SÉCURITÉ PHYSIQUE
I. INTRODUCTION
1. La présente annexe énonce les modalités d’application de l’article 8. Elle prévoit les règles minimales de protection physique des locaux, bâtiments, bureaux, salles et autres zones où des ICUE sont traitées et stockées, y compris des zones où se trouvent des SIC.
2. Les mesures de sécurité physique sont destinées à prévenir l’accès non autorisé aux ICUE en:
a) garantissant que les ICUE sont correctement traitées et stockées;
b) permettant d’établir une distinction entre les membres du personnel au regard de l’accès aux ICUE sur la base de leur besoin d’en connaître et, le cas échéant, de leur habilitation de sécurité;
c) ayant un effet dissuasif, en empêchant et en détectant les actes non autorisés; et
d) en empêchant ou en retardant toute intrusion par la ruse ou par la force.
II. RÈGLES ET MESURES EN MATIÈRE DE SÉCURITÉ PHYSIQUE
3. Les mesures de sécurité physique sont choisies en fonction d’une évaluation de la menace réalisée par les autorités compétentes. Il convient que tant le SGC que les États membres appliquent une procédure de gestion du risque pour protéger les ICUE dans leurs locaux afin de garantir un niveau de protection physique qui soit proportionné au risque évalué. La procédure de gestion des risques tient compte de tous les facteurs pertinents, et notamment:
a) du niveau de classification des ICUE;
b) de la forme et du volume des ICUE, sachant que l’application de mesures de protection plus strictes pourrait être requise pour des volumes importants ou en cas de compilation d’ICUE;
c) de l’environnement et de la structure des bâtiments ou des zones où se trouvent des ICUE; et
d) de l’évaluation de la menace que constituent les services de renseignement prenant pour cible l’Union ou des États membres, ainsi que les actes de sabotage, le terrorisme et les activités subversives ou les autres activités criminelles.
4. En appliquant la notion de défense en profondeur, l’autorité de sécurité compétente détermine la bonne combinaison de mesures de sécurité physique qu’il convient de mettre en œuvre. Il peut s’agir d’une ou de plusieurs des mesures suivantes:
a) barrière périmétrique: une barrière physique qui défend les limites d’une zone devant être protégée;
b) système de détection des intrusions (SDI): un tel système peut être utilisé pour améliorer le niveau de sécurité d’une barrière périmétrique ou dans des salles et des bâtiments pour remplacer le personnel de sécurité ou l’aider dans sa tâche;
c) contrôle des accès: il peut être exercé sur un site, un ou plusieurs bâtiments d’un site ou des zones ou salles à l’intérieur d’un bâtiment. Ce contrôle peut être exercé par des moyens électroniques ou électromécaniques, par un membre du personnel de sécurité et/ou un réceptionniste, ou par tout autre moyen physique;
d) personnel de sécurité: un personnel de sécurité formé, supervisé et, au besoin, dûment habilité peut être employé, notamment, pour dissuader des personnes de planifier des intrusions clandestines;
e) système de télévision en circuit fermé (CCTV): un tel système peut être utilisé par le personnel de sécurité pour effectuer des vérifications en cas d’incident ou de déclenchement de l’alarme des SDI sur des sites étendus ou des enceintes;
f) éclairage de sécurité: un tel éclairage peut être utilisé pour dissuader un intrus potentiel ainsi que pour fournir la lumière nécessaire à une surveillance efficace, soit directement par le personnel de sécurité soit indirectement par l’intermédiaire d’un système de CCTV; et
g) toute autre mesure physique appropriée destinée à avoir un effet dissuasif quant à l’accès non autorisé ou à détecter un tel accès, ou à prévenir la perte ou la détérioration d’ICUE.
5. L’autorité compétente peut être autorisée à mener des fouilles aux entrées et aux sorties afin d’avoir un effet dissuasif quant à l’introduction non autorisée de matériel dans des locaux ou des bâtiments ou au retrait non autorisé de toute ICUE des lieux précités.
6. Lorsque des ICUE risquent d’être vues, même accidentellement, des mesures appropriées sont prises pour parer à ce risque.
7. Pour les nouveaux établissements, les règles en matière de sécurité physique et leurs spécifications fonctionnelles doivent être définies lors de la planification et de la conception des établissements. Pour les établissements existants, les règles en matière de sécurité physique doivent être appliquées dans toute la mesure du possible.
III. ÉQUIPEMENT DESTINÉ À LA PROTECTION PHYSIQUE DES ICUE
8. Lors de l’achat de l’équipement destiné à la protection physique des ICUE (comme des meubles de sécurité, des déchiqueteuses, des serrures de porte, des systèmes électroniques de contrôle des accès, des SDI, des systèmes d’alarme), l’autorité de sécurité compétente veille à ce que cet équipement réponde aux normes techniques et aux conditions minimales agréées.
