1.   La présente décision établit des modalités d’application en matière de sécurité industrielle en ce qui concerne les subventions classifiées au sens de la décision (UE, Euratom) 2015/444, et notamment le chapitre 6 de ladite décision.

2.   Elle définit des exigences spécifiques visant à garantir la protection des informations classifiées de l’Union européenne (ICUE) lors de la publication d’appels à propositions, lors de l’octroi de subventions et lors de l’exécution des conventions de subvention classifiées conclues par la Commission européenne.

3.   La présente décision porte sur les subventions mettant en jeu des informations classifiées aux niveaux suivants:

4.   La présente décision est applicable sans préjudice de règles spécifiques établies dans d’autres actes juridiques, tels que ceux relatifs au programme européen de développement industriel dans le domaine de la défense.

1.   Dans le cadre des responsabilités qui lui incombent en vertu du règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil, l’ordonnateur de l’autorité octroyant la subvention veille à ce que la subvention classifiée soit conforme à la décision (UE, Euratom) 2015/444 et à ses modalités d’application.

2.   À cette fin, l’ordonnateur compétent demande, à chaque stade, l’avis de l’autorité de sécurité de la Commission sur les questions relatives aux éléments de sécurité d’une convention de subvention, d’un programme ou d’un projet classifiés et informe le responsable local de la sécurité des conventions de subvention classifiées conclues. La décision relative au niveau de classification d’un thème donné appartient à l’autorité octroyant la subvention, qui se prononce en tenant dûment compte du guide de la classification de sécurité.

3.   Lorsque les instructions de sécurité relatives à un programme ou un projet visées à l’article 5, paragraphe 3, sont appliquées, l’autorité octroyant la subvention et l’autorité de sécurité de la Commission s’acquittent des responsabilités qui leur incombent en vertu desdites instructions.

4.   En respectant les exigences des présentes modalités d’application, l’autorité de sécurité de la Commission coopère étroitement avec les autorités nationales de sécurité («ANS») et les autorités de sûreté désignées («ASD») des États membres concernés, notamment en ce qui concerne les habilitations de sécurité d’établissement («HSE») et les habilitations de sécurité du personnel («HSP»), les procédures de visite et les plans de transport.

5.   Lorsque les subventions sont gérées par des agences exécutives ou d’autres organismes de financement de l’Union et que les règles spécifiques établies dans d’autres actes juridiques visés à l’article 1er, paragraphe 4, ne sont pas applicables:

1.   Les parties classifiées des subventions sont appliquées uniquement par des bénéficiaires immatriculés dans un État membre, ou par des bénéficiaires immatriculés dans un pays tiers ou mis en place par une organisation internationale lorsque ce pays tiers ou cette organisation internationale a conclu un accord sur la sécurité des informations avec l’Union européenne ou un arrangement administratif avec la Commission (8).

2.   Avant de lancer un appel à propositions en vue de l’octroi d’une subvention classifiée, l’autorité octroyant la subvention détermine la classification de sécurité de toute information susceptible d’être communiquée aux candidats. L’autorité octroyant la subvention détermine également la classification de sécurité maximale de toute information utilisée ou produite dans le cadre de l’exécution de la convention de subvention, du programme ou du projet, ou prévoit au moins le volume et le type d’informations à produire ou à traiter, ainsi que la nécessité d’un système d’information et de communication (SIC) classifié.

3.   L’autorité octroyant la subvention veille à ce que les appels à propositions pour les subventions classifiées procurent des informations sur les obligations particulières en matière de sécurité liées aux informations classifiées. Les documents de l’appel à propositions précisent les délais dans lesquels les bénéficiaires doivent, si nécessaire, obtenir les habilitations de sécurité d’établissement (HSE). Les annexes I et II contiennent des modèles d’informations concernant les conditions relatives à l’appel à propositions.

4.   L’autorité octroyant la subvention veille à ce que les informations classifiées RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET ne soient divulguées aux candidats qu’une fois qu’ils ont signé un accord de confidentialité leur faisant obligation de traiter et de protéger les ICUE conformément à la décision (UE, Euratom) 2015/444, aux modalités d’application de cette dernière et aux règles nationales applicables.

