2013/488/UE: Décision du Conseil du 23 septembre 2013 concernant les règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne

1 La présente décision définit les principes de base et les normes de sécurité minimales pour la protection ICUE.

2 Ces principes de base et normes minimales s’appliquent au Conseil et au SGC et sont respectés par les États membres, conformément à leurs dispositions législatives et réglementaires nationales, afin que chacun puisse avoir la certitude qu’un niveau équivalent de protection est assuré pour les ICUE.

3 Aux fins de la présente décision, les définitions figurant à l’appendice A s’appliquent.

1 Par «informations classifiées de l’Union européenne» (ICUE), on entend toute information ou tout matériel identifié comme tel par la classification de sécurité de l’Union européenne, dont la divulgation non autorisée pourrait porter atteinte à des degrés divers aux intérêts de l’Union européenne, ou à ceux d’un ou de plusieurs de ses États membres.

2 Les ICUE relèvent de l’un des niveaux de classification suivants: a) TRÈS SECRET UE/EU TOP SECRET: informations et matériels dont la divulgation non autorisée pourrait causer un préjudice exceptionnellement grave aux intérêts essentiels de l’Union européenne ou d’un ou de plusieurs de ses États membres; b) SECRET UE/EU SECRET: informations et matériels dont la divulgation non autorisée pourrait nuire gravement aux intérêts essentiels de l’Union européenne ou d’un ou de plusieurs de ses États membres; c) CONFIDENTIEL UE/EU CONFIDENTIAL: informations et matériels dont la divulgation non autorisée pourrait nuire aux intérêts essentiels de l’Union européenne ou d’un ou de plusieurs de ses États membres; d) RESTREINT UE/EU RESTRICTED: informations et matériels dont la divulgation non autorisée pourrait être défavorable aux intérêts de l’Union européenne ou d’un ou de plusieurs de ses États membres.

3 Les ICUE portent un marquage de classification de sécurité conformément au paragraphe 2. Elles peuvent porter des marquages supplémentaires pour désigner le domaine d’activité auquel elles sont liées, identifier l’autorité d’origine, limiter la diffusion, restreindre l’utilisation ou indiquer la communicabilité.

1 Les autorités compétentes veillent à ce que les ICUE soient classifiées de manière appropriée, clairement identifiées en tant qu’informations classifiées, et qu’elles ne conservent leur niveau de classification qu’aussi longtemps que nécessaire.

2 Les ICUE ne sont pas déclassées ni déclassifiées, et aucun des marquages visés à l’article 2, paragraphe 3, n’est modifié ni supprimé sans le consentement écrit préalable de l’autorité d’origine.

3 Le Conseil approuve une politique de sécurité sur la création d’ICUE, qui comprend un guide pratique de la classification.

1 Les ICUE sont protégées conformément à la présente décision.

2 Il incombe au détenteur de tout élément d’ICUE de le protéger conformément à la présente décision.

3 Lorsque les États membres introduisent des informations classifiées portant un marquage national de classification de sécurité dans les structures ou réseaux de l’Union, le Conseil et le SGC protègent ces informations conformément aux règles applicables aux ICUE de niveau équivalent tel que prévu dans le tableau d’équivalence des classifications de sécurité figurant à l’appendice B.

4 Un ensemble d’ICUE peut justifier un niveau de protection correspondant à une classification plus élevée que celle appliquée à ses différentes composantes.

1 Les risques pesant sur les ICUE sont gérés dans le cadre d’une procédure. Cette dernière vise à déterminer les risques connus pesant sur la sécurité, à définir des mesures de sécurité permettant de ramener ces risques à un niveau acceptable conformément aux principes de base et aux normes minimales énoncés dans la présente décision et à appliquer ces mesures selon la notion de défense en profondeur, telle que définie à l’appendice A. L’efficacité de telles mesures fait l’objet d’une évaluation constante.

2 Les mesures de sécurité pour la protection des ICUE tout au long de leur cycle de vie sont proportionnées en particulier à leur classification de sécurité, à la forme sous laquelle se présentent les informations ou les matériels ainsi qu’à leur volume, au lieu et à la construction des établissements où se trouvent des ICUE et à la menace évaluée à l’échelle locale que représentent les activités malveillantes et/ou criminelles, y compris l’espionnage, le sabotage et le terrorisme.

3 Les plans d’urgence tiennent compte de la nécessité de protéger les ICUE en cas d’urgence afin de prévenir l’accès et la divulgation non autorisés ainsi que la perte d’intégrité ou de disponibilité.

