Décision (UE, Euratom) 2019/1963 de la Commission du 17 octobre 2019 établissant des modalités d’application en matière de sécurité industrielle en ce qui concerne les marchés classifiés

1. La présente décision établit des modalités d’application en matière de sécurité industrielle en ce qui concerne les marchés classifiés afin de soutenir la mise en œuvre de la décision (UE, Euratom) 2015/444, et notamment le chapitre 6 de ladite décision.

2. Elle définit des exigences spécifiques visant à garantir la protection des informations classifiées de l’Union européenne (ICUE) par les opérateurs économiques lors de la phase précontractuelle, tout au long du cycle de vie des contrats classifiés conclus par la Commission européenne, ainsi que dans les contrats de sous-traitance conclus par les contractants de la Commission.

3. La présente décision porte sur les informations classifiées aux niveaux suivants:

1. Dans le cadre de ses responsabilités telles que décrites dans le règlement financier (8), chaque ordonnateur du pouvoir adjudicateur de la Commission veille à ce que le contrat classifié mentionne les normes minimales de sécurité industrielle prévues au chapitre 6 de la décision (UE, Euratom) 2015/444 et dans les présentes modalités d’application, et, le cas échéant, dans l’avis de marché ou l’invitation à soumissionner, et à ce que ces normes soient respectées au cours de l’exécution.

2. À cette fin, l’ordonnateur compétent demande, à chaque stade, l’avis de l’autorité de sécurité de la Commission sur les questions relatives aux éléments de sécurité d’un contrat, programme ou projet classifié et informe le responsable local de la sécurité des contrats conclus. La décision relative au niveau de classification d’un thème donné appartient au pouvoir adjudicateur, qui se prononce en tenant dûment compte du guide de la classification de sécurité.

3. En respectant les exigences des présentes modalités d’application, l’autorité de sécurité de la Commission coopère étroitement avec les autorités nationales de sécurité (ANS) et les autorités de sûreté désignées (ASD) des États membres concernés, notamment en ce qui concerne les habilitations de sécurité d’établissement (HSE) et les habilitations de sécurité du personnel (HSP), les procédures de visite et les plans de transport.

1. Les marchés classifiés ne sont attribués qu’à des opérateurs économiques immatriculés dans un État membre, ou à des opérateurs économiques immatriculés dans un pays tiers ou mis en place par une organisation internationale lorsque ce pays tiers ou cette organisation internationale a conclu un accord sur la sécurité des informations avec l’Union européenne ou un arrangement administratif avec la Commission (9).

2. Avant de lancer une invitation à soumissionner pour un marché classifié, le pouvoir adjudicateur détermine la classification de sécurité de toute information susceptible d’être communiquée aux soumissionnaires. Le pouvoir adjudicateur détermine également la classification de sécurité maximale de toute information produite dans le cadre de l’exécution du contrat, du programme ou du projet, ou prévoit au moins le volume et le type d’informations à produire ou à traiter, ainsi que la nécessité d’un système d’information et de communication (SIC) classifié.

3. Le pouvoir adjudicateur veille à ce que les avis de marché pour les marchés classifiés procurent des informations sur les obligations particulières en matière de sécurité liées aux informations classifiées. L’annexe I contient un modèle d’informations pour les avis de marché.

4. Le pouvoir adjudicateur veille à ce que les informations classifiées RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET ne soient divulguées aux soumissionnaires qu’une fois qu’ils ont signé un accord de confidentialité leur faisant obligation de traiter et de protéger les ICUE conformément à la décision (UE, Euratom) 2015/444 et à ses modalités d’application.

5. Tous les contractants qui doivent traiter ou stocker des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET au sein de leurs établissements, soit pendant l’exécution du contrat classifié lui-même, soit au stade précontractuel, détiennent une HSE au niveau requis. Ci-après sont indiqués les trois cas de figure qui peuvent se présenter au stade de l’appel d’offres pour un marché classifié comportant des ICUE au niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET:

6. En principe, une HSE n’est pas requise pour avoir accès aux informations classifiées RESTREINT UE/EU RESTRICTED, que ce soit au stade de l’appel d’offres ou pour l’exécution du contrat. Lorsque des États membres exigent une HSE pour des contrats ou des contrats de sous-traitance au niveau RESTREINT UE/EU RESTRICTED en vertu de leurs dispositions législatives et réglementaires nationales, comme indiqué à l’annexe IV, ces exigences nationales n’imposent aucune obligation supplémentaire aux autres États membres ou n’excluent pas les soumissionnaires, contractants ou sous-traitants des États membres qui n’imposent pas une telle HSE pour l’accès aux informations RESTREINT UE/EU RESTRICTED issues de contrats/contrats de sous-traitance connexes ou d’une mise en concurrence pour de tels contrats. Ces contrats sont exécutés dans les États membres conformément à leurs dispositions législatives et réglementaires.

