DÉCISION no 41/2021 DE LA COUR DES COMPTES

concernant les règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne (ICUE)

LA COUR DES COMPTES EUROPÉENNE,

vu l’article 13 du traité sur l’Union européenne,

vu l’article 287 du traité sur le fonctionnement de l’Union européenne,

vu l’article 257 du règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil du 18 juillet 2018 relatif aux règles financières applicables au budget général de l’Union,

vu l’article 1er, paragraphe 6, des modalités d’application du règlement intérieur de la Cour des comptes (décision no 21/2021 de la Cour),

vu les règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne des autres institutions, agences et organes de l’Union,

vu la politique de sécurité de l’information de la Cour (DEC 127/15 FINAL) et sa politique de classification des informations (communication au personnel no 123/2020),

considérant ce qui suit:

En vertu de l’article 287, paragraphe 3, du TFUE, la Cour des comptes a le droit d’accéder à tous les documents pertinents ou informations qu’elle estime nécessaires à l’accomplissement de sa mission, y compris aux informations classifiées de l’UE (ICUE), ce droit d’accès s’exerçant dans le plein respect du principe de coopération loyale entre les institutions et du principe d’attribution. Ce droit d’accès aux ICUE, garanti par le TFUE, ne peut pas être remis en cause par l’autorité d’origine des ICUE, tandis qu’il peut être demandé à la Cour des comptes de mettre en place et de respecter certaines mesures de sécurité, comme cela est indiqué de façon détaillée ci-après.

Les Membres de la Cour des comptes, ainsi que ses fonctionnaires et autres agents sont tenus, même après la cessation de leurs fonctions, à une obligation de confidentialité au titre de l’article 339 du TFUE, de l’article 17 du statut, et d’autres actes adoptés en vertu de ceux-ci.

Compte tenu de leur nature sensible, le traitement des ICUE nécessite que le respect de l’obligation de confidentialité soit assuré au moyen de mesures de sécurité appropriées visant à garantir à ces informations un haut niveau de protection, équivalentes à celles arrêtées dans les règles en matière de protection des informations classifiées de l’Union européenne adoptées par les autres institutions, agences et organes de l’Union, étant entendu que, si la Cour des comptes estime que de telles mesures de sécurité ne sont pas justifiées au regard de la nature et du type d’ICUE, elle se réserve le droit de soulever toute observation qu’elle jugerait appropriée, tout en respectant le niveau de classification des ICUE.

Les mesures de sécurité visant à protéger la confidentialité, l’intégrité et la disponibilité des informations transmises à la Cour des comptes doivent être appropriées à la nature et au type d’informations concernés.

Compte tenu de la nature et du contenu sensible de certaines informations, il y a lieu d’établir une procédure spéciale pour le traitement, par la Cour des comptes, des documents contenant des ICUE.

DÉCIDE:

6. Sauf indication contraire, les dispositions relatives aux ICUE s’appliquent de manière équivalente aux informations classifiées visées au paragraphe 2, points b) et c), du présent article.

5. Nonobstant toute indication spécifique concernant des groupes particuliers de personnel, la présente décision s’applique aux Membres de la Cour des comptes, au personnel de la Cour des comptes couvert par le statut et par le régime applicable aux autres agents de l’Union européenne (2) , aux experts nationaux détachés auprès de la Cour des comptes (END), aux prestataires de services et à leur personnel, aux stagiaires et à toute personne ayant accès aux bâtiments et autres propriétés de la Cour des comptes, ou à des informations gérées par la Cour des comptes.

RESTREINT UE/EU RESTRICTED: informations et matériels dont la divulgation non autorisée pourrait être défavorable aux intérêts de l’Union européenne ou d’un ou de plusieurs de ses États membres.