4 Les mesures de prévention et de retour aux conditions opérationnelles visant à limiter l’impact de défaillances ou d’incidents graves sur le traitement et le stockage des ICUE sont prévues dans les plans de continuité de l’activité.

1 Le cas échéant, le Conseil approuve, sur recommandation du comité de sécurité, les politiques de sécurité énonçant les mesures destinées à mettre en œuvre la présente décision.

2 Le comité de sécurité peut arrêter à son niveau des lignes directrices en matière de sécurité en complément ou à l’appui de la présente décision et de toute politique de sécurité approuvée par le Conseil.

1 La sécurité du personnel passe par l’application de mesures visant à faire en sorte que l’accès aux ICUE ne soit accordé qu’aux personnes qui ont: un besoin d’en connaître, fait l’objet d’une habilitation de sécurité du niveau correspondant, lorsqu’il y a lieu, et été informées de leurs responsabilités.

2 Les procédures d’habilitation de sécurité concernant le personnel ont pour but de déterminer si une personne, compte tenu de sa loyauté, de son intégrité et de sa fiabilité, peut être autorisée à avoir accès à des ICUE.

3 Toutes les personnes au sein du SGC qui, en raison de leurs attributions, ont besoin d’accéder à des ICUE CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur ou de traiter de telles ICUE font l’objet d’une habilitation de sécurité du niveau correspondant avant que l’accès à ces ICUE leur soit accordé. Ces personnes doivent être autorisées par l’autorité investie du pouvoir de nomination du SGC à accéder aux ICUE jusqu’à un niveau de classification donné et jusqu’à une date donnée.

4 Le personnel des États membres visé à l’article 15, paragraphe 3, qui, en raison de ses attributions, peut avoir besoin d’accéder à des ICUE CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur fait l’objet d’une habilitation de sécurité du niveau correspondant ou est dûment autorisé en vertu de ses fonctions, conformément aux dispositions législatives et réglementaires nationales, avant que l’accès à de telles ICUE ne lui soit accordé.

5 Avant de se voir accorder l’accès à des ICUE et à intervalles réguliers par la suite, toutes les personnes concernées sont informées des responsabilités qui leur incombent en matière de protection des ICUE conformément à la présente décision et reconnaissent ces responsabilités.

6 Les modalités d’application du présent article figurent à l’annexe I.

1 Par «sécurité physique», on entend l’application de mesures physiques et techniques de protection pour empêcher l’accès non autorisé aux ICUE.

2 Les mesures de sécurité physique sont destinées à faire obstacle à toute intrusion par la ruse ou par la force, à avoir un effet dissuasif, à empêcher et détecter les actes non autorisés et permettre d’établir une distinction entre les membres du personnel au regard de l’accès aux ICUE conformément au principe du besoin d’en connaître. Ces mesures sont déterminées sur la base d’une procédure de gestion des risques.

3 Les mesures physiques de sécurité sont mises en place pour tous les locaux, bâtiments, bureaux, salles et autres zones dans lesquels des ICUE sont traitées ou stockées, y compris les zones où se trouvent les systèmes d’information et de communication définis à l’article 10, paragraphe 2.

4 Des zones où sont stockées des ICUE CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur sont créées en tant que zones sécurisées conformément à l’annexe II et agréées par l’autorité de sécurité compétente.

5 Seuls des équipements ou des dispositifs agréés sont utilisés pour protéger les ICUE CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur.

6 Les modalités d’application du présent article figurent à l’annexe II.

1 Par «gestion des informations classifiées», on entend l’application de mesures administratives pour contrôler les ICUE tout au long de leur cycle de vie afin de compléter les mesures prévues aux articles 7, 8 et 10 et de contribuer ainsi à la prévention et à la détection d’une compromission ou d’une perte délibérée ou accidentelle de telles informations. Ces mesures concernent en particulier la création, l’enregistrement, la duplication, la traduction, le déclassement, la déclassification, le transport et la destruction des ICUE.

2 Les informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur sont enregistrées à des fins de sécurité avant leur diffusion et lors de leur réception. Les autorités compétentes au sein du SGC et des États membres établissent un bureau d’ordre à cette fin. Les informations classifiées TRÈS SECRET UE/EU TOP SECRET sont enregistrées dans des bureaux d’ordre désignés.

3 Les services et les locaux dans lesquels les ICUE sont traitées ou stockées font l’objet d’une inspection régulière par l’autorité de sécurité compétente.