7. Lorsqu’une HSE est requise pour l’exécution d’un marché classifié, le pouvoir adjudicateur présente, par l’intermédiaire de l’autorité de sécurité de la Commission, une demande à l’ANS/ASD du contractant au moyen d’une fiche d’information pour habilitation de sécurité d’établissement (FIHSE). L’annexe III, appendice D, contient un exemple de FIHSE (10). Le marché classifié ne peut être attribué qu’après que l’ANS/ASD du contractant a confirmé l’HSE du soumissionnaire. Il est répondu à la FIHSE, dans la mesure du possible, dans un délai de dix jours ouvrables à compter de la date de la demande.

1. Les conditions dans lesquelles un contractant auquel est attribué un marché classifié de la Commission peut sous-traiter des activités sont définies dans l’invitation à soumissionner et les documents de marché. Lorsque le marché classifié autorise la sous-traitance de certaines de ses parties, cette sous-traitance fait l’objet d’un consentement écrit préalable du pouvoir adjudicateur. Avant de donner son consentement, le pouvoir adjudicateur consulte l’autorité de sécurité de la Commission.

2. Les marchés classifiés ne sont confiés en sous-traitance qu’à des opérateurs économiques immatriculés dans un État membre, ou à des opérateurs économiques immatriculés dans un pays tiers ou mis en place par une organisation internationale lorsque ce pays tiers ou cette organisation internationale a conclu un accord sur la sécurité des informations avec l’Union européenne ou un arrangement administratif avec la Commission (11).

1. Lors de l’attribution d’un marché classifié, le pouvoir adjudicateur, conjointement avec l’autorité de sécurité de la Commission, veille à ce que les obligations du contractant en matière de protection des ICUE communiquées à ce dernier ou produites dans le cadre de l’exécution du marché fassent partie intégrante du contrat. Les exigences de sécurité propres à un contrat prennent la forme d’une annexe de sécurité (AS). Un modèle d’AS figure à l’annexe III.

2. Avant de signer un contrat classifié, le pouvoir adjudicateur élabore, après consultation de l’autorité de sécurité de la Commission, un guide de la classification de sécurité (GCS) pour les tâches à effectuer et les informations produites dans le cadre de l’exécution du contrat, ou au niveau du programme ou du projet, le cas échéant. Le GCS fait partie de l’AS.

3. Les exigences de sécurité propres à un programme ou un contrat prennent la forme d’instructions de sécurité relatives à un programme (ou un projet) (ISP). Les ISP peuvent être rédigées à l’aide des dispositions du modèle d’AS figurant à l’annexe III. Les ISP sont élaborées par le service de la Commission qui gère le programme ou le projet, en étroite coopération avec l’autorité de sécurité de la Commission et sont soumises pour avis au groupe d’experts sécurité de la Commission. Lorsqu’un contrat relève d’un programme ou d’un projet ayant ses propres ISP, l’AS du contrat doit revêtir une forme simplifiée et comporter une référence aux dispositions de sécurité exposées dans les ISP du programme ou du projet.

4. Le pouvoir adjudicateur est considéré comme l’autorité d’origine des informations classifiées qui sont créées et traitées pour l’exécution du contrat.

5. Le pouvoir adjudicateur, par l’intermédiaire de l’autorité de sécurité de la Commission, informe les ANS/ASD de tous les contractants et sous-traitants de la conclusion de contrats ou de contrats de sous-traitance classifiés et de toute prolongation ou résiliation anticipée de ces contrats ou contrats de sous-traitance. La liste des exigences par pays figure à l’annexe IV.

