Décision du haut représentant de l'Union pour les affaires étrangères et la politique de sécurité du 19 juin 2023 relative aux règles de sécurité applicables au Service européen pour l'action extérieure 2023/C 263/04

La présente décision arrête les règles de sécurité applicables au Service européen pour l’action extérieure (ci-après dénommées les «règles de sécurité applicables au SEAE»). Conformément à l’article 10, paragraphe 1, de la décision 2010/427/UE du Conseil, elle s’applique à tous les membres du personnel du SEAE et du personnel des délégations de l’Union, indépendamment de leur statut administratif ou origine, et instaure le cadre réglementaire général en vue de gérer efficacement les risques pesant sur le personnel relevant de la responsabilité du SEAE tel qu’il est visé à l’article 2, les locaux du SEAE, ses biens matériels, les informations qu’il détient et ses visiteurs.

Aux fins de la présente décision, on entend par: a) «membres du personnel du SEAE»: les fonctionnaires et autres agents de l’Union européenne, y compris le personnel des services diplomatiques des États membres employés comme agents temporaires, ainsi que les experts nationaux détachés, tels qu’ils sont définis respectivement à l’article 6, paragraphes 2 et 3, de la décision 2010/427/UE; b) «membres du personnel placés sous la responsabilité du SEAE»: les membres du personnel du SEAE au siège et dans les délégations de l’Union, ainsi que tous les autres membres du personnel des délégations de l’Union, indépendamment de leur statut administratif ou origine, ainsi que, aux fins de la présente décision, le haut représentant et, le cas échéant, d’autres membres du personnel résidant au siège du SEAE; c) «personnes à charge éligibles»: les membres de la famille du membre du personnel placé sous la responsabilité du SEAE dans les délégations de l’Union, qui composent leur propre ménage, tel qu’ils ont été notifiés au ministère des affaires étrangères de l’État d’accueil, et qui résident effectivement avec ce membre du personnel sur le lieu d’affectation au moment de l’évacuation du pays; d) «locaux du SEAE»: tous les établissements du SEAE, y compris les bâtiments, bureaux, salles et autres espaces, ainsi que les lieux hébergeant des systèmes d’information et de communication (dont les équipements de traitement des ICUE), où le SEAE exerce des activités permanentes ou temporaires; e) «intérêts du SEAE à protéger»: les membres du personnel placés sous la responsabilité du SEAE, les locaux, les personnes à charge, les biens matériels, y compris les systèmes d’information et de communication, les informations et les visiteurs du SEAE; f) «ICUE»: toute information ou tout matériel identifié comme tel par une classification de sécurité de l’UE, dont la divulgation non autorisée pourrait porter atteinte à des degrés divers aux intérêts de l’Union européenne, ou à ceux d’un ou de plusieurs de ses États membres; g) «délégation de l’Union»: les délégations auprès des pays tiers et des organisations internationales ainsi que les bureaux de l’UE visés à l’article 1er, paragraphe 4, de la décision 2010/427/UE du Conseil et conformément à l’article 5 de ladite décision. D’autres définitions aux fins de la présente décision figurent dans les annexes pertinentes et à l’appendice A.

1 Les règles de sécurité applicables au SEAE ont pour but de lui permettre de s’acquitter son devoir de diligence et ses responsabilités à cet égard.

2 Le devoir de diligence incombant au SEAE comprend la saine diligence consistant à prendre toutes les mesures raisonnables pour mettre en œuvre les mesures de sécurité visant à empêcher tout préjudice raisonnablement prévisible aux intérêts du SEAE à protéger. Il comprend à la fois un volet sécurité et un volet sûreté, y compris les éléments de ce type résultant des situations d’urgence ou crises, de quelque nature que ce soit.

3 Compte tenu du devoir de diligence incombant aux États membres, aux institutions ou organes de l’UE et à d’autres parties dont le personnel travaille dans des délégations de l’Union et/ou dans les locaux de délégations de l’Union, et du devoir de diligence incombant au SEAE à l’égard des délégations de l’Union qui sont hébergées dans les locaux d’autres parties susmentionnées, le SEAE conclut, avec chacune des entités susmentionnées, des arrangements administratifs traitant des rôles et responsabilités, tâches et mécanismes de coopération respectifs.

1 Le SEAE met en place toutes les mesures de sécurité physique appropriées (permanentes ou temporaires), y compris les dispositions de contrôle d’accès, pour l’ensemble des locaux du SEAE, aux fins de la préservation des intérêts du SEAE à protéger. De telles mesures entrent en ligne de compte lors de la conception et de la planification de nouveaux locaux ou avant la location à bail de locaux existants.

2 Des obligations ou restrictions spéciales peuvent être imposées aux membres du personnel placés sous la responsabilité du SEAE et aux personnes à charge, pour des raisons de sécurité, pendant une période donnée et dans des domaines précis.

3 Les mesures visées aux paragraphes 1 et 2 doivent être proportionnées au risque évalué.

1 L’autorité de sécurité du SEAE, telle qu’elle est définie à l’article 13, paragraphe 1, section I, est chargée de définir les niveaux d’état d’alerte et de mettre en place des mesures de niveau d’alerte appropriées à titre d’anticipation ou de riposte face à des menaces et des incidents affectant la sécurité au sein du SEAE.

2 Les mesures d’état d’alerte visées au paragraphe 1 doivent être proportionnées au niveau de menace pour la sécurité. Les niveaux d’état d’alerte sont définis par l’autorité de sécurité du SEAE en étroite coopération avec les services compétents des autres institutions, agences et organes de l’Union et ceux de l’État membre ou des États membres accueillant les locaux du SEAE.

3 L’autorité de sécurité du SEAE est le point de contact pour les niveaux d’alerte et la riposte face une crise. Elle peut subdéléguer les tâches connexes, respectivement au directeur général de la gestion des ressources visées à l’article 4, paragraphe 3, point a), deuxième tiret, de la décision 2010/427/UE du Conseil, pour le siège du SEAE, et au directeur du centre de réaction aux crises, pour les délégations de l’Union.

1 La protection des ICUE est régie par les exigences formulées dans la présente décision, et notamment dans l’annexe A. Le détenteur de toute ICUE est tenu de la protéger en conséquence.

2 Le SEAE veille à ce que seules les personnes réunissant les conditions prévues à l’article 5 de l’annexe A aient accès aux informations classifiées.

3 Les conditions auxquelles les agents locaux peuvent avoir accès aux ICUE sont également fixées par le haut représentant, conformément aux règles de protection des ICUE établies à l’annexe A de la présente décision.

4 La direction du SEAE gère la gestion de l’habilitation de sécurité de tous les membres du personnel placés sous la responsabilité du SEAE et de ses contractants.

5 Lorsque les États membres introduisent des informations classifiées portant un marquage national de classification de sécurité dans les structures ou réseaux du SEAE, ce dernier protège ces informations conformément aux règles applicables aux ICUE de niveau équivalent tel qu’il est prévu dans le tableau d’équivalence des classifications de sécurité figurant à l’appendice B de la présente décision.

6 Les zones du SEAE où sont stockées des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur, ou équivalent, sont créées en tant que zones sécurisées conformément aux règles applicables en vertu de l’annexe AII de la présente décision, et doivent être approuvées par l’autorité de sécurité du SEAE.

7 Les procédures d’habilitation à l’exécution de tâches incombant au haut représentant dans le cadre d’accords ou d’arrangements administratifs concernant l’échange d’ICUE avec des pays tiers ou des organisations internationales sont décrites aux annexes A et A VI de la présente décision.

8 Le secrétaire général détermine les conditions dans lesquelles le SEAE peut échanger les ICUE qu’il détient avec d’autres institutions, organes, organismes ou agences de l’Union européenne. Un cadre approprié sera mis en place à cette fin, y compris au moyen de la conclusion d’accords interinstitutionnels ou d’autres arrangements lorsque cela est nécessaire à cet effet.

9 Un tel cadre vise à garantir que les ICUE font l’objet d’une protection appropriée à leur niveau de classification et conforme à des principes de base et normes minimales équivalents à ceux énoncés dans la présente décision.

