COMMISSION EUROPÉENNE Bruxelles, le 22.3.2022 COM(2022) 119 final 2022/0084(COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif à la sécurité de l’information dans les institutions, organes et organismes de l’Union {SWD(2022) 65 final} - {SWD(2022) 66 final}



EXPOSÉ DES MOTIFS 1.CONTEXTE DE LA PROPOSITION •Justification et objectifs de la proposition La présente proposition fait partie de la stratégie de l’UE pour l’union de la sécurité adoptée par la Commission le 24 juillet 2020 et énonçant l’engagement pris par cette dernière d’apporter la valeur ajoutée de l’Union européenne aux efforts nationaux dans le domaine de la sécurité. Cet engagement inclut notamment l’initiative visant à rationaliser les cadres juridiques internes relatifs à la sécurité de l’information dans l’ensemble des institutions et organes de l’Union. L’un des grands objectifs du programme stratégique pour 2019-2024 adopté par le Conseil européen en juin 2019 est la protection de nos sociétés contre les menaces en perpétuelle évolution visant les informations traitées par les institutions et les organes. Dans ses conclusions, le Conseil européen a notamment invité «les institutions de l’UE, ainsi que les États membres, à œuvrer à des mesures visant à renforcer la résilience et à améliorer la culture de sécurité de l’UE face aux menaces cyber et hybrides émanant de l’extérieur de l’UE, et à mieux protéger les réseaux d’information et de communication de l’UE, ainsi que ses processus décisionnels, contre les actes de malveillance de tout type». Dans le même ordre d’idées, le Conseil des affaires générales de décembre 2019 a conclu que les institutions et organes de l’UE, soutenus par les États membres, devraient élaborer et mettre en œuvre un ensemble complet de mesures visant à garantir leur sécurité. Cette conclusion fait écho à une demande formulée depuis longtemps par le comité de sécurité du Conseil visant à étudier l’adoption d’un socle commun de règles de sécurité pour le Conseil, la Commission et le Service européen pour l’action extérieure. Actuellement, soit les institutions et organes de l’Union possèdent leurs propres règles en matière de sécurité de l’information, fondées sur leur règlement de procédure ou leur acte fondateur, soit ils ne disposent d’aucune règle en la matière. C’est surtout le cas de certaines petites entités, qui ne possèdent aucune politique officielle en matière de sécurité de l’information. En raison des volumes toujours plus conséquents d’informations sensibles non classifiées et d’informations classifiées de l’Union européenne (ci-après les «ICUE») que les institutions et organes de l’Union doivent se partager, et compte tenu de l’évolution spectaculaire des menaces, l’administration européenne est exposée à des attaques dans tous ses domaines d’activité. Les informations traitées par nos institutions et organes intéressent au plus haut point les acteurs malveillants, et elles doivent être correctement protégées, ce qui nécessite une action rapide afin d’améliorer leur protection. Dès lors, et afin d’accroître la protection des informations traitées par l’administration européenne, la présente initiative vise à rationaliser les différents cadres juridiques des institutions et organes de l’Union dans ce domaine, grâce aux mesures suivantes: •définir des catégories d’informations exhaustives et harmonisées, ainsi que des règles communes à toutes les institutions et tous les organes de l’Union en matière de traitement; •établir un système rationalisé de coopération entre les institutions et organes de l’Union dans le domaine de la sécurité de l’information, capable de favoriser une culture cohérente de la sécurité de l’information dans l’ensemble de l’administration européenne; •moderniser les politiques en matière de sécurité de l’information à tous les niveaux de classification/de catégorisation, pour l’ensemble des institutions et organes de l’Union, en tenant compte de la transformation numérique et du développement du télétravail en tant que pratique structurelle. •Cohérence avec les dispositions existantes dans le domaine d’action La présente initiative s’inscrit dans un vaste ensemble de politiques de l’Union dans le domaine de la sécurité et de la sécurité de l’information. En 2016, le Parlement européen et le Conseil ont adopté une directive concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union. Cette directive constituait la première mesure législative adoptée au niveau de l’Union afin d’améliorer la coopération entre les États membres en matière de cybersécurité. Si la Commission a adopté, en décembre 2020, une proposition en vue de procéder à une révision de cet instrument, en introduisant des mesures de surveillance destinées aux autorités nationales, l’administration de l’Union ne relève toujours pas de son champ d’application. Dans le même ordre d’idées, et afin de compléter les efforts des États membres dans le domaine de la sécurité, il est capital que les institutions et organes de l’Union assurent un niveau élevé de protection de leurs informations et des systèmes d’information et de communication s’y rapportant, afin de garantir la sécurité de l’information. En juillet 2020, la Commission a adopté la stratégie pour l’union de la sécurité, incluant un engagement global, de la part des États membres, de compléter les efforts des États membres dans tous les domaines relatifs à la sécurité. Cette stratégie porte sur la période 2020-2025 et comporte quatre grands piliers d’action: un environnement de sécurité à l’épreuve du temps, faire face à l’évolution des menaces, protéger l’Europe contre le terrorisme et la criminalité organisée, et un solide écosystème européen de la sécurité. Plusieurs des thèmes abordés dans le cadre de ces piliers sont axés sur la sécurité de l’information, la cybersécurité, la coopération et l’échange d’informations et les infrastructures critiques. Conformément à la stratégie pour l’union de la sécurité, la Commission européenne propose la création d’un ensemble minimal de règles en matière de sécurité de l’information destinées à l’ensemble des institutions et organes de l’Union, qui entraînera l’établissement de normes communes élevées et obligatoires en vue de l’échange sécurisé d’informations. Cette initiative représente l’engagement des institutions et organes d’établir au sein de l’administration européenne le même niveau d’ambition dans le domaine de la sécurité que celui exigé des États membres. Le 16 décembre 2020, la Commission et le haut représentant de l’Union pour les affaires étrangères et la politique de sécurité ont présenté une nouvelle stratégie de cybersécurité de l’UE. Cette stratégie définit des priorités et des actions clés visant à accroître la résilience, l’autonomie, le rôle de chef de file et les capacités opérationnelles de l’Europe face aux menaces complexes et croissantes auxquelles font face ses réseaux et ses systèmes d’information, ainsi qu’à promouvoir un cyberespace ouvert et mondial et les partenariats internationaux noués dans ce cyberespace. Il est tout aussi important que les institutions et organes de l’Union contribuent à la réalisation de ces priorités en définissant des exigences équivalentes tant dans le domaine de la sécurité de l’information que dans le domaine de la cybersécurité.

Cette proposition, associée à la proposition de règlement établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union, vise à compléter le cadre réglementaire de la stratégie pour l’union de la sécurité par des exigences spécifiquement destinées à l’administration européenne. Compte tenu des interconnexions qui existent entre la sécurité de l’information et la cybersécurité, il y a lieu de garantir une approche cohérente de la protection des informations non classifiées entre ces deux propositions. •Cohérence avec les autres politiques de l’Union La présente initiative tient également compte des autres politiques de l’Union pertinentes pour la sécurité de l’information. Dans le domaine de la protection des données, l’instrument concerné, applicable à l’administration de l’Union européenne et de la Communauté européenne de l’énergie atomique («Euratom), est le règlement (UE) 2018/1725 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données. De la même manière, il y a lieu d’indiquer que, pour certaines institutions et certains organes de l’Union, les législateurs de l’Union ont adopté des règles pertinentes spécifiques pour la protection des données à caractère personnel. Dans le domaine de la transparence, la présente proposition s’appuie sur les principes consacrés dans le règlement (CE) nº 1049/2001 relatif à l’accès du public aux documents du Parlement européen, du Conseil et de la Commission en ce qui concerne d’autres règles pertinentes. 2.BASE JURIDIQUE, SUBSIDIARITÉ ET PROPORTIONNALITÉ •Base juridique Eu égard à l’objectif et au contenu de la présente proposition, sa base juridique la plus appropriée est l’article 298 du traité sur le fonctionnement de l’Union européenne (TFUE) et l’article 106 bis du traité instituant la Communauté européenne de l’énergie atomique. L’article 298 du TFUE a été introduit par le traité de Lisbonne et permet aux législateurs d’établir des dispositions afin de créer une administration efficace et indépendante qui soutiendra les institutions, organes et organismes dans l’exercice de leur mission. Une administration efficace et indépendante a besoin que la sécurité de ses informations soit garantie. Pour mener à bien leur mission, les institutions et organes de l’Union doivent disposer d’un environnement sûr pour les informations qu’ils traitent et stockent au quotidien. En outre, fournir un ensemble de normes de base communes obligatoires pour tous garantirait un niveau de sécurité élevé, réduirait le risque de maillons faibles dans le soutien de l’interopérabilité entre les institutions et organes et permettrait de tirer profit de synergies, ce qui améliorerait ainsi la résilience de l’administration face aux menaces en évolution. Par ailleurs, dans le but général de parvenir à un niveau élevé commun de sécurité pour les ICUE et les informations non classifiées traitées et stockées par les institutions et organes de l’Union, la présente proposition permet à l’administration européenne de mieux se protéger contre les ingérences externes et les activités d’espionnage. L’article 298 du TFUE permet à l’Union d’établir des règles communes à l’ensemble de l’administration européenne afin de faire en sorte que l’ensemble des institutions et organes de l’Union traitent de manière similaire les ICUE et les informations non classifiées. Le règlement établit par conséquent des règles applicables à l’administration et ne peut imposer indirectement des obligations qu’aux personnes qui exécutent des tâches au nom de cette administration ou sur une base contractuelle (à l’exception des commissaires, des représentants des États membres agissant au sein du Conseil, des députés du Parlement européen, des juges des tribunaux de l’Union et des membres de la Cour des comptes européenne). Conformément à l’article 298 du TFUE, le Parlement européen et le Conseil statuent par voie de règlements conformément à la procédure législative ordinaire. La présente proposition nécessite une base juridique supplémentaire, étant donné qu’elle couvre également les informations relatives à certaines activités de la Communauté européenne de l’énergie atomique. Ces informations ne sont pas des informations classifiées d’Euratom, mais elles sont traitées par les institutions et organes de l’Union sous le régime général des ICUE. Cette base juridique supplémentaire est l’article 106 bis du traité instituant la Communauté européenne de l’énergie atomique, qui rend l’article 298 du TFUE également applicable aux activités d’Euratom susmentionnées. •Subsidiarité (en cas de compétence non exclusive) Conformément au principe de subsidiarité énoncé à l’article 5, paragraphe 3, du traité sur l’Union européenne, une action au niveau de l’Union ne devrait être entreprise que si les objectifs envisagés ne peuvent pas être réalisés de manière suffisante par les États membres, mais peuvent l’être mieux, en raison des dimensions ou des effets de l’action envisagée, au niveau de l’Union. Étant donné que seule l’Union peut adopter des règles régissant les ICUE et les informations sensibles non classifiées traitées et stockées par les institutions et organes de l’Union, le principe de subsidiarité ne s’applique pas. •Proportionnalité L’établissement d’une base de référence commune à l’ensemble des institutions et organes de l’Union en matière de sécurité de l’information est nécessaire pour favoriser une administration indépendante et efficace.

