Décision du Conseil

du 19 mars 2001

adoptant le règlement de sécurité du Conseil

(2001/264/CE)

LE CONSEIL DE L'UNION EUROPÉENNE,

vu le traité instituant la Communauté européenne, et notamment son article 207, paragraphe 3,

vu la décision 2000/396/CE, CECA, Euratom du Conseil du 5 juin 2000 portant adoption de son règlement intérieur(1), et notamment son article 24,

considérant ce qui suit:

(1) Afin de développer les activités du Conseil dans des domaines qui requièrent un certain degré de confidentialité, il convient de mettre en place un système de sécurité global concernant le Conseil, son Secrétariat général et les États membres.

(2) Ce système devrait regrouper dans un texte unique les matières visées par toutes les décisions et dispositions prises antérieurement dans ce domaine.

(3) En pratique, la majeure partie des informations de l'UE classifiées au niveau CONFIDENTIEL UE et au-delà concernera la politique commune en matière de sécurité et de défense.

(4) Afin d'assurer l'efficacité du système de sécurité ainsi créé, il y a lieu d'associer les États membres à son fonctionnement, en ce sens qu'ils doivent prendre les mesures nationales nécessaires pour assurer le respect des dispositions de la présente décision lorsque leurs autorités et leurs fonctionnaires compétents traitent des informations classifiées de l'UE.

(5) Le Conseil se félicite de l'intention qu'a la Commission d'instaurer, d'ici à la date d'application de la présente décision, un système global qui soit conforme aux annexes de la présente décision, afin d'assurer le bon fonctionnement du processus de décision au sein de l'Union.

(6) Le Conseil souligne combien il est important d'associer, le cas échéant, le Parlement européen et la Commission à la réglementation et aux normes de confidentialité qui sont nécessaires pour protéger les intérêts de l'Union et de ses États membres.

(7) La présente décision est arrêtée sans préjudice de l'article 255 du traité, ni des instruments le mettant en oeuvre.

(8) La présente décision est arrêtée sans préjudice des pratiques en vigueur au sein des États membres en matière d'information de leurs parlements nationaux sur les activités de l'Union,

DÉCIDE:

Article premier

Le règlement de sécurité du Conseil figurant à l'annexe est approuvé.

Article 2

1. Le Secrétaire général/Haut représentant prend les mesures appropriées pour faire en sorte que, lors du traitement d'informations classifiées de l'UE, le règlement visé à l'article 1er soit respecté au sein du Secrétariat général du Conseil (ci-après dénommé "SGC") par les fonctionnaires et autres agents du SGC, les contractants extérieurs du SGC et le personnel détaché auprès du SGC, ainsi que dans les locaux du Conseil et au sein des organismes décentralisés de l'UE(2).

2. Les États membres prennent les mesures appropriées, conformément aux dispositions nationales, pour faire en sorte que, lors du traitement d'informations classifiées de l'UE, le règlement visé à l'article 1er soit respecté au sein de leurs services et dans leurs locaux par:

a) les membres des représentations permanentes des États membres auprès de l'Union européenne ainsi que par les membres des délégations nationales assistant à des réunions du Conseil ou de ses instances, ou participant à d'autres activités du Conseil;

b) les autres membres des administrations nationales des États membres qui traitent des informations classifiées de l'UE, qu'ils soient affectés sur le territoire des États membres ou à l'étranger;

c) les contractants extérieurs des États membres et le personnel détaché qui traitent des informations classifiées de l'UE.

Les États membres informent immédiatement le SGC de ces mesures.

3. Les mesures visées aux paragraphes 1 et 2 sont prises avant le 30 novembre 2001.

Article 3

Dans le respect des principes de base et des normes de sécurité minimales figurant dans la partie I de l'annexe, le Secrétaire général/Haut représentant peut prendre des mesures conformément à la partie II, section I, points 1 et 2, de l'annexe.

Article 4

À partir de sa date d'application, la présente décision remplace:

a) la décision 98/319/CE du Conseil du 27 avril 1998 relative aux modalités selon lesquelles les fonctionnaires et agents du Secrétariat général du Conseil peuvent être autorisés à avoir accès à des informations classifiées détenues par le Conseil(3);

b) la décision du Secrétaire général/Haut représentant du 27 juillet 2000 relative aux mesures de protection des informations classifiées applicables au Secrétariat général du Conseil(4);

c) la décision n° 433/97 du Secrétaire général du Conseil du 22 mai 1997 relative à la procédure d'habilitation des fonctionnaires chargés du fonctionnement du système Cortesy.

Article 5

1. La présente décision prend effet le jour de sa publication.

2. Elle s'applique à partir du 1er décembre 2001.

Fait à Bruxelles, le 19 mars 2001.

Par le Conseil

Le président

A. Lindh

(1) JO L 149 du 23.6.2000, p. 21.

(2) Cf. conclusions du Conseil du 10 novembre 2000.

(3) JO L 140 du 12.5.1998, p. 12.

(4) JO C 239 du 23.8.2000, p. 1.

ANNEXE

RÈGLEMENT DE SÉCURITÉ DU CONSEIL DE L'UNION EUROPÉENNE

SOMMAIRE

>TABLE>

PARTIE I

PRINCIPES DE BASE ET NORMES DE SÉCURITÉ MINIMALES

INTRODUCTION

1. Le présent document définit les principes de base et les normes de sécurité minimales que le Conseil, le Secrétariat général du Conseil (ci-après dénommé "SGC"), les États membres ainsi que les organismes décentralisés de l'Union européenne (ci-après dénommés "organismes décentralisés de l'UE") doivent respecter comme il convient, de manière à assurer la sécurité et de sorte que chacun puisse avoir la certitude qu'une norme de protection commune est établie.

2. On entend par "informations classifiées de l'UE", tout matériel et toute information dont la divulgation non autorisée porterait atteinte à des degrés divers aux intérêts de l'UE, ou à ceux d'un ou plusieurs de ses États membres, que ces informations aient leur origine à l'intérieur de l'UE ou dans les États membres, des États tiers ou des organisations internationales.

3. Dans le présent règlement, on entend par:

a) "document", toute lettre, note, compte rendu, rapport, mémorandum, signal/message, croquis, photographie, diapositive, film, carte, graphique, plan, cahier ou carnet, stencil, papier carbone, ruban de machine à écrire ou d'imprimante, bande magnétique, cassette, disque informatique, CD-ROM, ou autre support physique sur lequel des informations sont enregistrées;

b) "matériel", les documents définis au point a) ci-dessus et tout élément d'équipement ou d'arme déjà fabriqué ou en cours de fabrication.

4. La sécurité a pour objectifs principaux:

a) la sauvegarde des informations classifiées de l'UE contre l'espionnage, la compromission ou la divulgation non autorisée;

b) la sauvegarde des informations de l'UE faisant l'objet de communications et transitant par des systèmes et réseaux d'information contre les menaces pesant sur leur intégrité et leur disponibilité;

c) la sauvegarde des installations abritant des informations de l'UE contre les tentatives de sabotage et les actes intentionnels de détérioration;

d) en cas d'échec, l'évaluation du dommage causé, la limitation de ses conséquences et l'adoption de mesures correctives nécessaires.

5. Un système de sécurité fiable a pour fondements:

a) au sein de chaque État membre, une organisation nationale de sécurité qui assure:

i) la collecte et l'enregistrement des données de renseignement concernant l'espionnage, le sabotage, le terrorisme ou d'autres activités subversives, et

ii) la communication au gouvernement et, par l'intermédiaire de ce dernier, au Conseil, d'informations sur la nature des menaces qui pèsent sur la sécurité et de conseils sur les moyens de s'en protéger;

b) au sein de chaque État membre et au sein du SGC, une autorité technique INFOSEC chargée de travailler avec l'autorité responsable de la sécurité concernée pour fournir des informations sur les menaces d'ordre technique pesant sur la sécurité et des conseils sur les moyens de s'en protéger;

c) une collaboration régulière entre les services et agences officiels et les services compétents du SGC, pour déterminer:

i) les informations, les ressources et les installations à protéger, et

ii) les normes communes de protection

et émettre, le cas échéant, des recommandations à ce sujet.

6. En matière de confidentialité, prudence et expérience sont nécessaires pour choisir les informations et matériels à protéger et évaluer le degré de protection à assurer. Celui-ci - et il s'agit là d'un aspect fondamental - doit être en rapport avec l'importance que revêtent, du point de vue de la sécurité, les informations et matériels à protéger. Afin d'assurer la bonne circulation des informations, des mesures doivent être prises pour éviter la surclassification. Le système de classification constitue l'instrument qui permet de mettre en oeuvre ces principes; il conviendrait d'adopter un système similaire pour la planification et l'organisation des mesures de lutte contre l'espionnage, le sabotage, le terrorisme et d'autres menaces de façon à protéger au mieux les installations les plus importantes contenant des informations classifiées et, à l'intérieur de ces installations, les éléments les plus sensibles.

PRINCIPES DE BASE

7. Les mesures de sécurité doivent:

a) s'appliquer à toutes les personnes ayant accès à des informations classifiées, aux moyens de transmission des informations classifiées, à tous les locaux contenant de telles informations et aux installations importantes;

b) être conçues de façon à permettre de repérer les personnes dont l'emploi pourrait nuire à la sécurité des informations classifiées et des installations importantes contenant de telles informations, et de les exclure ou de les changer de poste;

c) empêcher toute personne non autorisée à avoir accès à des informations classifiées et aux installations qui en contiennent;

d) permettre de veiller à ce que la diffusion des informations classifiées repose exclusivement sur le principe du besoin d'en connaître, fondamental pour tous les aspects de la sécurité;

e) permettre d'assurer l'intégrité (c'est-à-dire empêcher l'altération, ou la modification ou la destruction non autorisées) et la disponibilité (c'est-à-dire que l'accès ne soit pas refusé aux personnes qui ont besoin de consulter les informations et qui y sont autorisées) de toutes les informations, classifiées ou non, et en particulier des informations stockées, traitées ou transmises par voie électromagnétique.

ORGANISATION DE LA SÉCURITÉ

Normes minimales communes

8. Le Conseil et chaque État membre doivent veiller à ce que tous les services administratifs et/ou officiels, les autres institutions, organismes et contractants de l'UE respectent les normes minimales communes en matière de sécurité, de sorte que l'on ait la certitude, au moment de communiquer une information classifiée de l'UE, qu'elle sera traitée par toutes ces instances avec les mêmes précautions. Ces normes minimales doivent comprendre les critères applicables à l'habilitation du personnel et les mesures à prendre pour la protection des informations classifiées de l'UE.

MESURES DE SÉCURITÉ RELATIVES AU PERSONNEL

Habilitations de sécurité

9. Toute personne devant avoir accès à des informations classifiées CONFIDENTIEL UE ou au-dessus, doit au préalable justifier d'une habilitation de sécurité appropriée. Une habilitation similaire est exigée pour les personnes dont les fonctions consistent à assurer l'exploitation et la maintenance technique de systèmes de communication et d'information contenant des informations classifiées. Cette habilitation devra permettre d'établir si:

a) la personne concernée est d'une loyauté à toute épreuve;

b) sa personnalité et sa discrétion sont telles que son intégrité ne puisse être mise en doute dès lors qu'elle aura accès à des informations classifiées;

c) elle est susceptible de céder aux pressions que pourraient exercer des sources étrangères ou autres, par exemple en raison de son lieu de résidence antérieur ou de contacts passés, qui pourraient constituer un risque pour la sécurité.

Une attention toute particulière devra être accordée au processus d'habilitation de personnes qui:

d) doivent avoir accès à des informations TRÈS SECRET UE/EU TOP SECRET;

e) occupent des postes nécessitant l'accès régulier à de nombreuses informations SECRET UE;

f) auxquelles leurs fonctions confèrent un accès spécial aux systèmes de communication ou d'information afférents à une mission essentielle et qui ont donc la possibilité d'accéder sans autorisation à un grand nombre d'informations classifiées de l'UE ou de compromettre gravement la mission par des actes de sabotage technique.

Dans les cas visés aux points d), e) et f), il faut faire appel au maximum aux méthodes d'enquête sur les antécédents.

