CELEX: 32019D1963
Language: fr
Date: 2019-10-17 00:00:00
Title: Décision (UE, Euratom) 2019/1963 de la Commission du 17 octobre 2019 établissant des modalités d’application en matière de sécurité industrielle en ce qui concerne les marchés classifiés

2.12.2019   
               
               
                  FR
               
               
                  Journal officiel de l'Union européenne
               
               
                  L 311/37
               
            
         DÉCISION (UE, Euratom) 2019/1963 DE LA COMMISSION
         du 17 octobre 2019
         établissant des modalités d’application en matière de sécurité industrielle en ce qui concerne les marchés classifiés
         LA COMMISSION EUROPÉENNE,
         vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 249,
         vu le traité instituant la Communauté européenne de l’énergie atomique, et notamment son article 106,
         vu la décision (UE, Euratom) 2015/443 de la Commission du 13 mars 2015 relative à la sécurité au sein de la Commission (1),
         vu la décision (UE, Euratom) 2015/444 de la Commission du 13 mars 2015 concernant les règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne (2),
         vu la décision (UE, Euratom) 2017/46 de la Commission du 10 janvier 2017 sur la sécurité des systèmes d’information et de communication au sein de la Commission européenne (3),
         après consultation du groupe d’experts sécurité de la Commission, conformément à l’article 41, paragraphe 5, de la décision (UE, Euratom) 2015/444,
         considérant ce qui suit:
         
                     (1)
                  
                  
                     Les articles 41, 42, 47 et 48 de la décision (UE, Euratom) 2015/444 prévoient que des dispositions plus détaillées destinées à compléter et étayer le chapitre 6 de ladite décision doivent être définies dans des modalités d’application en matière de sécurité industrielle, régissant des aspects tels que les appels d’offres, la conclusion de contrats classifiés, les habilitations de sécurité d’établissement, les habilitations de sécurité du personnel, les visites et la transmission et le transport d’informations classifiées de l’Union européenne (ICUE).
                  
               
                     (2)
                  
                  
                     Aux termes de la décision (UE, Euratom) 2015/444, les contrats classifiés doivent être exécutés en étroite coopération avec l’autorité nationale de sécurité, l’autorité de sécurité désignée ou toute autre autorité compétente des États membres concernés; les États membres sont convenus de veiller à ce que toute entité relevant de leur juridiction qui peut recevoir ou produire des informations classifiées provenant de la Commission possède une habilitation de sécurité appropriée et soit en mesure d’assurer une protection adéquate équivalente à celle qui est accordée par les règles de sécurité du Conseil de l’Union européenne aux fins de la protection des informations classifiées de l’Union européenne portant un marquage de classification correspondant, conformément à l’accord entre les États membres de l’Union européenne, réunis au sein du Conseil, relatif à la protection des informations classifiées échangées dans l’intérêt de l’Union européenne (2011/C 202/05) (4).
                  
               
                     (3)
                  
                  
                     Le Conseil, la Commission et la Haute Représentante de l’Union pour les affaires étrangères et la politique de sécurité sont convenus de garantir une cohérence maximale dans l’application des règles de sécurité en ce qui concerne la protection des ICUE tout en tenant compte des besoins institutionnels et organisationnels qui leur sont propres, conformément aux déclarations jointes au procès-verbal de la session du Conseil au cours de laquelle a été adoptée la décision no 2013/488/UE du Conseil (5) concernant les règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne.
                  
               
                     (4)
                  
                  
                     En conséquence, les modalités d’application de la Commission en matière de sécurité industrielle en ce qui concerne les marchés classifiés devraient également garantir une cohérence maximale et tenir compte des lignes directrices en matière de sécurité industrielle approuvées par le comité de sécurité du Conseil le 13 décembre 2016 ainsi que des articles 7 et 22 de la directive 2009/81/CE du Parlement européen et du Conseil (6).
                  
               
                     (5)
                  
                  
                     Le 4 mai 2016, la Commission a adopté une décision (7) habilitant le membre de la Commission chargé des questions de sécurité à adopter, au nom et sous la responsabilité de la Commission, les modalités d’application prévues à l’article 60 de la décision (UE, Euratom) 2015/444,
                  
               A ADOPTÉ LA PRÉSENTE DÉCISION:
         CHAPITRE 1
         
            DISPOSITIONS GENERALES
         
         
            Article premier
            Objet et champ d’application
            
               1.   La présente décision établit des modalités d’application en matière de sécurité industrielle en ce qui concerne les marchés classifiés afin de soutenir la mise en œuvre de la décision (UE, Euratom) 2015/444, et notamment le chapitre 6 de ladite décision.
            
            
               2.   Elle définit des exigences spécifiques visant à garantir la protection des informations classifiées de l’Union européenne (ICUE) par les opérateurs économiques lors de la phase précontractuelle, tout au long du cycle de vie des contrats classifiés conclus par la Commission européenne, ainsi que dans les contrats de sous-traitance conclus par les contractants de la Commission.
            
            
               3.   La présente décision porte sur les informations classifiées aux niveaux suivants:
               
                           a)
                        
                        
                           RESTREINT UE/EU RESTRICTED;
                        
                     
                           b)
                        
                        
                           CONFIDENTIEL UE/EU CONFIDENTIAL;
                        
                     
                           c)
                        
                        
                           SECRET UE/EU SECRET.
                        
                     
         
         
            Article 2
            Responsabilité au sein de la Commission
            
               1.   Dans le cadre de ses responsabilités telles que décrites dans le règlement financier (8), chaque ordonnateur du pouvoir adjudicateur de la Commission veille à ce que le contrat classifié mentionne les normes minimales de sécurité industrielle prévues au chapitre 6 de la décision (UE, Euratom) 2015/444 et dans les présentes modalités d’application, et, le cas échéant, dans l’avis de marché ou l’invitation à soumissionner, et à ce que ces normes soient respectées au cours de l’exécution.
            
            
               2.   À cette fin, l’ordonnateur compétent demande, à chaque stade, l’avis de l’autorité de sécurité de la Commission sur les questions relatives aux éléments de sécurité d’un contrat, programme ou projet classifié et informe le responsable local de la sécurité des contrats conclus. La décision relative au niveau de classification d’un thème donné appartient au pouvoir adjudicateur, qui se prononce en tenant dûment compte du guide de la classification de sécurité.
            
            
               3.   En respectant les exigences des présentes modalités d’application, l’autorité de sécurité de la Commission coopère étroitement avec les autorités nationales de sécurité (ANS) et les autorités de sûreté désignées (ASD) des États membres concernés, notamment en ce qui concerne les habilitations de sécurité d’établissement (HSE) et les habilitations de sécurité du personnel (HSP), les procédures de visite et les plans de transport.
            
         
         CHAPITRE 2
         
            TRAITEMENT DES APPELS D’OFFRES POUR LES MARCHES CLASSIFIES
         
         
            Article 3
            Principes de base
            
               1.   Les marchés classifiés ne sont attribués qu’à des opérateurs économiques immatriculés dans un État membre, ou à des opérateurs économiques immatriculés dans un pays tiers ou mis en place par une organisation internationale lorsque ce pays tiers ou cette organisation internationale a conclu un accord sur la sécurité des informations avec l’Union européenne ou un arrangement administratif avec la Commission (9).
            
            
               2.   Avant de lancer une invitation à soumissionner pour un marché classifié, le pouvoir adjudicateur détermine la classification de sécurité de toute information susceptible d’être communiquée aux soumissionnaires. Le pouvoir adjudicateur détermine également la classification de sécurité maximale de toute information produite dans le cadre de l’exécution du contrat, du programme ou du projet, ou prévoit au moins le volume et le type d’informations à produire ou à traiter, ainsi que la nécessité d’un système d’information et de communication (SIC) classifié.
            
            
               3.   Le pouvoir adjudicateur veille à ce que les avis de marché pour les marchés classifiés procurent des informations sur les obligations particulières en matière de sécurité liées aux informations classifiées. L’annexe I contient un modèle d’informations pour les avis de marché.
            
            
               4.   Le pouvoir adjudicateur veille à ce que les informations classifiées RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET ne soient divulguées aux soumissionnaires qu’une fois qu’ils ont signé un accord de confidentialité leur faisant obligation de traiter et de protéger les ICUE conformément à la décision (UE, Euratom) 2015/444 et à ses modalités d’application.
            
            
               5.   Tous les contractants qui doivent traiter ou stocker des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET au sein de leurs établissements, soit pendant l’exécution du contrat classifié lui-même, soit au stade précontractuel, détiennent une HSE au niveau requis. Ci-après sont indiqués les trois cas de figure qui peuvent se présenter au stade de l’appel d’offres pour un marché classifié comportant des ICUE au niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET:
               
                           a)
                        
                        
                           aucun accès aux ICUE au niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET au stade de l’appel d’offres:
                           lorsque l’avis de marché ou l’invitation à soumissionner concerne un contrat qui comportera des informations des ICUE au niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, mais ne requiert pas que le soumissionnaire traite ces informations au stade de l’appel d’offres, un soumissionnaire qui ne détient pas de HSE au niveau requis n’est pas exclu de la procédure de soumission des offres au motif qu’il ne détient pas de HSE;
                        
                     
                           b)
                        
                        
                           aucun accès aux ICUE au niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET dans les locaux du pouvoir adjudicateur au stade de l’appel d’offres:
                           l’accès aux informations est accordé au personnel du soumissionnaire qui détient une HSP au niveau requis et qui a un besoin d’en connaître. Avant l’octroi d’un tel accès, le pouvoir adjudicateur vérifie, par l’intermédiaire de l’autorité de sécurité de la Commission, avec l’ANS/ASD concernée, si une HSE est également exigée à ce stade en vertu des dispositions législatives et réglementaires nationales;
                        
                     
                           c)
                        
                        
                           traitement ou stockage d’ICUE au niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET dans les locaux du soumissionnaire au stade de l’appel d’offres:
                           lorsque l’avis de marché ou l’invitation à soumissionner exige des soumissionnaires qu’ils traitent ou stockent des ICUE dans leurs locaux, le soumissionnaire détient une HSE au niveau requis. En pareilles circonstances, le pouvoir adjudicateur obtient, par l’intermédiaire de l’autorité de sécurité de la Commission, l’assurance de l’ANS/ASD concernée que le soumissionnaire a obtenu une HSE appropriée. L’accès aux informations est accordé au personnel du soumissionnaire qui détient une HSP au niveau requis et qui a un besoin d’en connaître.
                        
                     
            
               6.   En principe, une HSE n’est pas requise pour avoir accès aux informations classifiées RESTREINT UE/EU RESTRICTED, que ce soit au stade de l’appel d’offres ou pour l’exécution du contrat. Lorsque des États membres exigent une HSE pour des contrats ou des contrats de sous-traitance au niveau RESTREINT UE/EU RESTRICTED en vertu de leurs dispositions législatives et réglementaires nationales, comme indiqué à l’annexe IV, ces exigences nationales n’imposent aucune obligation supplémentaire aux autres États membres ou n’excluent pas les soumissionnaires, contractants ou sous-traitants des États membres qui n’imposent pas une telle HSE pour l’accès aux informations RESTREINT UE/EU RESTRICTED issues de contrats/contrats de sous-traitance connexes ou d’une mise en concurrence pour de tels contrats. Ces contrats sont exécutés dans les États membres conformément à leurs dispositions législatives et réglementaires.
            
            
               7.   Lorsqu’une HSE est requise pour l’exécution d’un marché classifié, le pouvoir adjudicateur présente, par l’intermédiaire de l’autorité de sécurité de la Commission, une demande à l’ANS/ASD du contractant au moyen d’une fiche d’information pour habilitation de sécurité d’établissement (FIHSE). L’annexe III, appendice D, contient un exemple de FIHSE (10). Le marché classifié ne peut être attribué qu’après que l’ANS/ASD du contractant a confirmé l’HSE du soumissionnaire. Il est répondu à la FIHSE, dans la mesure du possible, dans un délai de dix jours ouvrables à compter de la date de la demande.
            
         
         
            Article 4
            Sous-traitance dans le cadre de marchés classifiés
            
               1.   Les conditions dans lesquelles un contractant auquel est attribué un marché classifié de la Commission peut sous-traiter des activités sont définies dans l’invitation à soumissionner et les documents de marché. Lorsque le marché classifié autorise la sous-traitance de certaines de ses parties, cette sous-traitance fait l’objet d’un consentement écrit préalable du pouvoir adjudicateur. Avant de donner son consentement, le pouvoir adjudicateur consulte l’autorité de sécurité de la Commission.
            
            
               2.   Les marchés classifiés ne sont confiés en sous-traitance qu’à des opérateurs économiques immatriculés dans un État membre, ou à des opérateurs économiques immatriculés dans un pays tiers ou mis en place par une organisation internationale lorsque ce pays tiers ou cette organisation internationale a conclu un accord sur la sécurité des informations avec l’Union européenne ou un arrangement administratif avec la Commission (11).
            
         
         CHAPITRE 3
         
            ATTRIBUTION DES MARCHES CLASSIFIES DE LA COMMISSION
         
         
            Article 5
            Principes de base
            
               1.   Lors de l’attribution d’un marché classifié, le pouvoir adjudicateur, conjointement avec l’autorité de sécurité de la Commission, veille à ce que les obligations du contractant en matière de protection des ICUE communiquées à ce dernier ou produites dans le cadre de l’exécution du marché fassent partie intégrante du contrat. Les exigences de sécurité propres à un contrat prennent la forme d’une annexe de sécurité (AS). Un modèle d’AS figure à l’annexe III.
            
            
               2.   Avant de signer un contrat classifié, le pouvoir adjudicateur élabore, après consultation de l’autorité de sécurité de la Commission, un guide de la classification de sécurité (GCS) pour les tâches à effectuer et les informations produites dans le cadre de l’exécution du contrat, ou au niveau du programme ou du projet, le cas échéant. Le GCS fait partie de l’AS.
            
            
               3.   Les exigences de sécurité propres à un programme ou un contrat prennent la forme d’instructions de sécurité relatives à un programme (ou un projet) (ISP). Les ISP peuvent être rédigées à l’aide des dispositions du modèle d’AS figurant à l’annexe III. Les ISP sont élaborées par le service de la Commission qui gère le programme ou le projet, en étroite coopération avec l’autorité de sécurité de la Commission et sont soumises pour avis au groupe d’experts sécurité de la Commission. Lorsqu’un contrat relève d’un programme ou d’un projet ayant ses propres ISP, l’AS du contrat doit revêtir une forme simplifiée et comporter une référence aux dispositions de sécurité exposées dans les ISP du programme ou du projet.
            