SECRET UE/EU SECRET: informations et matériels dont la divulgation non autorisée pourrait nuire gravement aux intérêts essentiels de l’Union européenne ou d’un ou de plusieurs de ses États membres,

TRÈS SECRET UE/EU TOP SECRET: informations et matériels dont la divulgation non autorisée pourrait causer un préjudice exceptionnellement grave aux intérêts essentiels de l’Union européenne ou d’un ou de plusieurs de ses États membres,

«bureau d’ordre pour les ICUE»: une entité située au sein d’une zone sécurisée. Celui-ci est géré par l’agent contrôleur de la Cour des comptes, qui dispose d’une habilitation de sécurité et d’une autorisation d’accès aux ICUE. Ce bureau est responsable des entrées et des sorties des informations CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur, ou équivalentes, échangées avec la Cour des comptes;

«bureau d’enregistrement»: une entité administrée par le secrétariat de la Cour et située dans une zone administrative relevant de la responsabilité du directeur des Ressources humaines, finances et services généraux de la Cour. Il est responsable des entrées et des sorties des informations RESTREINT UE/EU RESTRICTED, ou équivalentes, échangées avec la Cour des comptes;

«certificat d’habilitation de sécurité du personnel» (CHSP): un certificat délivré par la direction Ressources humaines, finances et services généraux de la Cour des comptes attestant qu’une personne détient une habilitation de sécurité valable ou une autorisation de sécurité, indiquant le niveau de classification des ICUE auquel l’intéressé peut se voir accorder l’accès (CONFIDENTIEL UE/EU CONFIDENTIAL ou supérieur), la durée de validité de l’habilitation ou autorisation de sécurité correspondante et la date d’expiration du certificat;

«habilitation de sécurité du personnel» (HSP): une déclaration émanant d’une autorité compétente d’un État membre établie à la suite d’une enquête de sécurité menée par les autorités compétentes d’un État membre et attestant qu’une personne peut, pour autant que son besoin d’en connaître ait été établi et qu’elle ait été correctement informée des responsabilités qui lui incombent en la matière, être autorisée à avoir accès aux ICUE jusqu’à un niveau de classification donné (CONFIDENTIEL UE/EU CONFIDENTIAL ou supérieur) jusqu’à une date donnée;

«traitement» d’ICUE: l’ensemble des actions dont les ICUE sont susceptibles de faire l’objet tout au long de leur cycle de vie: création, enregistrement, traitement, transport, déclassement, déclassification et destruction. En ce qui concerne les systèmes d’information et de communication (SIC), sont en outre compris leur collecte, leur affichage, leur transmission et leur stockage;

«matériel cryptographique»: les algorithmes cryptographiques, les modules matériels et logiciels cryptographiques, et les produits comprenant les modalités de mise en œuvre et la documentation y relative, ainsi que les éléments de mise à la clé;

«autorisation d’accès aux ICUE»: une décision du directeur des Ressources humaines, finances et services généraux de la Cour des comptes prise en fonction d’une assurance donnée par une autorité compétente d’un État membre attestant qu’un fonctionnaire de la Cour des comptes, un autre agent ou un expert national détaché peut, pour autant que son besoin d’en connaître ait été établi et qu’il ait été correctement informé des responsabilités qui lui incombent en la matière, être autorisé à avoir accès aux ICUE jusqu’à un niveau de classification donné (CONFIDENTIEL UE/EU CONFIDENTIAL ou supérieur) jusqu’à une date donnée; l’individu en question est alors «autorisé sécurité»;

9. À moins que l’autorité d’origine de documents classifiés SECRET UE/EU SECRET ou d’un niveau de classification inférieur ait imposé de restrictions à leur duplication ou à leur traduction, lesdits documents peuvent être dupliqués ou traduits à la demande du détenteur et conformément aux instructions pratiques de l’autorité de sécurité de l’information de la Cour des comptes. Les mesures de sécurité applicables au document original le sont aussi à ses copies et à ses traductions.

7. Lorsque la Cour, pour exercer son mandat, estime devoir partager plus largement certains éléments provenant d’un document ou d’informations classifiés, elle doit — en tenant dûment compte du marquage de classification de sécurité — consulter l’autorité d’origine avant de décider d’utiliser ces éléments ou informations, si elle est d’avis qu’il existe un intérêt public supérieur de ce faire. Les informations ne sont utilisées dans le rapport que de manière que l’intérêt de l’autorité d’origine ne soit pas lésé. Cela peut être garanti de manière appropriée en invitant l’autorité d’origine à formuler des commentaires afin de parvenir à un accord sur la façon d’anonymiser les informations, de les condenser ou de les généraliser, etc., tout en respectant les intérêts des principaux concernés par les informations publiées.

