1. Le traitement et la transmission électroniques d’ICUE sont effectués conformément aux chapitres 5 et 6 de la décision (UE, Euratom) 2015/444 de la Commission et à ses modalités d’application.
Les systèmes d’information et de communication détenus par un contractant et utilisés pour traiter des ICUE aux fins de l’exécution du contrat («SIC du contractant») sont soumis à l’agrément de l’autorité d’homologation de sécurité (AHS) compétente. Toute transmission d’ICUE par voie électronique est protégée par des produits cryptographiques approuvés conformément à l’article 36, paragraphe 4, de la décision (UE, Euratom) 2015/444. Des mesures TEMPEST sont mises en œuvre conformément à l’article 36, paragraphe 6, de ladite décision.
2. L’habilitation de sécurité du SIC du contractant qui traite des ICUE au niveau RESTREINT UE/EU RESTRICTED et toute interconnexion y afférente peuvent être déléguées au responsable de la sécurité d’un contractant si les dispositions législatives et réglementaires nationales le permettent. Lorsque cette tâche est déléguée, le contractant est responsable de la mise en œuvre des exigences minimales en matière de sécurité décrites dans l’AS lors du traitement d’informations RESTREINT UE/EU RESTRICTED dans son SIC. Toutefois, les ANS/ASD et AHS compétentes demeurent responsables de la protection des informations RESTREINT UE/EU RESTRICTED traitées par le contractant et conservent le droit de contrôler les mesures de sécurité prises par les contractants. En outre, le contractant fournit au pouvoir adjudicateur et, lorsque les dispositions législatives et réglementaires nationales l’exigent, à l’AHS nationale compétente, une déclaration de conformité attestant que le SIC du contractant et les interconnexions s’y rapportant ont été agréés pour traiter des ICUE au niveau RESTREINT UE/EU RESTRICTED.