            
               4.   Le pouvoir adjudicateur est considéré comme l’autorité d’origine des informations classifiées qui sont créées et traitées pour l’exécution du contrat.
            
            
               5.   Le pouvoir adjudicateur, par l’intermédiaire de l’autorité de sécurité de la Commission, informe les ANS/ASD de tous les contractants et sous-traitants de la conclusion de contrats ou de contrats de sous-traitance classifiés et de toute prolongation ou résiliation anticipée de ces contrats ou contrats de sous-traitance. La liste des exigences par pays figure à l’annexe IV.
            
            
               6.   Les contrats comportant des informations classifiées RESTREINT UE/EU RESTRICTED contiennent une clause de sécurité contractuelle rendant contraignantes pour le contractant les dispositions figurant à l’annexe III, appendice E. Ces contrats contiennent une AS exposant, au minimum, les exigences en matière de traitement des informations RESTREINT UE/EU RESTRICTED, y compris les aspects relatifs à l’assurance de l’information et les exigences spécifiques que doit remplir le contractant, agissant par délégation du pouvoir adjudicateur, en vue de l’agrément de son SIC traitant des informations RESTREINT UE/EU RESTRICTED.
            
            
               7.   Lorsque des informations RESTREINT UE/EU RESTRICTED sont communiquées aux soumissionnaires ou à des contractants potentiels, les exigences minimales visées au paragraphe 6 sont mentionnées dans les offres ou dans les accords de confidentialité y afférents au stade de l’appel d’offres.
            
            
               8.   Lorsque les dispositions législatives et réglementaires nationales des États membres l’exigent, les ANS/ASD veillent à ce que les contractants ou sous-traitants relevant de leur juridiction respectent les dispositions applicables en matière de sécurité pour la protection des informations RESTREINT UE/EU RESTRICTED et effectuent des visites de vérification auprès des établissements des contractants situés sur leur territoire. Lorsque l’ANS/ASD n’est pas soumise à une telle obligation, le pouvoir adjudicateur veille à ce que le contractant mette en œuvre les dispositions de sécurité requises énoncées à l’annexe III.
            
         
         
            Article 6
            Accès du personnel des contractants et sous-traitants aux ICUE
            
               1.   Le service de la Commission, en tant que pouvoir adjudicateur, veille à ce que les contrats classifiés renferment des dispositions indiquant que le personnel d’un contractant ou sous-traitant qui, aux fins de l’exécution du contrat ou du contrat de sous-traitance classifié, requiert l’accès à des ICUE, peut se voir accorder un tel accès uniquement si les conditions suivantes sont remplies:
               
                           a)
                        
                        
                           avoir un besoin établi d’en connaître;
                        
                     
                           b)
                        
                        
                           pour les informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, s’être vu accorder une HSP du niveau correspondant par l’ANS/ASD ou toute autre autorité de sécurité compétente;
                        
                     
                           c)
                        
                        
                           avoir été informé des règles de sécurité applicables à la protection des ICUE et avoir reconnu les responsabilités qui lui incombent en matière de protection de ces informations.
                        
                     
            
               2.   Si un contractant ou un sous-traitant souhaite employer un ressortissant d’un pays non-membre de l’Union européenne à une fonction qui requiert l’accès à des ICUE classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, il incombe au contractant ou au sous-traitant d’engager la procédure d’habilitation de sécurité concernant cette personne conformément aux dispositions législatives et réglementaires nationales applicables sur le lieu où l’accès aux ICUE doit être accordé.
            
         
         CHAPITRE 4
         
            VISITES LIEES A DES MARCHES CLASSIFIES
         
         
            Article 7
            Principes de base
            
               1.   Lorsque la Commission, des contractants ou des sous-traitants doivent avoir accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET dans leurs locaux respectifs aux fins de l’exécution d’un marché classifié, les visites sont organisées en liaison avec les ANS/ASD ou toute autre autorité de sécurité compétente concernée.
            
            
               2.   Les visites visées au paragraphe 1 sont soumises aux exigences suivantes:
               
                           a)
                        
                        
                           la visite a un motif officiel lié à un marché classifié attribué par la Commission;
                        
                     
                           b)
                        
                        
                           tout visiteur détient une HSP au niveau requis et jouit, sur la base du principe du besoin d’en connaître, d’un accès aux ICUE communiquées ou produites dans le cadre de l’exécution d’un marché classifié attribué par la Commission.
                        
                     
         
         
            Article 8
            Demandes de visite
            
               1.   Les visites effectuées par les contractants dans les établissements d’autres contractants, ou dans les locaux de la Commission, qui impliquent l’accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, sont organisées selon la procédure suivante:
               
                           a)
                        
                        
                           le responsable de la sécurité de l’établissement qui envoie le visiteur remplit toutes les parties pertinentes du formulaire de demande de visite (DDV) et soumet la demande à l’ANS/ASD de l’établissement. Un modèle de formulaire de DDV figure à l’annexe III, appendice C;
                        
                     
                           b)
                        
                        
                           l’ANS/ASD de l’établissement d’envoi doit confirmer l’HSP du visiteur avant de soumettre la DDV à l’ANS/ASD de l’établissement d’accueil (ou à l’autorité de sécurité de la Commission si la visite a lieu dans les locaux de la Commission);
                        
                     
                           c)
                        
                        
                           le responsable de la sécurité de l’établissement d’envoi obtient ensuite de son ANS/ASD la réponse de l’ANS/ASD de l’établissement d’accueil (ou de l’autorité de sécurité de la Commission) signifiant l’approbation ou le rejet de la DDV;
                        
                     
                           d)
                        
                        
                           une DDV est réputée approuvée si aucune objection n’est formulée dans les cinq jours ouvrables qui précèdent la date de la visite.
                        
                     
            
               2.   Les visites effectuées par des fonctionnaires de la Commission dans les établissements de contractants qui impliquent l’accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET sont organisées selon la procédure suivante:
               
                           a)
                        
                        
                           le visiteur remplit toutes les parties pertinentes du formulaire de DDV et soumet celui-ci à l’autorité de sécurité de la Commission;
                        
                     
                           b)
                        
                        
                           l’autorité de sécurité de la Commission confirme l’HSP du visiteur avant de soumettre la DDV à l’ANS/ASD de l’établissement d’accueil;
                        
                     
                           c)
                        
                        
                           l’autorité de sécurité de la Commission obtient une réponse de l’ANS/ASD de l’établissement d’accueil signifiant l’approbation ou le rejet de la DDV;
                        
                     
                           d)
                        
                        
                           une DDV est réputée approuvée si aucune objection n’est formulée dans les cinq jours ouvrables qui précèdent la date de la visite.
                        
                     
            
               3.   Une DDV peut couvrir une seule visite ou des visites récurrentes. Dans le cas de visites récurrentes, la DDV peut être valable pendant une durée maximale d’un an à compter de la date de début demandée.
            
            
               4.   La durée de validité de la DDV n’excède pas la durée de validité de l’HSP du visiteur.
            
            
               5.   En règle générale, la DDV doit être soumise à l’autorité de sécurité compétente de l’établissement d’accueil au moins 15 jours ouvrables avant la date de la visite.
            
         
         
            Article 9
            Procédures de visite
            
               1.   Avant d’autoriser l’accès d’un visiteur à des ICUE, le bureau de sécurité de l’établissement d’accueil se conforme à toutes les procédures et règles de sécurité relatives aux visites qui sont définies par son ANS/ASD.
            
            
               2.   Les visiteurs déclinent leur identité à leur arrivée dans l’établissement d’accueil en présentant une carte d’identité ou un passeport en cours de validité. Ces informations d’identification correspondent aux renseignements fournis dans la DDV.
            
            
               3.   L’établissement d’accueil veille à tenir un registre de tous les visiteurs, indiquant leur nom, l’organisation qu’ils représentent, la date d’expiration de l’HSP, la date de la visite et le nom des personnes auxquelles il est rendu visite. Ces registres sont conservés pendant une période d’au moins cinq ans, ou plus si les règles et réglementations nationales du pays dans lequel est situé l’établissement d’accueil l’exigent.
            
         
         
            Article 10
            Visites organisées directement
            
               1.   Dans le cadre de projets spécifiques, les ANS/ASD compétentes et l’autorité de sécurité de la Commission peuvent convenir d’une procédure permettant au responsable de la sécurité du visiteur et au responsable de la sécurité de l’établissement à visiter d’organiser directement des visites pour un marché classifié spécifique. Le modèle de formulaire à utiliser à cette fin figure à l’annexe III, appendice C. Cette procédure exceptionnelle est définie dans les ISP ou dans le cadre d’autres arrangements spécifiques. En pareil cas, les procédures prévues à l’article 8 et à l’article 9, paragraphe 1, ne s’appliquent pas.
            
            
               2.   Les visites impliquant l’accès à des informations classifiées RESTREINT UE/EU RESTRICTED sont organisées directement entre l’entité d’envoi et l’entité d’accueil sans qu’il soit nécessaire de suivre les procédures prévues à l’article 8 et à l’article 9, paragraphe 1.
            
         
         CHAPITRE 5
         
            TRANSMISSION ET TRANSPORT D’ICUE LORS DE L’EXECUTION DE CONTRATS CLASSIFIES
         
         
            Article 11
            Principes de base
            Le pouvoir adjudicateur veille à ce que toutes les décisions relatives au transfert et au transport d’ICUE soient conformes à la décision (UE, Euratom) 2015/444 et à ses modalités d’application, ainsi qu’aux dispositions du contrat classifié, comprenant le consentement de l’autorité d’origine.
         
         
            Article 12
            Traitement électronique
            
               1.   Le traitement et la transmission électroniques d’ICUE sont effectués conformément aux chapitres 5 et 6 de la décision (UE, Euratom) 2015/444 de la Commission et à ses modalités d’application.
               Les systèmes d’information et de communication détenus par un contractant et utilisés pour traiter des ICUE aux fins de l’exécution du contrat («SIC du contractant») sont soumis à l’agrément de l’autorité d’homologation de sécurité (AHS) compétente. Toute transmission d’ICUE par voie électronique est protégée par des produits cryptographiques approuvés conformément à l’article 36, paragraphe 4, de la décision (UE, Euratom) 2015/444. Des mesures TEMPEST sont mises en œuvre conformément à l’article 36, paragraphe 6, de ladite décision.
            
            
               2.   L’habilitation de sécurité du SIC du contractant qui traite des ICUE au niveau RESTREINT UE/EU RESTRICTED et toute interconnexion y afférente peuvent être déléguées au responsable de la sécurité d’un contractant si les dispositions législatives et réglementaires nationales le permettent. Lorsque cette tâche est déléguée, le contractant est responsable de la mise en œuvre des exigences minimales en matière de sécurité décrites dans l’AS lors du traitement d’informations RESTREINT UE/EU RESTRICTED dans son SIC. Toutefois, les ANS/ASD et AHS compétentes demeurent responsables de la protection des informations RESTREINT UE/EU RESTRICTED traitées par le contractant et conservent le droit de contrôler les mesures de sécurité prises par les contractants. En outre, le contractant fournit au pouvoir adjudicateur et, lorsque les dispositions législatives et réglementaires nationales l’exigent, à l’AHS nationale compétente, une déclaration de conformité attestant que le SIC du contractant et les interconnexions s’y rapportant ont été agréés pour traiter des ICUE au niveau RESTREINT UE/EU RESTRICTED (12).
            
         
         
            Article 13
            Transport par des services de courrier commercial
            Le transport d’ICUE par des services de courrier commercial est conforme aux dispositions pertinentes des décisions de la Commission relatives aux modalités d’application du traitement des informations RESTREINT UE/EU RESTRICTED et des informations CONFIDENTIEL UE/EU CONFIDENTIAL.
         
         
            Article 14
            Transport par porteur
            
               1.   Le transport par porteur d’informations classifiées est soumis à des exigences strictes en matière de sécurité.
            
            
               2.   Le transport par porteur d’informations classifiées RESTREINT UE/EU RESTRICTED peut être effectué par un membre du personnel du contractant à l’intérieur de l’Union européenne, pour autant que les conditions suivantes soient remplies:
               
                           a)
                        
                        
                           l’enveloppe ou l’emballage utilisé(e) est opaque et ne comporte aucune indication de la classification de son contenu;
                        
                     
                           b)
                        
                        
                           le porteur ne se sépare pas des informations classifiées;
                        
                     
                           c)
                        
                        
                           l’enveloppe ou l’emballage n’est pas ouvert(e) pendant le transport.
                        
                     
            
               3.   Pour les informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET, le transport par porteur effectué par un membre du personnel du contractant dans un État membre de l’Union européenne est organisé à l’avance par l’entité expéditrice et l’entité destinataire. L’autorité expéditrice ou l’établissement expéditeur informe l’autorité ou l’établissement destinataire des éléments relatifs à l’envoi, en indiquant notamment la référence, la classification, l’heure d’arrivée prévue et le nom du service de courrier. Ce transport par porteur est autorisé pour autant que les conditions suivantes soient remplies:
               
                           a)
                        
                        
                           les informations classifiées sont transportées sous double enveloppe/emballage;
                        
                     
                           b)
                        
                        
                           l’enveloppe ou l’emballage extérieur(e) est sécurisé(e) et ne porte pas d’indication sur la classification de son contenu, tandis que l’enveloppe intérieure indique le niveau de classification;
                        
                     
                           c)
                        
                        
                           le porteur ne se sépare pas des ICUE;
                        
                     
                           d)
                        
                        
                           l’enveloppe ou l’emballage n’est pas ouvert(e) pendant le transport;
                        
                     
                           e)
                        
                        
                           l’enveloppe ou l’emballage est transporté(e) dans un porte-documents fermant à clé ou emballage similaire agréé qui, de par ses dimensions et son poids, doit pouvoir rester en permanence en la possession personnelle du porteur et ne doit pas être déposé(e) dans une soute à bagage;
                        
                     
                           f)
                        
                        
                           le porteur est muni d’un certificat de courrier délivré par son autorité de sécurité compétente qui l’autorise à transporter l’envoi classifié dûment identifié.
                        