6. Nonobstant le paragraphe 5, la Cour des comptes et l’autorité d’origine peuvent convenir que pour un audit en particulier, la Cour des comptes soit autorisée à reproduire ou à utiliser des éléments d’ICUE dans un document. Dans ce cas, le document de la Cour des comptes concerné est dans un premier temps envoyé à l’autorité d’origine des ICUE concernées avant ou pendant la procédure contradictoire. La Cour des comptes et l’autorité d’origine s’entendent alors sur la nécessité de classifier ou non le document émis par la Cour des comptes. Lorsqu’un Membre rapporteur de la Cour des comptes estime nécessaire de transmettre un rapport d’audit ayant été classifié, en tout ou partie, à certains destinataires au sein du Parlement européen ou du Conseil — en tenant compte de toutes les mesures de sécurité de la présente décision —, le consentement de l’autorité d’origine de l’information classifiée est requis. Le cadre juridique et la procédure d’échange d’un tel document sont énoncés à l’article 7.

5. Les ICUE ne font l’objet d’aucune divulgation écrite ou orale. Les observations préliminaires, les rapports, avis, communiqués de presse et autres produits de la Cour des comptes, ses sites internet et intranet, les interventions orales, les réponses aux demandes d’accès aux documents (3) ainsi que les enregistrements vocaux ou vidéo ne contiennent ni extrait ni référence à des ICUE. Cependant si l’autorité d’origine a publié des documents ou des informations contenant une référence à une ICUE, cette référence peut être mentionnée.

2. À cette fin, la Cour des comptes soumet le traitement de toutes les ICUE à des mesures de sécurité physique et, si nécessaire, de sécurité concernant le personnel, y compris à des autorisations d’accès pour les personnes identifiées et à des mesures de protection concernant les systèmes d’information et de communication. Ces mesures sont définies aux articles 4 à 6 et s’appliquent tout au long du cycle de vie des ICUE. Elles sont proportionnées au niveau de classification de sécurité, à la forme sous laquelle se présentent les informations ou les matériels ainsi qu’à leur volume, au lieu et à la construction des établissements où se trouvent les ICUE et à la menace, évaluée à l’échelle locale, que représentent les activités malveillantes et/ou criminelles, y compris l’espionnage, le sabotage et le terrorisme.

7. Toute personne qui est en possession d’une ICUE sans y avoir été dûment autorisée et/ou en l’absence d’un besoin d’en connaître avéré est tenue de signaler la situation à l’autorité de sécurité de l’information dans les plus brefs délais et d’assurer la protection de l’ICUE conformément à la présente décision.

5. Seules les personnes disposant de l’autorisation visée au paragraphe 2, sous iii), du présent article et les Membres de la Cour des comptes, conformément au paragraphe 1 dudit article, peuvent être autorisés à participer à des réunions lors desquelles des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur sont traitées. La Cour des comptes et l’autorité d’origine conviennent, au cas par cas, des modalités pratiques relatives à ces réunions.

4. Le directeur des Ressources humaines, finances et services généraux de la Cour des comptes peut délivrer un CHSP précisant le niveau de classification des ICUE auquel l’intéressé peut se voir accorder l’accès (CONFIDENTIEL UE/EU CONFIDENTIAL ou un niveau supérieur), la durée de validité de l’autorisation d’accès à des ICUE correspondante et la date d’expiration du CHSP.

3. La procédure ayant pour but de déterminer si un fonctionnaire ou un autre agent de la Cour des comptes, compte tenu de sa loyauté, de son intégrité et de sa fiabilité, peut être autorisé à accéder à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL après obtention de l’assurance par les autorités compétentes d’un État membre visée à l’article 2, point n), est précisée dans une décision déléguée prise en application de l’article 10, paragraphe 10. La décision d’accorder une autorisation d’accès est prise par le directeur des Ressources humaines, finances et services généraux de la Cour des comptes.

avoir été informé des règles de sécurité applicables à la protection des ICUE ainsi que des normes et lignes directrices correspondantes en matière de sécurité, et avoir reconnu par écrit les responsabilités qui lui incombent en matière de protection de ces informations;

1. Les Membres de la Cour des comptes sont, en vertu de leurs fonctions, réputés autorisés à accéder aux ICUE et à participer aux réunions au cours desquelles des ICUE sont traitées. Les Membres de la Cour des comptes sont informés de leurs obligations en matière de sécurité en ce qui concerne la protection des ICUE et reconnaissent par écrit les responsabilités qui leur incombent en matière de protection de ces informations.

