GESTION DES INFORMATIONS CLASSIFIÉES
I. INTRODUCTION
1. La présente annexe énonce les modalités d’application de l’article 9. Elle prévoit les mesures administratives visant à contrôler les ICUE tout au long de leur cycle de vie en vue de contribuer à la prévention et à la détection d’une compromission ou d’une perte délibérée ou accidentelle de telles informations.
II. GESTION DE LA CLASSIFICATION
Classifications et marquages
2. Les informations sont classifiées dans les cas où elles doivent être protégées compte tenu de leur confidentialité.
3. L’autorité d’origine des ICUE est chargée de déterminer le niveau de classification de sécurité, conformément aux lignes directrices applicables en matière de classification, et de la diffusion initiale des informations.
4. Le niveau de classification des ICUE est fixé conformément à l’article 2, paragraphe 2, et en se reportant à la politique de sécurité qui doit être approuvée conformément à l’article 3, paragraphe 3.
5. La classification de sécurité est clairement et correctement indiquée, indépendamment de la forme sous laquelle se présentent les ICUE: format papier, forme orale, électronique ou autre.
6. Les différentes parties d’un document donné (pages, paragraphes, sections, annexes, appendices et pièces jointes) peuvent nécessiter une classification différente et doivent alors porter le marquage afférent, y compris lorsqu’elles sont stockées sous forme électronique.
7. Le niveau général de classification d’un document ou d’un dossier est au moins aussi élevé que celui de sa partie portant la classification la plus élevée. Lorsqu’il rassemble des informations provenant de plusieurs sources, le document final est examiné pour en fixer le niveau général de classification de sécurité car il peut requérir un niveau de classification supérieur à celui de chacune des parties qui le composent.
8. Dans la mesure du possible, les documents dont toutes les parties n’ont pas le même niveau de classification sont structurés de manière que les parties ayant des niveaux de classification différents puissent au besoin être aisément identifiées et séparées des autres.
9. Les lettres ou notes d’envoi accompagnant des pièces jointes portent le plus haut niveau de classification attribué à ces dernières. L’autorité d’origine indique clairement leur niveau de classification lorsqu’elles sont séparées de leurs pièces jointes, au moyen d’un marquage approprié, par exemple:
CONFIDENTIEL UE/EU CONFIDENTIAL
Sans pièce(s) jointe(s) RESTREINT UE/EU RESTRICTED
Marquages
10. Outre l’un des marquages de classification de sécurité prévus à l’article 2, paragraphe 2, les ICUE peuvent porter des marquages complémentaires, tels que:
a) un identifiant désignant l’autorité d’origine;
b) des marquages restrictifs, des mots-codes ou des acronymes utilisés pour préciser le domaine d’activité sur lequel porte le document ou pour indiquer une diffusion particulière en fonction du besoin d’en connaître ou des restrictions d’utilisation;
c) des marquages relatifs à la communicabilité; ou
d) le cas échéant, la date ou l’événement particulier à partir desquels elles peuvent être déclassées ou déclassifiées.
Abréviations indiquant la classification
11. Des abréviations uniformisées indiquant la classification peuvent être utilisées pour préciser le niveau de classification des différents paragraphes d’un texte. Les abréviations ne remplacent pas la mention de la classification en toutes lettres.
12. Les abréviations uniformisées ci-après peuvent être utilisées dans les documents classifiés de l’Union européenne pour indiquer le niveau de classification de sections ou blocs de texte de moins d’une page:
| TRÈS SECRET UE/EU TOP SECRET | TS-UE/EU-TS
| SECRET UE/EU SECRET | S-UE/EU-S
| CONFIDENTIEL UE/EU CONFIDENTIAL | C-UE/EU-C
| RESTREINT UE/EU RESTRICTED | R-UE/EU-R
Création d’ICUE
13. Lors de la création de documents classifiés de l’Union européenne:
a) sur chaque page figure un marquage indiquant clairement le niveau de classification;
b) chaque page est numérotée;
c) le document porte un numéro de référence et un sujet qui n’est pas lui-même une information classifiée, sauf s’il s’est vu apposer un marquage à ce titre;
d) le document est daté; et
e) les documents classifiés SECRET UE/EU SECRET ou d’un niveau de classification supérieur portent un numéro d’exemplaire sur chaque page dès lors qu’ils doivent être diffusés en plusieurs exemplaires.
