FR Journal officiel de l'Union européenne C 190/1

DÉCISION DE LA HAUTE REPRÉSENTANTE DE L'UNION POUR LES AFFAIRES ÉTRANGÈRES ET LA POLITIQUE DE SÉCURITÉ

du 19 avril 2013

relative aux règles de sécurité applicables au Service européen pour l'action extérieure

(2013/C 190/01)

LA HAUTE REPRÉSENTANTE DE L’UNION POUR LES AFFAIRES ÉTRANGÈRE ET LA POLITIQUE DE SÉCURITÉ,

vu la décision 2010/427/UE du Conseil du 26 juillet 2010 fixant l'organisation et le fonctionnement du service européen pour l'action extérieure (1) (ci-après le «SEAE»),

vu les recommandations du comité visé à l'article 9, paragraphe 6, de la décision de la haute représentante du 15 juin 2011 relative aux règles de sécurité applicables au service européen pour l’action extérieure (2),

vu l’avis du comité visé à l’article 10, paragraphe 1, de la décision 2010/427/UE du Conseil du 26 juillet 2010 fixant l’organisation et le fonctionnement du SEAE,

considérant ce qui suit:

(1) En tant qu'organe de l'Union européenne fonctionnant de manière autonome, le SEAE devrait être doté de règles de sécurité, telles que visées à l'article 10, paragraphe 1, de la décision 2010/427/UE du Conseil;

(2) La haute représentante de l’Union pour les affaires étrangères et la politique de sécurité (ci-après la «haute représentante» ou «HR») doit fixer pour le SEAE des règles de sécurité englobant tous les aspects de la sécurité pour ce qui est du fonctionnement du SEAE, afin que ce dernier soit en mesure de gérer efficacement les risques menaçant son personnel, ses biens matériels, les informations qu'il détient et ses visiteurs et de s'acquitter des responsabilités qui lui incombent en ce qui concerne l'obligation de vigilance à cet égard;

(3) Il convient, en particulier, de garantir au personnel du SEAE, à ses biens matériels, y compris les systèmes d’information et de communication qu’il possède, aux informations qu’il détient et à ses visiteurs un niveau de protection conforme aux meilleures pratiques en usage au Conseil, à la Commission européenne, dans les États membres et, s'il y a lieu, dans les organisations internationales.

(4) Les règles de sécurité applicables au SEAE devraient contribuer à la mise en place d'un cadre général complet et plus cohérent au sein de l'Union européenne pour ce qui est de la protection des informations classifiées de l’UE (ci-après les «ICUE»), en s'appuyant sur les règles de sécurité du Conseil de l’Union européenne (ci-après le «Conseil») et sur les dispositions de la Commission européenne en matière de sécurité, tout en veillant à maintenir la plus grande cohérence possible avec ces règles et dispositions;

(5) Le SEAE, le Conseil et la Commission sont résolus à appliquer des normes équivalentes de sécurité pour protéger les ICUE;

(6) La présente décision est arrêtée sans préjudice des articles 15 et 16 du traité sur le fonctionnement de l'Union européenne (TFUE), ni des instruments les mettant en œuvre.

(7) Il importe de fixer l'organisation de la sécurité dans le SEAE et l'allocation des tâches relatives à la sécurité au sein des structures du SEAE;

(8) La haute représentante doit s’appuyer, en fonction des besoins, sur les compétences techniques existant en la matière dans les États membres, au Secrétariat général du Conseil et à la Commission européenne;

(9) La haute représentante doit prendre toutes les mesures qui s'imposent pour appliquer ces règles avec l'appui des États membres, du Secrétariat général du Conseil et de la Commission européenne,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

Objet et champ d'application

La présente décision arrête les règles de sécurité applicables au service européen pour l'action extérieure (ci-après les «règles de sécurité applicables au SEAE»).

Conformément à l'article 10, paragraphe 1, de la décision 2010/427/UE du Conseil du 26 juillet 2010 fixant l'organisation et le fonctionnement du service européen pour l’action extérieure, elle s'applique au personnel du SEAE et à tous les membres du personnel des délégations de l’Union, indépendamment de leur statut administratif ou origine, et instaure le cadre réglementaire général en vue de gérer efficacement les risques pesant sur le personnel relevant de la responsabilité du SEAE tel que visé à l'article 2, les locaux du SEAE, ses biens matériels, les informations qu'il détient et ses visiteurs.

Article 2

Définitions

Aux fins de la présente décision, on entend par:

a) «Membres du personnel du SEAE», on entend les fonctionnaires et autres agents du SEAE, y compris le personnel des services diplomatiques des États membres nommés comme agents temporaires, les experts nationaux détachés, tels que définis à l’article 6 de la décision 2010/427/UE du Conseil du 26 juillet 2010 fixant l’organisation et le fonctionnement du service européen pour l'action extérieure.

b) «Membres du personnel placés sous la responsabilité du SEAE», on entend les membres du personnel du SEAE et tous les membres du personnel des délégations de l’Union, indépendamment de leur statut administratif ou origine, ainsi que, aux fins de la présente décision, la haute représentante et, le cas échéant, d'autres membres du personnel résidant au siège du SEAE.

c) «Personnes à charge», on entend les membres de la famille du personnel placé sous la responsabilité du SEAE dans les délégations de l’Union, qui composent leur propre ménage tel qu'il a été notifié au ministère des affaires étrangères de l'État d'accueil.

d) «Locaux du SEAE», on entend tous les établissements du SEAE, y compris les bâtiments, bureaux, salles et autres espaces, ainsi que les lieux hébergeant des systèmes d’information et de communication (dont les équipements de traitement des ICUE), où le SEAE exerce des activités permanentes ou temporaires.

e) «Intérêts du SEAE à protéger», on entend les membres du personnel placés sous la responsabilité du SEAE, les locaux, les personnes à charge, les biens matériels, y compris les systèmes d’information et de communication, les informations et les visiteurs du SEAE.

f) «Informations classifiées de l'UE» (ICUE), on entend toute information ou tout matériel identifié comme tel par une classification de sécurité de l'UE, dont la divulgation non autorisée pourrait porter atteinte à des degrés divers aux intérêts de l'Union européenne, ou à ceux d'un ou de plusieurs de ses États membres.

D’autres définitions figurent dans les annexes pertinentes et à l’appendice A.

Article 3

Devoir de diligence

1. Les règles de sécurité applicables au SEAE ont pour but de lui permettre d'assumer ses responsabilités au regard du devoir de diligence.

2. Le devoir de diligence incombant au SEAE comprend la saine diligence consistant à prendre toutes les mesures raisonnables pour mettre en œuvre les mesures de sécurité visant à empêcher tout préjudice raisonnablement prévisible aux intérêts du SEAE à protéger.

Il comprend à la fois un volet sécurité et un volet sûreté, y compris les éléments de ce type résultant des situations d'urgence ou crises, de quelque nature que ce soit.

3. Compte tenu du devoir de diligence incombant aux États membres, aux institutions ou organes de l'UE et à d'autres parties dont le personnel travaille dans des délégations de l'Union et/ou dans les locaux de délégations de l’Union, ou du devoir de diligence incombant au SEAE lorsque des délégations de l’Union sont hébergées dans les locaux d'autres parties susmentionnées, le SEAE conclut, avec chacune des entités susmentionnées, des arrangements administratifs traitant des rôles et responsabilités, tâches et mécanismes de coopération respectifs.

Article 4

Sécurité physique et sécurité des infrastructures

1. Le SEAE met en place toutes les mesures de sécurité physique appropriées (permanentes ou temporaires), y compris les dispositions de contrôle d’accès, pour l’ensemble des locaux du SEAE, aux fins de la préservation des intérêts du SEAE à protéger. De telles mesures entrent en ligne de compte lors de la conception et de la planification de nouveaux locaux ou avant la location à bail de locaux existants.

2. Dans les pays tiers, le SEAE prend également toute mesure supplémentaire qu'il juge adéquate pour garantir la sécurité physique, qu'elle soit permanente ou temporaire, aux fins de la protection des intérêts qui le nécessitent.

À cette fin, des obligations ou restrictions spéciales peuvent être imposées aux membres du personnel placés sous la responsabilité du SEAE et aux personnes à charge, pour des raisons de sécurité, pendant une période donnée et dans des domaines précis.

3. Les mesures visées aux paragraphes 1 et 2 doivent être proportionnées au risque évalué.

Article 5

Protection des informations classifiées

1. La protection des ICUE est régie par les exigences formulées dans la présente décision, et notamment dans l’annexe A. Le détenteur de toute ICUE est tenu de la protéger en conséquence.

2. Le SEAE veille à ce que seules les personnes réunissant les conditions exposées à l'article 5 de l'annexe A aient accès aux informations classifiées.

3. Les conditions auxquelles les agents locaux peuvent avoir accès aux ICUE sont également fixées par la haute représentante, conformément aux règles de protection des ICUE établies à l'annexe A de la présente décision.

4. La direction de la sécurité du SEAE gère une base de données concernant l’habilitation de sécurité de tous les membres du personnel placés sous la responsabilité du SEAE et de ses contractants.

5. Lorsque les États membres introduisent des informations classifiées portant un marquage national de classification de sécurité dans les structures ou réseaux du SEAE, ce dernier protège ces informations conformément aux règles applicables aux ICUE de niveau équivalent, ainsi que prévu dans les règles applicables conformément à l’annexe A de la présente décision.

6. Les zones du SEAE où sont stockées des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d'un niveau de classification supérieur, ou équivalent, sont créées en tant que zones sécurisées conformément aux règles applicables en vertu de l’annexe A de la présente décision, et doivent être approuvées par l'autorité de sécurité du SEAE.

7. Les procédures d’habilitation à l’exécution de tâches incombant à la haute représentante dans le cadre d'accords ou d’arrangements administratifs concernant l'échange d'ICUE avec des pays tiers ou des organisations internationales sont décrites aux annexes A et A VI de la présente décision.

Article 6

Incidents et urgences en matière de sécurité

1. Afin de garantir une réponse opportune et efficace aux incidents en matière de sécurité, le SEAE établit une procédure de signalement de tels incidents et urgences, qui soit opérationnelle 24 heures sur 24, sept jours sur sept, et couvre tout type d'incident en matière de sécurité ou de menace pour les intérêts du SEAE à protéger (par exemple accidents, conflits, actes malveillants, actes criminels, enlèvements et prises d’otages, urgences médicales, incidents au niveau des systèmes d’information et de communication, cyberattaques, etc.).

2. Des lignes d’urgence sont établies entre le siège du SEAE, les délégations de l'Union, le Conseil, la Commission, les représentants spéciaux de l'UE et les États membres, afin de les aider à gérer les incidents sur le plan de la sécurité impliquant du personnel et leurs conséquences, y compris la planification des mesures d'urgence.

3. Cette gestion des incidents de sécurité inclut, entre autres:

— des procédures de soutien efficace au processus décisionnel en cas d'incident de sécurité impliquant du personnel, y compris des décisions liées à l'extraction ou à la suspension d'une mission; et

— une politique et des procédures de récupération du personnel, par exemple en cas de disparitions ou en cas d'enlèvements ou de prises d'otages, en tenant compte des responsabilités particulières des États membres, des institutions de l’UE et du SEAE à cet égard. La nécessité de disposer de capacités spécifiques, dans le cadre de la gestion de telles opérations sur ce point, est prise en considération eu égard aux ressources que les États membres pourraient fournir.

4. Le SEAE met en place des arrangements administratifs en matière de signalement de tout incident de sécurité survenant dans les délégations de l'Union. Les États membres, la Commission, tout autre autorité pertinente, ainsi que les comités de sécurité concernés sont informés, le cas échéant.

