FR Journal officiel de l'Union européenne C 126/1

Décision de la haute représentante de l'Union pour les affaires étrangères et la politique de sécurité du 19 septembre 2017 relative aux règles de sécurité applicables au Service européen pour l'action extérieure

ADMIN(2017) 10

(2018/C 126/01)

LA HAUTE REPRÉSENTANTE DE L'UNION POUR LES AFFAIRES ÉTRANGÈRES ET LA POLITIQUE DE SÉCURITÉ,

vu la décision 2010/427/UE du Conseil du 26 juillet 2010 fixant l'organisation et le fonctionnement du Service européen pour l'action extérieure (1) (ci-après le «SEAE»),

vu les recommandations du comité visé à l'article 9, paragraphe 6, de la décision de la haute représentante du 15 juin 2011 relative aux règles de sécurité applicables au Service européen pour l'action extérieure (2),

considérant ce qui suit:

(1) En tant qu'organe de l'Union européenne fonctionnant de manière autonome, le SEAE devrait être doté de règles de sécurité, telles que visées à l'article 10, paragraphe 1, de la décision 2010/427/UE du Conseil.

(2) La haute représentante de l'Union pour les affaires étrangères et la politique de sécurité (ci-après la «haute représentante» ou «HR») doit fixer pour le SEAE des règles de sécurité englobant tous les aspects de la sécurité pour ce qui est du fonctionnement du SEAE, afin que ce dernier soit en mesure de gérer efficacement les risques menaçant son personnel, ses biens matériels, les informations qu'il détient et ses visiteurs et de s'acquitter des responsabilités qui lui incombent en ce qui concerne l'obligation de vigilance à cet égard.

(3) Il convient, en particulier, de garantir au personnel du SEAE, à ses biens matériels, y compris les systèmes d'information et de communication qu'il possède, aux informations qu'il détient et à ses visiteurs un niveau de protection conforme aux meilleures pratiques en usage au Conseil, à la Commission européenne, dans les États membres et, s'il y a lieu, dans les organisations internationales.

(4) Les règles de sécurité applicables au SEAE devraient contribuer à la mise en place d'un cadre général complet et plus cohérent au sein de l'Union européenne pour ce qui est de la protection des informations classifiées de l'UE (ci-après les «ICUE»), en s'appuyant sur les règles de sécurité du Conseil de l'Union européenne (ci-après le «Conseil») et sur les dispositions de la Commission européenne en matière de sécurité, tout en veillant à maintenir la plus grande cohérence possible avec ces règles et dispositions.

(5) Le SEAE, le Conseil et la Commission sont résolus à appliquer des normes équivalentes de sécurité pour protéger les ICUE.

(6) La présente décision est arrêtée sans préjudice des articles 15 et 16 du traité sur le fonctionnement de l'Union européenne (TFUE), ni des instruments les mettant en œuvre.

(7) Il importe de fixer l'organisation de la sécurité dans le SEAE et l'allocation des tâches relatives à la sécurité au sein des structures du SEAE.

(8) La haute représentante doit s'appuyer, en fonction des besoins, sur les compétences techniques existant en la matière dans les États membres, au Secrétariat général du Conseil et à la Commission européenne.

(9) La haute représentante doit prendre toutes les mesures qui s'imposent pour appliquer ces règles avec l'appui des États membres, du Secrétariat général du Conseil et de la Commission européenne.

(10) Le secrétaire général du SEAE est l'autorité de sécurité du SEAE, et l'article premier de la décision ADMIN (2015)34 du 14 septembre 2015 du secrétaire général du Service européen pour l'action extérieure prévoit que les fonctions de sécurité de l'autorité de sécurité, telles que prévues par les règles de sécurité du SEAE, sont exercées par le directeur général pour le budget et l'administration,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

Objet et champ d'application

La présente décision arrête les règles de sécurité applicables au Service européen pour l'action extérieure (ci-après les «règles de sécurité applicables au SEAE»).

Conformément à l'article 10, paragraphe 1, de la décision 2010/427/UE du Conseil du 26 juillet 2010 fixant l'organisation et le fonctionnement du Service européen pour l'action extérieure, elle s'applique à l'ensemble du personnel du SEAE et à tous les membres du personnel des délégations de l'Union, indépendamment de leur statut administratif ou origine, et instaure le cadre réglementaire général en vue de gérer efficacement les risques pesant sur le personnel relevant de la responsabilité du SEAE tel que visé à l'article 2, les locaux du SEAE, ses biens matériels, les informations qu'il détient et ses visiteurs.

Article 2

Définitions

Aux fins de la présente décision, on entend par:

a) «membres du personnel du SEAE»: les fonctionnaires et autres agents du SEAE, y compris le personnel des services diplomatiques des États membres nommés comme agents temporaires, les experts nationaux détachés, tels que définis à l'article 6 de la décision 2010/427/UE du Conseil du 26 juillet 2010 fixant l'organisation et le fonctionnement du Service européen pour l'action extérieure;

b) «membres du personnel placés sous la responsabilité du SEAE»: les membres du personnel du SEAE au siège et dans les délégations de l'Union, ainsi que tous les autres membres du personnel des délégations de l'Union, indépendamment de leur statut administratif ou origine, ainsi que, aux fins de la présente décision, la haute représentante et, le cas échéant, d'autres membres du personnel résidant au siège du SEAE;

c) «personnes à charge»: les membres de la famille du personnel placé sous la responsabilité du SEAE dans les délégations de l'Union, qui composent leur propre ménage tel qu'il a été notifié au ministère des affaires étrangères de l'État d'accueil;

d) «locaux du SEAE»: tous les établissements du SEAE, y compris les bâtiments, bureaux, salles et autres espaces, ainsi que les lieux hébergeant des systèmes d'information et de communication (dont les équipements de traitement des ICUE), où le SEAE exerce des activités permanentes ou temporaires;

e) «intérêts du SEAE à protéger»: les membres du personnel placés sous la responsabilité du SEAE, les locaux, les personnes à charge, les biens matériels, y compris les systèmes d'information et de communication, les informations et les visiteurs du SEAE;

f) «informations classifiées de l'UE» (ICUE): toute information ou tout matériel identifié comme tel par une classification de sécurité de l'UE, dont la divulgation non autorisée pourrait porter atteinte à des degrés divers aux intérêts de l'Union européenne, ou à ceux d'un ou de plusieurs de ses États membres;

g) «délégation de l'Union»: les délégations auprès des pays tiers et des organisations internationales visées à l'article 1er, paragraphe 4, de la décision 2010/427/UE du Conseil du 26 juillet 2010 fixant l'organisation et le fonctionnement du Service européen pour l'action extérieure.