                     
            
               4.   Pour le transport par porteur d’informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET effectué par le personnel du contractant d’un État membre de l’Union européenne à un autre, les règles complémentaires suivantes s’appliquent:
               
                           a)
                        
                        
                           le porteur est responsable de la sécurité du matériel classifié transporté jusqu’à la remise de celui-ci au destinataire;
                        
                     
                           b)
                        
                        
                           en cas d’infraction à la sécurité, l’ANS/ASD de l’expéditeur peut demander que les autorités du pays dans lequel l’infraction a eu lieu mènent une enquête, fassent état de leurs constatations et engagent une action en justice ou autre s’il y a lieu;
                        
                     
                           c)
                        
                        
                           le porteur a été informé de toutes les obligations en matière de sûreté à respecter pendant le transport et a signé une déclaration qui l’atteste;
                        
                     
                           d)
                        
                        
                           les instructions destinées au porteur sont jointes au certificat de courrier;
                        
                     
                           e)
                        
                        
                           le porteur a reçu une description de l’envoi et un itinéraire;
                        
                     
                           f)
                        
                        
                           les documents sont renvoyés à l’ANS/ASD de délivrance après l’achèvement du (des) déplacement(s) ou sont tenus à disposition par le destinataire à des fins de contrôle;
                        
                     
                           g)
                        
                        
                           si les autorités douanières, les services de l’immigration ou la police des frontières demandent à examiner et à contrôler l’envoi, il leur est permis de l’ouvrir et d’en observer des parties suffisantes afin d’établir qu’il ne contient rien d’autre que le matériel qui est déclaré;
                        
                     
                           h)
                        
                        
                           les autorités douanières doivent être instamment priées de respecter l’autorité officielle des documents d’expédition et des documents d’autorisation transportés par le porteur.
                        
                     Si un envoi est ouvert par les autorités douanières, l’ouverture doit être effectuée hors de la vue des personnes non autorisées et, dans la mesure du possible, en présence du porteur. Le porteur demande que l’envoi soit remballé et prie les autorités qui effectuent le contrôle de refermer l’envoi et de confirmer par écrit que celui-ci a été ouvert par elles.
            
            
               5.   Le transport par porteur d’informations classifiées RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET effectué par le personnel du contractant à destination d’un pays tiers ou d’une organisation internationale sont soumis aux dispositions de l’accord sur la sécurité des informations ou de l’arrangement administratif conclu entre, respectivement, l’Union européenne ou la Commission et ce pays tiers ou cette organisation internationale.
            
         
         CHAPITRE 6
         
            PLANIFICATION DE LA CONTINUITE DES ACTIVITES
         
         
            Article 15
            Plans d’urgence et mesures de retour aux conditions opérationnelles
            Le service de la Commission, en tant que pouvoir adjudicateur, veille à ce que le contrat classifié fasse obligation au contractant d’établir des plans d’urgence pour protéger les ICUE traitées dans le cadre de l’exécution du contrat classifié dans les situations d’urgence et de mettre en place des mesures de prévention et de retour aux conditions opérationnelles dans le contexte d’une planification de la continuité des activités afin de limiter l’impact des incidents se rapportant au traitement et au stockage des ICUE. Le contractant informe le pouvoir adjudicateur de son plan.
         
         
            Article 16
            Entrée en vigueur
            La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.
         
         
            Fait à Bruxelles, le 17 octobre 2019.
            
               
                  Par la Commission,
               
               
                  au nom du président,
               
               Günther OETTINGER
               
                  Membre de la Commission
               
            
         
         
            (1)  JO L 72 du 17.3.2015, p. 41.
         
            (2)  JO L 72 du 17.3.2015, p. 53.
         
            (3)  JO L 6 du 11.1.2017, p. 40.
         
            (4)  JO C 202 du 8.7.2011, p. 13.
         
            (5)  Décision 2013/488/UE du Conseil du 23 septembre 2013 concernant les règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne (JO L 274 du 15.10.2013, p. 1).
         
            (6)  Directive 2009/81/CE du Parlement européen et du Conseil du 13 juillet 2009 relative à la coordination des procédures de passation de certains marchés de travaux, de fournitures et de services par des pouvoirs adjudicateurs ou entités adjudicatrices dans les domaines de la défense et de la sécurité (JO L 216 du 20.8.2009, p. 76).
         
            (7)  Décision de la Commission du 4 mai 2016 relative à une habilitation en matière de sécurité [C(2016) 2797 final].
         
            (8)  Règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil du 18 juillet 2018 relatif aux règles financières applicables au budget général de l’Union, modifiant les règlements (UE) no 1296/2013, (UE) no 1301/2013, (UE) no 1303/2013, (UE) no 1304/2013, (UE) no 1309/2013, (UE) no 1316/2013, (UE) no 223/2014, (UE) no 283/2014 et la décision no 541/2014/UE, et abrogeant le règlement (UE, Euratom) no 966/2012 (JO L 193 du 30.7.2018, p. 1).
         
            (9)  La liste des accords conclus par l’Union européenne et des arrangements administratifs conclus par la Commission européenne, en vertu desquels des informations classifiées de l’Union européenne peuvent être échangées avec des pays tiers et des organisations internationales, est consultable sur le site internet de la Commission.
         
            (10)  D’autres formulaires utilisés peuvent différer, de par leur conception, de l’exemple fourni dans les présentes modalités d’application.
         
            (11)  La liste des accords conclus par l’Union européenne et des arrangements administratifs conclus par la Commission européenne, en vertu desquels des informations classifiées de l’Union européenne peuvent être échangées avec des pays tiers et des organisations internationales, est consultable sur le site internet de la Commission.
         
            (12)  Les exigences minimales applicables aux systèmes d’information et de communication qui traitent des ICUE au niveau RESTREINT UE/EU RESTRICTED sont définies à l’annexe III, appendice E.
      
      
         
            ANNEXE I
            
               INFORMATIONS STANDARD DANS LES AVIS DE MARCHÉ
            
            
               (à adapter aux avis de marché utilisés)
            
            
               Pour les marchés comportant des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET
            
            Autres conditions particulières (le cas échéant)
            
                        L’exécution du marché est soumise à des conditions particulières
                     
                     
                        
                            oui
                     
                        
                            non
                  (si oui) Description de ces conditions particulières:
            Le marché impliquera l’accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, ainsi que le traitement et/ou le stockage de telles informations, qui sont soumises aux règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne énoncées dans la décision (UE, Euratom) 2015/444 et aux modalités d’application de cette décision (1).
            Une habilitation de sécurité d’établissement sera requise, de même que des habilitations de sécurité pour le personnel du contractant chargé du traitement d’informations classifiées.
            Des obligations spécifiques en matière de sécurité feront partie intégrante du contrat (annexe de sécurité jointe au contrat). Toute sous-traitance fera l’objet d’un accord écrit préalable du pouvoir adjudicateur et le sous-traitant et son personnel seront soumis à l’ensemble des règles de sécurité.
            
               Pour les contrats comportant des informations classifiées RESTREINT UE/EU RESTRICTED
            
            Autres conditions particulières (le cas échéant)
            
                        L’exécution du marché est soumise à des conditions particulières
                     
                     
                        
                            oui
                     
                        
                            non
                  (si oui) Description de ces conditions particulières:
            Le contrat impliquera ou nécessitera l’accès à des informations classifiées RESTREINT UE/EU RESTRICTED, et le traitement et/ou le stockage de telles informations, qui sont soumises aux règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne énoncées dans la décision (UE, Euratom) 2015/444 et aux modalités d’application de cette décision (2).
            Des obligations spécifiques en matière de sécurité feront partie intégrante du contrat (annexe de sécurité jointe au contrat). Toute sous-traitance fera l’objet d’un accord écrit préalable du pouvoir adjudicateur et le sous-traitant et son personnel seront soumis à l’ensemble des règles de sécurité.
            
               (1)  Le pouvoir adjudicateur insérera les références une fois que ces modalités d’application auront été adoptées.
            
               (2)  Le pouvoir adjudicateur insérera les références une fois que ces modalités d’application auront été adoptées.
         
      
      
         
            ANNEXE II
            
               CLAUSES CONTRACTUELLES STANDARD POUR LES MARCHÉS
            
            
               (à adapter aux contrats utilisés)
            
            ARTICLE XX
            
               OBLIGATIONS LIÉES À LA SÉCURITÉ
            
            
               XX.1 Informations classifiées de l’Union européenne
            
            Si l’exécution du marché implique l’utilisation ou la production d’informations classifiées de l’Union européenne, ces informations doivent être traitées conformément à l’annexe de sécurité (AS) et à son guide de la classification de sécurité (GCS), comme indiqué à l’annexe 1, et à la décision (UE, Euratom) 2015/444 et à ses modalités d’application (1), jusqu’à ce qu’elles soient déclassifiées.
            Tous les éléments livrables contenant des informations classifiées doivent être présentés conformément à des procédures spéciales convenues avec le pouvoir adjudicateur.
            Les tâches liées à l’action qui impliquent des informations classifiées ne doivent pas être sous-traitées sans l’autorisation préalable expresse et écrite du pouvoir adjudicateur.
            Les informations classifiées de l’Union européenne ne doivent pas être divulguées à des tiers (y compris à des sous-traitants) sans l’autorisation préalable expresse et écrite du pouvoir adjudicateur.
            
               (1)  Le pouvoir adjudicateur insérera les références une fois que ces modalités d’application auront été adoptées.
         
      
      
         
            ANNEXE III
            [Annexe IV (du contrat-cadre)]
            
               ANNEXE DE SÉCURITÉ (AS)
            
            [Modèle]
         
         
            
               Appendice A
               
                  EXIGENCES EN MATIÈRE DE SÉCURITÉ
               
               
                  Le pouvoir adjudicateur doit intégrer les exigences de sécurité suivantes dans l’annexe de sécurité (AS). Il se peut que certaines clauses ne soient pas applicables au marché. Celles-ci sont indiquées entre crochets.
               
               
                  La liste des clauses n’est pas exhaustive. D’autres clauses peuvent être ajoutées en fonction de la nature du marché classifié.
               
               
                  CONDITIONS GÉNÉRALES
               
               [NB: applicables à tous les contrats classifiés]
               
                        
                           1.
                        
                        
                           La présente annexe de sécurité (AS) fait partie intégrante du contrat classifié [ou du contrat de sous-traitance] et décrit les exigences de sécurité propres au contrat. Le non-respect de ces exigences peut constituer un motif suffisant pour résilier le contrat.
                        
                     
                        
                           2.
                        
                        
                           Les contractants sont soumis à toutes les obligations figurant dans la décision (UE, Euratom) 2015/444 et dans ses modalités d’application (1).
                        
                     
                        
                           3.
                        
                        
                           Les informations classifiées produites lors de l’exécution du contrat doivent être marquées comme étant des informations classifiées de l’Union européenne (ICUE) au niveau de classification de sécurité, tel qu’indiqué dans le guide de la classification de sécurité (GCS) figurant à l’appendice B de la présente annexe. Il n’est permis de s’écarter du niveau de classification de sécurité prévu par le GCS que sur autorisation écrite du pouvoir adjudicateur.
                        
                     
                        
                           4.
                        
                        
                           Les droits relevant de l’autorité d’origine de toute ICUE créée et traitée pour l’exécution du contrat classifié sont exercés par la Commission, en tant que pouvoir adjudicateur.
                        
                     
                        
                           5.
                        
                        
                           Sans le consentement écrit du pouvoir adjudicateur, le contractant ou le sous-traitant ne doit pas utiliser d’informations ou de matériel fournis par le pouvoir adjudicateur ou produits pour le compte de ce dernier à des fins autres que celle prévues par le contrat.
                        
                     
                        
                           6.
                        
                        
                           Le contractant doit enquêter sur toute infraction à la sécurité relative aux ICUE et en référer au pouvoir adjudicateur dès que possible. Le contractant ou le sous-traitant doit immédiatement rendre compte à son autorité nationale de sécurité (ANS) compétente ou à l’autorité de sécurité désignée (ASD) et, lorsque les dispositions législatives et réglementaires nationales l’autorisent, à l’autorité de sécurité de la Commission, de tous les cas dans lesquels il est avéré ou il existe des motifs de soupçonner que des ICUE fournies ou produites en vertu du contrat ont été perdues ou divulguées à des personnes non autorisées.
                        
                     
                        
                           7.
                        
                        
                           Après la fin du contrat, le contractant ou le sous-traitant doit restituer au pouvoir adjudicateur, dans les meilleurs délais, toute ICUE qu’il détient. Dans la mesure du possible, le contractant ou le sous-traitant doit détruire les ICUE au lieu de les restituer. Il convient à cet égard de procéder conformément aux dispositions législatives et réglementaires nationales du pays dans lequel le contractant est établi, avec l’accord préalable de l’autorité de sécurité de la Commission et conformément aux instructions de celle-ci. Les ICUE doivent être détruites de manière à ne pas pouvoir être reconstituées, que ce soit entièrement ou partiellement.
                        
                     
                        
                           8.
                        
                        
                           Lorsque le contractant ou le sous-traitant est autorisé à conserver des ICUE après la résiliation ou le terme du contrat, les ICUE doivent continuer à être protégées conformément à la décision (UE, Euratom) 2015/444 (ci-après dénommée «décision 2015/444 de la Commission»), ainsi qu’à ses dispositions d’application (2).
                        
                     
                        
                           9.
                        
                        
                           Toute gestion, tout traitement et toute transmission électroniques d’ICUE doivent être conformes aux dispositions des chapitres 5 et 6 de la décision 2015/444 de la Commission. Parmi celles-ci figure notamment l’exigence que les systèmes d’information et de communication détenus par le contractant et utilisés pour traiter des ICUE aux fins du contrat (ci-après dénommés «SIC du contractant») sont soumis à agrément (3), que toute transmission d’ICUE par voie électronique doit être protégée par des produits cryptographiques approuvés conformément à l’article 36, paragraphe 4, de la décision 2015/444 de la Commission et que des mesures TEMPEST doivent être mises en œuvre conformément à l’article 36, paragraphe 6, de ladite décision.
                        
                     
                        
                           10.
                        
