1. Les marchés classifiés ne sont attribués qu’à des opérateurs économiques immatriculés dans un État membre, ou à des opérateurs économiques immatriculés dans un pays tiers ou mis en place par une organisation internationale lorsque ce pays tiers ou cette organisation internationale a conclu un accord sur la sécurité des informations avec l’Union européenne ou un arrangement administratif avec la Commission.
2. Avant de lancer une invitation à soumissionner pour un marché classifié, le pouvoir adjudicateur détermine la classification de sécurité de toute information susceptible d’être communiquée aux soumissionnaires. Le pouvoir adjudicateur détermine également la classification de sécurité maximale de toute information produite dans le cadre de l’exécution du contrat, du programme ou du projet, ou prévoit au moins le volume et le type d’informations à produire ou à traiter, ainsi que la nécessité d’un système d’information et de communication (SIC) classifié.
3. Le pouvoir adjudicateur veille à ce que les avis de marché pour les marchés classifiés procurent des informations sur les obligations particulières en matière de sécurité liées aux informations classifiées. L’annexe I contient un modèle d’informations pour les avis de marché.
4. Le pouvoir adjudicateur veille à ce que les informations classifiées RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET ne soient divulguées aux soumissionnaires qu’une fois qu’ils ont signé un accord de confidentialité leur faisant obligation de traiter et de protéger les ICUE conformément à la décision (UE, Euratom) 2015/444 et à ses modalités d’application.
5. Tous les contractants qui doivent traiter ou stocker des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET au sein de leurs établissements, soit pendant l’exécution du contrat classifié lui-même, soit au stade précontractuel, détiennent une HSE au niveau requis. Ci-après sont indiqués les trois cas de figure qui peuvent se présenter au stade de l’appel d’offres pour un marché classifié comportant des ICUE au niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET:
a) aucun accès aux ICUE au niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET au stade de l’appel d’offres:
lorsque l’avis de marché ou l’invitation à soumissionner concerne un contrat qui comportera des informations des ICUE au niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, mais ne requiert pas que le soumissionnaire traite ces informations au stade de l’appel d’offres, un soumissionnaire qui ne détient pas de HSE au niveau requis n’est pas exclu de la procédure de soumission des offres au motif qu’il ne détient pas de HSE;
b) aucun accès aux ICUE au niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET dans les locaux du pouvoir adjudicateur au stade de l’appel d’offres:
l’accès aux informations est accordé au personnel du soumissionnaire qui détient une HSP au niveau requis et qui a un besoin d’en connaître. Avant l’octroi d’un tel accès, le pouvoir adjudicateur vérifie, par l’intermédiaire de l’autorité de sécurité de la Commission, avec l’ANS/ASD concernée, si une HSE est également exigée à ce stade en vertu des dispositions législatives et réglementaires nationales;
c) traitement ou stockage d’ICUE au niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET dans les locaux du soumissionnaire au stade de l’appel d’offres:
lorsque l’avis de marché ou l’invitation à soumissionner exige des soumissionnaires qu’ils traitent ou stockent des ICUE dans leurs locaux, le soumissionnaire détient une HSE au niveau requis. En pareilles circonstances, le pouvoir adjudicateur obtient, par l’intermédiaire de l’autorité de sécurité de la Commission, l’assurance de l’ANS/ASD concernée que le soumissionnaire a obtenu une HSE appropriée. L’accès aux informations est accordé au personnel du soumissionnaire qui détient une HSP au niveau requis et qui a un besoin d’en connaître.
6. En principe, une HSE n’est pas requise pour avoir accès aux informations classifiées RESTREINT UE/EU RESTRICTED, que ce soit au stade de l’appel d’offres ou pour l’exécution du contrat. Lorsque des États membres exigent une HSE pour des contrats ou des contrats de sous-traitance au niveau RESTREINT UE/EU RESTRICTED en vertu de leurs dispositions législatives et réglementaires nationales, comme indiqué à l’annexe IV, ces exigences nationales n’imposent aucune obligation supplémentaire aux autres États membres ou n’excluent pas les soumissionnaires, contractants ou sous-traitants des États membres qui n’imposent pas une telle HSE pour l’accès aux informations RESTREINT UE/EU RESTRICTED issues de contrats/contrats de sous-traitance connexes ou d’une mise en concurrence pour de tels contrats. Ces contrats sont exécutés dans les États membres conformément à leurs dispositions législatives et réglementaires.
7. Lorsqu’une HSE est requise pour l’exécution d’un marché classifié, le pouvoir adjudicateur présente, par l’intermédiaire de l’autorité de sécurité de la Commission, une demande à l’ANS/ASD du contractant au moyen d’une fiche d’information pour habilitation de sécurité d’établissement (FIHSE). L’annexe III, appendice D, contient un exemple de FIHSE. Le marché classifié ne peut être attribué qu’après que l’ANS/ASD du contractant a confirmé l’HSE du soumissionnaire. Il est répondu à la FIHSE, dans la mesure du possible, dans un délai de dix jours ouvrables à compter de la date de la demande.