Conformément au principe de proportionnalité énoncé à l’article 5, paragraphe 4, du TUE, les dispositions du règlement ne sont pas excessivement normatives et laissent une marge pour la définition de différents niveaux d’action spécifique, en fonction du degré de maturité en matière de sécurité de chaque institution ou organe de l’Union. En outre, la solution a une incidence limitée sur les droits fondamentaux des individus. Partant, la proposition n’excède pas ce qui est nécessaire pour répondre au problème de l’absence de socle de règles commun à l’ensemble des institutions et organes de l’Union en matière de sécurité de l’information. •Choix de l’instrument Un règlement fondé sur l’article 298 du TFUE est considéré comme l’instrument juridique approprié. Le choix du règlement en tant qu’instrument juridique se justifie par la prédominance d’éléments qui requièrent une application uniforme ne laissant aucune marge de mise en œuvre aux institutions et organes de l’Union et créant un cadre entièrement horizontal. 3.RÉSULTATS DES ÉVALUATIONS EX POST, DES CONSULTATIONS DES PARTIES INTÉRESSÉES ET DES ANALYSES D’IMPACT •Évaluations ex post/bilans de qualité de la législation existante Sans objet •Consultation des parties intéressées La Commission a mené une vaste consultation des principales parties intéressées sur différents aspects ayant trait aux règles des institutions et organes de l’Union en matière de sécurité de l’information. Le but général de ces activités de consultation était de recueillir des contributions pertinentes pour la préparation d’une initiative législative relative à des règles communes à l’ensemble des institutions et organes de l’Union en matière de sécurité de l’information. Les consultations ont visé à recueillir des contributions sur: •les problèmes liés à l’actuel cadre de sécurité de l’information au sein des institutions et organes de l’Union qui devraient, selon les parties intéressées, être abordés dans l’initiative; •la pertinence, l’efficacité, l’efficience et la valeur ajoutée de l’initiative; •les incidences attendues de l’initiative, ainsi que ses éventuelles autres conséquences pour les parties intéressées. En préparation de la présente proposition législative, la Commission a consulté les catégories suivantes de parties intéressées: 1.institutions, organes et organismes de l’Union; 2.autorités nationales de sécurité des États membres; 3.experts chercheurs du CCR. Compte tenu de la spécificité de la présente initiative, qui s’applique exclusivement aux institutions et organes de l’Union, en n’ayant que très peu d’incidences sur les citoyens et entreprises européens, les services de la Commission ont choisi de recueillir en priorité les points de vue des groupes de parties intéressées concernés. Dès lors, aucune consultation publique n’a été menée spécifiquement pour cette initiative législative. Au cours du processus de consultation, les services de la Commission ont utilisé les méthodes et formes de consultation suivantes: 1.la possibilité pour toutes les parties intéressées de fournir un retour d’informations sur l’analyse d’impact initiale en utilisant la plateforme «Donnez votre avis» de la Commission;

2.un questionnaire ciblé adressé aux experts des institutions et organes de l’Union en matière de sécurité des informations au moyen d’une enquête en ligne de l’UE; 3.un questionnaire ciblé adressé aux autorités nationales de sécurité des États membres au moyen d’une enquête en ligne de l’UE; 4.une demande d’évaluation personnalisée des risques pour les principales ressources de sécurité de l’information, et 5.de nombreuses réunions et de nombreux échanges avec les homologues des institutions, organes et organismes, ainsi qu’avec les autorités nationales de sécurité des États membres. Parmi les principales contributions fournies dans le cadre des activités de consultation, la Commission attire l’attention sur les suivantes: •la fragmentation des cadres juridiques applicables de nos institutions et organes engendre une duplication significative des efforts visant à créer et à maintenir des règles internes, ainsi qu’une non-interopérabilité des pratiques de traitement des informations. Pour les États membres, la diversité de ces règles exacerbe les risques d’incompréhensions, de mauvaises interprétations et de non-conformités; •l’établissement d’une base de référence en matière de sécurité de l’information commune à l’ensemble des institutions et organes de l’Union créerait un écosystème de règles de sécurité standardisées et de bonnes pratiques mises en œuvre; il convient toutefois de tenir compte de la diversité et des différents environnements opérationnels de chaque institution ou organe de l’Union, et l’adoption de solutions locales devrait être autorisée; •la présente initiative doit respecter l’autonomie et les différents niveaux de maturité, en matière de sécurité, des institutions et organes de l’Union, qui resteront entièrement responsables de l’organisation de la sécurité de l’information; •Obtention et utilisation d’expertise La Commission a utilisé ses propres ressources pour procéder à la consultation des parties intéressées. La direction «Sécurité» de la DG HR a effectué le travail connexe relatif aux enquêtes, aux vidéoconférences et autres ateliers. Cette tâche a supposé à la fois la sélection de participants et l’organisation d’événements ainsi que le traitement des contributions reçues. Le Centre commun de recherche (JRC) a réalisé une évaluation des risques pour les principales ressources de sécurité de l’information; cette évaluation a servi de base à l’analyse d’impact. •Analyse d’impact La présente initiative s’adresse exclusivement aux institutions et organes de l’Union et a peu d’incidences sur les États membres et leurs citoyens. Il n’a donc pas été nécessaire de procéder à une analyse d’impact approfondie, étant donné qu’il n’y avait aucune incidence significative ou clairement détectable sur les citoyens et les entreprises. Une feuille de route exhaustive a été publiée sur le site web Europa; celle-ci regroupait les retours d’informations fournis par les parties prenantes concernées. •Réglementation affûtée et simplification Sans objet •Droits fondamentaux L’Union européenne a la volonté de respecter des normes élevées de protection des droits fondamentaux. La présente initiative garantit le plein respect des droits fondamentaux tels que consacrés dans la Charte des droits fondamentaux de l’Union européenne, à savoir: •le droit à une bonne administration En améliorant la sécurité des informations qu’ils traitent dans le cadre de la gestion des affaires des citoyens européens, les institutions et organes de l’Union contribuent à la réalisation du principe de bonne administration; •la protection des données à caractère personnel

Toutes les opérations de traitement de données à caractère personnel réalisées dans le cadre de la présente proposition seraient effectuées dans des environnements de confiance et dans le plein respect du règlement (UE) 2018/1725 du Parlement européen et du Conseil; •le droit d’accès aux documents L’accès du public aux ICUE et aux documents sensibles non classifiés demeure entièrement régi par le règlement (CE) nº 1049/2001 du Parlement européen et du Conseil; •le droit de propriété intellectuelle Lors du traitement et du stockage d’informations non classifiées et d’ICUE, les institutions et organes de l’Union protègent la propriété intellectuelle conformément à la directive 2001/29/CE du Parlement européen et du Conseil; •la liberté d’expression et d’information Si toute personne dispose de la liberté de recevoir et de partager des informations ou des idées sans qu’il puisse y avoir ingérence d’autorités publiques, cela n’empêche pas l’Union d’établir les conditions d’accès, de traitement et de stockage de certains types d’informations, en fonction de leur niveau de confidentialité. L’exercice de ces libertés peut être soumis à des conditions et restrictions prévues par la loi et nécessaires dans une société démocratique, afin d’empêcher la divulgation d’informations confidentielles dans l’intérêt de la sécurité de l’Union. 4.INCIDENCE BUDGÉTAIRE La présente proposition nécessite l’affectation d’un fonctionnaire AD et d’un assistant AST au secrétariat permanent du groupe de coordination assuré par la Commission, au sein de la direction de la sécurité de la direction générale des ressources humaines et de la sécurité. Les institutions et organes devraient réaliser des économies de coûts grâce aux tâches partagées et collaboratives, ainsi qu’en évitant d’éventuels préjudices économiques découlant d’incidents de sécurité grâce aux améliorations de la sécurité de l’information. Par ailleurs, les efforts financiers nécessaires à la mise en œuvre de la nouvelle législation peuvent être couverts dans le cadre des programmes d’amélioration de la sécurité de l’information existant dans chaque institution ou chaque organe de l’Union. 5.AUTRES ÉLÉMENTS •Plans de mise en œuvre et modalités de suivi, d’évaluation et d’information La proposition prévoit l’obligation pour la Commission de rendre compte tous les trois ans au Parlement européen et au Conseil sur la mise en œuvre du règlement, y compris sur le fonctionnement de la gouvernance établie par ce dernier. En outre, tous les cinq ans, la Commission procède à l’évaluation du règlement afin d’apprécier sa performance réelle et, sur cette base, de déterminer si une quelconque modification de la législation est nécessaire. •Explication détaillée de certaines dispositions de la proposition La proposition s’articule autour des exigences à respecter en ce qui concerne le traitement et le stockage des informations non classifiées et des ICUE, qui constituent l’objet principal de l’initiative et dont la protection renforcée représente la finalité sous-tendant l’initiative. Objet et champ d’application (article 1er et article 2) Le règlement est destiné à créer un ensemble minimal de règles en matière de sécurité de l’information applicables à l’ensemble des institutions et organes de l’Union. Il s’applique à toutes les informations traitées et stockées par les institutions et organes de l’Union, y compris celles relatives aux activités de la Communauté européenne de l’énergie atomique, autres que les informations classifiées d’Euratom. Le règlement couvre à la fois les informations non classifiées et les ICUE.