9. Les spécifications techniques de l’équipement devant servir à la protection physique des ICUE sont définies dans des lignes directrices en matière de sécurité, qu’il appartient au comité de sécurité d’approuver.
10. Les systèmes de sécurité sont périodiquement inspectés et l’équipement est entretenu à intervalles réguliers. L’entretien prend en compte les résultats des inspections afin de garantir un fonctionnement optimal continu de l’équipement.
11. Il convient de réévaluer à chaque inspection l’efficacité des différentes mesures de sécurité et du système de sécurité dans son ensemble.
IV. ZONES PHYSIQUEMENT PROTÉGÉES
12. Deux types de zones physiquement protégées, ou leurs équivalents au niveau national, sont créés en vue de la protection physique des ICUE:
a) les zones administratives; et
b) les zones sécurisées (dont les zones sécurisées du point de vue technique).
Dans la présente décision, toutes les références aux zones administratives et aux zones sécurisées, y compris les zones sécurisées du point de vue technique, s’entendent comme visant également les zones équivalentes au niveau national.
13. Il appartient à l’autorité de sécurité compétente d’établir qu’une zone répond aux conditions requises pour être désignée comme zone administrative, zone sécurisée ou zone sécurisée du point de vue technique.
14. Pour les zones administratives:
a) un périmètre défini est établi de façon visible afin de permettre le contrôle des personnes et, dans la mesure du possible, des véhicules;
b) ne peuvent y pénétrer sans escorte que les personnes dûment autorisées par l’autorité compétente; et
c) toutes les autres personnes sont escortées en permanence ou font l’objet de contrôles équivalents.
15. Pour les zones sécurisées:
a) un périmètre défini et protégé est établi de façon visible et toutes les entrées et sorties sont contrôlées par un système de laissez-passer ou d’identification individuelle;
b) ne peuvent y pénétrer sans escorte que les personnes habilitées et expressément autorisées à y entrer sur la base de leur besoin d’en connaître; et
c) toutes les autres personnes sont escortées en permanence ou font l’objet de contrôles équivalents.
16. Lorsque le fait de pénétrer dans une zone sécurisée équivaut en pratique à un accès direct aux informations classifiées qu’elle renferme, les règles supplémentaires suivantes sont d’application:
a) le niveau de classification le plus élevé qui s’applique aux informations conservées habituellement dans la zone doit être clairement indiqué;
b) tous les visiteurs doivent disposer d’une autorisation spécifique pour pénétrer dans la zone, sont escortés en permanence et disposent de l’habilitation de sécurité correspondante, sauf si des mesures sont prises pour empêcher l’accès aux ICUE.
17. Les zones sécurisées qui sont protégées contre les écoutes sont qualifiées de zones sécurisées du point de vue technique. Les règles supplémentaires suivantes sont applicables:
a) ces zones sont équipées de SDI, verrouillées lorsqu’elles ne sont pas occupées et gardées lorsqu’elles sont occupées. Toutes les clés sont contrôlées conformément à la section VI;
b) toutes les personnes et tous les matériels entrant dans ces zones sont contrôlés;
c) ces zones doivent faire l’objet, à intervalles réguliers, d’inspections physiques et/ou techniques selon les exigences de l’autorité de sécurité compétente. Ces inspections doivent également être effectuées après une entrée non autorisée, réelle ou présumée; et
d) ces zones ne sont pas équipées de lignes de communication, de téléphones ou d’autres dispositifs de communication ou matériels électriques ou électroniques qui ne sont pas autorisés.
18. Nonobstant le paragraphe 17, point d), avant d’être utilisé dans des zones dans lesquelles sont organisées des réunions ou sont exécutées des tâches mettant en jeu des informations classifiées SECRET UE/EU SECRET et d’un niveau de classification supérieur, et lorsque la menace pesant sur des ICUE est jugée élevée, tout dispositif de communication et tout matériel électrique ou électronique est d’abord examiné par l’autorité de sécurité compétente pour vérifier qu’aucune information intelligible ne peut être transmise par inadvertance ou de manière illicite par ces équipements en dehors du périmètre de la zone sécurisée.
19. Les zones sécurisées qui ne sont pas occupées vingt-quatre heures sur vingt-quatre par le personnel de service sont, au besoin, inspectées après les heures normales de travail et à intervalles aléatoires en dehors de ces heures, sauf si un SDI a été installé.
20. Des zones sécurisées et des zones sécurisées du point de vue technique peuvent être temporairement établies dans une zone administrative en vue de la tenue d’une réunion classifiée ou à toute autre fin similaire.
