2000Q3614 — FR — 27.07.2004 — 005.001

Ce document constitue un outil de documentation et n’engage pas la responsabilité des institutions

►B RÈGLEMENT INTÉRIEUR DE LA COMMISSION [C(2000) 3614] (JO L 308, 8.12.2000, p.26)

Modifié par:









▼B

RÈGLEMENT INTÉRIEUR DE LA COMMISSION

[C(2000) 3614]







LA COMMISSION DES COMMUNAUTÉS EUROPÉENNES, vu le traité instituant la Communauté européenne du charbon et de l'acier, et notamment son article 16, vu le traité instituant la Communauté européenne, et notamment son article 218, paragraphe 2, vu le traité instituant la Communauté européenne de l'énergie atomique, et notamment son article 131, vu le traité sur l'Union européenne, et notamment son article 28, paragraphe 1, et son article 41, paragraphe 1, ADOPTE LE PRÉSENT RÈGLEMENT INTÉRIEUR:







CHAPITRE PREMIER

LA COMMISSION

Article premier

La Commission agit en collège conformément aux dispositions du présent règlement et dans le respect des orientations politiques définies par son président.

Article 2

Dans le respect des orientations politiques définies par son président, la Commission fixe ses priorités et adopte chaque année son programme de travail.

Article 3

Le président peut attribuer aux membres de la Commission des domaines d'activité particuliers pour lesquels ils sont spécifiquement responsables de la préparation des travaux de la Commission et de l'exécution de ses décisions. Il peut également, à tout moment, modifier les attributions ainsi décidées.

Le président peut constituer parmi les membres de la Commission des groupes de travail dont il désigne le président.

Le président assure la représentation de la Commission. Il désigne les membres de la Commission chargés de l'assister dans cette fonction.

Article 4

Les décisions de la Commission sont acquises:

a) en réunion ou

b) par procédure écrite suivant les dispositions de l'article 12 ou

c) par procédure d'habilitation suivant les dispositions de l'article 13 ou

d) par procédure de délégation suivant les dispositions de l'article 14.







Section I

Les réunions de la Commission

Article 5

La Commission est convoquée en réunion par le président.

En règle générale, la Commission se réunit au moins une fois par semaine. Elle se réunit en outre chaque fois que cela est nécessaire.

Les membres de la Commission sont tenus d'assister à la totalité des réunions. Le président juge de toute situation qui pourrait les conduire à ne pas respecter cette obligation.

Article 6

Le président arrête l'ordre du jour de chaque réunion de la Commission en tenant compte notamment du programme de travail mentionné à l'article 2.

Sans préjudice du pouvoir du président d'arrêter l'ordre du jour, toute proposition impliquant des dépenses significatives doit être présentée en accord avec le membre de la Commission chargé du budget.

Toute question dont un membre de la Commission propose l'inscription à l'ordre du jour doit être communiquée au président moyennant, sauf cas exceptionnel, un préavis de neuf jours.

L'ordre du jour et les documents de travail nécessaires sont communiqués aux membres de la Commission dans les délais et dans les langues de travail fixés par celle-ci, conformément à l'article 25.

Toute question dont un membre de la Commission demande le retrait de l'ordre du jour est reportée, avec l'accord du président, à la réunion suivante.

La Commission peut, sur proposition de son président, délibérer sur une question non inscrite à l'ordre du jour ou au sujet de laquelle les documents de travail nécessaires ont été distribués tardivement. Elle peut décider à la majorité de ne pas délibérer sur une question inscrite à l'ordre du jour.

Article 7

Le nombre de membres dont la présence est nécessaire pour que la Commission délibère valablement est égal à la majorité du nombre des membres prévu par le traité.

Article 8

La Commission décide sur proposition d'un ou de plusieurs de ses membres.

La Commission procède à un vote sur demande d'un de ses membres. Ce vote porte sur la proposition initiale ou sur une proposition modifiée par le ou les membres responsables ou par le président.

Les décisions de la Commission sont acquises à la majorité du nombre des membres prévu par le traité. Cette majorité est requise quels que soient le sens et la nature de la décision.

Article 9

Les réunions de la Commission ne sont pas publiques. Les débats sont confidentiels.

Article 10

Sauf décision contraire de la Commission, le secrétaire général assiste aux réunions. Les modalités d'application du présent règlement déterminent les conditions dans lesquelles d'autres personnes sont autorisées à assister aux réunions.

En cas d'absence d'un membre de la Commission, son chef de cabinet peut assister à la réunion et, à l'invitation du président, y exposer l'opinion du membre absent.

La Commission peut décider d'entendre toute autre personne.

Article 11

Il est établi un procès-verbal de chaque réunion de la Commission.

Les projets de procès-verbaux sont soumis à l'approbation de la Commission au cours d'une réunion ultérieure. Les procès-verbaux approuvés sont authentifiés par les signatures du président et du secrétaire général.







Section II

Les autres procédures décisionnelles

Article 12

L'accord des membres de la Commission sur une proposition émanant de l'un ou de plusieurs d'entre eux peut être constaté par une procédure écrite, sous réserve qu'elle ait reçu l'accord des directions générales directement associées et l'avis favorable du service juridique.

À cet effet, le texte de la proposition est communiqué par écrit à tous les membres de la Commission, dans les langues fixées par celle-ci conformément à l'article 25, avec le délai imparti pour faire connaître les réserves ou amendements éventuellement suscités par la proposition.

Tout membre de la Commission peut demander au cours de la procédure écrite que la proposition fasse l'objet d'un débat. Il adresse alors au président une demande motivée en ce sens.

Une proposition sur laquelle aucun membre de la Commission n'a formulé ou maintenu une réserve à l'issue du délai imparti pour une procédure écrite est réputée adoptée par la Commission. Il est pris acte des propositions adoptées dans une note journalière dont il est fait mention au procès-verbal de la réunion de la Commission la plus proche.

Article 13

La Commission peut, à condition que le principe de sa responsabilité collégiale soit pleinement respecté, habiliter un ou plusieurs de ses membres à prendre des mesures de gestion ou d'administration, en son nom et dans les limites et conditions qu'elle fixe.

La Commission peut également charger un ou plusieurs de ses membres, en accord avec le président, d'adopter le texte définitif d'un acte ou d'une proposition à soumettre aux autres institutions, dont elle a défini la substance lors de ses délibérations.

Les compétences ainsi attribuées peuvent faire l'objet d'une subdélégation aux directeurs généraux et chefs de service, sauf interdiction expresse figurant dans la décision d'habilitation.

Les dispositions des premier, deuxième et troisième alinéas s'appliquent sans préjudice des règles relatives aux délégations en matière financière et aux pouvoirs dévolus à l'autorité investie du pouvoir de nomination et à l'autorité habilitée à conclure les contrats d'engagement.

Article 14

La Commission peut, à condition que le principe de sa responsabilité collégiale soit pleinement respecté, déléguer l'adoption de mesures de gestion ou d'administration aux directeurs généraux et chefs de service en son nom et dans les limites et conditions qu'elle fixe.

Article 15

Il est pris acte des décisions adoptées par la procédure d'habilitation et de délégation dans une note journalière dont il est fait mention au procès-verbal de la réunion de la Commission la plus proche.







Section III

Préparation et exécution des décisions de la Commission

Article 16

Les membres de la Commission peuvent constituer des cabinets chargés de les assister dans l'accomplissement de leurs tâches et dans la préparation des décisions de la Commission.

Pour l'exécution des tâches qui lui sont assignées, le membre de la Commission responsable donne ses instructions aux services concernés.

Article 17

Le secrétaire général assiste le président dans la préparation des travaux et des réunions de la Commission. Il assiste également les présidents des groupes de travail créés conformément à l'article 3, deuxième alinéa, dans la préparation et la tenue des réunions de ces groupes.

Il assure la mise en œuvre des procédures décisionnelles et veille à l'exécution des décisions visées à l'article 4.

Il assure la coordination nécessaire entre les services au cours des travaux préparatoires et veille à l'observation des règles de présentation des documents soumis à la Commission.

Il prend les mesures nécessaires pour assurer la notification et la publication au Journal officiel des Communautés européennes des actes de la Commission ainsi que la transmission aux autres institutions des Communautés européennes des documents de la Commission et de ses services.

Il assure les relations officielles avec les autres institutions des Communautés européennes, sous réserve des compétences que la Commission décide d'exercer elle-même ou d'attribuer à ses membres ou à ses services. Il suit les travaux des autres institutions des Communautés européennes et en informe la Commission.

Article 18

Les actes adoptés en réunion sont joints de façon indissociable, dans la ou les langues dans lesquelles ils font foi, à une note récapitulative établie dès la fin de la réunion de la Commission au cours de laquelle ils ont été adoptés. Ces actes sont authentifiés par les signatures du président et du secrétaire général apposées à la dernière page de la note récapitulative.

Les actes adoptés par la procédure écrite sont joints de façon indissociable, dans la ou les langues dans lesquelles ils font foi, à la note journalière mentionnée à l'article 12. Ces actes sont authentifiés par la signature du secrétaire général apposée à la dernière page de la note journalière.

Les actes adoptés par la procédure d'habilitation sont joints de façon indissociable, dans la ou les langues dans lesquelles ils font foi, à la note journalière mentionnée à l'article 15. Ces actes sont authentifiés par la signature du secrétaire général apposée à la dernière page de la note journalière.

Les actes adoptés par la procédure de délégation ou par subdélégation conformément à l'article 13, troisième alinéa, sont joints de façon indissociable, dans la ou les langues dans lesquelles ils font foi, à la note journalière mentionnée à l'article 15. Ces actes sont authentifiés par une déclaration d'autocertification signée par le directeur général ou le chef de service.

Au sens du présent règlement, on entend par «actes» les actes revêtant une des formes prévues à l'article 14 du traité CECA, à l'article 249 du traité CE et à l'article 161 du traité Euratom.

Au sens du présent règlement, on entend par «langues faisant foi» toutes les langues officielles des Communautés lorsqu'il s'agit d'actes de portée générale et, pour les autres, celles de leurs destinataires.







CHAPITRE II

LES SERVICES DE LA COMMISSION

Article 19

La Commission dispose, pour préparer et mettre en œuvre son action, d'un ensemble de services, structurés en directions générales et services assimilés.

En principe, les directions générales et services assimilés sont articulés en directions, les directions en unités.

Article 20

Pour répondre à des besoins particuliers, la Commission peut créer des structures spécifiques chargées de missions précises et dont elle détermine les attributions et les modalités de fonctionnement.

Article 21

Pour assurer l'efficacité de l'action de la Commission, les services travaillent en coopération étroite et de façon coordonnée pour l'élaboration ou la mise en œuvre des décisions.

Avant qu'un document ne soit soumis à la Commission, le service responsable consulte en temps utile les services associés ou intéressés en vertu des domaines de compétence, des attributions ou en raison de la nature des affaires et informe le secrétariat général de tout lancement de consultation lorsque celui-ci ne fait pas partie des services consultés. La consultation du service juridique est obligatoire sur tous les projets d'actes et de propositions d'actes juridiques ainsi que sur tous les documents pouvant avoir une incidence juridique. La consultation des directions générales chargées des budgets, du personnel et de l'administration est obligatoire sur tous les documents ayant une incidence éventuelle respectivement sur le budget, les finances, le personnel et l'administration. Il en est de même, en tant que de besoin, pour la direction générale chargée du contrôle financier.

Le service responsable s'efforce d'établir une proposition recueillant l'accord des services consultés. Sans préjudice des dispositions de l'article 12, il doit faire accompagner sa proposition, en cas de désaccord, des avis divergents de ces services.







CHAPITRE III

LES SUPPLÉANCES

Article 22

Les fonctions du président sont exercées, en cas d'empêchement de celui-ci, par un vice-président ou un membre choisi dans l'ordre arrêté par la Commission.