Définitions et principes généraux (articles 3 à 5) Les définitions fournies à l’article 3 sont fondées sur les règles en vigueur en matière de sécurité de l’information adoptées séparément par les institutions et organes de l’Union. Outre les principes généraux de la législation de l’Union, à savoir la transparence, la proportionnalité, l’efficacité et la responsabilité, le règlement établit les principales lignes directrices contraignantes à observer, telles que la mise en œuvre par chaque institution ou organe de l’Union d’un processus séparé de gestion des risques liés à la sécurité de l’information et l’évaluation de leurs informations en vue de les catégoriser correctement. Gouvernance et organisation de la sécurité (articles 6 à 8) L’ensemble des institutions et organes de l’Union coopèrent au sein d’un groupe interinstitutionnel de coordination pour la sécurité de l’information, qui agit par consensus et dans l’intérêt commun des institutions et organes de l’Union. Le groupe de coordination rassemble les autorités de sécurité de l’ensemble des institutions et organes et élabore des documents d’orientation sur la mise en œuvre du règlement. Il échange régulièrement avec les autorités nationales de sécurité des États membres, rassemblées au sein d’un comité de sécurité de l’information. Cinq sous-groupes composés d’experts représentant différentes institutions et différents organes sont créés en vue de rationaliser les procédures et les autres aspects pratiques liés à la sécurité de l’information. Chaque institution ou organe de l’Union est tenu de désigner une autorité de sécurité, responsable de la définition et de la mise en œuvre des politiques internes en matière de sécurité de l’information. L’autorité de sécurité établit des fonctions spécifiques, telles que l’autorité chargée de l’assurance de l’information, l’autorité opérationnelle chargée de l’assurance de l’information, l’autorité d’homologation de sécurité, l’autorité TEMPEST, l’autorité d’agrément cryptographique et l’autorité de distribution cryptographique, qui peuvent être déléguées à une autre institution ou un autre organe pour des raisons d’efficience ou de ressources. Assurance de l’information et systèmes d’information et de communication (articles 9 à 11) Le règlement établit un sous-groupe sur l’assurance de l’information ayant pour objectif d’améliorer la cohérence dans l’ensemble des institutions et organes de l’Union entre les règles relatives à la sécurité de l’information et la base de référence en cybersécurité définie par le règlement établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union. Les institutions et organes de l’Union sont tenus de respecter les principes mentionnés dans ces articles et d’adopter des règles internes séparées pour certaines mesures de sécurité, adaptées à leur propre environnement de sécurité. Informations non classifiées (articles 12 à 17 et annexe I) Le règlement prévoit trois catégories d’informations non classifiées: les informations destinées à un usage public, les informations ordinaires et les informations sensibles non classifiées. Toutes les catégories sont définies, tandis que des marquages et des conditions de traitement sont établis afin de protéger ces informations. Afin de coordonner les travaux sur les équivalences entre les catégories spécifiques établies par certaines institutions et certains organes de l’Union et les catégories communes prévues dans le règlement, la proposition établit un sous-groupe sur les informations non classifiées. ICUE (articles 18 à 58 et annexes II à VI) Ce chapitre, le plus volumineux de la proposition, est divisé en sept sections: dispositions générales, sécurité du personnel, sécurité physique, gestion des ICUE, protection dans les systèmes d’information et de communication, sécurité industrielle et partage d’ICUE et échange d’informations classifiées. La section relative aux dispositions générales prévoit quatre niveaux d’ICUE: TRÈS SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL et RESTREINT UE/EU RESTRICTED. Elle prévoit également l’obligation pour les institutions et organes de l’Union de prendre les mesures de sécurité nécessaires en fonction des résultats d’un processus de gestion des risques liés à la sécurité de l’information. Les sections restantes sont toutes axées sur les normes de protection des ICUE, en fonction de l’aspect spécifique considéré. Les modalités de cette protection des ICUE sont précisées dans les annexes II à V. L’annexe VI fournit le tableau d’équivalence entre les ICUE et les classifications de sécurité des États membres et de la Communauté européenne de l’énergie atomique. Afin de rationaliser les processus pertinents dans ce domaine et d’éviter la duplication des efforts, le règlement établit des sous-groupes sur l’assurance de l’information, sur les informations non classifiées, sur la sécurité physique, sur l’homologation des systèmes d’information et de communication traitant et stockant des ICUE ainsi que sur le partage d’ICUE et l’échange d’informations classifiées. Dispositions finales (articles 59 à 62)

Les dispositions finales assurent la transition entre les règles et procédures actuelles et le nouveau cadre juridique établi par le règlement. Elles concernent les règles internes en matière de sécurité de l’information actuellement applicables dans les institutions et organes de l’Union, la reconnaissance des visites d’évaluation effectuées avant l’entrée en application du règlement, le traitement des arrangements administratifs précédemment conclus et le maintien des cadres de sécurité spécifiques applicables aux conventions de subvention. Le règlement doit entrer en application deux ans après sa date d’entrée en vigueur. 2022/0084 (COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif à la sécurité de l’information dans les institutions, organes et organismes de l’Union LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE, vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 298, vu le traité instituant la Communauté européenne de l’énergie atomique, et notamment son article 106 bis, vu la proposition de la Commission européenne, après transmission du projet d’acte législatif aux parlements nationaux, statuant conformément à la procédure législative ordinaire, considérant ce qui suit: (1)Actuellement, les institutions et organes de l’Union possèdent leurs propres règles en matière de sécurité de l’information, fondées sur leur règlement de procédure ou leur acte fondateur, ou ne disposent d’aucune règle en la matière. Dans ce contexte, chaque institution ou organe de l’Union consacre des efforts conséquents à l’adoption d’approches différentes, ce qui donne lieu à une situation dans laquelle les échanges d’informations ne sont pas toujours fiables. L’absence d’approche commune entrave le déploiement d’outils communs fondés sur un ensemble concerté de règles tenant compte des besoins de sécurité des informations à protéger. (2)Bien que des progrès aient été réalisés en vue d’une plus grande cohérence des règles relatives à la protection des informations classifiées de l’Union européenne («ICUE») et des informations non classifiées, l’interopérabilité des systèmes concernés reste limitée, ce qui empêche un transfert fluide des informations entre les institutions et organes de l’Union. Il convient dès lors d’entreprendre des efforts supplémentaires afin de permettre la mise en œuvre d’une approche interinstitutionnelle du partage d’ICUE et d’informations sensibles non classifiées, incluant des catégories communes d’informations et des principes clés communs pour leur traitement. Une base de référence devrait également être envisagée afin de simplifier les procédures de partage d’ICUE et d’informations sensibles non classifiées entre les institutions et organes de l’Union et avec les États membres. (3)Il convient par conséquent d’établir des règles pertinentes assurant un niveau commun de sécurité de l’information dans l’ensemble des institutions et organes de l’Union. Ces règles devraient constituer un cadre général exhaustif et cohérent pour la protection des ICUE et des informations non classifiées, et devraient assurer une équivalence des principes de base et des normes minimales. (4)La récente pandémie a modifié de manière significative les pratiques de travail, les outils de communication à distance devenant la règle. En conséquence, de nombreuses procédures qui étaient encore au moins partiellement exécutées sur papier ont été rapidement adaptées afin de permettre le traitement et les échanges électroniques d’informations. Ces évolutions rendent nécessaires des modifications du traitement et de la protection des informations. Le présent règlement tient compte des nouvelles pratiques de travail. (5)En créant un niveau minimal commun de protection pour les ICUE et les informations non classifiées, le présent règlement contribue à garantir que les institutions et organes de l’Union disposent du soutien d’une administration efficace et indépendante dans l’exercice de leurs missions. Parallèlement, chaque institution ou organe de l’Union conserve son autonomie pour déterminer les modalités de mise en œuvre des règles énoncées dans le présent règlement, en fonction de ses propres besoins de sécurité. Le présent règlement n’empêche en aucun cas les institutions et organes de l’Union de remplir la mission qui leur est confiée par la législation de l’Union, ni ne porte atteinte à leur autonomie institutionnelle. (6)Le présent règlement est sans préjudice du règlement (Euratom) nº 3/1958, du règlement nº 31 (C.E.E), 11 (C.E.E.A.) fixant le statut des fonctionnaires et le régime applicable aux autres agents de la Communauté économique européenne et de la Communauté européenne de l’énergie atomique, du règlement (CE) nº 1049/2001 du Parlement européen et du Conseil, du règlement (UE) 2018/1725 du Parlement européen et du Conseil, du règlement (CEE, Euratom) nº 354/83 du Conseil, du règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil, du règlement (UE) 2021/697 du Parlement européen et du Conseil et du règlement (UE) […] du Parlement européen et du Conseil établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union. (7)Afin de préserver les spécificités des activités de la Communauté européenne de l’énergie atomique régies par le règlement nº 3/1958 du Conseil de la Communauté européenne de l’énergie atomique, le présent règlement ne devrait pas s’appliquer aux informations classifiées d’Euratom. Toutefois, l’ensemble des informations relatives aux autres activités d’Euratom non couvertes par le règlement nº 3/1958 devraient relever du champ d’application du présent règlement.

