1. Lors de l’attribution d’un marché classifié, le pouvoir adjudicateur, conjointement avec l’autorité de sécurité de la Commission, veille à ce que les obligations du contractant en matière de protection des ICUE communiquées à ce dernier ou produites dans le cadre de l’exécution du marché fassent partie intégrante du contrat. Les exigences de sécurité propres à un contrat prennent la forme d’une annexe de sécurité (AS). Un modèle d’AS figure à l’annexe III.
2. Avant de signer un contrat classifié, le pouvoir adjudicateur élabore, après consultation de l’autorité de sécurité de la Commission, un guide de la classification de sécurité (GCS) pour les tâches à effectuer et les informations produites dans le cadre de l’exécution du contrat, ou au niveau du programme ou du projet, le cas échéant. Le GCS fait partie de l’AS.
3. Les exigences de sécurité propres à un programme ou un contrat prennent la forme d’instructions de sécurité relatives à un programme (ou un projet) (ISP). Les ISP peuvent être rédigées à l’aide des dispositions du modèle d’AS figurant à l’annexe III. Les ISP sont élaborées par le service de la Commission qui gère le programme ou le projet, en étroite coopération avec l’autorité de sécurité de la Commission et sont soumises pour avis au groupe d’experts sécurité de la Commission. Lorsqu’un contrat relève d’un programme ou d’un projet ayant ses propres ISP, l’AS du contrat doit revêtir une forme simplifiée et comporter une référence aux dispositions de sécurité exposées dans les ISP du programme ou du projet.
4. Le pouvoir adjudicateur est considéré comme l’autorité d’origine des informations classifiées qui sont créées et traitées pour l’exécution du contrat.
5. Le pouvoir adjudicateur, par l’intermédiaire de l’autorité de sécurité de la Commission, informe les ANS/ASD de tous les contractants et sous-traitants de la conclusion de contrats ou de contrats de sous-traitance classifiés et de toute prolongation ou résiliation anticipée de ces contrats ou contrats de sous-traitance. La liste des exigences par pays figure à l’annexe IV.
6. Les contrats comportant des informations classifiées RESTREINT UE/EU RESTRICTED contiennent une clause de sécurité contractuelle rendant contraignantes pour le contractant les dispositions figurant à l’annexe III, appendice E. Ces contrats contiennent une AS exposant, au minimum, les exigences en matière de traitement des informations RESTREINT UE/EU RESTRICTED, y compris les aspects relatifs à l’assurance de l’information et les exigences spécifiques que doit remplir le contractant, agissant par délégation du pouvoir adjudicateur, en vue de l’agrément de son SIC traitant des informations RESTREINT UE/EU RESTRICTED.
7. Lorsque des informations RESTREINT UE/EU RESTRICTED sont communiquées aux soumissionnaires ou à des contractants potentiels, les exigences minimales visées au paragraphe 6 sont mentionnées dans les offres ou dans les accords de confidentialité y afférents au stade de l’appel d’offres.
8. Lorsque les dispositions législatives et réglementaires nationales des États membres l’exigent, les ANS/ASD veillent à ce que les contractants ou sous-traitants relevant de leur juridiction respectent les dispositions applicables en matière de sécurité pour la protection des informations RESTREINT UE/EU RESTRICTED et effectuent des visites de vérification auprès des établissements des contractants situés sur leur territoire. Lorsque l’ANS/ASD n’est pas soumise à une telle obligation, le pouvoir adjudicateur veille à ce que le contractant mette en œuvre les dispositions de sécurité requises énoncées à l’annexe III.