10. Lorsqu'une personne n'ayant pas nécessairement le "besoin d'en connaître" doit être employée dans une fonction susceptible de lui donner accès à des informations classifiées de l'UE (par exemple, messager, agent de sécurité, personnel de maintenance ou de nettoyage), elle doit, au préalable, posséder l'habilitation appropriée.

Registres des habilitations de sécurité du personnel

11. Tout service, organisme ou établissement ayant à traiter des informations classifiées de l'UE ou hébergeant des systèmes de communication ou d'information indispensables à une mission doit tenir un registre des habilitations accordées à son personnel. Chaque habilitation doit être vérifiée, en fonction des circonstances, afin de s'assurer qu'elle est conforme aux niveaux de classification des informations et matériels que son bénéficiaire aura à traiter; une nouvelle vérification devient prioritaire chaque fois qu'une information nouvelle laisse à penser que le maintien de la personne concernée dans un poste donnant accès à des informations classifiées n'est plus compatible avec la sécurité. Le registre des habilitations est détenu par le responsable de la sécurité du service, de l'organisme ou de l'établissement concerné.

Formation du personnel dans le domaine de la sécurité

12. Toute personne occupant un poste qui peut lui donner accès à des informations classifiées doit recevoir, lors de son entrée en fonction puis à intervalles réguliers, un exposé très complet des mesures de sécurité nécessaires et des procédures en vigueur à cet égard. Il est utile d'exiger de tous ces membres du personnel qu'ils certifient par écrit avoir pleinement compris les règles de sécurité applicables à leur poste.

Responsabilités du personnel d'encadrement

13. Il incombe au personnel d'encadrement de savoir quels sont les membres du personnel qui traitent des informations classifiées ou qui ont accès à des systèmes de communication ou d'information afférents à une mission essentielle, de prendre note des incidents ou vulnérabilités manifestes pouvant avoir des répercussions sur le plan de la sécurité, et de les signaler.

Statut du personnel en matière de sécurité

14. Il convient d'établir des procédures permettant, si des renseignements défavorables viennent à être communiqués à propos d'une personne donnée, de déterminer si cette personne occupe une fonction nécessitant l'accès à des informations classifiées, ou si elle a accès à des systèmes de communication ou d'information afférents à une mission essentielle, et d'informer les autorités compétentes. S'il s'avère que cette personne présente un risque pour la sécurité, elle doit être renvoyée ou écartée des fonctions dans lesquelles elle risquerait de nuire à la sécurité.

MESURES PHYSIQUES DE SÉCURITÉ

Exigences en matière de protection

15. Le degré de sécurité physique à mettre en oeuvre pour assurer la protection des informations classifiées de l'UE doit être proportionnel à la classification des informations et matériels détenus et à leur volume, ainsi qu'à la menace à laquelle ils sont exposés. Il convient donc d'éviter à la fois la surclassification et la sous-classification et de revoir périodiquement la classification attribuée. Tous les détenteurs d'informations classifiées de l'UE doivent se conformer à des règles normalisées de classification et respecter des critères de protection communs concernant la garde, la transmission et la destruction d'informations et matériels devant être protégés.

Contrôles

16. Avant de laisser sans surveillance un secteur contenant des informations classifiées de l'UE, les personnes en ayant la garde doivent s'assurer qu'elles sont en sécurité et que tous les dispositifs de sécurité (fermetures, alarmes, etc.) sont enclenchés. Des contrôles supplémentaires doivent être effectués par d'autres agents en dehors des heures de bureau.

Sécurité des bâtiments

17. Les bâtiments contenant des informations classifiées de l'UE ou des systèmes de communication et d'information indispensables à une mission doivent être protégés contre l'accès des personnes non autorisées. La nature de cette protection (par exemple fenêtres à barreaux, portes verrouillables, présence de gardes aux entrées, systèmes de contrôle d'entrée automatiques, inspections et patrouilles de sécurité, systèmes d'alarme, systèmes de détection des intrusions et chiens de garde) est fonction des paramètres suivants:

a) classification, volume et localisation dans le bâtiment concerné des informations et matériels à protéger;

b) qualité des meubles de sécurité contenant ces informations et matériels;

c) caractéristiques techniques et situation du bâtiment.

18. De même, la nature de la protection accordée aux systèmes de communication et d'information est fonction de l'évaluation de la valeur des informations et matériels en jeu et des dommages potentiels en cas de compromission de la sécurité, des caractéristiques techniques et de la situation du bâtiment qui héberge le système concerné, ainsi que de la localisation du système dans le bâtiment.

Plans d'urgence

19. Il faut établir à l'avance des plans détaillés, destinés à protéger les informations classifiées en cas d'urgence liée à la situation locale ou nationale.

SÉCURITÉ DES SYSTÈMES D'INFORMATION (INFOSEC)

20. La sécurité des systèmes d'information (INFOSEC) a trait à la détermination et à l'application des mesures de sécurité permettant de protéger les informations traitées, stockées ou transmises par des systèmes de communication, d'information et autres systèmes électroniques contre les atteintes à la confidentialité, à l'intégrité ou à la disponibilité de ces informations, que celles-ci soient accidentelles ou intentionnelles. Il convient de prendre des mesures préventives appropriées afin d'empêcher que des utilisateurs non autorisés accèdent aux informations de l'UE, que des utilisateurs autorisés se voient refuser l'accès à ces informations et d'empêcher l'altération, la modification ou la destruction non autorisées des informations de l'UE.

PROTECTION CONTRE LE SABOTAGE OU TOUT AUTRE ACTE INTENTIONNEL DE DÉTÉRIORATION

21. Les précautions physiques sont le moyen le plus efficace d'assurer la sécurité et la protection des installations importantes qui contiennent des informations classifiées contre le sabotage ou tout autre acte intentionnel de détérioration; la seule habilitation du personnel ne saurait s'y substituer efficacement. C'est à l'organisme national responsable de la sécurité qu'il incombe de rassembler les renseignements ayant trait à des activités d'espionnage, de sabotage, de terrorisme et à d'autres activités subversives.

COMMUNICATION D'INFORMATIONS CLASSIFIÉES À DES ÉTATS TIERS OU À DES ORGANISATIONS INTERNATIONALES

22. Il appartient au Conseil d'autoriser la communication d'informations classifiées de l'UE émanant du Conseil à un État tiers ou à une organisation internationale. Si l'autorité d'origine des informations à communiquer n'est pas le Conseil, ce dernier doit au préalable lui demander son consentement. Au cas où l'auteur ne peut être identifié, le Conseil en assume la responsabilité.

23. Si le Conseil reçoit des informations classifiées d'États tiers, d'organisations internationales ou d'autres tiers, il leur sera donné la protection conforme à leur classification et correspondant aux normes prévues par le présent règlement pour les informations classifiées de l'UE, ou aux normes plus strictes qui pourraient être exigées par le tiers qui communique ces informations. Des contrôles réciproques peuvent être prévus.

24. Les principes susmentionnés sont appliqués conformément aux dispositions détaillées figurant dans la partie II.

PARTIE II

SECTION I

ORGANISATION DE LA SÉCURITÉ AU SEIN DU CONSEIL DE L'UNION EUROPÉENNE

Le Secrétaire général/Haut représentant

1. Le Secrétaire général/Haut représentant:

a) applique la politique de sécurité du Conseil;

b) examine les problèmes de sécurité qui lui sont soumis par le Conseil ou ses instances compétentes;

c) examine les questions impliquant des changements dans la politique de sécurité du Conseil, en étroite liaison avec les autorités nationales de sécurité (ou autres autorités appropriées) des États membres (ci-après dénommées "ANS"). L'annexe 1 contient une liste de ces autorités.

2. Plus particulièrement, le Secrétaire général/Haut représentant a la responsabilité:

a) de coordonner toutes les questions de sécurité liées aux activités du Conseil;

b) de demander la création par chaque État membre d'un registre central TRÈS SECRET UE/EU TOP SECRET et d'en exiger, le cas échéant, la création dans les organismes décentralisés de l'UE;

c) de demander aux ANS des États membres de fournir les habilitations de sécurité intéressant le personnel employé au SGC conformément à la section VI;

d) d'enquêter ou de faire enquêter sur toute fuite concernant les informations classifiées de l'UE si, à première vue, les indices montrent qu'une telle fuite s'est produite au SGC ou dans l'un ou l'autre des organismes décentralisés de l'UE;

e) de demander aux autorités de sécurité compétentes d'entreprendre une enquête lorsqu'une fuite concernant des informations classifiées de l'UE semble s'être produite en dehors du SGC ou des organismes décentralisés de l'UE et de coordonner les enquêtes lorsqu'elles impliquent plus d'une autorité de sécurité;

f) d'examiner périodiquement, en collaboration et en accord avec les ANS concernées, les dispositions prises pour protéger les informations classifiées de l'UE dans les États membres;

g) de rester en liaison étroite avec toutes les autorités de sécurité concernées afin d'arriver à une coordination globale de la sécurité;

h) de réexaminer constamment l'organisation et les procédures de sécurité du Conseil et, le cas échéant, de préparer les recommandations qui s'imposent. À ce titre, il soumet à l'approbation du Conseil le plan d'inspection annuel préparé par le Bureau de sécurité du SGC.

Le comité de sécurité du Conseil

3. Un comité de sécurité est créé. Il est composé de représentants de l'ANS de chaque État membre. Il est présidé par le Secrétaire général/Haut représentant ou par son délégué. Des représentants des organismes décentralisés de l'UE peuvent également être invités à assister à ses réunions lorsque les questions traitées les concernent.

4. Le comité de sécurité se réunit sur instruction du Conseil, sur demande du Secrétaire général/Haut représentant ou d'une ANS. Le comité est compétent pour examiner et évaluer toutes les questions de sécurité liées aux travaux du Conseil et pour lui présenter des recommandations, le cas échéant. En ce qui concerne les activités du SGC, le comité est habilité à faire des recommandations au Secrétaire général/Haut représentant sur les questions de sécurité.

Bureau de sécurité du Secrétariat général du Conseil

5. Afin de s'acquitter des responsabilités visées aux points 1 et 2, le Secrétaire général/Haut représentant dispose du Bureau de sécurité du SGC pour coordonner, superviser et exécuter les mesures de sécurité.

6. Le chef du Bureau de sécurité est le principal conseiller du Secrétaire général/Haut représentant sur les problèmes de sécurité et il assure le secrétariat du comité de sécurité. À ce titre, il dirige les travaux d'actualisation de la réglementation de sécurité et il assure la coordination des mesures de sécurité avec les autorités compétentes des États membres et, le cas échéant, avec les organisations internationales liées au Conseil par des accords de sécurité. À cette fin, il joue le rôle d'officier de liaison.

7. Le chef du Bureau de sécurité du SGC est responsable de l'homologation des systèmes et réseaux TI au sein du SGC. Le chef du Bureau de sécurité du SGC et les ANS concernées décident conjointement, le cas échéant, de l'homologation des systèmes et des réseaux TI faisant intervenir le SGC, les États membres, les organismes décentralisés de l'UE et/ou des tiers (États ou organisations internationales).

Organismes décentralisés de l'UE

8. Chaque directeur d'un organisme décentralisé de l'UE est responsable de l'application des règles de sécurité dans son organisme. Normalement, il charge un membre de son personnel de lui rendre compte en cette matière. Cette personne est désignée comme responsable de la sécurité.

États membres

9. Chaque État membre désigne une ANS responsable de la sécurité des informations classifiées de l'UE(1).

10. Au sein de l'administration de chaque État membre, l'ANS a la responsabilité:

a) d'assurer la sécurité des informations classifiées de l'UE détenues dans tous les services, organismes ou agences nationaux, publics et privés, en métropole et à l'étranger;

b) d'autoriser la création de bureaux d'ordre TRÈS SECRET UE/EU TOP SECRET (ce pouvoir peut être délégué à l'agent contrôleur TRÈS SECRET UE/EU TOP SECRET d'un bureau d'ordre central);

c) de procéder périodiquement à l'inspection des dispositions de sécurité destinées à assurer la protection des informations classifiées de l'UE;

d) de veiller à ce que tout le personnel national, de même que les ressortissants étrangers employés dans des services, organismes ou agences nationaux, susceptibles d'avoir accès aux informations UE classifiées TRÈS SECRET UE/EU TOP SECRET, SECRET UE et CONFIDENTIEL UE, possède une habilitation;

e) de mettre au point les plans de sécurité jugés nécessaires pour éviter que des informations classifiées de l'UE ne tombent dans des mains non autorisées.

