di informazione

               Tutte le risorse di informazione dovrebbero avere un titolare designato. Le risorse di informazione dell'ETS che fanno parte o sono associate al collegamento tra l'EUTL e l'SSTL dovrebbero figurare in un elenco di inventario delle risorse comuni, gestito da entrambe le parti. Le risorse di informazione dell'ETS che non riguardano il collegamento tra l'EUTL e l'SSTL dovrebbero figurare in un elenco di inventario delle risorse, gestito dalla parte interessata.

               La titolarità di ogni risorsa di informazione che fa parte o è associata al collegamento tra l'EUTL e l'SSTL deve essere concordata dalle parti. Il titolare di una risorsa di informazione è responsabile della valutazione della sensibilità di tale risorsa.

               Il titolare dovrebbe avere un livello di responsabilità adeguato rispetto al valore della o delle risorse assegnate. La responsabilità del titolare in relazione alla o alle risorse e l'obbligo di garantire il livello richiesto di riservatezza, integrità e riservatezza dovrebbero essere concordati e formalizzati.

               10.4.Registrazione delle informazioni riservate

               Tutte le informazioni sensibili sono registrate nell'elenco delle informazioni riservate (EIR).

               Se del caso, il raggruppamento di informazioni riservate che potrebbe comportare un impatto più elevato rispetto ad una singola informazione è preso in considerazione e registrato nell'EIR (ad esempio una serie di informazioni archiviate nella banca dati del sistema).

               L'EIR non è statico. Le minacce, le vulnerabilità, la probabilità o le conseguenze degli incidenti di sicurezza legati alle risorse possono cambiare senza preavviso e possono essere introdotte nuove risorse nel funzionamento dei sistemi di registri.

               L'EIR è pertanto riesaminato periodicamente e qualsiasi nuova informazione ritenuta sensibile deve essere immediatamente registrata nell'EIR.

               Per ogni voce l'EIR contiene almeno le seguenti informazioni:

               ·la descrizione dell'informazione;

               ·il titolare dell'informazione;

               ·il livello di riservatezza;

               ·l'eventuale indicazione che l'informazione include dati personali;

               ·informazioni aggiuntive se necessarie.

               10.5.Trattamento delle informazioni sensibili

               Quando sono trattate al di fuori del collegamento tra il registro dell'Unione e il registro della Svizzera, le informazioni sensibili sono gestite conformemente alle istruzioni di trattamento.

               Le informazioni riservate utilizzate dal collegamento tra il registro dell'Unione e il registro svizzero sono trattate dalle parti conformemente alle prescrizioni di sicurezza.

               10.6.Gestione dell'accesso

               L'obiettivo della gestione dell'accesso è di concedere agli utenti autorizzati il diritto di utilizzare un servizio, impedendo nel contempo l'accesso agli utenti non autorizzati. La gestione dell'accesso è talvolta indicata anche come "Gestione dei diritti" o "Gestione dell'identità".

               Per la soluzione provvisoria e il suo funzionamento, entrambe le parti devono avere accesso ai seguenti elementi:

               ·Wiki: ambiente di collaborazione per lo scambio di informazioni comuni, come la pianificazione dei rilasci;

               ·strumento di gestione dei servizi informatici (ITSM) per la gestione degli incidenti e dei problemi (vedi capitolo "Approccio e norme").

               ·sistema di scambio di messaggi: ciascuna parte predispone un sistema sicuro di scambio di messaggi per la trasmissione dei messaggi contenenti i dati sulle operazioni.

               L'amministratore del registro della Svizzera e l'amministratore centrale dell'Unione garantiscono che gli accessi siano aggiornati e fungono, per le rispettive parti, da punti di contatto per quanto riguarda le attività di gestione dell'accesso. Le richieste di accesso sono trattate conformemente alle procedure per il soddisfacimento delle richieste.

               10.7.Gestione di certificati/chiavi

               Ciascuna parte è responsabile della gestione dei propri certificati/chiavi (generazione, registrazione, stoccaggio, installazione, utilizzo, rinnovo, revoca, backup e recupero dei certificati/chiavi). Come indicato nelle norme tecniche di collegamento (NTC), sono utilizzati solo i certificati digitali rilasciati da un'autorità di certificazione (AC) ritenuta affidabile da entrambe le parti. Il trattamento e l'archiviazione di certificati/chiavi devono rispettare le disposizioni stabilite nelle istruzioni di trattamento.

               La revoca e/o il rinnovo di certificati e chiavi sono coordinati da entrambe le parti. Ciò avviene secondo le procedure per il soddisfacimento delle richieste.

               L'amministratore del registro della Svizzera e l'amministratore centrale dell'Unione procederanno a uno scambio di certificati/chiavi tramite mezzi di comunicazione sicuri conformemente alle disposizioni di cui alle istruzioni di trattamento.

               Tutte le verifiche dei certificati/delle chiavi tra le parti avverranno fuori banda indipendentemente dal mezzo utilizzato.

                     (1)

                        GU L 322 del 7.12.2017, pag. 3.