1 Afin d’assurer une riposte opportune et efficace face aux incidents en matière de sécurité, le SEAE établit une procédure de signalement de tels incidents et situations d’urgence, qui soit opérationnelle 24 heures sur 24, sept jours sur sept, et couvre tout type d’incident en matière de sécurité ou de menace pour les intérêts du SEAE à protéger (par exemple accidents, conflits, actes malveillants, actes criminels, enlèvements et prises d’otages, urgences médicales, incidents au niveau des systèmes d’information et de communication, cyberattaques, etc.).

2 Des lignes d’urgence sont établies entre le siège du SEAE, les délégations de l’Union, le Conseil, la Commission, les représentants spéciaux de l’UE et les États membres, afin de les aider à assurer une riposte face aux crises, aux incidents de sécurité et aux situations d’urgence impliquant du personnel et leurs conséquences, y compris la planification des mesures d’urgence.

3 Cette riposte face aux incidents/situations d'urgence/crises de sécurité comprend, entre autres: des procédures de soutien efficace au processus décisionnel en cas de menace, d'incident de sécurité ou de situation d'urgence impliquant du personnel, y compris des décisions liées à l'extraction ou à la suspension d'une mission, et une politique et des procédures de récupération du personnel, par exemple en cas de disparitions ou en cas d'enlèvements ou de prises d'otages, compte tenu des responsabilités particulières des États membres, des institutions de l'UE et du SEAE à cet égard. La nécessité de disposer de capacités spécifiques, dans le cadre de la gestion de telles opérations à cet égard, est prise en considération eu égard aux ressources que pourraient fournir les États membres.

4 Le SEAE met en place des procédures appropriées en matière de signalement de tout incident de sécurité survenant dans les délégations de l’Union. Les États membres, la Commission, tout autre autorité pertinente, ainsi que les comités de sécurité concernés en sont informés, le cas échéant.

5 Les procédures de riposte face aux incidents, situations d’urgence et crises devraient être mises à l’épreuve et réexaminées régulièrement.

1 Le SEAE protège les informations traitées dans les systèmes d’information et de communication (ci-après dénommés «SIC»), tels qu’ils sont définis à l’appendice A de la présente décision, contre les menaces pesant sur leur confidentialité, leur intégrité, leur disponibilité, leur authenticité et leur non-répudiation.

2 L’autorité de sécurité du SEAE approuve des règles, des lignes directrices en matière de sécurité et un programme de sécurité pour la protection de tous les SIC détenus ou exploités par le SEAE.

3 Les règles, la politique et le programme sont conformes à ceux du Conseil et de la Commission et, le cas échéant, aux politiques de sécurité appliquées par les États membres, et leur mise en œuvre est étroitement coordonnée avec ces derniers.

4 Tous les SIC traitant des informations classifiées font l’objet d’un processus d’homologation. Le SEAE applique un système de gestion de l’homologation de sécurité en concertation avec le Secrétariat général du Conseil et la Commission.

5 Lorsque la protection des ICUE traitées par le SEAE est assurée par des produits cryptographiques, ces produits doivent être agréés par l’autorité d’agrément cryptographique du SEAE, sur recommandation du comité de sécurité du Conseil.

6 L'autorité de sécurité du SEAE met en place, selon les besoins, les autorités chargées de l'assurance de l'information, comme suit: a) une autorité chargée de l’assurance de l’information (AAI); b) une autorité TEMPEST (AT); c) une autorité d’agrément cryptographique (AAC); d) une autorité chargée de la distribution cryptographique (ADC).

7 Pour chaque système, l'autorité de sécurité du SEAE crée les autorités suivantes: a) une autorité d’homologation de sécurité (AHS); b) une autorité opérationnelle chargée de l’assurance de l’information (AOAI).

8 Les dispositions d’application du présent article concernant la protection des ICUE sont énoncées aux annexes A et A IV.

1 Une infraction à la sécurité résulte d’un acte ou d’une omission qui est contraire aux règles de sécurité énoncées dans la présente décision et/ou aux politiques ou lignes directrices en matière de sécurité énonçant les éventuelles mesures nécessaires à sa mise en œuvre, telles qu’elles sont approuvées conformément à l’article 21, paragraphe 1.

2 Une compromission d’informations classifiées consiste en une divulgation totale ou partielle desdites informations à des personnes ou entités non autorisées.

3 Toute infraction à la sécurité, réelle ou présumée, et toute compromission d’informations classifiées, réelle ou présumée, sont immédiatement signalées au directeur chargé de la sécurité au siège et de la sécurité de l’information du SEAE, qui prend les mesures appropriées, telles qu’elles sont énoncées à l’annexe A, article 11.

4 Toute personne coupable d’une infraction aux règles de sécurité établies dans la présente décision, ou d’une compromission d’informations classifiées, est passible d’une sanction disciplinaire et/ou juridique, conformément aux dispositions législatives et réglementaires applicables, telles qu’elles sont énoncées à l’article 11, paragraphe 3, de l’annexe A.

1 Sans préjudice de l'article 86 et de l'annexe IX du statut , des enquêtes de sécurité peuvent être ouvertes et menées par la direction chargée de la sécurité au siège et de la sécurité de l'information du SEAE: a) en cas de fuite, usage abusif ou compromission potentiels d’informations sensibles non classifiées, d’ICUE ou d’informations classifiées Euratom; b) pour contrer les attaques hostiles de services de renseignement contre le SEAE et son personnel; c) pour contrer les attaques terroristes contre le SEAE et son personnel; d) en cas de cyberincidents; e) en cas d’autres incidents touchant ou susceptibles de toucher la sécurité générale au sein du SEAE, y compris en cas de suspicion d’infractions pénales.

2 L’autorité de sécurité du SEAE, assistée par la direction chargée de la sécurité au siège [...] et de la sécurité de l’information du SEAE, par la direction chargée du centre de réaction aux crises et par des experts des États membres et/ou d’autres institutions de l’UE, le cas échéant, met en œuvre, met en œuvre toute action corrective nécessaire résultant d’enquêtes, lorsqu’il y a lieu. Seul le personnel autorisé sur la base d’un mandat nominatif attribué par l’autorité de sécurité du SEAE, compte tenu de ses obligations actuelles, peut être habilité à mener et coordonner des enquêtes de sécurité dans le cadre du SEAE.

3 Les enquêteurs ont accès à toutes les informations nécessaires à la conduite de telles enquêtes et bénéficient de toute l’aide de l’ensemble des services et du personnel du SEAE sur ce point. Les enquêteurs peuvent entreprendre des actions adéquates pour préserver les preuves réunies d’une manière proportionnée à la gravité du cas examiné.

4 Lorsque l’accès aux informations a trait à des données à caractère personnel, y compris celles contenues dans les systèmes d’information et de communication, un tel accès sera traité conformément aux dispositions du règlement (UE) 2018/1725 .

5 En cas de nécessité d’établir une base de données d’enquête qui contiendra des données à caractère personnel, le Contrôleur européen de la protection des données (CEPD) en est informé conformément au règlement précité.

1 Afin de déterminer les besoins du SEAE en matière sécurité, la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE et la direction chargée du centre de réaction aux crises élaborent et tiennent à jour, en étroite coopération avec la direction de la sécurité de la direction générale des ressources humaines et de la sécurité de la Commission et, le cas échéant, avec le bureau de sécurité du secrétariat général du Conseil, une méthodologie globale d’évaluation des risques pour la sécurité.

2 Les risques pesant sur les intérêts du SEAE à protéger sont gérés dans le cadre d’une procédure. Cette dernière vise à déterminer les risques connus pesant sur la sécurité, à définir des mesures de sécurité permettant de ramener ces risques à un niveau acceptable et à appliquer ces mesures selon le principe de défense en profondeur. L’efficacité de telles mesures et le niveau de risque font l’objet d’une évaluation constante.

3 Les rôles, responsabilités et tâches fixés dans la présente décision s’entendent sans préjudice de la responsabilité qui incombe à chaque membre du personnel placé sous la responsabilité du SEAE; plus particulièrement, les membres du personnel de l’UE en mission dans des pays tiers doivent faire preuve de bon sens et de discernement pour ce qui a trait à leur propre sécurité, et respecter toutes les réglementations, procédures et consignes de sécurité applicables.