                        
                           Le contractant ou le sous-traitant doit disposer de plans d’urgence pour protéger toute ICUE traitée dans le cadre de l’exécution du contrat classifié dans les situations d’urgence et mettre en place des mesures de prévention et de retour aux conditions opérationnelles afin de limiter l’impact des incidents se rapportant au traitement et au stockage des ICUE. Le contractant ou le sous-traitant doit informer le pouvoir adjudicateur de son plan.
                        
                     
                  CONTRATS NÉCESSITANT L’ACCÈS À DES INFORMATIONS CLASSIFIÉES RESTREINT UE/EU RESTRICTED
               
               
                        
                           11.
                        
                        
                           Le contrat n’impose pas d’habilitation de sécurité du personnel (HSP). Toutefois, les informations ou le matériel classifiés RESTREINT UE/EU RESTRICTED ne doivent être accessibles qu’au personnel du contractant qui en a besoin pour exécuter le contrat (principe du «besoin d’en connaître»), qui a été informé par le responsable de la sécurité du contractant de ses responsabilités et des conséquences de toute infraction à la sécurité ou compromission de ces informations et qui a reconnu par écrit les conséquences d’un défaut de protection des ICUE.
                        
                     
                        
                           12.
                        
                        
                           Sauf dans le cas où le pouvoir adjudicateur a donné son consentement par écrit, le contractant ou le sous-traitant ne doivent pas donner accès aux informations ou au matériel classifiés RESTREINT UE/EU RESTRICTED à des entités ou personnes autres que leur personnel ayant besoin d’en connaître.
                        
                     
                        
                           13.
                        
                        
                           Le contractant ou le sous-traitant doit conserver les marquages de classification de sécurité des informations classifiées produites par le contrat ou fournies lors de son exécution et ne doit pas déclassifier d’informations sans l’autorisation écrite du pouvoir adjudicateur.
                        
                     
                        
                           14.
                        
                        
                           Les informations ou le matériel classifiés RESTREINT UE/EU RESTRICTED doivent être stockés dans un meuble de bureau fermé à clé lorsqu’ils ne sont pas utilisés. S’ils sont déplacés, les documents doivent être transportés dans une enveloppe opaque. Le porteur ne doit pas s’en séparer, et ils ne doivent pas être déballés pendant le transport.
                        
                     
                        
                           15.
                        
                        
                           Le contractant ou le sous-traitant peut transmettre des documents classifiés RESTREINT UE/EU RESTRICTED à la Commission en recourant à des sociétés de courrier commercial, aux services postaux, au transport par porteur ou à des moyens électroniques. À cette fin, le contractant ou le sous-traitant doit se conformer aux instructions de sécurité du programme (ou du projet) (ISP) émises par la Commission et/ou aux modalités d’application de la Commission en matière de sécurité industrielle en ce qui concerne les marchés classifiés (4).
                        
                     
                        
                           16.
                        
                        
                           Lorsqu’ils ne sont plus nécessaires, les documents classifiés RESTREINT UE/EU RESTRICTED doivent être détruits de manière à ne pas pouvoir être reconstitués, que ce soit entièrement ou partiellement.
                        
                     
                        
                           17.
                        
                        
                           L’habilitation de sécurité du SIC du contractant qui traite des ICUE au niveau RESTREINT UE/EU RESTRICTED et toute interconnexion y afférente peuvent être déléguées au responsable de la sécurité d’un contractant si les dispositions législatives et réglementaires nationales l’autorisent. Lorsque l’habilitation est ainsi déléguée, les ANS/ASD/AHS demeurent responsables de la protection de toute information RESTREINT UE/EU RESTRICTED traitée par le contractant et conservent le droit de contrôler les mesures de sécurité prises par le contractant. En outre, le contractant fournit au pouvoir adjudicateur et, lorsque les dispositions législatives et réglementaires nationales l’exigent, à l’AHS nationale compétente, une déclaration de conformité attestant que le SIC du contractant et les interconnexions s’y rapportant ont été agréés pour traiter des ICUE au niveau RESTREINT UE/EU RESTRICTED.
                        
                     
                  TRAITEMENT DES INFORMATIONS CLASSIFIÉES RESTREINT UE/EU RESTRICTED DANS LES SYSTÈMES D’INFORMATION ET DE COMMUNICATION (SIC)
               
               
                        
                           18.
                        
                        
                           Les exigences minimales applicables aux SIC qui traitent des informations classifiées au niveau RESTREINT UE/EU RESTRICTED sont définies à l’appendice E de la présente annexe de sécurité.
                        
                     
                  CONDITIONS DANS LESQUELLES LE CONTRACTANT PEUT RECOURIR À LA SOUS-TRAITANCE
               
               
                        
                           19.
                        
                        
                           Le contractant doit obtenir l’autorisation du service compétent de la Commission, en tant que pouvoir adjudicateur, avant de pouvoir sous-traiter une partie d’un contrat classifié.
                        
                     
                        
                           20.
                        
                        
                           Aucun contrat de sous-traitance ne peut être attribué à une entreprise immatriculée dans un État non-membre de l’Union européenne ou à une entité appartenant à une organisation internationale, si cet État non-membre de l’Union européenne ou cette organisation internationale n’a pas conclu un accord sur la sécurité des informations avec l’Union ou un arrangement administratif avec la Commission.
                        
                     
                        
                           21.
                        
                        
                           Si le contractant recourt à la sous-traitance, les dispositions du présent contrat en matière de sécurité s’appliquent mutatis mutandis au(x) sous-traitant(s) et à son (leur) personnel. En pareil cas, il incombe au contractant de veiller à ce que tous les sous-traitants appliquent ces principes à leurs propres arrangements de sous-traitance. Pour veiller à une supervision appropriée en matière de sécurité, les ANS/ASD du contractant et du sous-traitant sont informées de l’attribution de tous les contrats de sous-traitance classifiés correspondants aux niveaux CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET. Le cas échéant, les ANS/ASD du contractant et du sous-traitant reçoivent un exemplaire des dispositions de sécurité propres au contrat de sous-traitance. La liste des ANS/ASD qui exigent une notification concernant les dispositions de sécurité des contrats classifiés RESTREINT UE/EU RESTRICTED figure à l’annexe des modalités d’application de la Commission en matière de sécurité industrielle en ce qui concerne les marchés classifiés (5).
                        
                     
                        
                           22.
                        
                        
                           Le contractant ne peut divulguer aucune ICUE à un sous-traitant sans l’autorisation écrite préalable du pouvoir adjudicateur. Si des ICUE doivent être transmises aux sous-traitants de manière fréquente ou systématique, le pouvoir adjudicateur peut donner son autorisation pour une durée déterminée (par exemple 12 mois) ou pour la durée du contrat de sous-traitance.
                        
                     
                  VISITES
               
               
                  Si la procédure DDV standard doit être appliquée aux visites comportant des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, le pouvoir adjudicateur doit intégrer les points 23, 24 et 25 et supprimer le point 26. Si des visites comportant des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET sont organisées directement par l’établissement d’envoi et l’établissement d’accueil, le pouvoir adjudicateur doit supprimer les points 24 et 25 et insérer uniquement le point 26.
               
               
                        
                           23.
                        
                        
                           Les visites impliquant un accès ou un accès potentiel à des informations classifiées RESTREINT UE/EU RESTRICTED sont organisées directement par l’établissement d’envoi et l’établissement d’accueil sans qu’il soit nécessaire de suivre la procédure prévue aux points 24 à 26 ci-dessous.
                        
                     
                        
                           [24.
                        
                        
                           Les visites impliquant un accès ou un accès potentiel à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET sont soumises à la procédure suivante:
                           
                                       a)
                                    
                                    
                                       le responsable de la sécurité de l’établissement qui envoie le visiteur remplit toutes les parties pertinentes du formulaire de DDV (appendice C) et soumet la demande à l’ANS/ASD de l’établissement;
                                    
                                 
                                       b)
                                    
                                    
                                       l’ANS/ASD de l’établissement d’envoi doit confirmer l’HSP du visiteur avant de soumettre la DDV à l’ANS/ASD de l’établissement d’accueil (ou à l’autorité de sécurité de la Commission si la visite a lieu dans les locaux de la Commission);
                                    
                                 
                                       c)
                                    
                                    
                                       le responsable de la sécurité de l’établissement d’envoi obtient ensuite de son ANS/ASD la réponse de l’ANS/ASD de l’établissement d’accueil (ou de l’autorité de sécurité de la Commission) signifiant l’approbation ou le rejet de la DDV;
                                    
                                 
                                       d)
                                    
                                    
                                       une DDV est réputée approuvée si aucune objection n’est formulée dans les cinq jours ouvrables qui précèdent la date de la visite.]
                                    
                                 
                     
                        
                           [25.
                        
                        
                           Avant que soit donné au(x) visiteur(s) l’accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, l’établissement d’accueil doit avoir reçu l’autorisation de son ANS/ASD.]
                        
                     
                        
                           [26.
                        
                        
                           Les visites impliquant un accès ou un accès potentiel à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET sont organisées directement par l’établissement d’envoi et l’établissement d’accueil (un exemple de formulaire pouvant être utilisé à cette fin figure à l’appendice C).]
                        
                     
                        
                           27.
                        
                        
                           Les visiteurs doivent décliner leur identité à leur arrivée dans l’établissement d’accueil en présentant une carte d’identité ou un passeport en cours de validité.
                        
                     
                        
                           28.
                        
                        
                           L’établissement qui accueille la visite doit veiller à tenir un registre de tous les visiteurs, comportant leur nom, l’organisation qu’ils représentent, la date d’expiration de l’HSP (le cas échéant), la date de la visite et le nom de la ou des personnes auxquelles il est rendu visite. Sans préjudice des règles européennes en matière de protection des données, ce registre doit être conservé pendant une période d’au moins cinq ans ou pendant la durée prévue par la réglementation nationale, selon le cas.
                        
                     
                  VISITES D’ÉVALUATION
               
               
                        
                           29.
                        
                        
                           L’autorité de sécurité de la Commission peut, en coopération avec l’ANS/ASD compétente, effectuer des visites dans les établissements des contractants ou sous-traitants afin de vérifier que les exigences de sécurité applicables au traitement des ICUE sont respectées.
                        
                     
                  GUIDE DE LA CLASSIFICATION DE SÉCURITÉ
               
               
                        
                           30.
                        
                        
                           Le guide de la classification de sécurité (GCS) contient la liste de tous les éléments du marché qui sont classifiés ou à classifier au cours de l’exécution dudit marché, les règles prévues à cet effet et les niveaux de classification de sécurité applicables. Le GCS fait partie intégrante du présent contrat et figure à l’appendice B de la présente annexe.
                        
                     
                  (1)  Le pouvoir adjudicateur insérera les références une fois que ces modalités d’application auront été adoptées.
               
                  (2)  Le pouvoir adjudicateur insérera les références une fois que ces modalités d’application auront été adoptées.
               
                  (3)  La partie qui sollicite l’agrément devra fournir au pouvoir adjudicateur une déclaration de conformité, par l’intermédiaire de l’autorité de sécurité de la Commission et en coordination avec l’autorité nationale d’homologation de sécurité (AHS) compétente.
               
                  (4)  Le pouvoir adjudicateur insérera les références une fois que ces modalités d’application auront été adoptées.
               
                  (5)  Le pouvoir adjudicateur insérera les références une fois que ces modalités d’application auront été adoptées.
            
         
         
            
               Appendice B
               
                  GUIDE DE LA CLASSIFICATION DE SÉCURITÉ
               
               [texte spécifique à adapter en fonction de l’objet du contrat]
            
         
         
            
               Appendice C
               
                  DEMANDE DE VISITE
               
               (MODÈLE)
               
                  Instructions détaillées pour remplir la demande de visite
               
               (La demande doit être présentée en anglais uniquement)
               
                           
                              HEADING
                           
                        
                        
                           Cochez les cases correspondant au type de visite et au type d’informations et indiquez le nombre de sites à visiter et le nombre de visiteurs.
                        
                     
                           
                                       4.
                                    
                                    
                                       ADMINISTRATIVE DATA
                                    
                                 
                        
                           À remplir par l’ANS/ASD à l’origine de la demande.
                        
                     
                           
                                       5.
                                    
                                    
                                       REQUESTING ORGANISATION OR INDUSTRIAL FACILITY
                                    
                                 
                        
                           Indiquez la dénomination complète et l’adresse postale.
                           Indiquez la ville, l’État et le code postal comme il convient.
                        
                     
                           
                                       6.
                                    
                                    
                                       ORGANISATION OR INDUSTRIAL FACILITY TO BE VISITED
                                    
                                 
                        
                           Indiquez la dénomination complète et l’adresse postale. Indiquez la ville, l’État, le code postal, les numéros de telex ou de télécopieur (le cas échéant), le numéro de téléphone et l’adresse électronique. Indiquez le nom, les numéros de téléphone/télécopieur et l’adresse électronique de votre interlocuteur principal ou de la personne avec laquelle vous avez pris rendez-vous pour la visite.
                           Remarques:
                           
                                       1)
                                    
                                    
                                       Il est important d’indiquer le code postal correct car une entreprise peut disposer de différents établissements.
                                    
                                 
                                       2)
                                    
                                    
                                       En cas de demande manuelle, l’annexe 1 peut être utilisée lorsque deux installations ou plus doivent faire l’objet d’une visite se rapportant au même objet. En cas d’utilisation d’une annexe, le point 3 doit indiquer: «SEE ANNEX 1, NUMBER OF FAC: …» (mentionnez le nombre d’établissements).
                                    
                                 
                     
                           
                                       7.
                                    
                                    
                                       DATES OF VISIT
                                    
                                 
                        
                           Indiquez la date effective ou la période (de date à date) de la visite dans le format «jour — mois — année». Indiquez, entre parenthèses, une autre date ou période possible, le cas échéant.
                        
                     
                           
                                       8.
                                    
                                    
                                       TYPE OF INITIATIVE
                                    
                                 
                        
                           Précisez si la visite est une initiative de l’organisation ou de l’établissement à l’origine de la demande ou s’il s’agit d’une invitation émanant de l’établissement à visiter.
                        
                     
                           
                                       9.
                                    
                                    
                                       THE VISIT RELATES TO:
                                    
                                 
                        
                           Indiquez l’intitulé complet du projet, du contrat ou de l’appel d’offres en utilisant uniquement des abréviations courantes.
                        
                     
                           
                                       10.
                                    