Inspections de sécurité réciproques

11. Des inspections périodiques des dispositions prises pour la protection des informations classifiées de l'UE au sein du SGC et des Représentations permanentes des États membres auprès de l'Union européenne, ainsi que des locaux réservés aux États membres dans les bâtiments du Conseil, sont menées, conjointement et d'un commun accord, par le Bureau de sécurité du SGC et par l'ANS concernée(2).

12. Des inspections périodiques des dispositions prises pour la protection des informations classifiées de l'UE dans les organismes décentralisés de l'UE sont menées par le Bureau de sécurité du SGC ou, à la demande du Secrétaire général/Haut représentant, par l'ANS de l'État membre d'accueil.

SECTION II

CLASSIFICATIONS ET TIMBRES

DEGRÉS DE CLASSIFICATION(3)

Les informations sont classifiées selon les degrés suivants:

1. TRÈS SECRET UE/EU TOP SECRET: cette classification s'applique exclusivement aux informations et matériels dont la divulgation non autorisée pourrait causer un préjudice exceptionnellement grave aux intérêts essentiels de l'Union européenne ou d'un ou de plusieurs de ses États membres.

2. SECRET UE: cette classification s'applique uniquement aux informations et matériels dont la divulgation non autorisée pourrait nuire gravement aux intérêts essentiels de l'Union européenne ou d'un ou de plusieurs de ses États membres.

3. CONFIDENTIEL UE: cette classification s'applique aux informations et matériels dont la divulgation non autorisée pourrait nuire aux intérêts essentiels de l'Union européenne ou d'un ou de plusieurs de ses États membres.

4. RESTREINT UE: cette classification s'applique aux informations et matériels dont la divulgation non autorisée pourrait être défavorable aux intérêts de l'Union européenne ou d'un ou de plusieurs de ses États membres.

TIMBRES

5. Un timbre restrictif peut être utilisé pour préciser le domaine couvert par le document ou pour indiquer une diffusion particulière fondée sur le besoin d'en connaître.

6. Le timbre PESD est apposé sur les documents et copies relatifs à la sécurité et à la défense de l'Union ou de l'un ou de plusieurs de ses États membres, ou relatifs à la gestion militaire et non militaire des crises.

7. Certains documents spécifiques aux systèmes de technologies de l'information (TI) peuvent porter un timbre complémentaire entraînant des mesures de sécurité supplémentaires définies dans la réglementation appropriée.

APPOSITION DES CLASSIFICATIONS ET DES TIMBRES

8. La classification et les timbres sont apposés comme suit:

a) sur les documents RESTREINT UE, par voie mécanique ou électronique;

b) sur les documents CONFIDENTIEL UE, par voie mécanique et à la main ou par impression sur du papier portant un cachet pré-imprimé et enregistré;

c) sur les documents SECRET UE et TRÈS SECRET UE/EU TOP SECRET par voie mécanique et à la main.

SECTION III

POLITIQUE EN MATIÈRE DE CLASSIFICATION

1. Les informations ne sont classifiées qu'en cas de besoin. La classification est clairement et correctement indiquée et ne subsiste qu'aussi longtemps que les informations doivent être protégées.

2. La classification des informations ainsi que tout déclassement ou déclassification ultérieurs(4) incombe à la seule autorité d'origine.

Les fonctionnaires et autres agents du SGC classifient, déclassent ou déclassifient les informations sur instruction de leur directeur général ou en accord avec celui-ci.

3. Les procédures détaillées régissant le traitement des documents classifiés ont été conçues de façon à assurer à ces documents une protection adaptée aux informations qu'ils contiennent.

4. Le nombre de personnes autorisées à établir des documents TRÈS SECRET UE/EU TOP SECRET doit être réduit au strict minimum et leur nom figurer sur une liste dressée par le SGC, chaque État membre et, le cas échéant, par chaque organisme décentralisé de l'UE.

DÉTERMINATION DE LA CLASSIFICATION

5. La classification d'un document est déterminée par le degré de sensibilité de son contenu, conformément aux définitions données aux points 1 à 4 de la section II. Il importe que la classification soit utilisée à bon escient et avec modération. Cela vaut en particulier pour la classification TRÈS SECRET UE/EU TOP SECRET.

6. En déterminant la classification à attribuer à un document, l'autorité d'origine doit tenir compte des diverses règles susmentionnées en réfrénant toute tendance à la surclassification comme à la sous-classification.

Si l'emploi d'une classification élevée peut sembler à première vue garantir une meilleure protection des documents, un recours systématique à la surclassification peut entraîner une perte de confiance à l'égard de la valeur du système de classification.

Inversement, le désir d'éviter certaines contraintes de protection ne doit pas conduire à sous-classifier les documents.

Un guide pratique de la classification figure à l'annexe 3.

7. Des pages, paragraphes, sections, annexes, appendices et pièces jointes d'un document donné peuvent nécessiter une classification différente et doivent alors porter la mention afférente. La classification du document lui-même est celle de sa partie portant la classification la plus élevée.

8. Les lettres ou notes d'envoi accompagnant des pièces jointes portent le plus haut degré de classification apparaissant dans ces dernières. L'autorité d'origine indique clairement leur degré de classification lorsqu'elles sont séparées de leurs pièces jointes.

DÉCLASSEMENT ET DÉCLASSIFICATION

9. Un document classifié UE ne peut être déclassé ou déclassifié qu'avec l'autorisation de l'autorité d'origine et, si nécessaire, après consultation des autres parties intéressées. Le déclassement ou la déclassification fait l'objet d'une confirmation écrite. Il incombe à l'institution, à l'État membre, au bureau, à l'organisation repreneuse ou à l'autorité supérieure d'origine d'informer ses destinataires du changement de classification, ces derniers étant à leur tour chargés d'en aviser les destinataires successifs auxquels ils ont fait suivre l'original ou une copie du document.

10. Si possible, l'autorité d'origine indique sur le document classifié la date ou un délai à partir duquel les informations qu'il contient pourront être déclassées ou déclassifiées. Sinon, elle réexamine la question tous les cinq ans au plus pour s'assurer que la classification initiale est nécessaire.

SECTION IV

SÉCURITÉ PHYSIQUE

GÉNÉRALITÉS

1. Le principal objectif des mesures physiques de sécurité est d'empêcher qu'une personne non autorisée ait accès aux informations et/ou aux matériels classifiés de l'UE.

EXIGENCES EN MATIÈRE DE SÉCURITÉ

2. Il convient de protéger, par des mesures physiques de sécurité appropriées, chaque local, zone, bâtiment, bureau, pièce, systèmes de communication et d'information, etc., où des informations et du matériel classifiés de l'UE sont conservés et/ou traités.

3. Pour déterminer le degré de sécurité physique à assurer, il convient de tenir compte de tous les facteurs pertinents, et notamment:

a) de la classification des informations et/ou du matériel;

b) du volume et de la forme (par exemple support papier ou support de données informatiques) des informations détenues;

c) de l'évaluation locale de la menace que constituent les services de renseignement prenant pour cible l'UE, les États membres et/ou les autres institutions ou tiers détenant des informations classifiées de l'UE, à savoir les actes de sabotage, le terrorisme et les autres activités subversives et/ou criminelles.

4. Les mesures physiques de sécurité appliquées doivent être conçues pour:

a) empêcher toute intrusion par la ruse ou par la force;

b) décourager, empêcher et détecter les actes commis par du personnel déloyal (espion de l'intérieur);

c) empêcher que des fonctionnaires et autres agents du SGC, des services officiels des États membres et/ou d'autres institutions ou tiers qui n'ont pas le besoin d'en connaître accèdent à des informations classifiées de l'UE.

MESURES PHYSIQUES DE SÉCURITÉ

Zones de sécurité

5. Les zones où sont traitées et conservées des informations CONFIDENTIEL UE ou d'un niveau de classification plus élevé doivent être traitées et conservées de façon à correspondre à l'une des catégories suivantes:

a) zone de sécurité de catégorie I: zone dans laquelle des informations CONFIDENTIEL UE ou d'un niveau de classification plus élevé sont traitées et conservées de telle façon que le fait de pénétrer dans la zone équivaut en pratique à avoir accès à ces informations. Pour une telle zone, il faut:

i) établir de façon précise un périmètre protégé dont toutes les entrées et sorties sont contrôlées;

ii) mettre en place un système de contrôle des entrées ne laissant pénétrer que les personnes dûment habilitées et spécialement autorisées;

iii) spécifier la classification des informations qui y sont conservées habituellement, c'est-à-dire auxquelles le fait de pénétrer dans la zone donne accès;

b) zone de sécurité de catégorie II: zone dans laquelle des informations CONFIDENTIEL UE ou d'un niveau de classification plus élevé sont traitées et conservées de telle façon qu'elles peuvent être protégées par des contrôles internes empêchant toute personne non autorisée d'y avoir accès; il s'agit, par exemple, des locaux abritant des bureaux où sont traitées et conservées habituellement des informations CONFIDENTIEL UE ou d'un niveau de classification plus élevé. Pour une telle zone, il faut:

i) établir de façon précise un périmètre protégé dont toutes les entrées et sorties sont contrôlées;

ii) mettre en place un système de contrôle des entrées ne laissant pénétrer sans escorte que les personnes dûment habilitées et spécialement autorisées. Pour toutes les autres personnes, il convient de prévoir une escorte ou des contrôles équivalents les empêchant d'avoir accès aux informations classifiées de l'UE et de pénétrer dans des zones soumises à des inspections techniques de sécurité.

Les zones qui ne sont pas occupées 24 heures sur 24 par le personnel de service doivent être inspectées immédiatement après les heures normales de travail, en vue de s'assurer que les informations classifiées de l'UE sont protégées comme il convient.

Zone administrative

6. Une zone de sécurité de catégorie I ou II peut être entourée ou précédée d'une zone administrative moins protégée, pour laquelle il faut établir de façon visible un périmètre permettant de contrôler les personnes et les véhicules. Seules des informations RESTREINT UE peuvent être traitées et conservées dans les zones administratives.

Contrôle des entrées et des sorties

7. L'accès aux zones de sécurité des catégories I et II est contrôlé par un système de laissez-passer ou d'identification individuelle applicable au personnel permanent. Il faut également mettre sur pied un système de contrôle des visiteurs pour empêcher tout accès non autorisé à des informations classifiées de l'UE. Au système de laissez-passer peut s'ajouter un système d'identification automatique, qui doit alors être considéré comme un complément et non comme un substitut absolu des gardes. Une modification de l'évaluation de la menace peut entraîner un renforcement des mesures de contrôle des entrées et des sorties, par exemple à l'occasion de visites de personnalités de haut rang.

Rondes

8. En dehors des heures de travail normales, des rondes de surveillance doivent être effectuées dans les zones de sécurité des catégories I et II pour protéger les informations et les matériels de l'UE contre la compromission, l'endommagement ou la perte. La fréquence de ces rondes est déterminée en fonction des conditions locales, mais elles doivent avoir lieu toutes les deux heures environ.

Meubles de sécurité et chambres fortes

9. Les meubles de sécurité destinés à la conservation d'informations classifiées de l'UE se répartissent en trois catégories:

- catégorie A: meubles agréés selon les normes nationales pour la conservation d'informations TRÈS SECRET UE/EU TOP SECRET dans une zone de sécurité de catégorie I ou II,

- catégorie B: meubles agréés selon les normes nationales pour la conservation d'informations SECRET UE et CONFIDENTIEL UE dans une zone de sécurité de catégorie I ou II,

- catégorie C: meubles de bureau agréés pour la conservation d'informations RESTREINT UE seulement.