5. Les procédures de gestion des incidents devraient être mises à l'épreuve et réexaminées régulièrement.

Article 7

Sécurité des systèmes d’information et de communication

1. Le SEAE protège les informations traitées dans les systèmes d'information et de communication (ci-après «SIC») contre les menaces pesant sur leur confidentialité, leur intégrité, leur disponibilité, leur authenticité et leur non-répudiation.

2. L’autorité de sécurité du SEAE, telle que définie à l’article 12, section I, paragraphe 1, approuve des règles, une politique de sécurité et un programme de sécurité pour la protection de tous les SIC détenus ou exploités par le SEAE.

3. Les règles, la politique et le programme sont conformes à ceux du Conseil et de la Commission et, le cas échéant, avec les politiques de sécurité appliquées par les États membres, et leur mise en œuvre est étroitement coordonnée avec ces derniers.

4. Tous les SIC traitant des informations classifiées font l'objet d'un processus d'homologation. Le SEAE applique un système de gestion de l'homologation de sécurité en concertation avec le Secrétariat général du Conseil et la Commission européenne.

5. Lorsque la protection des ICUE traitées par le SEAE est assurée par des produits cryptographiques, ces produits doivent être agréés par l’autorité d’agrément cryptographique du SEAE, sur recommandation du comité de sécurité du Conseil.

6. L’autorité de sécurité du SEAE met en place, selon les besoins, les autorités chargées de l’assurance de l’information, comme suit:

a) une autorité chargée de l'assurance de l'information;

b) une autorité TEMPEST;

c) une autorité d'agrément cryptographique;

d) une autorité de distribution cryptographique.

7. Pour chaque système, l’autorité de sécurité du SEAE crée les autorités suivantes:

a) une autorité d'homologation de sécurité;

b) b) une autorité opérationnelle chargée de l'assurance de l'information.

8. Les dispositions d'application du présent article concernant la protection des ICUE sont exposées aux annexes A et A IV.

Article 8

Infractions à la sécurité et compromission des informations classifiées

1. Une infraction à la sécurité résulte d’un acte ou d’une omission commis par une personne qui est contraire aux règles de sécurité énoncées dans la présente décision et/ou aux politiques ou lignes directrices en matière de sécurité énonçant les éventuelles mesures nécessaires à sa mise en œuvre, telles qu’approuvées conformément à l’article 20, paragraphe 1.

2. Une compromission d’informations classifiées consiste en une divulgation totale ou partielle desdites informations à des personnes ou entités non autorisées.

3. Toute infraction à la sécurité, réelle ou présumée, et toute compromission d’informations classifiées, réelle ou présumée, sont immédiatement signalées à la direction de la sécurité du SEAE, qui prend les mesures appropriées, telles qu'énoncées à l'annexe A.

4. Toute personne coupable d’une infraction aux règles de sécurité établies dans la présente décision, ou d’une compromission d’informations classifiées, est passible d’une sanction disciplinaire et/ou juridique, conformément aux dispositions législatives et réglementaires applicables, telles qu'énoncées à l’article 11, paragraphe 3, de l’annexe A.

Article 9

Enquêtes sur les incidents de sécurité, infractions et/ou compromissions et actions correctives

1. La direction de la sécurité du SEAE, assistée d’experts d’États membres et/ou d’autres institutions de l’Union, le cas échéant, et moyennant l’autorisation du directeur opérationnel, si besoin est:

a) mène des enquêtes ou procède à des vérifications, le cas échéant: i) lorsqu’il est notoire ou lorsque des motifs raisonnables laissent penser que des informations classifiées pertinentes pour le SEAE ont été compromises ou perdues; ii) à chaque infraction aux règles de sécurité ou autre incident de sécurité ou menace pour les intérêts du SEAE à protéger, qu'ils soient réels ou présumés;

b) met en œuvre toute action corrective nécessaire résultant d'enquêtes, lorsqu'il y a lieu.

2. Les enquêteurs ont accès à toutes les informations nécessaires à la conduite de telles enquêtes et bénéficient de toute l'aide de l'ensemble des services du SEAE sur ce point.

Les enquêteurs peuvent entreprendre des actions adéquates pour préserver les preuves réunies d'une manière proportionnée à la gravité du cas examiné.

3. Lorsque l’accès aux informations a trait à des données à caractère personnel, y compris celles contenues dans les systèmes d’information et de communication, un tel accès respectera les dispositions du règlement (CE) no 45/2001.

4. En cas de nécessité d’établir une base de données d’investigation qui contiendra des données à caractère personnel, le Contrôleur européen de la protection des données (CEPD) en est informé conformément au règlement précité.

Article 10

Gestion des risques de sécurité

1. Afin de déterminer ses besoins en matière de sécurité, le SEAE élabore une méthode globale d'évaluation des risques pour la sécurité, en étroite coopération avec la direction de la sécurité de la Commission et, le cas échéant, avec le bureau de sécurité du Secrétariat général du Conseil.

2. Les risques pesant sur les intérêts du SEAE à protéger sont gérés dans le cadre d'une procédure. Cette dernière vise à déterminer les risques connus pesant sur la sécurité, à définir des mesures de sécurité permettant de ramener ces risques à un niveau acceptable et à appliquer ces mesures selon le principe de défense en profondeur. L'efficacité de telles mesures et le niveau de risque font l'objet d'une évaluation constante.

3. Les rôles, responsabilités et tâches fixés dans la présente décision sont sans préjudice de la responsabilité qui incombe à chaque membre du personnel placé sous la responsabilité du SEAE; plus particulièrement, les membres du personnel de l’UE en mission dans des pays tiers doivent faire preuve de bon sens et de discernement pour ce qui a trait à leur propre sécurité, et respecter toutes les dispositions législatives et réglementaires, procédures et consignes de sécurité applicables.

4. Le SEAE prend toutes les mesures raisonnables pour garantir la sécurité de ses intérêts qui doivent être protégés et pour éviter tout dommage raisonnablement prévisible s'y rapportant.

5. Les mesures de sécurité applicables au SEAE visant à protéger les ICUE tout au long de leur cycle de vie sont proportionnées en particulier à leur classification de sécurité, à la forme sous laquelle se présentent les informations ou les matériels ainsi qu'à leur volume, au lieu et à la construction des établissements où se trouvent des ICUE et à la menace, notamment celle évaluée à l'échelle locale, que représentent les activités malveillantes et/ou criminelles, y compris l'espionnage, le sabotage et le terrorisme.

Article 11

Sensibilisation et formation en matière de sécurité

1. L’autorité de sécurité du SEAE veille à l'élaboration et à la mise en œuvre de programmes de sensibilisation et de formation en matière de sécurité au sein du SEAE et fait en sorte que les membres du personnel placés sous la responsabilité du SEAE et, s'il y a lieu, les personnes à leur charge, bénéficient des actions de formation et de sensibilisation nécessaires et proportionnées aux risques inhérents à leur lieu de résidence.

2. Avant de se voir accorder l'accès à des ICUE et à intervalles réguliers par la suite, le personnel est informé des responsabilités qui lui incombent en matière de protection des ICUE, conformément aux règles applicables en vertu de l'article 5, et reconnaît ces responsabilités.

Article 12

Organisation de la sécurité au sein du SEAE

1. Le directeur opérationnel (DO) est l'autorité du SEAE compétente en matière de sécurité. En cette qualité, le DO veille:

a) à ce que les mesures de sécurité fassent l'objet, si nécessaire, d'une coordination avec les autorités compétentes des États membres, le secrétariat général du Conseil, la Commission européenne et, s'il y a lieu, les pays tiers ou organisations internationales sur toutes les questions de sécurité présentant un intérêt pour les activités du SEAE, notamment en ce qui concerne la nature des menaces qui pèsent sur les intérêts du SEAE à protéger et les moyens pour ce faire;

b) à ce que les aspects liés à la sécurité soient pleinement pris en compte dès le départ pour l'ensemble des activités du SEAE;

c) à ce que seules les personnes réunissant les conditions exposées à l'article 5 de l'annexe A aient accès aux informations classifiées;

d) à ce que soit établi un système d’enregistrement qui garantisse que les informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur soient traitées conformément à la présente décision au sein du SEAE, ainsi qu'au sein des États membres de l'UE, des institutions, organes et organismes de l'Union ou d'autres destinataires autorisés si elles leur ont été communiquées. Un registre distinct est tenu pour toutes les ICUE communiquées par le SEAE à des pays tiers et des organisations internationales, et pour toutes les informations classifiées communiquées par des pays tiers ou des organisations internationales;

e) à ce que les inspections de sécurité visées à l'article 15 soient réalisées;

f) à ce que des enquêtes soient menées sur toute infraction à la sécurité, réelle ou présumée, ainsi que sur toute compromission ou perte - réelle ou présumée - d'informations classifiées détenues par le SEAE ou provenant de ce dernier, et à ce qu'il soit demandé aux autorités de sécurité compétentes de participer à de telles enquêtes;

g) à ce que des mécanismes et des plans adéquats de gestion des incidents et de leurs conséquences soient mis en place, de manière à réagir rapidement et efficacement en cas d'incidents de sécurité;

h) à ce que des mesures appropriées soient prises en cas de non-respect de la présente décision;

i) à ce que des mesures physiques et organisationnelles appropriées soient mises en place pour protéger les intérêts du SEAE qui doivent l'être. À cet égard, le DO prend les mesures suivantes en concertation avec le secrétaire général exécutif: — fixe la catégorie de sécurité des délégations, en concertation avec la Commission; — décide, après consultation de la HR, de l’évacuation, ou non, du personnel des délégations si la sécurité l’exige; — décide des mesures à appliquer pour la protection des personnes à charge, compte tenu, le cas échéant, des arrangements convenus avec les institutions de l’Union visés à l’article 3, paragraphe 3; — approuve la politique de communication cryptographique, en particulier le programme d'installation de produits et du mécanisme cryptographiques.

2. Dans ses tâches, le DO est assisté du directeur général responsable de l'administration et des finances, du chef de la direction de la sécurité du SEAE et, le cas échéant, du directeur exécutif responsable du département Réponse aux crises et coordination opérationnelle.

3. Le DO, en sa qualité d’autorité de sécurité du SEAE, peut déléguer des tâches dans ce domaine, le cas échéant.

4. Chaque chef de département/division est tenu de mettre en œuvre les règles de protection des ICUE au sein de son département ou de sa division.

Tout en conservant les responsabilités mentionnées ci-dessus, chaque chef de département/division désigne des membres du personnel pour assurer les fonctions de coordinateur de la sécurité du département/de la division, dont les ressources seront proportionnées au volume d’ICUE traitées par ce département/cette division.

Les coordinateurs de la sécurité du département assistent et soutiennent, le cas échéant, leur chef de département/division dans l’exécution des tâches liées à la sécurité, telles que:

a) l’élaboration de toute exigence de sécurité supplémentaire adaptée aux besoins spécifiques du département/de la division;

b) l’établissement de comptes rendus périodiques sur la sécurité à l’intention des membres de leur département/division;

c) la prise de mesures visant à faire respecter le principe du «besoin d’en connaître» dans leur département/division;

d) la tenue à jour d’une liste de codes et de clés sûrs;

e) le maintien de procédures et de mesures de sécurité;

f) le signalement de toute infraction aux règles de sécurité et/ou de toute compromission d'ICUE tant au directeur qu'à la direction de la sécurité;

g) le débriefing aux membres du personnel qui cessent de travailler pour le SEAE;

h) la fourniture de rapports réguliers, via leur hiérarchie, sur les questions de sécurité du département/de la division;

i) la mise en rapport avec la direction de la sécurité du SEAE sur des questions de sécurité.