4 Afin de prévenir et contrôler les risques pour la sécurité, le personnel mandaté peut effectuer une vérification des antécédents des personnes entrant dans le champ d’application de la présente décision, de manière à déterminer si l’octroi à ces personnes de l’accès aux locaux ou à des informations du SEAE représente une menace pour la sécurité. À cette fin, et conformément au règlement (UE) 2018/1725, le personnel mandaté concerné peut: a) utiliser toutes les sources d’information dont dispose le SEAE, en tenant compte de la fiabilité de la source d’information; b) accéder au fichier du personnel ou aux données détenues par le SEAE concernant les personnes qu’il emploie ou envisage d’employer, ou pour le personnel des contractants lorsque cela est dûment justifié.

5 Le SEAE prend toutes les mesures raisonnables pour garantir la sécurité de ses intérêts qui doivent être protégés et pour éviter tout dommage raisonnablement prévisible s’y rapportant.

6 Les mesures de sécurité applicables au SEAE visant à protéger les ICUE tout au long de leur cycle de vie sont proportionnées en particulier à leur classification de sécurité, à la forme sous laquelle se présentent les informations ou les matériels ainsi qu’à leur volume, au lieu et à la construction des établissements où se trouvent des ICUE et à la menace, notamment celle évaluée à l’échelle locale, que représentent les activités malveillantes et/ou criminelles, y compris l’espionnage, le sabotage et le terrorisme.

1 L’autorité de sécurité du SEAE veille à ce que des programmes appropriés de sensibilisation et de formation en matière de sécurité soient élaborés par la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE. Le personnel du siège bénéficie des actions de formation et de sensibilisation nécessaires en matière de sécurité, qui seront dispensées par les équipes de sensibilisation à la sécurité de la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE. Les membres du personnel des délégations de l’Union et, s’il y a lieu, les personnes à leur charge éligibles, bénéficient des actions de formation et de sensibilisation nécessaires en matière de sécurité, proportionnées aux risques inhérents à leur lieu de travail ou de résidence, qui seront dispensées par les équipes de gestion de la sécurité en coordination avec la direction chargée du centre de réaction aux crises.

2 Avant de se voir accorder l’accès à des ICUE et à intervalles réguliers par la suite, le personnel est informé des responsabilités qui lui incombent en matière de protection des ICUE, conformément aux règles applicables en vertu de l’article 6, et reconnaît ces responsabilités.

1 Le secrétaire général est l'autorité de sécurité du SEAE. En cette qualité, le secrétaire général veille: a) à ce que les mesures de sécurité fassent l’objet, si nécessaire, d’une coordination avec les autorités compétentes des États membres, le Secrétariat général du Conseil, la Commission européenne et, s’il y a lieu, les pays tiers ou organisations internationales sur toutes les questions de sécurité présentant un intérêt pour les activités du SEAE, notamment en ce qui concerne la nature des risques qui pèsent sur les intérêts du SEAE à protéger et les moyens pour ce faire; b) à ce que les aspects liés à la sécurité soient pleinement pris en compte d’emblée pour l’ensemble des activités du SEAE; c) à ce que seules les personnes réunissant les conditions exposées à l’article 5 de l’annexe A aient accès aux informations classifiées; d) à ce que de mesures appropriées soient prises pour gérer l’habilitation de sécurité de tous les membres du personnel placés sous la responsabilité du SEAE et de ses contractants; e) à ce que soit établi un système d’enregistrement afin que les informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur soient traitées conformément à la présente décision au sein du SEAE, ainsi qu’au sein des États membres de l’UE, des institutions, organes et organismes de l’Union ou d’autres destinataires autorisés si elles leur ont été communiquées. Un registre distinct est tenu pour toutes les ICUE communiquées par le SEAE à des pays tiers ou des organisations internationales, et pour toutes les informations classifiées communiquées par des pays tiers ou des organisations internationales; f) à ce que les inspections de sécurité visées à l’article 16 soient réalisées; g) à ce que des enquêtes soient menées sur toute infraction à la sécurité, réelle ou présumée, ainsi que sur toute compromission ou perte, réelle ou présumée, d’informations classifiées détenues par le SEAE ou provenant de ce dernier, et à ce qu’il soit demandé aux autorités de sécurité compétentes de participer à de telles enquêtes; h) à ce que des mécanismes et des plans adéquats de gestion des incidents et de leurs conséquences soient mis en place, de manière à réagir rapidement et efficacement en cas d’incidents de sécurité; i) à ce que des mesures appropriées soient prises en cas de non-respect de la présente décision; j) à ce que des mesures physiques et organisationnelles appropriées soient mises en place pour protéger les intérêts du SEAE qui doivent l’être. À cet égard, l'autorité de sécurité du SEAE: fixe la catégorie de sécurité des délégations de l'Union, en concertation avec la Commission, établit un mécanisme de réaction aux crises et en définit les tâches et responsabilités; décide, après consultation du HR le cas échéant, de l'évacuation, ou non, du personnel des délégations de l'Union si la sécurité l'exige, décide des mesures à appliquer pour la protection des personnes à charge éligibles, compte tenu, le cas échéant, des arrangements convenus avec les institutions de l'Union visés à l'article 3, paragraphe 3, approuve la politique de communication cryptographique, en particulier le programme d'installation de produits et du mécanisme cryptographiques.

2 Conformément à l'article 10, paragraphe 3, de la décision 2010/427/UE du Conseil, l'autorité de sécurité du SEAE est assistée conjointement dans ces tâches par: (i). le directeur général de la gestion des ressources, assisté par le directeur de la sécurité au siège et de la sécurité de l’information du SEAE, (ii). le directeur du centre de réaction aux crises , et, le cas échéant, le secrétaire général adjoint chargé de la paix, de la sécurité et de la défense, afin d'assurer la cohérence avec les mesures de sécurité à prendre pour les missions et opérations PSDC.

3 Le secrétaire général en tant qu’autorité de sécurité du SEAE peut subdéléguer ses tâches, le cas échéant.

4 Chaque chef de département/division est chargé de veiller à la mise en œuvre de ces règles, ainsi que des lignes directrices en matière de sécurité visées à l’article 21 de la présente décision et de toute autre procédure ou mesure visant à protéger les ICUE au sein de son département/de sa division. Tout en conservant les responsabilités mentionnées ci-dessus, chaque chef de département/division désigne des membres du personnel pour assurer les fonctions de coordinateur départemental de la sécurité. Le nombre de membres du personnel assurant ces fonctions est proportionné au nombre d’ICUE traitées par ce département/cette division. Les coordinateurs de la sécurité du département assistent et soutiennent, le cas échéant, leur chef de département/division dans l'exécution des tâches liées à la sécurité, à savoir notamment: a) élaborer toute exigence de sécurité supplémentaire adaptée aux besoins spécifiques du département/de la division, en concertation avec la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE; b) compléter les notes d’information périodiques sur la sécurité fournies par la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE aux membres de leur département/division, en y incluant des informations sur les exigences de sécurité supplémentaires visées au point a); c) faire en sorte que le principe du «besoin d’en connaître» soit respecté dans leur département/division; d) tenir à jour une liste de codes et de clés sûrs; e) veiller, le cas échéant, à ce que les procédures et les mesures de sécurité soient à jour et efficaces; f) signaler toute infraction aux règles de sécurité et/ou de toute compromission d’ICUE tant au directeur qu’à la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE; g) débriefer les membres du personnel qui cessent de travailler pour le SEAE; h) présenter des rapports réguliers, via leur hiérarchie, sur les questions de sécurité du département/de la division; i) se concerter avec la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE sur des questions de sécurité. Toute activité ou question susceptible d’avoir une incidence sur la sécurité est notifiée en temps utile à la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE.

1 La direction chargée de la sécurité au siège et de la sécurité de l'information du SEAE est placée administrativement au sein de la direction générale de la gestion des ressources. Elle doit: (a) s’acquitter des responsabilités qui incombent au SEAE au siège en ce qui concerne le devoir de diligence et être responsable de toutes les questions de sécurité au siège du SEAE, y compris en ce qui concerne les systèmes d’information et de communication (SIC) et la sécurité de l’information des délégations de l’Union; (b) gérer, coordonner, superviser et/ou mettre en œuvre toutes les mesures de sécurité dans tous les locaux au siège du SEAE; (c) assurer la cohérence par rapport à la présente décision et aux modalités d’application de toute activité qui pourrait avoir une incidence sur la préservation des intérêts du SEAE à protéger; (d) soutenir les activités de l’autorité d’homologation de sécurité du SEAE en réalisant des évaluations de la sécurité physique de l’environnement général de sécurité (EGS)/de l’environnement local de sécurité (ELS) des systèmes d’information et de communication traitant des ICUE, ainsi que de tous les locaux autorisés à traiter et à stocker des ICUE. La direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE est assistée par les services compétents des États membres, conformément à l’article 10, paragraphe 3, de la décision 2010/427/UE du Conseil.