D'autres définitions figurent dans les annexes pertinentes et à l'appendice A.

Article 3

Devoir de diligence

1. Les règles de sécurité applicables au SEAE ont pour but de lui permettre d'assumer ses responsabilités au regard du devoir de diligence.

2. Le devoir de diligence incombant au SEAE comprend la saine diligence consistant à prendre toutes les mesures raisonnables pour mettre en œuvre les mesures de sécurité visant à empêcher tout préjudice raisonnablement prévisible aux intérêts du SEAE à protéger.

Il comprend à la fois un volet sécurité et un volet sûreté, y compris les éléments de ce type résultant des situations d'urgence ou crises, de quelque nature que ce soit.

3. Compte tenu du devoir de diligence incombant aux États membres, aux institutions ou organes de l'UE et à d'autres parties dont le personnel travaille dans des délégations de l'Union et/ou dans les locaux de délégations de l'Union, ou du devoir de diligence incombant au SEAE lorsque des délégations de l'Union sont hébergées dans les locaux d'autres parties susmentionnées, le SEAE conclut, avec chacune des entités susmentionnées, des arrangements administratifs traitant des rôles et responsabilités, tâches et mécanismes de coopération respectifs.

Article 4

Sécurité physique et sécurité des infrastructures

1. Le SEAE met en place toutes les mesures de sécurité physique appropriées (permanentes ou temporaires), y compris les dispositions de contrôle d'accès, pour l'ensemble des locaux du SEAE, aux fins de la préservation des intérêts du SEAE à protéger. De telles mesures entrent en ligne de compte lors de la conception et de la planification de nouveaux locaux ou avant la location à bail de locaux existants.

2. Des obligations ou restrictions spéciales peuvent être imposées aux membres du personnel placés sous la responsabilité du SEAE et aux personnes à charge, pour des raisons de sécurité, pendant une période donnée et dans des domaines précis.

3. Les mesures visées aux paragraphes 1 et 2 doivent être proportionnées au risque évalué.

Article 5

États d'alerte et gestion des situations de crise

1. L'autorité de sécurité du SEAE telle que définie à l'article 13, paragraphe 1, section I, est chargée de mettre en place les mesures d'état d'alerte appropriées à titre d'anticipation ou de riposte face à des menaces et des incidents affectant la sécurité au sein du SEAE, ainsi que les mesures requises pour gérer les situations de crise.

2. Les mesures d'état d'alerte visées au paragraphe 1 doivent être proportionnées au niveau de menace pour la sécurité. Les niveaux d'état d'alerte sont définis en étroite coopération avec les services compétents des autres institutions, agences et organes de l'Union et ceux de l'État membre ou des États membres accueillant les locaux du SEAE.

3. L'autorité de sécurité du SEAE fait office de point de contact pour les états d'alerte et la gestion des situations de crise.

Article 6

Protection des informations classifiées

1. La protection des ICUE est régie par les exigences formulées dans la présente décision, et notamment dans l'annexe A. Le détenteur de toute ICUE est tenu de la protéger en conséquence.

2. Le SEAE veille à ce que seules les personnes réunissant les conditions exposées à l'article 5 de l'annexe A aient accès aux informations classifiées.

3. Les conditions auxquelles les agents locaux peuvent avoir accès aux ICUE sont également fixées par la haute représentante, conformément aux règles de protection des ICUE établies à l'annexe A de la présente décision.

4. La direction du SEAE chargée de la sécurité gère une base de données concernant l'habilitation de sécurité de tous les membres du personnel placés sous la responsabilité du SEAE et de ses contractants.

5. Lorsque les États membres introduisent des informations classifiées portant un marquage national de classification de sécurité dans les structures ou réseaux du SEAE, ce dernier protège ces informations conformément aux règles applicables aux ICUE de niveau équivalent tel que prévu dans le tableau d'équivalence des classifications de sécurité figurant à l'appendice B de la présente décision.

6. Les zones du SEAE où sont stockées des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d'un niveau de classification supérieur, ou équivalent, sont créées en tant que zones sécurisées conformément aux règles applicables en vertu de l'annexe AII de la présente décision, et doivent être approuvées par l'autorité de sécurité du SEAE.

7. Les procédures d'habilitation à l'exécution de tâches incombant à la haute représentante dans le cadre d'accords ou d'arrangements administratifs concernant l'échange d'ICUE avec des pays tiers ou des organisations internationales sont décrites aux annexes A et A VI de la présente décision.

8. Le secrétaire général détermine les conditions dans lesquelles le SEAE peut échanger les ICUE qu'il détient avec d'autres institutions, organes, organismes ou agences de l'Union européenne. Un cadre approprié sera mis en place à cette fin, y compris au moyen de la conclusion d'accords interinstitutionnels ou d'autres arrangements lorsque cela est nécessaire à cet effet.

9. Un tel cadre vise à garantir que les ICUE font l'objet d'une protection appropriée à leur niveau de classification et conforme à des principes de base et normes minimales équivalents à ceux énoncés dans la présente décision.