4 En dehors des zones physiquement protégées, les ICUE sont transmises entre les services et les locaux selon les modalités suivantes: a) en règle générale, les ICUE sont transmises par voie électronique protégée par des produits cryptographiques agréés conformément à l’article 10, paragraphe 6; b) si la voie visée au point a) n’est pas utilisée, les ICUE sont transportées: i) soit sur des supports électroniques (par exemple clé USB, CD, disque dur) protégés par des produits cryptographiques agréés conformément à l’article 10, paragraphe 6; ii) soit, dans tous les autres cas, de la manière prescrite par l’autorité de sécurité compétente conformément aux mesures de protection pertinentes prévues à l’annexe III.

5 Les modalités d’application du présent article figurent aux annexes III et IV.

1 Par «assurance de l’information (AI) dans le domaine des systèmes d’information et de communication», on entend la certitude que ces systèmes protégeront les informations qu’ils traitent et fonctionneront comme ils le doivent, quand ils le doivent, sous le contrôle d’utilisateurs légitimes. Une AI efficace garantit des niveaux appropriés de confidentialité, d’intégrité, de disponibilité, de non-répudiation et d’authenticité. L’AI est fondée sur un processus de gestion des risques.

2 On entend par «système d’information et de communication» (SIC) tout système permettant le traitement d’informations sous forme électronique. Un SIC comprend l’ensemble des moyens nécessaires pour le faire fonctionner, y compris l’infrastructure, l’organisation, le personnel et les ressources d’information. La présente décision s’applique aux SIC traitant des ICUE.

3 Les SIC traitent des ICUE dans le respect de la notion d’AI.

4 Tous les SIC font l’objet d’un processus d’homologation. L’homologation vise à obtenir l’assurance que toutes les mesures de sécurité appropriées ont été mises en œuvre et que les ICUE et les SIC font l’objet d’un niveau suffisant de protection conformément à la présente décision. La déclaration d’homologation détermine le niveau maximal de classification des informations qui peuvent être traitées dans un SIC ainsi que les modalités et les conditions correspondantes.

5 Des mesures de sécurité sont mises en œuvre afin de protéger les SIC traitant des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL et d’un niveau de classification supérieur contre la compromission de ces informations par des émissions électromagnétiques non intentionnelles («mesures de sécurité TEMPEST»). Ces mesures de sécurité sont proportionnées au risque d’exploitation et au niveau de classification des informations.

6 Lorsque la protection des ICUE est assurée par des produits cryptographiques, ces produits doivent être approuvés comme suit: a) la confidentialité des informations classifiées SECRET UE/EU SECRET et d’un niveau de classification supérieur est protégée par des produits cryptographiques agréés par le Conseil en tant qu’autorité d’agrément cryptographique (AAC), sur recommandation du comité de sécurité; b) la confidentialité des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou RESTREINT UE/EU RESTRICTED est protégée par des produits cryptographiques agréés par le secrétaire général du Conseil (ci-après dénommé «le secrétaire général») en tant qu’AAC, sur recommandation du comité de sécurité. Nonobstant le point b), au sein des systèmes nationaux des États membres, la confidentialité des ICUE CONFIDENTIEL UE/EU CONFIDENTIAL ou RESTREINT UE/EU RESTRICTED peut être protégée par des produits cryptographiques agréés par l’AAC d’un État membre.

7 Lors de la transmission des ICUE par voie électronique, des produits cryptographiques qui ont fait l’objet d’un agrément sont utilisés. Nonobstant cette exigence, des procédures spécifiques peuvent être appliquées en cas d’urgence ou dans le cadre de configurations techniques spécifiques comme le prévoit l’annexe IV.

8 Les autorités compétentes du SGC et des États membres créent respectivement les fonctions suivantes en matière d’AI: a) une autorité chargée de l’AI (AAI); b) une autorité TEMPEST (AT); c) une autorité d’agrément cryptographique (AAC); d) une autorité chargée de la distribution cryptographique (ADC).

9 Pour chaque système, les autorités compétentes du SGC et des États membres créent respectivement: a) une autorité d’homologation de sécurité (AHS); b) une autorité opérationnelle chargée de l’AI.

10 Les modalités d’application du présent article figurent à l’annexe IV.

1 Par «sécurité industrielle», on entend l’application de mesures visant à assurer la protection des ICUE par des contractants ou des sous-traitants dans le cadre de négociations précontractuelles et tout au long du cycle de vie des contrats classifiés. De tels contrats ne doivent pas concerner l’accès à des informations classifiées TRÈS SECRET UE/EU TOP SECRET.