(8)Afin d’établir une structure formelle de coopération entre les institutions et organes de l’Union dans le domaine de la sécurité de l’information, il est nécessaire de créer un groupe interinstitutionnel de coordination (ci-après le «groupe de coordination») dans lequel seront représentées les autorités de sécurité de l’ensemble des institutions et organes de l’Union. Sans disposer de pouvoirs décisionnels, le groupe de coordination devrait améliorer la cohérence des politiques dans le domaine de la sécurité de l’information et devrait contribuer à l’harmonisation des procédures et outils de sécurité de l’information dans l’ensemble des institutions et organes de l’Union. (9)Les travaux du groupe de coordination doivent être soutenus par des experts de différents domaines de la sécurité de l’information: catégorisation et marquage, systèmes d’information et de communication, homologation, sécurité physique, partage d’ICUE et échange d’informations classifiées. Afin d’éviter la duplication des efforts entre les institutions et organes de l’Union, des sous-groupes thématiques devraient être créés. En outre, au besoin, le groupe de coordination devrait être en mesure de créer d’autres sous-groupes chargés de tâches spécifiques. (10)Le groupe de coordination devrait coopérer étroitement avec les autorités nationales de sécurité des États membres afin d’améliorer la sécurité de l’information dans l’Union. Un comité de sécurité de l’information des États membres devrait dès lors être créé afin de fournir des conseils au groupe de coordination. (11)Si les organes communs représentant l’ensemble des institutions et organes de l’Union sont créés conformément au principe de coopération, chaque institution ou organe devrait conserver l’entière responsabilité de la sécurité de l’information au sein de son organisation. Chaque institution ou organe de l’Union devrait disposer d’une autorité de sécurité et, le cas échéant, d’autres autorités investies de responsabilités spécifiques en matière de sécurité de l’information. (12)Le principe de gestion des risques liés à la sécurité de l’information devrait être au cœur de la politique à élaborer par chaque institution ou organe de l’Union dans ce domaine. Si les exigences minimales établies dans le présent règlement doivent être remplies, chaque institution ou organe de l’Union devrait adopter des mesures de sécurité spécifiques pour la protection des informations en fonction des résultats d’une évaluation interne des risques. De la même manière, les moyens techniques mis en œuvre pour protéger les informations devraient être adaptés à la situation spécifique de chaque institution ou organe. (13)Compte tenu de la diversité des catégories d’informations non classifiées que les institutions et organes de l’Union ont définies sur la base de leurs propres règles en matière de sécurité de l’information et afin d’éviter des retards dans la mise en œuvre du présent règlement, les institutions et organes de l’Union devraient pouvoir conserver leur propre système de marquage pour leurs besoins internes ou pour échanger des informations avec leurs homologues spécifiques d’autres institutions et organes ou des États membres. (14)Afin de s’adapter aux nouvelles pratiques de télétravail, les réseaux utilisés pour se connecter aux services d’accès à distance des institutions et organes de l’Union devraient être protégés par des mesures de sécurité adéquates. (15)Les institutions et organes de l’Union ayant fréquemment recours à des contractants et à l’externalisation, il est important d’établir des dispositions communes pour le personnel des contractants exécutant des tâches en rapport avec la sécurité de l’information. (16)Les règles matérielles figurant dans les règlements intérieurs de différentes institutions et différents organes de l’Union concernant l’accès aux ICUE sont actuellement alignées, mais elles présentent des différences significatives en ce qui concerne les dénominations et les procédures exigées. Cela crée une charge pour les autorités nationales de sécurité des États membres, qui doivent s’adapter aux différentes exigences. Il est donc nécessaire de prévoir un glossaire commun et des procédures communes dans le domaine de la sécurité du personnel, ce qui simplifiera la coopération avec les autorités nationales de sécurité des États membres et limitera le risque de compromission d’ICUE. (17)Compte tenu de la disparité des ressources entre les institutions et organes de l’Union, et afin de rationaliser leurs procédures et pratiques pertinentes, les tâches d’habilitation de sécurité peuvent être confiées à la Commission afin d’assurer la continuité d’une pratique ancienne dans le domaine des habilitations de sécurité et de contribuer à la centralisation des tâches assignées à chaque autorité de sécurité. (18)La protection des ICUE est également assurée par des mesures techniques et organisationnelles applicables aux locaux, aux bâtiments, aux salles, aux bureaux ou aux établissements des institutions et organes de l’Union dans lesquels des ICUE sont discutées, traitées ou stockées. Le présent règlement prévoit la mise en œuvre d’un processus de gestion de la sécurité de l’information dans le domaine de la sécurité physique qui permettrait aux institutions et organes de l’Union de sélectionner les mesures de sécurité appropriées pour leurs sites. (19)L’ensemble des institutions et organes de l’Union qui traitent et stockent des ICUE devraient créer des zones physiquement protégées sur leurs sites, afin de garantir le même niveau de protection pour les catégories pertinentes d’ICUE qui y sont traitées et stockées. Ces zones devraient être désignées comme zones administratives et zones sécurisées et respecter des normes minimales communes pour la protection des ICUE. (20)Le contrôle de l’autorité d’origine est un principe important de la gestion des ICUE; il doit donc être clairement énoncé et mis en œuvre. À cet égard, la création d’ICUE confère à l’autorité d’origine une responsabilité qui devrait couvrir l’ensemble du cycle de vie du document ICUE concerné. (21)Les institutions et organes de l’Union ont toujours élaboré leurs systèmes d’information et de communication de manière autonome, sans accorder une attention suffisante à l’interopérabilité de ces systèmes dans l’ensemble des institutions et organes de l’Union. Il est donc nécessaire de définir des exigences minimales de sécurité concernant les systèmes d’information et de communication (SIC) traitant et stockant à la fois des ICUE et des informations non classifiées dans le but de garantir un échange fluide d’informations avec les parties prenantes concernées. (22)Afin de parvenir à une norme unique pour l’homologation des SIC qui traitent et stockent des ICUE, les institutions et organes de l’Union devraient travailler ensemble au sein d’un groupe créé à cet effet. Il est recommandé que l’ensemble des institutions et organes utilisent cette norme afin de contribuer à un niveau général de protection des ICUE. Toutefois, en ce qui concerne l’autonomie organisationnelle, la décision reste du ressort de l’autorité compétente de chaque institution ou organe. (23)L’ensemble des institutions et organes de l’Union devraient suivre les mêmes procédures et appliquer les mêmes mesures au moment d’octroyer et d’exécuter des contrats classifiés ou des conventions de subvention classifiées. Il est donc nécessaire de préciser clairement à la fois les éléments obligatoires et les éléments facultatifs des contrats classifiés ou des conventions de subvention classifiées. Toutefois, les mesures adoptées pour la protection des ICUE dans le cadre des contrats classifiés ou des conventions de subvention classifiées devraient tenir compte des règles déjà élaborées séparément dans ce domaine par les institutions et organes de l’Union en collaboration avec les États membres. (24)La coopération étroite entre les institutions et organes de l’Union, ainsi que la multitude de synergies créées entre eux, suppose le partage d’une grande quantité d’informations. Dans l’intérêt de la sécurité des informations classifiées, il y a lieu d’évaluer la fiabilité d’une institution ou d’un organe de l’Union avant que cette institution ou cet organe traite et stocke un niveau donné d’ICUE. (25)En outre, le partage d’ICUE entre les institutions et organes de l’Union et l’échange d’informations classifiées avec des organisations internationales et des pays tiers devraient également être régis par des mesures de sécurité appropriées afin de garantir la protection de ces informations. Lorsque des accords en matière de sécurité de l’information sont envisagés, les dispositions de l’article 218 du traité devraient s’appliquer. (26)Les accords en matière de sécurité de l’information sont censés établir le cadre juridique global de l’échange d’informations classifiées de l’Union avec les pays tiers et les organisations internationales; il est également nécessaire de prévoir la possibilité pour les institutions et organes de l’Union de conclure des arrangements administratifs avec un homologue donné d’un pays tiers ou d’une organisation internationale aux fins de l’échange d’ICUE. (27)Le présent règlement établit un cadre commun à l’ensemble des institutions et organes de l’Union. Afin d’éviter d’imposer une charge administrative excessive aux institutions et organes de l’Union au moment d’adapter leurs règles de sécurité internes aux règles établies dans le présent règlement, ce dernier devrait entrer en application dans les deux ans suivant son entrée en vigueur.

(28)Conformément aux points 22 et 23 de l’accord interinstitutionnel du 13 avril 2016 «Mieux légiférer», la Commission devrait évaluer le présent règlement afin d’examiner ses effets concrets et la nécessité d’une action supplémentaire. La Commission devrait présenter au Parlement européen et au Conseil un rapport sur la mise en œuvre du présent règlement au plus tard trois ans à partir de sa date d’application. (29)Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42 du règlement (UE) 2018/1725 du Parlement européen et du Conseil et a rendu un avis le […], ONT ADOPTÉ LE PRÉSENT RÈGLEMENT: Chapitre 1

Dispositions générales Article premier Objet 1.Le présent règlement établit des règles en matière de sécurité de l’information destinées à l’ensemble des institutions et organes de l’Union. Article 2 Champ d’application 1.Le présent règlement s’applique à toutes les informations traitées et stockées par les institutions et organes de l’Union, y compris celles relatives aux activités de la Communauté européenne de l’énergie atomique, autres que les informations classifiées d’Euratom. 2.Il s’applique aux niveaux de confidentialité de l’information suivants: a)trois niveaux d’informations non classifiées: usage public, ordinaire et sensible non classifié; b)quatre niveaux d’informations classifiées de l’UE: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRÈS SECRET UE/EU TOP SECRET. 3.Ces niveaux sont définis en fonction du préjudice qu’une divulgation non autorisée pourrait causer aux intérêts publics et privés légitimes, y compris ceux de l’Union, des institutions et organes de l’Union, des États membres ou d’autres parties prenantes concernées, afin que des mesures de protection appropriées puissent être mises en œuvre. Article 3 Définitions Aux fins du présent règlement, on entend par: a)«information»: toute donnée orale, visuelle, électronique, magnétique ou physique, ou qui se présente sous la forme de matériel, d’équipement ou de technologie, y compris les reproductions, les traductions et le matériel en cours de développement; b)«sécurité de l’information»: le fait de garantir l’authenticité, la disponibilité, la confidentialité, l’intégrité et la non-répudiation des informations; c)«traitement» d’informations: l’ensemble des actions dont les informations sont susceptibles de faire l’objet tout au long de leur cycle de vie. Sont ainsi visés la création, la collecte, l’enregistrement et l’attribution d’un niveau de confidentialité à ces informations, ainsi que leur traitement, leur affichage, leur consultation, leur transport, leur transmission, leur déclassement, leur déclassification, leur archivage et leur destruction;

d)«stockage»: le fait de conserver des informations sur tout type de support afin d’en assurer la disponibilité pour un usage ultérieur; e)«institutions et organes de l’Union»: les institutions, organes et organismes de l’Union créés par le traité sur l’Union européenne, le traité sur le fonctionnement de l’Union européenne, le traité instituant la Communauté européenne de l’énergie atomique ou un acte législatif, ou en vertu de ces actes; f)«informations classifiées d’Euratom»: les informations au sens du règlement nº 3/1958 du Conseil de la Communauté européenne de l’énergie atomique; g)«autorité de sécurité»: la fonction de sécurité de chaque institution ou organe de l’Union, désignée conformément au règlement intérieur ou à l’acte fondateur de l’institution ou organe concerné; h)«processus de gestion des risques liés à la sécurité de l’information»: l’ensemble de la procédure consistant à identifier, contrôler et limiter les événements aléatoires susceptibles d’avoir des répercussions sur la sécurité d’une organisation ou des systèmes qu’elle utilise. La procédure couvre l’ensemble des activités liées aux risques, y compris l’évaluation, le traitement, l’acceptation et la communication; i)«ressource»: tout ce qui présente de l’utilité pour une institution ou un organe de l’Union, ses activités et la continuité de celles-ci, y compris les ressources en matière d’information dont l’institution ou l’organe a besoin pour s’acquitter de sa mission; j)«procédures d’exploitation de sécurité»: un ensemble de procédures documentées, telles que visées à l’annexe III, destinées à l’exploitation d’une zone sécurisée, d’un système d’information et de communication ou d’une autre ressource ou d’un autre service lié à la sécurité afin d’en assurer l’efficacité; k)«système d’information et de communication» ou «SIC»: tout système permettant le traitement et le stockage d’informations sous forme électronique, avec l’ensemble des moyens nécessaires pour le faire fonctionner; l)«assurance de l’information»: la certitude que les systèmes d’information et de communication protégeront les informations traitées et stockées et fonctionneront comme ils le doivent, quand ils le doivent, sous le contrôle d’utilisateurs légitimes, tout en assurant des niveaux appropriés d’authenticité, de disponibilité, de confidentialité, d’intégrité et de non-répudiation; m)«homologation»: l’agrément formel, par l’autorité d’homologation de sécurité, d’un système d’information et de communication pour traiter un niveau prédéfini d’ICUE ou d’une zone sécurisée pour stocker un niveau prédéfini d’ICUE; n)«processus d’homologation»: les étapes et tâches requises avant l’homologation; o)«mesures de sécurité TEMPEST»: les mesures destinées à protéger tout SIC traitant et stockant des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification plus élevé contre la compromission de ces informations par des émissions électromagnétiques non intentionnelles; p)«CERT-EU»: le Centre de cybersécurité pour les institutions et organes de l’Union au sens du règlement (UE) […] du Parlement européen et du Conseil établissant des mesures destinées à assurer un niveau élevé de cybersécurité dans les institutions, organes et organismes de l’Union; q)«incident de sécurité de l’information»: tout événement susceptible de compromettre l’authenticité, la disponibilité, la confidentialité, l’intégrité ou la non-répudiation des informations stockées, transmises ou traitées; r)«besoin d’en connaître»: la nécessité pour une personne d’accéder à certaines informations traitées ou stockées par une institution ou un organe de l’Union afin d’exécuter les tâches de l’institution ou de l’organe de l’Union en question; s)«confiance zéro»: un modèle de sécurité, un ensemble de principes de conception de systèmes et une stratégie coordonnée de gestion des systèmes et de la cybersécurité fondés sur la reconnaissance de l’existence de menaces à l’intérieur et à l’extérieur des limites des réseaux traditionnels; t)«timbre»: une étiquette apposée sur les informations afin de veiller à ce que des mesures de sécurité appropriées soient appliquées; u)«timbre de sécurité»: un timbre indiquant le niveau de confidentialité des informations; v)«timbre de diffusion»: un timbre indiquant les destinataires prévus des informations au sein de l’institution ou de l’organe de l’Union d’origine; w)«timbre d’autorisation de divulgation»: un timbre indiquant les destinataires autorisés en dehors de l’institution ou de l’organe de l’Union d’origine;