                                    
                                       SUBJECT TO BE DISCUSSED/JUSTIFICATION
                                    
                                 
                        
                           Exposez succinctement le(s) motif(s) de la visite. N’utilisez pas d’abréviations sans explication.
                           Remarques:
                           Dans le cas de visites récurrentes, ce point doit porter la mention «Recurring visits» en tant que premiers termes dans l’élément de données (par exemple, Recurring visits to discuss_____).
                        
                     
                           
                                       11.
                                    
                                    
                                       ANTICIPATED LEVEL OF CLASSIFIED INFORMATION TO BE INVOLVED
                                    
                                 
                        
                           Indiquez SECRET UE/EU SECRET (S-UE/EU-S)
                           ou
                           CONFIDENTIEL UE/EU CONFIDENTIAL (C-UE/EU-C), selon le cas.
                        
                     
                           
                                       12.
                                    
                                    
                                       PARTICULARS OF VISITOR
                                    
                                 
                        
                           Remarque: lorsque plus de deux visiteurs prennent part à la visite, il convient d’utiliser l’annexe 2.
                        
                     
                           
                                       13.
                                    
                                    
                                       THE SECURITY OFFICER OF THE REQUESTING ENTITY
                                    
                                 
                        
                           Ce point doit mentionner le nom, les numéros de téléphone et de télécopieur et l’adresse électronique du responsable de la sécurité de l’établissement à l’origine de la demande.
                        
                     
                           
                                       14.
                                    
                                    
                                       CERTIFICATION OF SECURITY CLEARANCE
                                    
                                 
                        
                           Ce champ doit être rempli par l’autorité de certification.
                           Notes à l’attention de l’autorité de certification:
                           
                                       a)
                                    
                                    
                                       Indiquez le nom, l’adresse, les numéros de téléphone et de télécopieur et l’adresse électronique (peut être préimprimé).
                                    
                                 
                                       b)
                                    
                                    
                                       Ce point doit porter une signature et un cachet (s’il y a lieu).
                                    
                                 
                     
                           
                                       15.
                                    
                                    
                                       REQUESTING SECURITY AUTHORITY
                                    
                                 
                        
                           Ce champ doit être rempli par l’ANS/ASD.
                           Note à l’attention de l’ANS/ASD:
                           
                                       a)
                                    
                                    
                                       Indiquez le nom, l’adresse, les numéros de téléphone et de télécopieur et l’adresse électronique (peut être préimprimé).
                                    
                                 
                                       b)
                                    
                                    
                                       Ce point doit porter une signature et un cachet (s’il y a lieu).
                                    
                                 
                     Tous les champs doivent être remplis et le formulaire doit être transmis via les canaux intergouvernementaux (1).
               
                           
                              REQUEST FOR VISIT
                           
                           (MODEL)
                           TO: _______________________________________
                        
                     
                           
                                       1.
                                    
                                    
                                       TYPE OF VISIT REQUEST
                                    
                                 
                        
                           
                                       2.
                                    
                                    
                                       TYPE OF INFORMATION
                                    
                                 
                        
                           
                                       3.
                                    
                                    
                                       SUMMARY
                                    
                                 
                     
                           ☐ Single
                           ☐ Recurring
                           ☐ Emergency
                           ☐ Amendment
                           
                                        
                                    
                                    
                                       ☐ Dates
                                    
                                 
                                        
                                    
                                    
                                       ☐ Visitors
                                    
                                 
                                        
                                    
                                    
                                       ☐ Facility
                                    
                                 For an amendment, insert the NSA/DSA original RFV Reference No_____________
                        
                        
                           ☐ C-UE/EU-C
                           ☐ S-UE/EU-S
                        
                        
                           No of sites: _______
                           No of visitors: _____
                        
                     
                           
                                       4.
                                    
                                    
                                       ADMINISTRATIVE DATA:
                                    
                                 
                     
                           Requester:
                           To:
                        
                        
                           NSA/DSA RFV Reference No________________
                           Date (dd/mm/yyyy): _____/_____/_____
                        
                     
                           
                                       5.
                                    
                                    
                                       REQUESTING ORGANISATION OR INDUSTRIAL FACILITY:
                                    
                                 
                     
                           NAME:
                           POSTAL ADDRESS:
                           E-MAIL ADDRESS:
                           FAX NO:
                        
                        
                           TELEPHONE NO:
                        
                     
                           
                                       6.
                                    
                                    
                                       ORGANISATION(S) OR INDUSTRIAL FACILITY(IES) TO BE VISITED
                                       (Annex 1 to be completed)
                                    
                                 
                     
                           
                                       7.
                                    
                                    
                                       
                                          DATE OF VISIT
                                          (dd/mm/yyyy): FROM _____/_____/_____ TO _____/_____/_____
                                    
                                 
                     
                           
                                       8.
                                    
                                    
                                       TYPE OF INITIATIVE:
                                    
                                 ☐ Initiated by requesting organisation or facility
                           ☐ By invitation of the facility to be visited
                        
                     
                           
                                       9.
                                    
                                    
                                       THE VISIT RELATES TO CONTRACT:
                                    
                                 
                     
                           
                                       10.
                                    
                                    
                                       SUBJECT TO BE DISCUSSED/REASONS/PURPOSE
                                       (Include details of host entity and any other relevant information. Abbreviations should be avoided):
                                    
                                 
                     
                           
                                       11.
                                    
                                    
                                       ANTICIPATED HIGHEST CLASSIFICATION LEVEL OF INFORMATION/MATERIAL OR SITE ACCESS TO BE INVOLVED:
                                    
                                 
                     
                           
                                       12.
                                    
                                    
                                       PARTICULARS OF VISITOR(S)
                                       (Annex 2 to be completed)
                                    
                                 
                     
                           
                                       13.
                                    
                                    
                                       THE SECURITY OFFICER OF THE REQUESTING ORGANISATION OR INDUSTRIAL FACILITY:
                                    
                                 NAME:
                           TELEPHONE NO:
                           E-MAIL ADDRESS:
                           SIGNATURE:
                        
                     
                           
                                       14.
                                    
                                    
                                       CERTIFICATION OF SECURITY CLEARANCE LEVEL:
                                    
                                 
                     
                           NAME:
                           ADDRESS:
                           TELEPHONE NO:
                           E-MAIL ADDRESS:
                        
                        
                           
                              
                        
                     
                           SIGNATURE:
                        
                        
                           DATE (dd/mm/yyyy): _____/_____/_____
                        
                     
                           
                                       15.
                                    
                                    
                                       REQUESTING NATIONAL SECURITY AUTHORITY/DESIGNATED SECURITY AUTHORITY:
                                    
                                 
                     
                           NAME:
                           ADDRESS:
                           TELEPHONE NO:
                           E-MAIL ADDRESS:
                        
                        
                           
                              
                        
                     
                           SIGNATURE:
                        
                        
                           DATE (dd/mm/yyyy): _____/_____/_____
                        
                     
                           
                                       16.
                                    
                                    
                                       
                                          REMARKS
                                          (Mandatory justification required in the case of an emergency visit):
                                    
                                 
                     <Espace réservé pour la référence à la législation applicable en matière de données à caractère personnel et le lien vers les informations obligatoires pour la personne concernée, par exemple la manière dont est mis en œuvre l’article 13 du règlement général sur la protection des données (2).>
               
                  (1)  S’il a été convenu que des visites comportant un accès ou un accès potentiel à des ICUE au niveau CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET pouvaient être organisées directement, le formulaire rempli peut être soumis directement au responsable de la sécurité de l’établissement à visiter.
               
                  (2)  Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).
            
            
               
                  ANNEXE 1 du FORMULAIRE DE DDV
                  
                              
                                 ORGANISATION(S) OR INDUSTRIAL FACILITY(IES) TO BE VISITED
                              
                           
                        
                              1.
                              NAME:
                              ADDRESS:
                              TELEPHONE NO:
                              FAX NO:
                              NAME OF POINT OF CONTACT:
                              E-MAIL:
                              TELEPHONE NO:
                              NAME OF SECURITY OFFICER OR
                              SECONDARY POINT OF CONTACT:
                              E-MAIL:
                              TELEPHONE NO:
                           
                        
                              2.
                              NAME:
                              ADDRESS:
                              TELEPHONE NO:
                              FAX NO:
                              NAME OF POINT OF CONTACT:
                              E-MAIL:
                              TELEPHONE NO:
                              NAME OF SECURITY OFFICER OR
                              SECONDARY POINT OF CONTACT:
                              E-MAIL:
                              TELEPHONE NO:
                              
                                 (Continue as required)
                              
                           
                        <Espace réservé pour la référence à la législation applicable en matière de données à caractère personnel et le lien vers les informations obligatoires pour la personne concernée, par exemple la manière dont est mis en œuvre l’article 13 du règlement général sur la protection des données (1).>
                  
                     (1)  Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).
               
            
            
               
                  ANNEXE 2 du FORMULAIRE DE DDV
                  
                              
                                 PARTICULARS OF VISITOR(S)
                              
                           
                        
                              1.
                              SURNAME:
                              FIRST NAMES (as per passport):
                              DATE OF BIRTH (dd/mm/yyyy): ____/____/____
                              PLACE OF BIRTH:
                              NATIONALITY:
                              SECURITY CLEARANCE LEVEL:
                              PP/ID NUMBER:
                              POSITION:
                              COMPANY/ORGANISATION:
                           
                        
                              2.
                              SURNAME:
                              FIRST NAMES (as per passport):
                              DATE OF BIRTH (dd/mm/yyyy): ____/____/____
                              PLACE OF BIRTH:
                              NATIONALITY:
                              SECURITY CLEARANCE LEVEL:
                              PP/ID NUMBER:
                              POSITION:
                              COMPANY/ORGANISATION:
                              
                                 (Continue as required)
                              
                           
                        <Espace réservé pour la référence à la législation applicable en matière de données à caractère personnel et le lien vers les informations obligatoires pour la personne concernée, par exemple la manière dont est mis en œuvre l’article 13 du règlement général sur la protection des données (1).>
                  
                     (1)  Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).
               
            
         
         
            
               APPENDICE D
               
                  FICHE D’INFORMATION HABILITATION DE SÉCURITÉ D’ÉTABLISSEMENT (FIHSE)
               
               (MODÈLE)
               1.   INTRODUCTION
               
               
                        
                           1.1.
                        
                        
                           Ci-joint figure un spécimen de fiche d’information habilitation de sécurité d’établissement (FIHSE) pour l’échange rapide d’informations entre l’autorité nationale de sécurité (ANS) ou l’autorité de sécurité désignée (ASD), les autres autorités nationales compétentes en matière de sécurité et la Commission (en tant que pouvoir adjudicateur) en ce qui concerne l’habilitation de sécurité d’établissement (HSE) d’un établissement intervenant dans des appels d’offres, des contrats ou des contrats de sous-traitance classifiés.
                        
                     
                        
                           1.2.
                        
                        
                           La FIHSE n’est valable que si elle porte le cachet de l’ANS/ASD concernée ou de toute autre autorité compétente.
                        
                     
                        
                           1.3.
                        
                        
                           La FIHSE comprend une section «demande» et une section «réponse»; elle peut être utilisée aux fins indiquées ci-dessus ou à toute autre fin pour laquelle le statut de HSE d’un établissement donné est exigé. Le motif de la requête doit être indiqué par l’ANS/ASD à l’origine de la demande dans le champ 7 de la section «demande».
                        
                     
                        
                           1.4.
                        
                        
                           Les données contenues dans la FIHSE ne sont normalement pas classifiées; en conséquence, lorsque la fiche passe d’un intervenant à l’autre (ANS/ASD/Commission), il est préférable que la transmission se fasse par voie électronique.
                        
                     
                        
                           1.5.
                        
                        
                           Les ANS/ASD doivent tout mettre en œuvre pour répondre à une demande FIHSE dans un délai de dix jours ouvrables.
                        
                     
                        
                           1.6.
                        
                        
                           En cas de transfert d’informations classifiées ou d’attribution d’un marché en rapport avec cette assurance, l’ANS/ASD émettrice doit en être informée.
                        
                     
                  Procédures et instructions pour utiliser la fiche d’information habilitation de sécurité d’établissement (FIHSE)
               
               Ces instructions détaillées sont destinées à l’ANS/ASD ou au pouvoir adjudicateur de la Commission qui remplit la fiche. La demande doit, de préférence, être dactylographiée en lettres capitales.
               
                           
                              EN-TÊTE
                           
                        
                        
                           Le demandeur insère la dénomination complète de l’ANS/ASD et le nom du pays.
                        
                     
                           
                                       1.
                                    
                                    
                                       TYPE DE DEMANDE
                                    
                                 
                        
                           Le pouvoir adjudicateur demandeur coche la case correspondant au type de demande FIHSE concerné. Indiquez le niveau d’habilitation de sécurité demandé. Il convient de recourir aux abréviations suivantes:
                           SECRET UE/EU SECRET = S-UE/EU-S
                           CONFIDENTIEL UE/EU CONFIDENTIAL = C-UE/EU-C
                           SIC = systèmes d’information et de communication pour le traitement des informations classifiées
                        
                     
                           
                                       2.
                                    
                                    
                                       RENSEIGNEMENTS SUR LE DEMANDEUR
                                    
                                 
                        
                           Les champs 1 à 6 ne nécessitent pas d’explications.
                           Dans le champ 4, il convient d’utiliser le code pays standard à deux lettres. Le champ 5 est facultatif.
                        
                     
                           
                                       3.
                                    
                                    
                                       MOTIF DE LA DEMANDE
                                    
                                 
                        
                           Mentionnez le motif précis de la demande, fournissez des indicateurs de projet, et indiquez le numéro du marché ou de l’invitation à soumissionner. Veuillez préciser les besoins en matière de capacité de stockage, le niveau de classification des SIC, etc.
                           Mentionnez toute date limite/d’expiration/d’attribution susceptible d’avoir une incidence sur l’achèvement d’une HSE.
                        
                     
                           
                                       4.
                                    
                                    
                                       ANS/ASD À L’ORIGINE DE LA DEMANDE
                                    
                                 
                        
                           Indiquez le nom du demandeur effectif (pour le compte de l’ANS/ASD) et la date de la demande en format numérique (jj/mm/aaaa).
                        
                     
                           
                                       5.
                                    