Toute activité ou question susceptible d’avoir un impact sur la sécurité est notifiée à la direction de la sécurité du SEAE en temps utile

5. Chaque chef de délégation de l'Union est responsable de la mise en œuvre de l'ensemble des mesures relatives à la sécurité de la délégation de l’Union.

1. Le SEAE dispose d’une direction de la sécurité. Celle-ci doit:

a) gérer, coordonner, superviser et/ou mettre en œuvre toutes les mesures de sécurité dans tous les locaux relevant de la responsabilité du SEAE, au siège, à l'intérieur de l'UE et dans les pays tiers;

b) assurer la cohérence avec la présente décision et avec les modalités d'application de toute activité qui pourrait avoir un impact sur la préservation des intérêts du SEAE à protéger;

c) assurer les fonctions de conseiller principal de la HR, du secrétaire général exécutif et du DO pour toutes les questions liées à la sécurité;

d) se faire assister par les services compétents des États membres, conformément à l'article 10, paragraphe 3, de la décision 2010/427/UE du Conseil fixant l'organisation et le fonctionnement du SEAE;

e) soutenir les activités de l’autorité d’homologation de sécurité du SEAE en effectuant des évaluations de la sécurité physique de l'environnement général de sécurité (EGS) / environnement local de sécurité (ELS) des systèmes d’information et de communication traitant des ICUE, ainsi que des locaux autorisés à traiter et à stocker des ICUE.

2. Le chef de la direction de la sécurité du SEAE est chargé:

a) de garantir la protection générale des intérêts du SEAE à protéger;

b) de rédiger, de revoir et de mettre à jour les règles de sécurité, ainsi que de coordonner les mesures de sécurité avec les autorités nationales compétentes et, le cas échéant, les autorités compétentes de pays tiers et d'organisations internationales liées à l'UE par des accords et/ou des arrangements de sécurité;

c) d'appuyer les procédures du comité de sécurité du SEAE, tel qu'établi à l'article 14, paragraphe 1, de la présente décision;

d) de se mettre en rapport avec tous partenaires ou autorités autres que ceux mentionnés au point b) ci-dessus pour les questions de sécurité, le cas échéant;

e) d'établir des priorités et de soumettre des propositions en vue de la gestion du budget consacré à la sécurité au siège et dans les délégations de l'Union.

3. Le chef de la direction de la sécurité du SEAE est chargé:

a) de garantir l’enregistrement des infractions et compromissions en matière de sécurité, le lancement et la conduite d'enquêtes dans de tels cas, lorsque c'est nécessaire;

b) de se réunir régulièrement, à chaque fois que c’est nécessaire, avec le directeur de la sécurité du Secrétariat général du Conseil et avec le directeur de la direction de la sécurité de la Commission pour discuter de thèmes d’intérêt commun.

4. La direction de la sécurité du SEAE noue des contacts et entretient une coopération étroite avec:

— les départements responsables de la sécurité au sein des ministères nationaux des affaires étrangères;

— les autorités nationales de sécurité (ANS) et/ou les autres autorités compétentes en matière de sécurité dans les États membres afin d’obtenir leur aide quant aux informations dont elle a besoin pour évaluer les dangers et menaces qui peuvent peser sur le SEAE, son personnel, ses activités, ses biens et ses ressources, ainsi que ses informations classifiées dans les lieux où se déroulent normalement ses travaux;

— les autorités de sécurité compétentes des États membres ou des pays d’accueil sur le territoire desquels le SEAE peut exercer ses activités, concernant toute question relative à la protection des membres de son personnel, de ses activités, de ses biens et ressources, ainsi que de ses informations classifiées quand ils se trouvent sur leur territoire;

— le bureau de sécurité du Secrétariat général du Conseil et la direction de la sécurité de la direction générale des ressources humaines et de la sécurité de la Commission et, le cas échéant, les services chargés de la sécurité des autres institutions, organes et organismes de l'UE;

— les services de sécurité de pays tiers ou d’organisations internationales, aux fins de toute coordination utile, et

— les ANS des États membres, concernant toute question relative à la protection des ICUE.

1. Chaque chef de délégation de l’Union est responsable de la mise en œuvre et de la gestion, au niveau local, de toutes les mesures relatives à la préservation des intérêts du SEAE à protéger dans les locaux de la délégation concernée et relevant de sa compétence.

Il prend, en concertation avec les autorités compétentes de l’État d’accueil si nécessaire, toutes les mesures pouvant être raisonnablement mises en œuvre afin de garantir la mise en place, à cette fin, de mesures physiques et organisationnelles adéquates.

Le chef de délégation établit les procédures de sécurité concernant la protection des personnes à charge, telles que définies à l’article 2, point c), compte tenu, le cas échéant, de tout arrangement administratif visé à l’article 3, paragraphe 3. Le chef de délégation rend compte, sur base annuelle, de toutes les questions de sécurité relevant de sa compétence au chef de la direction de la sécurité du SEAE.

Il est assisté dans sa mission par la direction de la sécurité du SEAE, par le personnel du SEAE au sein de la délégation exerçant des tâches et fonctions ayant trait à la sécurité et par le personnel de sécurité en poste, si nécessaire.

2. Le chef de délégation prend en outre les mesures suivantes:

— il établit des plans de sécurité et d’urgence détaillés pour la délégation, sur la base de procédures opérationnelles standard générales;

— il s'occupe d'un système opérationnel 24 heures sur 24 de gestion des incidents de sécurité et des urgences relevant du champ d'intervention de la délégation;

— il veille à ce que tous les membres du personnel travaillant pour la délégation soient assurés conformément aux conditions en la matière;

— il veille à ce que le thème de la sécurité soit intégré à la formation d’entrée en service que les délégations de l’Union dispensent à tous les membres du personnel avant et au moment de les accueillir; et

— il s'assure de la bonne mise en œuvre des recommandations émises après les évaluations de la sécurité et transmet des rapports écrits à intervalles réguliers au sujet de leur mise en œuvre et d'autres questions de sécurité à l'autorité de sécurité du SEAE.

3. Tout en demeurant responsable et en devant continuer de rendre compte de la préservation de la gestion de la sécurité ainsi que de l’obligation qui lui incombe de garantir la résilience organisationnelle, le chef de délégation peut déléguer l'exécution de ses tâches en matière de sécurité au coordinateur de la sécurité de la délégation (CSD), à savoir soit le chef adjoint de la délégation ou, si personne n’est désigné, quiconque à même d’assurer cette fonction.

Plus particulièrement, les responsabilités suivantes peuvent être confiées au CSD:

— se mettre en rapport, pour les questions de sécurité, avec les autorités compétentes du pays d’accueil et les homologues indiqués au sein des ambassades et des missions diplomatiques des États membres;

— mettre en œuvre des procédures adéquates de gestion de la sécurité en rapport avec les intérêts du SEAE à protéger, y compris la protection des ICUE;

— mettre les membres du personnel au courant des règles de sécurité auxquelles ils doivent se soumettre, ainsi que des risques particuliers dans le pays d’accueil;

— soumettre des demandes à la direction de la sécurité du SEAE concernant les positions nécessitant une habilitation de sécurité du personnel (HSP), et

— tenir le chef de délégation, le responsable régional de la sécurité (RSO) et la direction de la sécurité du SEAE constamment informés des incidents ou nouveaux éléments en la matière ayant un impact sur la préservation des intérêts du SEAE à protéger.

4. Le chef de délégation peut déléguer des tâches de sécurité à caractère administratif ou technique au chef d’administration et à d’autres membres du personnel de la délégation.

5. La délégation de l’Union est assistée d’un responsable régional de la sécurité (RSO). Dans les délégations, les RSO endossent les rôles, définis ci-dessous, dans chacun de leurs domaines de compétences géographiques respectifs.

Dans certaines circonstances, lorsque les conditions de sécurité du moment l'exigent, un RSO précis peut être assigné à résider à temps plein dans une délégation donnée.

Un RSO peut être muté dans une zone ne relevant pas de son domaine de compétence actuel, y compris au siège à Bruxelles, voire devoir accepter un poste résidentiel en fonction de la situation d'un pays en matière de sécurité, et en fonction des exigences de la direction de la sécurité du SEAE.

6. Les RSO sont placés sous le contrôle hiérarchique direct de la direction de la sécurité du SEAE, mais sous le contrôle fonctionnel et administratif direct du chef de délégation concerné. Ils assistent le chef de délégation et les membres du personnel de la délégation dans l’organisation et la mise en œuvre de toutes les mesures physiques, organisationnelles et procédurales liées à la sécurité de l’ensemble des membres du personnel de la délégation, indépendamment de leur origine administrative.

7. Les RSO prodiguent conseil et soutien au chef de délégation et au personnel de délégation. Lorsqu’il y a lieu, en particulier lorsqu’un RSO est assigné à résider à temps plein dans la délégation, il ou elle peut aider la délégation de l'Union dans la gestion et la mise en œuvre de la sécurité, y compris dans la préparation de contrats de sécurité, la gestion d’homologations et d’habilitations.

Article 13

Opérations PSDC et représentants spéciaux de l'UE

La direction de la sécurité du SEAE aide et conseille le directeur de la direction «Gestion des crises et planification» (CMPD), le directeur général de l’État-major de l’UE (EMUE), le commandant d’opérations civiles de la Capacité civile de planification et de conduite (CPCC), ainsi que les commandants d’opérations militaires pour ce qui est du volet «sécurité» des opérations de PSDC, et les représentants spéciaux de l’UE en ce qui concerne le volet «sécurité» de leur mandat, complémentaires aux dispositions spécifiques prévues en la matière dans les politiques pertinentes adoptées par le Conseil.

Article 14

Le comité de sécurité du SEAE

1. Un comité de sécurité est créé par la présente décision.

Il est présidé par le DO ou par son délégué désigné et se réunit sur instruction du président ou à la demande de l'un de ses membres. La direction de la sécurité du SEAE assiste le président dans ses fonctions et soutient administrativement, si nécessaire, les délibérations du comité.

2. Le comité de sécurité du SEAE est composé de représentants:

— de chaque État membre;

— du bureau de sécurité du Secrétariat général du Conseil;

— de la direction de la sécurité de la direction générale des ressources humaines et de la sécurité de la Commission européenne.

Une délégation nationale près le comité de sécurité du SEAE peut être composée de membres:

— de l'autorité nationale de sécurité et/ou de l’autorité de sécurité désignée,

— des départements responsables de la sécurité au sein des ministères nationaux des affaires étrangères.

3. Les représentants du comité peuvent être accompagnés et conseillés par des experts selon ce qu’ils jugent nécessaire. Des représentants d’autres institutions, organes ou organismes de l'UE peuvent être invités à y prendre part lorsque des points pertinents pour leur sécurité sont abordés.

4. Sans préjudice du paragraphe 5 ci-dessous, le comité de sécurité du SEAE assiste le SEAE, par voie de consultation, pour toutes les questions de sécurité pertinentes pour les activités du SEAE, le siège et les délégations de l’Union.

Plus particulièrement, et sans préjudice du paragraphe 5 ci-dessous, le comite de sécurité du SEAE:

a) doit être consulté au sujet: — des politiques, lignes directrices et concepts de sécurité, ainsi que tout autre document de méthodologie concernant la sécurité, notamment en ce qui concerne la protection d'informations classifiées et les mesures à prendre lorsque les membres du personnel du SEAE ne se conforment pas aux règles de sécurité; — des aspects techniques de sécurité susceptibles d’influencer la décision de la HR de soumettre une recommandation au Conseil en vue de l’ouverture de négociations concernant les accords sur la sécurité des informations visés à l’article 10, paragraphe 1, point a), de l’annexe A; — de toute modification de la présente décision;

b) peut être consulté ou informé, le cas échéant, au sujet de questions liées à la sécurité de membres du personnel ou de biens au siège du SEAE et dans les délégations de l'Union, sans préjudice de l'article 3, paragraphe 3;

c) doit être informé de toute compromission ou perte d’ICUE se produisant au sein du SEAE.