11. L’autorité de sécurité physique et l’autorité de sécurité de l’information établissent un plan conjoint tenant compte des conditions locales pour assurer la sauvegarde des ICUE en temps de crise, y compris si nécessaire des plans de destruction et d’évacuation en cas d’urgence. Elles émettent les consignes qu’elles jugent appropriées pour éviter que des ICUE ne tombent entre les mains de personnes non autorisées.

10. Les informations RESTREINT UE/EU RESTRICTED peuvent être détruites par leur détenteur, selon les règles en matière d’archivage applicables à la Cour des comptes. La destruction d’informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur est effectuée uniquement par l’agent contrôleur, à la demande du détenteur ou d’une autorité compétente conformément aux règles en matière d’archivage applicables à la Cour des comptes. La destruction de documents classifiés SECRET UE/EU SECRET est effectuée en présence d’un témoin justifiant de l’habilitation de sécurité correspondant au moins au niveau de classification du document à détruire. L’agent contrôleur et le témoin, lorsque la présence de ce dernier est requise, signent un procès-verbal de destruction, qui est rempli dans le bureau d’ordre. L’agent contrôleur conserve les procès-verbaux de destruction des documents CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET pendant cinq ans au minimum.

6. La Cour des comptes peut conclure un accord de service avec une autre institution de l’Union au Luxembourg pour pouvoir traiter et stocker des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur dans une zone sécurisée de cette institution. Sauf accord spécifique de l’autorité d’origine, ces ICUE ne sont ni traitées ni stockées dans les locaux de la Cour des comptes et ne font l’objet d’aucune duplication ou traduction par la Cour des comptes.

2. Les mesures de sécurité physique sont destinées à faire obstacle à toute intrusion par la ruse ou par la force, à avoir un effet dissuasif, à empêcher et détecter les actes non autorisés et permettre d’établir une distinction entre les membres du personnel au regard de l’accès aux ICUE conformément au principe du besoin d’en connaître. Ces mesures sont déterminées sur la base d’une procédure de gestion des risques, conformément à la présente décision.

1. Par «sécurité physique», on entend l’utilisation de mesures physiques et techniques de protection pour empêcher l’accès non autorisé aux ICUE.

9. Les informations RESTREINT UE/EU RESTRICTED sont traitées uniquement sur des dispositifs électroniques (postes de travail, imprimantes, photocopieuses, etc.) situés dans une zone administrative ou une zone sécurisée. Les dispositifs électroniques qui traitent les informations RESTREINT UE/EU RESTRICTED sont séparés des autres réseaux informatiques et protégés par des mesures physiques ou techniques appropriées.

5. Le système d’information et de communication (SIC) de la Cour des comptes utilisé pour le traitement des ICUE est homologué par une autorité compétente. À cette fin, la Cour des comptes s’efforce de conclure un accord de service avec l’autorité d’homologation de sécurité d’une institution de l’Union ayant la capacité d’accorder une homologation à un SIC traitant des ICUE, en vue de la délivrance d’une déclaration d’homologation pour le traitement des informations RESTREINT UE/EU RESTRICTED par le SIC de la Cour des comptes, avec les modalités et les conditions de fonctionnement correspondantes. Cet accord de service fait également référence aux normes à appliquer à la procédure d’homologation et est conclu conformément à la procédure prévue à l’article 10, paragraphe 3.

4. L’ensemble des dispositifs et équipements électroniques utilisés pour le traitement des ICUE sont conformes aux règles applicables en matière de protection des ICUE. La préférence est accordée aux dispositifs et équipements électroniques qui ont déjà été homologués par une autre institution, une autre agence ou un autre organe de l’Union. La sécurité des dispositifs est garantie tout au long de leur cycle de vie.

la «communication des risques» consiste à sensibiliser la communauté des utilisateurs d’un système d’information et de communication aux risques, à informer les autorités d’homologation de ces risques et à faire rapport à leur sujet aux autorités responsables de l’exploitation.

on entend par «risque résiduel» le risque qui subsiste après que des mesures de sécurité ont été mises en œuvre, étant entendu qu’il est impossible de contrer toutes les menaces et d’éliminer toutes les vulnérabilités,

l’«évaluation des risques» consiste à déterminer les menaces et les vulnérabilités et à procéder à l’analyse des risques correspondants, c’est-à-dire à examiner leur probabilité et leur impact,