2 Le directeur de la sécurité au siège et de la sécurité de l'information du SEAE est chargé: (a) d’assurer la préservation globale des intérêts du SEAE à protéger relevant du domaine de compétence de la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE; (b) de rédiger, de revoir et de mettre à jour les règles de sécurité, ainsi que de coordonner les mesures de sécurité avec le directeur du centre de réaction aux crises, les autorités nationales compétentes et, le cas échéant, les autorités compétentes de pays tiers et d’organisations internationales liées à l’UE par des accords et/ou des arrangements de sécurité; (c) d’assurer les fonctions de conseiller principal du HR, de l’autorité de sécurité du SEAE et du secrétaire général adjoint chargé de la paix, de la sécurité et de la défense sur toutes les questions relatives à la sécurité au siège et à la sécurité des information du SEAE; (d) de gérer l’habilitation de sécurité de tous les membres du personnel placés sous la responsabilité du SEAE et de ses contractants; (e) de présider le comité de sécurité du SEAE en formation des autorités nationales de sécurité (ANS), conformément à l’article 15, paragraphe 1, de la présente décision, sur instruction de l’autorité de sécurité du SEAE, et d’appuyer ses travaux; (f) d’assurer la liaison avec tout partenaire ou toute autorité autre que ceux mentionnés au point b) ci-dessus en ce qui concerne les questions de sécurité relevant du domaine de compétence de la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE; (g) d’établir des priorités et de formuler des propositions concernant la gestion du budget consacré la sécurité au siège et dans les délégations de l’Union, dans ce dernier cas en coordination avec le directeur du centre de réaction aux crises; (h) de veiller à ce que les infractions et compromissions en matière de sécurité visées à l’article 9 de la présente décision soient consignées et que des enquêtes soient ouvertes et menées dans de tels cas, lorsque cela est nécessaire; (i) de se réunir régulièrement, à chaque fois que cela est nécessaire, avec le directeur de la sécurité du Secrétariat général du Conseil et avec le directeur de la direction de la sécurité de la direction générale des ressources humaines et de la sécurité de la Commission pour débattre de thèmes d’intérêt commun.

3 La direction chargée de la sécurité au siège et de la sécurité de l'information du SEAE noue des contacts et entretient une coopération étroite dans son domaine de compétence avec: les autorités nationales de sécurité (ANS) et/ou les autres autorités compétentes en matière de sécurité dans les États membres afin d'obtenir leur aide quant aux informations dont elle a besoin pour évaluer les dangers et menaces qui peuvent peser sur le SEAE, son personnel, ses activités, ses biens et ses ressources, ainsi que ses informations classifiées dans les lieux où se déroulent normalement ses travaux; les autorités de sécurité compétentes des États tiers avec lesquels l'UE a conclu un accord sur la sécurité des informations, ou sur le territoire desquels l'Union déploie une mission ou une opération PSDC; le bureau de sécurité du Secrétariat général du Conseil et la direction de la sécurité de la direction générale des ressources humaines et de la sécurité de la Commission et, le cas échéant, les services chargés de la sécurité des autres institutions, organes et organismes de l'UE; le service de sécurité des organisations internationales avec lesquelles l'UE a conclu un accord sur la sécurité des informations; et les ANS des États membres, concernant toute question relative à la protection des ICUE, y compris les habilitations de sécurité du personnel.

1 La direction chargée du centre de réaction aux crises: (a) s’acquitte, dans les délégations de l’Union, des responsabilités qui incombent au SEAE ce qui concerne le devoir de diligence; (b) assure la sécurité du personnel placé sous la responsabilité du SEAE dans les délégations de l’Union sur une base quotidienne, propose des mesures à adopter en cas de crise pour assurer la continuité des activités dans les délégations de l’Union et met en œuvre les procédures d’évacuation en étroite coordination avec la division de la coordination, au sein de la direction générale de la gestion des ressources; (c) gère, coordonne, supervise et/ou met en œuvre toutes les mesures de sécurité dans les locaux du SEAE au sein des délégations de l’Union; (d) assure la cohérence avec la présente décision et les modalités d’application de toute activité du SEAE qui pourrait avoir une incidence sur les intérêts du SEAE à protéger relevant du domaine de compétence du centre de réaction aux crises; (e) soutient les activités de l’autorité d’homologation de sécurité du SEAE en ce qui concerne la réalisation des évaluations de la sécurité physique des locaux des délégations de l’Union appelés à être autorisés à traiter et à stocker des ICUE.

2 Le directeur du centre de réaction aux crises est chargé: (a) d’assurer la préservation globale des intérêts du SEAE à protéger relevant du domaine de compétence de la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE; (b) de coordonner les mesures et procédures de sécurité avec les autorités compétentes des États hôtes et, le cas échéant, avec les organisations internationales compétentes; (c) d’assurer l’activation et la gestion du mécanisme de réaction aux crises du SEAE; (d) de concevoir et gérer la capacité de déploiement du SEAE (équipe de soutien déployable, y compris les équipements nécessaires) et de veiller à ce qu’elle soit prête à tout moment; (e) d’assurer les fonctions de conseiller principal du HR, de l’autorité de sécurité du SEAE et du secrétaire général adjoint chargé de la paix, de la sécurité et de la défense sur toutes les questions relatives à la sécurité des délégations de l’Union et à la riposte aux crises qui les touchent; (f) de présider le comité de sécurité du SEAE en formation des ministres des affaires étrangères, conformément à l’article 15, paragraphe 1, de la présente décision, sur instruction de l’autorité de sécurité du SEAE, et d’appuyer ses travaux; (g) d’assurer la liaison avec tout partenaire ou toute autorité autre que ceux mentionnés au point b) ci-dessus en ce qui concerne les questions de sécurité relevant de la compétence de la direction chargée du centre de réaction aux crises; (h) de contribuer à établir des priorités et à formuler des propositions concernant la gestion du budget consacré à la sécurité dans les délégations de l’Union, sous la coordination du directeur de la sécurité au siège et de la sécurité de l’information du SEAE; (i) de veiller à ce que les infractions et compromissions en matière de sécurité relevant du domaine de compétence de la direction chargée du centre de réaction aux crises soient notifiées à la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE, en vue d’un suivi approprié.

3 La direction chargée du centre de réaction aux crises noue des contacts et entretient une coopération étroite dans son domaine de compétence avec: les départements concernés au sein des ministères nationaux des affaires étrangères, dans la mesure nécessaire, les autorités de sécurité compétentes des États hôtes sur le territoire desquels les délégations de l'UE sont établies, en ce qui concerne les intérêts du SEAE à protéger; le bureau de sécurité du Secrétariat général du Conseil et la direction de la sécurité de la direction générale des ressources humaines et de la sécurité de la Commission et, le cas échéant, les services chargés de la sécurité des autres institutions, organes et organismes de l'UE, dans leur domaine de compétence respectif; les services de sécurité des organisations internationales, en vue d'une coordination utile, dans son domaine de compétence.