Article 7

Incidents et urgences en matière de sécurité

1. Afin de garantir une réponse opportune et efficace aux incidents en matière de sécurité, le SEAE établit une procédure de signalement de tels incidents et urgences, qui soit opérationnelle 24 heures sur 24, sept jours sur sept, et couvre tout type d'incident en matière de sécurité ou de menace pour les intérêts du SEAE à protéger (par exemple accidents, conflits, actes malveillants, actes criminels, enlèvements et prises d'otages, urgences médicales, incidents au niveau des systèmes d'information et de communication, cyberattaques, etc.).

2. Des lignes d'urgence sont établies entre le siège du SEAE, les délégations de l'Union, le Conseil, la Commission, les représentants spéciaux de l'UE et les États membres, afin de les aider à gérer les incidents sur le plan de la sécurité impliquant du personnel et leurs conséquences, y compris la planification des mesures d'urgence.

3. Cette gestion des incidents de sécurité inclut, entre autres:

— des procédures de soutien efficace au processus décisionnel en cas d'incident de sécurité impliquant du personnel, y compris des décisions liées à l'extraction ou à la suspension d'une mission, et

— une politique et des procédures de récupération du personnel, par exemple en cas de disparitions ou en cas d'enlèvements ou de prises d'otages, en tenant compte des responsabilités particulières des États membres, des institutions de l'UE et du SEAE à cet égard. La nécessité de disposer de capacités spécifiques, dans le cadre de la gestion de telles opérations sur ce point, est prise en considération eu égard aux ressources que les États membres pourraient fournir.

4. Le SEAE met en place des arrangements administratifs en matière de signalement de tout incident de sécurité survenant dans les délégations de l'Union. Les États membres, la Commission, tout autre autorité pertinente, ainsi que les comités de sécurité concernés sont informés, le cas échéant.

5. Les procédures de gestion des incidents devraient être mises à l'épreuve et réexaminées régulièrement.

Article 8

Sécurité des systèmes d'information et de communication

1. Le SEAE protège les informations traitées dans les systèmes d'information et de communication (ci-après «SIC») contre les menaces pesant sur leur confidentialité, leur intégrité, leur disponibilité, leur authenticité et leur non-répudiation.

2. L'autorité de sécurité du SEAE approuve des règles, des lignes directrices en matière de sécurité et un programme de sécurité pour la protection de tous les SIC détenus ou exploités par le SEAE.

3. Les règles, la politique et le programme sont conformes à ceux du Conseil et de la Commission et, le cas échéant, aux politiques de sécurité appliquées par les États membres, et leur mise en œuvre est étroitement coordonnée avec ces derniers.

4. Tous les SIC traitant des informations classifiées font l'objet d'un processus d'homologation. Le SEAE applique un système de gestion de l'homologation de sécurité en concertation avec le Secrétariat général du Conseil et la Commission européenne.

5. Lorsque la protection des ICUE traitées par le SEAE est assurée par des produits cryptographiques, ces produits doivent être agréés par l'autorité d'agrément cryptographique du SEAE, sur recommandation du comité de sécurité du Conseil.

6. L'autorité de sécurité du SEAE met en place, selon les besoins, les autorités chargées de l'assurance de l'information, comme suit:

a) une autorité chargée de l'assurance de l'information;

b) une autorité TEMPEST;

c) une autorité d'agrément cryptographique;

d) une autorité de distribution cryptographique.

7. Pour chaque système, l'autorité de sécurité du SEAE crée les autorités suivantes:

a) une autorité d'homologation de sécurité;

b) une autorité opérationnelle chargée de l'assurance de l'information.

8. Les dispositions d'application du présent article concernant la protection des ICUE sont exposées aux annexes A et A IV.

Article 9

Infractions à la sécurité et compromission des informations classifiées

1. Une infraction à la sécurité résulte d'un acte ou d'une omission qui est contraire aux règles de sécurité énoncées dans la présente décision et/ou aux politiques ou lignes directrices en matière de sécurité énonçant les éventuelles mesures nécessaires à sa mise en œuvre, telles qu'approuvées conformément à l'article 21, paragraphe 1.

2. Une compromission d'informations classifiées consiste en une divulgation totale ou partielle desdites informations à des personnes ou entités non autorisées.

3. Toute infraction à la sécurité, réelle ou présumée, et toute compromission d'informations classifiées, réelle ou présumée, sont immédiatement signalées à la direction du SEAE chargée de la sécurité, qui prend les mesures appropriées, telles qu'énoncées à l'annexe A, article 11.

4. Toute personne coupable d'une infraction aux règles de sécurité établies dans la présente décision, ou d'une compromission d'informations classifiées, est passible d'une sanction disciplinaire et/ou juridique, conformément aux dispositions législatives et réglementaires applicables, telles qu'énoncées à l'article 11, paragraphe 3, de l'annexe A.

Article 10

Enquêtes sur les incidents de sécurité, infractions et/ou compromissions et actions correctives

1. Sans préjudice de l'article 86 (régime disciplinaire) et de l'annexe IX du statut (3), les enquêtes de sécurité peuvent être menées par la direction du SEAE chargée de la sécurité:

a) en cas de fuite, usage abusif ou compromission potentiels d'informations sensibles non classifiées, d'ICUE ou d'informations classifiées Euratom;

b) pour contrer les attaques hostiles de services de renseignement contre le SEAE et son personnel;

c) pour contrer les attaques terroristes contre le SEAE et son personnel;

d) en cas de cyberincidents;

e) en cas d'autres incidents touchant ou susceptibles de toucher la sécurité générale au sein du SEAE, y compris en cas de suspicion d'infractions pénales.

2. La direction du SEAE chargée de la sécurité, assistée d'experts des États membres et/ou d'autres institutions de l'Union, le cas échéant, et moyennant l'autorisation de l'autorité de sécurité du SEAE, si besoin est, met en œuvre toute action corrective nécessaire résultant d'enquêtes, lorsqu'il y a lieu.

