1. Les actions menées au titre du programme respectent les règles de sécurité applicables, y compris le droit de l’Union et le droit national, et en particulier en ce qui concerne la protection des informations classifiées contre la divulgation non autorisée. Dans le cas d’actions menées en dehors de l’Union qui utilisent ou produisent des informations classifiées, outre le respect des exigences ci-dessus, ces actions sont soumises à un accord de sécurité conclu entre l’Union et le pays tiers dans lequel l’activité est menée.
2. Le cas échéant, les propositions et les offres que les demandeurs doivent présenter comportent une autoévaluation en matière de sécurité qui recense les éventuels problèmes de sécurité et détaille la manière dont ces problèmes doivent être traités afin de respecter le droit de l’Union et le droit national.
3. Le cas échéant, la Commission ou l’organisme chargé d’exécuter le programme soumet les propositions de financement présentées par les demandeurs qui posent des problèmes de sécurité à un contrôle de sécurité.
4. Le cas échéant, les actions menées au titre du programme respectent la décision (UE, Euratom) 2015/444 de la Commission et ses modalités d’application.
5. Le programme de travail peut aussi prévoir que les entités juridiques établies dans des pays associés et les entités juridiques qui sont établies dans l’Union mais sont contrôlées à partir de pays tiers ne sont pas éligibles pour participer à tout ou partie des actions au titre de l’objectif spécifique 3 ni à des actions axées sur des technologies à double usage potentiel au titre d’un objectif spécifique pour des raisons de sécurité dûment justifiées. En pareils cas, les appels à propositions et les appels d’offres sont limités aux entités juridiques établies ou réputées établies dans les États membres et contrôlées par des États membres ou par des ressortissants d’États membres. Ces restrictions peuvent s’appliquer à l’accès aux capacités déployées dans le cadre de ces appels. Ces restrictions sont proportionnées et ne s’appliquent que lorsque cela est strictement nécessaire.
5 bis.
Le paragraphe 5 ne s’applique pas, en ce qui concerne les entités juridiques établies dans l’Union mais contrôlées à partir de pays tiers, à une action de mise en œuvre du système européen d’alerte en matière de cybersécurité lorsque les deux conditions suivantes sont remplies pour ce qui est de l’action concernée:
a) il existe un risque réel, compte tenu des résultats de la cartographie réalisée en vertu de l’article 9, paragraphe 4, du règlement (UE) 2025/38, que les entités juridiques établies ou réputées établies dans les États membres et contrôlées par des États membres ou par des ressortissants d’États membres ne disposent pas des outils, des infrastructures ou des services nécessaires et suffisants pour que l’action contribue de manière adéquate à l’objectif du système européen d’alerte en matière de cybersécurité;
b) le risque de sécurité lié à une acquisition auprès de ces entités juridiques établies dans l’Union mais contrôlées à partir de pays tiers dans le cadre du système européen d’alerte en matière de cybersécurité est proportionné aux avantages et ne porte pas atteinte aux intérêts essentiels de l’Union et de ses États membres en matière de sécurité.
5 ter.
Le paragraphe 5 ne s’applique pas, en ce qui concerne les entités juridiques établies dans l’Union mais contrôlées à partir de pays tiers, à toute action de mise en œuvre de la réserve de cybersécurité de l’Union lorsque les deux conditions suivantes sont remplies pour ce qui est de l’action concernée:
a) il existe un risque réel, compte tenu des résultats de la cartographie réalisée en vertu de l’article 14, paragraphe 6, du règlement (UE) 2025/38, que les entités juridiques établies ou réputées établies dans les États membres et contrôlées par des États membres ou par des ressortissants d’États membres ne disposent pas des technologies, de l’expertise ou des capacités nécessaires et suffisantes pour que la réserve de cybersécurité de l’Union remplisse ses fonctions de manière adéquate;
b) le risque de sécurité lié à la participation de ces entités juridiques établies dans l’Union mais contrôlées à partir de pays tiers dans le cadre de la réserve de cybersécurité de l’Union est proportionné aux avantages et ne porte pas atteinte aux intérêts essentiels de l’Union et de ses États membres en matière de sécurité.
6. Lorsque cela est dûment justifié pour des raisons de sécurité, le programme de travail peut aussi prévoir que les entités juridiques qui sont établies dans des pays associés et les entités juridiques qui sont établies dans l’Union mais qui sont contrôlées à partir de pays tiers peuvent être éligibles pour participer à tout ou partie des actions au titre des objectifs spécifiques 1, 2 et 6, uniquement si elles se conforment aux exigences qui doivent être respectées par ces entités juridiques en vue de garantir la protection des intérêts essentiels de l’Union et des États membres en matière de sécurité et de garantir la protection des informations dans les documents classifiés. Ces exigences sont énoncées dans le programme de travail.
Le premier alinéa s’applique également, en ce qui concerne les entités juridiques établies dans l’Union mais contrôlées à partir de pays tiers, aux actions menées dans le cadre de l’objectif spécifique 3:
a) pour mettre en œuvre le système européen d’alerte en matière de cybersécurité lorsque le paragraphe 5 bis s’applique; et
b) pour mettre en œuvre la réserve de cybersécurité de l’Union lorsque le paragraphe 5 ter s’applique.
7. Le cas échéant, la Commission ou l’organisme chargé d’exécuter le programme effectue des contrôles de sécurité. Le financement des actions qui ne respectent pas les exigences en matière de sécurité visées dans le présent article peut être suspendu, supprimé ou réduit à tout moment, conformément au règlement financier.