                                    
                                       SECTION «RÉPONSE»
                                    
                                 
                        
                           Champs 1-5: sélectionnez les champs qui conviennent.
                           Champ 2: si une HSE est en cours, il est recommandé de fournir au demandeur une indication du délai de traitement requis (s’il est connu).
                           Champ 6:
                           
                                       a)
                                    
                                    
                                       Bien que la validation varie d’un pays ou même d’un établissement à l’autre, il est recommandé d’indiquer la date d’expiration de l’HSE.
                                    
                                 
                                       b)
                                    
                                    
                                       Lorsque la date d’expiration de l’assurance HSE est indéterminée, ce champ peut être biffé.
                                    
                                 
                                       c)
                                    
                                    
                                       Conformément aux règles et règlements nationaux respectifs, le demandeur ou le contractant ou le sous-traitant est responsable de la demande de renouvellement de l’HSE.
                                    
                                 
                     
                           
                                       6.
                                    
                                    
                                       REMARQUES
                                    
                                 
                        
                           Peut être utilisé pour fournir des informations complémentaires concernant l’HSE, l’établissement ou les éléments qui précèdent.
                        
                     
                           
                                       7.
                                    
                                    
                                       ANS/ASD ÉMETTRICE
                                    
                                 
                        
                           Indiquez le nom de l’autorité qui délivre (pour le compte de l’ANS/ASD) et la date de la réponse en format numérique (jj/mm/aaaa).
                        
                     
                  FICHE D’INFORMATION HABILITATION DE SÉCURITÉ D’ÉTABLISSEMENT (FIHSE)
               
               (MODÈLE)
               Tous les champs doivent être remplis et le formulaire doit être transmis via les canaux intergouvernementaux ou les canaux entre administrations publiques et organisations internationales.
               
                           
                              DEMANDE D’ASSURANCE D’HABILITATION DE SÉCURITÉ D’ÉTABLISSEMENT
                           
                           À L’ATTENTION DE: ____________________________________
                           
                              (nom du pays de l’ASN/ASD)
                           
                        
                     
                           Veuillez remplir les cases de réponse comme il convient:
                           [] Fournir une assurance HSE au niveau: [] S-UE/EU-S [] C-UE/EU-C
                           pour l’établissement ci-dessous
                           
                                        
                                    
                                    
                                       [] Y compris sauvegarde de matériel/d’informations classifié(es)
                                    
                                 
                                        
                                    
                                    
                                       [] Y compris systèmes d’information et de communication (SIC) pour le traitement d’informations classifiées
                                    
                                 [] Engager, directement ou sur demande correspondante d’un contractant ou d’un sous-traitant, la procédure d’obtention d’une HSE jusque et y compris au niveau …, assortie du niveau … pour la sauvegarde et du niveau … pour le SIC, si l’établissement ne dispose pas actuellement de ces niveaux de capacités.
                           Confirmez l’exactitude des données de l’établissement énumérées ci-dessous et procédez aux corrections/ajouts nécessaires.
                        
                     
                           
                                       1.
                                    
                                    
                                       Dénomination complète de l’établissement:
                                    
                                 
                        
                           Corrections/ajouts:
                        
                     
                           …
                        
                        
                           …
                        
                     
                           
                                       2.
                                    
                                    
                                       Adresse complète de l’établissement:
                                    
                                 
                     
                           …
                        
                        
                           …
                        
                     
                           
                                       3.
                                    
                                    
                                       Adresse postale (si différente de celle indiquée au point 2)
                                    
                                 
                     
                           …
                        
                        
                           …
                        
                     
                           
                                       4.
                                    
                                    
                                       Code postal/ville/pays
                                    
                                 
                     
                           …
                        
                        
                           …
                        
                     
                           
                                       5.
                                    
                                    
                                       Nom du responsable de la sécurité
                                    
                                 
                     
                           …
                        
                        
                           …
                        
                     
                           
                                       6.
                                    
                                    
                                       Téléphone/télécopieur/courriel du responsable de la sécurité
                                    
                                 
                     
                           …
                        
                        
                           …
                        
                     
                           
                                       7.
                                    
                                    
                                       La présente demande est motivée comme suit: (fournissez des précisions sur la phase précontractuelle (sélection des propositions), le contrat ou le contrat de sous-traitance, le programme/projet, etc.)
                                    
                                 
                     
                           …
                        
                     
                           Pouvoir adjudicateur de l’ANS/l’ASD/la Commission à l’origine de la demande: Dénomination: … Date: (jj/mm/aaaa) …
                        
                     
                           
                              RÉPONSE (dans les dix jours ouvrables)
                           
                        
                     
                           Il est certifié par la présente que:
                           
                                       1.
                                    
                                    
                                       [] l’établissement susmentionné détient une HSE jusque et y compris au niveau [] S-UE/EU-S.
                                       [] C-UE/EU-C.
                                    
                                 
                                       2.
                                    
                                    
                                       l’établissement susmentionné a la capacité de protéger des informations/du matériel classifié(es):
                                       [] oui, niveau: … [] non.
                                    
                                 
                                       3.
                                    
                                    
                                       l’établissement susmentionné dispose d’un SIC agréé/autorisé:
                                       [] oui, niveau: … [] non.
                                    
                                 
                                       4.
                                    
                                    
                                       [] en ce qui concerne la demande susmentionnée, la procédure d’HSE a été engagée. Vous serez informé(e) de la mise en place ou du refus de l’homologation.
                                    
                                 
                                       5.
                                    
                                    
                                       [] l’établissement susmentionné ne détient pas d’HSE.
                                    
                                 
                                       6.
                                    
                                    
                                       La présente assurance HSE arrive à expiration le: … (jj/mm/aaaa), ou à une date indiquée par l’ANS/ASD. En cas d’invalidation anticipée ou de modification des informations qui précèdent, vous serez informé(e).
                                    
                                 
                                       7.
                                    
                                    
                                       Remarques:
                                       …
                                       ANS/ASD émettrice Dénomination: … Date: (jj/mm/aaaa) …
                                    
                                 
                     <Espace réservé pour la référence à la législation applicable en matière de données à caractère personnel et le lien vers les informations obligatoires pour la personne concernée, par exemple la manière dont est mis en œuvre l’article 13 du règlement général sur la protection des données (1).>
               
                  (1)  Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).
            
         
         
            
               Appendice E
               
                  Exigences minimales en matière de protection des ICUE en format électronique au niveau RESTREINT UE/EU RESTRICTED traitées dans le SIC du contractant
               
               
                  Généralités
               
               
                        
                           1.
                        
                        
                           Il incombe au contractant de veiller à ce que la protection des informations RESTREINT UE/EU RESTRICTED réponde aux exigences minimales en matière de sécurité définies dans la présente clause de sécurité et à toute autre exigence supplémentaire indiquée par le pouvoir adjudicateur ou, le cas échéant, par l’autorité nationale de sécurité (ANS) ou l’autorité de sécurité désignée (ASD).
                        
                     
                        
                           2.
                        
                        
                           Le contractant est responsable de la mise en œuvre des exigences de sécurité définies dans le présent document.
                        
                     
                        
                           3.
                        
                        
                           Aux fins du présent document, un système d’information et de communication (SIC) comprend tout matériel servant à traiter, stocker et transmettre des ICUE, y compris les postes de travail, imprimantes, photocopieuses, télécopieurs, serveurs, systèmes de gestion de réseau, contrôleurs de réseau et contrôleurs de communication, ordinateurs portables ou ultraportables, tablettes informatiques, téléphones intelligents et dispositifs de stockage amovibles tels que clés USB, CD, cartes SD, etc.
                        
                     
                        
                           4.
                        
                        
                           Les équipements spéciaux, comme les produits cryptographiques, doivent être protégés conformément aux procédures d’exploitation de sécurité (SecOp) qui leur sont propres.
                        
                     
                        
                           5.
                        
                        
                           Les contractants doivent mettre en place une structure chargée de gérer la sécurité des SIC traitant des informations classifiées RESTREINT UE/EU RESTRICTED et désigner un responsable de la sécurité pour l’établissement concerné.
                        
                     
                        
                           6.
                        
                        
                           Le recours à des solutions informatiques (matériel, logiciels ou services) appartenant, à titre privé, au personnel du contractant pour le stockage ou le traitement d’informations RESTREINT UE/EU RESTRICTED n’est pas autorisé.
                        
                     
                        
                           7.
                        
                        
                           L’agrément du SIC du contractant destiné à traiter des informations classifiées RESTREINT UE/EU RESTRICTED doit être approuvé par l’autorité d’homologation de sécurité (AHS) de l’État membre concerné ou délégué au responsable de la sécurité du contractant conformément aux dispositions législatives et réglementaires nationales.
                        
                     
                        
                           8.
                        
                        
                           Seules les informations classifiées RESTREINT UE/EU RESTRICTED qui sont chiffrées au moyen de produits cryptographiques approuvés peuvent être traitées, stockées ou transmises (par liaison filaire ou sans fil) comme toute autre information non classifiée dans le cadre du contrat. Ces produits cryptographiques doivent être approuvés par l’Union européenne ou par un État membre.
                        
                     
                        
                           9.
                        
                        
                           Les établissements extérieurs intervenant dans des travaux d’entretien/de réparation doivent être contractuellement tenus de respecter les dispositions applicables en matière de traitement d’informations classifiées RESTREINT UE/EU RESTRICTED, telles qu’elles sont énoncées dans le présent document.
                        
                     
                        
                           10.
                        
                        
                           À la demande du pouvoir adjudicateur ou de l’ANS/ASD/ASA compétente, le contractant doit apporter la preuve de la conformité avec la clause de sécurité du contrat. Si un audit et un contrôle des processus et installations du contractant sont en outre demandés, aux fins de la conformité avec ces exigences, le contractant doit autoriser les représentants du pouvoir adjudicateur, de l’ANS/ASD/ASA ou de l’autorité de sécurité de l’Union européenne compétente à procéder de tels audits et contrôles.
                        
                     
                  Sécurité physique
               
               
                        
                           11.
                        
                        
                           Les espaces dans lesquels sont utilisés les SIC pour l’affichage, le stockage, le traitement ou la transmission d’informations classifiées RESTREINT UE/EU RESTRICTED ou les espaces où se trouvent les serveurs, les systèmes de gestion de réseau, les contrôleurs de réseau et les contrôleurs de communication pour ces SIC doivent être configurés en tant que zones séparées et contrôlées, équipées d’un système de contrôle d’accès approprié. L’accès à ces zones séparées et contrôlées doit être limité aux personnes ayant une autorisation spéciale. Sans préjudice du point 8, le matériel décrit au point 3 doit être entreposé dans ces zones séparées et contrôlées.
                        
                     
                        
                           12.
                        
                        
                           Des mécanismes et/ou des procédures de sécurité doivent être mis en œuvre pour réglementer l’introduction dans des composants du SIC, ou la connexion à ceux-ci, de supports de stockage amovibles (tels que des dispositifs USB, unités de mémoire de masse ou disques compacts réinscriptibles).
                        
                     
                  Accès au SIC
               
               
                        
                           13.
                        
                        
                           L’accès au SIC d’un contractant qui traite des ICUE est autorisé selon le principe du strict besoin d’en connaître et sur la base d’une autorisation accordée au personnel.
                        
                     
                        
                           14.
                        
                        
                           Tous les SIC doivent disposer de listes à jour des utilisateurs autorisés. Tous les utilisateurs doivent être authentifiés au début de chaque session de traitement.
                        
                     
                        
                           15.
                        
                        
                           Les mots de passe, qui font partie de la plupart des mesures de sécurité pour l’identification et l’authentification, doivent comporter au moins neuf caractères, à savoir des caractères numériques et «spéciaux» (si le système le permet) ainsi que des caractères alphabétiques. Ces mots de passe doivent être changés au moins tous les 180 jours, et doivent l’être dans les plus brefs délais s’ils ont été compromis ou divulgués à une personne non autorisée, ou en cas de présomption d’une telle compromission ou divulgation.
                        
                     
                        
                           16.
                        
                        
                           Tous les SIC doivent être dotés de contrôles d’accès internes destinés à empêcher tout utilisateur non autorisé d’accéder à des informations classifiées RESTREINT UE/EU RESTRICTED ou de modifier de telles informations, ainsi que de modifier les contrôles du système et les contrôles de sécurité. Les utilisateurs doivent être automatiquement déconnectés du SIC si leur terminal reste inactif pendant un certain temps, ou bien le SIC doit activer un écran de veille protégé par mot de passe après 15 minutes d’inactivité.
                        
                     
                        
                           17.
                        
                        
                           Chaque utilisateur du SIC se voit attribuer un compte d’utilisateur et un identifiant uniques. Les comptes d’utilisateurs doivent être verrouillés automatiquement après au moins cinq tentatives successives de connexion infructueuses.
                        
                     
                        
                           18.
                        
                        
                           Tous les utilisateurs du SIC doivent être informés de leurs responsabilités et des procédures à suivre pour protéger les informations classifiées RESTREINT UE/EU RESTRICTED dans le SIC. Les responsabilités et les procédures à suivre doivent faire l’objet d’une documentation et donner lieu à une reconnaissance écrite de la part des utilisateurs.
                        
                     
                        
                           19.
                        
                        
                           Les procédures d’exploitation de sécurité (SecOp) doivent être à la disposition des utilisateurs et des administrateurs et doivent comporter une description des fonctions de sécurité ainsi que la liste correspondante des tâches, instructions et plans.
                        
                     
                  Tenue de registres, contrôle et réaction face aux incidents
               
               
                        
                           20.
                        
                        
                           Tout accès au SIC doit être consigné.
                        
                     
                        
                           21.
                        
                        
                           Les événements suivants doivent être enregistrés:
                           
                                       a)
                                    
                                    
                                       toute tentative de connexion, qu’elle ait abouti ou échoué;
                                    
                                 
                                       b)
                                    
                                    
                                       la déconnexion (y compris après expiration du délai, le cas échéant);
                                    
                                 
                                       c)
                                    
                                    
                                       la création, la suppression ou la modification de droits d’accès et de privilèges;
                                    
                                 
                                       d)
                                    
                                    
                                       la création, la suppression ou la modification de mots de mots de passe.
                                    
                                 
                     
                        
                           22.
                        