14. Lorsqu’il n’est pas possible d’appliquer le paragraphe 13 à des ICUE, d’autres mesures appropriées sont prises conformément aux lignes directrices en matière de sécurité qui doivent être arrêtées en vertu de l’article 6, paragraphe 2.
Déclassement et déclassification des ICUE
15. Au moment de la création du document classifié, l’autorité d’origine indique, si possible et notamment en ce qui concerne les informations classifiées RESTREINT UE/EU RESTRICTED, si les ICUE qui y figurent peuvent ou non être déclassées ou déclassifiées à une date donnée ou après un événement spécifique.
16. Le SGC réexamine régulièrement les ICUE en sa possession pour déterminer si leur niveau de classification est toujours d’application. Le SGC instaure un système pour réexaminer le niveau de classification des ICUE dont il est l’auteur, au moins une fois tous les cinq ans. Un tel réexamen n’est pas nécessaire lorsque l’autorité d’origine a indiqué dès le départ que les informations seraient automatiquement déclassées ou déclassifiées et que celles-ci se sont vu apposer les marquages correspondants.
III. ENREGISTREMENT DES ICUE À DES FINS DE SÉCURITÉ
17. Pour chacune des entités structurées qui existent au sein du SGC et des administrations nationales des États membres et dans lesquelles des ICUE sont traitées, on détermine un bureau d’ordre compétent chargé de veiller à ce que les ICUE soient traitées conformément à la présente décision. Les bureaux d’ordre sont conçus comme des zones sécurisées telles que définies à l’annexe II.
18. Aux fins de la présente décision, on entend par enregistrement à des fins de sécurité (ci-après dénommé «enregistrement») l’application de procédures permettant de garder la trace du cycle de vie d’un matériel, y compris de sa diffusion et de sa destruction.
19. Tout matériel classifié CONFIDENTIEL UE/EU CONFIDENTIAL et d’un niveau de classification supérieur est enregistré par un bureau d’ordre déterminé à chaque fois qu’il parvient à une entité structurée ou qu’il en sort.
20. Le bureau d’ordre central du SGC garde une trace de toutes les informations classifiées communiquées par le Conseil et le SGC à des États tiers et à des organisations internationales, ainsi que de toutes les informations classifiées reçues d’États tiers ou d’organisations internationales.
21. Dans le cas d’un SIC, les procédures d’enregistrement peuvent être mises en œuvre au moyen de processus intervenant au sein du SIC même.
22. Le Conseil approuve une politique de sécurité sur l’enregistrement des ICUE à des fins de sécurité.
Bureaux d’ordre TRÈS SECRET UE/EU TOP SECRET
23. Un bureau d’ordre est désigné dans les États membres et au SGC pour faire fonction d’autorité centrale de réception et de diffusion des informations classifiées TRÈS SECRET UE/EU TOP SECRET. S’il y a lieu, les bureaux d’ordre subordonnés peuvent être désignés pour traiter ces informations à des fins d’enregistrement.
24. Ces bureaux d’ordre subordonnés ne peuvent transmettre de documents TRES SECRET UE/EU TOP SECRET directement à d’autres bureaux d’ordre subordonnés rattachés au même bureau d’ordre TRES SECRET UE/EU TOP SECRET central sans l’autorisation expresse et écrite de ce dernier ni à des bureaux d’ordre extérieurs.
IV. DUPLICATION ET TRADUCTION DES DOCUMENTS CLASSIFIÉS DE L’UNION EUROPÉENNE
25. Les documents classifiés TRÈS SECRET UE/EU TOP SECRET ne doivent pas être dupliqués ou traduits sans le consentement écrit préalable de l’autorité d’origine.
26. Lorsque l’autorité d’origine de documents classifiés SECRET UE/EU SECRET et d’un niveau de classification inférieur n’a pas imposé de restrictions à leur duplication ou à leur traduction, lesdits documents peuvent être dupliqués ou traduits sur instruction du détenteur.