1 Chaque chef de délégation est responsable de la mise en œuvre et de la gestion, au niveau local, de toutes les mesures relatives à la préservation des intérêts du SEAE à protéger dans les locaux de la délégation de l’Union concernée et relevant de sa compétence. Sous la direction du centre de réaction aux crises et en concertation avec les autorités compétentes de l’État hôte lorsque cela est nécessaire, il prend toutes les mesures pouvant raisonnablement être mises en œuvre pour faire en sorte que des mesures physiques et organisationnelles appropriées soient en place en vue de s’acquitter des responsabilités qui lui incombent en ce qui concerne le devoir de diligence. Le chef de délégation établit les procédures de sécurité concernant la protection des personnes à charge éligibles, telles qu’elles sont définies à l’article 2, point c), compte tenu, le cas échéant, de tout arrangement administratif visé à l’article 3, paragraphe 3. Le chef de délégation rend compte de toutes les questions liées au devoir de diligence relevant de sa compétence au directeur du centre de réaction aux crises et, en ce qui concerne d’autres questions touchant à la sécurité, au directeur de la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE. Il est assisté par la direction du SEAE chargée du centre de réaction aux crises, par l’équipe de gestion de la sécurité de la délégation de l’Union, qui est composée d’agents exerçant des tâches et fonctions de sécurité, et par du personnel de sécurité, en tant que de besoin. La direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE fournit une assistance dans son domaine de compétence. La délégation de l’Union noue des contacts réguliers et entretient une coopération étroite en matière de sécurité avec les missions diplomatiques des États membres.

2 En outre, le chef de délégation: établit, en coordination avec le centre de réaction aux crises, des plans de sécurité et d'urgence détaillés pour la délégation de l'Union, sur la base de procédures opérationnelles standard générales, s'occupe d'un système, opérationnel 24 heures sur 24 et 7 jours sur 7, de gestion des incidents de sécurité et des urgences relevant du champ d'intervention de la délégation de l'Union, veille à ce que tous les membres du personnel travaillant pour la délégation de l'Union soient assurés conformément aux conditions en la matière, veille à ce que le thème de la sécurité soit intégré à la formation d'entrée en service que les délégations de l'Union dispensent à tous les membres du personnel au moment de les accueillir, et s'assure de la bonne mise en œuvre des recommandations émises après les évaluations de la sécurité et adresse à intervalles réguliers des rapports écrits au sujet de leur mise au directeur du centre de réaction aux crises et au directeur de la sécurité au siège et de la sécurité de l'information du SEAE.

3 Tout en demeurant responsable et en devant continuer de rendre compte de la préservation de la gestion de la sécurité ainsi que de l’obligation qui lui incombe d’assurer la résilience organisationnelle, le chef de délégation peut déléguer l’exécution de ses tâches en matière de sécurité au coordinateur de la sécurité de la délégation (CSD), à savoir soit le chef adjoint de la délégation ou, si personne n’est désigné, quiconque à même d’assurer cette fonction. Plus particulièrement, les responsabilités suivantes peuvent être déléguées: coordonner les fonctions de sécurité au sein de la délégation de l'Union, se mettre en rapport, pour les questions de sécurité, avec les autorités compétentes du pays hôte et les homologues indiqués au sein des ambassades et des missions diplomatiques des États membres, mettre en œuvre des procédures adéquates de gestion de la sécurité en rapport avec les intérêts du SEAE à protéger, y compris la protection des ICUE, assurer le respect des règles et instructions de sécurité, mettre les membres du personnel au courant des règles de sécurité auxquelles ils doivent se soumettre, ainsi que des risques particuliers dans le pays hôte, soumettre à la direction chargée de la sécurité au siège et de la sécurité de l'information du SEAE les demandes relatives aux habilitations de sécurité et aux postes nécessitant une habilitation de sécurité du personnel; et tenir le chef de délégation, le responsable régional de la sécurité (RSO) et la direction du SEAE chargée du centre de réaction aux crises constamment informés des incidents ou développements en la matière ayant une incidence sur la préservation des intérêts du SEAE à protéger.

4 Le chef de délégation peut déléguer des tâches de sécurité à caractère administratif ou technique au chef d’administration et à d’autres membres du personnel de la délégation de l’Union.

5 La délégation de l’Union est assistée par un RSO. Dans les délégations de l’Union, les RSO assument les rôles, définis ci-dessous, dans chacun de leurs domaines de compétences géographiques respectifs. Dans certaines circonstances, lorsque les conditions de sécurité du moment l’exigent, un RSO précis peut être assigné à résider à temps plein dans une délégation de l’Union donnée. Un RSO peut être muté dans une zone ne relevant pas de son domaine de compétence actuel, y compris au siège, voire devoir accepter un poste résidentiel en fonction de la situation d’un pays en matière de sécurité, et en fonction des exigences de la direction chargée du centre de réaction aux crises.

6 Les RSO sont placés sous le contrôle opérationnel direct du service du siège du SEAE chargé de la sécurité sur le terrain, mais sous le contrôle administratif partagé du chef de délégation de leur lieu d’affectation et du service du siège chargé de la sécurité sur le terrain. Ils conseillent et assistent le chef de délégation et les membres du personnel de la délégation de l’Union dans l’organisation et la mise en œuvre de toutes les mesures physiques, organisationnelles et procédurales liées à la sécurité de la délégation.

7 Les RSO prodiguent conseil et soutien au chef de délégation et au personnel de délégation de l’Union. Lorsqu’il y a lieu, en particulier lorsqu’un RSO est un résident à temps plein dans la délégation, il devrait aider la délégation de l’Union dans la gestion et la mise en œuvre de la sécurité, y compris dans la préparation de contrats de sécurité, ainsi que la gestion d’homologations et d’habilitations.

Le directeur chargé de la sécurité au siège et de la sécurité de l’information du SEAE et le directeur du centre de réaction aux crises (CRC) conseillent, dans les domaines de compétences respectifs de leurs directions et si nécessaire, le directeur exécutif chargé de la politique de sécurité et de défense commune (PSDC), le directeur général de l’état-major de l’UE (EUMS), également en sa qualité de directeur de la capacité militaire de planification et de conduite (MPCC), et le directeur exécutif de la capacité civile de planification et de conduite (CPCC), sur les aspects liés à la sécurité de la planification et de la conduite des missions et opérations PSDC, ainsi que les représentants spéciaux de l’UE, sur les aspects liés à la sécurité de leurs mandats, en complément des dispositions spécifiques existant à cet égard dans les stratégies adoptées par le Conseil en la matière.

1 Un comité de sécurité est créé par la présente décision. Il est présidé par l’autorité de sécurité du SEAE ou par son délégué désigné et se réunit sur instruction du président ou à la demande de l’un de ses membres. La direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE et la direction chargée du centre de réaction aux crises (CRC), dans leurs domaines de compétence respectifs, assistent le président dans ses fonctions et soutiennent administrativement, si nécessaire, les délibérations du comité.

2 Le comité de sécurité du SEAE est composé de représentants: de chaque État membre; du bureau de sécurité du secrétariat général du Conseil; de la direction de la sécurité de la direction générale des ressources humaines et de la sécurité de la Commission européenne. Une délégation nationale près le comité de sécurité du SEAE peut être composée de membres: de l'autorité nationale de sécurité (ANS) et/ou de l'autorité de sécurité désignée (ASD); des départements responsables de la sécurité au sein des ministères nationaux des affaires étrangères (MAE).

3 Les représentants du comité peuvent être accompagnés et conseillés par des experts selon ce qu’ils jugent nécessaire. Des représentants d’autres institutions, organes ou organismes de l’UE peuvent être invités à y prendre part lorsque des points pertinents pour leur sécurité sont abordés.

4 Sans préjudice du paragraphe 5 ci-dessous, le comité de sécurité du SEAE assiste le SEAE, par voie de consultation, pour toutes les questions de sécurité pertinentes pour les activités du SEAE, le siège et les délégations de l’Union. Plus particulièrement, et sans préjudice du paragraphe 5 ci-dessous, le comité de sécurité du SEAE: a) doit être consulté au sujet: des politiques, lignes directrices et concepts de sécurité, ainsi que tout autre document de méthodologie concernant la sécurité, notamment en ce qui concerne la protection d'informations classifiées et les mesures à prendre lorsque les membres du personnel du SEAE ne se conforment pas aux règles de sécurité; des aspects techniques de sécurité susceptibles d'influencer la décision du HR de soumettre une recommandation au Conseil en vue de l'ouverture de négociations concernant les accords sur la sécurité des informations visés à l'article 10, paragraphe 1, point a), de l'annexe A; de toute modification de la présente décision; b) peut être consulté ou informé, le cas échéant, au sujet de questions liées à la sécurité de membres du personnel ou de biens au siège du SEAE et dans les délégations de l’Union, sans préjudice de l’article 3, paragraphe 3; c) doit être informé de toute compromission ou perte d’ICUE se produisant au sein du SEAE.

