SÉCURITÉ INDUSTRIELLE
I. INTRODUCTION
1. La présente annexe énonce les modalités d’application de l’article 11. Elle prévoit des mesures de sécurité générales applicables aux entités industrielles ou autres dans le cadre de négociations précontractuelles et tout au long du cycle de vie des contrats classifiés attribués par le SGC.
2. Le Conseil approuve des lignes directrices en matière de sécurité industrielle indiquant en particulier les modalités précises en ce qui concerne les HSE, les annexes de sécurité (AS), les visites, la transmission et le transport des ICUE.
II. ASPECTS LIÉS À LA SÉCURITÉ DANS UN CONTRAT CLASSIFIÉ
Guide de la classification de sécurité (GCS)
3. Avant de lancer un appel d’offres en vue de l’attribution d’un contrat classifié ou d’attribuer un tel contrat, le SGC, en sa qualité d’autorité contractante, détermine la classification de sécurité de toute information devant être fournie aux soumissionnaires et aux contractants, ainsi que la classification de sécurité de toute information devant être créée pour le contractant. Dans cette perspective, le SGC élabore un guide de la classification de sécurité (GCS), qui sera utilisé aux fins de l’exécution du contrat.
4. Les principes ci-après sont appliqués pour déterminer le niveau de classification de sécurité des différents éléments d’un contrat classifié:
a) dans le cadre de l’élaboration d’un GCS, le SGC tient compte de tous les aspects pertinents en matière de sécurité, y compris de la classification de sécurité attribuée aux informations fournies et dont l’utilisation aux fins du contrat a été approuvée par l’autorité d’origine desdites informations;
b) le niveau général de classification du contrat ne peut pas être inférieur à la classification la plus élevée de l’un de ses éléments; et
c) le cas échéant, le SGC se met en rapport avec les ANS/ASD ou toute autre autorité de sécurité compétente des États membres dans l’éventualité d’une modification touchant au niveau de classification des informations créées par les contractants ou fournies à ceux-ci dans le cadre de l’exécution d’un contrat et lors de toute modification ultérieure du GCS.
Annexe de sécurité (AS)
5. Les impératifs de sécurité propres à un contrat sont exposés dans une AS. Le cas échéant, l’AS contient le GCS et fait partie intégrante du contrat ou du contrat de sous-traitance classifié.
6. L’AS contient les dispositions imposant au contractant et/ou au sous-traitant de respecter les normes minimales énoncées dans la présente décision. Le non-respect de ces normes minimales peut constituer un motif suffisant de résiliation du contrat.
Instructions de sécurité relatives à un programme/un projet (ISP)
7. En fonction de la portée des programmes ou des projets impliquant l’accès à des ICUE ou leur traitement ou stockage, l’autorité contractante chargée de gérer le projet ou le programme considéré peut élaborer des ISP. Les ISP doivent être approuvées par les ANS/ASD ou toute autre autorité de sécurité compétente des États membres associées aux ISP et peuvent contenir d’autres exigences en matière de sécurité.
III. HABILITATION DE SÉCURITÉ D’ÉTABLISSEMENT (HSE)
8. Une HSE est délivrée par l’ANS/ASD ou toute autre autorité de sécurité compétente d’un État membre afin d’indiquer, conformément aux dispositions législatives et réglementaires nationales, que l’entité industrielle ou autre est en mesure, au sein de ses établissements, de garantir aux ICUE la protection adaptée au niveau de classification approprié (CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET). La HSE est communiquée au SGC, en sa qualité d’autorité contractante, avant que le contractant ou le sous-traitant ou un contractant ou un sous-traitant potentiel ne se voie communiquer des ICUE ou accorder un accès aux ICUE.
9. Lorsqu’elle délivre une HSE, l’ANS/ASD compétente veille au minimum à:
a) évaluer l’intégrité de l’entité industrielle ou autre;
b) évaluer les éléments relatifs à la propriété et au contrôle de l’entité ainsi que toute possibilité d’influence indue pouvant être considérés comme constituant un risque de sécurité;
c) vérifier que l’entité industrielle ou toute autre entité a mis en place un système de sécurité dans ses établissements, qui comporte toutes les mesures de sécurité appropriées pour protéger des informations ou du matériel classifiés CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET conformément aux prescriptions de la présente décision;
d) vérifier que le statut en matière de sécurité des directeurs, des propriétaires et des employés qui doivent avoir accès à du matériel classifié CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET a été établi conformément aux prescriptions de la présente décision; et
e) vérifier que l’entité industrielle ou toute autre entité a nommé un officier de sécurité d’établissement qui est responsable vis-à-vis de sa direction du respect des obligations en matière de sécurité au sein de l’entité.