5. Toute modification des règles relatives à la protection des ICUE contenues dans la présente décision et son annexe A requiert l’avis unanimement favorable des États membres représentés au sein du comité de sécurité du SEAE. Un tel avis unanimement favorable est également requis avant:

— l’ouverture de négociations portant sur les arrangements administratifs visés à l'article 10, paragraphe 1, point b), de l’annexe A;

— la communication d’informations classifiées dans les circonstances exceptionnelles visées aux paragraphes 9, 11 et 12 de l'annexe A VI;

— d'endosser la responsabilité en tant qu’autorité d’origine des informations dans les circonstances visées à l’article 10, paragraphe 4, in fine, de l’annexe A.

Un avis unanimement favorable est obtenu lorsque les délégations des États membres ne formulent aucune objection pendant les délibérations du comité.

6. Le comité de sécurité du SEAE tient pleinement compte des politiques et lignes directrices de sécurité en vigueur au sein du Conseil et de la Commission.

7. Le comité de sécurité du SEAE reçoit la liste des inspections annuelles du SEAE et les rapports d’inspection, dès qu’ils sont finalisés.

8. Organisation des réunions:

— Le comité de sécurité du SEAE se réunit au moins deux fois par an. Des réunions supplémentaires, à part entière ou au format de sécurité ANS/ASD ou MFA, peuvent être convoquées par le président ou organisées à la demande des membres du comité.

— Le comité de sécurité du SEAE organise ses activités de manière à être en mesure de formuler des recommandations sur des aspects spécifiques de la sécurité. Il peut créer d’autres sous-divisions spécialisées, si nécessaire. Il établit le mandat de ces sous-divisions spécialisées et reçoit leurs rapports d'activités.

— La direction de la sécurité du SEAE est chargée de préparer les points de discussion. Le président établit l’ordre du jour provisoire de chaque réunion. Les membres du comité peuvent proposer d’autres points à examiner.

Article 15

Inspections de sécurité

1. L’autorité de sécurité du SEAE veille à ce que les inspections de sécurité soient réalisées, sur une base régulière, au sein du siège du SEAE et des délégations de l'Union afin de vérifier si les mesures de sécurité sont adéquates et si elles sont conformes à la présente décision. La direction de la sécurité du SEAE peut, le cas échéant, désigner des experts qui apporteront leur contribution en participant aux inspections de sécurité dans les organes et organismes de l’Union visés au titre V, chapitre 2, du traité sur l'Union européenne.

2. Les inspections de sécurité du SEAE sont menées sous l’autorité de la direction de la sécurité du SEAE et, le cas échéant, avec le soutien d’experts en sécurité représentant d’autres institutions de l’Union ou États membres, en particulier dans le cadre des arrangements visés à l'article 3, paragraphe 3.

3. Le SEAE peut s’appuyer, si nécessaire, sur les compétences techniques existant en la matière dans les États membres, au Secrétariat général du Conseil et à la Commission européenne.

En cas de besoin, les experts en sécurité compétents basés dans les missions d'États membres dans des pays tiers et/ou des représentants des services de sécurité diplomatiques des États membres peuvent être invités à participer à l'inspection de sécurité au sein de la délégation de l'Union.

4. Les dispositions d'application du présent article concernant la protection des ICUE sont exposées à l’annexe A III.

Article 16

Visites d'évaluation

Des visites d’évaluation sont organisées afin de s'assurer de l'efficacité des mesures de sécurité en place dans un pays tiers ou une organisation internationale pour ce qui est de la protection des ICUE échangées en vertu d'un arrangement administratif tel que visé à l'article 10, paragraphe 1, point b), de l'annexe A.

La direction de la sécurité du SEAE peut demander à des experts d'apporter leur contribution en participant aux visites d'évaluation organisées dans des pays tiers ou des organisations internationales avec lesquels l’UE a conclu un accord sur la sécurité des informations tel que visé à l'article 10, paragraphe 1, point a), de l'annexe A.

Article 17

Planification de la continuité des activités

La direction de la sécurité du SEAE assiste le DO dans la gestion des aspects des processus opérationnels du SEAE se rapportant à la sécurité, dans le cadre de la planification globale de la continuité des activités du SEAE.

Article 18

Consignes en matière de voyages à l'intention des participants à des missions en dehors de l'UE

La direction de la sécurité du SEAE veille à la disponibilité de consignes en matière de voyages à l'intention des membres du personnel placés sous la responsabilité du SEAE amenés à participer à des missions en dehors de l’UE, en exploitant les ressources de tous les services pertinents du SEAE, notamment la salle de veille de l'UE, le centre de situation conjoint de l'Union européenne, les départements géographiques et les délégations de l'Union.

La direction de la sécurité du SEAE fournit sur demande, en puisant dans les ressources susmentionnées, des consignes spécifiques en matière de voyages concernant les missions de membres du personnel placés sous la responsabilité du SEAE dans des pays tiers présentant un niveau de risque élevé ou accru.

Article 19

Santé et sécurité

Les règles de sécurité du SEAE complètent les règles du SEAE en matière de protection de la santé et de la sécurité, telles qu'adoptées par la haute représentante.

Article 20

Mise en œuvre et réexamen

1. L’autorité de sécurité du SEAE approuve, après avoir consulté, le cas échéant, le comité de sécurité du SEAE, les politiques ou lignes directrices de sécurité fixant les mesures nécessaires à la mise en œuvre de ces règles au sein du SEAE et met en place les capacités nécessaires couvrant tous les aspects de la sécurité, en coopération étroite avec les autorités de sécurité compétentes des États membres et avec le concours des services concernés des institutions de l'Union.

2. Conformément à l’article 4, paragraphe 5, de la décision 2010/427/UE du Conseil du 26 juillet 2010 fixant l’organisation et le fonctionnement du service européen pour l’action extérieure, des arrangements transitoires peuvent être conclus, si besoin est, au moyen d’accords de niveau de service avec les services compétents du Secrétariat général du Conseil et de la Commission.

3. La HR veille à ce que la présente décision soit appliquée avec cohérence et réexamine périodiquement ces règles de sécurité.

4. Les règles de sécurité du SEAE doivent être mises en œuvre en étroite coopération avec les autorités de sécurité compétentes des États membres, avec le bureau de sécurité du Secrétariat général du Conseil et avec la direction de la sécurité de la direction générale des ressources humaines et de la sécurité de la Commission.

5. Le SEAE veille à ce que tous les aspects du processus de sécurité soient pris en considération dans le système du SEAE de réaction en cas de crise.

6. Le DO, en tant qu’autorité de sécurité, et le chef de la direction de la sécurité du SEAE garantissent la mise en œuvre de la présente décision.

Article 21

Remplacement des décisions précédentes

1. La présente décision abroge et remplace la décision de la haute représentante de l'Union pour les affaires étrangères et la politique de sécurité du 15 juin 2011 relative aux règles de sécurité applicables au service européen pour l'action extérieure (3).

2. La présente décision abroge la décision de la haute représentante de l'Union pour les affaires étrangères et la politique de sécurité du 23 février 2011 relative à la désignation et aux tâches de l'autorité de sécurité déléguée du service européen pour l'action extérieure.

Article 22

Dispositions finales

La présente décision entre en vigueur le jour de sa signature.

Elle est publiée au Journal officiel de l’Union européenne.

Les autorités compétentes du SEAE informent dûment et en temps utile tous les membres du personnel concernés par la présente décision et ses annexes au sujet de son contenu, de son entrée en vigueur et toute modification qui lui est apportée ultérieurement. Fait à Bruxelles, le 19 avril 2013. La haute représentante C. ASHTON

(1) JO L 201 du 3.8.2010, p. 30.

(2) JO C 304 du 15.10.2011, p. 5.

(3) JO C 304 du 15.10.2011, p. 5.

