Secret UE : nouvelle IGI 2102, ce qui change pour la gestion des informations classifiées

1. Cadre général de l’instruction interministérielle sur la protection des informations classifiées de l’Union européenne

1.1. L’arrêté du 4 septembre 2026, publié au Journal officiel de la République française du 13 septembre 2026 (Texte 1 sur 70), porte approbation de l’instruction générale interministérielle n° 2102 sur la protection en France des informations classifiées de l’Union européenne. Pris par le Premier ministre, il s’adresse aux services de l’État, aux opérateurs de l’État, aux services déconcentrés, aux établissements publics nationaux et, plus largement, à toutes personnes physiques ou morales, publiques ou privées relevant de la compétence des autorités françaises et appelées à prendre connaissance, acheminer, traiter, stocker, produire ou détruire des informations et supports classifiés portant un timbre de classification de l’Union européenne.

1.2. L’objet de l’arrêté est d’approuver la révision de l’instruction générale interministérielle n° 2102 afin de tirer les conséquences de la réforme de la protection du secret de la défense nationale au 1er juillet 2021, marquée par la publication de la nouvelle instruction générale interministérielle n° 1300 (IGI 1300) le 11 août 2021. L’arrêté est pris en application du premier alinéa de l’article R. 2311‑5 du code de la défense et s’appuie également sur le code pénal (articles 413‑9 à 413‑12) et sur l’arrêté du 9 août 2021 portant approbation de l’IGI 1300.

1.3. L’instruction interministérielle n° 2102, annexée à l’arrêté, abroge et remplace l’instruction générale interministérielle n° 2102/SGDSN/PSE/PSD du 12 juillet 2013. Elle définit, dans un cadre structuré (glossaire, principes, mesures de sécurité, gestion des incidents, sanctions, annexes), les règles françaises de protection des informations classifiées de l’Union européenne (ICUE), en articulation avec les règles de sécurité du Conseil de l’Union européenne et l’Accord intergouvernemental du 4 mai 2011 relatif à la protection des informations classifiées échangées dans l’intérêt de l’Union.

2. Principes généraux, champ d’application et niveaux de classification

2.1. L’instruction rappelle que, en vertu de l’Accord entre les États membres de l’Union européenne relatif à la protection des informations classifiées, fait à Bruxelles le 4 mai 2011, la France s’engage à assurer, conformément à sa législation et réglementation nationales, un niveau de protection des informations classifiées de l’Union européenne (ICUE) équivalent à celui fixé par les règles de sécurité du Conseil de l’Union européenne (décision du 23 septembre 2013 concernant ces règles).

2.2. Pour éviter la duplication des exigences de sécurité, un régime d’équivalence est établi entre les niveaux de classification de l’Union européenne et les niveaux de classification et de protection français. L’instruction distingue quatre niveaux de classification de l’UE : TRÈS SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL et RESTREINT UE/EU RESTRICTED. Elle précise que la France traite les informations CONFIDENTIEL UE/EU CONFIDENTIAL selon les mesures de protection du niveau français SECRET, et rappelle que la mention « Diffusion Restreinte » en France est une mention de protection et non de classification.

2.3. Le champ d’application couvre toute personne physique ou morale, publique ou privée, relevant de la juridiction française, appelée à prendre connaissance, acheminer, traiter, stocker, produire ou détruire des informations et supports classifiés portant un timbre de classification de l’Union européenne. Les principes de sécurité imposent notamment que les ICUE ne soient pas déclassées ou déclassifiées sans le consentement préalable écrit de l’autorité émettrice, qu’elles ne soient pas utilisées à d’autres fins que celles fixées par cette autorité, et qu’elles ne soient pas divulguées à un pays tiers ou à une organisation internationale sans accord ou arrangement approprié et sans consentement préalable écrit.

2.4. L’instruction insiste sur le principe du besoin d’en connaître et sur le cloisonnement : les informations classifiées de l’Union européenne doivent être traitées et détenues de manière distincte et séparée des autres informations classifiées françaises ou étrangères, afin d’éviter tout amalgame et tout accès non autorisé.