21. Des procédures d’exploitation de sécurité sont arrêtées pour chacune des zones sécurisées et précisent:
a) le niveau de classification des ICUE traitées ou stockées dans la zone;
b) les mesures de surveillance et de protection qu’il convient de mettre en place;
c) les personnes autorisées à pénétrer dans la zone en raison de leur besoin d’en connaître et en fonction de leur habilitation;
d) le cas échéant, les procédures applicables aux escortes ou à la protection des ICUE lorsque d’autres personnes sont autorisées à pénétrer dans la zone; et
e) les autres mesures et procédures applicables.
22. Les chambres fortes sont installées dans des zones sécurisées. Les murs, les planchers, les plafonds, les fenêtres et les portes verrouillables sont approuvés par l’autorité de sécurité compétente et offrent une protection équivalente à celle d’un meuble de sécurité approuvé pour le stockage d’ICUE du même niveau de classification.
V. MESURES DE PROTECTION PHYSIQUES APPLICABLES AU TRAITEMENT ET AU STOCKAGE DES ICUE
23. Les ICUE RESTREINT UE/EU RESTRICTED peuvent être traitées:
a) dans une zone sécurisée;
b) dans une zone administrative à condition que les personnes non autorisées ne puissent avoir accès aux ICUE; ou
c) en dehors d’une zone sécurisée ou d’une zone administrative à condition que le détenteur les transporte conformément aux dispositions de l’annexe III, paragraphes 28 à 41, et se soit engagé à se conformer aux mesures compensatoires prévues dans les instructions de sécurité émises par l’autorité de sécurité compétente pour empêcher que des personnes non autorisées aient accès aux ICUE.
24. Les ICUE RESTREINT UE/EU RESTRICTED sont stockées dans un meuble de bureau adapté et fermé dans une zone administrative ou dans une zone sécurisée. Ces informations peuvent être temporairement stockées en dehors d’une zone sécurisée ou d’une zone administrative à condition que le détenteur se soit engagé à se conformer aux mesures compensatoires prévues dans les instructions de sécurité émises par l’autorité de sécurité compétente.
25. Les ICUE CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET peuvent être traitées:
a) dans une zone sécurisée;
b) dans une zone administrative à condition que les personnes non autorisées ne puissent avoir accès aux ICUE; ou
c) en dehors d’une zone sécurisée ou d’une zone administrative à condition que le détenteur:
i) transporte les ICUE conformément aux dispositions de l’annexe III, paragraphes 28 à 41;
ii) se soit engagé à se conformer aux mesures compensatoires prévues dans les instructions de sécurité émises par l’autorité de sécurité compétente pour empêcher que des personnes non autorisées aient accès aux ICUE;
iii) exerce en personne un contrôle permanent sur les ICUE; et
iv) si les documents sont sous forme papier, qu’il en ait informé le bureau d’ordre compétent.
26. Les ICUE CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET sont stockées dans une zone sécurisée, soit dans un meuble de sécurité soit dans une chambre forte.
27. Les ICUE TRÈS SECRET UE/EU TOP SECRET sont traitées dans une zone sécurisée.
28. Les ICUE TRÈS SECRET UE/EU TOP SECRET sont stockées dans une zone sécurisée, selon l’une des modalités suivantes:
a) dans un meuble de sécurité conformément au paragraphe 8, moyennant un ou plusieurs des contrôles supplémentaires suivants:
i) protection ou vérification en permanence par un membre habilité du personnel de sécurité ou du personnel de service;
ii) un système de détection des intrusions approuvé auquel on associe du personnel de sécurité prêt à intervenir en cas d’incident;
b) dans une chambre forte équipée d’un système de détection des intrusions à laquelle on associe du personnel de sécurité prêt à intervenir en cas d’incident.
29. Les règles régissant le transport des ICUE en dehors des zones physiquement protégées figurent à l’annexe III.
VI. CONTRÔLE DES CLÉS ET COMBINAISONS UTILISÉES POUR LA PROTECTION DES ICUE
30. L’autorité de sécurité compétente définit les procédures de gestion des clés et des combinaisons pour les bureaux, les salles, les chambres fortes et les meubles de sécurité. Ces procédures protègent d’un accès non autorisé.
31. Les combinaisons doivent être mémorisées par le plus petit nombre possible de personnes qui ont besoin de les connaître. Les combinaisons des meubles de sécurité et des chambres fortes servant au stockage d’ICUE doivent être changées:
a) à la réception d’un nouveau meuble;
b) lors de tout changement du personnel connaissant la combinaison;
c) en cas de compromission, réelle ou présumée;
d) lorsqu’une serrure a fait l’objet d’un entretien ou d’une réparation; et
e) au moins tous les douze mois.