ANNEXE A PRINCIPES ET NORMES DE PROTECTION DES ICUE Article premier Objectif, champ d'application et définitions 1. La présente annexe définit les principes de base et les normes minimales de sécurité pour la protection des ICUE. 2. Ces principes de base et normes minimales s’appliquent au SEAE et aux membres du personnel placés sous sa responsabilité, tels que visés et définis, respectivement, aux articles 1er et 2 de la présente décision. Article 2 Définition des ICUE, classifications et marquages de sécurité 1. Par «informations classifiées de l'UE» (ICUE), on entend toute information ou tout matériel identifié comme tel par une classification de sécurité de l'UE, dont la divulgation non autorisée pourrait porter atteinte à des degrés divers aux intérêts de l'Union européenne, ou à ceux d'un ou de plusieurs de ses États membres. 2. Les ICUE relèvent de l'un des niveaux de classification suivants: a) TRES SECRET UE/EU TOP SECRET: informations et matériels dont la divulgation non autorisée pourrait causer un préjudice exceptionnellement grave aux intérêts essentiels de l'Union européenne ou d'un ou de plusieurs de ses États membres; b) SECRET UE/EU SECRET: informations et matériels dont la divulgation non autorisée pourrait nuire gravement aux intérêts essentiels de l'Union européenne ou d'un ou de plusieurs de ses États membres; c) CONFIDENTIEL UE/EU CONFIDENTIAL: informations et matériels dont la divulgation non autorisée pourrait nuire aux intérêts essentiels de l'Union européenne ou d'un ou de plusieurs de ses États membres; d) RESTREINT UE/EU RESTRICTED: informations et matériels dont la divulgation non autorisée pourrait être défavorable aux intérêts de l'Union européenne ou d'un ou de plusieurs de ses États membres. 3. Les ICUE portent un marquage de classification de sécurité conformément au paragraphe 2. Elles peuvent porter des marquages supplémentaires pour désigner le domaine d'activité auquel elles sont liées, identifier l'autorité d'origine, limiter la diffusion, restreindre l'utilisation ou indiquer la communicabilité. Article 3 Gestion de la classification 1. Le SEAE veille à ce que les ICUE soient classifiées de manière appropriée, clairement identifiées en tant qu'informations classifiées, et qu'elles ne conservent leur niveau de classification qu'aussi longtemps que nécessaire. 2. Les ICUE ne sont pas déclassées ni déclassifiées, et aucun des marquages visés à l'article 2, paragraphe 3, n'est modifié ni supprimé sans le consentement écrit préalable de l'autorité d'origine. 3. L’autorité de sécurité du SEAE approuve, après avoir consulté le comité de sécurité du SEAE conformément à l’article 14, paragraphe 5, de la présente décision, une politique de sécurité relative à la création d’ICUE comprenant un guide de classification pratique. Article 4 Protection des informations classifiées 1. Les ICUE sont protégées conformément à la présente décision. 2. Il incombe au détenteur de tout élément d'ICUE de le protéger conformément à la présente décision. 3. Lorsque les États membres introduisent des informations classifiées portant un marquage national de classification de sécurité dans les structures ou réseaux du SEAE, ce dernier protège ces informations conformément aux règles applicables aux ICUE de niveau équivalent tel que prévu dans le tableau d'équivalence des classifications de sécurité figurant à l'appendice B de la décision 2011/292/UE du Conseil du 31 mars 2011 concernant les règles de sécurité aux fins de la protection des informations classifiées de l’UE. Le SEAE établit des procédures adéquates afin de tenir des registres précis de l’autorité d’origine — des informations classifiées que le SEAE reçoit; et — des sources incluses dans les informations classifiées émanant du SEAE. Le comité de sécurité du SEAE est informé de ces procédures. 4. Les grandes quantités ou la compilation d'ICUE peuvent justifier un niveau de protection correspondant à une classification plus élevée que celle des éléments qui les composent. Article 5 Sécurité du personnel amené à traiter des informations classifiées de l’UE 1. La sécurité du personnel passe par l'application de mesures visant à faire en sorte que l'accès aux ICUE ne soit accordé qu'aux personnes qui ont: — un besoin d'en connaître; — en ce qui concerne l'accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur, ont fait l’objet d’une habilitation de sécurité du niveau correspondant, ou ont été dûment autorisées en vertu de leurs fonctions conformément aux dispositions législatives et réglementaires nationales; et — été informées de leurs responsabilités. 2. Les procédures d'habilitation de sécurité concernant le personnel (HSP) ont pour but de déterminer si une personne, compte tenu de sa loyauté, de son intégrité et de sa fiabilité, peut être autorisée à avoir accès à des ICUE. 3. Avant de se voir accorder l'accès à des ICUE et à intervalles réguliers par la suite, toutes les personnes concernées sont informées par écrit des responsabilités qui leur incombent en matière de protection des ICUE conformément à la présente décision et reconnaissent ces responsabilités par écrit. 4. Les modalités d'application du présent article figurent à l'annexe A I. Article 6 Sécurité physique des informations classifiées de l’UE 1. Par «sécurité physique», on entend l'application de mesures physiques et techniques de protection pour dissuader l'accès non autorisé aux ICUE. 2. Les mesures de sécurité physique sont destinées à faire obstacle à toute intrusion par la ruse ou par la force, à avoir un effet dissuasif, à empêcher et détecter les actes non autorisés et permettre d'établir une distinction entre les membres du personnel au regard de l'accès aux ICUE conformément au principe du besoin d'en connaître. Ces mesures sont déterminées sur la base d'une procédure de gestion des risques. 3. Les mesures physiques de sécurité sont mises en place pour tous les locaux, bâtiments, bureaux, salles et autres zones dans lesquels des ICUE sont traitées ou stockées, y compris les zones où se trouvent les systèmes d'information et de communication définis à l'article 8, paragraphe 2. 4. Des zones où sont stockées des ICUE CONFIDENTIEL UE/EU CONFIDENTIAL ou d'un niveau de classification supérieur sont créées en tant que zones sécurisées conformément à l'annexe A II et agréées par l'autorité de sécurité du SEAE. 5. Seuls des équipements ou des dispositifs agréés sont utilisés pour protéger les ICUE CONFIDENTIEL UE/EU CONFIDENTIAL ou d'un niveau de classification supérieur. 6. Les modalités d'application du présent article figurent à l'annexe A II. Article 7 Gestion des informations classifiées 1. Par «gestion des informations classifiées», on entend l'application de mesures administratives pour contrôler les ICUE tout au long de leur cycle de vie afin de compléter les mesures prévues aux articles 5, 6 et 8 et de contribuer ainsi à la dissuasion, à la détection et au retour aux conditions opérationnelles dans le cadre de la compromission ou de la perte délibérée ou accidentelle de telles informations. Ces mesures concernent en particulier la création, l'enregistrement, la duplication, la traduction, le transport, le traitement, le stockage et la destruction des ICUE. 2. Les informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d'un niveau de classification supérieur sont enregistrées à des fins de sécurité avant leur diffusion et lors de leur réception. Les autorités compétentes au sein du SEAE établissent un bureau d'ordre à cette fin. Les informations classifiées TRES SECRET UE/EU TOP SECRET sont enregistrées dans des bureaux d'ordre désignés. 3. Les services et les locaux dans lesquels les ICUE sont traitées ou stockées font l'objet d'une inspection régulière par l'autorité de sécurité du SEAE. 4. En dehors des zones physiquement protégées, les ICUE sont transmises entre les services et les locaux selon les modalités suivantes: a) en règle générale, les ICUE sont transmises par voie électronique protégée par des produits cryptographiques agréés conformément à l'article 7, paragraphe 5, de la présente décision et à des procédures d’exploitation de sécurité (SecOPs) clairement définies; b) si la voie visée au point a) n'est pas utilisée, les ICUE sont transportées: i) soit sur des supports électroniques (par exemple clé USB, CD, disque dur) protégés par des produits cryptographiques agréés conformément à l'article 7, paragraphe 5, de la présente décision; soit ii) dans tous les autres cas, de la manière prescrite par l'autorité de sécurité du SEAE conformément aux mesures de protection pertinentes prévues à l'annexe A III, section V. 5. Les modalités d'application du présent article figurent à l'annexe A III. Article 8 Protection d’ICUE traitées dans des systèmes d’information et de communication 1. Par «assurance de l'information (AI) dans le domaine des systèmes d'information et de communication», on entend la certitude que ces systèmes protégeront les informations qu'ils traitent et fonctionneront comme ils le doivent, quand ils le doivent, sous le contrôle d'utilisateurs légitimes. Une AI efficace garantit des niveaux appropriés de confidentialité, d'intégrité, de disponibilité, de non-répudiation et d'authenticité. L'AI est fondée sur un processus de gestion des risques. 2. On entend par «système d'information et de communication» (SIC) tout système permettant le traitement d'informations sous forme électronique. Un système d'information et de communication comprend l'ensemble des moyens nécessaires pour le faire fonctionner, y compris l'infrastructure, l'organisation, le personnel et les ressources d'information. La présente annexe s’applique à tout SIC du SEAE traitant des ICUE. 3. Les SIC traitent des ICUE dans le respect de la notion d'AI. 4. Tous les SIC traitant des ICUE font l'objet d'un processus d'homologation. L'homologation vise à obtenir l'assurance que toutes les mesures de sécurité appropriées ont été mises en œuvre et que les ICUE et les SIC font l'objet d'un niveau suffisant de protection conformément à la présente décision. La déclaration d'homologation détermine le niveau maximal de classification des informations qui peuvent être traitées dans un SIC ainsi que les modalités et les conditions correspondantes. 