                        
                           Pour tous les événements énumérés ci-dessus, les informations minimales suivantes doivent être communiquées:
                           
                                       a)
                                    
                                    
                                       type d’événement;
                                    
                                 
                                       b)
                                    
                                    
                                       identifiant utilisateur;
                                    
                                 
                                       c)
                                    
                                    
                                       date et heure;
                                    
                                 
                                       d)
                                    
                                    
                                       identifiant du dispositif.
                                    
                                 
                     
                        
                           23.
                        
                        
                           Les registres doivent aider le responsable de la sécurité à examiner d’éventuels incidents de sécurité. Ils peuvent également servir à l’appui de toute enquête judiciaire en cas d’incident de sécurité. Tous les enregistrements de sécurité doivent être régulièrement vérifiés aux fins de la détection d’éventuels incidents de sécurité. Les registres doivent être protégés contre toute suppression ou modification non autorisée.
                        
                     
                        
                           24.
                        
                        
                           Le contractant doit disposer d’une stratégie de riposte bien en place pour faire face aux incidents de sécurité. Les utilisateurs et les administrateurs doivent recevoir des instructions sur la manière de réagir aux incidents et de signaler ces derniers, et sur la marche à suivre en cas d’urgence.
                        
                     
                        
                           25.
                        
                        
                           Toute compromission ou compromission présumée d’informations classifiées RESTREINT UE/EU RESTRICTED doit donner lieu à un rapport au pouvoir adjudicateur. Ce rapport doit contenir une description des informations en cause et des circonstances de la compromission ou de la compromission présumée. Tous les utilisateurs du SIC doivent être informés de la manière de rapporter au responsable de la sécurité tout incident de sécurité réel ou présumé.
                        
                     
                  Mise en réseau et interconnexion
               
               
                        
                           26.
                        
                        
                           Lorsque le SIC d’un contractant qui traite des informations classifiées RESTREINT UE/EU RESTRICTED est interconnecté à un SIC qui n’est pas agréé, cette situation aggrave considérablement la menace tant pour la sécurité du SIC que pour les informations RESTREINT UE/EU RESTRICTED traitées par celui-ci. Sont notamment concernés l’internet et d’autres SIC, publics ou privés, tels que d’autres SIC appartenant au contractant ou au sous-traitant. En pareil cas, le contractant doit procéder à une évaluation des risques afin de déterminer les exigences de sécurité supplémentaires à mettre en œuvre dans le cadre du processus d’homologation de sécurité. Le contractant fournit au pouvoir adjudicateur et, lorsque les dispositions législatives et réglementaires nationales l’exigent, à l’AHS compétente, une déclaration de conformité attestant que le SIC du contractant et les interconnexions s’y rapportant ont été agréés pour traiter des ICUE au niveau RESTREINT UE/EU RESTRICTED.
                        
                     
                        
                           27.
                        
                        
                           L’accès à distance à des services LAN à partir d’autres systèmes (par exemple, accès à distance à la messagerie électronique ou au support système à distance) est interdit, à moins que des mesures de sécurité spéciales ne soient mises en œuvre et qu’elle soient agréées par le pouvoir adjudicateur, et lorsque les dispositions législatives et réglementaires nationales l’exigent, qu’elle soient approuvées par l’AHS compétente.
                        
                     
                  Gestion de la configuration
               
               
                        
                           28.
                        
                        
                           Une configuration matérielle et logicielle précise, telle qu’elle ressort des documents d’homologation/agrément (y compris les diagrammes système et réseau), doit être disponible et faire l’objet d’un entretien régulier.
                        
                     
                        
                           29.
                        
                        
                           Le responsable de la sécurité du contractant doit procéder à des contrôles de configuration sur le matériel et les logiciels afin de s’assurer qu’aucun matériel ou logiciel non autorisé n’a été installé.
                        
                     
                        
                           30.
                        
                        
                           Les modifications apportées à la configuration du SIC du contractant doivent être évaluées sous l’angle de leurs implications en matière de sécurité et doivent être approuvées par le responsable de la sécurité et, si les dispositions législatives et réglementaires nationales l’exigent, par l’AHS.
                        
                     
                        
                           31.
                        
                        
                           Le système doit être analysé au moins une fois par trimestre sous l’angle des vulnérabilités en matière de sécurité Un logiciel de détection de programmes malveillants doit être installé et être tenu à jour. Si possible, ce logiciel doit faire l’objet d’une approbation à l’échelle nationale ou d’une approbation reconnue au niveau international; à défaut, il devrait correspondre à une norme industrielle largement acceptée.
                        
                     
                        
                           32.
                        
                        
                           Le contractant doit élaborer un plan de continuité des activités. Des procédures de sauvegarde doivent être mises en place aux fins suivantes:
                           
                                       a)
                                    
                                    
                                       fréquence des sauvegardes;
                                    
                                 
                                       b)
                                    
                                    
                                       exigences en matière de stockage sur site (conteneurs ignifugés) ou hors site;
                                    
                                 
                                       c)
                                    
                                    
                                       contrôle de l’accès autorisé aux copies de sauvegarde.
                                    
                                 
                     
                  Expurgation et destruction
               
               
                        
                           33.
                        
                        
                           Dans le cas d’un SIC ou d’un support de stockage de données qui contenait, à un moment donné, des informations RESTREINT UE/EU RESTRICTED, l’expurgation suivante doit être opérée sur l’ensemble du système ou du support de stockage avant mise au rebut:
                           
                                       a)
                                    
                                    
                                       les mémoires flash [par exemple clés USB, cartes SD, disques transistorisés (SSD) ou disques durs hybrides] doivent faire l’objet d’au moins trois passes de réécriture, puis être vérifiées pour s’assurer que le contenu d’origine ne puisse pas être récupéré, ou être effacées à l’aide d’un logiciel de suppression approuvé;
                                    
                                 
                                       b)
                                    
                                    
                                       les supports magnétiques (disques durs, par exemple) doivent faire l’objet d’un processus de réécriture ou de démagnétisation;
                                    
                                 
                                       c)
                                    
                                    
                                       les supports optiques (CD ou DVD, par exemple) doivent être déchiquetés ou désintégrés;
                                    
                                 
                                       d)
                                    
                                    
                                       pour tout autre support de stockage, le pouvoir adjudicateur ou, le cas échéant, l’ANS/ASD/AHS, doit être consulté sur les exigences à respecter en matière de sécurité.
                                    
                                 
                     
                        
                           34.
                        
                        
                           Tout support de stockage de données doit être expurgé de ses informations classifiées RESTREINT UE/EU RESTRICTED avant qu’il ne soit remis à une entité qui n’est pas autorisée à avoir accès à des informations classifiées RESTREINT UE/EU RESTRICTED (pour des travaux d’entretien, par exemple).
                        
                     
         
      
      
         
            ANNEXE IV
            Habilitation de sécurité du personnel et habilitation de sécurité d’établissement pour les contractants qui traitent des informations RESTREINT UE/EU RESTRICTED et les ANS/ASD qui exigent la notification des marchés classifiés au niveau RESTREINT UE/EU RESTRICTED (1)
            
            
                        État membre
                     
                     
                        HSE
                     
                     
                        Notification à l’ANS/ASD du contrat ou du contrat de sous-traitance comportant des informations R-UE/EU-R
                     
                     
                        HSP
                     
                  
                        OUI
                     
                     
                        NON
                     
                     
                        OUI
                     
                     
                        NON
                     
                     
                        OUI
                     
                     
                        NON
                     
                  
                        Belgique
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                  
                        Bulgarie
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                  
                        Tchéquie
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                  
                        Danemark
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                  
                        Allemagne
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                  
                        Estonie
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                         
                     
                     
                        X
                     
                  
                        Irlande
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                  
                        Grèce
                     
                     
                        X
                     
                     
                         
                     
                     
                         
                     
                     
                        X
                     
                     
                        X
                     
                     
                         
                     
                  
                        Espagne
                     
                     
                         
                     
                     
                        X
                     
                     
                        X
                     
                     
                         
                     
                     
                         
                     
                     
                        X
                     
                  
                        France
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                  
                        Croatie
                     
                     
                         
                     
                     
                        X
                     
                     
                        X
                     
                     
                         
                     
                     
                         
                     
                     
                        X
                     
                  
                        Italie
                     
                     
                         
                     
                     
                        X
                     
                     
                        X
                     
                     
                         
                     
                     
                         
                     
                     
                        X
                     
                  
                        Chypre
                     
                     
                         
                     
                     
                        X
                     
                     
                        X
                     
                     
                         
                     
                     
                         
                     
                     
                        X
                     
                  
                        Lettonie
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                  
                        Lituanie
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                         
                     
                     
                        X
                     
                  
                        Luxembourg
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                  
                        Hongrie
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                  
                        Malte
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                  
                        Pays-Bas
                     
                     
                        X
                        (uniquement pour les marchés liés à la défense)
                     
                     
                         
                     
                     
                        X
                        (uniquement pour les marchés liés à la défense)
                     
                     
                         
                     
                     
                         
                     
                     
                        X
                     
                  
                        Autriche
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                  
                        Pologne
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                  
                        Portugal
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                  
                        Roumanie
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                  
                        Slovénie
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                         
                     
                     
                        X
                     
                  
                        Slovaquie
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                         
                     
                     
                        X
                     
                  
                        Finlande
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                  
                        Suède
                     
                     
                        X
                        (uniquement pour les marchés liés à la défense)
                     
                     
                         
                     
                     
                        X
                        (uniquement pour les marchés liés à la défense)
                     
                     
                         
                     
                     
                        X
                        (uniquement pour les marchés liés à la défense)
                     
                     
                         
                     
                  
                        Royaume-Uni
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                     
                         
                     
                     
                        X
                     
                  
               (1)  Ces exigences nationales concernant les HSE/HSP et les notifications pour les marchés comportant des informations classifiées RESTREINT UE/EU RESTRICTED ne doivent pas imposer d’obligations supplémentaires aux autres États membres ou aux contractants relevant de leur juridiction.
            
               NB: il est obligatoire de notifier les contrats comportant des informations CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET.
         
      
      
         
            ANNEXE V
            
               LISTE DES SERVICES DES AUTORITÉS NATIONALES DE SÉCURITÉ/AUTORITÉS DE SÉCURITÉ DÉSIGNÉES CHARGÉS DU TRAITEMENT DES PROCÉDURES LIÉES À LA SÉCURITÉ INDUSTRIELLE
            
            
               BELGIQUE
            
            
                        National Security Authority
                     
                  
                        FPS Foreign Affairs
                     
                  
                        Rue des Petits Carmes 15
                     
                  
                        1000 Brussels
                     
                  
                        Tel.: +32 25014542 (Secretariat)
                     
                  
                        Fax +32 25014596
                     
                  
                        Courriel: nvo-ans@diplobel.fed.be
                     
                  
               BULGARIE
            
            
                     
                        1.
                     
                     
                        
                           
                                       State Commission on Information Security - National Security Authority
                                    
                                 
                                       4 Kozloduy Street
                                    
                                 
                                       1202 Sofia
                                    
                                 
                                       Tel.: +359 29835775
                                    
                                 
                                       Fax +359 29873750
                                    
                                 
                                       Courriel: dksi@government.bg
                                    
                                 
                     
                  
                     
                        2.
                     
                     
                        
                           
                                       Defence Information Service at the Ministry of Defence (security service)
                                    
                                 
                                       3 Dyakon Ignatiy Street
                                    
                                 
                                       1092 Sofia
                                    
                                 
                                       Tel.: +359 29227002
                                    
                                 
                                       Fax +359 29885211
                                    
                                 
                                       Courriel: office@iksbg.org
                                    
                                 
                     
                  
                     
                        3.
                     
                     
                        
                           
                                       State Intelligence Agency (security service)
                                    
                                 
                                       12 Hajdushka Polyana Street
                                    
                                 
                                       1612 Sofia
                                    
                                 
                                       Tel.: +359 29813221
                                    
                                 
                                       Fax +359 29862706
                                    
                                 
                                       Courriel: office@dar.bg
                                    
                                 
                     
                  
                     
                        4.
                     
                     
                        
                           
                                       State Agency for Technical Operations (security service)
                                    
                                 
                                       29 Shesti Septemvri Street
                                    
                                 
                                       1000 Sofia
                                    
                                 
                                       Tel.: +359 29824971
                                    
                                 
                                       Fax +359 29461339
                                    
                                 
                                       Courriel: dato@dato.bg
                                    
                                 
                        
                           (Les autorités compétentes susmentionnées mènent les procédures de vérification en vue de la délivrance d'HSE aux entités juridiques qui demandent à conclure un contrat classifié et d'HSP aux personnes qui exécutent un contrat classifié pour les besoins de ces autorités.)
                        
                     
                  
                     
                        5.
                     
                     
                        
                           
                                       State Agency National Security (security service)
                                    
                                 
                                       45 Cherni Vrah Blvd.
                                    
                                 
                                       1407 Sofia
                                    
                                 
                                       Tel.: +359 28147109
                                    
                                 
                                       Fax +359 29632188, +359 28147441
                                    
                                 
                                       Courriel: dans@dans.bg
                                    
                                 
                        
                           (Le service de sécurité susmentionné mène les procédures de vérification en vue de la délivrance d'HSE et d'HSP à l'ensemble des autres entités juridiques et personnes qui demandent à conclure un contrat classifié ou exécutent un contrat classifié.)
                        
                     
                  
               TCHÉQUIE
            
            
                        National Security Authority
                     
                  
                        Industrial Security Department
                     
                  
                        PO BOX 49
                     
                  
                        150 06 Praha 56
                     
                  
                        Tel.: +420 257283129
                     
                  
                        Courriel: sbr@nbu.cz
                     
                  
               DANEMARK
            
            
                     
                        1.
                     
                     
                        
                           
                                       Politiets Efterretningstjeneste
                                    
                                 
                                       (Danish Security Intelligence Service)
                                    
                                 
                                       Klausdalsbrovej 1
                                    
                                 
                                       2860 Søborg
                                    
                                 
                                       Tel.: +45 33148888
                                    
                                 
                                       Fax +45 33430190
                                    
                                 
                     
                  
                     
                        2.
                     
                     
                        
                           
                                       Forsvarets Efterretningstjeneste
                                    
                                 
                                       (Danish Defence Intelligence Service)
                                    
                                 
                                       Kastellet 30
                                    
                                 
                                       2100 Copenhagen Ø
                                    
                                 
                                       Tel.: +45 33325566
                                    
                                 
                                       Fax +45 33931320
                                    
                                 
                     
                  
               ALLEMAGNE
            
            
                     
                        1.
                     