Article 23

Les fonctions du secrétaire général sont exercées, en cas d'empêchement de celui-ci, par le secrétaire général adjoint ou, à défaut, par un fonctionnaire désigné par la Commission.

Article 24

Le directeur général empêché est suppléé par le directeur général adjoint présent le plus ancien, et à ancienneté égale le plus âgé ou, lorsque cette fonction n'existe pas, par un fonctionnaire désigné par la Commission. À défaut d'une telle désignation, la suppléance est exercée par le subordonné présent le plus ancien, et à ancienneté égale le plus âgé, dans la catégorie et le grade les plus élevés.

Le chef d'unité empêché est suppléé par le chef d'unité adjoint, lorsqu'une telle fonction existe.

Tout autre supérieur hiérarchique empêché est suppléé par un fonctionnaire désigné par le directeur général, en accord avec le membre de la Commission responsable. À défaut d'une telle désignation, la suppléance est exercée par le subordonné présent le plus ancien, et à ancienneté égale le plus âgé, dans la catégorie et le grade les plus élevés.







DISPOSITIONS FINALES

Article 25

La Commission détermine, dans la mesure nécessaire, les modalités d'application du présent règlement.

La Commission peut adopter des mesures supplémentaires concernant le fonctionnement de la Commission et de ses services, qu'elle annexe au présent règlement.

Article 26

Le règlement intérieur du 18 septembre 1999, modifié par la décision 2000/633/CE, CECA, Euratom, est abrogé.

Article 27

Le présent règlement intérieur entre en vigueur le 1er janvier 2001.

Article 28

Le présent règlement intérieur est publié au Journal officiel des Communautés européennes.









ANNEXE

CODE DE BONNE CONDUITE ADMINISTRATIVE POUR LE PERSONNEL DE LA COMMISSION EUROPÉENNE DANS SES RELATIONS AVEC LE PUBLIC

Service de qualité

Il est du devoir de la Commission et de son personnel de servir l'intérêt communautaire et, partant, l'intérêt public.

Le public est en droit d'attendre un service de qualité et une administration ouverte, accessible et gérée correctement.

Un service de qualité implique que la Commission et son personnel fassent preuve de courtoisie, d'objectivité et d'impartialité.

Objet

Afin de permettre à la Commission de remplir ses obligations de bonne conduite administrative, en particulier dans ses relations avec le public, la Commission s'engage à respecter les critères de bonne conduite administrative énoncés dans le présent code et à être guidée par ceux-ci dans son travail quotidien.

Champ d'application

Le présent code lie tout membre du personnel couvert par le statut des fonctionnaires des Communautés européennes et le régime applicable aux autres agents de ces Communautés (ci-après dénommés «le statut») et les autres dispositions concernant les relations entre la Commission et son personnel qui sont applicables aux fonctionnaires et autres agents. Toutefois, le personnel sous contrat de droit privé, les experts nationaux détachés, les stagiaires et autres personnes travaillant pour la Commission devraient également s'y référer dans leur travail quotidien.

Les relations entre la Commission et son personnel sont exclusivement régies par le statut.

1. PRINCIPES GÉNÉRAUX DE BONNE ADMINISTRATION

La Commission respecte, dans ses relations avec le public, les principes généraux suivants:

Légalité La Commission agit conformément au droit et applique les règles et procédures établies par la législation communautaire.

Non-discrimination et égalité de traitement La Commission respecte le principe de non-discrimination et, en particulier, garantit au public l'égalité de traitement sans distinction fondée sur la nationalité, le sexe, l'origine raciale ou ethnique, la religion ou les convictions, un handicap, l'âge ou l'orientation sexuelle. En conséquence, toute différence de traitement dans des cas semblables doit être expressément justifiée par la nature particulière de chaque cas.

Proportionnalité La Commission veille à ce que les mesures prises soient proportionnées à l'objectif visé. En particulier, la Commission veillera à ce que l'application du présent code n'impose en aucun cas des charges administratives et budgétaires disproportionnées par rapport au bénéfice attendu.

Cohérence La Commission est cohérente dans sa conduite administrative et se conforme à sa pratique habituelle. Toute exception à ce principe doit être dûment justifiée.

2. LIGNES DIRECTRICES POUR UNE BONNE CONDUITE ADMINISTRATIVE

Objectivité et impartialité

Le personnel agit en toutes circonstances de manière objective et impartiale, dans l'intérêt de la Communauté et du bien public. Son action s'effectue en toute indépendance dans le cadre d'une politique déterminée par la Commission, et sa conduite n'est en aucun cas guidée par des intérêts personnels ou nationaux ni par des pressions politiques.

Renseignements sur les procédures administratives

En présence d'une demande de renseignements touchant à une procédure administrative de la Commission, le personnel veille à ce que ces renseignements soient communiqués au demandeur dans le délai fixé pour ladite procédure.

3. INFORMATIONS SUR LES DROITS DES PARTIES CONCERNÉES

Audition de toutes les parties directement intéressées

Lorsque le droit communautaire prévoit l'audition des parties intéressées, le membre du personnel responsable veille à leur donner l'occasion de faire connaître leur point de vue.

Obligation de motiver les décisions

Toute décision de la Commission devrait indiquer clairement les motifs sur lesquels elle est fondée et être portée à la connaissance des personnes et parties concernées.

En règle générale, une motivation complète doit être fournie. Toutefois, des réponses types peuvent être données lorsqu'il ne s'avère pas possible de communiquer de manière détaillée les motifs d'une décision individuelle, par exemple en raison du grand nombre de personnes concernées par des décisions similaires. Les réponses types doivent inclure les principaux éléments justifiant la décision prise. En outre, une partie intéressée qui en fait expressément la demande doit obtenir une motivation détaillée.

Obligation d'indiquer les voies de recours

Lorsque le droit communautaire le prévoit, les décisions notifiées indiquent clairement la possibilité d'un recours ainsi que les moyens de le présenter (nom et adresse administrative de la personne ou du service auprès desquels il doit être introduit et délai à respecter).

Le cas échéant, les décisions doivent mentionner la possibilité de former un recours juridictionnel et/ou de déposer une plainte auprès du médiateur européen, conformément aux dispositions de l'article 230 ou de l'article 195 du traité instituant la Communauté européenne.

4. TRAITEMENT DES DEMANDES

La Commission s'engage à répondre aux demandes du public de la façon la plus appropriée et dans les meilleurs délais.

Demandes de documents

Si le document demandé est déjà publié, le demandeur est orienté vers les points de vente de l'Office des publications officielles des Communautés européennes ou vers les centres de documentation ou d'information qui permettent un accès gratuit aux documents, tels que les Info-points, les centres de documentation européenne, etc. En outre, de nombreux documents sont aisément accessibles sous forme électronique.

Les règles relatives à l'accès aux documents font l'objet d'une mesure spécifique.

Correspondance

Conformément à l'article 21 du traité instituant la Communauté européenne, la Commission répond aux lettres qu'elle reçoit dans la langue de la correspondance initiale, à condition qu'il s'agisse de l'une des langues officielles de la Communauté.

La réponse à une lettre adressée à la Commission est envoyée dans les quinze jours ouvrables à compter de la date de réception de la lettre par le service compétent de la Commission. La réponse mentionne le nom de la personne responsable du dossier et indique comment la joindre.

Si la réponse ne peut être envoyée dans les quinze jours ouvrables et dans tous les cas où une réponse nécessite des travaux complémentaires, tels qu'une consultation interservices ou une traduction, le membre du personnel chargé du dossier envoie une réponse d'attente, qui indique une date à laquelle le destinataire peut escompter obtenir une réponse en fonction des travaux complémentaires nécessaires et compte tenu de l'urgence relative et de la complexité de la question.

Si la réponse doit être établie par un service autre que le service destinataire de la correspondance initiale, le demandeur doit être informé du nom et de l'adresse administrative de la personne à qui sa lettre a été transmise.

Ces dispositions ne sont pas applicables à la correspondance qui peut raisonnablement être considérée comme abusive parce que répétitive, outrageuse et/ou sans objet. La Commission se réserve alors le droit de cesser tout échange de correspondance.

Communications téléphoniques

Tout membre du personnel est tenu de s'identifier ou d'identifier son service au téléphone et de répondre aux appels le plus rapidement possible.

Le membre du personnel sollicité fournit lui-même des renseignements sur les sujets qui relèvent directement de sa compétence et oriente son interlocuteur vers la source spécifique qui convient dans les autres cas. Si nécessaire, il adresse son interlocuteur à son supérieur hiérarchique ou consulte celui-ci avant de fournir l'information.

Pour un sujet qui relève directement de sa compétence, le membre du personnel s'enquiert de l'identité de son interlocuteur et vérifie si l'information a déjà été rendue publique avant de la divulguer. Dans la négative, le membre du personnel peut estimer qu'il n'est pas dans l'intérêt de la Communauté de la divulguer. Il explique alors pourquoi il n'est pas en mesure de la révéler et se réfère, si les circonstances le justifient, à l'obligation de discrétion énoncée à l'article 17 du statut.

S'il y a lieu, le membre du personnel demande une confirmation écrite des questions posées par téléphone.

Courrier électronique

Le personnel répond rapidement aux messages électroniques, selon les lignes directrices de la section relative aux communications téléphoniques.

Toutefois, dans les cas où un message électronique, de par sa nature, peut être assimilé à une lettre, il doit être traité selon les lignes directrices concernant la correspondance et dans les mêmes délais.

Demandes émanant des médias

Le service «presse et communication» est responsable des relations avec les médias. Toutefois, lorsqu'une demande d'information porte sur des sujets techniques découlant de sa responsabilité particulière, le membre du personnel sollicité peut y répondre.

5. PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL ET DES INFORMATIONS CONFIDENTIELLES

La Commission et son personnel veillent au respect, notamment:

— des règles relatives à la protection de la vie privée et des données à caractère personnel,

— des obligations prévues à l'article 287 du traité instituant la Communauté européenne, et notamment celles qui concernent le secret professionnel,

— des règles relatives au secret des enquêtes pénales,

— de la confidentialité des sujets relevant des divers comités et instances visés à l'article 9 et aux annexes II et III du statut.

6. PLAINTES

La Commission européenne

En cas de non-respect des principes énoncés dans le présent code, une plainte peut être déposée directement auprès du secrétariat général ( 1 ) de la Commission européenne, qui la transmet au service compétent.

Le directeur général ou chef de service répond au plaignant par écrit dans un délai de deux mois. Le plaignant dispose alors d'un délai d'un mois pour solliciter auprès du secrétaire général de la Commission le réexamen de sa plainte. Le secrétaire général répond à cette demande de réexamen dans un délai d'un mois.

Le Médiateur européen

Une plainte peut également être déposée auprès du Médiateur européen, conformément à l'article 195 du traité instituant la Communauté européenne et au statut du Médiateur européen.

▼M1

DISPOSITIONS DE LA COMMISSION EN MATIÈRE DE SÉCURITÉ

Considérant ce qui suit:

(1) Afin de développer les activités de la Commission dans des domaines qui requièrent un certain degré de confidentialité, il convient de mettre en place un système de sécurité global applicable à la Commission, aux autres institutions, aux instances, bureaux et agences établis en vertu ou sur la base du traité CE ou du traité sur l'Union européenne, aux États membres ainsi qu'à tout autre destinataire d'informations classifiées de l'Union européenne, ci-après dénommées «informations classifiées de l'UE».

(2) Afin d'assurer l'efficacité du système de sécurité ainsi créé, la Commission limitera la communication d'informations classifiées de l'UE aux seuls organismes extérieurs qui offrent des garanties démontrant qu'ils ont pris toutes les mesures nécessaires à l'application de règles strictement équivalentes à celles des présentes dispositions.