5. Les SIC traitant des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL et d'un niveau de classification supérieur sont protégés de telle manière que les informations ne peuvent pas être compromises par des émissions électromagnétiques non intentionnelles («mesures de sécurité TEMPEST»). 6. Lorsque la protection des ICUE est assurée par des produits cryptographiques, ces produits sont agréés conformément à l’article 7, paragraphe 5, de la présente décision. 7. Lors de la transmission des ICUE par voie électronique, des produits cryptographiques qui ont fait l'objet d'un agrément sont utilisés. Nonobstant cette exigence, des procédures spécifiques peuvent être appliquées en cas d'urgence ou dans le cadre de configurations techniques spécifiques comme le prévoit l'annexe A IV. 8. En vertu de l’article 7, paragraphe 6, de la présente décision, les autorités d’AI suivantes sont établies selon les besoins: a) une autorité chargée de l'AI (AAI); b) une autorité TEMPEST (AT); c) une autorité d'agrément cryptographique (AAC); d) une autorité chargée de la distribution cryptographique (ADC). 9. En vertu de l’article 7, paragraphe 7, de la présente décision, sont créées, pour chaque système: a) une autorité d'homologation de sécurité (AHS); b) une autorité opérationnelle chargée de l'AI. 10. Les modalités d'application du présent article figurent à l'annexe A IV. Article 9 Sécurité industrielle 1. Par «sécurité industrielle», on entend l'application de mesures visant à assurer la protection des ICUE par des contractants ou des sous-traitants dans le cadre de négociations précontractuelles et tout au long du cycle de vie des contrats classifiés. De manière générale, de tels contrats ne doivent pas concerner l'accès à des informations classifiées TRES SECRET UE/EU TOP SECRET. 2. Le SEAE peut, par voie contractuelle, confier à des entités industrielles ou autres immatriculées dans un État membre ou dans un pays tiers ayant conclu un accord sur la sécurité des informations ou un arrangement administratif en vertu de l'article 10, paragraphe 1, de l’annexe A, des tâches qui impliquent ou nécessitent l'accès, le traitement ou le stockage d'ICUE. 3. En tant qu'autorité contractante, le SEAE veille à ce que les normes minimales de sécurité industrielle prévues dans la présente décision et mentionnées dans le contrat soient respectées lors de l'octroi de contrats classifiés à des entités industrielles ou autres. Il garantit le respect de telles normes minimales via l'ANS/ASD concernée. 4. Les contractants et les sous-traitants immatriculés sur le territoire d’un État membre, qui participent à des contrats classifiés ou à des contrats de sous-traitance nécessitant le traitement et le stockage d’informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET au sein de leurs établissements, sont en possession, lors de l'exécution desdits contrats ou durant la phase précontractuelle, d'une habilitation nationale de sécurité d'établissement (HSE) du niveau de classification correspondant délivrée par l'ANS, l’ASD ou toute autre autorité de sécurité compétente dudit État membre. 5. Lorsque les membres du personnel d'un contractant ou d'un sous-traitant doivent, en raison de leurs fonctions aux fins de l'exécution d'un contrat classifié, accéder à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, l'autorité nationale de sécurité (ANS), l’autorité de sécurité désignée (ASD) ou toute autre autorité de sécurité compétente leur délivre une HSP, conformément aux dispositions législatives ou réglementaires nationales et dans le respect des normes minimales définies à l'annexe A I. 6. Les modalités d'application du présent article figurent à l'annexe A V. Article 10 Échanges d’informations classifiées avec des pays tiers et des organisations internationales 1. Le SEAE ne peut échanger des ICUE avec un pays tiers ou une organisation internationale que dans les cas suivants: a) un accord sur la sécurité des informations conclu entre l'UE et ce pays tiers ou cette organisation internationale conformément à l'article 37 du TUE et à l'article 218 du TFUE est en vigueur; ou b) un arrangement administratif, conclu conformément à la procédure énoncée à l’article 14, paragraphe 5, de la présente décision, entre la HR et les autorités de sécurité compétentes de ce pays tiers ou de cette organisation internationale aux fins de l’échange d’informations dont le niveau de classification n'est en principe pas supérieur à RESTREINT UE/EU RESTRICTED, a pris effet; ou c) un accord-cadre de participation ou un accord de participation ad hoc, conclu en vertu de l'article 37 du traité sur l'Union européenne et de l'article 218 du traité sur le fonctionnement de l'Union européenne, entre l’UE et ce pays tiers dans le cadre d’une opération PESD de gestion de crise est applicable, et les conditions exposées dans cet instrument sont réunies. Les exceptions à la règle générale ci-dessus sont précisées à l'annexe A VI, section V. 2. Les arrangements administratifs visés au paragraphe 1, point b), contiennent des dispositions pour garantir que, lorsque des pays tiers ou des organisations internationales reçoivent des ICUE, ces informations bénéficient d'une protection conforme à leur niveau de classification et à des normes minimales qui ne sont pas moins strictes que celles prévues dans la présente décision. Les informations échangées sur la base des accords visés au paragraphe 1, point c), sont limités aux informations relatives aux opérations PSDC auxquelles le pays tiers en question participe sur la base de ces accords et conformément à leurs dispositions. 3. Des visites d’évaluation dans des pays tiers ou des organisations internationales, telles que visées à l'article 16 de la présente décision, sont organisées afin de garantir l’efficacité des mesures de sécurité en matière de protection de toute ICUE échangée. 4. La décision de communiquer des ICUE détenues par le SEAE à un pays tiers ou à une organisation internationale est prise au cas par cas, en fonction de la nature et du contenu de ces informations, du besoin d'en connaître du destinataire et d'une appréciation des avantages que l'UE peut en retirer. Le SEAE demande le consentement écrit de toute entité ayant fourni des informations classifiées en tant que sources d'ICUE émanant du SEAE afin d’établir l’absence d’objection à leur communication. Si l'autorité d'origine des informations classifiées à communiquer n'est pas le SEAE, le SEAE demande au préalable le consentement écrit de l'autorité d'origine. Si, toutefois, le SEAE est dans l’impossibilité de déterminer l’autorité d’origine, l'autorité de sécurité du SEAE endosse la responsabilité de l'autorité d'origine après avoir obtenu l'avis unanimement favorable des États membres représentés au sein du comité de sécurité du SEAE. 5. Les modalités d'application du présent article figurent à l'annexe A VI. Article 11 Infractions à la sécurité et compromission d’informations classifiées 1. Toute infraction à la sécurité, réelle ou présumée, et toute compromission d’informations classifiées, réelle ou présumée, sont immédiatement signalées à la direction de la sécurité du SEAE, qui informe, le cas échéant, la direction de la sécurité de la direction générale des ressources humaines et de la sécurité de la Commission, le bureau de sécurité du Secrétariat général du Conseil, le ou les États membres concernés, ou toute autre entité concernée. 2. Lorsqu'il est avéré ou qu'il existe des motifs raisonnables de supposer que des informations classifiées ont été compromises ou perdues, la direction de la sécurité du SEAE en informe la direction de la sécurité de la Commission européenne, le bureau de sécurité du Secrétariat général du Conseil ou l’ANS du ou des États membres concernés, ou toute autre entité concernée, selon le cas, et prend toutes les mesures nécessaires conformément aux dispositions législatives et réglementaires applicables afin: a) d’évaluer le préjudice éventuel causé aux intérêts de l'UE ou des États membres; b) d’éviter que les faits ne se reproduisent; c) de protéger les éléments de preuve; d) de faire en sorte qu'une enquête soit menée par des membres du personnel n'étant pas directement concernés par l'infraction afin d'établir les faits; e) de notifier aux autorités concernées les effets de l’événement et des mesures prises; et f) d’informer l'autorité d'origine. 3. Tout membre du personnel sous la responsabilité du SEAE qui enfreint les règles de sécurité énoncées dans la présente décision est passible d'une sanction disciplinaire conformément aux dispositions législatives et réglementaires applicables. Toute personne responsable de la compromission ou de la perte d'informations classifiées est passible de sanctions disciplinaires et/ou peut faire l'objet d'une action en justice conformément aux dispositions législatives et réglementaires applicables. La direction de la sécurité de la direction générale des ressources humaines et de la sécurité de la Commission, le bureau de sécurité du Secrétariat général du Conseil ou l’ANS du ou des États membres concernés, ou toute entité concernée, sont immédiatement et dûment informés. 4. Pendant que l'infraction et/ou la compromission font l'objet d'une enquête, le chef de la direction de la sécurité du SEAE peut suspendre l'accès individuel aux ICUE et aux locaux du SEAE. La direction de la sécurité de la direction générale des ressources humaines et de la sécurité de la Commission, le bureau de sécurité du Secrétariat général du Conseil ou l’ANS du ou des États membres concernés, ou toute entité concernée, sont immédiatement informés de la présente décision.