27. Les mesures de sécurité applicables au document original le sont aussi à ses copies et à ses traductions.
V. TRANSPORT DES ICUE
28. Le transport des ICUE est soumis aux mesures de protection énoncées aux paragraphes 30 à 41. Lorsque les ICUE sont transportées par des supports électroniques, et nonobstant l’article 9, paragraphe 4, les mesures de protection énoncées ci-après peuvent être complétées par des contre-mesures techniques appropriées prescrites par l’autorité de sécurité compétente, de façon à réduire au minimum le risque de perte ou de compromission.
29. Les autorités de sécurité compétentes au sein du SGC et dans les États membres donnent des instructions sur le transport des ICUE conformément à la présente décision.
À l’intérieur d’un même bâtiment ou d’un groupe autonome de bâtiments
30. Les ICUE transportées à l’intérieur d’un même bâtiment ou d’un groupe autonome de bâtiments sont dissimulées en vue de prévenir l’observation de leur contenu.
31. À l’intérieur d’un même bâtiment ou d’un groupe autonome de bâtiments, les informations classifiées TRÈS SECRET UE/EU TOP SECRET sont transportées dans une enveloppe sécurisée avec pour seule mention le nom du destinataire.
À l’intérieur de l’Union
32. Les ICUE transportées entre des bâtiments ou des locaux à l’intérieur de l’Union européenne sont emballées de manière à être protégées de toute divulgation non autorisée.
33. Le transport d’informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET à l’intérieur de l’Union s’effectue par l’un des moyens suivants:
a) le courrier militaire, gouvernemental ou diplomatique, selon le cas;
b) le transport par porteur, à condition:
i) que le porteur ne se sépare pas des ICUE, à moins que leur stockage ne soit assuré conformément aux règles énoncées à l’annexe II;
ii) que les ICUE ne soit pas déballées pendant le transport ni lues dans des lieux publics;
iii) que la personne soit informée des responsabilités qui lui incombent en matière de sécurité; et
iv) que la personne soit, si nécessaire, munie d’un certificat de courrier.
c) les services postaux ou les services de courrier commercial, à condition:
i) qu’ils soient agréés par l’ANS compétente conformément aux dispositions législatives et réglementaires nationales; et
ii) qu’ils appliquent les mesures de protection appropriées conformément aux exigences minimales qui seront prévues dans les lignes directrices en matière de sécurité arrêtées en vertu de l’article 6, paragraphe 2.
En cas de transport d’un État membre vers un autre État membre, les dispositions du point c) sont limitées aux informations classifiées jusqu’au niveau CONFIDENTIEL UE/EU CONFIDENTIAL.
34. Les informations classifiées RESTREINT UE/EU RESTRICTED peuvent aussi être transportées par des services postaux ou par des services de courrier commercial. Un certificat de courrier n’est pas requis pour le transport de telles informations.
35. Le matériel classifié CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET (par exemple, équipement ou machine) qui ne peut être transporté par les moyens visés au paragraphe 33 est transporté en tant que fret par des sociétés de transport commercial conformément à l’annexe V.
36. Le transport des informations classifiées TRÈS SECRET UE/EU TOP SECRET, entre des bâtiments ou des locaux à l’intérieur de l’Union, s’effectue par courrier militaire, gouvernemental ou diplomatique, selon le cas.
De l’Union vers le territoire d’un État tiers
37. Les ICUE transportées de l’Union vers le territoire d’un État tiers sont emballées de manière à être protégées de toute divulgation non autorisée.
38. Le transport des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET de l’Union vers le territoire d’un État tiers s’effectue par l’un des moyens suivants:
a) le courrier militaire ou diplomatique;
b) le transport par porteur, à condition:
i) que le paquet porte un sceau officiel ou soit emballé de manière à indiquer qu’il s’agit d’un envoi officiel ne devant pas être soumis à contrôle douanier ou de sécurité;
ii) que la personne soit munie d’un certificat de courrier identifiant le paquet et l’autorisant à le transporter;
iii) que le porteur ne se sépare pas des ICUE, à moins que leur stockage ne soit assuré conformément aux règles énoncées à l’annexe II;
iv) que les ICUE ne soit pas déballées pendant le transport ni lues dans des lieux publics; et
v) que la personne soit informée des responsabilités qui lui incombent en matière de sécurité.
39. Le transport des informations CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET communiquées par l’Union à un État tiers ou à une organisation internationale est conforme aux dispositions applicables au titre d’un accord sur la sécurité des informations ou d’un arrangement administratif conclu en vertu de l’article 13, paragraphe 2, point a) ou b).