(3) Les présentes dispositions sont arrêtées sans préjudice du règlement no 3 du Conseil de la CEEA du 31 juillet 1958 portant application de l'article 24 du traité instituant la Communauté européenne de l'énergie atomique ( 2 ), du règlement (Euratom, CEE) no 1588/90 du Conseil du 11 juin 1990 relatif à la transmission à l'Office statistique des Communautés européennes d'informations statistiques couvertes par le secret ( 3 ) ni de la décision C(95) 1510 final de la Commission du 23 novembre 1995 relative à la protection des systèmes d'information.

(4) Afin d'assurer le bon fonctionnement du processus de décision au sein de l'Union, la Commission élabore son système de sécurité sur la base des principes énoncés dans la décision 2001/264/CE du Conseil du 19 mars 2001 adoptant le règlement de sécurité du Conseil ( 4 ).

(5) La Commission souligne combien il est important d'associer, le cas échéant, les autres institutions à la réglementation et aux normes de confidentialité qui sont nécessaires pour protéger les intérêts de l'Union et de ses États membres.

(6) La Commission reconnaît la nécessité de créer son propre concept de sécurité, en tenant compte de tous les éléments relatifs à la sécurité et du caractère spécifique de la Commission en tant qu'institution.

(7) Les présentes dispositions sont arrêtées sans préjudice de l'article 255 du traité, ni du règlement (CE) no 1049/2001 du Parlement européen et du Conseil du 30 mai 2001 relatif à l'accès du public aux documents du Parlement européen, du Conseil et de la Commission ( 5 ),







Article premier

Les règles en matière de sécurité figurent à l'annexe.

Article 2

1. Le membre de la Commission chargé des questions de sécurité prend les mesures appropriées pour faire en sorte que, lors du traitement d'informations classifiées de l'UE, les règles visées à l'article 1er soient respectées au sein de la Commission par ses fonctionnaires et autres agents comme par le personnel détaché auprès de la Commission, ainsi que dans tous les lieux de travail de la Commission, y compris ses représentations et bureaux dans l'Union et ses délégations dans les pays tiers, et également par les contractants extérieurs de la Commission.

2. Les États membres, les autres institutions ainsi que les instances, bureaux et agences établis en vertu ou sur la base des traités pourront recevoir des informations classifiées de l'UE pourvu qu'ils veillent à ce que des règles strictement équivalentes à celles visées à l'article 1er soient appliquées, dans leurs services et leurs locaux, au traitement de telles informations, notamment par:

a) les membres des représentations permanentes des États membres auprès de l'Union européenne ainsi que par les membres des délégations nationales assistant à des réunions de la Commission ou de ses instances, ou participant à d'autres activités de la Commission;

b) les autres membres des administrations nationales des États membres qui traitent des informations classifiées de l'UE, qu'ils soient affectés sur le territoire des États membres ou à l'étranger;

c) les contractants extérieurs et le personnel détaché qui traitent des informations classifiées de l'UE.

Article 3

Les pays tiers, organisations internationales et autres organismes pourront recevoir des informations classifiées de l'UE pourvu qu'ils assurent, dans le traitement de ces informations, le respect de règles strictement équivalentes à celles visées à l'article 1er.

Article 4

Dans le respect des principes de base et des normes minimales de sécurité figurant dans la partie I de l'annexe, le membre de la Commission chargé des questions de sécurité peut prendre des mesures conformément à la partie II de l'annexe.

Article 5

À compter de leur date d'application, les présentes dispositions remplacent:

a) la décision C(94) 3282 de la Commission du 30 novembre 1994 relative aux mesures de sécurité applicables aux informations classifiées produites ou transmises dans le cadre des activités de l'Union européenne;

b) la décision C(1999) 423 de la Commission du 25 février 1999 relative aux modalités selon lesquelles les fonctionnaires et agents de la Commission européenne peuvent être autorisés à avoir accès à des informations classifiées détenues par la Commission.

Article 6

À compter de la date d'application des présentes dispositions, toutes les informations classifiées détenues par la Commission jusqu'à cette date, à l'exception des informations classées Euratom sont:

a) lorsqu'elles ont été créées par la Commission, considérées comme reclassifiées par défaut dans la catégorie «RESTREINT UE», à moins que leur auteur ne décide de leur attribuer une autre classification au plus tard le 31 janvier 2002. Dans ce dernier cas, l'auteur informe tous les destinataires du document concerné;

b) lorsqu'elles ont été créées par des personnes extérieures à la Commission, maintenues dans leur classification originelle et donc traitées comme des informations classifiées de l'UE du même niveau, à moins que l'auteur n'accepte de les déclassifier ou de les déclasser.









ANNEXE

RÈGLES EN MATIÈRE DE SÉCURITÉ

Sommaire PARTIE I: PRINCIPES DE BASE ET NORMES MINIMALES DE SÉCURITÉ 1. INTRODUCTION 2. PRINCIPES GÉNÉRAUX 3. FONDEMENTS D'UNE BONNE SÉCURITÉ 4. PRINCIPES RELATIFS À LA SÉCURITÉ DES DONNÉES 4.1. Objectifs 4.2. Définitions 4.3. Classification 4.4. Objectifs des mesures de sécurité 5. ORGANISATION DE LA SÉCURITÉ 5.1. Normes minimales communes 5.2. Organisation 6. MESURES DE SÉCURITÉ RELATIVES AU PERSONNEL 6.1. Habilitations de sécurité 6.2. Registres des habilitations de sécurité du personnel 6.3. Formation du personnel dans le domaine de la sécurité 6.4. Responsabilités du personnel d'encadrement 6.5. Statut du personnel en matière de sécurité 7. SÉCURITÉ PHYSIQUE 7.1. Exigences en matière de protection 7.2. Contrôles 7.3. Sécurité des bâtiments 7.4. Plans d'urgence 8. SÉCURITÉ DES INFORMATIONS 9. PROTECTION CONTRE LE SABOTAGE OU TOUT AUTRE ACTE INTENTIONNEL DE DÉTÉRIORATION 10. COMMUNICATIONS D'INFORMATIONS CLASSIFIÉES À DES PAYS TIERS OU À DES ORGANISATIONS INTERNATIONALES PARTIE II: ORGANISATION DE LA SÉCURITÉ AU SEIN DE LA COMMISSION 11. LE MEMBRE DE LA COMMISSION CHARGÉ DES QUESTIONS DE SÉCURITÉ 12. LE GROUPE CONSULTATIF DE LA COMMISSION SUR LA POLITIQUE DE SÉCURITÉ 13. LE COMITÉ DE SÉCURITÉ DE LA COMMISSION 14. LE BUREAU DE SÉCURITÉ DE LA COMMISSION 15. INSPECTIONS DE SÉCURITÉ 16. CLASSIFICATIONS; TIMBRES ET IDENTIFIANTS DE SÉCURITÉ 16.1. Degrés de classification 16.2. Identifiants de sécurité 16.3. Timbres 16.4. Apposition de la classification 16.5. Apposition des identifiants de sécurité 17. POLITIQUE EN MATIÈRE DE CLASSIFICATION 17.1. Généralités 17.2. Détermination de la classification 17.3. Déclassement et déclassification 18. SÉCURITÉ PHYSIQUE 18.1. Généralités 18.2. Exigences de sécurité 18.3. Mesures physiques de sécurité 18.3.1. Zones de sécurité 18.3.2. Zone administrative 18.3.3. Contrôle des entrées et des sorties 18.3.4. Rondes 18.3.5. Meubles de sécurité et chambres fortes 18.3.6. Serrures 18.3.7. Contrôle des clés et combinaisons 18.3.8. Dispositifs de détection des intrusions 18.3.9. Matériels agréés 18.3.10. Protection physique des photocopieuses et des télécopieurs 18.4. Protection contre la néglicence et les écoutes clandestines 18.4.1. Protection contre les regards 18.4.2. Protection contre les écoutes 18.4.3. Introduction d'appareils électroniques et de matériel d'enregistrement 18.5. Zones protégées sur le plan technique 19. RÈGLES GÉNÉRALES RELATIVES AU BESOIN D'EN CONNAÎTRE ET AUX HABILITATIONS DE SÉCURITÉ DU PERSONNEL DE L'UE 19.1. Généralités 19.2. Règles spécifiques concernant l'accès aux informations classifiées TRÈS SECRET UE 19.3. Règles spécifiques concernant l'accès aux informations classifiées TRÈS SECRET UE et CONFIDENTIEL UE 19.4. Règles spécifiques concernant l'accès aux informations classifiées RESTREINT UE 19.5. Mutations 19.6. Instructions spéciales 20. PROCÉDURE D'HABILITATION DE SÉCURITÉ POUR LES FONCTIONNAIRES ET AUTRES AGENTS DE LA COMMISSION 21. PRÉPARATION, RÉPARTITION, TRANSMISSION, MESURES DE SÉCURITÉ RELATIVES AUX COURRIERS, EXEMPLAIRES SUPPLÉMENTAIRES, TRADUCTIONS ET EXTRAITS DE DOCUMENTS CLASSIFIÉS DE L'UE 21.1. Préparation 21.2. Diffusion 21.3. Transmission/transport de documents classifiés de l'UE 21.3.1. Emballages et récépissés 21.3.2. Transmission au sein d'un bâtiment ou d'un groupe de bâtiments 21.3.3. Transmission à l'intérieur d'un même pays 21.3.4. Transmission d'un État à un autre 21.3.5. Transmission/transport de documents classifiés de l'UE 21.4. Mesures de sécurité relatives aux courriers 21.5. Transmission par voie électronique ou d'autres moyens techniques 21.6. Exemplaires supplémentaires et traductions et extraits de documents classifiés de l'UE 22. BUREAUX D'ORDRE, REGROUPEMENTS, CONTRÔLES, ARCHIVAGE ET DESTRUCTION DE DOCUMENTS CLASSIFIÉS DE L'UE 22.1. Bureaux d'ordre locaux chargés des documents classifiés de l'UE 22.2. Le bureau d'ordre TRÈS SECRET UE 22.2.1. Généralités 22.2.2. Le bureau d'ordre central TRÈS SECRET UE 22.2.3. Bureaux d'ordre TRÈS SECRET UE subordonnés 22.3. Inventaires, regroupements et contrôles de documents classifiés de l'UE 22.4. Archivage d'informations classifiées de l'UE 22.5. Destruction des documents classifiés de l'UE 22.6. Destruction en cas d'urgence 23. MESURES DE SÉCURITÉ À APPLIQUER À L'OCCASION DES RÉUNIONS SPÉCIFIQUES TENUES EN DEHORS DES LOCAUX DE LA COMMISSION ET METTANT EN JEU DES INFORMATIONS CLASSIFIÉES DE L'UE 23.1. Généralités 23.2. Les responsabilités 23.2.1. Le bureau de sécurité de la Commission 23.2.2. Le responsable de la sécurité de la réunion 23.3 Mesures de sécurité 23.3.1. Zones de sécurité 23.3.2. Laissez-passer 23.3.3. Contrôle des appareils photographiques et des appareils d'enregistrement 23.3.4. Contrôle des porte-documents, ordinateurs portatifs et paquets 23.3.5. Sécurité technique 23.3.6. Documents des délégations 23.3.7. Conservation des documents en lieu sûr 23.3.8. Vérification des bureaux 23.3.9. Élimination des rebuts classifiés de l'UE 24. INFRACTIONS À LA SÉCURITÉ ET COMPROMISSION DES INFORMATIONS CLASSIFIÉES DE L'UE 24.1. Définitions 24.2. Dénonciation des infractions à la sécurité 24.3. Actions en justice 25. PROTECTION DES INFORMATIONS CLASSIFIÉES DE L'UE TRANSITANT PAR DES SYSTÈMES DE COMMUNICATION ET D'INFORMATION 25.1. Introduction 25.1.1. Généralités 25.1.2. Vulnérabilité des systèmes et menaces éventuelles 25.1.3. But principal des mesures de sécurité 25.1.4. Énoncé des impératifs de sécurité propres à un système (SSRS) 25.1.5. Modes d'exploitation de sécurité 25.2. Définitions 25.3. Responsabilités en matière de sécurité 25.3.1. Généralités 25.3.2. L'autorité d'homologation de sécurité (SAA) 25.3.3. L'autorité INFOSEC (IA) 25.3.4. Le propriétaire des systèmes techniques (TSO) 25.3.5. Le propriétaire de l'information (IO) 25.3.6. Utilisateurs 25.3.7. Formation INFOSEC 25.4. Mesures de sécurité non techniques 25.4.1. Sécurité du personnel 25.4.2. Sécurité physique 25.4.3. Contrôle des accès à un système 25.5. Mesures de sécurité techniques 25.5.1. Sécurité des informations 25.5.2. Contrôle et comptabilisation des informations 25.5.3. Manipulation et contrôle des supports amovibles 25.5.4. Déclassification et destruction des supports informatiques 25.5.5. Sécurité des communications 25.5.6. Mesures de sécurité concernant l'installation et le rayonnement 25.6. Sécurité pendant le traitement 25.6.1. Procédures d'exploitation de sécurité (SecOP) 25.6.2. Protection et gestion de la configuration des logiciels 25.6.3. Détection de la présence de logiciels malveillants ou de virus informatiques 25.6.4. Maintenance 25.7. Acquisition 25.7.1. Généralités 25.7.2. Homologation 25.7.3. Évaluation et certification 25.7.4. Contrôle systématique des dispositifs de sécurité pour la prorogation de l'homologation 25.8. Utilisation temporaire ou occasionnelle 25.8.1. Sécurité des micro-ordinateurs et ordinateurs individuels 25.8.2. Utilisation de matériel TI personnel pour un travail officiel dans le cadre de la Commission 25.8.3. Utilisation de matériel TI appartenant à un contractant ou fourni par un pays pour un travail officiel dans le cadre de la Commission 26. COMMUNICATION D'INFORMATIONS CLASSIFIÉES DE L'UE À DES PAYS TIERS OU À DES ORGANISATIONS INTERNATIONALES 26.1.1. Principes régissant la communication d'informations classifiées de l'UE 26.1.2. Les niveaux 26.1.3. Accords de sécurité Appendice 1: Tableau comparatif des classifications de sécurité nationales Appendice 2: Guide pratique de la classification Appendice 3: Lignes directrices concernant la communication d'informations classifiées de l'UE à des États tiers ou à des organisations internationales Niveau 1 de coopération Appendice 4: Lignes directrices concernant la communication d'informations classifiées de l'UE à des États tiers ou à des organisations internationales Niveau 2 de coopération Appendice 5: Lignes directrices concernant la communication d'informations classifiées de l'UE à des États tiers ou à des organisations internationales Niveau 3 de coopération Appendice 6: Liste des abréviations