5.   Lorsque des informations RESTREINT UE/EU RESTRICTED sont communiquées aux candidats, les exigences minimales visées à l’article 5, paragraphe 7, de la présente décision sont mentionnées dans l’appel ou dans les accords de confidentialité conclus au stade de la proposition.

6.   Tous les candidats et les bénéficiaires qui doivent traiter ou stocker des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET au sein de leurs établissements, au stade de la proposition ou durant l’exécution de la convention de subvention classifiée elle-même, détiennent une HSE au niveau requis, sauf dans les cas mentionnés au paragraphe 9. Ci-après sont indiqués les trois cas de figure qui peuvent se présenter au stade de l’appel à propositions pour une subvention classifiée mettant en jeu des ICUE au niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET:

7.   En principe, une HSE ou une HSP n’est pas requise pour avoir accès aux informations classifiées RESTREINT UE/EU RESTRICTED, que ce soit au stade de la proposition ou pour l’exécution de la convention de subvention. Lorsque des États membres exigent une HSE ou une HSP pour des conventions de subvention ou des contrats de sous-traitance au niveau RESTREINT UE/EU RESTRICTED en vertu de leurs dispositions législatives et réglementaires nationales, comme indiqué à l’annexe IV, ces exigences nationales n’imposent aucune obligation supplémentaire aux autres États membres ou n’excluent pas les candidats, les bénéficiaires ou les sous-traitants des États membres qui n’imposent pas une telle HSE ou une telle HSP pour l’accès aux informations RESTREINT UE/EU RESTRICTED issues de conventions de subvention/contrats de sous-traitance connexes ou d’une mise en concurrence pour de tels conventions/contrats. Ces conventions de subvention sont exécutées dans les États membres conformément à leurs dispositions législatives et réglementaires.

8.   Lorsqu’une HSE est requise pour le traitement d’un appel à propositions et pour l’application d’une convention de subvention classifiée, l’autorité octroyant la subvention présente, par l’intermédiaire de l’autorité de sécurité de la Commission, une demande à l’ANS/ASD du bénéficiaire au moyen d’une fiche d’information pour habilitation de sécurité d’établissement («FIHSE») ou sous la forme d’un document électronique équivalent prévu à cet effet. L’annexe III, appendice D, contient un exemple de FIHSE (9). Il est répondu à la FIHSE, dans la mesure du possible, dans un délai de dix jours ouvrables à compter de la date de la demande.

9.   Lorsque des établissements publics des États membres ou des établissements soumis au contrôle de leurs gouvernements participent à des subventions classifiées pour lesquels des HSE sont exigées, mais que des HSE ne sont pas délivrées pour des établissements de ce type en vertu des législations nationales, l’autorité octroyant la subvention vérifie auprès de l’ANS ou de l’ASD concernée, par l’intermédiaire de l’autorité de sécurité de la Commission, que ces établissements publics sont capables de traiter des ICUE au niveau requis.

10.   Lorsqu’une HSP est requise pour l’exécution d’une convention de subvention classifiée et lorsque, conformément aux règles nationales, une HSE est nécessaire avant qu’une HSP soit octroyée, l’autorité octroyant la subvention vérifie, auprès de l’ANS ou de l’ASD du bénéficiaire, par l’intermédiaire de l’autorité de sécurité de la Commission, au moyen d’une FIHSE, que le bénéficiaire détient une HSE ou que le processus d’obtention d’une HSE est en cours. Dans ce cas, la Commission n’envoie pas de demande de HSP au moyen d’une fiche d’information pour habilitation de sécurité du personnel («FIHSP»).

1.   Les conditions auxquelles les bénéficiaires peuvent sous-traiter des tâches mettant en jeu des ICUE sont définies dans l’appel à propositions ainsi que dans la convention de subvention. Ces conditions incluent l’exigence selon laquelle toutes les FIHSE doivent être transmises par l’intermédiaire de l’autorité de sécurité de la Commission. La sous-traitance fait l’objet d’un consentement écrit préalable de l’autorité octroyant la subvention. Le cas échéant, la sous-traitance est conforme aux exigences prévues dans l’acte de base établissant le programme.

2.   Les parties classifiées des subventions sont sous-traitées uniquement à des entités immatriculées dans un État membre, ou à des entités immatriculées dans un pays tiers ou mises en place par une organisation internationale lorsque ce pays tiers ou cette organisation internationale a conclu un accord sur la sécurité des informations avec l’Union européenne ou un arrangement administratif avec la Commission (10).