3. Organisation de la protection : du niveau interministériel aux organismes détenteurs

3.1. Au niveau interministériel, le secrétaire général de la défense et de la sécurité nationale (SGDSN) exerce, sous l’autorité du Premier ministre, la fonction d’autorité nationale de sécurité (ANS), conformément aux articles R. 2311‑10 à R. 2311‑11 du code de la défense. Il assure la sécurité des informations classifiées de l’Union européenne confiées à la France, organise le réseau Union européenne, mène des inspections périodiques, définit la procédure d’habilitation pour les ressortissants français et étrangers, et représente la France dans les instances préparatoires des institutions, organes et agences de l’Union européenne, notamment les comités de sécurité.

3.2. Au niveau ministériel, chaque ministre, en vertu de l’article R. 2311‑6 du code de la défense, s’assure de la mise en œuvre des dispositions relatives à la protection des informations classifiées de l’Union européenne détenues dans son champ d’attribution. Il est assisté par un haut fonctionnaire de défense et de sécurité (HFDS). Des autorités de sécurité déléguées (ASD) peuvent être désignées, notamment dans le domaine industriel, pour mettre en œuvre la politique de protection des informations classifiées de l’Union européenne et traiter les habilitations des personnes morales exécutant des contrats classifiés de l’Union européenne.

3.3. Au niveau des organismes, le responsable d’un organisme ayant accès à des informations classifiées de l’Union européenne est responsable de leur protection et doit intégrer ces exigences dans la politique de protection du secret de l’organisme. Il crée un bureau d’ordre dès lors que l’organisme détient des informations de niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou supérieur. L’officier de sécurité applique les règles de sécurité relatives au personnel et aux lieux.

3.4. Le réseau Union européenne constitue l’ossature de la gestion des ICUE. Il comprend un bureau central UE, des bureaux TRÈS SECRET UE/EU TOP SECRET (bureaux TS‑UE) principaux, isolés et secondaires, et des bureaux d’ordre ICUE pour les niveaux SECRET UE/EU SECRET et CONFIDENTIEL UE/EU CONFIDENTIAL. Le chef du bureau central UE suit l’organigramme du réseau, mène des inspections et centralise les inventaires. Les bureaux d’ordre sont chargés de la réception, comptabilisation, manipulation, distribution et destruction des ICUE, à l’exclusion des supports portant la mention « CRYPTO ».

4. Mesures de sécurité relatives aux personnes et aux contrats

4.1. L’accès aux informations classifiées de l’Union européenne de niveau CONFIDENTIEL UE/EU CONFIDENTIAL et supérieur est réservé aux personnes habilitées ou autorisées ès qualité, informées de leurs responsabilités et justifiant d’un besoin d’en connaître. Chaque organisme établit des catalogues des emplois spécifiques au domaine UE, distincts de ceux du domaine national, et un répertoire des habilitations est tenu par le service du HFDS de chaque ministère.

4.2. La procédure d’habilitation au domaine Union européenne reprend les modalités de l’IGI 1300 : constitution d’un dossier d’habilitation, enquête administrative, avis de sécurité, décision d’habilitation, renouvellement, refus ou abrogation. Des dispositions spécifiques sont prévues pour les ressortissants français employés par les institutions, organes ou agences de l’Union européenne, pour lesquels le SGDSN, en tant qu’autorité nationale de sécurité, émet un avis (favorable ou défavorable) sur leur loyauté, intégrité et fiabilité. Des règles particulières encadrent aussi l’habilitation des ressortissants étrangers, qu’ils soient ressortissants d’un État membre ou d’un État non membre de l’Union européenne, avec la nécessité d’accords de sécurité et de consentement préalable écrit de l’autorité émettrice.

4.3. En matière de contrats classifiés de l’Union européenne, l’instruction renvoie aux principes de l’IGI 1300 et précise des mesures additionnelles. Tout contrat impliquant l’accès, le traitement ou le stockage d’ICUE doit comporter un plan contractuel de sécurité ou une annexe de sécurité (Security Aspect Letter – SAL), incluant un guide de classification. L’habilitation des personnes morales françaises relève des ministres compétents, tandis que les personnes morales de droit étranger doivent produire une attestation d’habilitation délivrée par leur autorité nationale. Des mesures particulières sont prévues pour les contrats RESTREINT UE/EU RESTRICTED, où l’habilitation n’est pas requise mais où le besoin d’en connaître et l’information sur les responsabilités demeurent essentiels.