2 Le SGC peut, par voie contractuelle, confier à des entités industrielles ou autres immatriculées dans un État membre ou dans un État tiers ayant conclu un accord ou un arrangement administratif en vertu de l’article 13, paragraphe 2, point a) ou b), des tâches qui impliquent ou nécessitent l’accès, le traitement ou le stockage d’ICUE ou la communication de telles informations.

3 En tant qu’autorité contractante, le SGC veille à ce que les normes minimales de sécurité industrielle prévues dans la présente décision et mentionnées dans le contrat soient respectées lors de l’octroi de contrats classifiés à des entités industrielles ou autres.

4 L’autorité nationale de sécurité (ANS), l’autorité de sécurité désignée (ASD) ou toute autre autorité compétente de chaque État membre veille, autant que le permettent les dispositions législatives et réglementaires nationales, à ce que les contractants et les sous-traitants immatriculés sur le territoire dudit État prennent toutes les mesures appropriées pour protéger les ICUE dans le cadre de négociations précontractuelles et lors de l’exécution d’un contrat classifié.

5 L’ANS, l’ASD ou toute autre autorité compétente de chaque État membre veille, conformément aux dispositions législatives et réglementaires nationales, à ce que les contractants et les sous-traitants immatriculés sur le territoire de l’État membre concerné, qui participent à des contrats classifiés ou à des contrats de sous-traitance nécessitant l’accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET au sein de leurs établissements, soient en possession, lors de l’exécution desdits contrats ou durant la phase précontractuelle, d’une habilitation nationale de sécurité d’établissement (HSE) du niveau de classification correspondant.

6 Lorsque les membres du personnel d’un contractant ou d’un sous-traitant doivent, en raison de leurs fonctions aux fins de l’exécution d’un contrat classifié, accéder à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, l’ANS/ASD ou toute autre autorité de sécurité compétente leur délivre une habilitation de sécurité du personnel (HSP), conformément aux dispositions législatives ou réglementaires nationales et dans le respect des normes minimales de sécurité définies à l’annexe I.

7 Les modalités d’application du présent article figurent à l’annexe V.

1 Le Conseil détermine les conditions dans lesquelles il peut échanger les ICUE qu’il détient avec d’autres institutions, organes, organismes ou agences de l’Union européenne. Un cadre approprié peut être mis en place à cette fin, y compris au moyen de la conclusion d’accords interinstitutionnels ou d’autres arrangements lorsque cela est nécessaire à cet effet.

2 Un tel cadre vise à garantir que les ICUE font l’objet d’une protection appropriée à leur niveau de classification et conforme à des principes de base et normes minimales équivalents à ceux énoncés dans la présente décision.

1 Dans le cas où le Conseil établit qu’il est nécessaire d’échanger des ICUE avec un État tiers ou une organisation internationale, un cadre approprié est mis en place à cette fin.

2 Afin d’établir un tel cadre et de définir des règles réciproques relatives à la protection des informations classifiées échangées: a) l’Union conclut avec les États tiers ou les organisations internationales des accords sur les procédures de sécurité concernant l’échange et la protection des informations classifiées (ci-après dénommés «accords sur la sécurité des informations»); ou b) le secrétaire général peut conclure des arrangements administratifs au nom du SGC, conformément au paragraphe 17 de l’annexe VI, lorsque le niveau de classification des ICUE à communiquer n’est en règle générale pas supérieur à RESTREINT UE/EU RESTRICTED.

3 Les accords sur la sécurité des informations ou les arrangements administratifs visés au paragraphe 2 contiennent des dispositions pour garantir que, lorsque des États tiers ou des organisations internationales reçoivent des ICUE, ces informations bénéficient d’une protection conforme à leur niveau de classification et à des normes minimales qui ne sont pas moins strictes que celles prévues dans la présente décision.

4 La décision de communiquer des ICUE émanant du Conseil à un État tiers ou à une organisation internationale est prise par le Conseil, au cas par cas, en fonction de la nature et du contenu de ces informations, du besoin d’en connaître du destinataire et d’une appréciation des avantages que l’Union peut en retirer. Si l’autorité d’origine des informations classifiées à communiquer n’est pas le Conseil, le SGC lui demande au préalable son consentement écrit. Au cas où l’auteur ne peut être identifié, le Conseil assume cette responsabilité en lieu et place de l’auteur.