PARTIE I: PRINCIPES DE BASE ET NORMES MINIMALES DE SÉCURITÉ

1. INTRODUCTION

Les présentes règles définissent les principes de base et les normes minimales de sécurité à observer comme il convient par la Commission dans tous ses lieux de travail ainsi que par tout destinataire d'informations classifiées de l'UE, de manière à assurer la sécurité et de sorte que chacun puisse avoir la certitude qu'une norme de protection commune est établie.

2. PRINCIPES GÉNÉRAUX

La politique de sécurité de la Commission fait partie intégrante de sa politique de gestion interne générale et est par conséquent basée sur les principes régissant sa politique générale.

Ces principes comprennent la légalité, la transparence, la responsabilité et la subsidiarité (proportionnalité).

Par légalité on entend la nécessité de maintenir strictement dans le cadre juridique l'exécution des fonctions de sécurité, ainsi que la nécessité de se conformer aux exigences légales. Les dispositions du statut des fonctionnaires et autres agents s'appliquent pleinement, en particulier son article 17 concernant l'obligation de discrétion à l'égard des informations de la Commission et son titre VI concernant les mesures disciplinaires. Ce concept implique également que les responsabilités en matière de sécurité doivent s'appuyer sur des dispositions juridiques appropriées. Enfin, il implique que les manquements aux règles de sécurité commis dans les domaines de responsabilité de la Commission doivent être traités conformément à la politique de la Commission en matière d'actions disciplinaires et à sa politique de coopération avec les États membres dans le domaine de la justice pénale.

Par «transparence» on entend la nécessité d'établir des règles et dispositions de sécurité universellement caractérisées par leur clarté et d'assurer l'équilibre entre les différents services et les différents domaines (sécurité physique par opposition à protection des données, etc.) ainsi que la nécessité d'une politique cohérente et structurée de sensibilisation à la sécurité. Ce concept implique également la nécessité de disposer d'orientations écrites claires pour la mise en œuvre des mesures de sécurité.

Par responsabilité, on entend la nécessité non seulement de définir clairement les responsabilités dans le domaine de la sécurité, mais également de contrôler régulièrement si ces responsabilités ont été correctement exécutées.

Par subsidiarité, ou proportionnalité, on entend que la sécurité doit être organisée dès le plus bas niveau possible et au plus près des directions générales et des services de la Commission. Ce concept implique également la nécessité de limiter les actions de sécurité aux éléments pour lesquelles elles se justifient véritablement. Il signifie enfin que les mesures de sécurité doivent être proportionnelles aux intérêts à protéger et aux menaces réelles ou potentielles qui pèsent sur ces intérêts, de manière à en organiser la protection dans des conditions imposant le moins de perturbations possible.

3. FONDEMENTS D'UNE BONNE SÉCURITÉ

Un système de sécurité fiable a pour fondements:

a) au sein de chaque État membre, une organisation nationale de sécurité qui assure: 1) la collecte et l'enregistrement des données de renseignement concernant l'espionnage, le sabotage, le terrorisme ou d'autres activités subversives, et 2) la communication au gouvernement et, par l'intermédiaire de ce dernier, à la Commission, d'informations sur la nature des menaces qui pèsent sur la sécurité et de conseils sur les moyens de s'en protéger;

b) au sein de chaque État membre et au sein de la Commission, une autorité technique INFOSEC (IA) chargée de travailler avec l'autorité responsable de la sécurité concernée pour fournir des informations sur les menaces d'ordre technique pesant sur la sécurité et des conseils sur les moyens de s'en protéger;

c) une collaboration régulière entre les services gouvernementaux et les services compétents de la Commission, pour déterminer et recommander, selon ce qui convient: 1) les personnes, informations les ressources à protéger; 2) les normes communes de protection.

d) une étroite collaboration entre, d'une part, le bureau de sécurité de la Commission et, d'autre part, les services de sécurité des autres institutions européennes et le bureau de sécurité de l'OTAN (NOS).

4. PRINCIPES RELATIFS À LA SÉCURITÉ DES DONNÉES

4.1. Objectifs

La sécurité des données a pour objectifs principaux:

a) la sauvegarde des informations classifiées de l'UE contre l'espionnage, la compromission ou la divulgation non autorisée;

b) la sauvegarde des informations de l'UE faisant l'objet de communications et transitant par des systèmes et réseaux d'information contre les menaces pesant sur leur confidentialité, leur intégrité et leur disponibilité;

c) la sauvegarde des locaux de la Commission abritant des informations de l'UE contre les tentatives de sabotage et les actes intentionnels de détérioration;

d) en cas d'échec, l'évaluation du dommage causé, la limitation de ses conséquences et l'adoption des mesures correctives nécessaires.

4.2. Définitions

Aux fins des présentes règles, on entend par:

a) «informations classifiées de l'UE», tout matériel et toute information dont la divulgation non autorisée porterait atteinte à des degrés divers aux intérêts de l'UE, ou à ceux d'un ou plusieurs de ses États membres, que ces informations aient leur origine à l'intérieur de l'UE ou dans les États membres, des États tiers ou des organisations internationales;

b) «document», toute lettre, note, compte rendu, rapport, mémorandum, signal/message, croquis, photographie, diapositive, film, carte, graphique, plan, cahier ou carnet, stencil, papier carbone, ruban de machine à écrire ou d'imprimante, bande magnétique, cassette, disque informatique, CD-ROM, ou autre support physique sur lequel des informations sont enregistrées;

c) «matériel», les «documents» définis au point b) ci-dessus et tout élément d'équipement déjà fabriqué ou en cours de fabrication.

d) «besoin d'en connaître» la nécessité, pour un employé, d'accéder à des informations classifiées de l'UE pour pouvoir s'acquitter d'une fonction ou d'une tâche donnée;

e) «autorisation» une décision par laquelle le président de la Commission permet à un individu d'accéder à des informations classifiées de l'UE jusqu'à un niveau donné, sur la base du résultat positif d'une enquête de sécurité (procédure d'habilitation) effectuée par une autorité nationale de sécurité conforme au droit national;

f) «classification» l'attribution d'un niveau de sécurité approprié à une information dont la divulgation non autorisée serait susceptible de causer un certain préjudice aux intérêts de la Commission ou de ses États membres;

g) «déclassement» («downgrading»), une diminution du degré de la classification;

h) «déclassification» («declassification») la suppression de toute mention de classification;

i) «autorité d'origine» l'auteur, dûment autorisé, d'un document classifié; à la Commission, les chefs de service peuvent autoriser leur personnel à délivrer une classification.

j) «services de la Commission» les unités et services de la Commission, dont les cabinets, dans tous les lieux de travail, y compris le Centre commun de recherche, les représentations et bureaux de la Commission dans l'Union et les délégations dans les pays tiers.

4.3. Classification

a) En matière de confidentialité, prudence et expérience sont nécessaires pour choisir les informations et matériels à protéger et évaluer le degré de protection à assurer. Celui-ci — et il s'agit là d'un aspect fondamental — doit être en rapport avec l'importance que revêtent, du point de vue de la sécurité, les informations et matériels à protéger. Afin d'assurer la bonne circulation des informations, des mesures doivent être prises pour éviter tant la surclassification que la sous-classification.

b) Le système de classification constitue l'instrument qui permet de mettre en œuvre ces principes; il convient d'adopter un système similaire pour la planification et l'organisation des mesures de lutte contre l'espionnage, le sabotage, le terrorisme et d'autres menaces de façon à protéger au mieux les installations les plus importantes contenant des informations classifiées et, à l'intérieur de ces installations, les éléments les plus sensibles.

c) L'autorité d'origine de l'information est seule responsable de sa classification.

d) La détermination du degré de classification se fonde exclusivement sur le contenu de l'information concernée.

e) Lorsqu'un certain nombre de renseignements sont regroupés, le degré de classification appliqué à l'ensemble est au moins égal au degré le plus élevé de classification des parties. On peut néanmoins attribuer à un groupement d'informations une classification plus élevée que celle de ses composantes.

f) Les classifications sont attribuées uniquement en cas de nécessité et maintenues aussi longtemps que nécessaire.

4.4. Objectifs des mesures de sécurité

Les mesures de sécurité doivent:

a) s'appliquer à toutes les personnes ayant accès à des informations classifiées, aux moyens de transmission des informations classifiées, à tous les locaux contenant de telles informations et aux installations importantes;

b) être conçues de façon à permettre de repérer les personnes dont l'emploi pourrait nuire à la sécurité des informations classifiées et des installations importantes contenant de telles informations, et de les exclure ou de les changer de poste;

c) empêcher toute personne non autorisée à avoir accès à des informations classifiées et aux installations qui en contiennent;

d) permettre de veiller à ce que la diffusion des informations classifiées repose exclusivement sur le principe du besoin d'en connaître, fondamental pour tous les aspects de la sécurité;

e) permettre d'assurer l'intégrité (c'est-à-dire empêcher l'altération, ou la modification ou la destruction non autorisées) et la disponibilité (c'est-à-dire que l'accès ne soit pas refusé aux personnes qui ont besoin de consulter les informations et qui y sont autorisées) de toutes les informations, classifiées ou non, et en particulier des informations stockées, traitées ou transmises par voie électromagnétique.