Seul le personnel autorisé sur la base d'un mandat nominatif attribué par l'autorité de sécurité du SEAE, compte tenu de ses obligations actuelles, peut être habilité à mener et coordonner des enquêtes de sécurité dans le cadre du SEAE.

3. Les enquêteurs ont accès à toutes les informations nécessaires à la conduite de telles enquêtes et bénéficient de toute l'aide de l'ensemble des services et du personnel du SEAE sur ce point.

Les enquêteurs peuvent entreprendre des actions adéquates pour préserver les preuves réunies d'une manière proportionnée à la gravité du cas examiné.

4. Lorsque l'accès aux informations a trait à des données à caractère personnel, y compris celles contenues dans les systèmes d'information et de communication, un tel accès respectera les dispositions du règlement (CE) no 45/2001 (4).

5. En cas de nécessité d'établir une base de données d'investigation qui contiendra des données à caractère personnel, le Contrôleur européen de la protection des données (CEPD) en est informé conformément au règlement précité.

Article 11

Gestion des risques de sécurité

1. Afin de déterminer ses besoins en matière de sécurité, le SEAE élabore une méthode globale d'évaluation des risques pour la sécurité, en étroite coopération avec la direction de la sécurité de la Commission et, le cas échéant, avec le bureau de sécurité du Secrétariat général du Conseil.

2. Les risques pesant sur les intérêts du SEAE à protéger sont gérés dans le cadre d'une procédure. Cette dernière vise à déterminer les risques connus pesant sur la sécurité, à définir des mesures de sécurité permettant de ramener ces risques à un niveau acceptable et à appliquer ces mesures selon le principe de défense en profondeur. L'efficacité de telles mesures et le niveau de risque font l'objet d'une évaluation constante.

3. Les rôles, responsabilités et tâches fixés dans la présente décision sont sans préjudice de la responsabilité qui incombe à chaque membre du personnel placé sous la responsabilité du SEAE; plus particulièrement, les membres du personnel de l'UE en mission dans des pays tiers doivent faire preuve de bon sens et de discernement pour ce qui a trait à leur propre sécurité, et respecter toutes les dispositions législatives et réglementaires, procédures et consignes de sécurité applicables.

4. Afin de prévenir et contrôler les risques de sécurité, le personnel mandaté peut effectuer une vérification des antécédents des personnes entrant dans le champ d'application de la présente décision, de manière à déterminer si l'octroi à ces personnes de l'accès aux locaux ou à des informations du SEAE représente une menace pour la sécurité. À cette fin, et conformément au règlement (CE) no 45/2001, le personnel mandaté concerné peut: a) utiliser toutes les sources d'information dont dispose le SEAE, en tenant compte de la fiabilité de la source d'information; b) accéder au fichier du personnel ou aux données détenues par le SEAE concernant les personnes qu'il emploie ou envisage d'employer, ou pour le personnel des contractants lorsque cela est dûment justifié.

5. Le SEAE prend toutes les mesures raisonnables pour garantir la sécurité de ses intérêts qui doivent être protégés et pour éviter tout dommage raisonnablement prévisible s'y rapportant.

6. Les mesures de sécurité applicables au SEAE visant à protéger les ICUE tout au long de leur cycle de vie sont proportionnées en particulier à leur classification de sécurité, à la forme sous laquelle se présentent les informations ou les matériels ainsi qu'à leur volume, au lieu et à la construction des établissements où se trouvent des ICUE et à la menace, notamment celle évaluée à l'échelle locale, que représentent les activités malveillantes et/ou criminelles, y compris l'espionnage, le sabotage et le terrorisme.

Article 12

Sensibilisation et formation en matière de sécurité

1. L'autorité de sécurité du SEAE veille à l'élaboration et à la mise en œuvre de programmes de sensibilisation et de formation en matière de sécurité au sein du SEAE et fait en sorte que les membres du personnel placés sous la responsabilité du SEAE et, s'il y a lieu, les personnes à leur charge, bénéficient des actions de formation et de sensibilisation nécessaires et proportionnées aux risques inhérents à leur lieu de résidence.

2. Avant de se voir accorder l'accès à des ICUE et à intervalles réguliers par la suite, le personnel est informé des responsabilités qui lui incombent en matière de protection des ICUE, conformément aux règles applicables en vertu de l'article 6, et reconnaît ces responsabilités.

Article 13

Organisation de la sécurité au sein du SEAE

1. Le secrétaire général est l'autorité de sécurité du SEAE. En cette qualité, le secrétaire général veille:

a) à ce que les mesures de sécurité fassent l'objet, si nécessaire, d'une coordination avec les autorités compétentes des États membres, le Secrétariat général du Conseil, la Commission européenne et, s'il y a lieu, les pays tiers ou organisations internationales sur toutes les questions de sécurité présentant un intérêt pour les activités du SEAE, notamment en ce qui concerne la nature des risques qui pèsent sur les intérêts du SEAE à protéger et les moyens pour ce faire;

b) à ce que les aspects liés à la sécurité soient pleinement pris en compte d'emblée pour l'ensemble des activités du SEAE;

c) à ce que seules les personnes réunissant les conditions exposées à l'article 5 de l'annexe A aient accès aux informations classifiées;

d) à ce que soit établi un système d'enregistrement qui garantisse que les informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d'un niveau de classification supérieur soient traitées conformément à la présente décision au sein du SEAE, ainsi qu'au sein des États membres de l'UE, des institutions, organes et organismes de l'Union ou d'autres destinataires autorisés si elles leur ont été communiquées. Un registre distinct est tenu pour toutes les ICUE communiquées par le SEAE à des pays tiers ou des organisations internationales, et pour toutes les informations classifiées communiquées par des pays tiers ou des organisations internationales;

e) à ce que les inspections de sécurité visées à l'article 16 soient réalisées;

f) à ce que des enquêtes soient menées sur toute infraction à la sécurité, réelle ou présumée, ainsi que sur toute compromission ou perte — réelle ou présumée — d'informations classifiées détenues par le SEAE ou provenant de ce dernier, et à ce qu'il soit demandé aux autorités de sécurité compétentes de participer à de telles enquêtes;

