Accès aux informations classifiées UE : nouvelles règles d’habilitation et de contrôle

Lecture rapide

La procédure d’habilitation au domaine Union européenne s’applique à toute personne appelée à accéder à des informations classifiées de l’UE. Les décisions sont liées au catalogue des emplois, délivrées par les ministres compétents après enquête de sécurité. Des règles spécifiques encadrent les ressortissants français employés par les institutions de l’UE, les ressortissants étrangers, la durée de validité, le renouvellement et la fin de l’habilitation.

Analyse juridique

1. Habilitation au domaine Union européenne et gestion des personnels

1.1. La section consacrée aux mesures de sécurité relatives aux personnes ayant vocation à accéder aux informations classifiées de l’Union européenne précise que l’accès aux ICUE de niveau CONFIDENTIEL UE/EU CONFIDENTIAL et supérieur est strictement encadré. Les catalogues des emplois doivent identifier les postes nécessitant un tel accès, et un répertoire des habilitations est tenu par le service du haut fonctionnaire de défense et de sécurité (HFDS) de chaque ministère, recensant les dossiers d’habilitation en cours d’instruction et les décisions d’habilitation en cours de validité.

1.2. L’accès ès qualité est reconnu pour certaines personnes physiques mentionnées au point 3.1.4 de l’IGI 1300, mais uniquement pour l’exercice de leurs fonctions ou l’accomplissement de leurs missions. En revanche, pour les personnes dans l’exercice de prérogatives juridictionnelles françaises, l’instruction souligne que les dispositions de l’IGI 1300 relatives à l’accès aux informations classifiées s’appliquent exclusivement aux informations nationales. Pour obtenir des ICUE, ces personnes doivent en demander la déclassification à l’autorité émettrice, éventuellement en se renseignant auprès du SGDSN, en sa qualité d’autorité nationale de sécurité.

2. Procédure d’habilitation au domaine Union européenne

2.1. La procédure d’habilitation concerne toutes les personnes appelées à occuper un poste nécessitant l’accès à des ICUE, y compris les ressortissants français employés par une institution, un organe ou une agence de l’Union européenne, en détachement ou mis à disposition. Le dossier d’habilitation est constitué et instruit selon les modalités de l’IGI 1300 pour les niveaux équivalents, avec enquête administrative, avis de sécurité et décision d’habilitation. Des décisions provisoires peuvent être délivrées en cas d’urgence, pour une durée maximale de six mois.

2.2. Pour les ressortissants français exerçant des fonctions en France, en détachement ou mis à disposition, les décisions d’habilitation sont délivrées par chaque ministre pour son domaine de compétence, après avis du service enquêteur. Pour les ressortissants français employés directement par une institution, un organe ou une agence de l’Union européenne, le SGDSN, en tant qu’autorité nationale de sécurité, émet un avis indiquant s’il existe ou non des renseignements défavorables. Si cet avis est défavorable, l’autorité de sécurité de l’institution européenne ne peut délivrer de décision d’habilitation.

2.3. La durée de validité des décisions d’habilitation est alignée sur celle prévue par l’IGI 1300. En cas de fin d’habilitation d’une personne détachée ou mise à disposition, l’institution, organe ou agence de l’UE concerné est informé via le SGDSN. Lorsque la personne fait l’objet d’un avis du SGDSN, toute modification de cet avis est notifiée par l’autorité de sécurité européenne.

3. Cas particulier des ressortissants étrangers et formation

3.1. Pour les ressortissants d’un État membre de l’Union européenne occupant un emploi en France, l’accès aux ICUE jusqu’au niveau TRÈS SECRET UE/EU TOP SECRET est possible dans les mêmes conditions que pour les ressortissants français, via une procédure d’habilitation engagée auprès du ministre concerné ou de l’autorité de sécurité déléguée. Le SGDSN assure la liaison avec les autorités nationales de sécurité étrangères pour l’instruction des dossiers.

3.2. Pour les ressortissants d’États non membres de l’Union européenne, l’accès aux ICUE suppose l’existence d’un accord sur la protection des informations classifiées de l’Union européenne ou d’un arrangement de sécurité entre l’UE et l’État concerné, d’un accord de sécurité entre la France et cet État, du consentement préalable écrit de l’autorité émettrice lorsque l’information n’émane pas d’une autorité française, et d’un besoin d’en connaître dans le cadre d’un programme, projet, contrat, opération ou tâche liés à l’Union européenne. En l’absence d’accord de sécurité bilatéral, le responsable d’organisme doit solliciter l’autorisation du SGDSN pour engager la procédure d’habilitation.

3.3. Toute personne ayant accès à des ICUE fait l’objet d’une formation et d’une sensibilisation aux enjeux de la protection des informations classifiées, conformément à l’IGI 1300. Les officiers de sécurité assurent une sensibilisation périodique aux règles de sécurité et aux conséquences des violations. Lorsque les organismes ne traitent que des informations RESTREINT UE/EU RESTRICTED, la formation est organisée par le responsable d’organisme.

4. Protection des informations classifiées de l’Union européenne dans les contrats

4.1. Les dispositions de l’IGI 1300 relatives aux contrats classifiés s’appliquent à tout organisme public ou privé impliqué dans un contrat nécessitant l’accès, le traitement ou le stockage d’ICUE. L’instruction précise des mesures additionnelles pour les contrats classifiés de l’Union européenne, qu’il s’agisse de contrats de la commande publique, de sous‑traitance, de sous‑contrats ou de contrats de subvention.