1.   Lors de l’attribution d’une subvention classifiée, l’autorité octroyant la subvention, conjointement avec l’autorité de sécurité de la Commission, veille à ce que les obligations des bénéficiaires en matière de protection des ICUE utilisées ou produites dans le cadre de l’exécution de la subvention classifiée fassent partie intégrante de la convention de subvention. Les exigences de sécurité propres à une subvention prennent la forme d’une annexe de sécurité («AS»). Un modèle d’AS figure à l’annexe III.

2.   Avant de signer une subvention classifiée, l’autorité octroyant la subvention approuve un guide de la classification de sécurité («GCS») pour les tâches à effectuer et les informations produites dans le cadre de l’exécution de la convention de subvention, ou au niveau du programme ou du projet, le cas échéant. Le GCS fait partie de l’AS.

3.   Les exigences de sécurité propres à un programme ou un contrat prennent la forme d’instructions de sécurité relatives à un programme (ou un projet) («ISP»). Les ISP peuvent être rédigées à l’aide des dispositions du modèle d’AS figurant à l’annexe III. Les ISP sont élaborées par le service de la Commission qui gère le programme ou le projet, en étroite coopération avec l’autorité de sécurité de la Commission et sont soumises pour avis au groupe d’experts sécurité de la Commission. Lorsqu’une convention de subvention relève d’un programme ou d’un projet ayant ses propres ISP, l’AS de la convention de subvention doit revêtir une forme simplifiée et comporter une référence aux dispositions de sécurité exposées dans les ISP du programme ou du projet.

4.   À l’exception des cas mentionnés à l’article 3, paragraphe 9, la convention de subvention classifiée n’est pas signée avant que l’ANS ou l’ASD du candidat n’ait confirmé l’obtention d’une HSE par le candidat ou, lorsque la convention de subvention classifiée est octroyée à un consortium, avant que l’ANS ou l’ASD d’au minimum un candidat appartenant au consortium, ou plus si nécessaire, ait confirmé l’obtention d’une HSE par le candidat.

5.   En principe, et sauf règles pertinentes contraires, l’autorité octroyant la subvention est considérée comme l’autorité d’origine des ICUE produites au cours de l’exécution de la convention de subvention.

6.   L’autorité octroyant la subvention, par l’intermédiaire de l’autorité de sécurité de la Commission, informe les ANS ou les ASD de tous les bénéficiaires et sous-traitants de la signature de conventions de subvention ou de contrats de sous-traitance classifiés et de toute prolongation ou résiliation anticipée de ces conventions de subvention ou contrats de sous-traitance. La liste des exigences par pays figure à l’annexe IV.

7.   Les conventions de subvention mettant en jeu des informations classifiées RESTREINT UE/EU RESTRICTED incluent une clause de sécurité rendant contraignantes pour les bénéficiaires les dispositions figurant à l’annexe III, appendice E. Ces conventions de subvention contiennent une AS exposant, au minimum, les exigences en matière de traitement des informations RESTREINT UE/EU RESTRICTED, y compris les aspects relatifs à l’assurance de l’information et les exigences spécifiques que doivent remplir les bénéficiaires en vue de l’agrément de leur SIC traitant des informations RESTREINT UE/EU RESTRICTED.

8.   Lorsque les dispositions législatives et réglementaires nationales des États membres l’exigent, les ANS ou les ASD veillent à ce que les bénéficiaires ou sous-traitants relevant de leur juridiction respectent les dispositions applicables en matière de sécurité pour la protection des informations RESTREINT UE/EU RESTRICTED et effectuent des visites de vérification auprès des établissements des bénéficiaires ou des sous-traitants situés sur leur territoire. Lorsque l’ANS ou l’ASD n’est pas soumise à une telle obligation, l’autorité octroyant la subvention veille à ce que les bénéficiaires mettent en œuvre les dispositions de sécurité requises énoncées à l’annexe III, appendice E.

1.   L’autorité octroyant la subvention veille à ce que les conventions de subvention classifiées renferment des dispositions indiquant que le personnel des bénéficiaires ou sous-traitants qui, aux fins de l’exécution de la convention de subvention ou du contrat de sous-traitance classifiés, requiert l’accès à des ICUE, peut se voir accorder un tel accès uniquement si les conditions suivantes sont remplies:

2.   Le cas échéant, l’accès aux ICUE est également conforme à l’acte de base établissant le programme et tient compte des marquages complémentaires définis dans le GCS.