10. S’il y a lieu, le SGC, en sa qualité d’autorité contractante, avertit l’ANS/ASD ou toute autre autorité de sécurité compétente qu’une HSE est nécessaire dans la phase précontractuelle ou pour l’exécution du contrat. Une HSE ou une HSP est requise dans la phase précontractuelle lorsque des ICUE CONFIDENTIEL UE/EU CONFIDENTAL ou SECRET UE/EU SECRET doivent être fournies dans la phase de soumission des offres.
11. L’autorité contractante n’attribue pas de contrat classifié au soumissionnaire sélectionné tant que l’ANS/ASD ou toute autre autorité de sécurité compétente de l’État membre dans lequel le contractant ou le soumissionnaire concerné est immatriculé, ne lui a pas confirmé qu’une HSE appropriée a été délivrée.
12. L’ANS/ASD ou toute autre autorité de sécurité compétente ayant délivré une HSE notifie au SGC, en sa qualité d’autorité contractante, les modifications éventuellement apportées à ladite HSE. Dans le cadre d’un contrat de sous-traitance, l’ANS/ASD ou toute autre autorité de sécurité compétente en est informée.
13. Le retrait d’une HSE par l’ANS/ASD concernée ou toute autre autorité de sécurité compétente constitue pour le SGC, en sa qualité d’autorité contractante, un motif suffisant pour résilier un contrat classifié ou exclure un soumissionnaire de la procédure d’appel d’offres.
IV. CONTRATS ET CONTRATS DE SOUS-TRAITANCE CLASSIFIÉS
14. Lorsque des ICUE sont communiquées à un soumissionnaire durant la phase précontractuelle, l’appel d’offres contient une disposition prévoyant que le soumissionnaire qui ne présente pas d’offre ou qui n’est pas sélectionné sera tenu de restituer tous les documents classifiés dans un délai spécifié.
15. Une fois qu’un contrat ou un contrat de sous-traitance classifié a été attribué, le SGC, en sa qualité d’autorité contractante, notifie les dispositions en matière de sécurité que comporte le contrat classifié à l’ANS/ASD ou à toute autre autorité de sécurité compétente dont relève le contractant ou le sous-traitant.
16. Lorsqu’il est mis fin à un tel contrat, le SGC, en sa qualité d’autorité contractante, (et/ou l’ANS/ASD ou toute autre autorité de sécurité compétente, selon qu’il conviendra, dans le cas d’un contrat de sous-traitance) avertit immédiatement l’ANS/ASD ou toute autre autorité de sécurité compétente de l’État membre dans lequel le contractant ou le sous-traitant est immatriculé.
17. En principe, le contractant ou le sous-traitant est tenu de restituer à l’autorité contractante les ICUE en sa possession, dès que le contrat ou le contrat de sous-traitance classifié arrive à expiration.
18. Des dispositions spéciales concernant l’élimination d’ICUE durant l’exécution du contrat ou à son expiration figurent dans l’AS.
19. Lorsque le contractant ou le sous-traitant est autorisé à conserver des ICUE après l’expiration d’un contrat, les normes minimales figurant dans la présente demeurent d’application et la confidentialité des ICUE est protégée par le contractant ou le sous-traitant.
20. Les conditions dans lesquelles le contractant peut sous-traiter des activités sont définies dans l’appel d’offres et le contrat.
21. Un contractant doit obtenir l’autorisation du SGC, en sa qualité d’autorité contractante, avant de pouvoir sous-traiter des éléments d’un contrat classifié. Aucun contrat de sous-traitance ne peut être attribué à des entités industrielles ou autres immatriculées dans un État non membre de l’Union européenne n’ayant pas conclu avec l’Union un accord sur la sécurité des informations.
22. Il incombe au contractant de veiller à ce que toutes les activités de sous-traitance soient réalisées en conformité avec les normes minimales définies dans la présente décision et de s’abstenir de fournir des ICUE à un sous-traitant sans l’autorisation écrite préalable de l’autorité contractante.
23. En ce qui concerne les ICUE créées ou traitées par le contractant ou le sous-traitant, les droits qui incombent à l’autorité d’origine sont exercés par l’autorité contractante.
V. VISITES LIÉES À DES CONTRATS CLASSIFIÉS
24. Lorsque le personnel du SGC, des contractants ou des sous-traitants doit avoir accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET dans leurs locaux respectifs aux fins de l’exécution d’un contrat classifié, les visites sont organisées en liaison avec les ANS/ASD ou toute autre autorité de sécurité compétente concernée. Toutefois, dans le cadre de projets spécifiques, les ANS/ASD peuvent également convenir d’une procédure selon laquelle ces visites peuvent être organisées directement.