x)«propriétaire de système»: la personne chargée de l’ensemble des procédures d’acquisition, de développement, d’intégration, de modification, d’exploitation, de maintenance et de démantèlement d’un système d’information et de communication; y)«menace pour la sécurité de l’information»: tout événement ou agent raisonnablement susceptible de nuire à la sécurité de l’information s’il ne fait pas l’objet d’une riposte et d’un contrôle; z)«vulnérabilité»: une faille, une susceptibilité ou un défaut d’un actif, d’un système, d’un processus ou d’un contrôle qui peuvent être exploités par une ou plusieurs menaces; aa)«risque»: l’effet préjudiciable potentiel d’une menace donnée, susceptible d’exploiter les vulnérabilités internes et externes d’une institution ou d’un organe de l’Union ou des systèmes que celle-ci ou celui-ci utilise, en portant ainsi préjudice aux intérêts publics et privés légitimes, mesuré en tenant compte à la fois de la probabilité de voir se concrétiser des menaces et de l’incidence de celles-ci; ab)«risque résiduel»: le risque qui subsiste après la mise en œuvre des mesures de sécurité; ac)«évaluation des risques»: le fait de déterminer les menaces et les vulnérabilités et de procéder à l’analyse des risques correspondants, c’est-à-dire d’examiner leur probabilité et leur impact; ad)«traitement des risques»: le fait d’atténuer, d’éliminer, de réduire (par un ensemble approprié de mesures sur le plan technique, physique ou au niveau de l’organisation ou des procédures), de transférer ou de surveiller les risques; ae)«certificat de cybersécurité européen»: un certificat au sens de l’article 2, paragraphe 11, du règlement (UE) 2019/881; af)«détenteur»: une personne dûment autorisée qui, sur la base d’un besoin d’en connaître avéré, est en possession d’un élément d’ICUE et à laquelle il incombe par conséquent d’en assurer la protection; ag)«matériel»: tout document, support de données ou élément de machine ou d’équipement, déjà fabriqué ou en cours de fabrication; ah)«informations classifiées de l’Union européenne» ou «ICUE»: toute information ou tout matériel identifié comme tel par la classification de sécurité de l’Union européenne, dont la divulgation non autorisée pourrait porter atteinte à des degrés divers aux intérêts de l’Union, ou à ceux d’un ou de plusieurs de ses États membres; ai)«autorisation d’accès aux ICUE»: une décision d’une autorité de sécurité attestant qu’un fonctionnaire ou un autre agent d’une institution ou d’un organe de l’Union ou un expert national détaché auprès d’une institution ou d’un organe de l’Union peut être autorisé à avoir accès aux ICUE jusqu’à un niveau de classification donné et pendant une période donnée; aj)«autorité nationale de sécurité», ou «ANS»: une autorité gouvernementale d’un État membre responsable en dernier ressort de la sécurité des informations classifiées dans cet État membre; ak)«autorité de sécurité désignée», ou «ASD»: l’autorité d’un État membre (l’ANS ou toute autre autorité compétente) chargée de fournir des orientations et une aide pour la mise en œuvre de la sécurité industrielle et/ou des procédures d’habilitation; al)«enquête de sécurité»: les procédures d’enquête menées par l’autorité compétente d’un État membre, dans le respect de ses dispositions législatives et réglementaires nationales, en vue d’obtenir l’assurance qu’il n’existe pas de renseignements défavorables de nature à empêcher une personne d’obtenir une habilitation de sécurité jusqu’à un niveau déterminé (CONFIDENTIEL UE/EU CONFIDENTIAL ou supérieur); am)«sécurité physique»: l’application de mesures physiques, techniques et organisationnelles aux locaux, aux bâtiments, aux salles, aux bureaux et aux établissements d’une institution ou d’un organe de l’Union nécessitant une protection contre les accès non autorisés aux informations qui y sont traitées, stockées ou discutées; an)«sites»: les locaux, les bâtiments, les salles, les bureaux et les établissements d’une institution ou d’un organe de l’Union; ao)«défense en profondeur»: un type de sécurité consistant à utiliser plusieurs niveaux indépendants de contrôles de sécurité de manière à ce qu’en cas d’échec de l’un d’entre eux, un autre soit opérationnel; ap)«matériel cryptographique»: les algorithmes cryptographiques, les modules matériels et logiciels cryptographiques, et les produits comprenant les modalités de mise en œuvre et la documentation y relative, ainsi que les éléments de mise à la clé; aq)«produit cryptographique»: un produit dont la fonction première et principale est la fourniture de services de sécurité (authenticité, disponibilité, confidentialité, intégrité et non-répudiation) par l’intermédiaire d’un ou de plusieurs mécanismes cryptographiques;

ar)«autorité d’origine»: l’institution ou l’organe de l’Union, l’État membre, le pays tiers ou l’organisation internationale sous l’autorité duquel/de laquelle les informations classifiées ont été créées ou introduites dans les structures de l’Union; as)«document»: tout contenu, quel que soit son support (papier, électronique; magnétique ou autre), sous forme écrite ou sous forme d’enregistrement visuel ou audiovisuel; at)«enregistrement à des fins de sécurité»: l’application de procédures permettant de garder la trace du cycle de vie d’un matériel, y compris de sa diffusion et de sa destruction; au)«déclassification»: la suppression de toute classification de sécurité; av)«déclassement»: le passage à un niveau de classification de sécurité inférieur; aw)«contrat classifié»: un contrat-cadre ou un contrat, tel que défini dans le règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil, conclu par une institution ou un organe de l’Union avec un contractant en vue de la fourniture de biens meubles ou immeubles, de la réalisation de travaux ou de la prestation de services, dont l’exécution requiert ou implique le traitement, y compris la création, ou le stockage d’ICUE; ax)«convention de subvention classifiée»: une convention aux termes de laquelle une institution ou un organe de l’Union octroie une subvention, telle que définie dans le titre VIII du règlement (UE, Euratom) 2018/1046, et dont l’exécution nécessite ou implique le traitement, y compris la création, ou le stockage d’ICUE; ay)«contrat de sous-traitance classifié»: un contrat conclu par un contractant ou un bénéficiaire d’une institution ou d’un organe de l’Union avec un sous-traitant en vue de la fourniture de biens meubles ou immeubles, de la réalisation de travaux ou de la prestation de services, dont l’exécution nécessite ou implique le traitement, y compris la création, ou le stockage d’ICUE; az)«instructions de sécurité relatives à un programme/un projet», ou «ISP»: une liste des procédures de sécurité appliquées à un programme ou à un projet spécifique en vue d’uniformiser ces procédures; ba)«annexe de sécurité», ou «AS»: un ensemble de conditions contractuelles spéciales, établi par l’autorité contractante ou octroyant la subvention, qui fait partie intégrante de tout contrat classifié ou de toute convention de subvention classifiée impliquant l’accès à des ICUE ou la création de telles informations, dans lequel sont définis les conditions de sécurité et les éléments du contrat ou de la subvention qui doivent être protégés pour des raisons de sécurité; bb)«guide de la classification de sécurité», ou «GCS»: un document qui décrit les éléments d’un programme, d’un projet, d’un contrat ou d’une convention de subvention qui sont classifiés, et précise les niveaux de classification de sécurité applicables. Article 4 Principes généraux 1.Chaque institution ou organe de l’Union est responsable de la mise en œuvre des dispositions du présent règlement au sein de son organisation et tient compte à cet égard de son propre processus de gestion des risques liés à la sécurité de l’information. 2. Le non-respect du présent règlement, en particulier la divulgation non autorisée d’informations présentant les niveaux de confidentialité visés à l’article 2, paragraphe 2, à l’exception des informations destinées à un usage public, donne lieu à une enquête et peut engager la responsabilité du personnel conformément aux dispositions des traités ou aux règles applicables au personnel correspondantes. 3.Les institutions et organes de l’Union évaluent toutes les informations qu’ils traitent et stockent afin de les catégoriser conformément aux niveaux de confidentialité visés à l’article 2, paragraphe 2. 4.Les institutions et organes de l’Union déterminent les besoins de sécurité de toutes les informations qu’ils traitent et stockent en tenant compte des aspects suivants: a)l’authenticité: la garantie que l’information est véridique et émane de sources dignes de foi; b)la disponibilité: le fait que l’information est accessible et utilisable, à la demande d’une entité autorisée; c)la confidentialité: la non-divulgation des informations à des personnes, à des entités ou à des processus non autorisés;

d)l’intégrité: le fait que les informations sont complètes et que le caractère complet des informations est préservé; e)la non-répudiation: la possibilité de prouver qu’une action ou qu’un événement a eu lieu, de sorte que cette action ou cet événement ne peut être contesté par la suite; 5.Pour chaque système d’information et de communication placé sous leur responsabilité, les institutions et organes de l’Union déterminent le niveau de confidentialité le plus élevé que ce système peut traiter et stocker, procèdent à une évaluation des risques pour la sécurité de l’information et assurent un suivi régulier des besoins de sécurité et de la mise en œuvre adéquate des mesures de protection définies. 6.L’ensemble des institutions et organes de l’Union fournissent des activités de formation et de sensibilisation sur la manière dont les informations non classifiées et les ICUE doivent être traitées et stockées. Les institutions et organes de l’Union qui traitent et stockent des ICUE organisent au moins une fois tous les cinq ans une formation obligatoire pour l’ensemble des personnes autorisées à accéder à des ICUE. Les institutions et organes de l’Union concernés organisent une formation spécifique pour les fonctions spécifiques investies de tâches liées à la sécurité de l’information. Les institutions et organes de l’Union peuvent coordonner ces activités de formation et de sensibilisation avec d’autres institutions et organes de l’Union. Article 5 Processus de gestion des risques liés à la sécurité de l’information 1.Chaque institution ou organe de l’Union établit un processus de gestion des risques liés à la sécurité de l’information pour la protection des informations qu’il traite et stocke. 2.Le processus de gestion des risques liés à la sécurité de l’information comporte les étapes suivantes: a)détection des menaces et vulnérabilités; b)évaluation des risques; c)traitement des risques; d)acceptation des risques; e)communication sur les risques. 3.Le processus de gestion des risques liés à la sécurité de l’information tient compte de tous les facteurs pertinents pour l’institution ou l’organe concernés, et notamment: a)du niveau de confidentialité des informations et des obligations juridiques s’y rapportant; b)de la forme et de la quantité des informations et des établissements ou SIC où les informations sont traitées et stockées; c)des personnes accédant aux informations sur site ou à distance; d)de l’environnement et de la structure des bâtiments ou des zones où sont stockées les informations;

e)des menaces que les cyberattaques, les attaques de la chaîne d’approvisionnement, l’espionnage, les actes de sabotage, le terrorisme et les activités subversives ou autres activités criminelles constituent pour l’Union, les institutions et organes de l’Union ou les États membres; f)de la continuité des activités et du rétablissement après sinistre; g)des résultats des inspections, audits ou visites d’évaluation, le cas échéant. Chapitre 2