ANNEXE A I MESURES DE SÉCURITÉ CONCERNANT LE PERSONNEL I. INTRODUCTION 1. La présente annexe contient les dispositions d’application de l’article 5 de l’annexe A. Elle prévoit les critères permettant au SEAE de déterminer si une personne, compte tenu de sa loyauté, de son intégrité et de sa fiabilité, peut être autorisée à avoir accès à des ICUE, ainsi que les procédures d'enquête et administratives à suivre à cet effet. 2. L’«habilitation de sécurité du personnel» (HSP) donnant accès aux ICUE est une déclaration émanant d'une autorité compétente d'un État membre établie à la suite d'une enquête de sécurité menée par les autorités compétentes d'un État membre et attestant qu'une personne peut, pour autant que son besoin d'en connaître ait été établi, être autorisée à avoir accès aux ICUE jusqu'à un niveau de classification donné (CONFIDENTIEL UE/EU CONFIDENTIAL ou supérieur) jusqu'à une date donnée; la personne ainsi décrite est «habilitée». 3. Le «certificat d’habilitation de sécurité du personnel» (CHSP) est un certificat délivré par l’autorité de sécurité du SEAE précisant l’habilitation d’une personne et le niveau de classification des ICUE auxquelles l'intéressé peut se voir accorder l'accès, la date de validité de la HSP concernée et la date d’expiration du certificat lui-même. 4. L’«autorisation d’accès aux ICUE» est une autorisation que prend l'autorité de sécurité du SEAE en conformité avec la présente décision après qu'une HSP a été délivrée par les autorités compétentes d'un État membre, attestant qu'une personne peut, pour autant que son besoin d'en connaître ait été établi, être autorisée à avoir accès aux ICUE jusqu'à un niveau de classification donné (CONFIDENTIEL UE/EU CONFIDENTIAL ou supérieur) jusqu'à une date donnée; la personne ainsi décrite est «habilitée». II. AUTORISER L'ACCÈS AUX ICUE 5. L’accès à des informations classifiées RESTREINT UE/EU RESTRICTED ne nécessite pas d’habilitation de sécurité et est accordé après: a) établissement du lien statutaire ou contractuel de la personne concernée avec le SEAE, b) détermination du besoin d'en connaître de la personne, c) notification des règles et procédures de sécurité applicables à la protection des ICUE et reconnaissance écrite des responsabilités qui lui incombent en matière de protection de ces informations conformément à la présente décision. 6. Une personne ne peut être autorisée à avoir accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d'un niveau de classification supérieur qu'après: a) que son besoin d'en connaître a été établi; b) s'être vu accorder une HSP du niveau correspondant ou avoir été dûment autorisée en vertu de ses fonctions conformément aux dispositions législatives et réglementaires nationales; et c) avoir été informée des règles et procédures de sécurité applicables à la protection des ICUE et avoir reconnu par écrit les responsabilités qui lui incombent en matière de protection de ces informations. 7. Le SEAE répertorie, au sein de ses structures, les postes nécessitant l'accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d'un niveau de classification supérieur et exigeant par conséquent une HSP du niveau correspondant, conformément à l'article 4 ci-dessus. 8. Les membres du personnel du SEAE déclarent s'ils possèdent la nationalité de plusieurs pays. Procédures de demande d'HSP au sein du SEAE 9. En ce qui concerne les membres du personnel du SEAE, l'AIPN du SEAE transmet le questionnaire de sécurité du personnel rempli à l'ANS de l'État membre dont l'intéressé est ressortissant et demande qu'il soit procédé à une enquête de sécurité pour le niveau de classification des ICUE auxquelles l'intéressé devra avoir accès. 10. Lorsqu’une personne possède la nationalité de plusieurs pays, la demande d’enquête de sécurité est adressée à l’ANS du pays dont la personne recrutée est ressortissante. 11. Si des informations utiles à une enquête de sécurité sont portées à la connaissance du SEAE concernant une personne ayant demandé une HSP, le SEAE, agissant conformément à la réglementation applicable, en avertit l'ANS compétente. 12. À l'issue de l'enquête de sécurité, l'ANS compétente notifie à la direction de la sécurité du SEAE les conclusions de l'enquête en question. a) Lorsque, à l'issue de l'enquête de sécurité, on obtient l'assurance qu'il n'existe pas de renseignements défavorables de nature à mettre en doute la loyauté, l'intégrité et la fiabilité de l'intéressé, l'autorité de sécurité du SEAE peut accorder à l'intéressé une autorisation d’accès à des ICUE du niveau de classification correspondant jusqu'à une date déterminée. b) Le SEAE prend toutes les mesures qui s’imposent pour veiller à ce que les conditions ou restrictions imposées par l’ANS soient dûment mises en œuvre. L’ANS est informée des résultats. c) Lorsque, à l'issue de l'enquête de sécurité, on n'obtient pas cette assurance, l’autorité de sécurité du SEAE en informe l'intéressé, qui peut demander à être entendu par l’autorité de sécurité du SEAE. Celle-ci peut demander à l'ANS compétente tout éclaircissement complémentaire qu'elle est en mesure de donner conformément à ses dispositions législatives et réglementaires nationales. En cas de confirmation des résultats, l’autorisation d’accès aux ICUE n’est pas accordée. Dans ce cas, le SEAE prend toutes les mesures qui s’imposent pour que le demandeur se voie refuser tout accès aux ICUE. 13. L’enquête de sécurité et ses résultats, sur lesquels le SEAE fonde sa décision d’octroi ou de refus d’une autorisation d’accès aux ICUE, obéissent aux dispositions législatives et réglementaires en vigueur dans l'État membre concerné, y compris celles relatives aux recours. Les décisions de l’autorité de sécurité du SEAE sont susceptibles de recours conformément au statut des fonctionnaires de l'Union européenne et au régime applicable aux autres agents de l'Union européenne, fixés dans le règlement (CEE, Euratom, CECA) no 259/68 (1) (ci-après dénommés «statut et régime applicable»). 14. L'assurance sur laquelle une HSP se fonde, pour autant qu'elle reste valable, couvre toute fonction exercée par l'intéressé au sein du SEAE, du Secrétariat général du Conseil ou de la Commission. 15. Si l'intéressé n'entame pas sa période de service dans un délai de douze mois à compter de la notification des conclusions de l'enquête de sécurité à l’autorité de sécurité du SEAE ou si cette période de service connaît une interruption d’au moins douze mois au cours de laquelle l'intéressé n'occupe pas de poste au sein du SEAE, d’autres institutions, organes ou organismes de l'UE, ou d'une administration nationale d'un État membre nécessitant un accès à des informations classifiées, les conclusions précitées sont soumises à l'ANS compétente afin que celle-ci confirme qu'elles restent valables et pertinentes. 16. Si des informations sont portées à la connaissance du SEAE concernant un risque de sécurité que représente une personne titulaire d'une HSP valide, le SEAE, agissant conformément à la réglementation applicable, en avertit l'ANS compétente. Lorsqu'une ANS notifie au SEAE que l'assurance visée au paragraphe 12, point a), est retirée à une personne titulaire d’une autorisation d’accès aux ICUE valide, l'autorité de sécurité du SEAE peut demander à l'ANS concernée tout éclaircissement qu'elle est en mesure de donner dans le respect de ses dispositions législatives et réglementaires nationales. Si les informations défavorables sont confirmées, l’autorisation susmentionnée est retirée et la personne concernée n'est plus autorisée à avoir accès aux ICUE, ni à des postes où un tel accès est possible et où elle pourrait nuire à la sécurité. 17. Toute décision de retirer une autorisation d’accès aux ICUE à un membre du personnel du SEAE et, s'il y a lieu, les raisons la justifiant sont communiquées à la personne concernée, qui peut demander à être entendue par l’autorité de sécurité du SEAE. Les informations communiquées par une ANS sont soumises aux dispositions législatives et réglementaires en vigueur dans l'État membre concerné, y compris celles relatives aux recours. Les décisions de l'autorité de sécurité du SEAE sont susceptibles de recours conformément au statut et au régime applicable. 18. Les experts nationaux détachés auprès du SEAE pour occuper un poste nécessitant un accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur doivent présenter à l'autorité de sécurité du SEAE avant de prendre leurs fonctions une HSP valable leur donnant accès aux ICUE. La procédure susmentionnée est gérée par l’État membre qui détache les experts nationaux. Registres des HSP 19. Une base de données pour l’état d’habilitation, en matière de sécurité, de tous les membres du personnel placés sous la responsabilité du SEAE et de ses contractants est administrée par le SEAE. Ces registres contiennent le niveau de classification des ICUE auxquelles l'intéressé peut se voir accorder l'accès (CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau supérieur), la date à laquelle l'HSP a été délivrée et sa durée de validité. 20. Des procédures de coordination adéquates sont mises en place avec les États membres et d’autres institutions, organes et organismes de l’UE pour faire en sorte que le SEAE tienne des registres précis et complets concernant l’état de l'habilitation de sécurité de tous les membres du personnel placés sous la responsabilité du SEAE et des effectifs de ses contractants. 21. L'autorité de sécurité du SEAE peut délivrer un certificat d'habilitation de sécurité du personnel (CHSP) précisant le niveau de classification des ICUE auxquelles l'intéressé peut se voir accorder l'accès (CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau supérieur), la durée de validité de l'HSP et la date d'expiration du certificat proprement dit. Exemptions de l'obligation d'HSP 22. Les personnes dûment autorisées à accéder aux ICUE de par les fonctions qu'elles exercent, conformément aux dispositions législatives et réglementaires nationales, sont informées, le cas échéant, par la direction de la sécurité du SEAE des obligations qui leur incombent pour la sécurité des ICUE. III. FORMATION ET SENSIBILISATION À LA SÉCURITÉ 23. Avant d’être autorisées à accéder aux ICUE, toutes les personnes reconnaissent par écrit qu'elles ont bien compris leurs obligations en matière de protection des ICUE et des conséquences qui pourraient résulter si des ICUE devaient être compromises. Le SEAE tient un registre de ces déclarations écrites. 24. Toutes les personnes autorisées à avoir accès aux ICUE ou tenues de les traiter sont averties dans un premier temps et périodiquement informées par la suite des menaces pesant sur la sécurité, et elles doivent rendre compte immédiatement aux autorités de sécurité compétentes de toute démarche ou activité qu'elles jugent suspecte ou inhabituelle. 25. Toutes les personnes ayant accès aux ICUE sont constamment soumises aux mesures de sécurité du personnel permanentes (c’est-à-dire assistance) pendant qu’elles traitent des ICUE. La sécurité permanente du personnel incombe: a) aux personnes autorisées à accéder aux ICUE: les intéressés sont personnellement responsables de leur propre comportement en matière de sécurité et doivent signaler immédiatement aux autorités de sécurité compétentes toute démarche ou activité qu’ils jugent suspecte ou inhabituelle, ainsi que toute modification de leur propre situation personnelle qui pourrait avoir un impact sur leur HSP ou autorisation d'accéder aux ICUE; b) aux supérieurs hiérarchiques: ils sont tenus de veiller à ce que leur personnel soit bien au courant des mesures de sécurité et des responsabilités quant à la protection des ICUE, de contrôler la conduite des membres du personnel quant à la sécurité et soit de traiter eux-mêmes tout problème de sécurité, soit de relayer aux autorités de sécurité compétentes toute information négative susceptible d'avoir un impact sur l'HSP ou l'autorisation d'accéder aux ICUE des membres de leur personnel; c) aux intervenants en matière de sécurité de l’organisation de la sécurité du SEAE telle que visée à l’article 12 de la présente décision: ils sont tenus de proposer des mises au point en matière de sécurité afin que les membres du personnel relevant de leur domaine bénéficient d'informations régulières, de promouvoir une culture de sécurité solide dans leur domaine de responsabilité, de mettre en place des mesures de contrôle de la conduite des membres du personnel en matière de sécurité, ainsi que de signaler aux autorités de sécurité compétentes toute information négative qui pourrait avoir un impact sur les HSP de toute personne; d) au SEAE et aux États membres: ils mettent en place les nécessaires canaux de communication d’informations susceptibles d’avoir un impact sur l'HSP ou autorisation d’accéder aux ICUE de toute personne. 26. Toutes les personnes qui cessent d'exercer des fonctions nécessitant un accès aux ICUE sont informées, et le cas échéant reconnaissent par écrit, qu'elles ont l'obligation de continuer à protéger les ICUE. IV. CIRCONSTANCES EXCEPTIONNELLES 27. En cas d'urgence, lorsque cela est dûment justifié dans l'intérêt du SEAE et en attendant l'achèvement de l'enquête de sécurité complète, l’autorité de sécurité du SEAE peut, après avoir consulté l'ANS de l'État membre dont l'intéressé est ressortissant et sous réserve des résultats des vérifications préliminaires effectuées pour s'assurer de l'absence d'informations défavorables, accorder à titre temporaire aux fonctionnaires et autres agents du SEAE l'autorisation d'accéder à des ICUE pour une fonction déterminée. Une enquête de sécurité complète doit être réalisée le plus rapidement possible. Ces autorisations temporaires sont valables pour une période ne dépassant pas six mois et ne donnent pas accès aux informations classifiées TRES SECRET UE/EU TOP SECRET. Toutes les personnes auxquelles a été délivrée une autorisation temporaire reconnaissent par écrit qu'elles ont bien compris leurs obligations en matière de protection des ICUE et les conséquences qui pourraient résulter si des ICUE devaient être compromises. Le SEAE tient un registre de ces déclarations écrites. 28. Lorsqu'une personne doit être affectée à un poste requérant une HSP dont le niveau dépasse d'un niveau celui qu'elle possède, l'affectation peut être décidée à titre provisoire, pour autant que les conditions suivantes soient réunies: a) l'accès aux ICUE d'un niveau supérieur répond à une nécessité impérieuse qui doit être justifiée par écrit par le supérieur hiérarchique de la personne concernée; b) l'accès doit être limité à des éléments particuliers des ICUE et servir aux attributions; c) l'intéressé possède une HSP valide; d) des démarches ont été entreprises en vue d'obtenir une autorisation pour le niveau d'accès nécessaire pour le poste; e) des contrôles satisfaisants ont été effectués par l'autorité compétente permettant d'établir l'absence de violations graves ou répétées du règlement de sécurité par la personne concernée; f) l'affectation de la personne est approuvée par l'autorité du SEAE compétente; et g) l’ANS/ASD compétente qui a délivré l’HSP à l’intéressé a été consultée et aucune objection n'a été formulée; h) une trace de l'accès exceptionnel, y compris une description des informations auxquelles l’accès a été donné, est conservée par le bureau d'ordre ou le bureau d'ordre subordonné compétent. 29. La procédure décrite ci-dessus est utilisée pour un accès ponctuel à des ICUE dont la classification dépasse d'un niveau le niveau d'habilitation de la personne concernée. Il ne convient pas de recourir de manière répétée à cette procédure. 30. Dans des circonstances très exceptionnelles, c'est-à-dire en cas de missions dans un environnement hostile ou au cours de périodes de tension internationale croissante lorsque des mesures d'urgence l'exigent, plus particulièrement afin de sauver des vies, la HR, le secrétaire général exécutif et le directeur opérationnel peuvent accorder, si possible par écrit, un accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET à des personnes qui ne détiennent pas l'HSP requise, à condition que l'accès accordé soit absolument indispensable et qu'il n'y ait pas de raison de douter de la loyauté, de l'intégrité et de la fiabilité de la personne concernée. Une trace de l'autorisation précisant les informations pour lesquelles l'accès a été approuvé doit être conservée. 31. Pour les informations classifiées TRES SECRET UE/EU TOP SECRET, un tel accès d'urgence est limité aux ressortissants d'États membres de l'UE s'étant vu octroyer l'accès soit à des informations dont le niveau de classification national équivaut à TRES SECRET UE/EU TOP SECRET soit à des informations classifiées SECRET UE/EU SECRET. 32. Le comité de sécurité du SEAE est informé des cas où il est recouru à la procédure décrite aux paragraphes 29 et 30. 33. Chaque année, le comité de sécurité du SEAE reçoit un rapport sur le recours aux procédures énoncées dans la présente section. V. PARTICIPATION AUX RÉUNIONS AU SIÈGE DU SEAE ET DANS LES DÉLÉGATIONS DE L’UNION 34. Les personnes désignées pour participer à des réunions au siège du SEAE et dans les délégations de l’Union au sein desquelles des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d'un niveau de classification supérieur sont traitées, ne peuvent le faire qu'après confirmation de la situation de l'intéressé au regard de l'HSP. Pour les représentants des États membres, les fonctionnaires du SCG et de la Commission, un CHSP ou toute autre preuve d'HSP est transmis par les autorités concernées à la direction de la sécurité du SEAE, au coordinateur de la sécurité de la délégation de l'Union ou, à titre exceptionnel, est présenté par l'intéressé. Le cas échéant, il peut être fait usage d'une liste de noms récapitulative mentionnant les preuves d'habilitation voulues. 35. Lorsqu’une HSP permettant d'accéder à des ICUE est retirée à une personne dont la fonction l'oblige à participer à des réunions au siège du SEAE ou dans une délégation de l'Union auxquelles des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur sont traitées, le SEAE en est informé par l’autorité compétente. VI. ACCÈS POTENTIEL AUX ICUE 36. Lorsqu'une personne doit être employée dans une fonction susceptible de lui donner un accès potentiel à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d'un niveau supérieur, elle doit être dûment habilitée ou escortée en permanence. 37. Les courriers, les gardes et les escortes doivent disposer d'une habilitation de sécurité du niveau correspondant ou faire l'objet d'une enquête appropriée conformément aux dispositions législatives et réglementaires nationales, et être informés à intervalles réguliers des procédures de sécurité applicables à la protection des ICUE ainsi que des obligations qui leur incombent en matière de protection des informations de cette nature qui leur sont confiées ou auxquelles ils peuvent avoir accès par inadvertance. (1) JO L 56 du 4.3.1968, p. 1.