40. Les informations classifiées RESTREINT UE/EU RESTRICTED peuvent aussi être transportées par des services postaux ou par des services de courrier commercial.
41. Le transport des informations classifiées TRÈS SECRET UE/EU TOP SECRET, de l’Union vers le territoire d’un État tiers, s’effectue par courrier militaire ou diplomatique.
VI. DESTRUCTION DES ICUE
42. Les documents classifiés de l’Union européenne qui ne sont plus nécessaires peuvent être détruits, sans préjudice de la réglementation applicable en matière d’archivage.
43. Les documents faisant l’objet d’un enregistrement en application de l’article 9, paragraphe 2, de la présente décision sont détruits par le bureau d’ordre compétent sur instruction du détenteur ou d’une autorité compétente. Les cahiers d’enregistrement et les autres informations relatives aux enregistrements sont actualisés en conséquence.
44. La destruction de documents classifiés SECRET UE/EU SECRET ou TRÈS SECRET UE/EU TOP SECRET est effectuée en présence d’un témoin justifiant de l’habilitation de sécurité correspondant au moins au niveau de classification du document à détruire.
45. L’agent du bureau d’ordre et le témoin, lorsque la présence de ce dernier est requise, signent un procès-verbal de destruction qui est rempli dans le bureau d’ordre. Le bureau d’ordre conserve les procès-verbaux de destruction des documents TRÈS SECRET UE/EU TOP SECRET pendant dix ans au minimum, et ceux des documents CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET pendant cinq ans au minimum.
46. Les documents classifiés, y compris ceux dont la classification est RESTREINT UE/EU RESTRICTED, sont détruits par des méthodes répondant aux normes de l’Union applicables ou à des normes équivalentes, ou homologuées par les États membres conformément aux normes techniques nationales, pour empêcher leur reconstitution totale ou partielle.
47. La destruction des supports de données informatiques utilisés pour des ICUE s’effectue conformément à l’annexe IV, paragraphe 37.
48. En cas d’urgence, s’il existe un risque imminent de divulgation non autorisée, les ICUE sont détruites par le détenteur de manière à ce qu’elles ne puissent pas être reconstituées en tout ou en partie. L’autorité d’origine et le bureau d’ordre d’origine sont informés de la destruction en urgence d’ICUE enregistrées.
VII. VISITES D’ÉVALUATION
49. Le terme «visite d’évaluation» utilisé ci-après désigne:
a) toute inspection ou visite d’évaluation visée à l’article 9, paragraphe 3, et à l’article 16, paragraphe 2, points e), f) et g); ou
b) toute visite d’évaluation visée à l’article 13, paragraphe 5,
ayant pour but d’évaluer l’efficacité des mesures mises en œuvre pour protéger les ICUE.
50. Les visites d’évaluation sont notamment menées aux fins suivantes:
a) veiller à ce que les normes minimales requises fixées dans la présente décision en matière de protection des ICUE soient respectées;
b) mettre l’accent sur l’importance de la sécurité et d’une gestion efficace des risques au sein des entités inspectées;
c) recommander des contre-mesures pour atténuer l’impact particulier de la perte de confidentialité, d’intégrité ou de disponibilité des informations classifiées; et
d) renforcer les programmes mis en place par les autorités de sécurité en matière de formation et de sensibilisation à la sécurité.
51. Avant la fin de chaque année civile, le Conseil adopte le programme de visites d’évaluation prévu à l’article 16, paragraphe 1, point c), pour l’année suivante. Les dates exactes de chaque visite d’évaluation sont fixées en accord avec l’organe ou l’agence de l’Union, l’État membre, l’État tiers ou l’organisation internationale concerné(e).
Conduite des visites d’évaluation
52. Les visites d’évaluation sont effectuées en vue de contrôler les prescriptions, les réglementations et les procédures applicables dans l’entité visitée et de vérifier que les pratiques en vigueur au sein de l’entité satisfont aux principes de base et aux normes minimales fixés par la présente décision et par les dispositions qui régissent l’échange d’informations classifiées avec cette entité.