                     
                        
                           
                                       Pour les questions relatives à la politique de sécurité industrielle, les HSE, les plans de transport (hors matériel cryptographique/informations commerciales confidentielles):
                                    
                                 
                                       Federal Ministry of Economic Affairs and Energy
                                    
                                 
                                       Industrial Security Division - ZB3
                                    
                                 
                                       Villemombler Str. 76
                                    
                                 
                                       53123 Bonn
                                    
                                 
                                       Tel.: +49 228996154028
                                    
                                 
                                       Fax +49 228996152676
                                    
                                 
                                       Courriel: dsagermany-zb3@bmwi.bund.de (office email address)
                                    
                                 
                     
                  
                     
                        2.
                     
                     
                        
                           
                                       Pour les demandes de visite standard adressées par des entreprises allemandes ou à des entreprises allemandes:
                                    
                                 
                                       Federal Ministry of Economic Affairs and Energy
                                    
                                 
                                       Industrial Security Division – ZB2
                                    
                                 
                                       Villemombler Str. 76
                                    
                                 
                                       53123 Bonn
                                    
                                 
                                       Tel.: +49 228996152401
                                    
                                 
                                       Fax +49 228996152603
                                    
                                 
                                       Courriel: zb2-international@bmwi.bund.de (office email address)
                                    
                                 
                     
                  
                     
                        3.
                     
                     
                        
                           
                                       Plans de transport pour matériel cryptographique:
                                    
                                 
                                       Federal Office for Information Security (BSI)
                                    
                                 
                                       National Distribution Agency/NDA-EU DEU
                                    
                                 
                                       Mainzer Str. 84
                                    
                                 
                                       53179 Bonn
                                    
                                 
                                       Tel.: +49 2289995826052
                                    
                                 
                                       Fax +49 228991095826052
                                    
                                 
                                       Courriel: NDAEU@bsi.bund.de
                                    
                                 
                     
                  
               ESTONIE
            
            
                        National Security Authority Department
                     
                  
                        Estonian Foreign Intelligence Service
                     
                  
                        Rahumäe tee 4B
                     
                  
                        11316 Tallinn
                     
                  
                        Tel.: +372 6939211
                     
                  
                        Fax +372 6935001
                     
                  
                        Courriel: nsa@fis.gov.ee
                     
                  
               IRLANDE
            
            
                        National Security Authority Ireland
                     
                  
                        Department of Foreign Affairs and Trade
                     
                  
                        76-78 Harcourt Street
                     
                  
                        Dublin 2
                     
                  
                        D02 DX45
                     
                  
                        Tel.: +353 14082724
                     
                  
                        Courriel: nsa@dfa.ie
                     
                  
               GRÈCE
            
            
                        Hellenic National Defence General Staff
                     
                  
                        E' Division (Security INTEL, CI BRANCH)
                     
                  
                        E3 Directorate
                     
                  
                        Industrial Security Office
                     
                  
                        227-231 Mesogeion Avenue
                     
                  
                        15561 Holargos, Athens
                     
                  
                        Tel.: +30 2106572022, +30 2106572178
                     
                  
                        Fax +30 2106527612
                     
                  
                        Courriel: daa.industrial@hndgs.mil.gr
                     
                  
               ESPAGNE
            
            
                        Autoridad Nacional de Seguridad
                     
                  
                        Oficina Nacional de Seguridad
                     
                  
                        Calle Argentona 30
                     
                  
                        28023 Madrid
                     
                  
                        Tel.: +34 913725000
                     
                  
                        Fax +34 913725808
                     
                  
                        Courriel: nsa-sp@areatec.com
                     
                  
                        Pour les questions d'habilitation de sécurité du personnel: asip@areatec.com
                     
                  
                        Pour les plans de transport et les visites internationales: sp-ivtco@areatec.com
                     
                  
               FRANCE
            
            
                        National Security Authority (NSA) (pour l'action et la mise en œuvre dans des domaines autres que l'industrie de la défense)
                     
                  
                        Secrétariat général de la défense et de la sécurité nationale
                     
                  
                        Sous-direction Protection du secret (SGDSN/PSD)
                     
                  
                        51 boulevard de la Tour-Maubourg
                     
                  
                        75700 Paris 07 SP
                     
                  
                        Tel.: +33 171758193
                     
                  
                        Fax +33 171758200
                     
                  
                        Courriel: ANSFrance@sgdsn.gouv.fr
                     
                  
                        Designated Security Authority (pour la mise en œuvre dans le domaine de l'industrie de la défense)
                     
                  
                        Direction Générale de l'Armement
                     
                  
                        Service de la Sécurité de Défense et des systèmes d'Information (DGA/SSDI)
                     
                  
                        60 boulevard du général Martial Valin
                     
                  
                        CS 21623
                     
                  
                        75509 Paris Cedex 15
                     
                  
                        Tel.: +33 988670421
                     
                  
                        Courriel: pour les formulaires et les DDV à la sortie: dga-ssdi.ai.fct@intradef.gouv.fr
                     
                  
                        pour les DDV à l'entrée: dga-ssdi.visit.fct@intradef.gouv.fr
                     
                  
               CROATIE
            
            
                        Office of the National Security Council
                     
                  
                        Croatian NSA
                     
                  
                        Jurjevska 34
                     
                  
                        10000 Zagreb
                     
                  
                        Tel.: +385 14681222
                     
                  
                        Fax +385 14686049
                     
                  
                        Courriel: NSACroatia@uvns.hr
                     
                  
               ITALIE
            
            
                        Presidenza del Consiglio dei Ministri
                     
                  
                        D.I.S. - U.C.Se.
                     
                  
                        Via di Santa Susanna 15
                     
                  
                        00187 Roma
                     
                  
                        Tel.: +39 0661174266
                     
                  
                        Fax +39 064885273
                     
                  
               CHYPRE
            
            
                        ΥΠΟΥΡΓΕΙΟ ΑΜΥΝΑΣ
                     
                  
                        Εθνική Αρχή Ασφάλειας (ΕΑΑ)
                     
                  
                        Λεωφόρος Στροβόλου, 172-174
                     
                  
                        Στρόβολος, 2048, Λευκωσία
                     
                  
                        Τηλέφωνα: +357 22807569, +357 22807764
                     
                  
                        Τηλεομοιότυπο: +357 22302351
                     
                  
                        Courriel: cynsa@mod.gov.cy
                     
                  
                        Ministry of Defence
                     
                  
                        National Security Authority (NSA)
                     
                  
                        172-174, Strovolos Avenue
                     
                  
                        2048 Strovolos, Nicosia
                     
                  
                        Tel.: +357 22807569, +357 22807764
                     
                  
                        Fax +357 22302351
                     
                  
                        Courriel: cynsa@mod.gov.cy
                     
                  
               LETTONIE
            
            
                        National Security Authority
                     
                  
                        Constitution Protection Bureau of the Republic of Latvia
                     
                  
                        P.O. Box 286
                     
                  
                        Riga LV-1001
                     
                  
                        Tel.: +371 67025418, +371 67025463
                     
                  
                        Fax +371 67025454
                     
                  
                        Courriel: ndi@sab.gov.lt, ndi@zd.gov.lv
                     
                  
               LITUANIE
            
            
                        Lietuvos Respublikos paslapčių apsaugos koordinavimo komisija
                     
                  
                        (The Commission for Secrets Protection Coordination of the Republic of Lituania)
                     
                  
                        National Security Authority
                     
                  
                        Gedimino 40/1
                     
                  
                        LT-01110 Vilnius
                     
                  
                        Tel.: +370 70666703, +370 70666701
                     
                  
                        Fax +370 70666700
                     
                  
                        Courriel: nsa@vsd.lt
                     
                  
               LUXEMBOURG
            
            
                        Autorité Nationale de Sécurité
                     
                  
                        207, route d'Esch
                     
                  
                        L-1471 Luxembourg
                     
                  
                        Tel.: +352 24782210
                     
                  
                        Courriel: ans@me.etat.lu
                     
                  
               HONGRIE
            
            
                        National Security Authority of Hungary
                     
                  
                        H-1399 Budapest P.O. Box 710/50
                     
                  
                        H-1024 Budapest, Szilágyi Erzsébet fasor 11/B
                     
                  
                        Tel.: +36 13911862
                     
                  
                        Fax +36 13911889
                     
                  
                        Courriel: nbf@nbf.hu
                     
                  
               MALTE
            
            
                        Director of Standardisation
                     
                  
                        Designated Security Authority for Industrial Security
                     
                  
                        Standards & Metrology Institute
                     
                  
                        Malta Competition and Consumer Affairs Authority
                     
                  
                        Mizzi House
                     
                  
                        National Road
                     
                  
                        Blata I-Bajda HMR9010
                     
                  
                        Tel.: +356 23952000
                     
                  
                        Fax +356 21242406
                     
                  
                        Courriel: certification@mccaa.org.mt
                     
                  
               PAYS-BAS
            
            
                     
                        1.
                     
                     
                        
                           
                                       Ministry of the Interior and Kingdom Relations
                                    
                                 
                                       PO Box 20010
                                    
                                 
                                       2500 EA The Hague
                                    
                                 
                                       Tel.: +31 703204400
                                    
                                 
                                       Fax +31 703200733
                                    
                                 
                                       Courriel: nsa-nl-industry@minbzk.nl
                                    
                                 
                     
                  
                     
                        2.
                     
                     
                        
                           
                                       Ministry of Defence
                                    
                                 
                                       Industrial Security Department
                                    
                                 
                                       PO Box 20701
                                    
                                 
                                       2500 ES The Hague
                                    
                                 
                                       Tel.: +31 704419407
                                    
                                 
                                       Fax +31 703459189
                                    
                                 
                                       Courriel: indussec@mindef.nl
                                    
                                 
                     
                  
               AUTRICHE
            
            
                     
                        1.
                     
                     
                        
                           
                                       Federal Chancellery of Austria
                                    
                                 
                                       Department I/12, Office for Information Security
                                    
                                 
                                       Ballhausplatz 2
                                    
                                 
                                       1014 Vienna
                                    
                                 
                                       Tel.: +43 153115202594
                                    
                                 
                                       Courriel: isk@bka.gv.at
                                    
                                 
                     
                  
                     
                        2.
                     
                     
                        
                           
                                       DSA in the military sphere:
                                    
                                 
                                       BMLVS/Abwehramt
                                    
                                 
                                       Postfach 2000
                                    
                                 
                                       1030 Vienna
                                    
                                 
                                       Courriel: abwa@bmlvs.gv.at
                                    
                                 
                     
                  
               POLOGNE
            
            
                        Internal Security Agency
                     
                  
                        Department for the Protection of Classified Information
                     
                  
                        Rakowiecka 2 A
                     
                  
                        00-993 Warsaw
                     
                  
                        Tel.: +48 225857944
                     
                  
                        Fax +48 225857443
                     
                  
                        Courriel: nsa@abw.gov.pl
                     
                  
               PORTUGAL
            
            
                        Gabinete Nacional de Segurança
                     
                  
                        Serviço de Segurança Industrial
                     
                  
                        Rua da Junqueira no 69
                     
                  
                        1300-342 Lisbon
                     
                  
                        Tel.: +351 213031710
                     
                  
                        Fax +351 213031711
                     
                  
                        Courriel: sind@gns.gov.pt, franco@gns.gov.pt
                     
                  
               ROUMANIE
            
            
                        Oficiul Registrului Național al Informațiilor Secrete de Stat - ORNISS
                     
                  
                        Romanian NSA - ORNISS - National Registry Office for Classified Information
                     
                  
                        4th Mures Street
                     
                  
                        012275 Bucharest
                     
                  
                        Tel.: +40 212075115
                     
                  
                        Fax +40 212245830
                     
                  
                        Courriel: relatii.publice@orniss.ro, nsa.romania@nsa.ro
                     
                  
               SLOVÉNIE
            
            
                        Urad Vlade RS za varovanje tajnih podatkov
                     
                  
                        Gregorčičeva 27
                     
                  
                        1000 Ljubljana
                     
                  
                        Tel.: +386 14781390
                     
                  
                        Fax +386 14781399
                     
                  
                        Courriel: gp.uvtp@gov.si
                     
                  
               SLOVAQUIE
            
            
                        Národný bezpečnostný úrad
                     
                  
                        (National Security Authority)
                     
                  
                        Security Clearance Department
                     
                  
                        Budatínska 30
                     
                  
                        851 06 Bratislava
                     
                  
                        Tel.: +421 268691111
                     
                  
                        Fax +421 268691700
                     
                  
                        Courriel: podatelna@nbu.gov.sk
                     
                  
               FINLANDE
            
            
                        National Security Authority
                     
                  
                        Ministry for Foreign Affairs
                     
                  
                        P.O. Box 453
                     
                  
                        FI-00023 Government
                     
                  
                        Courriel: NSA@formin.fi
                     
                  
               SUÈDE
            
            
                     
                        1.
                     
                     
                        
                           
                                       National Security Authority
                                    
                                 
                                       Utrikesdepartementet (Ministry for Foreign Affairs)
                                    
                                 
                                       UD SÄK/NSA
                                    
                                 
                                       SE-103 39 Stockholm
                                    
                                 
                                       Tel.: +46 84051000
                                    
                                 
                                       Fax +46 87231176
                                    
                                 
                                       Courriel: ud-nsa@gov.se
                                    
                                 
                     
                  
                     
                        2.
                     
                     
                        
                           
                                       DSA
                                    
                                 
                                       Försvarets Materielverk (Swedish Defence Materiel Administration)
                                    
                                 
                                       FMV Säkerhetsskydd
                                    
                                 
                                       SE-115 88 Stockholm
                                    
                                 
                                       Tel.: +46 87824000
                                    
                                 
                                       Fax +46 87826900
                                    
                                 
                                       Courriel: security@fmv.se
                                    
                                 
                     
                  
               ROYAUME-UNI
            
            
                        UK National Security Authority
                     
                  
                        Room 335, 3rd Floor
                     
                  
                        70 Whitehall
                     
                  
                        London
                     
                  
                        SW1 A 2AS
                     
                  
                        Tel.: +44 2072765497, +44 2072765645
                     
                  
                        Courriel: UK-NSA@cabinet-office.x.gsi.gov.uk