Gouvernance et organisation de la sécurité Article 6 Groupe interinstitutionnel de coordination pour la sécurité de l’information 1.Un groupe interinstitutionnel de coordination pour la sécurité de l’information (ci-après le «groupe de coordination») est institué. Ce groupe est composé de l’ensemble des autorités de sécurité des institutions et organes de l’Union. Il a pour mission de définir la politique commune de ces institutions et organes dans le domaine de la sécurité de l’information. 2.Agissant d’un commun accord et dans l’intérêt commun de l’ensemble des institutions et organes de l’Union, le groupe de coordination: a)adopte son règlement intérieur et ses objectifs et priorités annuels communs; b)adopte des décisions sur la création de sous-groupes thématiques et leur mandat; c)rédige des documents d’orientation sur la mise en œuvre du présent règlement, en coopération avec le conseil interinstitutionnel de cybersécurité visé à l’article 9 du règlement (UE) […] établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union, le cas échéant; d)crée des plateformes destinées spécifiquement au partage de bonnes pratiques et de connaissances sur les thèmes communs pertinents pour la sécurité de l’information ainsi qu’à la fourniture d’une assistance en cas d’incidents de sécurité de l’information; e)veille à ce que les mesures de sécurité soient coordonnées, au besoin, avec les autorités nationales de sécurité compétentes aux fins de la protection des ICUE. 3.Le groupe de coordination désigne un président et deux vice-présidents parmi ses membres, pour une période de trois ans. 4.Le groupe de coordination se réunit au moins une fois par an à l’initiative de son président ou sur demande d’une institution ou d’un organe de l’Union. 5.Le groupe de coordination dispose du soutien administratif d’un secrétariat permanent assuré par la Commission. 6.Chaque institution ou organe de l’Union est dûment représenté au sein du groupe de coordination et, le cas échéant, des sous-groupes thématiques. 7.Les institutions et organes de l’Union informent le groupe de coordination de toute évolution politique significative, au sein de leur organisation, concernant la sécurité de l’information. 8.Dans l’exécution des tâches visées au paragraphe 2, point e), le groupe de coordination est assisté d’un comité de sécurité de l’information. Ce comité est composé d’un représentant de chaque autorité nationale de sécurité et présidé par le secrétariat du groupe de coordination, visé au paragraphe 5. Le comité de sécurité de l’information joue un rôle consultatif.

Article 7 Sous-groupes thématiques 1.Le groupe de coordination crée les sous-groupes thématiques permanents suivants afin de faciliter la mise en œuvre du présent règlement: a)un sous-groupe sur l’assurance de l’information; b)un sous-groupe sur les informations non classifiées; c)un sous-groupe sur la sécurité physique; d)un sous-groupe sur l’homologation des systèmes d’information et de communication traitant et stockant des ICUE; e)un sous-groupe sur le partage d’ICUE et l’échange d’informations classifiées. 2.Le cas échéant, le groupe de coordination peut créer des sous-groupes ad hoc investis d’une tâche spécifique et pour une durée limitée. 3.Sauf disposition contraire dans leur mandat, l’adhésion aux sous-groupes est ouverte à tous les représentants de l’institution ou de l’organe de l’Union concerné. Les membres des sous-groupes sont des experts du domaine de compétence concerné. 4.Le secrétariat du groupe de coordination, visé à l’article 5, paragraphe 5, soutient les travaux de tous les sous-groupes et assure la communication entre ses membres. Article 8 ORGANISATION DE LA SÉCURITÉ 1.Chaque institution ou organe de l’Union désigne une autorité de sécurité assumant les responsabilités énoncées dans le présent règlement et, le cas échéant, dans ses propres règles de sécurité internes. Dans l’exécution de ses tâches, chaque autorité de sécurité dispose du soutien du service ou de l’agent chargé des tâches liées à la sécurité de l’information. 2.Au besoin, l’autorité de sécurité de chaque institution ou organe de l’Union adopte des modalités d’exécution internes pour la protection des informations, en fonction de la mission spécifique attribuée à cette institution ou à cet organe par le droit de l’Union, et sur la base de son autonomie institutionnelle. 3.S’il y a lieu, chaque autorité de sécurité exerce les fonctions suivantes: a)l'autorité chargée de l’assurance de l’information définit les politiques et les lignes directrices de sécurité en matière d’assurance de l’information, et en surveille l’efficacité et la pertinence; b)l'autorité opérationnelle chargée de l’assurance de l’information est responsable de l’élaboration des documents relatifs à la sécurité, en particulier des procédures d’exploitation de sécurité et du volet cryptographique du processus d’homologation des systèmes d’information et de communication; c)l'autorité d’homologation de sécurité est responsable de l’homologation des zones sécurisées et des SIC traitant et stockant des ICUE; d)l'autorité TEMPEST est responsable de l’approbation des mesures adoptées afin d’assurer la protection contre la compromission des ICUE par des émissions électromagnétiques non intentionnelles;

e)l'autorité d’agrément cryptographique est responsable de l’approbation de l’utilisation de technologies de chiffrement sur demande du propriétaire du système; f)l'autorité de distribution cryptographique est responsable de la distribution du matériel cryptographique utilisé pour protéger les ICUE (matériels de chiffrement, clés cryptographiques, certificats et authentificateurs connexes) aux utilisateurs concernés. 4.Les responsabilités relatives à une ou plusieurs des fonctions visées au paragraphe 3 peuvent être déléguées à une autre institution ou à un autre organe de l’Union dès lors qu’une organisation décentralisée de la sécurité offre un gain d’efficacité, de temps et de ressources significatif. Chapitre 3

Assurance de l’information et systèmes d’information et de communication (SIC) Article 9 Principes d’assurance de l’information 1.L’évaluation des besoins en matière de sécurité de l’information est prise en considération dès le début de la création de tous les SIC, y compris les SIC internes, externalisés et hybrides, ou au stade de la passation de marchés. 2.Tout SIC traitant et stockant des ICUE est homologué conformément au chapitre 5, section 5. Tout SIC traitant et stockant des informations sensibles non classifiées respecte les exigences minimales relatives aux informations sensibles non classifiées dans les SIC énoncées au chapitre 4. Article 10 Sous-groupe sur l’assurance de l’information 1.Le sous-groupe sur l’assurance de l’information visé à l’article 7, paragraphe 1, point a), assume les rôles et responsabilités suivants: a)fournir des orientations et des bonnes pratiques concernant le marquage, le traitement et le stockage d’informations dans les SIC, en étroite coopération avec le conseil interinstitutionnel de cybersécurité visé à l’article 9 du règlement (UE) [XXX] établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union; b)établir un système de métadonnées pour les marquages et toutes les informations techniques nécessaires pour contribuer à un échange d’informations fluide et interopérable entre les institutions et organes de l’Union, lors de l’interconnexion de leurs SIC respectifs; c)favoriser la cohérence, dans l’ensemble des institutions et organes de l’Union, entre les règles relatives à la sécurité de l’information et la base de référence en cybersécurité, visée à l’article 5 du règlement (UE) [XXX] établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union. Article 11 Exigences applicables aux systèmes d’information et de communication 1.Les institutions et organes de l’Union informent les utilisateurs des niveaux de confidentialité des informations pouvant être traitées et stockées dans un SIC. Lorsqu’un SIC traite et stocke des informations de plusieurs niveaux de confidentialité, des métadonnées et des marquages visuels sont utilisés pour qu'il soit possible de distinguer ces différents niveaux. 2.Les institutions et organes de l’Union procèdent à l’identification des utilisateurs de SIC avant de leur accorder l’accès à un niveau de confidentialité autre que celui des informations destinées à un usage public. Les utilisateurs sont authentifiés à un niveau d’assurance approprié par rapport au niveau de confidentialité. Le cas échéant, un système d’identification sécurisé commun est utilisé. 3.Des journaux de sécurité adéquats sont tenus pour l’ensemble des SIC afin de garantir des enquêtes rapides en cas de manquement aux exigences ou de fuite d’informations. Ces journaux sont tenus pendant une période établie dans l’évaluation d’impact sur l’activité ou dans les politiques applicables en matière de sécurité, de manière non répudiable. Lorsqu’un SIC traite et stocke des ICUE, des journaux sur le besoin d’en connaître et l’accès aux informations sont tenus jusqu’à la déclassification des informations. Les journaux de sécurité sont accessibles et consultables par l’autorité de sécurité.

4.Les institutions et organes de l’Union adoptent des règles internes concernant la sécurité des SIC afin de préciser les mesures de sécurité appropriées à adopter en fonction des besoins de sécurité des informations qui doivent être traitées et stockées, et compte tenu des territoires sur lesquels les informations sont stockées, transmises et traitées. Le cas échéant, ces mesures incluent: a)des restrictions de la localisation géographique; b)la prise en considération des éventuels conflits d’intérêts, boycotts ou sanctions concernant les contractants; c)des dispositions contractuelles visant à assurer la sécurité de l’information; d)le chiffrement des informations au repos et en transit; e)des restrictions à l’accessibilité des informations des institutions et organes de l’Union par le personnel des contractants; f)la protection des données à caractère personnel conformément à la législation applicable en la matière. 5.Les institutions et organes de l’Union gèrent leurs SIC conformément aux principes suivants: a)il existe pour chaque SIC un propriétaire du système ou une autorité opérationnelle chargée de l’assurance de l’information responsable de sa sécurité; b)un processus de gestion des risques liés à la sécurité de l’information couvrant les aspects relatifs à la sécurité de l’information est mis en œuvre; c)les exigences de sécurité et les procédures d’exploitation de sécurité sont formellement définies, mises en œuvre, contrôlées et révisées; d)les incidents de sécurité de l’information sont consignés officiellement et font l’objet d’un suivi, conformément au règlement (UE) [XXX] établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union. Chapitre 4

Informations non classifiées Article 12 Informations destinées à un usage public 1.Les informations destinées à un usage public ou à une publication officielle ou ayant déjà été divulguées, qui peuvent être partagées sans restrictions à l’intérieur ou à l’extérieur des institutions et organes de l’Union, sont classées, traitées et stockées en tant qu’informations destinées à un usage public. 2.Les institutions et organes de l’Union peuvent apposer le timbre «PUBLIC USE» sur les informations visées au paragraphe 1. 3.L'ensemble des institutions et organes de l’Union veillent à l’intégrité et à la disponibilité des informations destinées à un usage public en prenant des mesures appropriées en fonction de leurs besoins de sécurité. Article 13 Informations ordinaires