3.   Si un bénéficiaire ou un sous-traitant souhaite employer un ressortissant d’un pays non-membre de l’Union européenne à une fonction qui requiert l’accès à des ICUE classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, il incombe au bénéficiaire ou au sous-traitant d’engager la procédure d’habilitation de sécurité concernant cette personne conformément aux dispositions législatives et réglementaires nationales applicables sur le lieu où l’accès aux ICUE doit être accordé.

1.   Les externes (les «experts») qui prennent part à des contrôles, des examens ou des audits exécutés par l’autorité octroyant la subvention ou à des examens des performances des bénéficiaires nécessitant un accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET ne peuvent se voir offrir un contrat que lorsqu’ils ont reçu de l’ANS, de l’ASD ou de toute autre autorité de sécurité compétente une habilitation de sécurité du niveau correspondant. L’autorité octroyant la subvention, par l’intermédiaire de l’autorité de sécurité de la Commission, procède aux vérifications et, le cas échéant, demande à l’ANS ou à l’ASD de lancer la procédure de vérification en ce qui concerne les experts au minimum six mois avant le début de leurs contrats respectifs.

2.   Avant la signature de leurs contrats, les experts sont informés des règles de sécurité applicables à la protection des ICUE et reconnaissent les responsabilités qui leur incombent en matière de protection de ces informations.

1.   Lorsque l’autorité octroyant la subvention, des experts, des bénéficiaires ou des sous-traitants doivent avoir accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET dans leurs locaux respectifs dans le contexte de l’application d’une convention de subvention classifiée, les visites sont organisées en liaison avec les ANS ou les ASD ou toute autre autorité de sécurité compétente concernée.

2.   Les visites visées au paragraphe 1 sont soumises aux exigences suivantes:

1.   Les visites effectuées par les bénéficiaires ou les sous-traitants dans les établissements d’autres bénéficiaires ou sous-traitants, ou dans les locaux de l’autorité octroyant la subvention, qui impliquent l’accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, sont organisées selon la procédure suivante:

2.   Les visites qui sont effectuées par des fonctionnaires ou des experts ou des auditeurs de l’autorité octroyant la subvention dans les établissements de bénéficiaires ou de sous-traitants et qui impliquent l’accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET sont organisées selon la procédure suivante:

3.   Une DDV peut couvrir une seule visite ou des visites récurrentes. Dans le cas de visites récurrentes, la DDV peut être valable pendant une durée maximale d’un an à compter de la date de début demandée.

4.   La durée de validité de la DDV n’excède pas la durée de validité de l’HSP du visiteur.

5.   En règle générale, la DDV doit être soumise à l’autorité de sécurité compétente de l’établissement d’accueil au moins 15 jours ouvrables avant la date de la visite.

1.   Avant d’autoriser l’accès de visiteurs à des ICUE, le bureau de sécurité de l’établissement d’accueil se conforme à toutes les procédures et règles de sécurité relatives aux visites qui sont définies par son ANS ou son ASD.

2.   Les visiteurs déclinent leur identité à leur arrivée dans l’établissement d’accueil en présentant une carte d’identité ou un passeport en cours de validité. Ces informations d’identification correspondent aux renseignements fournis dans la DDV.

3.   L’établissement d’accueil veille à tenir un registre de tous les visiteurs, indiquant leur nom, l’organisation qu’ils représentent, la date d’expiration de l’HSP, la date de la visite et le nom des personnes auxquelles il est rendu visite. Ces registres sont conservés pendant une période d’au moins cinq ans, ou plus si les règles et réglementations nationales du pays dans lequel est situé l’établissement d’accueil l’exigent.

1.   Dans le cadre de projets spécifiques, les ANS ou les ASD compétentes et l’autorité de sécurité de la Commission peuvent convenir d’une procédure permettant au responsable de la sécurité du visiteur et au responsable de la sécurité de l’établissement à visiter d’organiser directement des visites pour une subvention classifiée spécifique. Un modèle du formulaire à utiliser à cette fin figure à l’annexe III, appendice C. Cette procédure exceptionnelle est définie dans les ISP ou dans le cadre d’autres arrangements spécifiques. En pareil cas, les procédures prévues à l’article 9 et à l’article 10, paragraphe 1, ne s’appliquent pas.