6. Les contrats comportant des informations classifiées RESTREINT UE/EU RESTRICTED contiennent une clause de sécurité contractuelle rendant contraignantes pour le contractant les dispositions figurant à l’annexe III, appendice E. Ces contrats contiennent une AS exposant, au minimum, les exigences en matière de traitement des informations RESTREINT UE/EU RESTRICTED, y compris les aspects relatifs à l’assurance de l’information et les exigences spécifiques que doit remplir le contractant, agissant par délégation du pouvoir adjudicateur, en vue de l’agrément de son SIC traitant des informations RESTREINT UE/EU RESTRICTED.

7. Lorsque des informations RESTREINT UE/EU RESTRICTED sont communiquées aux soumissionnaires ou à des contractants potentiels, les exigences minimales visées au paragraphe 6 sont mentionnées dans les offres ou dans les accords de confidentialité y afférents au stade de l’appel d’offres.

8. Lorsque les dispositions législatives et réglementaires nationales des États membres l’exigent, les ANS/ASD veillent à ce que les contractants ou sous-traitants relevant de leur juridiction respectent les dispositions applicables en matière de sécurité pour la protection des informations RESTREINT UE/EU RESTRICTED et effectuent des visites de vérification auprès des établissements des contractants situés sur leur territoire. Lorsque l’ANS/ASD n’est pas soumise à une telle obligation, le pouvoir adjudicateur veille à ce que le contractant mette en œuvre les dispositions de sécurité requises énoncées à l’annexe III.

1. Le service de la Commission, en tant que pouvoir adjudicateur, veille à ce que les contrats classifiés renferment des dispositions indiquant que le personnel d’un contractant ou sous-traitant qui, aux fins de l’exécution du contrat ou du contrat de sous-traitance classifié, requiert l’accès à des ICUE, peut se voir accorder un tel accès uniquement si les conditions suivantes sont remplies:

2. Si un contractant ou un sous-traitant souhaite employer un ressortissant d’un pays non-membre de l’Union européenne à une fonction qui requiert l’accès à des ICUE classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, il incombe au contractant ou au sous-traitant d’engager la procédure d’habilitation de sécurité concernant cette personne conformément aux dispositions législatives et réglementaires nationales applicables sur le lieu où l’accès aux ICUE doit être accordé.

1. Lorsque la Commission, des contractants ou des sous-traitants doivent avoir accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET dans leurs locaux respectifs aux fins de l’exécution d’un marché classifié, les visites sont organisées en liaison avec les ANS/ASD ou toute autre autorité de sécurité compétente concernée.

2. Les visites visées au paragraphe 1 sont soumises aux exigences suivantes:

1. Les visites effectuées par les contractants dans les établissements d’autres contractants, ou dans les locaux de la Commission, qui impliquent l’accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, sont organisées selon la procédure suivante:

2. Les visites effectuées par des fonctionnaires de la Commission dans les établissements de contractants qui impliquent l’accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET sont organisées selon la procédure suivante:

3. Une DDV peut couvrir une seule visite ou des visites récurrentes. Dans le cas de visites récurrentes, la DDV peut être valable pendant une durée maximale d’un an à compter de la date de début demandée.

4. La durée de validité de la DDV n’excède pas la durée de validité de l’HSP du visiteur.

5. En règle générale, la DDV doit être soumise à l’autorité de sécurité compétente de l’établissement d’accueil au moins 15 jours ouvrables avant la date de la visite.

1. Avant d’autoriser l’accès d’un visiteur à des ICUE, le bureau de sécurité de l’établissement d’accueil se conforme à toutes les procédures et règles de sécurité relatives aux visites qui sont définies par son ANS/ASD.

2. Les visiteurs déclinent leur identité à leur arrivée dans l’établissement d’accueil en présentant une carte d’identité ou un passeport en cours de validité. Ces informations d’identification correspondent aux renseignements fournis dans la DDV.

3. L’établissement d’accueil veille à tenir un registre de tous les visiteurs, indiquant leur nom, l’organisation qu’ils représentent, la date d’expiration de l’HSP, la date de la visite et le nom des personnes auxquelles il est rendu visite. Ces registres sont conservés pendant une période d’au moins cinq ans, ou plus si les règles et réglementations nationales du pays dans lequel est situé l’établissement d’accueil l’exigent.