5 Toute modification des règles relatives à la protection des ICUE contenues dans la présente décision et son annexe A requiert l'avis unanimement favorable des États membres représentés au sein du comité de sécurité du SEAE. Un tel avis unanimement favorable est également requis avant: l'ouverture de négociations portant sur les arrangements administratifs visés à l'article 10, paragraphe 1, point b), de l'annexe A; la communication d'informations classifiées dans les circonstances exceptionnelles visées aux paragraphes 9, 11 et 12 de l'annexe A VI; d'endosser la responsabilité en tant qu'autorité d'origine des informations dans les circonstances visées à l'article 10, paragraphe 6, dernière phrase, de l'annexe A. Un avis unanimement favorable est obtenu lorsque les délégations des États membres ne formulent aucune objection pendant les délibérations du comité.

6 Le comité de sécurité du SEAE tient pleinement compte des politiques et lignes directrices de sécurité en vigueur au sein du Conseil et de la Commission.

7 Le comité de sécurité du SEAE reçoit la liste des inspections annuelles du SEAE et les rapports d’inspection, dès qu’ils sont finalisés.

8 Organisation des réunions: Le comité de sécurité du SEAE se réunit au moins deux fois par an. Des réunions supplémentaires, à part entière ou au format de sécurité ANS/ASD ou MFA, peuvent être convoquées par le président ou organisées à la demande des membres du comité. Le comité de sécurité du SEAE organise ses activités de manière à être en mesure de formuler des recommandations sur des aspects spécifiques de la sécurité. Il peut créer d'autres sous-divisions spécialisées, si nécessaire. Il établit le mandat de ces sous-divisions spécialisées et reçoit leurs rapports d'activités. La direction chargée de la sécurité au siège et de la sécurité de l'information du SEAE et la direction chargée du centre de réaction aux crises (CRC) sont chacune tenues de préparer les points de discussion relevant de leurs domaines de compétence respectifs. Le président établit l'ordre du jour provisoire de chaque réunion. Les membres du comité peuvent proposer d'autres points à examiner.

1 L’autorité de sécurité du SEAE veille à ce que les inspections de sécurité soient réalisées, sur une base régulière, au sein du siège du SEAE et des délégations de l’Union afin de vérifier si la mise en œuvre des mesures de sécurité est adéquate et si celles-ci sont conformes à la présente décision. La direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE, en coopération avec la direction chargée du centre de réaction aux crises (CRC), peut, le cas échéant, désigner des experts qui apporteront leur contribution en participant aux inspections de sécurité dans les organes et organismes de l’Union visés au titre V, chapitre II, du traité sur l’Union européenne.

2 Les inspections de sécurité du SEAE sont menées sous l’autorité de la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE, le cas échéant avec le soutien du centre de réaction aux crises du SEAE (CRC), et, dans le cadre des arrangements visés à l’article 3, paragraphe 3, avec le soutien d’experts en sécurité représentant d’autres institutions de l’Union ou États membres.

3 Le SEAE peut s’appuyer, si nécessaire, sur les compétences techniques existant en la matière dans les États membres, au secrétariat général du Conseil et à la Commission européenne. En cas de besoin, les experts en sécurité compétents basés dans les missions d’États membres dans des pays tiers et/ou des représentants des services de sécurité diplomatiques des États membres peuvent être invités à participer à l’inspection de sécurité au sein de la délégation de l’Union.

4 Les dispositions d’application du présent article concernant la protection des ICUE sont exposées à l’annexe A III.

Des visites d’évaluation sont organisées afin de s’assurer de l’efficacité des mesures de sécurité en place dans un pays tiers ou une organisation internationale pour ce qui est de la protection des ICUE échangées en vertu d’un arrangement administratif visé à l’article 10, paragraphe 1, point b), de l’annexe A. La direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE peut demander à des experts d’apporter leur contribution en participant aux visites d’évaluation organisées dans des pays tiers ou des organisations internationales avec lesquels l’UE a conclu un accord sur la sécurité des informations visé à l’article 10, paragraphe 1, point a), de l’annexe A.

La direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE et la direction chargée du centre de réaction aux crises (CRC) assistent l’autorité de sécurité du SEAE dans la gestion des aspects des processus opérationnels du SEAE se rapportant à la sécurité, dans le cadre de la planification globale de la continuité des activités du SEAE.

La direction chargée du centre de réaction aux crises (CRC) veille à la disponibilité de consignes en matière de voyages à l’intention des membres du personnel placés sous la responsabilité du SEAE amenés à participer à des missions en dehors de l’UE, en exploitant les ressources de tous les services pertinents du SEAE, notamment l’INTCEN, la cellule de contre-renseignement de la direction générale de la gestion des ressources, les départements géographiques et les délégations de l’Union. La direction chargée du centre de réaction aux crises (CRC) fournit sur demande, en puisant dans les ressources susmentionnées, des consignes spécifiques en matière de voyages concernant les missions de membres du personnel placés sous la responsabilité du SEAE dans des pays tiers présentant un niveau de risque élevé ou accru.

Les règles de sécurité du SEAE complètent les règles du SEAE en matière de protection de la santé et de la sécurité adoptées par le haut représentant.

1 L’autorité de sécurité du SEAE approuve, après avoir consulté, le cas échéant, le comité de sécurité du SEAE, les lignes directrices de sécurité fixant les mesures nécessaires à la mise en œuvre de ces règles au sein du SEAE et met en place les capacités nécessaires couvrant tous les aspects de la sécurité, en coopération étroite avec les autorités de sécurité compétentes des États membres et avec le concours des services concernés des institutions de l’Union.

2 Conformément à l’article 4, paragraphe 5, de la décision 2010/427/UE du Conseil et en tant que de besoin, le SEAE peut conclure des arrangements au niveau des services avec les services compétents du secrétariat général du Conseil et de la Commission.

3 Le HR veille à ce que la présente décision soit appliquée avec cohérence et réexamine périodiquement ces règles de sécurité.

4 Les règles de sécurité du SEAE doivent être mises en œuvre en étroite coopération avec les autorités de sécurité compétentes des États membres.

5 Le SEAE veille à ce que tous les aspects du processus de sécurité soient pris en considération dans le système du SEAE de réaction en cas de crise.

6 Le secrétaire général, en tant qu’autorité de sécurité, le directeur de la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE et le directeur du centre de réaction aux crises (CRC) veillent à la mise en œuvre de la présente décision.

La présente décision abroge et remplace la décision ADMIN (2017)10 de la haute représentante de l’Union pour les affaires étrangères et la politique de sécurité du 19 septembre 2017 relative aux règles de sécurité applicables au Service européen pour l’action extérieure .

La présente décision entre en vigueur le jour de sa signature. Elle est publiée au Journal officiel de l’Union européenne. L’autorité de sécurité du SEAE informe dûment et en temps utile tous les membres du personnel concernés par la présente décision et ses annexes au sujet de son contenu, de son entrée en vigueur et toute modification qui lui est apportée ultérieurement.

1 La présente annexe définit les principes de base et les normes minimales de sécurité pour la protection des ICUE.

2 Ces principes de base et normes minimales s’appliquent au SEAE et aux membres du personnel placés sous sa responsabilité, tels que visés et définis, respectivement, aux articles 1er et 2 de la présente décision.

1 Par «informations classifiées de l’Union européenne» (ICUE), on entend toute information ou tout matériel identifié comme tel par la classification de sécurité de l’Union européenne, dont la divulgation non autorisée pourrait porter atteinte à des degrés divers aux intérêts de l’Union européenne, ou à ceux d’un ou de plusieurs de ses États membres.

2 Les ICUE relèvent de l'un des niveaux de classification suivants: a) TRÈS SECRET UE/EU TOP SECRET: informations et matériels dont la divulgation non autorisée pourrait causer un préjudice exceptionnellement grave aux intérêts essentiels de l’Union européenne ou d’un ou de plusieurs de ses États membres; b) SECRET UE/EU SECRET: informations et matériels dont la divulgation non autorisée pourrait nuire gravement aux intérêts essentiels de l’Union européenne ou d’un ou de plusieurs de ses États membres; c) CONFIDENTIEL UE/EU CONFIDENTIAL: informations et matériels dont la divulgation non autorisée pourrait nuire aux intérêts essentiels de l’Union européenne ou d’un ou de plusieurs de ses États membres; d) RESTREINT UE/EU RESTRICTED: informations et matériels dont la divulgation non autorisée pourrait être défavorable aux intérêts de l’Union européenne ou d’un ou de plusieurs de ses États membres.