g) à ce que des mécanismes et des plans adéquats de gestion des incidents et de leurs conséquences soient mis en place, de manière à réagir rapidement et efficacement en cas d'incidents de sécurité;

h) à ce que des mesures appropriées soient prises en cas de non-respect de la présente décision;

i) à ce que des mesures physiques et organisationnelles appropriées soient mises en place pour protéger les intérêts du SEAE qui doivent l'être. À cet égard, l'autorité de sécurité du SEAE: — fixe la catégorie de sécurité des délégations de l'Union, en concertation avec la Commission, — décide, après consultation de la HR, et le cas échéant, de l'évacuation, ou non, du personnel des délégations de l'Union si la sécurité l'exige, — décide des mesures à appliquer pour la protection des personnes à charge, compte tenu, le cas échéant, des arrangements convenus avec les institutions de l'Union visés à l'article 3, paragraphe 3, — approuve la politique de communication cryptographique, en particulier le programme d'installation de produits et du mécanisme cryptographiques.

2. L'autorité de sécurité du SEAE est assistée dans cette tâche par le DGBA, par le directeur du SEAE chargé de la sécurité et, le cas échéant, par le secrétaire général adjoint chargé de la PSDC et de la réponse aux crises.

3. Le secrétaire général en tant qu'autorité de sécurité du SEAE peut déléguer des tâches dans ce domaine, le cas échéant.

4. Chaque chef de département/division est tenu de mettre en œuvre les règles de protection des ICUE au sein de son département ou de sa division.

Tout en conservant les responsabilités mentionnées ci-dessus, chaque chef de département/division désigne des membres du personnel pour assurer les fonctions de coordinateur de la sécurité du département/de la division, dont les ressources seront proportionnées au volume d'ICUE traitées par ce département/cette division.

Les coordinateurs de la sécurité du département assistent et soutiennent, le cas échéant, leur chef de département/division dans l'exécution des tâches liées à la sécurité, telles que:

a) l'élaboration de toute exigence de sécurité supplémentaire adaptée aux besoins spécifiques du département/de la division;

b) l'établissement de comptes rendus périodiques sur la sécurité à l'intention des membres de leur département/division;

c) la prise de mesures visant à faire respecter le principe du «besoin d'en connaître» dans leur département/division;

d) la tenue à jour d'une liste de codes et de clés sûrs;

e) le maintien de procédures et de mesures de sécurité;

f) le signalement de toute infraction aux règles de sécurité et/ou de toute compromission d'ICUE tant au directeur qu'à la direction chargée de la sécurité;

g) le débriefing aux membres du personnel qui cessent de travailler pour le SEAE;

h) la fourniture de rapports réguliers, via leur hiérarchie, sur les questions de sécurité du département/de la division;

i) la mise en rapport avec la direction du SEAE responsable de la sécurité sur des questions de sécurité.

Toute activité ou question susceptible d'avoir une incidence sur la sécurité est notifiée à la direction du SEAE responsable de la sécurité en temps utile.

5. Chaque chef de délégation est responsable de la mise en œuvre de l'ensemble des mesures relatives à la sécurité de la délégation de l'Union.

1. Le SEAE dispose d'une direction chargée de la sécurité. Elle doit:

a) gérer, coordonner, superviser et/ou mettre en œuvre toutes les mesures de sécurité dans tous les locaux relevant de la responsabilité du SEAE, au siège, à l'intérieur de l'UE et dans les pays tiers;

b) assurer la cohérence par rapport à la présente décision et aux modalités d'application de toute activité qui pourrait avoir une incidence sur la préservation des intérêts du SEAE à protéger;

c) assurer les fonctions de conseiller principal de la HR, de l'autorité de sécurité du SEAE et du secrétaire général adjoint sur toutes les questions relatives à la sécurité;

d) se faire assister par les services compétents des États membres, conformément à l'article 10, paragraphe 3, de la décision 2010/427/UE du Conseil fixant l'organisation et le fonctionnement du SEAE;

e) soutenir les activités de l'autorité d'homologation de sécurité du SEAE en effectuant des évaluations de la sécurité physique de l'environnement général de sécurité (EGS)/de l'environnement local de sécurité (ELS) des systèmes d'information et de communication traitant des ICUE, ainsi que des locaux autorisés à traiter et à stocker des ICUE.

2. Le directeur du SEAE responsable de la sécurité est chargé:

a) de garantir la protection générale des intérêts du SEAE à protéger;

b) de rédiger, de revoir et de mettre à jour les règles de sécurité, ainsi que de coordonner les mesures de sécurité avec les autorités nationales compétentes et, le cas échéant, les autorités compétentes de pays tiers et d'organisations internationales liées à l'UE par des accords et/ou des arrangements de sécurité;

c) d'appuyer les procédures du comité de sécurité du SEAE, tel qu'établi à l'article 15, paragraphe 1, de la présente décision;

d) de se mettre en rapport avec tous partenaires ou autorités autres que ceux mentionnés au point b) ci-dessus pour les questions de sécurité, le cas échéant;

e) d'établir des priorités et de soumettre des propositions en vue de la gestion du budget consacré à la sécurité au siège et dans les délégations de l'Union.

3. Le chef de la direction du SEAE responsable de la sécurité est chargé:

a) de garantir l'enregistrement des infractions et compromissions en matière de sécurité, le lancement et la conduite d'enquêtes dans de tels cas, lorsque c'est nécessaire;

b) de se réunir régulièrement, à chaque fois que c'est nécessaire, avec le directeur de la sécurité du Secrétariat général du Conseil et avec le directeur de la direction de la sécurité de la Commission pour discuter de thèmes d'intérêt commun.