2.   Les visites impliquant l’accès à des informations classifiées RESTREINT UE/EU RESTRICTED sont organisées directement entre l’entité d’envoi et l’entité d’accueil sans qu’il soit nécessaire de suivre les procédures prévues à l’article 9 et à l’article 10, paragraphe 1.

1.   Le traitement et la transmission électroniques d’ICUE sont effectués conformément aux chapitres 5 et 6 de la décision (UE, Euratom) 2015/444 de la Commission et à ses modalités d’application.

Les systèmes d’information et de communication détenus par un bénéficiaire et utilisés pour traiter des ICUE aux fins de l’exécution de la convention de subvention («SIC du bénéficiaire») sont soumis à l’agrément de l’autorité d’homologation de sécurité (AHS) compétente. Toute transmission d’ICUE par voie électronique est protégée par des produits cryptographiques approuvés conformément à l’article 36, paragraphe 4, de la décision (UE, Euratom) 2015/444. Des mesures de sécurité TEMPEST sont mises en œuvre conformément à l’article 36, paragraphe 6, de ladite décision.

2.   L’habilitation de sécurité du SIC du bénéficiaire qui traite des ICUE au niveau RESTREINT UE/EU RESTRICTED et toute interconnexion y afférente peuvent être déléguées au responsable de la sécurité d’un bénéficiaire si les dispositions législatives et réglementaires nationales le permettent. Lorsque cette tâche est déléguée, le bénéficiaire est responsable de la mise en œuvre des exigences minimales en matière de sécurité décrites dans l’AS lors du traitement d’informations RESTREINT UE/EU RESTRICTED dans son SIC. Toutefois, les ANS ou les ASD et AHS compétentes demeurent responsables de la protection des informations RESTREINT UE/EU RESTRICTED traitées par le bénéficiaire et conservent le droit de contrôler les mesures de sécurité prises par les bénéficiaires. En outre, le bénéficiaire fournit à l’autorité octroyant la subvention et, lorsque les dispositions législatives et réglementaires nationales l’exigent, à l’AHS nationale compétente, une déclaration de conformité attestant que le SIC du bénéficiaire et les interconnexions s’y rapportant ont été agréés pour traiter des ICUE au niveau RESTREINT UE/EU RESTRICTED (11).

1.   Le transport par porteur d’informations classifiées est soumis à des exigences strictes en matière de sécurité.

2.   Le transport par porteur d’informations classifiées RESTREINT UE/EU RESTRICTED peut être effectué par un membre du personnel du bénéficiaire à l’intérieur de l’Union européenne, pour autant que les conditions suivantes soient remplies:

3.   Pour les informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET, le transport par porteur effectué par un membre du personnel du bénéficiaire dans un État membre est organisé à l’avance par l’entité expéditrice et l’entité destinataire. L’autorité expéditrice ou l’établissement expéditeur informe l’autorité ou l’établissement destinataire des éléments relatifs à l’envoi, en indiquant notamment la référence, la classification, l’heure d’arrivée prévue et le nom du service de courrier. Ce transport par porteur est autorisé pour autant que les conditions suivantes soient remplies:

4.   Pour le transport par porteur d’informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET effectué par le personnel du bénéficiaire d’un État membre de l’Union européenne à un autre, les règles complémentaires suivantes s’appliquent:

Si un envoi est ouvert par les autorités douanières, l’ouverture doit être effectuée hors de la vue des personnes non autorisées et, dans la mesure du possible, en présence du porteur. Le porteur demande que l’envoi soit remballé et prie les autorités qui effectuent le contrôle de refermer l’envoi et de confirmer par écrit que celui-ci a été ouvert par elles.

5.   Le transport par porteur d’informations classifiées RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET effectué par le personnel du bénéficiaire à destination d’un pays tiers ou d’une organisation internationale sont soumis aux dispositions de l’accord sur la sécurité des informations ou de l’arrangement administratif conclu entre, respectivement, l’Union européenne ou la Commission et ce pays tiers ou cette organisation internationale.