5. Protection des lieux, systèmes d’information et gestion des ICUE

5.1. Les mesures de sécurité relatives aux lieux imposent des modalités matérielles de protection pour les informations de niveau CONFIDENTIEL UE/EU CONFIDENTIAL et supérieur, conformément à l’IGI 1300. Les informations RESTREINT UE/EU RESTRICTED doivent être conservées dans un meuble fermant à clé, dans une zone contrôlée. Les salles de réunion traitant des ICUE doivent être protégées contre les prises de vue non autorisées, les signaux compromettants (TEMPEST) et l’accès de personnes non autorisées.

5.2. Pour les systèmes d’information, le SGDSN désigne l’Agence nationale de la sécurité des systèmes d’information (ANSSI) comme autorité nationale chargée de l’assurance de l’information, autorité nationale d’homologation de sécurité, autorité nationale d’agrément cryptographique et autorité nationale Tempest. Tous les systèmes d’information traitant des ICUE, y compris au niveau RESTREINT UE/EU RESTRICTED, doivent faire l’objet d’une homologation de sécurité, avec des durées maximales de deux ans pour TRÈS SECRET UE/EU TOP SECRET et trois ans pour SECRET UE/EU SECRET et inférieur. L’instruction encadre l’agrément des dispositifs de sécurité, l’interconnexion, la protection contre les signaux compromettants et les audits de sécurité.

5.3. La gestion des informations classifiées de l’Union européenne couvre l’élaboration (responsabilité de la décision de classification, de déclassement ou de déclassification), les règles de marquage (timbre de classification, échéance, références de l’autorité émettrice et de l’auteur, date d’émission, numérotation des exemplaires), l’enregistrement (systèmes distincts pour les ICUE, traçabilité du cycle de vie), la diffusion (de bureau d’ordre à bureau d’ordre, rôle central du bureau central UE pour le TRÈS SECRET UE/EU TOP SECRET), la réception, la conservation (respect du cloisonnement), la reproduction et traduction (consentement écrit préalable pour le TRÈS SECRET UE/EU TOP SECRET, mentions restrictives possibles), les inventaires annuels et la destruction (procès‑verbaux, témoins habilités, plans d’évacuation d’urgence, archivage).

6. Incidents de sécurité, compromission et sanctions

6.1. L’instruction consacre un volet aux atteintes aux informations classifiées de l’Union européenne. En application de l’article 414‑9 du code pénal, les dispositions relatives aux atteintes au secret de la défense nationale (articles 411‑6 à 411‑11 et 413‑9 à 413‑12) s’appliquent aux informations échangées entre la France et une institution, un organe ou une agence de l’Union européenne et classifiées selon les règlements de sécurité publiés au Journal officiel de l’Union européenne.

6.2. Tout incident affectant la sécurité des informations classifiées de l’Union européenne ou toute compromission suspectée ou avérée doit être signalé immédiatement à l’autorité hiérarchique et au responsable du bureau d’ordre, qui en informe les autorités compétentes et le SGDSN, en sa qualité d’autorité nationale de sécurité. Ce dernier est seul habilité à informer l’autorité émettrice ou l’autorité de sécurité européenne concernée.

6.3. Les sanctions pénales pour les atteintes aux ICUE de niveau CONFIDENTIEL UE/EU CONFIDENTIAL et supérieur sont celles prévues aux articles 413‑10 et 413‑11 du code pénal, tandis que la divulgation non autorisée d’informations RESTREINT UE/EU RESTRICTED peut être réprimée, notamment au titre de la violation du secret professionnel. Des sanctions administratives, dont l’abrogation de la décision d’habilitation, peuvent également être prononcées à l’encontre de l’auteur d’un acte, même non intentionnel, compromettant une ICUE.

6.4. Enfin, la liste des annexes (schéma d’organisation du réseau UE, attestation de garanties matérielles de sécurité) complète le dispositif en fournissant des outils opérationnels pour la mise en œuvre des garanties matérielles de sécurité et la structuration du réseau Union européenne autour du bureau central UE, des bureaux TRÈS SECRET UE/EU TOP SECRET et des bureaux d’ordre ICUE.