5. ORGANISATION DE LA SÉCURITÉ

5.1. Normes minimales communes

La Commission veille à ce que les normes minimales communes en matière de sécurité soient observées par tout destinataire d'une information classifiée de l'UE, interne et relevant de sa compétence, comme par exemple les services et les contractants de la Commission, de sorte que l'on ait la certitude que toute information classifiée de l'UE sera traitée par tous avec les mêmes précautions. Ces normes minimales doivent comprendre les critères applicables à l'habilitation du personnel et les mesures à prendre pour la protection des informations classifiées de l'UE.

L'accès à des informations classifiées de l'UE ne peut être autorisé par la Commission à des organismes extérieurs que pour autant qu'ils observent, dans la manipulation de telles informations, des dispositions qui soient au moins strictement équivalentes aux présentes normes minimales.

5.2. Organisation

Au sein de la Commission, la sécurité est organisée à deux niveaux:

a) à l'échelle de la Commission dans son ensemble, il existe un Bureau de sécurité de la Commission associé à une autorité d'homologation de sécurité (SAA) qui joue également le rôle d'autorité Crypto (CrA) et d'autorité TEMPEST, à une autorité INFOSEC (IA) ainsi qu'à un ou plusieurs bureaux d'ordre centraux pour les informations classifiées de l'UE comptant chacun un ou plusieurs agents contrôleurs (RCO).

b) au niveau des services de la Commission, la sécurité est confiée à un ou plusieurs responsables locaux de sécurité (LSO), un ou plusieurs responsables centraux de la sécurité informatique (CISO), des responsables locaux de la sécurité informatique et des bureaux d'ordre locaux pour les informations classifiées de l'UE comptant chacun un ou plusieurs agents contrôleurs.

c) Les organes centraux de sécurité fournissent aux organes locaux des instructions opérationnelles.

6. MESURES DE SÉCURITÉ RELATIVES AU PERSONNEL

6.1. Habilitations de sécurité

Toute personne devant avoir accès à des informations classifiées CONFIDENTIEL UE ou au-dessus, doit au préalable justifier d'une habilitation de sécurité appropriée. Une habilitation similaire est exigée pour les personnes dont les fonctions consistent à assurer l'exploitation et la maintenance technique de systèmes de communication et d'information contenant des informations classifiées. Cette habilitation devra permettre d'établir si:

a) la personne concernée est d'une loyauté à toute épreuve;

b) sa personnalité et sa discrétion sont telles que son intégrité ne puisse être mise en doute dès lors qu'elle aura accès à des informations classifiées;

c) elle est susceptible de céder aux pressions que pourraient exercer des sources étrangères ou autres.

Une attention toute particulière devra être accordée au processus d'habilitation de personnes qui:

d) doivent avoir accès à des informations TRÈS SECRET UE/EU TOP SECRET;

e) occupent des postes nécessitant l'accès régulier à de nombreuses informations SECRET EU;

f) auxquelles leurs fonctions confèrent un accès spécial aux systèmes de communication ou d'information protégés et qui ont donc la possibilité d'accéder sans autorisation à un grand nombre d'informations classifiées de l'UE ou de compromettre gravement la mission par des actes de sabotage technique.

Dans les cas visés aux points d), e) et f), il faut faire appel au maximum aux méthodes d'enquête sur les antécédents.

Lorsqu'une personne n'ayant pas nécessairement le «besoin d'en connaître» doit être employée dans une fonction susceptible de lui donner accès à des informations classifiées de l'UE (par exemple, messager, agent de sécurité, personnel de maintenance ou de nettoyage), elle doit, au préalable, posséder l'habilitation appropriée.

6.2. Registres des habilitations de sécurité du personnel

Tout service de la Commission ayant à traiter des informations classifiées de l'UE ou hébergeant des systèmes de communication ou d'information protégés doit tenir un registre des habilitations accordées à cet effet à son personnel. Chaque habilitation doit être vérifiée, en fonction des circonstances, afin de s'assurer qu'elle est conforme aux niveaux de classification des informations et matériels que son bénéficiaire aura à traiter; une nouvelle vérification devient prioritaire chaque fois qu'une information nouvelle laisse à penser que le maintien de la personne concernée dans un poste donnant accès à des informations classifiées n'est plus compatible avec la sécurité. Le responsable local de sécurité du service de la Commission tient le registre des habilitations du domaine placé sous son contrôle.

6.3. Formation du personnel dans le domaine de la sécurité

Toute personne occupant un poste qui peut lui donner accès à des informations classifiées doit recevoir, lors de son entrée en fonction puis à intervalles réguliers, un exposé très complet des mesures de sécurité nécessaires et des procédures en vigueur à cet égard. Il est obligatoire que tous ces membres du personnel certifient par écrit avoir pleinement compris les règles de sécurité applicables à leur poste.

6.4. Responsabilités du personnel d'encadrement

Il incombe au personnel d'encadrement de savoir quels sont les membres du personnel qui traitent des informations classifiées ou qui ont accès à des systèmes de communication ou d'information protégés, de prendre note des incidents ou vulnérabilités manifestes pouvant avoir des répercussions sur le plan de la sécurité, et de les signaler.

6.5. Statut du personnel en matière de sécurité

Il convient d'établir des procédures permettant, si des renseignements défavorables viennent à être communiqués à propos d'une personne donnée, de déterminer si cette personne occupe une fonction nécessitant l'accès à des informations classifiées, ou si elle a accès à des systèmes de communication ou d'information protégés, et d'informer le Bureau de sécurité de la Commission. S'il s'avère que cette personne présente un risque pour la sécurité, elle doit être renvoyée ou écartée des fonctions dans lesquelles elle risquerait de nuire à la sécurité.

7. SÉCURITÉ PHYSIQUE

7.1. Exigences en matière de protection

Le degré de sécurité physique à mettre en œuvre pour assurer la protection des informations classifiées de l'UE doit être proportionnel à la classification des informations et matériels détenus et à leur volume, ainsi qu'à la menace à laquelle ils sont exposés. Tous les détenteurs d'informations classifiées de l'UE doivent se conformer à des règles normalisées de classification et respecter des critères de protection communs concernant la garde, la transmission et la destruction d'informations et matériels devant être protégés.

7.2. Contrôles

Avant de laisser sans surveillance un secteur contenant des informations classifiées de l'UE, les personnes en ayant la garde doivent s'assurer qu'elles sont en sécurité et que tous les dispositifs de sécurité (fermetures, alarmes, etc.) sont enclenchés. Des contrôles supplémentaires doivent être effectués par d'autres agents en dehors des heures de bureau.

7.3. Sécurité des bâtiments

Les bâtiments contenant des informations classifiées de l'UE ou des systèmes de communication et d'information protégés doivent être défendus contre l'accès des personnes non autorisées. La nature de cette défense (par exemple fenêtres à barreaux, portes verrouillables, présence de gardes aux entrées, systèmes de contrôle d'entrée automatiques, inspections et patrouilles de sécurité, systèmes d'alarme, systèmes de détection des intrusions et chiens de garde) est fonction des paramètres suivants:

a) classification, volume et localisation dans le bâtiment concerné des informations et matériels à protéger;

b) qualité des meubles de sécurité contenant ces informations et matériels;

c) caractéristiques techniques et situation du bâtiment.

De même, la nature de la protection accordée aux systèmes de communication et d'information est fonction de l'évaluation de la valeur des informations et matériels en jeu et des dommages potentiels en cas de compromission de la sécurité, des caractéristiques techniques et de la situation du bâtiment qui héberge le système concerné, ainsi que de la localisation du système dans le bâtiment.

7.4. Plans d'urgence

Il faut établir à l'avance des plans détaillés, destinés à protéger les informations classifiées en cas d'urgence liée à la situation locale ou nationale.

8. SÉCURITÉ DES INFORMATIONS

La sécurité des informations (INFOSEC) a trait à la détermination et à l'application des mesures de sécurité permettant de protéger les informations classifiées de l'UE traitées, stockées ou transmises par des systèmes de communication, d'information et autres systèmes électroniques contre les atteintes à la confidentialité, à l'intégrité ou à la disponibilité de ces informations, que celles-ci soient accidentelles ou intentionnelles. Il convient de prendre des mesures préventives appropriées afin d'empêcher que des utilisateurs non autorisés accèdent à des informations classifiées de l'UE et que des utilisateurs autorisés se voient refuser l'accès à ces informations, et afin d'en empêcher l'altération, la modification ou la destruction non autorisées.

9. PROTECTION CONTRE LE SABOTAGE OU TOUT AUTRE ACTE INTENTIONNEL DE DÉTÉRIORATION

Les précautions physiques sont le moyen le plus efficace d'assurer la sécurité et la protection des installations importantes qui contiennent des informations classifiées contre le sabotage ou tout autre acte intentionnel de détérioration; la seule habilitation du personnel ne saurait s'y substituer efficacement. C'est à l'organisme national responsable de la sécurité qu'il incombe de fournir les renseignements ayant trait à des activités d'espionnage, de sabotage, de terrorisme et à d'autres activités subversives.

10. COMMUNICATION D'INFORMATIONS CLASSIFIÉES À DES PAYS TIERS OU À DES ORGANISATIONS INTERNATIONALES

Il appartient au collège des membres de la Commission d'autoriser la communication à un État tiers ou à une organisation internationale d'informations classifiées de l'UE émanant de la Commission. Si l'autorité d'origine des informations à communiquer n'est pas la Commission, celle-ci doit au préalable lui demander son consentement. Au cas où l'autorité d'origine ne peut être identifié, la Commission en assume la responsabilité.

Si la Commission reçoit des informations classifiées de pays tiers, d'organisations internationales ou d'autres tiers, celles-ci reçoivent une protection conforme à leur classification et correspondant aux normes établies dans les présentes dispositions relatives aux informations classifiées de l'UE, ou correspondant aux normes plus strictes qui pourraient être exigées par le tiers qui communique ces informations. Des contrôles réciproques peuvent être prévus.

Les principes susmentionnés sont appliqués conformément aux dispositions détaillées figurant dans la partie II, section 26, et dans les appendices 3, 4 et 5.

PARTIE II: ORGANISATION DE LA SÉCURITÉ AU SEIN DE LA COMMISSION

11. LE MEMBRE DE LA COMMISSION CHARGÉ DES QUESTIONS DE SÉCURITÉ

Le membre de la Commission chargé des questions de sécurité:

a) applique la politique de sécurité de la Commission;

b) examine les problèmes de sécurité qui lui sont soumis par la Commission ou ses instances compétentes;

c) examine les questions impliquant des changements dans la politique de sécurité de la Commission, en étroite liaison avec les autorités nationales de sécurité (ou autres autorités appropriées) des États membres (ci-après dénommées «ANS»).

Le membre de la Commission chargé des questions de sécurité est notamment responsable:

a) de coordonner toutes les questions de sécurité liées aux activités de la Commission;

b) de demander aux ANS des États membres de fournir les habilitations de sécurité intéressant le personnel employé au SGC conformément à la section 20;

c) d'enquêter ou d'ordonner une enquête sur toute fuite concernant les informations classifiées de l'UE qui, d'après les premiers indices, se serait produite à partir de la Commission;

d) de demander aux autorités de sécurité compétentes d'ouvrir une enquête lorsqu'une fuite concernant des informations classifiées de l'UE semble s'être produite en dehors de la Commission et de coordonner les enquêtes lorsqu'elles impliquent plus d'une autorité de sécurité;

e) de procéder périodiquement à l'inspection des dispositions de sécurité destinées à assurer la protection des informations classifiées de l'UE;

f) de rester en liaison étroite avec toutes les autorités de sécurité concernées dans l'intérêt d'une coordination globale de la sécurité;

g) de réexaminer constamment l'organisation et les procédures de sécurité de la Commission et, le cas échéant, de préparer les recommandations qui s'imposent. À cet égard, le membre de la Commission chargé des questions de sécurité présente à la Commission le plan annuel d'inspection préparé par le service de sécurité de la Commission.