1. Dans le cadre de projets spécifiques, les ANS/ASD compétentes et l’autorité de sécurité de la Commission peuvent convenir d’une procédure permettant au responsable de la sécurité du visiteur et au responsable de la sécurité de l’établissement à visiter d’organiser directement des visites pour un marché classifié spécifique. Le modèle de formulaire à utiliser à cette fin figure à l’annexe III, appendice C. Cette procédure exceptionnelle est définie dans les ISP ou dans le cadre d’autres arrangements spécifiques. En pareil cas, les procédures prévues à l’article 8 et à l’article 9, paragraphe 1, ne s’appliquent pas.

2. Les visites impliquant l’accès à des informations classifiées RESTREINT UE/EU RESTRICTED sont organisées directement entre l’entité d’envoi et l’entité d’accueil sans qu’il soit nécessaire de suivre les procédures prévues à l’article 8 et à l’article 9, paragraphe 1.

1. Le traitement et la transmission électroniques d’ICUE sont effectués conformément aux chapitres 5 et 6 de la décision (UE, Euratom) 2015/444 de la Commission et à ses modalités d’application.

Les systèmes d’information et de communication détenus par un contractant et utilisés pour traiter des ICUE aux fins de l’exécution du contrat («SIC du contractant») sont soumis à l’agrément de l’autorité d’homologation de sécurité (AHS) compétente. Toute transmission d’ICUE par voie électronique est protégée par des produits cryptographiques approuvés conformément à l’article 36, paragraphe 4, de la décision (UE, Euratom) 2015/444. Des mesures TEMPEST sont mises en œuvre conformément à l’article 36, paragraphe 6, de ladite décision.

2. L’habilitation de sécurité du SIC du contractant qui traite des ICUE au niveau RESTREINT UE/EU RESTRICTED et toute interconnexion y afférente peuvent être déléguées au responsable de la sécurité d’un contractant si les dispositions législatives et réglementaires nationales le permettent. Lorsque cette tâche est déléguée, le contractant est responsable de la mise en œuvre des exigences minimales en matière de sécurité décrites dans l’AS lors du traitement d’informations RESTREINT UE/EU RESTRICTED dans son SIC. Toutefois, les ANS/ASD et AHS compétentes demeurent responsables de la protection des informations RESTREINT UE/EU RESTRICTED traitées par le contractant et conservent le droit de contrôler les mesures de sécurité prises par les contractants. En outre, le contractant fournit au pouvoir adjudicateur et, lorsque les dispositions législatives et réglementaires nationales l’exigent, à l’AHS nationale compétente, une déclaration de conformité attestant que le SIC du contractant et les interconnexions s’y rapportant ont été agréés pour traiter des ICUE au niveau RESTREINT UE/EU RESTRICTED (12).

1. Le transport par porteur d’informations classifiées est soumis à des exigences strictes en matière de sécurité.

2. Le transport par porteur d’informations classifiées RESTREINT UE/EU RESTRICTED peut être effectué par un membre du personnel du contractant à l’intérieur de l’Union européenne, pour autant que les conditions suivantes soient remplies:

3. Pour les informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET, le transport par porteur effectué par un membre du personnel du contractant dans un État membre de l’Union européenne est organisé à l’avance par l’entité expéditrice et l’entité destinataire. L’autorité expéditrice ou l’établissement expéditeur informe l’autorité ou l’établissement destinataire des éléments relatifs à l’envoi, en indiquant notamment la référence, la classification, l’heure d’arrivée prévue et le nom du service de courrier. Ce transport par porteur est autorisé pour autant que les conditions suivantes soient remplies:

4. Pour le transport par porteur d’informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET effectué par le personnel du contractant d’un État membre de l’Union européenne à un autre, les règles complémentaires suivantes s’appliquent:

Si un envoi est ouvert par les autorités douanières, l’ouverture doit être effectuée hors de la vue des personnes non autorisées et, dans la mesure du possible, en présence du porteur. Le porteur demande que l’envoi soit remballé et prie les autorités qui effectuent le contrôle de refermer l’envoi et de confirmer par écrit que celui-ci a été ouvert par elles.

5. Le transport par porteur d’informations classifiées RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET effectué par le personnel du contractant à destination d’un pays tiers ou d’une organisation internationale sont soumis aux dispositions de l’accord sur la sécurité des informations ou de l’arrangement administratif conclu entre, respectivement, l’Union européenne ou la Commission et ce pays tiers ou cette organisation internationale.