4. La direction du SEAE chargée de la sécurité noue des contacts et entretient une coopération étroite avec:

— les départements responsables de la sécurité au sein des ministères nationaux des affaires étrangères,

— les autorités nationales de sécurité (ANS) et/ou les autres autorités compétentes en matière de sécurité dans les États membres afin d'obtenir leur aide quant aux informations dont elle a besoin pour évaluer les dangers et menaces qui peuvent peser sur le SEAE, son personnel, ses activités, ses biens et ses ressources, ainsi que ses informations classifiées dans les lieux où se déroulent normalement ses travaux,

— les autorités de sécurité compétentes des États membres ou des pays d'accueil sur le territoire desquels le SEAE peut exercer ses activités, concernant toute question relative à la protection des membres de son personnel, de ses activités, de ses biens et ressources, ainsi que de ses informations classifiées quand ils se trouvent sur leur territoire,

— le bureau de sécurité du Secrétariat général du Conseil et la direction de la sécurité de la direction générale des ressources humaines et de la sécurité de la Commission et, le cas échéant, les services chargés de la sécurité des autres institutions, organes et organismes de l'UE,

— les services de sécurité de pays tiers ou d'organisations internationales, aux fins de toute coordination utile, et

— les ANS des États membres, concernant toute question relative à la protection des ICUE.

1. Chaque chef de délégation est responsable de la mise en œuvre et de la gestion, au niveau local, de toutes les mesures relatives à la préservation des intérêts du SEAE à protéger dans les locaux de la délégation de l'Union concernée et relevant de sa compétence.

Il prend, en concertation avec les autorités compétentes de l'État d'accueil si nécessaire, toutes les mesures pouvant être raisonnablement mises en œuvre afin de garantir la mise en place, à cette fin, de mesures physiques et organisationnelles adéquates.

Le chef de délégation établit les procédures de sécurité concernant la protection des personnes à charge, telles que définies à l'article 2, point c), compte tenu, le cas échéant, de tout arrangement administratif visé à l'article 3, paragraphe 3. Le chef de délégation rend compte de toutes les questions de sécurité relevant de sa compétence au chef de la direction du SEAE chargée de la sécurité.

Il est assisté, dans l'accomplissement de ces tâches, par la direction du SEAE chargée de la sécurité, par l'équipe de gestion de la sécurité de la délégation de l'Union, qui est composée d'agents exerçant des tâches et fonctions de sécurité, et par du personnel de sécurité affecté en cas de besoin.

La délégation de l'Union noue des contacts réguliers et entretient une coopération étroite en matière de sécurité avec les missions diplomatiques des États membres.

2. Le chef de délégation prend en outre les mesures suivantes:

— il établit des plans de sécurité et d'urgence détaillés pour la délégation de l'Union, sur la base de procédures opérationnelles standard générales,

— il s'occupe d'un système opérationnel 24 heures sur 24 et 7 jours sur 7 de gestion des incidents de sécurité et des urgences relevant du champ d'intervention de la délégation de l'Union,

— il veille à ce que tous les membres du personnel travaillant pour la délégation de l'Union soient assurés conformément aux conditions en la matière,

— il veille à ce que le thème de la sécurité soit intégré à la formation d'entrée en service que les délégations de l'Union dispensent à tous les membres du personnel au moment de les accueillir, et

— il s'assure de la bonne mise en œuvre des recommandations émises après les évaluations de la sécurité et transmet des rapports écrits à intervalles réguliers au sujet de leur mise en œuvre et d'autres questions de sécurité à l'autorité de sécurité du SEAE.

3. Tout en demeurant responsable et en devant continuer de rendre compte de la préservation de la gestion de la sécurité ainsi que de l'obligation qui lui incombe de garantir la résilience organisationnelle, le chef de délégation peut déléguer l'exécution de ses tâches en matière de sécurité au coordinateur de la sécurité de la délégation (CSD), à savoir soit le chef adjoint de la délégation ou, si personne n'est désigné, quiconque à même d'assurer cette fonction.

Plus particulièrement, les responsabilités suivantes peuvent être confiées au CSD:

— coordonner les fonctions de sécurité au sein de la délégation de l'Union,

— se mettre en rapport, pour les questions de sécurité, avec les autorités compétentes du pays d'accueil et les homologues indiqués au sein des ambassades et des missions diplomatiques des États membres,

— mettre en œuvre des procédures adéquates de gestion de la sécurité en rapport avec les intérêts du SEAE à protéger, y compris la protection des ICUE,

— assurer le respect des règles et instructions de sécurité,

— mettre les membres du personnel au courant des règles de sécurité auxquelles ils doivent se soumettre, ainsi que des risques particuliers dans le pays d'accueil,

— soumettre des demandes à la direction du SEAE chargée des habilitations de sécurité concernant les positions nécessitant une habilitation de sécurité du personnel (HSP), et

— tenir le chef de délégation, le responsable régional de la sécurité (RSO) et la direction du SEAE chargée de la sécurité constamment informés des incidents ou nouveaux éléments en la matière ayant une incidence sur la préservation des intérêts du SEAE à protéger.

4. Le chef de délégation peut déléguer des tâches de sécurité à caractère administratif ou technique au chef d'administration et à d'autres membres du personnel de la délégation de l'Union.

5. La délégation de l'Union est assistée par un RSO. Dans les délégations de l'Union, les RSO endossent les rôles, définis ci-dessous, dans chacun de leurs domaines de compétences géographiques respectifs.

Dans certaines circonstances, lorsque les conditions de sécurité du moment l'exigent, un RSO précis peut être assigné à résider à temps plein dans une délégation de l'Union donnée.

Un RSO peut être muté dans une zone ne relevant pas de son domaine de compétence actuel, y compris au siège, voire devoir accepter un poste résidentiel en fonction de la situation d'un pays en matière de sécurité, et en fonction des exigences de la direction du SEAE chargée de la sécurité.