1.Les informations destinées à être utilisées par une institution ou un organe de l’Union dans l’exercice de ses fonctions et qui ne sont ni des informations sensibles non classifiées ni des informations destinées à un usage public sont catégorisées, traitées et stockées en tant qu’informations ordinaires. Cette catégorie couvre l’ensemble des informations ordinaires de niveau opérationnel traitées dans l’institution ou organe de l’Union concerné. 2.Les informations ordinaires peuvent être munies d'un timbre visuel ou sous forme de métadonnée lorsque cela est nécessaire pour assurer leur protection, en particulier lorsqu’elles sont partagées en dehors des institutions et organes de l’Union. Le timbre «EU NORMAL» ou «nom ou acronyme de l’institution ou organe de l’Union NORMAL» (adapté au cas par cas) est alors utilisé. 3.Les institutions et organes de l’Union définissent des mesures de protection standard pour les informations ordinaires en tenant compte des orientations du sous-groupe sur les informations non classifiées ainsi que de tout risque spécifique lié à leurs missions et activités. 4.Les informations ordinaires ne sont échangées en dehors des institutions et organes de l’Union qu’avec des personnes physiques ou morales ayant un besoin d’en connaître. Article 14 Informations sensibles non classifiées 1.Les institutions et organes de l’Union catégorisent, traitent et stockent en tant qu’informations sensibles non classifiées toutes les informations qui ne sont pas classifiées mais doivent être protégées en raison d’obligations juridiques ou du préjudice que leur divulgation non autorisée pourrait causer à des intérêts publics et privés légitimes, y compris ceux des institutions et organes de l’Union, des États membres ou de particuliers. 2.Chaque institution ou organe de l’Union identifie les informations sensibles non classifiées en leur apposant un timbre de sécurité visible et définit les instructions de traitement correspondantes conformément à l’annexe I. 3.Les institutions et organes de l’Union protègent les informations sensibles non classifiées en appliquant des mesures appropriées pour leur traitement et leur stockage. Ces informations ne peuvent être rendues accessibles, au sein des institutions et organes de l’Union, qu’aux personnes ayant un besoin d’en connaître aux fins de l’exécution des tâches qui leur sont confiées. 4.Les informations sensibles non classifiées ne sont échangées en dehors des institutions et organes de l’Union qu’avec des personnes physiques et morales ayant un besoin d’en connaître, dans le respect des instructions de traitement accompagnant ces informations. Toutes les parties concernées sont informées des instructions de traitement appropriées. Article 15 Protection des informations non classifiées et interopérabilité 1.Les institutions et organes de l’Union établissent des procédures pour le signalement et la gestion de tout incident avéré ou suspecté qui pourrait entraîner la compromission de la sécurité d’informations non classifiées. 2.Le cas échéant, les institutions et organes de l’Union utilisent les timbres prévus aux articles 12, 13 et 14. À titre exceptionnel, ils peuvent utiliser d’autres marquages équivalents en interne et avec leurs homologues spécifiques d’autres institutions et organes de l’Union ou des États membres, avec l’accord de toutes les parties. Cette exception est notifiée au sous-groupe sur les informations non classifiées, visé à l’article 7, paragraphe 1, point b). 3.Des garanties contractuelles sont établies afin d’assurer la protection des informations normales et sensibles non classifiées traitées par des services externalisés. Ces garanties sont conçues de manière à assurer au moins un niveau de protection équivalent à celui fourni par le présent règlement et incluent des engagements en matière de confidentialité et de non-divulgation qui doivent être signés par tous les fournisseurs de services pertinents intervenant dans la fourniture des systèmes externalisés. Article 16 Sous-groupe sur les informations non classifiées 1.Le sous-groupe sur les informations non classifiées visé à l’article 7, paragraphe 1, point b), assume les rôles et responsabilités suivants: a)rationaliser les procédures relatives au traitement et au stockage des informations non classifiées et préparer les orientations pertinentes en la matière; b)assurer une coordination avec le sous-groupe sur l’assurance de l’information visé à l’article 7, paragraphe 1, point a), concernant les questions qui portent sur les systèmes traitant et stockant des informations non classifiées;

c)préparer des instructions de traitement pour les différents niveaux de confidentialité des informations non classifiées; d)aider les institutions et organes de l’Union à établir les équivalences entre leurs catégories spécifiques d’informations non classifiées et celles prévues aux articles 12, 13 et 14; e)faciliter le partage d’informations non classifiées entre les institutions et organes de l’Union, en fournissant une assistance et des orientations. Article 17 Traitement et stockage des informations sensibles non classifiées dans les SIC 1.Les institutions et organes de l’Union veillent à ce que les SIC satisfassent aux exigences minimales suivantes lorsqu’ils traitent et stockent des informations sensibles non classifiées: a)une authentification forte est mise en œuvre pour l’accès aux informations sensibles non classifiées et ces informations sont chiffrées lors de leur transmission et pendant leur stockage; b)les clés de chiffrement utilisées pour le stockage sont placées sous la responsabilité de l’institution ou organe de l’Union responsable de l’exploitation du SIC; c)les informations sensibles non classifiées sont stockées et traitées dans l’Union; d)des dispositions contractuelles couvrant la sécurité du personnel, des ressources et des informations sont incluses dans tous les contrats d’externalisation; e)des métadonnées interopérables sont utilisées pour consigner le niveau de confidentialité des documents électroniques et faciliter l’automatisation des mesures de sécurité; f)les institutions et organes de l’Union mettent en œuvre des mesures de prévention et de détection des fuites de données afin de protéger les informations sensibles non classifiées; g)des équipements de sécurité ayant reçu un certificat de cybersécurité européen sont utilisés, lorsqu’ils sont disponibles; h)les mesures de sécurité sont mises en œuvre sur la base des principes du besoin d’en connaître et de la confiance zéro afin de réduire au minimum l’accès aux informations sensibles non classifiées par les fournisseurs de services et les contractants. 2.Toute dérogation aux exigences minimales énoncées au paragraphe 1 est soumise à l’approbation du niveau d'encadrement approprié de l’institution ou de l’organe de l’Union concerné, sur la base d’une évaluation des risques couvrant les risques juridiques et techniques pour la sécurité des informations sensibles non classifiées. 3.L’autorité chargée de l’assurance de l’information de l’institution ou de l’organe de l’Union concerné peut vérifier le respect des principes énoncés au paragraphe 1 à tout moment du cycle de vie d’un SIC. Chapitre 5

ICUE Section 1

Dispositions générales Article 18 Classifications et marquages de sécurité

1.Les ICUE relèvent de l’un des niveaux de classification suivants et sont marquées comme suit: a)TRÈS SECRET UE/EU TOP SECRET: informations et matériels dont la divulgation non autorisée pourrait causer un préjudice exceptionnellement grave aux intérêts essentiels de l’Union ou d’un ou de plusieurs de ses États membres; b)SECRET UE/EU SECRET: informations et matériels dont la divulgation non autorisée pourrait nuire gravement aux intérêts essentiels de l’Union ou d’un ou de plusieurs de ses États membres; c)CONFIDENTIEL UE/EU CONFIDENTIAL: informations et matériels dont la divulgation non autorisée pourrait nuire aux intérêts essentiels de l’Union ou d’un ou de plusieurs de ses États membres; d)RESTREINT UE/EU RESTRICTED: informations et matériels dont la divulgation non autorisée pourrait être défavorable aux intérêts de l’Union ou d’un ou de plusieurs de ses États membres. 2.Le groupe de coordination adopte des documents d’orientation sur la création et la classification des ICUE. Article 19 Adéquation au traitement et au stockage des ICUE 1.Toute institution ou tout organe de l’Union peut traiter et stocker des ICUE lorsque l'entité remplit les conditions suivantes: a)elle établit des règles et des procédures conformément au présent règlement, garantissant la protection des informations pour un niveau de classification donné; et b)elle a fait l’objet d’une visite d’évaluation conformément à l’article 53 et a par la suite reçu une certification concernant sa capacité à protéger les ICUE conformément au présent règlement et, le cas échéant, à toute autre règle ou procédure applicable. 2.Les conditions énoncées au paragraphe 1 sont réputées remplies par défaut par les membres du sous-groupe sur le partage d’ICUE et l’échange d’informations classifiées visé à l’article 7, paragraphe 1, point e). Article 20 Protection des ICUE 1.Il incombe au détenteur de tout élément d’ICUE de le protéger. 2.Lorsque les États membres introduisent des informations classifiées, portant un marquage national de classification de sécurité, dans les structures ou réseaux d’une institution ou d’un organe de l’Union, cette institution ou cet organe protège lesdites informations conformément au marquage de classification correspondant établi dans l’accord entre les États membres de l’Union européenne, réunis au sein du Conseil, relatif à la protection des informations classifiées échangées dans l’intérêt de l’Union européenne. Le tableau d’équivalence correspondant est inclus à l’annexe VI du présent règlement. 3.Un ensemble d’ICUE peut justifier un niveau de protection correspondant à une classification plus élevée que celle appliquée à ses différentes composantes. Article 21 Processus de gestion des risques liés à la sécurité des ICUE 1.L’autorité de sécurité de chaque institution ou organe de l’Union approuve les mesures de sécurité destinées à protéger les ICUE tout au long de leur cycle de vie sur la base des résultats d’une évaluation des risques réalisée par l’institution ou organe de l’Union concerné.

2.Les mesures de sécurité adoptées par chaque institution ou organe de l’Union sont proportionnées au niveau de classification des informations traitées et stockées, à la forme sous laquelle elles se présentent ainsi qu’à leur volume, à l’emplacement et aux caractéristiques de protection des établissements où des ICUE sont traitées et stockées, et à la menace évaluée à l’échelle locale que représentent les activités malveillantes ou criminelles. 3.L'ensemble des institutions et organes de l’Union établissent: a)des plans d’urgence pour assurer la sécurité des ICUE en cas d’urgence; b)des plans de continuité des activités incluant des mesures de prévention et de retour aux conditions opérationnelles afin de limiter l’impact de défaillances graves ou de graves incidents de sécurité sur le traitement et le stockage des ICUE. Article 22 Infractions à la sécurité et compromission des ICUE 1.Un acte ou une omission d’une institution ou d’un organe de l’Union, ou d’une personne, qui est contraire au présent règlement est considéré comme une infraction à la sécurité. 2.Des ICUE sont réputées avoir été compromises lorsque, à la suite d’une infraction, elles ont été divulguées, en totalité ou en partie, à une ou plusieurs personnes non autorisées à y accéder. 3.Toute compromission d’ICUE, réelle ou présumée, est immédiatement signalée à l’autorité de sécurité de l’institution ou organe de l’Union concerné, qui mène une enquête de sécurité et adopte au minimum les mesures suivantes: a)en informer l’autorité d’origine; b)faire en sorte qu’une enquête soit menée par des membres du personnel n’étant pas directement concernés par l’infraction afin d’établir les faits; c)évaluer le préjudice éventuel causé aux intérêts de l’Union ou des États membres; d)prendre des mesures appropriées pour éviter que les faits ne se reproduisent; e)informer les autorités compétentes de la compromission réelle ou présumée et des mesures prises. Section 2