25. Tous les visiteurs sont en possession d’une HSP adéquate et jouissent d’un accès aux ICUE liées au contrat attribué par le SGC sur la base du principe du besoin d’en connaître.
26. Les visiteurs se voient uniquement accorder l’accès aux ICUE liées à l’objectif de la visite.
VI. TRANSMISSION ET TRANSPORT DES ICUE
27. En ce qui concerne la transmission des ICUE par voie électronique, les dispositions pertinentes de l’article 10 et de l’annexe IV s’appliquent.
28. En ce qui concerne le transport d’ICUE, les dispositions pertinentes de l’annexe III s’appliquent, conformément aux dispositions législatives et réglementaires nationales.
29. En ce qui concerne le transport de matériel classifié en tant que fret, les principes ci-après s’appliquent pour déterminer les mesures de sécurité à mettre en œuvre:
a) la sécurité est assurée à tous les stades pendant le transport, du point d’origine jusqu’à la destination finale;
b) le degré de protection accordé à un envoi est déterminé en fonction du niveau de classification le plus élevé du matériel qu’il contient;
c) une HSE du niveau approprié est obtenue pour les sociétés assurant le transport. En pareil cas, le personnel manipulant l’envoi fait l’objet d’une habilitation de sécurité conformément à l’annexe I;
d) avant tout transfert transfrontalier de matériel classifié CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, un plan de transport est établi par l’expéditeur et approuvé par les ANS/ASD ou toute autre autorité de sécurité compétente concernées;
e) les trajets sont directs dans la mesure du possible, et aussi rapides que les circonstances le permettent; et
f) chaque fois que cela est possible, les itinéraires ne devraient passer que par des États membres. Les itinéraires passant par des États autres que les États membres ne devraient être suivis qu’à condition d’avoir été autorisés par l’ANS/ASD ou toute autre autorité de sécurité compétente des États de l’expéditeur et du destinataire.
VII. TRANSFERT D’ICUE AUX CONTRACTANTS ÉTABLIS DANS DES ÉTATS TIERS
30. Les ICUE sont transférées aux contractants et sous-traitants établis dans des États tiers conformément aux mesures de sécurité convenues entre le SGC, en sa qualité d’autorité contractante, et l’ANS/ASD de l’État tiers concerné dans lequel le contractant est immatriculé.
VIII. INFORMATIONS CLASSIFIÉES RESTREINT UE/EU RESTRICTED
31. En liaison, s’il y a lieu, avec l’ANS/ASD de l’État membre, le SGC, en sa qualité d’autorité contractante, est habilité à effectuer des inspections dans les établissements des contractants/sous-traitants, en vertu de dispositions contractuelles, afin de vérifier que les mesures de sécurité adaptées pour la protection des ICUE de niveau RESTREINT UE/EU RESTRICTED ont été mises en place, comme l’exige le contrat.
32. Dans la mesure où cela est nécessaire en vertu des dispositions légales et réglementaires nationales, les ANS/ASD, ou toute autre autorité de sécurité compétente, doivent être informées par le SGC, en sa qualité d’autorité contractante, des contrats ou des contrats de sous-traitance contenant des informations classifiées RESTREINT UE/EU RESTRICTED.
33. Les contractants ou sous-traitants et leur personnel ne sont pas tenus d’être en possession d’une HSE ou d’une HSP pour les contrats attribués par le SGC et comportant des informations classifiées RESTREINT UE/EU RESTRICTED.
34. Le SGC, en sa qualité d’autorité contractante, examine les réponses aux appels d’offres portant sur des contrats nécessitant l’accès à des informations classifiées RESTREINT UE/EU RESTRICTED, nonobstant les exigences en matière d’HSE ou d’HSP pouvant être prévues par les dispositions législatives et réglementaires nationales.
35. Les conditions régissant la sous-traitance d’activités par un contractant sont conformes au paragraphe 21.
36. Lorsqu’un contrat prévoit le traitement d’informations classifiées RESTREINT UE/EU RESTRICTED dans un SIC exploité par un contractant, le SGC, en sa qualité d’autorité contractante, veille à ce que les exigences techniques et administratives à remplir concernant l’homologation du SIC soient précisées dans le contrat ou tout contrat de sous-traitance; ces exigences sont proportionnées au risque évalué, compte tenu de tous les facteurs pertinents. La portée de l’homologation dudit SIC est décidée d’un commun accord par l’autorité contractante et l’ANS/ASD compétente.