6. Les RSO sont placés sous le contrôle opérationnel direct du service du siège du SEAE chargé de la sécurité sur le terrain, mais sous le contrôle administratif partagé du chef de délégation de leur lieu d'affectation et du service du siège chargé de la sécurité sur le terrain. Ils conseillent et assistent le chef de délégation et les membres du personnel de la délégation de l'Union dans l'organisation et la mise en œuvre de toutes les mesures physiques, organisationnelles et procédurales liées à la sécurité de la délégation.

7. Les RSO prodiguent conseil et soutien au chef de délégation et au personnel de délégation de l'Union. Lorsqu'il y a lieu, en particulier lorsqu'un RSO est un résident à temps plein dans la délégation, il ou elle devrait aider la délégation de l'Union dans la gestion et la mise en œuvre de la sécurité, y compris dans la préparation de contrats de sécurité, la gestion d'homologations et d'habilitations.

Article 14

Opérations PSDC et représentants spéciaux de l'UE

La direction du SEAE chargée de la sécurité conseille le directeur de la direction «Gestion des crises et planification» (CMPD), le directeur général de l'État-major de l'UE (EMUE), le commandant d'opérations civiles de la Capacité civile de planification et de conduite (CPCC), ainsi que les commandants d'opérations militaires pour ce qui est du volet «sécurité» des opérations de PSDC, et les représentants spéciaux de l'UE en ce qui concerne le volet «sécurité» de leur mandat, complémentaires aux dispositions spécifiques prévues en la matière dans les politiques pertinentes adoptées par le Conseil.

Article 15

Le comité de sécurité du SEAE

1. Un comité de sécurité est créé par la présente décision.

Il est présidé par l'autorité de sécurité du SEAE ou par son délégué désigné et se réunit sur instruction du président ou à la demande de l'un de ses membres. La direction du SEAE chargée de la sécurité assiste le président dans ses fonctions et soutient administrativement, si nécessaire, les délibérations du comité.

2. Le comité de sécurité du SEAE est composé de représentants:

— de chaque État membre,

— du bureau de sécurité du Secrétariat général du Conseil,

— de la direction de la sécurité de la direction générale des ressources humaines et de la sécurité de la Commission européenne.

Une délégation nationale près le comité de sécurité du SEAE peut être composée de membres:

— de l'autorité nationale de sécurité et/ou de l'autorité de sécurité désignée,

— des départements responsables de la sécurité au sein des ministères nationaux des affaires étrangères.

3. Les représentants du comité peuvent être accompagnés et conseillés par des experts selon ce qu'ils jugent nécessaire. Des représentants d'autres institutions, organes ou organismes de l'UE peuvent être invités à y prendre part lorsque des points pertinents pour leur sécurité sont abordés.

4. Sans préjudice du paragraphe 5 ci-dessous, le comité de sécurité du SEAE assiste le SEAE, par voie de consultation, pour toutes les questions de sécurité pertinentes pour les activités du SEAE, le siège et les délégations de l'Union.

Plus particulièrement, et sans préjudice du paragraphe 5 ci-dessous, le comité de sécurité du SEAE:

a) doit être consulté au sujet: — des politiques, lignes directrices et concepts de sécurité, ainsi que tout autre document de méthodologie concernant la sécurité, notamment en ce qui concerne la protection d'informations classifiées et les mesures à prendre lorsque les membres du personnel du SEAE ne se conforment pas aux règles de sécurité, — des aspects techniques de sécurité susceptibles d'influencer la décision de la HR de soumettre une recommandation au Conseil en vue de l'ouverture de négociations concernant les accords sur la sécurité des informations visés à l'article 10, paragraphe 1, point a), de l'annexe A, — de toute modification de la présente décision;

b) peut être consulté ou informé, le cas échéant, au sujet de questions liées à la sécurité de membres du personnel ou de biens au siège du SEAE et dans les délégations de l'Union, sans préjudice de l'article 3, paragraphe 3;

c) doit être informé de toute compromission ou perte d'ICUE se produisant au sein du SEAE.

5. Toute modification des règles relatives à la protection des ICUE contenues dans la présente décision et son annexe A requiert l'avis unanimement favorable des États membres représentés au sein du comité de sécurité du SEAE. Un tel avis unanimement favorable est également requis avant:

— l'ouverture de négociations portant sur les arrangements administratifs visés à l'article 10, paragraphe 1, point b), de l'annexe A,

— la communication d'informations classifiées dans les circonstances exceptionnelles visées aux paragraphes 9, 11 et 12 de l'annexe A VI,

— d'endosser la responsabilité en tant qu'autorité d'origine des informations dans les circonstances visées à l'article 10, paragraphe 6, dernière phrase, de l'annexe A.

Un avis unanimement favorable est obtenu lorsque les délégations des États membres ne formulent aucune objection pendant les délibérations du comité.

6. Le comité de sécurité du SEAE tient pleinement compte des politiques et lignes directrices de sécurité en vigueur au sein du Conseil et de la Commission.

7. Le comité de sécurité du SEAE reçoit la liste des inspections annuelles du SEAE et les rapports d'inspection, dès qu'ils sont finalisés.

8. Organisation des réunions:

— Le comité de sécurité du SEAE se réunit au moins deux fois par an. Des réunions supplémentaires, à part entière ou au format de sécurité ANS/ASD ou MFA, peuvent être convoquées par le président ou organisées à la demande des membres du comité.

— Le comité de sécurité du SEAE organise ses activités de manière à être en mesure de formuler des recommandations sur des aspects spécifiques de la sécurité. Il peut créer d'autres sous-divisions spécialisées, si nécessaire. Il établit le mandat de ces sous-divisions spécialisées et reçoit leurs rapports d'activités.

— La direction du SEAE chargée de la sécurité est tenue de préparer les points de discussion. Le président établit l'ordre du jour provisoire de chaque réunion. Les membres du comité peuvent proposer d'autres points à examiner.