10. Pour les chambres fortes installées dans une zone de sécurité de catégorie I ou II et pour toutes les zones de sécurité de catégorie I où des informations CONFIDENTIEL UE et d'un niveau de classification plus élevé sont conservées en rayonnage ou figurent sur des diagrammes, des cartes, etc., les murs, les planchers, les plafonds, les portes et les serrures doivent être homologués par une ANS comme offrant une protection équivalant à celle d'un meuble de sécurité de la catégorie agréée pour la conservation d'informations de la même classification.

Serrures

11. Les serrures des meubles de sécurité et des chambres fortes abritant des informations classifiées de l'UE doivent satisfaire aux normes suivantes:

- groupe A: agréées selon les normes nationales pour les meubles de catégorie A,

- groupe B: agréées selon les normes nationales pour les meubles de catégorie B,

- groupe C: adaptées aux meubles de bureau de catégorie C seulement.

Contrôle des clés et combinaisons

12. Les clés des meubles de sécurité ne doivent pas être emmenées hors du bâtiment. Les combinaisons doivent être mémorisées par les personnes qui ont besoin de les connaître. Pour un usage en cas d'urgence, le responsable de la sécurité de l'organisme intéressé conserve les clés de rechange et le relevé de chaque combinaison, placé individuellement dans une enveloppe opaque scellée. Les clés, leurs doubles et les enveloppes renfermant les combinaisons sont conservés dans des meubles de sécurité séparés. Ces clés et ces combinaisons font l'objet d'une protection aussi rigoureuse que le matériel auquel elles donnent accès.

13. Le nombre des personnes ayant connaissance des combinaisons des meubles de sécurité doit être aussi limité que possible. Les combinaisons sont modifiées:

a) à la réception d'un nouveau meuble;

b) lors de tout changement de personnel;

c) en cas de compromission, réelle ou suspectée;

d) de préférence tous les six mois et au minimum tous les douze mois.

Dispositifs de détection des intrusions

14. Lorsque des systèmes d'alarme, des circuits fermés de télévision et d'autres dispositifs électriques sont utilisés pour protéger des informations classifiées de l'UE, des systèmes de secours doivent être prévus pour permettre leur fonctionnement permanent en cas de rupture de l'alimentation électrique principale. Il est, en outre, fondamental que tout défaut de fonctionnement ou toute tentative de neutralisation des systèmes précités déclenche une alarme ou soit signalé par tout autre moyen fiable au personnel de surveillance.

Matériels agréés

15. Les ANS, seules ou avec celles d'un autre pays, doivent tenir à jour, par type et par modèle, les listes des matériels de sécurité qu'elles ont agréés pour la protection directe ou indirecte des informations classifiées dans diverses circonstances et conditions qui auront été spécifiées. Le Bureau de sécurité du SGC doit tenir à jour une liste comparable, fondée, entre autres, sur les informations fournies par les ANS. Les organismes décentralisés de l'UE consultent le Bureau de sécurité du SGC et, le cas échéant, l'ANS de l'État membre qui les accueille avant d'acheter ces matériels.

Protection physique des photocopieuses et des télécopieurs

16. Les photocopieuses et les télécopieurs doivent faire l'objet de mesures de protection physiques suffisantes pour que seules les personnes autorisées puissent les utiliser et que tous les tirages classifiés soient dûment contrôlés.

PROTECTION CONTRE LES REGARDS OU L'ÉCOUTE

Protection contre les regards

17. Toutes les mesures nécessaires doivent être prises, de jour comme de nuit, pour s'assurer que les informations classifiées de l'UE ne puissent être vues même accidentellement par des personnes non autorisées.

Protection contre l'écoute

18. Les bureaux ou les zones dans lesquels on discute régulièrement d'informations classifiées SECRET UE et d'un niveau de classification plus élevé doivent être protégés contre les tentatives d'écoute passive et active quand le risque le justifie. L'évaluation du risque de telles tentatives incombe à l'autorité de sécurité compétente après consultation, au besoin, des ANS.

19. Pour déterminer les mesures de protection à prendre dans les locaux sensibles contre les écoutes passives (par exemple, insonorisation des murs, portes, planchers et plafonds, mesure des rayonnements compromettants) et contre les écoutes actives (par exemple, recherche de micros), le Bureau de sécurité du SGC peut demander l'aide des spécialistes des ANS. Les responsables de la sécurité des organismes décentralisés de l'UE peuvent demander que le Bureau de sécurité du SGC procède à des inspections techniques et/ou demander l'aide des spécialistes des ANS.

20. De même, lorsque les circonstances l'exigent, les équipements de télécommunications et le matériel de bureau électrique ou électronique de toute nature utilisés lors des réunions de niveau SECRET UE et au-dessus peuvent être vérifiés, sur demande du responsable de la sécurité compétent, par des spécialistes de la sécurité technique des ANS.

ZONES PROTÉGÉES DU POINT DE VUE TECHNIQUE

21. Certaines zones peuvent être désignées comme zones protégées du point de vue technique. Un contrôle spécial doit être effectué à l'entrée. Elles doivent être verrouillées selon une méthode agréée lorsqu'elles ne sont pas occupées et toutes les clés doivent être considérées comme clés de sécurité. Ces zones doivent faire l'objet d'inspections physiques à intervalles réguliers, ainsi qu'après l'entrée, réelle ou présumée, de personnel non autorisé.

22. Un inventaire détaillé des équipements et mobiliers doit être tenu, afin d'en suivre les mouvements. Aucun meuble ou matériel ne doit être introduit dans une telle zone avant d'avoir subi une inspection minutieuse, effectuée par du personnel de sécurité formé à cet effet et destinée à détecter d'éventuels dispositifs d'écoute. En règle générale, l'installation de lignes de communication dans les zones protégées du point de vue technique devrait être évitée.

SECTION V

RÈGLES GÉNÉRALES CONCERNANT LE PRINCIPE DU BESOIN D'EN CONNAÎTRE ET LES HABILITATIONS DE SÉCURITÉ

1. L'accès aux informations classifiées de l'UE n'est autorisé qu'aux personnes ayant le besoin d'en connaître pour l'exercice de leurs fonctions ou l'accomplissement de leur mission. L'accès aux informations TRÈS SECRET UE/EU TOP SECRET, SECRET UE et CONFIDENTIEL UE n'est autorisé qu'aux personnes en possession de l'habilitation de sécurité correspondante.

2. Le besoin d'en connaître est déterminé par le SGC, les organismes décentralisés de l'UE et le service de l'État membre dans lequel la personne concernée exerce ses fonctions, compte tenu des nécessités de ces dernières.

3. L'habilitation de sécurité est délivrée par l'employeur de l'agent selon les procédures applicables en la matière. En ce qui concerne les fonctionnaires et autres agents du SGC, la procédure d'habilitation de sécurité est prévue à la section VI.

Elle se concrétise par la délivrance d'un "certificat de sécurité" précisant le niveau des informations classifiées auxquelles la personne habilitée peut avoir accès et la date de péremption de cette habilitation.

Un certificat de sécurité d'un niveau donné peut donner accès aux informations classifiées d'un niveau moindre.

4. Les personnes autres que les fonctionnaires ou autres agents du SGC ou des États membres (les membres, fonctionnaires ou agents des institutions de l'UE, par exemple) avec lesquelles il peut être nécessaire d'examiner ou de consulter des informations classifiées de l'UE, doivent être en possession d'une habilitation de sécurité leur permettant d'accéder aux informations classifiées de l'UE et être informées de leurs responsabilités en matière de sécurité. La même règle s'applique, dans des conditions similaires, aux contractants extérieurs, aux experts ou aux consultants.

RÈGLES PARTICULIÈRES CONCERNANT L'ACCÈS AUX INFORMATIONS TRÈS SECRET UE/EU TOP SECRET

5. Toute personne ayant à connaître des informations TRÈS SECRET UE/EU TOP SECRET doit avoir fait l'objet, au préalable, d'une procédure d'habilitation permettant l'accès à ces informations.

6. Toute personne qui doit avoir accès aux informations TRÈS SECRET UE/EU TOP SECRET doit être nommément désignée par le chef du service auquel elle appartient et son nom doit être conservé dans le bureau d'ordre TRÈS SECRET UE/EU TOP SECRET approprié.

7. Toute personne autorisée à accéder à des informations TRÈS SECRET UE/EU TOP SECRET doit signer au préalable une attestation reconnaissant qu'elle a été instruite des procédures de sécurité du Conseil et qu'elle comprend parfaitement sa responsabilité particulière en ce qui concerne la protection des informations TRÈS SECRET UE/EU TOP SECRET ainsi que les conséquences prévues par la réglementation UE et les dispositions législatives ou administratives de son pays, lorsque des informations classifiées parviennent en des mains non autorisées, que ce soit à la suite d'une action délibérée ou d'une négligence.

8. En ce qui concerne les personnes ayant accès à des informations TRÈS SECRET UE/EU TOP SECRET lors de réunions, etc., l'agent contrôleur compétent du service ou de l'organisme dans lesquels elles sont employées doit avertir le service qui organise la réunion qu'elles sont autorisées à avoir accès aux informations TRÈS SECRET UE/EU TOP SECRET.

9. Les noms de toutes les personnes qui ne sont plus employées dans des postes nécessitant l'accès aux informations TRÈS SECRET UE/EU TOP SECRET doivent être rayés de la liste TRÈS SECRET UE/EU TOP SECRET. De plus, l'attention de toutes ces personnes doit être attirée à nouveau sur leurs responsabilités particulières quant à la protection des informations TRÈS SECRET UE/EU TOP SECRET. Elles doivent également signer une déclaration par laquelle elles s'engagent à ne pas utiliser ni divulguer des informations TRÈS SECRET UE/EU TOP SECRET dont elles ont eu connaissance.

RÈGLES PARTICULIÈRES CONCERNANT L'ACCÈS AUX INFORMATIONS CLASSIFIÉES SECRET UE ET CONFIDENTIEL UE

10. Toute personne ayant à connaître des informations SECRET UE ou CONFIDENTIEL UE doit avoir fait au préalable l'objet d'une procédure d'habilitation du niveau approprié.

11. Toute personne ayant à connaître des informations SECRET UE ou CONFIDENTIEL UE doit avoir connaissance des règles de sécurité appropriées et des conséquences de toute négligence.

12. En ce qui concerne les personnes ayant accès à des informations SECRET UE ou CONFIDENTIEL UE lors de réunions, etc., le responsable de la sécurité de l'organisme dans lequel la personne concernée est employée doit avertir le service qui organise la réunion qu'elle est autorisée à avoir accès à de telles informations.

RÈGLES PARTICULIÈRES CONCERNANT L'ACCÈS AUX INFORMATIONS RESTREINT UE

13. Toute personne ayant accès à des informations RESTREINT UE doit être avertie des présentes règles de sécurité et des conséquences de toute négligence.

MUTATIONS

14. Lors de la mutation de personnel affecté à un poste impliquant le traitement de documents classifiés de l'UE, le bureau d'ordre doit s'assurer que le transfert de cette documentation entre le fonctionnaire partant et le fonctionnaire suivant s'effectue réglementairement.

PRESCRIPTIONS PARTICULIÈRES

15. Il convient que les personnes devant avoir accès à des informations classifiées de l'UE soient averties dès leur prise de fonctions, puis périodiquement:

a) des dangers que présentent pour la sécurité les conversations indiscrètes;

b) des précautions à prendre dans les relations avec la presse;

c) de la menace que constituent les activités des services de renseignement qui prennent pour cible l'UE et les États membres et qui s'intéressent aux informations classifiées et aux activités de l'UE;

d) de l'obligation qui leur est faite de rendre compte immédiatement à l'autorité de sécurité compétente de toute démarche ou manoeuvre pouvant laisser soupçonner une activité d'espionnage, ou de toute situation inhabituelle ayant trait à la sécurité.

16. Toutes les personnes normalement exposées à des contacts fréquents avec des représentants de pays dont les services de renseignement prennent pour cible l'UE et les États membres et s'intéressent aux informations classifiées et aux activités de l'UE sont informées des techniques dont on sait qu'elles sont utilisées par divers services de renseignement.