ANNEXE A II SÉCURITÉ PHYSIQUE DES INFORMATIONS CLASSIFIÉES DE L’UE I. INTRODUCTION 1. La présente annexe contient les dispositions d'application de l'article 6 de l'annexe A. Elle énonce les règles minimales de protection physique des locaux, bâtiments, bureaux, salles et autres zones où des ICUE sont traitées et stockées, y compris des zones hébergeant des SIC. 2. Les mesures de sécurité physique sont destinées à prévenir l'accès non autorisé aux ICUE en: a) garantissant que les ICUE sont correctement traitées et stockées; b) permettant d'établir une distinction entre les membres du personnel au regard de l'accès aux ICUE sur la base de leur besoin d'en connaître et, le cas échéant, de leur habilitation de sécurité; c) ayant un effet dissuasif, en empêchant et en détectant les actes non autorisés; et d) en empêchant ou en retardant toute intrusion par la ruse ou par la force. II. RÈGLES ET MESURES EN MATIÈRE DE SÉCURITÉ PHYSIQUE 3. Il convient que le SEAE applique une procédure de gestion des risques pour protéger les ICUE dans leurs locaux afin de garantir un niveau de protection physique qui soit proportionné au risque évalué. La procédure de gestion des risques tient compte de tous les facteurs pertinents, et notamment: a) du niveau de classification des ICUE; b) de la forme et du volume des ICUE, sachant que l'application de mesures de protection plus strictes pourrait être requise pour des volumes importants ou en cas de compilation d'ICUE; c) de l'environnement et de la structure des bâtiments ou des zones où se trouvent des ICUE; d) des évaluations de la menace de pays tiers telles qu’élaborées par INTCEN sur la base, en particulier, de rapports établis par les délégations de l'Union, et e) de l'évaluation de la menace que constituent les services de renseignement prenant pour cible l'UE ou des États membres, ainsi que les actes de sabotage, le terrorisme et les activités subversives ou les autres activités criminelles. 4. En appliquant la notion de défense en profondeur, l'autorité de sécurité du SEAE détermine la bonne combinaison de mesures de sécurité physique qu'il convient de mettre en œuvre. Il peut s'agir d'une ou de plusieurs des mesures suivantes: a) barrière périmétrique: une barrière physique qui défend les limites d'une zone devant être protégée; b) système de détection des intrusions (SDI): un tel système peut être utilisé pour améliorer le niveau de sécurité d'une barrière périmétrique ou dans des salles et des bâtiments pour remplacer le personnel de sécurité ou l'aider dans sa tâche; c) contrôle des accès: il peut être exercé sur un site, un ou plusieurs bâtiments d'un site ou des zones ou salles à l'intérieur d'un bâtiment. Ce contrôle peut être exercé par des moyens électroniques ou électromécaniques, par un membre du personnel de sécurité et/ou un réceptionniste, ou par tout autre moyen physique; d) personnel de sécurité: un personnel de sécurité formé, supervisé et, au besoin, dûment habilité peut être employé, notamment, pour dissuader des personnes de planifier des intrusions clandestines; e) système de télévision en circuit fermé (CCTV): un tel système peut être utilisé par le personnel de sécurité pour effectuer des vérifications en cas d'incident ou de déclenchement de l'alarme des SDI sur des sites étendus ou des enceintes; f) éclairage de sécurité: un tel éclairage peut être utilisé pour dissuader un intrus potentiel ainsi que pour fournir la lumière nécessaire à une surveillance efficace, soit directement par le personnel de sécurité soit indirectement par l'intermédiaire d'un système de CCTV; et g) toute autre mesure physique appropriée destinée à avoir un effet dissuasif quant à l'accès non autorisé ou à détecter un tel accès, ou à prévenir la perte ou la détérioration d'ICUE. 5. L'autorité de sécurité du SEAE peut mener des fouilles aux entrées et aux sorties afin d'avoir un effet dissuasif quant à l'introduction non autorisée de matériel dans des locaux ou des bâtiments ou au retrait non autorisé de toute ICUE des lieux précités. 6. Lorsque des ICUE risquent d'être vues, même accidentellement, des mesures appropriées sont prises pour parer à ce risque. 7. Pour les nouveaux établissements, les règles en matière de sécurité physique et leurs spécifications fonctionnelles doivent être définies lors de la planification et de la conception des établissements. Pour les établissements existants, les règles en matière de sécurité physique doivent être appliquées dans toute la mesure du possible. III. ÉQUIPEMENT DESTINÉ À LA PROTECTION PHYSIQUE DES ICUE 8. Lors de l'achat de l'équipement destiné à la protection physique des ICUE (comme des meubles de sécurité, des déchiqueteuses, des serrures de porte, des systèmes électroniques de contrôle des accès, des SDI, des systèmes d'alarme), l'autorité de sécurité du SEAE veille à ce que cet équipement réponde aux normes techniques et aux conditions minimales agréées. 9. Les spécifications techniques de l'équipement devant servir à la protection physique des ICUE sont définies dans des lignes directrices en matière de sécurité, qu'il appartient au comité de sécurité du SEAE d'approuver. 10. Les systèmes de sécurité sont périodiquement inspectés et l'équipement est entretenu à intervalles réguliers. L'entretien prend en compte les résultats des inspections afin de garantir un fonctionnement optimal continu de l'équipement. 11. Il convient de réévaluer à chaque inspection l'efficacité des différentes mesures de sécurité et du système de sécurité dans son ensemble. IV. ZONES PHYSIQUEMENT PROTÉGÉES 12. Deux types de zones physiquement protégées, ou leurs équivalents au niveau national, sont créés en vue de la protection physique des ICUE: a) les zones administratives et b) les zones sécurisées (dont les zones sécurisées du point de vue technique). 13. Il appartient à l'autorité de sécurité du SEAE d'établir qu'une zone répond aux conditions requises pour être désignée comme zone administrative, zone sécurisée ou zone sécurisée du point de vue technique. 14. Pour les zones administratives: a) un périmètre défini est établi de façon visible afin de permettre le contrôle des personnes et, dans la mesure du possible, des véhicules; b) ne peuvent y pénétrer sans escorte que les personnes dûment autorisées par l'autorité de sécurité du SEAE; et c) toutes les autres personnes sont escortées en permanence ou font l'objet de contrôles équivalents. 15. Pour les zones sécurisées: a) un périmètre défini et protégé est établi de façon visible et toutes les entrées et sorties sont contrôlées par un système de laissez-passer ou d'identification individuelle; b) ne peuvent y pénétrer sans escorte que les personnes habilitées au niveau adéquat et expressément autorisées à y entrer sur la base de leur besoin d'en connaître; c) toutes les autres personnes sont escortées en permanence ou font l'objet de contrôles équivalents. 16. Lorsque le fait de pénétrer dans une zone sécurisée équivaut en pratique à un accès direct aux informations classifiées qu'elle renferme, les règles supplémentaires suivantes sont d'application: a) le niveau de classification le plus élevé qui s'applique aux informations conservées habituellement dans la zone doit être clairement indiqué; b) tous les visiteurs doivent disposer d'une autorisation spécifique pour pénétrer dans la zone, sont escortés en permanence et disposent de l'habilitation de sécurité correspondante, sauf si des mesures sont prises pour empêcher l'accès aux ICUE; c) les appareils électroniques sont laissés hors de la zone. 17. Les zones sécurisées qui sont protégées contre les écoutes sont qualifiées de zones sécurisées du point de vue technique. Les règles supplémentaires suivantes sont applicables: a) ces zones sont équipées de SDI, verrouillées lorsqu'elles ne sont pas occupées et gardées lorsqu'elles sont occupées. Toutes les clés sont contrôlées conformément à la section VI de la présente annexe; b) toutes les personnes et tous les matériels entrant dans ces zones sont contrôlés; c) ces zones doivent faire l'objet, à intervalles réguliers, d'inspections physiques et/ou techniques selon les exigences de l'autorité de sécurité du SEAE. Ces inspections doivent également être effectuées après une entrée non autorisée, réelle ou présumée; et d) ces zones ne sont pas équipées de lignes de communication, de téléphones ou d'autres dispositifs de communication ou matériels électriques ou électroniques qui ne sont pas autorisés; 18. Nonobstant le paragraphe 17, point d), avant d'être utilisé dans des zones dans lesquelles sont organisées des réunions ou sont exécutées des tâches mettant en jeu des informations classifiées SECRET UE/EU SECRET et d'un niveau de classification supérieur, et lorsque la menace pesant sur des ICUE est jugée élevée, tout dispositif de communication et tout matériel électrique ou électronique est d'abord examiné par l'autorité de sécurité du SEAE pour vérifier qu'aucune information intelligible ne peut être transmise par inadvertance ou de manière illicite par ces équipements en dehors du périmètre de la zone sécurisée. 19. Les zones sécurisées qui ne sont pas occupées vingt-quatre heures sur vingt-quatre par le personnel de service sont, au besoin, inspectées après les heures normales de travail et à intervalles aléatoires en dehors de ces heures, sauf si un SDI a été installé. 20. Des zones sécurisées et des zones sécurisées du point de vue technique peuvent être temporairement établies dans une zone administrative en vue de la tenue d'une réunion classifiée ou à toute autre fin similaire. 21. Des procédures d'exploitation de sécurité sont arrêtées pour chacune des zones sécurisées et précisent: a) le niveau de classification des ICUE traitées ou stockées dans la zone; b) les mesures de surveillance et de protection qu'il convient de mettre en place; c) les personnes autorisées à pénétrer dans la zone en raison de leur besoin d'en connaître et en fonction de leur habilitation; d) le cas échéant, les procédures applicables aux escortes ou à la protection des ICUE lorsque d'autres personnes sont autorisées à pénétrer dans la zone; e) les autres mesures et procédures applicables. 22. Les chambres fortes sont installées dans des zones sécurisées. Les murs, les planchers, les plafonds, les fenêtres et les portes verrouillables sont approuvés par l'autorité de sécurité du SEAE et offrent une protection équivalente à celle d'un meuble de sécurité approuvé pour le stockage d'ICUE du même niveau de classification. V. MESURES DE PROTECTION PHYSIQUES APPLICABLES AU TRAITEMENT ET AU STOCKAGE DES ICUE 23. Les ICUE classifiées RESTREINT UE/EU RESTRICTED peuvent être traitées: a) dans une zone sécurisée; b) dans une zone administrative à condition que les personnes non autorisées ne puissent avoir accès aux ICUE; c) en dehors d'une zone sécurisée ou d'une zone administrative à condition que le détenteur les transporte conformément aux dispositions de l'annexe A III, paragraphes 30 à 42, et se soit engagé à se conformer aux mesures compensatoires prévues dans les instructions de sécurité émises par l'autorité de sécurité du SEAE pour empêcher que des personnes non autorisées aient accès aux ICUE. 24. Les ICUE classifiées RESTREINT UE/EU RESTRICTED sont stockées dans un meuble de bureau adapté et fermé dans une zone administrative ou dans une zone sécurisée. Ces informations peuvent être temporairement stockées en dehors d'une zone sécurisée ou d'une zone administrative à condition que le détenteur se soit engagé à se conformer aux mesures compensatoires prévues dans les instructions de sécurité émises par l'autorité de sécurité du SEAE. 25. Les ICUE classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET peuvent être traitées: a) dans une zone sécurisée; b) dans une zone administrative à condition que les personnes non autorisées ne puissent avoir accès aux ICUE; ou c) en dehors d'une zone sécurisée ou d'une zone administrative à condition que le détenteur: i) transporte les ICUE conformément aux dispositions de l'annexe A III, paragraphes 30 à 42; ii) se soit engagé à se conformer aux mesures compensatoires prévues dans les instructions de sécurité émises par l'autorité de sécurité du SEAE pour empêcher que des personnes non autorisées aient accès aux ICUE; iii) exerce en personne un contrôle permanent sur les ICUE; et iv) si les documents sont sous forme papier, qu'il en ait informé le bureau d'ordre compétent. 26. Les ICUE classifiées CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET sont stockées dans une zone sécurisée, dans un meuble de sécurité ou une chambre forte. 27. Les ICUE classifiées TRES SECRET UE/EU TOP SECRET sont traitées dans une zone sécurisée. 28. Les ICUE classifiées TRES SECRET UE/TOP SECRET UE sont stockées dans une zone sécurisée, au siège selon l'une des modalités suivantes: a) dans un meuble de sécurité conformément au paragraphe 8, moyennant un ou plusieurs des contrôles supplémentaires suivants: i) protection ou vérification en permanence par un membre habilité du personnel de sécurité ou du personnel de service; ii) système de détection des intrusions approuvé auquel on associe du personnel de sécurité prêt à intervenir en cas d'incident; ou b) dans une chambre forte équipée d'un système de détection des intrusions à laquelle on associe du personnel de sécurité prêt à intervenir en cas d'incident. 29. Les règles régissant le transport des ICUE en dehors des zones physiquement protégées figurent à l'annexe A III. VI. CONTRÔLE DES CLÉS ET COMBINAISONS UTILISÉES POUR LA PROTECTION DES ICUE 30. L'autorité de sécurité du SEAE définit les procédures de gestion des clés et des combinaisons pour les bureaux, les salles, les chambres fortes et les meubles de sécurité. Ces procédures protègent d'un accès non autorisé. 31. Les combinaisons doivent être mémorisées par le plus petit nombre possible de personnes qui ont besoin de les connaître. Les combinaisons des meubles de sécurité et des chambres fortes servant au stockage d'ICUE doivent être changées: a) à la réception d'un nouveau meuble; b) lors de tout changement du personnel connaissant la combinaison; c) en cas de compromission, réelle ou