3 Les ICUE portent un marquage de classification de sécurité conformément au paragraphe 2. Elles peuvent porter des marquages supplémentaires pour désigner le domaine d’activité auquel elles sont liées, identifier l’autorité d’origine, limiter la diffusion, restreindre l’utilisation ou indiquer la communicabilité.

1 Le SEAE veille à ce que les ICUE soient classifiées de manière appropriée, clairement identifiées en tant qu’informations classifiées, et qu’elles ne conservent leur niveau de classification qu’aussi longtemps que nécessaire.

2 Les ICUE ne sont pas déclassées ni déclassifiées, et aucun des marquages visés à l’article 2, paragraphe 3, n’est modifié ni supprimé sans le consentement écrit préalable de l’autorité d’origine.

3 L’autorité de sécurité du SEAE approuve, après avoir consulté le comité de sécurité du SEAE conformément à l’article 15, paragraphe 5, de la présente décision, les lignes directrices de sécurité relative à la création d’ICUE comprenant un guide de classification pratique.

1 Les ICUE sont protégées conformément à la présente décision.

2 Il incombe au détenteur de tout élément d’ICUE de le protéger conformément à la présente décision.

3 Lorsque les États membres introduisent des informations classifiées portant un marquage national de classification de sécurité dans les structures ou réseaux du SEAE, ce dernier protège ces informations conformément aux règles applicables aux ICUE de niveau équivalent tel qu’il est prévu dans le tableau d’équivalence des classifications de sécurité figurant à l’appendice B. Le SEAE établit des procédures adéquates afin de tenir des registres précis de l'autorité d'origine des informations classifiées que le SEAE reçoit; et des sources incluses dans les informations classifiées émanant du SEAE. Le comité de sécurité du SEAE est informé de ces procédures.

4 Les grandes quantités ou la compilation d’ICUE peuvent justifier un niveau de protection correspondant à une classification plus élevée que celle des éléments qui les composent.

1 La sécurité du personnel passe par l'application de mesures visant à faire en sorte que l'accès aux ICUE ne soit accordé qu'aux personnes qui: ont un besoin d'en connaître; en ce qui concerne l'accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d'un niveau de classification supérieur, ont fait l'objet d'une habilitation de sécurité du niveau correspondant, ou ont été dûment autorisées en vertu de leurs fonctions conformément aux dispositions législatives et réglementaires nationales; et ont été informées de leurs responsabilités.

2 Les procédures d’habilitation de sécurité concernant le personnel (HSP) ont pour but de déterminer si une personne, compte tenu de sa loyauté, de son intégrité et de sa fiabilité, peut être autorisée à avoir accès à des ICUE.

3 Avant de se voir accorder l’accès à des ICUE et à intervalles réguliers par la suite, toutes les personnes concernées sont informées par écrit des responsabilités qui leur incombent en matière de protection des ICUE conformément à la présente décision et reconnaissent ces responsabilités par écrit.

4 Les modalités d’application du présent article figurent à l’annexe A I.

1 Par «sécurité physique», on entend l’application de mesures physiques et techniques de protection pour dissuader l’accès non autorisé aux ICUE.

2 Les mesures de sécurité physiques sont destinées à faire obstacle à toute intrusion par la ruse ou par la force, à avoir un effet dissuasif, à empêcher et détecter les actes non autorisés et permettre d’établir une distinction entre les membres du personnel au regard de l’accès aux ICUE conformément au principe du besoin d’en connaître. Ces mesures sont déterminées sur la base d’une procédure de gestion des risques.

3 Les mesures physiques de sécurité sont mises en place pour tous les locaux, bâtiments, bureaux, salles et autres zones dans lesquels des ICUE sont traitées ou stockées, y compris les zones où se trouvent les systèmes d’information et de communication définis à l’appendice A de la présente décision.

4 Des zones où sont stockées des ICUE CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur sont créées en tant que zones sécurisées conformément à l’annexe A II et agréées par l’autorité de sécurité du SEAE.

5 Seuls des équipements ou des dispositifs agréés sont utilisés pour protéger les ICUE CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur.

6 Les modalités d’application du présent article figurent à l’annexe A II.

1 Par «gestion des informations classifiées», on entend l’application de mesures administratives pour contrôler les ICUE tout au long de leur cycle de vie afin de compléter les mesures prévues aux articles 5, 6 et 8 et de contribuer ainsi à la dissuasion, à la détection et au retour aux conditions opérationnelles dans le cadre de la compromission ou de la perte délibérée ou accidentelle de telles informations. Ces mesures concernent en particulier la création, l’enregistrement, la duplication, la traduction, le transport, le traitement, le stockage et la destruction des ICUE.

2 Les informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou d’un niveau de classification supérieur sont enregistrées à des fins de sécurité avant leur diffusion et lors de leur réception. Les autorités compétentes au sein du SEAE établissent un bureau d’ordre à cette fin. Les informations classifiées TRÈS SECRET UE/EU TOP SECRET sont enregistrées dans des bureaux d’ordre désignés.

3 Les services et les locaux dans lesquels les ICUE sont traitées ou stockées font l’objet d’une inspection régulière par l’autorité de sécurité du SEAE.

4 En dehors des zones physiquement protégées, les ICUE sont transmises entre les services et les locaux selon les modalités suivantes: a) en règle générale, les ICUE sont transmises par voie électronique protégée par des produits cryptographiques agréés conformément à l’article 7, paragraphe 5, de la présente décision et à des procédures d’exploitation de sécurité (SecOP) clairement définies; b) si la voie visée au point a) n’est pas utilisée, les ICUE sont transportées: i) soit sur des supports électroniques (par exemple clé USB, CD, disque dur) protégés par des produits cryptographiques agréés conformément à l'article 8, paragraphe 5, de la présente décision; ou ii) soit, dans tous les autres cas, de la manière prescrite par l'autorité de sécurité du SEAE conformément aux mesures de protection pertinentes prévues à l'annexe A III, section V.

5 Les modalités d’application du présent article figurent à l’annexe A III.

1 Par «assurance de l’information (AI) dans le domaine des systèmes d’information et de communication», on entend la certitude que ces systèmes protégeront les informations qu’ils traitent et fonctionneront comme ils le doivent, quand ils le doivent, sous le contrôle d’utilisateurs légitimes. Une AI efficace garantit des niveaux appropriés de confidentialité, d’intégrité, de disponibilité, de non-répudiation et d’authenticité. L’AI est fondée sur un processus de gestion des risques.

2 Les SIC traitent des ICUE dans le respect de la notion d’AI.

3 Tous les SIC traitant des ICUE font l’objet d’un processus d’homologation. L’homologation vise à obtenir l’assurance que toutes les mesures de sécurité appropriées ont été mises en œuvre et que les ICUE et les SIC font l’objet d’un niveau suffisant de protection conformément à la présente décision. La déclaration d’homologation détermine le niveau maximal de classification des informations qui peuvent être traitées dans un SIC ainsi que les modalités et les conditions correspondantes.

4 Les SIC traitant des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL et d’un niveau de classification supérieur sont protégés de telle manière que les informations ne peuvent pas être compromises par des émissions électromagnétiques non intentionnelles («mesures de sécurité TEMPEST»).

5 Lorsque la protection des ICUE est assurée par des produits cryptographiques, ces produits sont agréés conformément à l’article 8, paragraphe 5, de la présente décision.

6 Lors de la transmission des ICUE par voie électronique, des produits cryptographiques qui ont fait l’objet d’un agrément sont utilisés. Nonobstant cette exigence, des procédures spécifiques peuvent être appliquées en cas d’urgence ou dans le cadre de configurations techniques spécifiques comme le prévoit l’annexe A IV.

7 En vertu de l'article 8, paragraphe 6, de la présente décision, les autorités d'AI suivantes sont établies selon les besoins: a) une autorité chargée de l’AI (AAI); b) une autorité TEMPEST (AT); c) une autorité d’agrément cryptographique (AAC); d) une autorité chargée de la distribution cryptographique (ADC).