Cette assurance est fondée sur un processus de gestion des risques. On entend par «risque» la possibilité qu’une menace donnée se concrétise en tirant parti des vulnérabilités internes et externes d’une organisation ou d’un des systèmes qu’elle utilise et cause ainsi un préjudice à l’organisation ou à ses ressources matérielles ou immatérielles. Il se mesure en tenant compte à la fois de la probabilité de voir se concrétiser des menaces et de l’impact de celles-ci. Le processus de gestion des risques se compose des étapes suivantes: identification des menaces et des vulnérabilités, évaluation des risques, traitement des risques, acceptation des risques et communication des risques:

d’«intégrité»: propriété consistant à préserver l’exactitude et le caractère complet des informations et éléments,

de «confidentialité»: propriété selon laquelle les informations ne sont pas divulguées à des personnes ou à des entités non autorisées et l’accès à ces informations n’est pas accordé à des processus non autorisés,

2. On entend par «utilisateur légitime» un Membre, un fonctionnaire, un autre agent ou un expert national détaché de la Cour des comptes qui a un besoin d’accès établi et reconnu à un système d’information spécifique.

1. Aux fins du présent article, on entend par «système d’information et de communication» tout système permettant le traitement d’ICUE sous forme électronique. Un système d’information et de communication comprend l’ensemble des moyens nécessaires pour le faire fonctionner, y compris l’infrastructure, l’organisation, le personnel et les ressources d’information.

5. Ces arrangements administratifs sont conclus dans le plein respect des principes d’attribution et de coopération loyale énoncés à l’article 13 du traité sur l’Union européenne, et conformément à la procédure prévue à l’article 10, paragraphe 4.

5. Tout fonctionnaire ou agent de la Cour des comptes qui est responsable d’une infraction aux règles de sécurité énoncées dans la présente décision et dans ses modalités d’application est passible des sanctions prévues dans le statut des fonctionnaires de l’Union européenne et le régime applicable aux autres agents de l’Union européenne.

4. Lorsqu’il est avéré ou qu’il existe des motifs raisonnables de supposer que des ICUE ont été compromises ou perdues, l’autorité de sécurité de l’information en informe le directeur des Ressources humaines, finances et services généraux ainsi que le secrétaire général de la Cour des comptes. Le directeur des Ressources humaines, finances et services généraux en informe immédiatement l’autorité de sécurité de l’autorité d’origine. Il procède à une enquête et informe le secrétaire général de la Cour des comptes et l’autorité de sécurité de l’autorité d’origine des résultats de cette enquête et des mesures prises pour éviter que les faits ne se reproduisent. Lorsqu’un Membre de la Cour des comptes est concerné, le président de la Cour des comptes est responsable de l’action à mener en collaboration avec le secrétaire général de la Cour.

3. Les règles de sécurité, les procédures de marché et les modèles pour les contrats et contrats de sous-traitance impliquant l’accès à des ICUE, les avis de marché, les documents d’orientation concernant les conditions dans lesquelles des habilitations de sécurité d’établissement et du personnel sont requises, les instructions de sécurité relatives à un programme/un projet, les annexes de sécurité, les visites, la transmission et le transport d’ICUE dans le cadre de ces contrats, sont conformes à ceux établis par la Commission européenne pour les contrats classifiés visés dans la décision (UE, Euratom) 2015/444 de la Commission (4) .

1. La Cour des comptes peut confier la réalisation de tâches impliquant ou nécessitant, en vertu de leur contrat, l’accès à des ICUE à des contractants immatriculés dans un État membre, notamment dans le cadre de la maintenance de systèmes d’information et de communication et du réseau informatique.

Article 10

Mise en œuvre de la décision et responsabilités connexes

1. Les services de la Cour des comptes prennent toutes les mesures nécessaires dans le cadre de leur responsabilité pour veiller à ce que, lors du traitement ou du stockage d’ICUE ou de toute autre information classifiée, la présente décision et les modalités d’application correspondantes soient appliquées.