12. LE GROUPE CONSULTATIF DE LA COMMISSION SUR LA POLITIQUE DE SÉCURITÉ

Un groupe consultatif sur la politique de sécurité est établi au sein de la Commission. Celui-ci est constitué des représentants des autorités nationales de sécurité de chaque État membre et présidé par le membre de la Commission chargé des questions de sécurité ou son adjoint. Les représentants d'autres institutions européennes peuvent être également invités. Des représentants des organismes décentralisés de la CE et de l'UE peuvent également être invités à assister à ses réunions lorsque les questions traitées les concernent.

Le groupe consultatif sur la politique de sécurité se réunit à la demande de son président ou de n'importe lequel de ses membres. Il a pour tâche d'examiner et d'évaluer toutes les questions pertinentes en matière de sécurité et de présenter le cas échéant des recommandations à la Commission.

13. LE COMITÉ DE SÉCURITÉ DE LA COMMISSION

Un comité de sécurité est établi au sein de la Commission. Présidé par le secrétaire général, il réunit les directeurs généraux du service juridique et des directions générales Personnel et administration, Relations extérieures et Justice et affaires intérieures, le directeur du Centre commun de recherche ainsi que les responsables du service d'audit interne et du bureau de sécurité de la Commission. D'autres fonctionnaires de la Commission peuvent être invités. Ce comité a pour mandat d'évaluer les mesures de sécurité au sein de la Commission et d'adresser des recommandations en la matière au membre de la Commission chargé des questions de sécurité.

14. LE BUREAU DE SÉCURITÉ DE LA COMMISSION

Pour s'acquitter des tâches qui lui incombent en vertu de la section 11, le membre de la Commission chargé des questions de sécurité est assisté du bureau de sécurité de la Commission pour ce qui concerne la coordination, la supervision et l'application des mesures de sécurité.

Le chef du bureau de sécurité de la Commission est le conseiller principal, en matière de sécurité, du membre de la Commission chargé des questions de sécurité. Il est également secrétaire du groupe consultatif sur la politique de sécurité. À ce titre, il dirige les travaux d'actualisation de la réglementation de sécurité et assure la coordination des mesures de sécurité avec les autorités compétentes des États membres et, le cas échéant, avec les organisations internationales liées à la Commission par des accords de sécurité. À cette fin, il joue le rôle d'officier de liaison.

Le chef du bureau de sécurité de la Commission est responsable de l'homologation des systèmes et réseaux TI au sein de la commission. Il prend, en accord avec l'ANS compétente, les décisions relatives à l'homologation des systèmes et réseaux TI impliquant d'une part la Commission et d'autre part tout autre destinataire d'informations classifiées de l'UE.

15. INSPECTIONS DE SÉCURITÉ

Le bureau de sécurité de la Commission mène périodiquement des inspections relatives aux dispositions de sécurité prises pour assurer la protection des informations classifiées de l'UE.

Il peut être assisté dans cette tâche par les services de sécurité d'autres institutions détentrices d'informations classifiées de l'UE ou par les autorités de sécurité nationales des États membres ( 6 ).

Tout État membre peut, sur demande, faire réaliser par son ANS une inspection des dispositions de protection des informations classifiées de l'UE au sein de la Commission; cette inspection est réalisée conjointement et en commun accord avec les services de sécurité de la Commission.

16. CLASSIFICATIONS; TIMBRES ET IDENTIFIANTS DE SÉCURITÉ

16.1. Degrés de classification ( 7 )

Les informations sont classifiées selon les degrés dont la liste suit (cf. appendice 2):

TRÈS SECRET UE: s'applique exclusivement aux informations et matériels dont la divulgation non autorisée pourrait causer un préjudice exceptionnellement grave aux intérêts essentiels de l'Union européenne ou d'un ou plusieurs de ses États membres.

SECRET UE: s'applique uniquement aux informations et matériels dont la divulgation non autorisée pourrait nuire gravement aux intérêts essentiels de l'Union européenne ou d'un ou plusieurs de ses États membres.

CONFIDENTIEL UE: s'applique aux informations et matériels dont la divulgation non autorisée pourrait nuire aux intérêts essentiels de l'Union européenne ou d'un ou de plusieurs de ses États membres.

RESTREINT UE: s'applique aux informations et matériels dont la divulgation non autorisée pourrait être défavorable aux intérêts de l'Union européenne ou d'un ou plusieurs de ses États membres.

Aucune autre classification n'est permise.

16.2. Identifiants de sécurité

Pour fixer des limites à la validité d'une classification (c'est-à-dire le moment où l'information classifiée est automatiquement déclassée ou déclassifiée), il est possible d'utiliser un identifiant de sécurité convenu. Cet identifiant peut être «JUSQU'À/AU … (heure/date» ou «JUSQU'À/AU … (événement)».

Des identifiants complémentaires tels que CRYPTO ou tout autre identifiant reconnu par l'UE sont utilisés lorsqu'un document doit faire l'objet d'une diffusion limitée et d'un traitement spécial qui s'ajoute à celui qu'exige la classification de sécurité.

Les identifiants de sécurité ne sont utilisés qu'en association avec une classification.

16.3. Timbres

Un timbre peut être utilisé pour préciser le domaine couvert par le document, pour indiquer une diffusion particulière fondée sur le besoin d'en connaître, ou (dans le cas d'une information non classifiée) pour indiquer la fin d'une interdiction.

Un timbre n'est pas une classification et ne saurait être utilisé en lieu et place d'une classification.

Le timbre PESD est apposé sur les documents et copies relatifs à la sécurité et à la défense de l'Union ou de l'un ou de plusieurs de ses États membres, ou relatifs à la gestion militaire et non militaire des crises.

16.4. Apposition de la classification

La classification est apposée de la manière suivante:

a) sur les documents RESTREINT UE, par un procédé mécanique ou électronique;

b) sur les documents CONFIDENTIEL UE, par un procédé mécanique, à la main ou par impression sur du papier enregistré revêtu d'un cachet pré-imprimé;

c) sur les documents SECRET UE et TRÈS SECRET UE, par un procédé mécanique ou à la main.

16.5. Apposition des identifiants de sécurité

Les identifiants de sécurité sont apposés juste sous la classification, par les mêmes moyens que pour l'apposition des classifications.

17. POLITIQUE EN MATIÈRE DE CLASSIFICATION

17.1. Généralités

Les informations ne sont classifiées que si cela est nécessaire. La classification est clairement et correctement indiquée; elle est limitée à la durée pendant laquelle les informations doivent être protégées.

La classification des informations ainsi que tout déclassement ou déclassification ultérieurs incombe à la seule autorité d'origine.

Les fonctionnaires et autres agents de la Commission classifient, déclassent ou déclassifient les informations sur instruction de leur chef de service ou en accord avec celui-ci.

Les procédures détaillées régissant le traitement des documents classifiés ont été conçues de façon à assurer à ces documents une protection adaptée aux informations qu'ils contiennent.

Le nombre de personnes autorisées à émettre des documents TRÈS SECRET UE est limité au strict minimum. La liste nominative de ces personnes est conservée par le bureau de sécurité de la Commission.

17.2. Détermination de la classification

La classification d'un document est déterminée par le degré de sensibilité de son contenu, conformément aux définitions données à la section 16. Il importe que la classification soit utilisée à bon escient et avec modération. Cela s'applique particulièrement à la classification TRÈS SECRET UE.

En déterminant la classification à attribuer à un document, l'autorité d'origine doit tenir compte des diverses règles susmentionnées et se garder de toute tendance à la surclassification comme à la sous-classification.

Un guide pratique de la classification figure à l'appendice 2.

Des pages, paragraphes, sections, annexes, appendices et pièces jointes d'un document donné peuvent nécessiter une classification différente et doivent alors porter la mention correspondante. La classification du document lui-même est celle de sa partie portant la classification la plus élevée.

Les lettres ou notes d'envoi accompagnant des pièces jointes portent le plus haut degré de classification apparaissant dans ces dernières. L'autorité d'origine indique clairement leur degré de classification lorsqu'elles sont séparées de leurs pièces jointes.

L'accès public demeure régi par le règlement (CE) no 1049/2001.

17.3. Déclassement et déclassification

Un document classifié UE ne peut être déclassé ou déclassifié qu'avec l'autorisation de l'autorité d'origine et, si nécessaire, après consultation des autres parties intéressées. Le déclassement ou la déclassification fait l'objet d'une confirmation écrite. Il incombe à l'autorité d'origine d'informer ses destinataires du changement de classification, ces derniers étant à leur tour chargés d'en aviser les destinataires successifs auxquels ils ont fait suivre l'original ou une copie du document.

Dans la mesure du possible, l'autorité d'origine indique sur le document classifié la date ou un délai à partir duquel les informations qu'il contient pourront être déclassées ou déclassifiées. Sinon, elle réexamine la question tous les cinq ans au plus pour s'assurer que la classification initiale demeure nécessaire.

18. SÉCURITÉ PHYSIQUE

18.1. Généralités

Les objectifs principaux des mesures physiques de sécurité est d'empêcher qu'une personne non autorisée ait accès aux informations et/ou aux matériels classifiés de l'UE, de faire obstacle au vol ou à la dégradation des équipements ou d'autres biens et de prévenir tout harcèlement ou autre type d'agression à l'encontre du personnel, d'autres employés ou des visiteurs.

18.2. Exigences de sécurité

Il convient de protéger, par des mesures physiques de sécurité appropriées, tout local, zone, bâtiment, pièce, système de communication et d'information, etc., où des informations et du matériel classifiés de l'UE sont conservés et/ou traités.

Pour déterminer le degré de sécurité physique à assurer, il convient de tenir compte de tous les facteurs pertinents, et notamment:

a) de la classification des informations et/ou du matériel;

b) du volume et de la forme (par exemple support papier ou support de données informatiques) des informations détenues;

c) de l'évaluation locale de la menace que constituent les services de renseignement prenant pour cible l'UE, les États membres et/ou les autres institutions ou tiers détenant des informations classifiées de l'UE, à savoir les actes de sabotage, le terrorisme et les autres activités subversives et/ou criminelles.

Les mesures physiques de sécurité appliquées doivent être conçues pour:

a) empêcher toute intrusion par la ruse ou par la force;

b) décourager, empêcher et détecter les actes commis par du personnel déloyal;

c) empêcher à toute personne non motivée par le besoin d'en connaître d'accéder aux informations classifiées de l'UE.