17. Il n'existe pas de règles de sécurité du Conseil pour les voyages effectués à titre privé, quelle qu'en soit la destination, par des membres du personnel habilités à accéder à des informations classifiées de l'UE. Les autorités de sécurité compétentes informeront, toutefois, les fonctionnaires et autres agents se trouvant sous leur responsabilité des règles applicables aux voyages qu'ils peuvent avoir à respecter. Il appartient aux responsables de la sécurité d'organiser à l'intention des membres du personnel des séances de rappel de ces prescriptions particulières.

SECTION VI

PROCÉDURE D'HABILITATION DE SÉCURITÉ APPLICABLE AUX FONCTIONNAIRES ET AUTRES AGENTS DU SGC

1. Seuls les fonctionnaires et autres agents du SGC ou les personnes travaillant au sein du SGC qui, en raison de leurs fonctions et pour des nécessités de service, ont besoin de prendre connaissance d'informations classifiées détenues par le Conseil ou de traiter ces dernières, ont accès à ces informations.

2. Pour pouvoir accéder aux informations classifiées "TRÈS SECRET UE/EU TOP SECRET", "SECRET UE" et "CONFIDENTIEL UE", les personnes visées au point 1 doivent avoir été autorisées à cet effet, conformément à la procédure visée aux points 4 et 5.

3. L'autorisation n'est délivrée qu'aux personnes qui ont fait l'objet d'une enquête de sécurité effectuée par les autorités nationales compétentes des États membres (ANS), selon les modalités prévues aux points 6 à 10.

4. L'autorité investie du pouvoir de nomination (AIPN) au sens de l'article 2, premier alinéa, du Statut du personnel, est chargée de l'octroi des autorisations visées aux points 1, 2 et 3.

L'AIPN octroie l'autorisation après avoir recueilli l'avis des autorités nationales compétentes des États membres sur la base de l'enquête de sécurité effectuée conformément aux points 6 à 12.

5. L'autorisation, qui a une durée de validité de cinq ans, ne peut excéder la durée des fonctions qui en ont justifié l'octroi. Elle peut être renouvelée par l'AIPN conformément à la procédure visée au point 4.

L'autorisation est retirée par l'AIPN lorsqu'elle estime que des motifs le justifient. Toute décision de retrait est notifiée à la personne concernée, qui peut demander à être entendue par l'AIPN, ainsi qu'à l'autorité nationale compétente.

6. L'enquête de sécurité a pour objet de s'assurer qu'il n'y a pas d'objections à ce que la personne puisse avoir accès aux informations classifiées détenues par le Conseil.

7. L'enquête de sécurité est effectuée, avec le concours de la personne concernée et à la demande de l'AIPN, par les autorités nationales compétentes de l'État membre dont la personne à autoriser est ressortissante. Dans le cas où la personne concernée réside sur le territoire d'un autre État membre, les autorités nationales concernées peuvent s'assurer de la coopération des autorités de l'État de résidence.

8. En vue de l'enquête, la personne concernée est tenue de remplir une notice individuelle d'information.

9. L'AIPN spécifie dans sa demande le type et le niveau de classification des informations que la personne concernée aura à connaître, de sorte que les autorités nationales compétentes puissent mener l'enquête et rendre un avis quant au niveau d'autorisation qu'il serait approprié d'accorder à la personne concernée.

10. Sont applicables pour l'ensemble du déroulement et des résultats de la procédure d'enquête de sécurité, les prescriptions et réglementations en vigueur en la matière dans l'État membre concerné, y compris celles relatives aux éventuelles voies de recours.

11. Lorsque les autorités nationales compétentes des États membres émettent un avis positif, l'AIPN peut octroyer l'autorisation à la personne concernée.

12. Lorsque les autorités nationales compétentes émettent un avis négatif, la personne concernée est informée du sens de cet avis et peut demander à être entendue par l'AIPN. L'AIPN peut, si elle le juge nécessaire, s'adresser aux autorités nationales compétentes afin de demander les éclaircissements complémentaires qu'elles sont en mesure de donner. En cas de confirmation de l'avis négatif, l'autorisation ne peut être accordée.

13. Toute personne autorisée au sens des points 4 et 5 reçoit, au moment de l'autorisation et par la suite à intervalles réguliers, les instructions qui s'imposent sur la protection des informations classifiées et sur la manière de l'assurer. Elle signe une déclaration confirmant qu'elle a reçu ces instructions et qu'elle s'engage à les respecter.

14. L'AIPN prend toute mesure nécessaire pour mettre en oeuvre la présente section, notamment celle relative à la réglementation de l'accès à la liste des personnes autorisées.

15. À titre exceptionnel et en raison des nécessités du service, l'AIPN peut, après en avoir préalablement informé les autorités nationales compétentes et en l'absence de réactions de celles-ci dans un délai d'un mois, octroyer une autorisation à titre temporaire pour une période qui ne peut excéder six mois, en attendant le résultat de l'enquête visée au point 7.

16. Les autorisations provisoires et temporaires ainsi octroyées ne donnent pas accès aux informations TRÈS SECRET UE/EU TOP SECRET; l'accès à ces informations est réservé aux fonctionnaires qui ont effectivement fait l'objet d'une enquête de sécurité dont l'issue a été positive, conformément au point 7. En attendant les résultats de l'enquête de sécurité, les fonctionnaires qui doivent être habilités au niveau TRÈS SECRET UE/EU TOP SECRET, peuvent être autorisés temporairement et provisoirement, à accéder aux informations classifiées jusqu'au niveau SECRET UE inclus.

SECTION VII

PRÉPARATION, DIFFUSION, TRANSMISSION, ARCHIVAGE ET DESTRUCTION DES MATÉRIELS CLASSIFIÉS DE L'UE

Sommaire

>TABLE>

Dispositions générales

La présente section détaille les mesures de préparation, diffusion, transmission, archivage et destruction des documents classifiés de l'UE tels que définis au point 3, sous a), des principes de base et normes de sécurité minimales figurant dans la partie I de la présente annexe. Elle doit servir de référence pour l'adaptation de ces mesures aux autres matériels classifiés de l'UE, selon leur type et au cas par cas.

Chapitre I

Préparation et diffusion des documents classifiés de l'UE

PRÉPARATION

1. Comme cela est indiqué dans la section II, les classifications ainsi que les timbres UE doivent apparaître au milieu du haut et du bas de chaque page, et chaque page doit être numérotée. Chaque document classifié de l'UE doit porter un numéro de référence ainsi qu'une date. Pour les documents TRÈS SECRET UE/EU TOP SECRET et SECRET UE, ce numéro de référence sera porté sur chaque page. S'ils doivent être diffusés en plusieurs exemplaires, chacun d'eux devra porter un numéro d'exemplaire qui figurera en première page, avec le nombre total de pages. La première page d'un document classifié CONFIDENTIEL UE et au-dessus doit donner la liste complète des annexes et pièces jointes.

2. Les documents classifiés CONFIDENTIEL UE et au-dessus ne peuvent être dactylographiés, traduits, stockés, photocopiés, enregistrés sur un support magnétique ou microfilmés que par des personnes habilitées à avoir accès aux informations classifiées de l'UE, au moins jusqu'à la catégorie de sécurité appropriée du document en cause, sauf cas particulier exposé au point 27 de la présente section.

Les dispositions relatives à la production de documents classifiés à l'aide de moyens informatiques sont énoncées dans la section XI.

DIFFUSION

3. Les informations classifiées de l'UE ne doivent être diffusées qu'auprès des personnes qui ont besoin d'en connaître et qui ont l'habilitation de sécurité appropriée. La diffusion initiale doit être précisée par l'autorité d'origine.

4. La diffusion des documents TRÈS SECRET UE/EU TOP SECRET s'effectue par la voie des bureaux d'ordre TRÈS SECRET UE/EU TOP SECRET (voir section VIII). Dans le cas de messages TRÈS SECRET UE/EU TOP SECRET, le bureau d'ordre compétent peut autoriser le chef du centre de transmission à réaliser le nombre de copies correspondant à la liste des destinataires.

5. Les documents classifiés SECRET UE et d'une classification moindre peuvent être rediffusés par un destinataire initial vers d'autres destinataires en fonction du besoin d'en connaître. Toutefois, les autorités d'origine doivent indiquer clairement toutes les restrictions qu'elles entendent imposer. Chaque fois que de telles restrictions sont imposées, les destinataires ne peuvent procéder à une rediffusion qu'avec l'autorisation des autorités d'origine.

6. À l'arrivée ou au départ, tout document classifié CONFIDENTIEL UE et au-dessus doit faire l'objet d'un enregistrement par le bureau d'ordre de l'organisme. Les éléments à enregistrer (références, date et, le cas échéant, numéro d'exemplaire) doivent permettre d'identifier les documents et figurent sur un cahier d'enregistrement ou sur des supports informatiques spéciaux et protégés.

Chapitre II

Transmission/transport de documents classifiés de l'UE

CONDITIONNEMENT

7. Les documents classifiés CONFIDENTIEL UE et au-dessus doivent être transmis sous une double enveloppe, opaque et résistante. L'enveloppe intérieure doit être cachetée et porter la classification de sécurité UE appropriée ainsi que, si possible, la mention complète des fonctions et de l'adresse du destinataire.

8. Seul l'agent contrôleur du bureau d'ordre, ou son remplaçant, peut ouvrir l'enveloppe intérieure et accuser réception des documents qu'elle renferme, à moins que cette enveloppe n'ait un destinataire précis. Dans ce cas, le bureau d'ordre approprié devra enregistrer la réception de l'enveloppe et seule la personne à laquelle elle est adressée pourra ouvrir l'enveloppe intérieure et accuser réception des documents qu'elle contient.

9. Une formule de récépissé est placée dans l'enveloppe intérieure. Le récépissé, qui n'est pas classifié, doit donner la référence, la date et le numéro d'exemplaire du document, mais jamais son objet.

10. L'enveloppe intérieure est enfermée dans une enveloppe extérieure, laquelle porte un numéro d'expédition en vue des formalités de réception. En aucun cas, la classification de sécurité ne doit apparaître sur l'enveloppe extérieure.

11. Pour les documents classifiés CONFIDENTIEL UE et au-dessus, les courriers et les messagers reçoivent un accusé de réception correspondant au numéro d'expédition.

TRANSMISSION À L'INTÉRIEUR D'UN BÂTIMENT OU GROUPE DE BÂTIMENTS

12. À l'intérieur d'un même bâtiment ou groupe de bâtiments, les documents classifiés peuvent être transmis dans une seule enveloppe fermée avec pour seule mention le nom du destinataire, à condition que le transport soit effectué par une personne habilitée au niveau de classification des documents.

TRANSMISSION DE DOCUMENTS UE À L'INTÉRIEUR D'UN MÊME PAYS

13. La transmission des documents TRÈS SECRET UE/EU TOP SECRET à l'intérieur d'un même pays doit être effectuée exclusivement par un service officiel de messagers ou par des personnes autorisées à avoir accès aux informations TRÈS SECRET UE/EU TOP SECRET.

14. Chaque fois qu'il est fait appel à un messager pour le transport d'un document TRÈS SECRET UE/EU TOP SECRET hors des limites d'un bâtiment ou groupe de bâtiments, il convient d'appliquer les dispositions relatives au conditionnement et à la réception définies au présent chapitre. Les services de messagerie doivent disposer d'un personnel suffisant pour que les paquets contenant des documents TRÈS SECRET UE/EU TOP SECRET demeurent sous le contrôle direct et permanent d'un responsable.

15. Exceptionnellement, des documents TRÈS SECRET UE/EU TOP SECRET peuvent être transportés par des fonctionnaires autres que les messagers hors des limites d'un bâtiment ou groupe de bâtiments pour être utilisés localement lors de réunions ou de débats, sous réserve que:

a) le porteur soit autorisé à avoir accès à ces documents TRÈS SECRET UE/EU TOP SECRET;

b) le mode de transport soit conforme aux règles nationales en matière de transmission de documents nationaux TRÈS SECRET;

c) le porteur ne se sépare en aucun cas des documents TRÈS SECRET UE/EU TOP SECRET qu'il transporte;

d) des dispositions soient prises pour que la liste des documents ainsi transportés soit conservée par le bureau d'ordre TRÈS SECRET UE/EU TOP SECRET détenteur et notée sur un registre, afin de permettre une vérification lors du retour de ces documents.