53. Les visites d’évaluation se déroulent en deux phases. Avant la visite proprement dite, une réunion préparatoire est organisée, si nécessaire, avec l’entité concernée. À l’issue de cette réunion préparatoire, l’équipe d’évaluation établit, de concert avec ladite entité, un programme de visite détaillé couvrant tous les secteurs de la sécurité. L’équipe d’évaluation devrait avoir accès à tous les lieux, notamment aux bureaux d’ordre et aux points de présence SIC, où sont traitées des ICUE.
54. Les visites d’évaluation effectuées dans les administrations nationales des États membres, dans des États tiers et dans les organisations internationales sont réalisées en totale coopération avec les responsables de l’entité, de l’État tiers ou de l’organisation internationale faisant l’objet de la visite.
55. Les visites d’évaluation effectuées auprès d’organes, d’agences et d’entités de l’Union qui appliquent la présente décision ou les principes y figurant sont menées avec l’aide de spécialistes de l’ANS dans le ressort de laquelle se situe l’organe ou l’agence.
56. Dans le cadre des visites d’évaluation effectuées auprès des organes, agences et entités de l’Union qui appliquent la présente décision ou les principes y figurant, ainsi que dans des États tiers et des organisations internationales, le concours et l’assistance des experts des ANS peuvent être sollicités conformément à des modalités à définir par le comité de sécurité.
Rapports
57. À l’issue de la visite d’évaluation, les principales conclusions et recommandations sont présentées à l’entité ayant fait l’objet de la visite. Un rapport de visite d’évaluation est ensuite établi. Lorsque des mesures correctives et des recommandations ont été proposées, le rapport doit contenir suffisamment d’éléments précis pour étayer les conclusions dégagées. Le rapport est transmis à l’autorité compétente de l’entité ayant fait l’objet de la visite.
58. En ce qui concerne les visites d’évaluation effectuées dans les administrations nationales des États membres:
a) le projet de rapport d’évaluation est transmis à l’ANS concernée afin de vérifier qu’il ne contient pas d’erreur de fait et qu’aucune information d’un niveau de classification supérieur à RESTREINT UE/EU RESTRICTED n’y figure; et
b) sauf si l’ANS de l’État membre en question demande de surseoir à une diffusion générale, les rapports d’évaluation sont diffusés au comité de sécurité. Le rapport est classifié RESTREINT UE/EU RESTRICTED.
Un rapport périodique est établi sous la responsabilité de l’autorité de sécurité du SGC (bureau de sécurité) pour souligner les enseignements qui ont été tirés des visites d’évaluation effectuées dans les États membres au cours d’une période précise et est examiné par le comité de sécurité.
59. En ce qui concerne les visites d’évaluation dans les États tiers et les organisations internationales, le rapport est diffusé au comité de sécurité. Le rapport reçoit, au minimum, la classification RESTREINT UE/EU RESTRICTED. Toute mesure corrective est vérifiée lors d’une visite de suivi et signalée au comité de sécurité.
60. En ce qui concerne les visites d’évaluation effectuées auprès des organes, agences et entités de l’Union qui appliquent la présente décision ou les principes y figurant, les rapports de visite d’évaluation sont diffusés au comité de sécurité. Le projet de rapport de visite d’évaluation est transmis à l’agence ou à l’organe concerné(e) afin de vérifier qu’il ne contient pas d’erreur de fait et qu’aucune information d’un niveau de classification supérieur à RESTREINT UE/EU RESTRICTED n’y figure. Toute mesure corrective est vérifiée lors d’une visite de suivi et signalée au comité de sécurité.
61. L’autorité de sécurité du SGC procède régulièrement à des inspections des entités structurées du SGC aux fins prévues au paragraphe 50.
Liste de contrôle
62. L’autorité de sécurité du SGC (bureau de sécurité) établit et met à jour une liste de contrôle des éléments à vérifier au cours d’une visite d’évaluation. Cette liste de contrôle est transmise au comité de sécurité.
63. Les informations nécessaires pour compléter la liste de contrôle sont obtenues, notamment au cours de la visite, auprès des services chargés de la gestion de la sécurité de l’entité faisant l’objet de l’inspection. Sitôt complétée avec les réponses détaillées obtenues, la liste de contrôle est classifiée en accord avec l’entité inspectée. Elle ne fait pas partie du rapport d’inspection.