18.3. Mesures physiques de sécurité

18.3.1. Zones de sécurité

Les zones où sont traitées et conservées des informations CONFIDENTIEL UE ou d'un niveau de classification plus élevé doivent être traitées et conservées de façon à correspondre à l'une des catégories suivantes:

a) zone de sécurité de catégorie I: zone dans laquelle des informations CONFIDENTIEL UE ou d'un niveau de classification plus élevé sont traitées et conservées de telle façon que le fait de pénétrer dans la zone équivaut en pratique à avoir accès à ces informations. Pour une telle zone, il faut: i) établir de façon précise un périmètre protégé dont toutes les entrées et sorties sont contrôlées; ii) mettre en place un système de contrôle des entrées ne laissant pénétrer que les personnes dûment habilitées et spécialement autorisées; iii) spécifier la classification des informations qui y sont conservées habituellement, c'est-à-dire auxquelles le fait de pénétrer dans la zone donne accès;

b) zone de sécurité de catégorie II: zone dans laquelle des informations CONFIDENTIEL UE ou d'un niveau de classification plus élevé sont traitées et conservées de telle façon qu'elles peuvent être protégées par des contrôles internes empêchant toute personne non autorisée d'y avoir accès; il s'agit, par exemple, des locaux abritant des services où sont traitées et conservées habituellement des informations CONFIDENTIEL UE ou d'un niveau de classification plus élevé. Pour une telle zone, il faut: i) établir de façon précise un périmètre protégé dont toutes les entrées et sorties sont contrôlées; ii) mettre en place un système de contrôle des entrées ne laissant pénétrer sans escorte que les personnes dûment habilitées et spécialement autorisées. Pour toutes les autres personnes, il convient de prévoir une escorte ou des contrôles équivalents les empêchant d'avoir accès aux informations classifiées de l'UE et de pénétrer dans des zones soumises à des inspections techniques de sécurité. Les zones qui ne sont pas occupées 24 heures sur 24 par le personnel de service doivent être inspectées immédiatement après les heures normales de travail, en vue de s'assurer que les informations classifiées de l'UE sont protégées comme il convient.

18.3.2. Zone administrative

Une zone de sécurité de catégorie I ou II peut être entourée ou précédée d'une zone administrative moins protégée, pour laquelle il faut établir de façon visible un périmètre permettant de contrôler les personnes et les véhicules. Seules des informations RESTREINT UE peuvent être traitées et conservées dans ces zones administratives.

18.3.3. Contrôle des entrées et des sorties

À l'entrée et la sortie des zones de sécurité de catégorie I et II, toute personne travaillant ordinairement dans ces zones est contrôlée au moyen d'un système de laissez-passer ou d'identification individuelle. Il faut également mettre sur pied un système de contrôle des visiteurs pour empêcher tout accès non autorisé à des informations classifiées de l'UE. Au système de laissez-passer peut s'ajouter un système d'identification automatique, qui doit alors être considéré comme un complément et non comme un substitut absolu des gardes. Une modification de l'évaluation de la menace peut entraîner un renforcement des mesures de contrôle des entrées et des sorties, par exemple à l'occasion de visites de personnalités de haut rang.

18.3.4. Rondes

En dehors des heures normales de travail, des rondes de surveillance doivent être effectuées dans les zones de sécurité des catégories I et II pour protéger les informations et les matériels de l'UE contre toute compromission, détérioration ou perte. La fréquence de ces rondes est déterminée en fonction des conditions locales, mais elles doivent avoir lieu toutes les deux heures environ.

18.3.5. Meubles de sécurité et chambres fortes

Les meubles de sécurité destinés à la conservation d'informations classifiées de l'UE se répartissent en trois catégories:

— catégorie A: meubles agréés selon les normes nationales pour la conservation d'informations TRÈS SECRET UE dans une zone de sécurité de catégorie I ou II,

— catégorie B: meubles agréés selon les normes nationales pour la conservation d'informations SECRET UE et CONFIDENTIEL UE dans une zone de sécurité de catégorie I ou II,

— catégorie C: meubles de bureau agréés pour la conservation d'informations RESTREINT UE uniquement.

Pour les chambres fortes installées dans une zone de sécurité de catégorie I ou II et pour toutes les zones de sécurité de catégorie I où des informations CONFIDENTIEL UE et d'un niveau de classification plus élevé sont conservées en rayonnage ou figurent sur des diagrammes, des cartes, etc., les murs, les planchers, les plafonds, les portes et les serrures doivent être homologués par une SAA comme offrant une protection équivalant à celle d'un meuble de sécurité de la catégorie agréée pour la conservation d'informations de la même classification.

18.3.6. Serrures

Les serrures des meubles de sécurité et des chambres fortes abritant des informations classifiées de l'UE doivent satisfaire aux normes suivantes:

— groupe A: agréées selon les normes nationales pour les meubles de catégorie A,

— groupe B: agréées selon les normes nationales pour les meubles de catégorie B,

— groupe C: adaptées aux meubles de bureau de catégorie C uniquement.

18.3.7. Contrôle des clés et combinaisons

Les clés des meubles de sécurité ne doivent pas être emportées hors du bâtiment. Les combinaisons doivent être mémorisées par les personnes qui ont besoin de les connaître. Pour un usage en cas d'urgence, le responsable local de la sécurité du service de la Commission concerné conserve les clés de rechange et le relevé de chaque combinaison, placé individuellement dans une enveloppe opaque scellée. Les clés, leurs doubles et les enveloppes renfermant les combinaisons sont conservés dans des meubles de sécurité séparés. Ces clés et ces combinaisons font l'objet d'une protection aussi rigoureuse que le matériel auquel elles donnent accès.

Le nombre des personnes ayant connaissance des combinaisons des meubles de sécurité doit être aussi limité que possible. Les combinaisons sont modifiées:

a) à la réception d'un nouveau meuble;

b) lors de tout changement de personnel;

c) en cas de compromission, effective ou suspectée;

d) de préférence tous les six mois et au minimum tous les douze mois.

18.3.8. Dispositifs de détection des intrusions

Lorsque des systèmes d'alarme, des circuits fermés de télévision et d'autres dispositifs électriques sont utilisés pour protéger des informations classifiées de l'UE, des systèmes de secours doivent être prévus pour permettre leur fonctionnement permanent en cas de rupture de l'alimentation électrique principale. Il est, en outre, fondamental que tout défaut de fonctionnement ou toute tentative de neutralisation des systèmes précités déclenche une alarme ou soit signalé par tout autre moyen fiable au personnel de surveillance.

18.3.9. Matériels agréés

Le bureau de sécurité de la Commission tient à jour, par type et par modèle, les listes des matériels de sécurité qu'il a agréés pour la protection directe ou indirecte des informations classifiées dans diverses circonstances et conditions qui auront été spécifiées. Pour l'établissement de ces listes, le bureau de sécurité de la Commission se fonde, entre autres, sur les informations fournies par les ANS.

18.3.10. Protection physique des photocopieuses et des télécopieurs

Les photocopieuses et les télécopieurs doivent faire l'objet de mesures de protection physiques suffisantes pour que seules les personnes autorisées puissent les utiliser aux fins de traitement des informations classifiées et que tous les tirages classifiés soient dûment contrôlés.

18.4. Protection contre la négligence et les écoutes clandestines

18.4.1. Protection contre les regards

Toutes les mesures nécessaires doivent être prises, de jour comme de nuit, pour s'assurer que les informations classifiées de l'UE ne puissent être vues, même accidentellement, par des personnes non autorisées.

18.4.2. Protection contre les écoutes

Les services ou les zones dans lesquels on discute régulièrement d'informations classifiées du niveau SECRET UE et au-delà doivent être protégés contre les tentatives d'écoute passive et active lorsque le risque le justifie. L'évaluation du risque de telles tentatives incombe à l'autorité de sécurité compétente après consultation, au besoin, des ANS.

18.4.3. Introduction d'appareils électroniques et de matériel d'enregistrement

L'introduction de téléphones mobiles, d'ordinateurs privés, de dispositifs d'enregistrement, de caméras et d'autres dispositifs électroniques ou matériels d'enregistrements dans les secteurs de sécurité ou les zones protégées sur le plan technique n'est pas autorisée sans autorisation préalable du chef du bureau de sécurité de la Commission.

Pour déterminer les mesures de protection à prendre dans les locaux sensibles contre les écoutes passives (par exemple, insonorisation des murs, portes, planchers et plafonds, mesure des rayonnements compromettants) et contre les écoutes actives (par exemple, recherche de micros), le bureau de sécurité de la Commission peut demander l'aide des spécialistes des ANS.

De même, lorsque les circonstances l'exigent, les équipements de télécommunications et le matériel de bureau électrique ou électronique de toute nature utilisés lors des réunions de niveau SECRET UE et au-dessus peuvent être vérifiés, sur demande du chef du bureau de sécurité de la Commission, par des spécialistes de la sécurité technique des ANS.

18.5. Zones protégées sur le plan technique

Certaines zones peuvent être désignées comme zones protégées sur le plan technique. Un contrôle spécial doit être effectué à l'entrée. Ces zones doivent être verrouillées selon une méthode agréée lorsqu'elles ne sont pas occupées et toutes les clés doivent être considérées comme clés de sécurité. Ces zones doivent faire l'objet d'inspections physiques à intervalles réguliers, ainsi qu'après l'entrée, effective ou présumée, de personnel non autorisé.

Un inventaire détaillé des équipements et du mobilier doit être tenu, afin d'en suivre les mouvements. Aucun meuble ou matériel ne doit être introduit dans ce type de zone avant d'avoir subi une inspection minutieuse, effectuée par du personnel de sécurité formé à cet effet et destinée à détecter d'éventuels dispositifs d'écoute. En règle générale, l'installation des lignes de communication dans les zones protégées sur le plan technique n'est pas permise sans autorisation préalable de l'autorité compétente.

19. RÈGLES GÉNÉRALES RELATIVES AU BESOIN D'EN CONNAÎTRE ET AUX HABILITATIONS DE SÉCURITÉ DU PERSONNEL DE l'UE

19.1. Généralités

L'accès aux informations classifiées de l'UE n'est autorisé qu'aux personnes ayant le besoin d'en connaître pour l'exercice de leurs fonctions ou l'accomplissement de leur mission. L'accès aux informations TRÈS SECRET UE et CONFIDENTIEL UE n'est autorisé qu'aux personnes en possession de l'habilitation de sécurité correspondante.

La détermination du besoin d'en connaître incombe au service dans lequel la personne concernée est appelée à travailler.

Chaque service est responsable des demandes d'habilitation pour son personnel.

La procédure se concrétise par la délivrance d'un «certificat personnel d'habilitation de sécurité» précisant le degré de classification des informations auxquelles la personne habilitée peut avoir accès et la date de péremption de l'habilitation.

Un certificat d'habilitation d'un niveau donné peut donner accès aux informations classifiées d'un niveau moindre.

Les personnes autres que les fonctionnaires ou autres agents, tels que les contractants externes, experts ou consultants, avec lesquelles il peut être nécessaire d'examiner ou de consulter des informations classifiées de l'UE, doivent être en possession d'une habilitation de sécurité leur permettant d'accéder aux informations classifiées de l'UE et être informées de leurs responsabilités en matière de sécurité.

L'accès public demeure régi par le règlement (CE) no 1049/2001.

19.2. Règles spécifiques concernant l'accès aux informations classifiées TRÈS SECRET UE

Toute personne ayant à connaître des informations classifiées TRÈS SECRET UE doit avoir fait l'objet, au préalable, d'une procédure d'habilitation permettant l'accès à ces informations.

Toute personne qui doit avoir accès aux informations TRÈS SECRET UE doit être nommément désignée par le membre de la Commission chargé des questions de sécurité et son nom doit être conservé dans le bureau d'ordre TRÈS SECRET UE approprié. Ce bureau d'ordre est créé et tenu par le bureau de sécurité de la Commission.

Toute personne autorisée à accéder à des informations TRÈS SECRET UE doit signer au préalable une attestation reconnaissant qu'elle a été instruite des procédures de sécurité de la Commission et qu'elle comprend parfaitement sa responsabilité particulière en ce qui concerne la protection des informations TRÈS SECRET UE ainsi que les conséquences prévues par la réglementation de l'Union européenne et les dispositions législatives ou administratives nationales lorsque des informations classifiées parviennent en des mains non autorisées, que ce soit à la suite d'une action délibérée ou d'une négligence.

En ce qui concerne les personnes ayant accès à des informations TRÈS SECRET UE lors de réunions, etc., l'agent contrôleur compétent du service ou de l'organisme dans lesquels elles sont employées doit informer le service organisateur de la réunion qu'elles sont autorisées à accéder aux informations TRÈS SECRET UE.