16. La transmission de documents SECRET UE et CONFIDENTIEL UE à l'intérieur d'un même pays peut être effectuée soit par la poste si ce mode de transmission est autorisé par la réglementation en matière de sécurité du pays, et conformément à cette réglementation, soit par un service de messagers, soit par des personnes autorisées à avoir accès aux informations classifiées de l'UE.

17. Chaque État membre ou organisme décentralisé de l'UE doit élaborer des instructions relatives au transport individuel de documents classifiés de l'UE sur la base de cette réglementation. Il devra être demandé au porteur de lire et de signer ces instructions, lesquelles indiqueront en particulier qu'en aucun cas:

a) le porteur ne peut se défaire des documents, à moins que leur garde ne soit assurée conformément aux prescriptions de la section IV;

b) les documents ne peuvent être laissés sans surveillance dans les moyens de transport publics ou les véhicules personnels, ni dans les lieux publics tels que restaurants ou hôtels. Ils ne peuvent être ni déposés dans les coffres d'hôtels ni conservés sans surveillance dans les chambres d'hôtel;

c) les documents ne peuvent être lus dans des lieux publics, par exemple dans un avion ou dans un train.

TRANSMISSION D'UN ÉTAT MEMBRE À UN AUTRE

18. Les matériels CONFIDENTIEL UE et d'une classification supérieure sont transmis d'un État membre à un autre par les services du courrier diplomatique ou militaire.

19. Toutefois, le transport par une personne de matériel classifié SECRET UE et CONFIDENTIEL UE peut être autorisé si les dispositions prises pour le transport permettent de garantir que les documents ne pourront tomber entre les mains d'une personne non autorisée.

20. Les ANS peuvent autoriser le transport par une personne lorsqu'on ne peut utiliser ni courrier diplomatique ni courrier militaire, ou lorsque leur utilisation se traduirait par un retard risquant de compromettre des opérations de l'UE et que le matériel est requis d'urgence par son destinataire. Chaque État membre rédigera des instructions portant sur le transport international par des personnes autres que les courriers diplomatiques ou militaires des matériels classifiés jusqu'au niveau SECRET UE inclus. Dans ces instructions, il sera exigé que:

a) le porteur ait l'habilitation de sécurité appropriée délivrée par les États membres;

b) tous les matériels ainsi transportés soient enregistrés dans le bureau ou bureau d'ordre approprié;

c) les paquets ou les sacs contenant des matériels UE portent un sceau officiel permettant d'empêcher ou de décourager une inspection de la douane, et des étiquettes d'identification indiquant la marche à suivre pour la personne qui les trouvera;

d) le porteur soit muni d'un certificat de courrier et/ou d'un ordre de mission admis par tous les États de l'UE, l'autorisant à transporter le paquet dûment identifié;

e) il ne soit traversé ni frontière ni territoire d'États non membres de l'UE en cas de transport par voie terrestre, à moins que ces États n'aient fourni de garantie spécifique à l'État expéditeur;

f) en ce qui concerne la destination, l'itinéraire et les moyens de transport, les dispositions relatives au voyage du porteur soient conformes à la réglementation UE ou, s'ils sont plus stricts, aux règlements nationaux;

g) le porteur ne se sépare pas des matériels, à moins que leur garde ne soit assurée conformément aux dispositions de sécurité figurant à la section IV;

h) les matériels ne soient pas laissés sans surveillance dans les moyens de transport publics ou les véhicules personnels, ni dans les lieux publics tels que restaurants ou hôtels. Ils ne peuvent être ni déposés dans les coffres d'hôtels ni conservés sans surveillance dans les chambres d'hôtel;

i) si les matériels transportés contiennent des documents, ceux-ci ne soient pas lus dans des lieux publics (par exemple, dans un avion, dans un train, etc.).

La personne chargée de transporter les matériels classifiés doit lire et signer des instructions de sécurité contenant au minimum les instructions ci-dessus et indiquant la procédure à suivre en cas d'urgence ou au cas où le paquet contenant les matériels classifiés ferait l'objet d'un contrôle de la part des autorités douanières ou de sécurité d'un aéroport.

TRANSMISSION DE DOCUMENTS RESTREINT UE

21. Aucune disposition spéciale n'est fixée concernant la transmission des documents RESTREINT UE; celle-ci doit cependant s'effectuer de manière à ce qu'ils ne puissent tomber entre les mains de personnes non autorisées.

SÉCURITÉ RELATIVE AUX COURRIERS

22. Tous les courriers et messagers utilisés pour le transport des documents SECRET UE et CONFIDENTIEL UE doivent avoir fait l'objet d'une habilitation de sécurité appropriée.

Chapitre III

Transmission par voie électrique et autres moyens techniques

23. Les mesures de sécurité des télécommunications sont conçues pour assurer la transmission en toute sécurité des informations classifiées de l'UE. Les règles à observer lors de la transmission d'informations classifiées de l'UE figurent en détail à la section XI.

24. Seuls les centres et réseaux de transmissions et/ou les terminaux et systèmes homologués peuvent transmettre des informations CONFIDENTIEL UE et SECRET UE.

Chapitre IV

Exemplaires supplémentaires et traductions et extraits de documents classifiés de l'UE

25. Seule l'autorité d'origine peut autoriser la duplication ou la traduction de documents TRÈS SECRET UE/EU TOP SECRET.

26. Si des personnes ne possédant pas l'habilitation TRÈS SECRET UE/EU TOP SECRET ont besoin d'informations contenues dans un document TRÈS SECRET UE/EU TOP SECRET mais n'ont pas elles-mêmes ce niveau de classification, le chef du bureau d'ordre TRÈS SECRET UE/EU TOP SECRET peut être autorisé à réaliser le nombre d'extraits nécessaires de ce document. Il prendra en même temps les mesures requises pour que ces documents reçoivent une classification de sécurité appropriée.

27. Les reproductions et traductions de documents SECRET UE et d'une classification moindre peuvent être faites par le destinataire, dans le cadre des règlements de sécurité nationaux et à condition qu'il observe strictement le principe du besoin d'en connaître. Les mesures de sécurité applicables au document original le sont également à ses reproductions et/ou traductions. Les organismes décentralisés de l'UE doivent se conformer au présent règlement de sécurité.

Chapitre V

Inventaires et contrôles, archivage et destruction des documents classifiés de l'UE

INVENTAIRES ET CONTRÔLES

28. Tous les ans, chaque bureau d'ordre TRÈS SECRET UE/EU TOP SECRET visé à la section VIII procède à un inventaire détaillé des documents TRÈS SECRET UE/EU TOP SECRET conformément aux règles énoncées à la section VIII, points 9 à 11. Les documents classifiés de l'UE d'un niveau inférieur à TRÈS SECRET UE/EU TOP SECRET doivent faire l'objet de vérifications internes conformément aux directives nationales et, en ce qui concerne le SGC ou les organismes décentralisés de l'UE, conformément aux directives du Secrétaire général/Haut représentant.

Ces opérations permettent notamment de recueillir l'avis des détenteurs sur:

a) le déclassement ou la déclassification éventuels de certains documents;

b) les destructions à entreprendre.

ARCHIVAGE D'INFORMATIONS CLASSIFIÉES DE L'UE

29. Afin de limiter les problèmes d'archivage, les agents contrôleurs de tous les bureaux d'ordre sont autorisés à faire microfilmer les documents TRÈS SECRET UE/EU TOP SECRET, SECRET UE et CONFIDENTIEL UE, ou à les faire enregistrer sur un support magnétique ou optique à des fins d'archivage, à condition que:

a) les microfilms/l'archivage soient réalisés par des personnes possédant une habilitation correspondant à la classification appropriée, en cours de validité;

b) les microfilms/l'enregistrement bénéficient de la même sécurité que les documents originaux;

c) la mise sur microfilm/l'archivage d'un document TRÈS SECRET UE/EU TOP SECRET soit signalé(e) à l'autorité d'origine;

d) les rouleaux de films ou autres types de support ne contiennent que des documents d'une même classification TRÈS SECRET UE/EU TOP SECRET, SECRET UE ou CONFIDENTIEL UE;

e) la mise sur microfilm/l'archivage d'un document TRÈS SECRET UE/EU TOP SECRET ou SECRET UE soit clairement indiqué(e) sur le registre utilisé pour l'inventaire annuel;

f) les documents originaux qui ont été microfilmés ou archivés sur un autre support soient détruits, conformément aux règles énoncées aux points 31 à 36.

30. Ces règles s'appliquent également à tout autre moyen d'archivage autorisé par les ANS, tels que le support électro-magnétique et le disque optique.

DESTRUCTION PÉRIODIQUE DE DOCUMENTS CLASSIFIÉS DE L'UE

31. Afin d'éviter l'accumulation inutile de documents classifiés de l'UE, ceux qui sont jugés périmés et excédentaires par le chef de l'organisme qui les détient doivent être détruits dès que possible, selon les modalités ci-après:

a) les documents TRÈS SECRET UE/EU TOP SECRET sont détruits uniquement par le bureau d'ordre central qui en a la charge. Chaque document détruit est inscrit sur un procès-verbal de destruction, signé par l'officier contrôleur TRÈS SECRET UE/EU TOP SECRET et par un témoin qui doit être habilité TRÈS SECRET UE/EU TOP SECRET. Le cahier d'enregistrement doit comporter une note à cet effet;

b) le bureau d'ordre doit conserver pendant dix ans les procès-verbaux de destruction, ainsi que les fiches de circulation. Des copies ne sont transmises à l'autorité d'origine ou au bureau d'ordre central approprié que sur demande expresse;

c) les documents TRÈS SECRET UE/EU TOP SECRET, y compris tous les rebuts classifiés résultant de l'élaboration de ces documents (exemplaires endommagés, brouillons, notes dactylographiées, papiers carbones, etc.), doivent être détruits sous la surveillance d'un responsable habilité TRÈS SECRET UE/EU TOP SECRET, par incinération, réduction en pulpe, lacération en bandes ou division en fragments non identifiables rendant impossible toute reconstitution.

32. Les documents SECRET UE doivent être détruits par le bureau d'ordre qui en a la charge, sous la surveillance d'une personne habilitée, et par l'un des procédés indiqués au point 31, sous c). La destruction de documents SECRET UE fait l'objet de procès-verbaux signés, conservés par le bureau d'ordre, avec les fiches de circulation, pendant au moins trois ans.

33. Les documents CONFIDENTIEL UE doivent être détruits par le bureau d'ordre qui en a la charge, sous la surveillance d'une personne habilitée, et par l'un des procédés indiqués au point 31, sous c). Leur destruction est enregistrée conformément aux réglementations nationales et, dans le cas du SGC ou des organismes décentralisés de l'UE, selon les directives du Secrétaire général/Haut représentant.

34. Les documents RESTREINT UE doivent être détruits par le bureau d'ordre qui en a la charge ou par l'utilisateur, conformément aux réglementations nationales et, dans le cas du SGC ou des organismes décentralisés de l'UE, selon les directives du Secrétaire général/Haut représentant.

DESTRUCTION EN CAS D'URGENCE

35. Le SGC, les États membres et les organismes décentralisés de l'UE établissent des plans tenant compte des conditions locales pour assurer la sauvegarde en temps de crise des matériels classifiés de l'UE, y compris si nécessaire des plans de destruction et d'évacuation en cas d'urgence; ils promulguent, dans leurs organisations respectives, les instructions jugées nécessaires pour éviter que des informations classifiées de l'UE ne tombent dans des mains non autorisées.

36. Les dispositions prises pour la sauvegarde et/ou la destruction en temps de crise des matériels SECRET UE et CONFIDENTIEL UE ne doivent en aucun cas nuire à la sauvegarde ni à la destruction des matériels TRÈS SECRET UE/EU TOP SECRET, et notamment des matériels de chiffrement, dont le traitement doit avoir la priorité sur toutes les autres tâches. Les mesures à prendre pour la sauvegarde et la destruction d'urgence des matériels de chiffrement font l'objet d'instructions ad hoc.