2. Le secrétaire général est l’autorité investie du pouvoir de nomination et l’autorité habilitée à conclure les contrats d’engagement pour tous les fonctionnaires et autres agents. Il peut déléguer au directeur des Ressources humaines, finances et services généraux la responsabilité d’accorder aux fonctionnaires et autres agents l’autorisation d’accéder à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur, d’exercer sa fonction d’autorité d’homologation de sécurité et de superviser le secrétariat de la Cour en ce qui concerne le traitement d’ICUE.

3. Le secrétaire général est compétent pour conclure des accords de service relatifs à l’homologation des équipements et systèmes d’information et de communication de la Cour des comptes, à l’utilisation d’une zone sécurisée dans une autre institution de l’Union et à la procédure de demande d’habilitation de sécurité du personnel pour accéder aux ICUE.

4. Le directeur des Ressources humaines, finances et services généraux est compétent pour conclure des arrangements administratifs avec les institutions, agences et autres organes de l’Union relatifs à l’échange d’ICUE dont la Cour des comptes a besoin pour accomplir son mandat. Il peut également conclure des arrangements administratifs avec des États tiers ou des organisations internationales relatifs à la protection des informations classifiées reçues.

5. Le directeur des Ressources humaines, finances et services généraux est compétent pour signer toute déclaration d’engagement à protéger les ICUE fournies dans le cadre d’une transmission ad hoc exceptionnelle.

6. Le responsable de la sécurité de l’information de la Cour des comptes fait office d’autorité de sécurité de l’information. Le responsable de la sécurité de l’information et les personnes à qui il délègue tout ou partie de ses tâches disposent d’une habilitation de sécurité appropriée. L’autorité de sécurité de l’information assume ses responsabilités en coopération étroite avec la direction Ressources humaines, finances et services généraux, la direction Information, environnement de travail et innovation, ainsi que la direction du comité chargé du contrôle qualité de l’audit (voir notamment les articles 4, 6 et 8). L’autorité de sécurité de l’information est également responsable des réunions de formation et de sensibilisation sur la sécurité de l’information ainsi que des inspections périodiques visant à vérifier le respect de la présente décision, y compris en cas d’intervention externe, et des éventuelles mesures à prendre pour assurer son respect.

7. Le chef de la sécurité physique est en charge des mesures de sécurité physique (voir notamment l’article 5).

8. Un bureau d’enregistrement créé au sein du secrétariat général de la Cour constitue le point d’entrée et de sortie des informations classifiées RESTREINT UE/EU RESTRICTED échangées entre la Cour des comptes et d’autres institutions, agences, organes et des États membres de l’Union. Il constitue également le point d’entrée et de sortie pour des informations équivalentes provenant d’États tiers et d’organisations internationales. Le bureau d’enregistrement est organisé conformément aux dispositions d’une décision déléguée. L’agent responsable du bureau d’enregistrement assume les principales responsabilités suivantes: a) enregistrement de l’entrée et de la sortie des informations classifiées RESTREINT UE/EU RESTRICTED; b) gestion des zones administratives dédiées à l’enregistrement du traitement, du stockage et de la consultation des ICUE classifiées RESTREINT UE/EU RESTRICTED.

9. Un bureau d’ordre est créé au titre d’un accord de service relatif à l’utilisation d’une zone sécurisée dans une autre institution de l’Union. Ce bureau d’ordre, mis en place par le secrétariat de la Cour et sous la responsabilité du directeur des Ressources humaines, finances et services généraux de la Cour des comptes, constitue le point d’entrée et de sortie des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL, ou d’un niveau de classification supérieur, échangées entre la Cour des comptes et d’autres institutions, agences, organes et des États membres de l’Union. Il constitue également le point d’entrée et de sortie des informations équivalentes provenant d’États tiers et d’organisations internationales. Il est équipé de coffres appropriés et autres équipements de sécurité adaptés à la protection d’informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL, ou d’un niveau de classification supérieur. Le bureau d’ordre est organisé conformément aux dispositions d’une décision déléguée. L’agent contrôleur dispose d’une habilitation de sécurité appropriée et assume les principales responsabilités suivantes: a) gestion des opérations relatives à l’enregistrement, la consultation, la conservation, la reproduction, la traduction, la transmission, l’expédition et, le cas échéant, la destruction des ICUE; b) exécution de toute autre tâche en relation avec la protection des ICUE définie dans la décision déléguée.