Les noms de toutes les personnes qui ne sont plus employées à des fonctions nécessitant l'accès aux informations TRÈS SECRET UE sont être rayés de la liste correspondante. De plus, l'attention de toutes ces personnes doit être attirée à nouveau sur leurs responsabilités particulières quant à la protection des informations TRÈS SECRET UE. Elles doivent également signer une déclaration par laquelle elles s'engagent à ne pas utiliser ni divulguer les informations TRÈS SECRET UE dont elles ont eu connaissance.

19.3. Règles spécifiques concernant l'accès aux informations classifiées TRÈS SECRET UE et CONFIDENTIEL UE

Toute personne ayant à connaître des informations SECRET UE ou CONFIDENTIEL UE doit avoir fait au préalable l'objet d'une procédure d'habilitation du niveau approprié.

Toute personne ayant à connaître des informations SECRET UE ou CONFIDENTIEL UE doit avoir connaissance des dispositions de sécurité appropriées et des conséquences de toute négligence.

En ce qui concerne les personnes ayant accès à des informations SECRET UE ou CONFIDENTIEL UE lors de réunions, etc., le responsable de la sécurité de l'organisme dans lequel la personne concernée est employée doit avertir le service organisateur de la réunion qu'elle est autorisée à accéder à de telles informations.

19.4. Règles spécifiques concernant l'accès aux informations classifiées RESTREINT UE

Toute personne ayant accès à des informations RESTREINT UE doit être avertie des présentes règles de sécurité et des conséquences de toute négligence.

19.5. Mutations

Lors de la mutation de personnel affecté à un poste impliquant le traitement de documents classifiés de l'UE, le bureau d'ordre doit s'assurer que le transfert de cette documentation entre le fonctionnaire partant et le fonctionnaire suivant s'effectue de façon réglementaire.

Lorsqu'un membre du personnel est affecté à un poste impliquant la manipulation de matériel classifié UE, il reçoit du responsable local de la sécurité les instructions appropriées.

19.6. Instructions spéciales

Il convient que les personnes devant avoir accès à des informations classifiées de l'UE soient averties dès leur prise de fonctions, puis périodiquement:

a) des dangers que présentent pour la sécurité les conversations indiscrètes;

b) des précautions qui s'imposent dans leurs relations avec la presse et les représentants des groupes défendant des intérêts particuliers;

c) de la menace que constituent les activités des services de renseignement qui prennent pour cible l'UE et les États membres et qui s'intéressent aux informations classifiées et aux activités de l'UE;

d) de l'obligation qui leur est faite de rendre compte immédiatement à l'autorité de sécurité compétente de toute démarche ou manœuvre pouvant laisser soupçonner une activité d'espionnage, ou de toute situation inhabituelle ayant trait à la sécurité.

Toutes les personnes ordinairement exposées à des contacts fréquents avec des représentants de pays dont les services de renseignement prennent pour cible l'UE et les États membres et s'intéressent aux informations classifiées et aux activités de l'UE sont informées des techniques dont on sait qu'elles sont utilisées par divers services de renseignement.

La Commission ne prévoit pas de consignes de sécurité pour les voyages effectués à titre privé, quelle qu'en soit la destination, par des membres du personnel habilités à accéder à des informations classifiées de l'UE. Il incombe toutefois au bureau de sécurité de la Commission d'informer les fonctionnaires et autres agents se trouvant sous sa responsabilité des règles qu'ils peuvent avoir à observer en matière de voyages.

20. PROCÉDURE D'HABILITATION DE SÉCURITÉ POUR LES FONCTIONNAIRES ET AUTRES AGENTS DE LA COMMISSION

a) Seuls les fonctionnaires et autres agents de la Commission ou les personnes travaillant au sein de la Commission qui, en raison de leurs fonctions et pour des nécessités de service, ont besoin de prendre connaissance d'informations classifiées détenues par la Commission ou d'en faire usage, ont accès auxdites informations.

b) Pour pouvoir accéder aux informations classifiées «TRÈS SECRET UE», «SECRET UE» et «CONFIDENTIEL UE», les personnes visées au point 1 doivent avoir été autorisées à cet effet conformément à la procédure décrite aux points c) et d) de la présente section.

c) L'autorisation n'est délivrée qu'aux personnes qui ont fait l'objet d'une enquête de sécurité effectuée par les autorités nationales compétentes des États membres (ANS), selon les modalités prévues aux points i) à n).

d) Le chef du bureau de sécurité de la Commission est responsable de l'octroi des autorisations visées aux points a), b) et c).

e) Il accorde l'autorisation après avoir recueilli l'avis des autorités nationales compétentes des États membres sur la base de l'enquête de sécurité effectuée conformément aux points i) à n).

f) Le bureau de sécurité de la Commission tient une liste actualisée de tous les postes sensibles, fournie par les services concernés de la Commission, et de toutes les personnes ayant reçu une autorisation (temporaire).

g) L'autorisation, qui a une durée de validité de cinq ans, ne peut excéder la durée des fonctions qui en ont justifié l'octroi. Elle peut être renouvelée conformément à la procédure visée au point e).

h) L'autorisation est retirée par le chef du bureau de sécurité de la Commission dès lors que ce dernier le juge opportun. Toute décision de retrait est notifiée à la personne concernée, qui peut demander à être entendue par le chef du bureau de sécurité de la Commission, ainsi qu'à l'autorité nationale compétente.

i) L'enquête de sécurité est effectuée avec le concours de la personne concernée et à la demande du chef du bureau de sécurité de la Commission. L'administration nationale compétente aux fins de l'enquête de sécurité est celle de l'État membre dont l'intéressé(e) est ressortissant(e). Lorsque la personne concernée n'est pas ressortissant d'un État membre de l'UE, le chef du bureau de sécurité de la Commission demande une enquête de sécurité à l'État membre de l'UE dans lequel la personne est domiciliée ou réside habituellement.

j) Dans le cadre de l'enquête, la personne concernée est tenue de remplir une notice individuelle d'information.

k) Le chef du bureau de sécurité de la Commission spécifie dans sa demande le type et le niveau de classification des informations dont la personne concernée aura à connaître, de sorte que les autorités nationales compétentes puissent mener l'enquête et rendre un avis quant au niveau d'autorisation qu'il serait approprié d'accorder à la personne concernée.

l) Sont applicables pour l'ensemble du déroulement et des résultats de la procédure d'enquête de sécurité, les prescriptions et réglementations en vigueur en la matière dans l'État membre concerné, y compris celles relatives aux voies de recours.

m) Lorsque les autorités nationales compétentes des États membres émettent un avis positif, le chef du bureau de sécurité de la Commission peut octroyer l'autorisation à la personne concernée.

n) Lorsque les autorités nationales compétentes émettent un avis négatif, la personne concernée en est informée et peut demander à être entendue par le chef du bureau de sécurité de la Commission. S'il le juge nécessaire, ce dernier peut demander aux autorités nationales compétentes tout éclaircissement complémentaire qu'elles sont en mesure de fournir. En cas de confirmation de l'avis négatif, l'autorisation ne peut être accordée.

o) Toute personne autorisée au sens des points d) et e) reçoit, au moment de l'autorisation et par la suite à intervalles réguliers, les instructions qui s'imposent sur la protection des informations classifiées et sur la manière de l'assurer. Elle signe une déclaration confirmant qu'elle a reçu ces instructions et qu'elle s'engage à les respecter.

p) Le chef du bureau de sécurité de la Commission prend toute mesure nécessaire pour appliquer les dispositions de la présente section, notamment celles qui concernent l'accès à la liste des personnes autorisées.

q) À titre exceptionnel et en raison des nécessités du service, le chef du bureau de sécurité de la Commission peut, après en avoir préalablement informé les autorités nationales compétentes et en l'absence de réactions de celles-ci dans un délai d'un mois, octroyer une autorisation à titre temporaire pour une période qui ne peut excéder six mois, en attendant le résultat de l'enquête visée au point i).

r) Les autorisations provisoires et temporaires ainsi octroyées ne donnent pas accès aux informations TRÈS SECRET UE, réservé aux fonctionnaires qui ont effectivement fait l'objet d'une enquête de sécurité dont l'issue a été positive, conformément au point i). En attendant les résultats de l'enquête de sécurité, les fonctionnaires qui doivent être habilités au niveau TRÈS SECRET EU, peuvent être autorisés, à titre temporaire et provisoire, à accéder aux informations classifiées jusqu'au niveau SECRET UE inclus.

21. PRÉPARATION, RÉPARTITION, TRANSMISSION, MESURES DE SÉCURITÉ RELATIVES AUX COURRIERS, EXEMPLAIRES SUPPLÉMENTAIRES, TRADUCTIONS ET EXTRAITS DE DOCUMENTS CLASSIFIÉS DE L'UE

21.1. Préparation

1. Les classifications sont appliquées comme prescrit à la section 16. Pour les documents de niveau CONFIDENTIEL UE et au-delà, la classification apparaît, centrée, en tête et en pied de chaque page. Les pages sont toutes numérotées. Chaque document classifié de l'UE doit porter un numéro de référence ainsi qu'une date. Pour les documents TRÈS SECRET UE et SECRET UE, ce numéro de référence est porté sur chaque page. S'ils doivent être diffusés en plusieurs exemplaires, chacun d'eux devra porter un numéro d'exemplaire qui figurera en première page, avec le nombre total de pages. La première page d'un document classifié CONFIDENTIEL UE et au-delà doit donner la liste complète des annexes et pièces jointes.

2. Les documents classifiés CONFIDENTIEL UE et au-delà ne peuvent être dactylographiés, traduits, stockés, photocopiés, enregistrés sur un support magnétique ou microfilmés que par des personnes habilitées à avoir accès aux informations classifiées de l'UE, au moins jusqu'à la catégorie de sécurité appropriée du document en cause.

3. Les dispositions relatives à la production de documents classifiés à l'aide de moyens informatiques sont énoncées à la section 25.

21.2. Diffusion

1. Les informations classifiées de l'UE ne doivent être diffusées qu'auprès des personnes qui ont besoin d'en connaître et qui ont l'habilitation de sécurité appropriée. Il appartient à l'autorité d'origine d'indiquer la liste de diffusion initiale.

2. La diffusion des documents TRÈS SECRET UE s'effectue par la voie des bureaux d'ordre TRÈS SECRET UE (voir section 22.2). Dans le cas de messages TRÈS SECRET UE, le bureau d'ordre compétent peut autoriser le chef du centre de transmission à réaliser le nombre de copies correspondant à la liste des destinataires.

3. Les documents classifiés SECRET UE et en deçà peuvent être rediffusés par un destinataire initial vers d'autres destinataires en fonction du besoin d'en connaître. Toutefois, les autorités d'origine doivent indiquer clairement toutes les restrictions qu'elles entendent imposer. Chaque fois que de telles restrictions sont imposées, les destinataires ne peuvent procéder à une rediffusion qu'avec l'autorisation des autorités d'origine.

4. Tout document classifié CONFIDENTIEL UE et au-delà fait l'objet d'un enregistrement à l'entrée et à la sortie d'une DG ou d'un service. Cette tâche incombe au bureau d'ordre local chargé des informations classifiées de l'UE dans le service concerné. Les éléments à enregistrer (références, date et, le cas échéant, numéro d'exemplaire) doivent permettre d'identifier les documents et figurent sur un cahier d'enregistrement ou sur des supports informatiques spéciaux et protégés (voir section 22.1).

21.3. Transmission/transport de documents classifiés de l'UE

21.3.1. Emballages et récépissés

1. Les documents classifiés CONFIDENTIEL UE et au-delà doivent être transmis sous une double enveloppe, opaque et résistante. L'enveloppe intérieure doit être cachetée et porter la classification de sécurité UE appropriée ainsi que, si possible, la mention c