Chapitre VI

Règles particulières applicables aux documents destinés au Conseil

37. Au sein du SGC, un "bureau des informations classifiées" assure le suivi des informations classifiées SECRET UE et CONFIDENTIEL UE lorsqu'elles font l'objet de documents du Conseil.

Sous l'autorité du directeur général du personnel et de l'administration:

a) il gère les opérations relatives à leur enregistrement, reproduction, traduction, transmission, expédition et destruction;

b) il tient à jour le registre concernant les informations classifiées;

c) il interroge périodiquement les émetteurs sur la nécessité de maintenir la classification de ces informations;

d) il fixe, en concertation avec le Bureau de sécurité, les modalités pratiques pour la classification et la déclassification des informations.

38. Le bureau des informations classifiées tient un registre comportant les données suivantes:

a) la date de l'établissement de l'information classifiée;

b) le degré de la classification;

c) l'échéance de la classification;

d) le nom et le service de l'émetteur;

e) le ou les destinataires, avec indication du numéro d'ordre;

f) le sujet;

g) le numéro;

h) le nombre d'exemplaires diffusés;

i) l'élaboration d'inventaires des informations classifiées soumises au Conseil;

j) un registre où sont inscrites les opérations de déclassification et de déclassement des informations classifiées.

39. Les règles générales énoncées aux chapitres I à V de la présente section s'appliquent au bureau des informations classifiées du SGC, sauf modification par les règles particulières énoncées dans le présent chapitre.

SECTION VIII

BUREAUX D'ORDRE TRÈS SECRET UE/EU TOP SECRET

1. Le rôle d'un bureau d'ordre TRÈS SECRET UE/EU TOP SECRET est d'assurer l'enregistrement, le traitement et la diffusion des documents TRÈS SECRET UE/EU TOP SECRET conformément aux règles de sécurité. Le chef du bureau d'ordre TRÈS SECRET UE/EU TOP SECRET est respectivement dans chaque État membre, au sein du SGC et, le cas échéant, au sein des organismes décentralisés de l'UE, l'agent contrôleur TRÈS SECRET UE/EU TOP SECRET.

2. Les bureaux d'ordre centraux représentent la principale autorité de réception et de diffusion pour les États membres, le SGC et pour les organismes décentralisés de l'UE dans lesquels ils ont été créés, ainsi que, le cas échéant, pour les autres institutions de l'UE, les organisations internationales et les États tiers avec lesquels le Conseil a conclu des accords sur les procédures de sécurité pour l'échange d'informations classifiées.

3. En tant que de besoin, des bureaux d'ordre subordonnés sont créés afin d'assurer la gestion interne des documents TRÈS SECRET UE/EU TOP SECRET; ils tiennent à jour la situation de chacun des documents dont ils ont la charge.

4. Les bureaux d'ordre TRÈS SECRET UE/EU TOP SECRET subordonnés sont créés comme indiqué à la section I pour répondre à un besoin permanent et sont rattachés à un bureau d'ordre TRÈS SECRET UE/EU TOP SECRET central. S'il n'existe qu'un besoin de consultation temporaire et occasionnel de documents TRÈS SECRET UE/EU TOP SECRET, ces documents peuvent être communiqués sans création d'un bureau d'ordre TRÈS SECRET UE/EU TOP SECRET subordonné, sous réserve que les règles établies garantissent qu'ils resteront sous le contrôle du bureau d'ordre TRÈS SECRET UE/EU TOP SECRET approprié, et sous réserve du respect de toutes les mesures de sécurité physiques et concernant le personnel.

5. Les bureaux d'ordre subordonnés ne peuvent transmettre des documents TRÈS SECRET UE/EU TOP SECRET directement à d'autres bureaux d'ordre subordonnés au même bureau d'ordre TRÈS SECRET UE/EU TOP SECRET central sans l'autorisation expresse de ce dernier.

6. Tous les échanges de documents TRÈS SECRET UE/EU TOP SECRET entre des bureaux d'ordre subordonnés à des bureaux d'ordre centraux différents doivent transiter par les bureaux d'ordre TRÈS SECRET UE/EU TOP SECRET centraux.

BUREAUX D'ORDRE TRÈS SECRET UE/EU TOP SECRET CENTRAUX

7. En tant qu'agent contrôleur, le chef d'un bureau d'ordre TRÈS SECRET UE/EU TOP SECRET central a pour responsabilités:

a) d'assurer la transmission des documents TRÈS SECRET UE/EU TOP SECRET conformément aux règles définies dans la section VII;

b) de tenir à jour la liste de tous ses bureaux d'ordre TRÈS SECRET UE/EU TOP SECRET subordonnés avec les noms et les signatures des agents contrôleurs désignés et de leurs adjoints autorisés;

c) de détenir les récépissés des bureaux d'ordre pour tous les documents TRÈS SECRET UE/EU TOP SECRET diffusés par le bureau d'ordre central;

d) de tenir un état des documents TRÈS SECRET UE/EU TOP SECRET détenus et diffusés;

e) de tenir à jour la liste de tous les bureaux d'ordre centraux TRÈS SECRET UE/EU TOP SECRET avec lesquels il correspond normalement, avec les noms et signatures des agents contrôleurs désignés et de leurs adjoints autorisés;

f) d'assurer la sécurité matérielle de tous les documents TRÈS SECRET UE/EU TOP SECRET détenus dans le bureau d'ordre, conformément aux prescriptions énoncées dans la section IV.

BUREAUX D'ORDRE TRÈS SECRET UE/EU TOP SECRET SUBORDONNÉS

8. En tant qu'agent contrôleur, le chef d'un bureau d'ordre TRÈS SECRET UE/EU TOP SECRET subordonné a pour responsabilités:

a) d'assurer la transmission des documents TRÈS SECRET UE/EU TOP SECRET conformément aux dispositions définies dans la section VII et aux points 5 et 6 de la section VIII;

b) de tenir à jour la liste de toutes les personnes autorisées à avoir accès aux informations TRÈS SECRET UE/EU TOP SECRET sous son contrôle;

c) de diffuser les documents TRÈS SECRET UE/EU TOP SECRET conformément aux instructions de l'autorité d'origine ou en fonction du besoin d'en connaître, en s'assurant, au préalable, que le destinataire possède une habilitation de sécurité du niveau requis;

d) de tenir à jour la liste de tous les documents TRÈS SECRET UE/EU TOP SECRET détenus ou en circulation sous son contrôle, ou qui ont été transmis à d'autres bureaux d'ordre TRÈS SECRET UE/EU TOP SECRET, et de détenir tous les récépissés correspondants;

e) de tenir à jour la liste des bureaux d'ordre TRÈS SECRET UE/EU TOP SECRET avec lesquels il est autorisé à échanger des documents TRÈS SECRET UE/EU TOP SECRET, ainsi que les noms et signatures des agents contrôleurs désignés et de leurs adjoints autorisés;

f) d'assurer la sécurité matérielle de tous les documents TRÈS SECRET UE/EU TOP SECRET conservés dans le bureau d'ordre subordonné conformément aux prescriptions énoncées dans la section IV.

INVENTAIRES

9. Tous les douze mois, chaque bureau d'ordre TRÈS SECRET UE/EU TOP SECRET procède à un inventaire détaillé de tous les documents TRÈS SECRET UE/EU TOP SECRET dont il est responsable. Un document est considéré comme comptabilisé par le bureau d'ordre si celui-ci a pu constater de visu son existence, ou détient soit un récépissé du bureau d'ordre TRÈS SECRET UE/EU TOP SECRET auquel il a été transmis, soit un procès-verbal de destruction du document, soit un ordre de déclassement ou de déclassification.

10. Les bureaux d'ordre subordonnés adressent au bureau d'ordre central dont ils relèvent, à la date fixée par ce dernier, les résultats de leur inventaire annuel.

11. Les ANS, ainsi que les institutions de l'UE, les organisations internationales et les organismes décentralisés de l'UE dans lesquels un bureau d'ordre TRÈS SECRET UE/EU TOP SECRET central a été créé, rendent compte au Secrétaire général/Haut représentant, au plus tard le 1er avril de chaque année, des résultats des inventaires annuels effectués dans les bureaux d'ordre TRÈS SECRET UE/EU TOP SECRET centraux.

SECTION IX

MESURES DE SÉCURITÉ À APPLIQUER À L'OCCASION DES RÉUNIONS SPÉCIFIQUES TENUES EN DEHORS DES LOCAUX DU CONSEIL ET PORTANT SUR DES DOSSIERS TRÈS SENSIBLES

GÉNÉRALITÉS

1. Les mesures de sécurité décrites ci-après doivent être prises lorsque les réunions du Conseil européen, les sessions du Conseil, les réunions ministérielles et autres réunions importantes ont lieu en dehors des locaux du Conseil à Bruxelles ou à Luxembourg, et lorsque les exigences de sécurité particulières découlant du niveau de sensibilité élevé des dossiers ou informations traités le justifient. Ces mesures ne concernent que la protection des informations classifiées de l'UE; il peut se révéler nécessaire de prévoir d'autres mesures de sécurité.

RESPONSABILITÉS

État membre d'accueil

2. L'État membre sur le territoire duquel se déroule la réunion (État membre d'accueil) doit assurer, en coopération avec le Bureau de sécurité du SGC, la sécurité du Conseil européen, de la session du Conseil, de la réunion ministérielle ou autre réunion importante, ainsi que la sécurité physique des principaux délégués et de leurs collaborateurs.

En matière de protection de la sécurité, l'État membre d'accueil doit en particulier veiller à ce que:

a) des plans soient établis pour faire face aux menaces pesant sur la sécurité et aux incidents en rapport avec cette dernière, les mesures prévues devant concerner notamment la protection des documents classifiés de l'UE à l'intérieur des locaux;

b) des dispositions soient prises afin d'assurer l'accès éventuel au système de télécommunication du Conseil pour la réception et l'envoi de messages classifiés de l'UE. L'État membre d'accueil veillera également à assurer, le cas échéant, l'accès à des systèmes téléphoniques protégés.

États membres

3. Les autorités des États membres font en sorte que:

a) les attestations d'habilitation de sécurité appropriées soient fournies pour leurs délégués nationaux, si nécessaire par message ou télécopie, soit directement au responsable de la sécurité de la réunion, soit par l'intermédiaire du Bureau de sécurité du SGC;

b) toute menace spécifique soit signalée aux autorités de l'État membre d'accueil et, le cas échéant, au Bureau de sécurité du SGC, afin que des mesures appropriées puissent être prises.

Responsable de la sécurité de la réunion

4. Un responsable de la sécurité doit être désigné pour la réunion; il est chargé de la préparation générale et du contrôle des mesures générales de sécurité interne ainsi que de la coordination avec les autres autorités de sécurité concernées. Les dispositions qu'il prend porteront généralement sur:

a) i) les mesures de protection sur le lieu de la réunion pour garantir que celle-ci se déroule sans incident susceptible de compromettre la sécurité des informations classifiées de l'UE qui y seraient utilisées;

ii) le contrôle du personnel ayant accès au lieu de la réunion, aux zones occupées par les délégations et aux salles de conférence, et des matériels qui y sont introduits;

iii) la coordination permanente avec les autorités compétentes de l'État membre d'accueil et avec le Bureau de sécurité du SGC;

b) l'inclusion, dans le dossier de la réunion, d'instructions de sécurité tenant compte des impératifs énoncés dans le présent règlement de sécurité, ainsi que de toute autre consigne de sécurité jugée nécessaire.

Bureau de sécurité du SGC

5. Le Bureau de sécurité du SGC doit jouer un rôle de conseiller en matière de sécurité pour la préparation de la réunion; il doit y être représenté pour aider et conseiller le responsable de la sécurité de la réunion et les délégations, le cas échéant.