Sécurité du personnel Article 23 Principes de base 1.L’autorité de sécurité d’une institution ou d’un organe de l’Union peut accorder à des personnes un accès à des ICUE lorsque toutes les conditions suivantes sont remplies: a)les personnes ont un besoin d’en connaître; b)elles ont été informées des règles et procédures de sécurité applicables à la protection des ICUE ainsi que des normes et lignes directrices correspondantes en matière de sécurité, et ont reconnu par écrit les responsabilités qui leur incombent en matière de protection de ces informations;

c)pour les informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification plus élevé, les personnes se sont vu délivrer une habilitation de sécurité et ont reçu une autorisation du niveau correspondant. 2.Les institutions et organes de l’Union tiennent compte de la loyauté, de l’intégrité et de la fiabilité d’une personne telles qu’établies au moyen d’une enquête de sécurité menée par les autorités compétentes de l’État membre dont le demandeur est citoyen ou ressortissant. 3.Les institutions et organes de l’Union peuvent accepter des habilitations de sécurité de pays tiers et d’organisations internationales avec lesquels l’Union a conclu un accord sur la sécurité des informations. 4.Les institutions et organes de l’Union peuvent gérer les processus d’habilitation de manière autonome ou solliciter la conclusion d’un accord de niveau de service avec la Commission aux fins de la délivrance d’habilitations de sécurité. Lorsqu’un accord de niveau de service est conclu, l’autorité de sécurité de la Commission fait office de point de contact entre les bureaux de sécurité de l’institution ou de l’organe de l’Union concerné et les autorités nationales compétentes des États membres pour toutes les questions relevant de l’habilitation de sécurité. 5.L’autorité de sécurité de chaque institution ou organe de l’Union tient des registres de ses habilitations de sécurité, de ses réunions d’information, de ses déclarations écrites et de ses autorisations d’accès aux ICUE. 6.Les institutions et organes de l’Union qui concluent un accord de niveau de service avec la Commission mettent les registres pertinents à la disposition de l’autorité de sécurité de la Commission en ce qui concerne, au minimum, le niveau de classification des ICUE auxquelles la personne peut être autorisée à avoir accès, la date de délivrance de l’autorisation d’accès aux ICUE et la période de validité de cette autorisation. Ces registres sont accessibles aux autres institutions et organes de l’Union ayant conclu un accord de niveau de service, lorsque cela se justifie. Article 24 Autorisation d’accéder aux ICUE 1.Chaque institution ou organe de l’Union répertorie, au sein de son organisation, les postes nécessitant l’accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification plus élevé pour permettre au détenteur de s’acquitter de ses tâches. 2.Lorsqu’une personne doit être autorisée à accéder à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification plus élevé, l’institution ou l’organe concerné informe l’autorité de sécurité compétente, qui procède aux formalités exigées au point 1 de l’annexe II. 3.L’autorité de sécurité de chaque institution ou organe de l’Union est responsable de la délivrance, de la suspension, du retrait et du renouvellement des autorisations d’accès à des ICUE pour son personnel. 4.Dans des circonstances exceptionnelles, lorsque cela est dûment justifié dans l’intérêt du service et en attendant l’achèvement de l’enquête de sécurité complète, l’autorité de sécurité d’une institution ou d’un organe de l’Union peut accorder à titre temporaire à des personnes l’autorisation d’accéder à des ICUE pour un poste déterminé, sans préjudice des dispositions concernant le renouvellement des autorisations d’accéder à des ICUE et après vérification par l’autorité nationale compétente de sécurité. 5.Les institutions et organes de l’Union suivent les procédures de gestion des autorisations d’accès à des ICUE énoncées à l’annexe II. Article 25 Reconnaissance des autorisations d’accéder à des ICUE 1.Une autorisation d’accéder à des ICUE jusqu’au niveau de classification spécifique est valide dans toute institution ou tout organe de l’Union auquel la personne est affectée. 2.Les institutions et organes de l’Union acceptent les autorisations d’accès aux ICUE accordées par d’autres institutions ou organes de l’Union. 3.Lorsque le titulaire d’une autorisation d’accès aux ICUE accède à un emploi dans une autre institution ou un autre organe de l’Union, cette institution ou cet organe notifie à l’ANS concernée le changement d’employeur, par l’intermédiaire de l’autorité de sécurité compétente. Article 26

Réunions d’information sur les ICUE 1.L’autorité de sécurité d’une institution ou d’un organe de l’Union informe toutes les personnes ayant besoin d’accéder à des ICUE des éventuelles menaces pour la sécurité ainsi que de leur obligation de signaler toute activité suspecte. Cette information est donnée avant que l’accès aux ICUE ne soit accordé et, par la suite, au moins une fois tous les cinq ans. 2.Après avoir été informées conformément au paragraphe 1, toutes les personnes concernées reconnaissent par écrit qu’elles ont compris leurs obligations en matière de protection des ICUE et les conséquences qui pourraient résulter si des ICUE devaient être compromises. 3.L’information visée au paragraphe 1 contient les éléments suivants: a)toute personne responsable d’une violation des règles de sécurité énoncées dans le présent règlement est passible d’une sanction disciplinaire conformément aux dispositions législatives et réglementaires applicables; b)toute personne responsable de la compromission ou de la perte d’ICUE peut être passible de sanctions disciplinaires ou peut faire l’objet d’une action en justice conformément aux dispositions législatives et réglementaires applicables. 4.Lorsque des personnes auxquelles a été délivrée une autorisation d’accéder à des ICUE n’ont plus besoin d’un tel accès, les institutions et organes de l’Union veillent à ce qu’elles soient informées, et, le cas échéant, reconnaissent par écrit qu’elles ont l’obligation de continuer à protéger les ICUE. 5.La tâche de création et de gestion des réunions d’information sur les ICUE peut être partagée entre les institutions et organes de l’Union pour autant que leurs besoins spécifiques soient pris en considération. Section 3

Sécurité physique Article 27 Principes de base 1.Chaque institution et chaque organe de l’Union détermine les mesures de sécurité physique appropriées pour ses sites, conformément à l’annexe III et au principe de défense en profondeur, sur la base d’une évaluation des risques réalisée par son autorité de sécurité. Les objectifs des mesures sont les suivants: a)empêcher tout accès aux ICUE ou toute intrusion par la force; b)dissuader, empêcher et détecter les actes non autorisés et répondre aux incidents de sécurité le plus rapidement possible; c)permettre d’établir une distinction entre les membres du personnel au regard de l’accès aux ICUE sur la base de leur besoin d’en connaître et, le cas échéant, de leur habilitation de sécurité. 2.Les institutions et organes de l’Union mettent en place des mesures de sécurité physique pour tous les sites où des ICUE sont discutées, stockées ou traitées, y compris les zones où se trouvent les systèmes d’information et de communication visés à la section 5 du présent chapitre. 3.Seuls les équipements de sécurité approuvés par l’autorité de sécurité d’une institution ou d’un organe de l’Union sont utilisés pour la protection physique d’informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification plus élevé. 4.Les institutions et organes de l’Union peuvent partager des zones sécurisées, telles que visées à l’annexe III, pour le traitement et le stockage d’ICUE, moyennant la conclusion d’un accord. Article 28 Sous-groupe sur la sécurité physique

1.Le sous-groupe sur la sécurité physique visé à l’article 7, paragraphe 1, point c), assume les rôles et responsabilités suivants: a)préparation des documents d’orientation relatifs aux questions de sécurité physique; b)définition des critères de sécurité généraux à remplir pour l’achat d’équipements tels que des meubles de sécurité, des déchiqueteuses, des serrures de porte, des systèmes électroniques de contrôle des accès, des systèmes de détection des intrusions et des systèmes d’alarme pour la protection physique des ICUE; c)fourniture d’une assistance aux institutions et organes de l’Union pour déterminer les mesures de sécurité appropriées pour leurs sites; d)proposition de mesures compensatoires pour la protection des ICUE lorsque celles-ci sont traitées en dehors des zones physiquement protégées d’une institution ou d’un organe de l’Union. Article 29 Protection physique des ICUE 1.Afin d’assurer la protection physique des ICUE, les institutions et organes de l’Union instaurent les zones physiquement protégées suivantes: a)des zones administratives, telles que visées à l’annexe III; b)le cas échéant, des zones sécurisées, incluant des zones sécurisées de catégorie I, des zones sécurisées de catégorie II et des zones sécurisées du point de vue technique, telles que visées à l’annexe III. 2.L’autorité de sécurité de l’institution ou de l’organe de l’Union concerné procède à une inspection interne afin de vérifier si les conditions de la désignation d’une zone comme zone administrative ou zone sécurisée, énoncées à l’annexe III, sont réunies. Lorsque le rapport d’inspection indique que ces conditions sont remplies, l’autorité de sécurité peut délivrer une homologation permettant à la zone sécurisée de protéger des ICUE jusqu’au niveau déterminé pendant une période maximale de cinq ans. L’autorité de sécurité de l’institution ou organe de l’Union concerné est responsable de l’exécution du processus de réhomologation de ses zones sécurisées, avant l’expiration de l’homologation ou chaque fois que des changements sont intervenus au sein de la zone homologuée. 3.Chaque institution ou organe de l’Union adopte des procédures de gestion des clés et des combinaisons pour les bureaux, les salles, les chambres fortes et les meubles de sécurité pour le niveau CONFIDENTIEL UE/EU-CONFIDENTIAL et les niveaux supérieurs. 4.L’autorité de sécurité peut autoriser des fouilles aux entrées et aux sorties afin de prévenir et de détecter l’introduction non autorisée de matériel dans des sites ou le retrait non autorisé de toute ICUE des sites. 5.Les institutions et organes de l’Union établissent les mesures de protection physique des ICUE conformément à l’annexe III. Section 4

Gestion des ICUE Article 30 Principes de base 1.Les institutions et organes de l’Union enregistrent, consignent, conservent et, à terme, éliminent, échantillonnent ou transfèrent leurs documents ICUE vers les archives pertinentes conformément à la politique et aux règles de conservation applicables spécifiquement aux dossiers de chaque institution ou organe de l’Union. 2.Toute institution ou tout organe de l’Union qui est l’autorité d’origine des ICUE détermine la classification de sécurité de ces informations dès leur création et conformément à l’article 18, paragraphe 1.

3.Les institutions et organes de l’Union communiquent clairement le niveau de classification aux destinataires, au moyen d’un marquage de classification ou d’une annonce, lorsque les informations sont transmises sous forme orale. 4.Les mesures de sécurité applicables au document original le sont aussi à ses projets, à ses copies et à ses traductions. 5.Les institutions et organes de l’Union adoptent les mesures de gestion des ICUE conformément à l’annexe IV. Article 31 Création d’ICUE 2. Les institutions et organes de l’Union sous l’autorité desquels des ICUE sont créées veillent à ce que les exigences suivantes soient respectées: a)sur chaque page est apposé un timbre indiquant clairement le niveau de classification; b)chaque page est numérotée; c)le document porte un numéro de référence, le cas échéant un numéro d’enregistrement et un sujet qui n’est pas lui-même une ICUE, sauf s’il s’est vu apposer un timbre à ce titre; d)le document porte la date de sa création. e)toutes les annexes et pièces jointes