5 Des visites d’évaluation sont organisées pour s’assurer de l’efficacité des mesures de sécurité mises en place dans un État tiers ou une organisation internationale pour la protection des ICUE fournies ou échangées.

6 Les modalités d’application du présent article figurent à l’annexe VI.

1 Une infraction à la sécurité est un acte ou une omission commis par une personne qui est contraire aux règles de sécurité énoncées dans la présente décision.

2 Il y a compromission lorsque, à la suite d’une infraction à la sécurité, des ICUE ont été divulguées en totalité ou en partie à des personnes non autorisées.

3 Toute infraction à la sécurité, réelle ou présumée, est immédiatement signalée à l’autorité de sécurité compétente.

4 Lorsqu’il est avéré ou qu’il existe des motifs raisonnables de supposer que des ICUE ont été compromises ou perdues, l’ANS ou une autre autorité compétente prend toutes les mesures appropriées conformément aux dispositions législatives et réglementaires applicables pour: a) en informer l’autorité d’origine; b) faire en sorte qu’une enquête soit menée par des membres du personnel n’étant pas directement concernés par l’infraction afin d’établir les faits; c) évaluer le préjudice éventuel causé aux intérêts de l’Union ou des États membres; d) éviter que les faits ne se reproduisent; et e) informer les autorités compétentes des mesures prises.

5 Toute personne responsable d’une violation des règles de sécurité énoncées dans la présente décision est passible d’une sanction disciplinaire conformément aux dispositions législatives et réglementaires applicables. Toute personne responsable de la compromission ou de la perte d’ICUE est passible de sanctions disciplinaires et/ou peut faire l’objet d’une action en justice conformément aux dispositions législatives et réglementaires applicables.

1 Le Conseil prend toutes les mesures nécessaires pour assurer la cohérence globale de l’application de la présente décision.

2 Le secrétaire général prend toutes les mesures nécessaires pour faire en sorte que, lors du traitement ou du stockage des ICUE ou de toute autre information classifiée, la présente décision soit appliquée dans les locaux utilisés par le Conseil et au sein du SGC, par les fonctionnaires et autres agents du SGC, le personnel détaché auprès du SGC et les contractants du SGC.

3 Les États membres prennent toutes les mesures appropriées, conformément à leurs dispositions législatives et réglementaires nationales respectives, pour faire en sorte que, lors du traitement ou du stockage des ICUE, la présente décision soit respectée par: a) le personnel des représentations permanentes des États membres auprès de l’Union européenne ainsi que par les délégués nationaux assistant à des sessions du Conseil ou des réunions de ses instances préparatoires, ou participant à d’autres activités du Conseil; b) les autres membres du personnel des administrations nationales des États membres, y compris le personnel détaché auprès de ces administrations, qu’ils soient en poste sur le territoire des États membres ou à l’étranger; c) les autres personnes dans les États membres dûment autorisées, en raison de leurs fonctions, à avoir accès aux ICUE; et d) les contractants des États membres, qu’ils soient sur le territoire des États membres ou à l’étranger.

1 Dans le cadre du rôle qui lui incombe et qui consiste à assurer la cohérence globale de l’application de la présente décision, le Conseil approuve: a) les accords visés à l’article 13, paragraphe 2, point a); b) les décisions autorisant la communication, ou consentant à la communication, d’ICUE provenant du Conseil ou détenues par ce dernier à des États tiers et des organisations internationales, conformément au principe du consentement de l’autorité d’origine; c) un programme annuel de visites d’évaluation recommandé par le comité de sécurité pour effectuer des visites visant à évaluer les services et les locaux des États membres, des organes, des agences et des entités de l’Union qui appliquent la présente décision ou les principes y figurant, et pour effectuer des visites d’évaluation dans des États tiers et des organisations internationales afin de s’assurer de l’efficacité des mesures mises en œuvre pour la protection des ICUE; et d) les politiques de sécurité prévues à l’article 6, paragraphe 1.