6. Chaque délégation à une réunion doit désigner un responsable de la sécurité. Celui-ci est chargé de traiter les questions de sécurité au sein de sa délégation et de rester en liaison avec le responsable de la sécurité de la réunion, ainsi qu'avec le représentant du Bureau de sécurité du SGC, le cas échéant.

MESURES DE SÉCURITÉ

Zones de sécurité

7. Il y a lieu de créer les zones de sécurité suivantes:

a) une zone de sécurité de catégorie II, comprenant une salle de rédaction, les bureaux et les installations de reproduction du SGC, ainsi que les bureaux des délégations, le cas échéant;

b) une zone de sécurité de catégorie I, comprenant la salle de conférence et les cabines des interprètes et des ingénieurs du son;

c) des zones administratives, comprenant les installations destinées à la presse et les secteurs réservés à l'administration, à la restauration et à l'hébergement, ainsi que la zone immédiatement adjacente au centre de presse et au lieu de la réunion.

Laissez-passer

8. Le responsable de la sécurité de la réunion doit établir des badges de type adéquat en fonction des besoins exprimés par les délégations. Le cas échéant, une distinction peut être faite pour l'accès aux différentes zones de sécurité.

9. Les instructions de sécurité relatives à la réunion stipulent que toutes les personnes concernées doivent porter leur badge en permanence et de façon visible dans les locaux de la réunion, afin de permettre au personnel de sécurité d'effectuer les vérifications nécessaires.

10. Outre les participants munis de badges, il y a lieu d'admettre le moins de personnes possible sur le lieu de la réunion. Les délégations nationales souhaitant recevoir des visiteurs pendant la réunion doivent en informer le responsable de la sécurité de la réunion. Les visiteurs se voient remettre un badge spécial; un laissez-passer portant leur nom ainsi que celui de la personne qui les reçoit est établi. Ils doivent être accompagnés en permanence par un garde de sécurité ou par la personne qui les reçoit. Le laissez-passer doit être porté par l'accompagnateur, qui le rend avec le badge de visiteur au personnel de sécurité lorsque le visiteur quitte le lieu de la réunion.

Contrôle des appareils photographiques et des appareils d'enregistrement

11. Aucun appareil photographique ou appareil d'enregistrement ne peut être introduit dans une zone de sécurité de catégorie I, à l'exception du matériel apporté par les photographes et par les ingénieurs du son dûment autorisés par le responsable de la sécurité de la réunion.

Contrôle des porte-documents, ordinateurs portatifs et paquets

12. Les personnes munies d'un laissez-passer leur donnant accès à une zone de sécurité peuvent normalement introduire sans contrôle leurs porte-documents et ordinateurs portatifs (autonomes uniquement). Les délégations peuvent prendre livraison des paquets qui leur sont destinés, après vérification par le responsable de la sécurité de la délégation, ou inspection au moyen d'un matériel spécial, ou après ouverture par le personnel de sécurité. Si le responsable de la sécurité de la réunion le juge nécessaire, des dispositions plus strictes pourront être instaurées pour le contrôle des porte-documents et des paquets.

Sécurité technique

13. Une équipe de sécurité technique peut garantir la sécurité technique de la salle de réunion et assurer également la surveillance électronique en cours de réunion.

Documents des délégations

14. Les délégations sont responsables du transport des documents classifiés de l'UE qu'elles détiennent à destination et au départ des réunions. Elles sont également responsables du contrôle et de la sécurité de ces documents lors de leur utilisation dans les locaux qui leur sont attribués. Le concours de l'État membre d'accueil pourra être demandé pour le transport des documents classifiés à destination ou au départ du lieu de la réunion.

Conservation des documents en lieu sûr

15. Lorsque le SGC, la Commission ou les délégations ne sont pas en mesure de mettre en sûreté leurs documents classifiés selon les normes agréées, ils peuvent confier ces documents, sous enveloppe cachetée et contre récépissés, au responsable de la sécurité de la réunion, à charge pour celui-ci de les mettre à l'abri conformément aux normes agréées.

Vérification des bureaux

16. Le responsable de la sécurité de la réunion doit veiller à ce que les bureaux du SGC et des délégations fassent l'objet d'une vérification après chaque journée de travail, afin de s'assurer que tous les documents classifiés de l'UE ont été mis en lieu sûr; si tel n'est pas le cas, il doit prendre les mesures nécessaires.

Élimination des rebuts classifiés de l'UE

17. Tous les rebuts doivent être considérés comme classifiés de l'UE et le SGC et les délégations se verront remettre des corbeilles à papier ou des sacs pour leur stockage. Avant de quitter les locaux qui leur ont été attribués, le SGC et les délégations doivent porter ces rebuts au responsable de la sécurité de la réunion, qui doit veiller à leur destruction selon les procédures réglementaires.

18. À la fin de la réunion, tous les documents détenus par le SGC ou les délégations et devenus inutiles sont traités comme rebuts. Une fouille approfondie des bureaux du SGC et des délégations doit être effectuée avant la levée des mesures de sécurité prises pour la réunion. Dans la mesure du possible, les documents pour lesquels un reçu a été signé sont détruits comme indiqué à la section VII.

SECTION X

INFRACTIONS À LA SÉCURITÉ ET COMPROMISSION D'INFORMATIONS CLASSIFIÉES DE L'UE

1. L'infraction à la sécurité est un acte ou une omission contraire à une règle de sécurité du Conseil ou nationale et susceptible de mettre en danger ou de compromettre des informations classifiées de l'UE.

2. Il y a compromission, lorsque des informations classifiées de l'UE tombent, totalement ou en partie, aux mains de personnes non autorisées, c'est-à-dire non titulaires de l'habilitation UE appropriée ou n'ayant pas le besoin d'en connaître, ou lorsqu'il est vraisemblable qu'une telle situation se soit produite.

3. La compromission d'informations classifiées de l'UE peut survenir à la suite d'un manque d'attention, d'une négligence ou d'une indiscrétion, ou du fait d'activités de services prenant pour cibles l'UE ou ses États membres et s'intéressant aux informations classifiées et aux activités de l'UE, ou d'organisations subversives.

4. Il importe que toutes les personnes ayant à traiter des informations classifiées de l'UE soient pleinement informées des procédures de sécurité, des dangers de toute conversation indiscrète et des relations qu'elles doivent avoir avec la presse. Elles doivent avoir conscience qu'il est important de rendre compte sans délai de toute infraction à la sécurité qu'elles pourraient remarquer à l'autorité chargée de la sécurité de l'État membre, de l'institution ou de l'organisme dans lequel elles sont employées.

5. Lorsqu'une autorité chargée de la sécurité constate ou est informée que les règles de sécurité ont été enfreintes à l'égard d'informations classifiées de l'UE ou que des matériels classifiés de l'UE sont perdus ou ont disparu, elle doit agir rapidement pour:

a) établir les faits;

b) évaluer et réduire au minimum les dommages;

c) éviter que les faits ne se reproduisent;

d) informer les autorités compétentes des conséquences de cette infraction.

À cet égard, les informations suivantes doivent être fournies:

i) une description des informations concernées, en précisant notamment la classification, la référence, le numéro de l'exemplaire, la date, l'autorité d'origine, l'objet et la portée du document;

ii) une brève description des circonstances de l'infraction, y compris la date et la période pendant lesquelles l'information a été exposée à une compromission;

iii) une déclaration indiquant si l'autorité d'origine a été informée.

6. Il est du devoir de toute autorité chargée de la sécurité qui est informée qu'une infraction a pu avoir lieu de le signaler immédiatement, selon la procédure suivante: le bureau d'ordre TRÈS SECRET UE/EU TOP SECRET subordonné porte l'incident à la connaissance du Bureau de sécurité du SGC par la voie de son bureau d'ordre TRÈS SECRET UE/EU TOP SECRET central; dans le cas d'une compromission d'une information classifiée de l'UE survenant dans la juridiction d'un État membre, l'incident doit être porté, conformément aux dispositions du point 5, à la connaissance du Bureau de sécurité du SGC par l'intermédiaire de l'ANS responsable.

7. En ce qui concerne les informations RESTREINT UE, des rapports ne sont établis que lorsque les cas présentent des caractéristiques inhabituelles.

8. Dès qu'il est informé d'une infraction, le Secrétaire général/Haut représentant:

a) la notifie à l'autorité d'origine qui a fourni les informations classifiées en question;

b) invite l'autorité de sécurité compétente à ouvrir une enquête;

c) coordonne les enquêtes si plusieurs autorités de sécurité sont concernées;

d) se fait remettre un rapport sur les circonstances de l'infraction, la date ou la période à laquelle elle a pu se produire, la date et le lieu de sa découverte et une description détaillée du contenu et de la classification des documents concernés. Le préjudice causé aux intérêts de l'UE ou de l'un ou de plusieurs de ses États membres et les mesures prises pour éviter toute répétition des faits doivent également être indiqués.

9. L'autorité d'origine informe les destinataires et donne les instructions appropriées.

10. Toute personne dont la responsabilité est engagée dans une compromission d'informations classifiées de l'UE est passible de sanctions disciplinaires conformément à la réglementation applicable et sans préjudice de poursuites en justice.

SECTION XI

PROTECTION DES INFORMATIONS TRAITÉES DANS DES SYSTÈMES DES TECHNOLOGIES DE L'INFORMATION ET DANS DES SYSTÈMES DES COMMUNICATION

Sommaire

>TABLE>

Chapitre I

Introduction

GÉNÉRALITÉS

1. La doctrine de sécurité et les exigences en la matière qui sont définies dans la présente section s'appliquent à tous les systèmes et réseaux de communication et d'information (ci-après dénommés "SYSTÈMES") qui traitent des informations CONFIDENTIEL UE ou d'une classification supérieure.

2. Les SYSTÈMES qui traitent des informations RESTREINT UE nécessitent aussi l'application de mesures de sécurité destinées à protéger la confidentialité de ces informations. Tous les SYSTÈMES nécessitent des mesures de sécurité permettant de protéger l'intégrité et la disponibilité de ces systèmes et des informations qu'ils contiennent. Les mesures de sécurité à appliquer à ces systèmes sont arrêtées par l'autorité d'homologation de sécurité (SAA) compétente; elles sont proportionnelles au risque estimé et compatibles avec la doctrine énoncée dans le présent règlement de sécurité.

3. La protection des systèmes de détection comportant des SYSTÈMES TI est déterminée et énoncée dans le cadre général des systèmes auxquels ils appartiennent, en appliquant, dans toute la mesure du possible, les dispositions pertinentes de la présente section.

VULNÉRABILITÉ DES SYSTÈMES ET MENACES ÉVENTUELLES

4. D'une manière générale, une menace peut être définie comme une possibilité de compromission accidentelle ou délibérée de la sécurité. Dans le cas des SYSTÈMES, cette compromission se traduit par la perte de l'une ou de plusieurs des qualités que sont la confidentialité, l'intégrité et la disponibilité. La vulnérabilité peut être définie comme une faiblesse ou un manque de contrôles qui faciliterait ou qui permettrait la concrétisation d'une menace pesant sur un bien ou un objectif spécifique. La vulnérabilité peut résulter d'une omission ou être liée à un contrôle trop faible, incomplet ou inégal. Elle peut se situer sur le plan de la technique, des procédures ou de l'exploitation.

5. Les informations classifiées ou non de l'UE traitées dans des SYSTÈMES sous une forme condensée permettant de les retrouver, de les communiquer et de les utiliser rapidement sont exposées à de nombreux risques. Il peut s'agir de l'accès à ces informations par des utilisateurs non autorisés ou, au contraire, de l'impossibilité pour des utilisateurs autorisés d'y avoir accès. Il existe aussi des risques de divulgation, d'altération, de modification ou d'effacement non autorisés de ces informations. De plus, le matériel, complexe et parfois fragile, est coûteux et souvent difficile à réparer ou à remplacer rapidement. Ces systèmes constituent ainsi des cibles toutes désignées pour des opérations de collecte de renseignements et pour des actes de sabotage, surtout si les mesures de sécurité paraissent inefficaces.

MESURES DE SÉCURITÉ

6. Les mesures de sécurité énoncées dans la présente section ont pour principal objectif d'assurer la protection contre la divulgation non autorisée d'informations (la perte