4.2. Pour les personnes morales françaises, la procédure d’habilitation au domaine Union européenne, le dossier d’aptitude physique en cas de détention d’ICUE et la démarche d’homologation des systèmes d’information sont alignés sur l’IGI 1300. L’habilitation relève de chaque ministre compétent. Les personnes morales déjà habilitées au domaine national peuvent demander une extension du domaine d’habilitation.

4.3. Pour les personnes morales de droit étranger, candidates à un contrat impliquant des ICUE, une attestation d’habilitation ou de procédure en cours doit être produite, délivrée par l’autorité d’habilitation de l’État d’immatriculation. Si la personne morale n’est pas habilitée, l’autorité française d’habilitation saisit le SGDSN pour solliciter l’habilitation auprès de l’autorité compétente étrangère. Aucun contrat impliquant des ICUE ne peut être attribué à des personnes morales immatriculées dans un État non membre de l’Union européenne dépourvu d’accord ou arrangement de sécurité avec l’UE et d’accord général de sécurité avec la France.

4.4. Tout contrat classifié de l’Union européenne doit comporter un plan contractuel de sécurité ou une annexe de sécurité listant les impératifs de sécurité et les informations classifiées à protéger, consignées dans un guide de classification. Des instructions de sécurité relatives à un programme ou un projet peuvent être élaborées et approuvées par les autorités nationales de sécurité ou les autorités de sécurité déléguées des États membres associés.

4.5. Pour les contrats RESTREINT UE/EU RESTRICTED, aucune décision d’habilitation n’est requise, mais le personnel doit justifier d’un besoin d’en connaître et être informé des mesures de protection. L’autorité de sécurité de l’institution européenne contractante peut effectuer des inspections dans les installations des contractants ou sous‑traitants pour vérifier la mise en œuvre des mesures de sécurité adaptées. Les contrats prévoyant le traitement d’ICUE de niveau RESTREINT UE/EU RESTRICTED dans un système d’information doivent rappeler les exigences techniques et administratives relatives aux moyens de transmission électronique et à l’homologation des systèmes.

5. Protection des lieux et accès des personnes non qualifiées

5.1. Les informations classifiées de l’Union européenne de niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou supérieur sont conservées selon les modalités matérielles de protection de l’IGI 1300. Les informations RESTREINT UE/EU RESTRICTED sont conservées dans un meuble fermant à clé, dans une zone contrôlée avec accompagnement des visiteurs. Les bureaux, salles de réunion et conférences traitant des ICUE doivent respecter les exigences de sécurité physique, y compris la protection contre les signaux compromettants à partir du niveau CONFIDENTIEL UE/EU CONFIDENTIAL et l’interdiction des dispositifs de communication non homologués à partir du niveau RESTREINT UE/EU RESTRICTED.

5.2. L’accès des personnes non qualifiées (non habilitées ou sans besoin d’en connaître) aux lieux où sont conservées des ICUE de niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou supérieur est encadré par l’IGI 1300. Le convoyage des ICUE, le gardiennage des lieux et l’entretien ou la maintenance font l’objet de contrats sensibles, exécutés par des personnes pouvant faire l’objet d’enquêtes administratives et dont les contrats de travail comportent, dans la mesure du possible, une clause de protection du secret. Lorsque les règles de sécurité des institutions européennes imposent l’habilitation du personnel chargé de l’exécution du contrat, il est procédé à l’habilitation de la personne morale titulaire et de son personnel, afin de garantir une chaîne de sécurité clairement identifiée.

6. Sécurité des systèmes d’information et rôle de l’ANSSI

6.1. Le SGDSN, en tant qu’autorité nationale de sécurité, est responsable de la mise en œuvre de la politique de l’Union européenne en matière de sécurité des systèmes d’information dans les organismes français. Il s’appuie sur l’Agence nationale de la sécurité des systèmes d’information (ANSSI), désignée comme autorité nationale chargée de l’assurance de l’information, autorité nationale d’homologation de sécurité, autorité nationale d’agrément cryptographique et autorité nationale Tempest. L’ANSSI définit les politiques et lignes directrices de sécurité, gère les données techniques relatives aux produits cryptographiques, coordonne la formation et la sensibilisation, et participe aux panels ou comités d’homologation de sécurité des institutions européennes.

6.2. Tous les systèmes d’information traitant des ICUE doivent respecter les principes généraux de protection (intégrité, authenticité, confidentialité, non‑répudiation, disponibilité) et faire l’objet d’une homologation de sécurité. Les dispositifs de sécurité garantissant la confidentialité des ICUE sont agréés par l’autorité nationale d’agrément cryptographique et, pour les niveaux SECRET UE/EU SECRET et supérieurs, approuvés par le Conseil de l’Union européenne. Des délégations peuvent être accordées à des ministères ou à des organismes publics ou privés pour la prise de décisions d’homologation, sous le contrôle de l’ANSSI, qui peut suspendre ou abroger une délégation ou une décision d’homologation en cas de manquement grave.

6.3. L’instruction encadre également l’interconnexion des systèmes, la gestion du matériel cryptographique (en lien avec l’instruction interministérielle 910 sur les articles contrôlés de la sécurité des systèmes d’information), la protection contre les signaux compromettants (lignes directrices TEMPEST du Conseil de l’UE) et les audits de sécurité. Les auditeurs doivent être habilités au niveau de classification du système audité, voire au niveau supérieur lorsque leurs droits techniques sont étendus.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.