Article 16

Inspections de sécurité

1. L'autorité de sécurité du SEAE veille à ce que les inspections de sécurité soient réalisées, sur une base régulière, au sein du siège du SEAE et des délégations de l'Union afin de vérifier si les mesures de sécurité sont adéquates et si elles sont conformes à la présente décision. La direction du SEAE chargée de la sécurité peut, le cas échéant, désigner des experts qui apporteront leur contribution en participant aux inspections de sécurité dans les organes et organismes de l'Union visés au titre V, chapitre 2, du traité sur l'Union européenne.

2. Les inspections de sécurité du SEAE sont menées sous l'autorité de la direction du SEAE chargée de la sécurité et, le cas échéant, avec le soutien d'experts en sécurité représentant d'autres institutions de l'Union ou États membres, en particulier dans le cadre des arrangements visés à l'article 3, paragraphe 3.

3. Le SEAE peut s'appuyer, si nécessaire, sur les compétences techniques existant en la matière dans les États membres, au Secrétariat général du Conseil et à la Commission européenne.

En cas de besoin, les experts en sécurité compétents basés dans les missions d'États membres dans des pays tiers et/ou des représentants des services de sécurité diplomatiques des États membres peuvent être invités à participer à l'inspection de sécurité au sein de la délégation de l'Union.

4. Les dispositions d'application du présent article concernant la protection des ICUE sont exposées à l'annexe A III.

Article 17

Visites d'évaluation

Des visites d'évaluation sont organisées afin de s'assurer de l'efficacité des mesures de sécurité en place dans un pays tiers ou une organisation internationale pour ce qui est de la protection des ICUE échangées en vertu d'un arrangement administratif tel que visé à l'article 10, paragraphe 1, point b), de l'annexe A.

La direction du SEAE chargée de la sécurité peut demander à des experts d'apporter leur contribution en participant aux visites d'évaluation organisées dans des pays tiers ou des organisations internationales avec lesquels l'UE a conclu un accord sur la sécurité des informations tel que visé à l'article 10, paragraphe 1, point a), de l'annexe A.

Article 18

Planification de la continuité des activités

La direction du SEAE chargée de la sécurité assiste l'autorité de sécurité du SEAE dans la gestion des aspects des processus opérationnels du SEAE se rapportant à la sécurité, dans le cadre de la planification globale de la continuité des activités du SEAE.

Article 19

Consignes en matière de voyages à l'intention des participants à des missions en dehors de l'UE

La direction du SEAE chargée de la sécurité veille à la disponibilité de consignes en matière de voyages à l'intention des membres du personnel placés sous la responsabilité du SEAE amenés à participer à des missions en dehors de l'UE, en exploitant les ressources de tous les services pertinents du SEAE, notamment la salle de veille de l'UE, le centre de situation conjoint de l'Union européenne, les départements géographiques et les délégations de l'Union.

La direction du SEAE chargée de la sécurité fournit sur demande, en puisant dans les ressources susmentionnées, des consignes spécifiques en matière de voyages concernant les missions de membres du personnel placés sous la responsabilité du SEAE dans des pays tiers présentant un niveau de risque élevé ou accru.

Article 20

Santé et sécurité

Les règles de sécurité du SEAE complètent les règles du SEAE en matière de protection de la santé et de la sécurité, telles qu'adoptées par la haute représentante.

Article 21

Mise en œuvre et réexamen

1. L'autorité de sécurité du SEAE approuve, après avoir consulté, le cas échéant, le comité de sécurité du SEAE, les lignes directrices de sécurité fixant les mesures nécessaires à la mise en œuvre de ces règles au sein du SEAE et met en place les capacités nécessaires couvrant tous les aspects de la sécurité, en coopération étroite avec les autorités de sécurité compétentes des États membres et avec le concours des services concernés des institutions de l'Union.

2. Conformément à l'article 4, paragraphe 5, de la décision 2010/427/UE du Conseil du 26 juillet 2010 fixant l'organisation et le fonctionnement du Service européen pour l'action extérieure, des arrangements transitoires peuvent être conclus, si besoin est, au moyen d'accords de niveau de service avec les services compétents du Secrétariat général du Conseil et de la Commission.

3. La HR veille à ce que la présente décision soit appliquée avec cohérence et réexamine périodiquement ces règles de sécurité.

4. Les règles de sécurité du SEAE doivent être mises en œuvre en étroite coopération avec les autorités de sécurité compétentes des États membres.

5. Le SEAE veille à ce que tous les aspects du processus de sécurité soient pris en considération dans le système du SEAE de réaction en cas de crise.

6. Le secrétaire général, en tant qu'autorité de sécurité, et le chef de la direction du SEAE chargée de la sécurité garantissent la mise en œuvre de la présente décision.

Article 22

Remplacement des décisions précédentes

La présente décision abroge et remplace la décision de la haute représentante de l'Union pour les affaires étrangères et la politique de sécurité du 19 avril 2013 relative aux règles de sécurité applicables au Service européen pour l'action extérieure (5).

Article 23

Dispositions finales

La présente décision entre en vigueur le jour de sa signature.

Elle est publiée au Journal officiel de l'Union européenne.

Les autorités compétentes du SEAE informent dûment et en temps utile tous les membres du personnel concernés par la présente décision et ses annexes au sujet de son contenu, de son entrée en vigueur et toute modification qui lui est apportée ultérieurement.

Fait à Bruxelles, le 19 septembre 2017. Federica MOGHERINI Haute représentante de l'Union pour les affaires étrangères et la politique de sécurité

(1) JO L 201 du 3.8.2010, p. 30.

(2) JO C 304 du 15.10.2011, p. 7.

(3) Statut des fonctionnaires de l'Union européenne et régime applicable aux autres agents de l'Union européenne, fixés dans le règlement (CEE, Euratom, CECA) no 259/68 du Conseil (JO L 56 du 4.3.1968, p. 1), ci-après le «statut».

(4) Règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO L 8 du 12.1.2001, p. 1).

(5) JO C 190 du 29.6.2013, p. 1.