2 Le secrétaire général est l’autorité de sécurité du SGC. En cette qualité, le secrétaire général: a) applique la politique de sécurité du Conseil et la réexamine périodiquement; b) assure, avec les ANS des États membres, la coordination de toutes les questions de sécurité relatives à la protection des informations classifiées présentant un intérêt pour les activités du Conseil; c) accorde aux fonctionnaires et autres agents du SGC ainsi qu’aux experts nationaux détachés auprès du SGC une autorisation d’accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur, conformément à l’article 7, paragraphe 3; d) le cas échéant, fait enquêter sur toute compromission ou perte réelle ou présumée d’informations classifiées détenues par le Conseil ou provenant de ce dernier et demande aux autorités de sécurité compétentes de participer à de telles enquêtes; e) procède à des inspections périodiques des dispositions de sécurité destinées à assurer la protection des informations classifiées sur les locaux du SGC; f) procède à des visites périodiques pour évaluer les dispositions de sécurité destinées à assurer la protection des ICUE dans les organes, les agences et les entités de l’Union qui appliquent la présente décision ou les principes y figurant; g) procède, en collaboration et en accord avec l’ANS concernée, à des évaluations périodiques des dispositions de sécurité destinées à assurer la protection des ICUE dans les services et les locaux des États membres; h) veille à ce que les mesures de sécurité soient coordonnées en tant que de besoin avec les autorités compétentes des États membres qui sont responsables de la protection des informations classifiées et, le cas échéant, des États tiers ou des organisations internationales, y compris en ce qui concerne la nature des menaces pesant sur la sécurité des ICUE et les moyens de les protéger; et i) conclut les arrangements administratifs visés à l’article 13, paragraphe 2, point b). Le bureau de sécurité du SGC est à la disposition du secrétaire général pour l’aider à s’acquitter de ces responsabilités.

3 Aux fins de la mise en œuvre de l’article 15, paragraphe 3, il conviendrait que les États membres: a) désignent une ANS, figurant à l’appendice C, responsable des dispositions de sécurité destinées à assurer la protection des ICUE afin que: i) les ICUE détenues par tout service, organisme ou agence national, public ou privé, sur le territoire national ou à l’étranger soient protégées conformément à la présente décision; ii) les dispositions de sécurité destinées à assurer la protection des ICUE soient périodiquement inspectées ou évaluées; iii) toutes les personnes employées dans une administration nationale ou par un contractant et susceptibles d’avoir accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur détiennent une habilitation de sécurité correspondante ou soient dûment autorisées en vertu de leurs fonctions conformément aux dispositions législatives et réglementaires nationales; iv) des programmes de sécurité soient mis au point en tant que de besoin de telle sorte que le risque de compromission ou de perte d’ICUE soit réduit au minimum; v) les questions de sécurité liées à la protection des ICUE fassent l’objet d’une coordination avec les autres autorités nationales compétentes, y compris celles visées dans la présente décision; et vi) des réponses soient apportées aux demandes d’habilitation de sécurité appropriées, en particulier celles émanant des organes, des agences, des entités et des opérations de l’Union mis en place en vertu du titre V, chapitre 2, du TUE, ainsi que des représentants spéciaux de l’Union européenne (RSUE) et de leurs équipes qui appliquent la présente décision ou les principes y figurant. b) veillent à ce que leurs autorités compétentes communiquent à leur gouvernement et, par l’intermédiaire de ces derniers au Conseil, des informations sur la nature des menaces qui pèsent sur la sécurité des ICUE et des conseils sur les moyens de s’en protéger.

1 Un comité de sécurité est créé par la présente décision. Il examine et évalue toute question de sécurité relevant du champ d’application de la présente décision, et transmet des recommandations au Conseil, le cas échéant.

2 Le comité de sécurité est composé de représentants des ANS des États membres, un représentant de la Commission et du SEAE assistant à ses réunions. Il est présidé par le secrétaire général ou par son délégué désigné. Il se réunit sur instruction du Conseil ou à la demande du secrétaire général ou d’une ANS. Des représentants des organes, des agences et des entités de l’Union qui appliquent la présente décision ou les principes y figurant peuvent être invités à assister à ses réunions lorsque les questions traitées les concernent.

3 Le comité de sécurité organise ses activités de manière à être en mesure de formuler des recommandations sur des aspects spécifiques de la sécurité. Il met en place une sous-division spécialisée dans les questions concernant l’assurance de l’information et d’autres sous-divisions spécialisées si nécessaire. Il établit le mandat de ces sous-divisions spécialisées et reçoit leurs rapports d’activités comprenant, le cas échéant, des recommandations, quelles qu’elles soient, destinées au Conseil.

1 La présente décision abroge et remplace la décision 2011/292/UE du Conseil .

2 Toutes les ICUE portant un marquage en application de la décision 2001/264/CE du Conseil et de la décision 2011/292/UE continuent d’être protégées conformément aux dispositions pertinentes de cette décision.

La présente décision entre en vigueur le jour de sa publication au Journal officiel de l’Union européenne.