8 En vertu de l'article 8, paragraphe 7, de la présente décision, sont créées, pour chaque système: a) une autorité d’homologation de sécurité (AHS); b) une autorité opérationnelle chargée de l’AI (AOAI).

9 Les modalités d’application du présent article figurent à l’annexe A IV.

1 Par «sécurité industrielle», on entend l’application de mesures visant à assurer la protection des ICUE par des contractants ou des sous-traitants dans le cadre de négociations précontractuelles et tout au long du cycle de vie des contrats classifiés. De manière générale, de tels contrats ne doivent pas concerner l’accès à des informations classifiées TRÈS SECRET UE/EU TOP SECRET.

2 Le SEAE peut, par voie contractuelle, confier à des entités industrielles ou autres immatriculées dans un État membre ou dans un pays tiers ayant conclu un accord sur la sécurité des informations ou un arrangement administratif en vertu de l’article 10, paragraphe 1, de l’annexe A, des tâches qui impliquent ou nécessitent l’accès, le traitement ou le stockage d’ICUE.

3 En tant qu’autorité contractante, le SEAE veille à ce que les normes minimales de sécurité industrielle prévues dans la présente décision et mentionnées dans le contrat soient respectées lors de l’octroi de contrats classifiés à des entités industrielles ou autres. Il garantit le respect de telles normes minimales via l’ANS/ASD concernée.

4 Les contractants et les sous-traitants immatriculés sur le territoire d’un État membre, qui participent à des contrats classifiés ou à des contrats de sous-traitance nécessitant le traitement et le stockage d’informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET au sein de leurs établissements, sont en possession, lors de l’exécution desdits contrats ou durant la phase précontractuelle, d’une habilitation nationale de sécurité d’établissement (HSE) du niveau de classification correspondant délivrée par l’ANS, l’ASD ou toute autre autorité de sécurité compétente dudit État membre.

5 Lorsque les membres du personnel d’un contractant ou d’un sous-traitant doivent, en raison de leurs fonctions aux fins de l’exécution d’un contrat classifié, accéder à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, l’autorité nationale de sécurité (ANS), l’autorité de sécurité désignée (ASD) ou toute autre autorité de sécurité compétente leur délivre une HSP, conformément aux dispositions législatives ou réglementaires nationales et dans le respect des normes minimales définies à l’annexe A I.

6 Les modalités d’application du présent article figurent à l’annexe A V.

1 Le SEAE ne peut échanger des ICUE avec un pays tiers ou une organisation internationale que dans les cas suivants: a) un accord sur la sécurité des informations conclu entre l’UE et ce pays tiers ou cette organisation internationale conformément à l’article 37 du TUE et à l’article 218 du TFUE est en vigueur; ou b) un arrangement administratif, conclu conformément à la procédure énoncée à l’article 15, paragraphe 5, de la présente décision, entre le HR et les autorités de sécurité compétentes de ce pays tiers ou de cette organisation internationale aux fins de l’échange d’informations dont le niveau de classification n’est en principe pas supérieur à RESTREINT UE/EU RESTRICTED, a pris effet; ou c) un accord-cadre de participation ou un accord de participation ad hoc, conclu en vertu de l’article 37 du traité sur l’Union européenne et de l’article 218 du traité sur le fonctionnement de l’Union européenne, entre l’UE et ce pays tiers dans le cadre d’une opération PSDC de gestion de crise est applicable, et les conditions exposées dans cet instrument sont réunies. Les exceptions à la règle générale ci-dessus sont précisées à l'annexe A VI, section V.

2 Les arrangements administratifs visés au paragraphe 1, point b), contiennent des dispositions pour garantir que, lorsque des pays tiers ou des organisations internationales reçoivent des ICUE, ces informations bénéficient d’une protection conforme à leur niveau de classification et à des normes minimales qui ne sont pas moins strictes que celles prévues dans la présente décision. Les informations échangées sur la base des accords visés au paragraphe 1, point c), sont limitées aux informations relatives aux opérations PSDC auxquelles le pays tiers en question participe sur la base de ces accords et conformément à leurs dispositions.

3 Si un accord sur la sécurité des informations est conclu ultérieurement entre l’Union et un État tiers ou une organisation internationale contributeur, l’accord sur la sécurité des informations se substitue aux dispositions relatives à l’échange d’informations classifiées énoncées dans tout accord-cadre de participation, accord de participation ad hoc ou arrangement administratif ad hoc pour ce qui concerne l’échange et le traitement des ICUE.

4 Les ICUE créées aux fins d’une opération PSDC peuvent être divulguées au personnel détaché par des États tiers ou des organisations internationales dans le cadre de cette opération, conformément aux paragraphes 1 à 3, ainsi qu’à l’annexe A VI. Lorsque l’accès aux ICUE est autorisé dans les locaux ou via le SIC d’une opération PSDC, il convient d’appliquer des mesures (y compris l’enregistrement des ICUE divulguées) permettant d’atténuer le risque de perte ou de compromission. Ces mesures sont définies dans les documents de planification ou de mission pertinents.

5 Des visites d’évaluation dans des pays tiers ou des organisations internationales, visées à l’article 17 de la présente décision, sont organisées afin de garantir l’efficacité des mesures de sécurité en place en matière de protection de toute ICUE échangée.

6 La décision de communiquer des ICUE détenues par le SEAE à un pays tiers ou à une organisation internationale est prise au cas par cas, en fonction de la nature et du contenu de ces informations, du besoin d’en connaître du destinataire et d’une appréciation des avantages que l’UE peut en retirer. Le SEAE demande le consentement écrit de toute entité ayant fourni des informations classifiées en tant que sources d’ICUE émanant du SEAE afin d’établir l’absence d’objection à leur communication. Si l’autorité d’origine des informations classifiées à communiquer n’est pas le SEAE, le SEAE demande au préalable le consentement écrit de l’autorité d’origine. Si, toutefois, le SEAE est dans l’impossibilité de déterminer l’autorité d’origine, l’autorité de sécurité du SEAE endosse la responsabilité de l’autorité d’origine après avoir obtenu l’avis unanimement favorable des États membres représentés au sein du comité de sécurité du SEAE.

7 Les modalités d’application du présent article figurent à l’annexe A VI.

1 Toute infraction à la sécurité, réelle ou présumée, et toute compromission d’informations classifiées, réelle ou présumée, sont immédiatement signalées à la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE, qui en informe, selon le cas, le ou les États membre(s) concerné(s), ou toute autre entité concernée.

2 Lorsqu'il est avéré ou qu'il existe des motifs raisonnables de supposer que des informations classifiées ont été compromises ou perdues, la direction chargée de la sécurité au siège et de la sécurité de l'information du SEAE en informe l'ANS du ou des États membres concernés et prend toutes les mesures nécessaires conformément aux dispositions législatives et réglementaires applicables afin: a) de protéger les éléments de preuve; b) de faire en sorte qu’une enquête soit menée par des membres du personnel n’étant pas directement concernés par l’infraction ou la compromission afin d’établir les faits; c) d’informer immédiatement l’autorité d’origine ou toute autre entité concernée; d) d’éviter que les faits ne se reproduisent; e) d’évaluer le préjudice éventuel causé aux intérêts de l’UE ou des États membres; et f) de notifier aux autorités concernées les effets de la compromission réelle ou présumée et des mesures prises.

3 Tout membre du personnel sous la responsabilité du SEAE qui enfreint les règles de sécurité énoncées dans la présente décision est passible d’une sanction disciplinaire conformément aux dispositions législatives et réglementaires applicables. Toute personne responsable de la compromission ou de la perte d’informations classifiées est passible de sanctions disciplinaires et/ou peut faire l’objet d’une action en justice conformément aux dispositions législatives et réglementaires applicables.

4 Pendant que l’infraction et/ou la compromission font l’objet d’une enquête, le directeur de la direction chargée de la sécurité au siège et de la sécurité de l’information du SEAE peut suspendre l’accès individuel aux ICUE et aux locaux du SEAE. La direction de la sécurité de la direction générale des ressources humaines et de la sécurité de la Commission, le bureau de sécurité du secrétariat général du Conseil ou l’ANS du ou des États membres concernés, ou toute entité concernée, sont immédiatement informés de la présente décision.