RO 2019 881
Ordonnance
concernant la procédure de sécurité relative
aux entreprises dans le cadre des programmes européens
de navigation par satellite Galileo et EGNOS
du 27 février 2019
Le Conseil fédéral suisse,
vu l’art. 184, al. 3, de la Constitution1,
arrête:
Art. 1 Objet et champ d’application
La présente ordonnance règle l’exécution de la procédure de sécurité relatives aux entreprises dans le cadre des programmes européens de navigation par satellite Galileo et EGNOS.
Elle s’applique aux entreprises de droit public ou privé ayant leur siège en Suisse qui désirent soumissionner pour des mandats sensibles s’inscrivant dans le cadre des programmes mentionnés à l’al.1 et qui ont besoin à cet effet d’une déclaration nationale de sécurité.
Art. 2 Service compétent
La procédure est menée par le service du Département fédéral de la défense, de la protection de la population et des sports (DDPS) chargé de l’exécution de la procédure visant à la sauvegarde du secret (service spécialisé CSI).
Art. 3 Ouverture et consentement
La procédure est ouverte à la requête du service ou de l’organisation compétente pour adjuger des mandats sensibles s’inscrivant dans le cadre des programmes Galileo et EGNOS (adjudicateur).
Elle ne peut être menée qu’avec le consentement de l’entreprise concernée.
Art. 4 Classement de la procédure
La procédure est classée dans les cas suivants:
l’entreprise revient sur son consentement ou ne participe pas à la procédure;
elle n’entre plus en considération pour l’exécution du mandat.
Les données et dossiers liés à une procédure qui a fait l’objet d’une décision de classement sont détruits.
Art. 5 Qualification de l’entreprise
Le service spécialisé CSI évalue si l’entreprise présente les qualifications requises du point de vue de la sécurité pour exécuter le mandat ou s’il existe un risque pour la sécurité.
Il peut collecter les données nécessaires à l’évaluation:
auprès de l’entreprise;
auprès du Service de renseignement de la Confédération;
à partir de sources publiques d’information.
Il peut également demander à des services étrangers des données nécessaires à l’évaluation.
Art. 6 Risque pour la sécurité
Il existe un risque pour la sécurité lorsque des éléments concrets reposant sur les données collectées laissent supposer avec une haute probabilité que l’entreprise exécutera le mandat de manière inadéquate ou contraire aux prescriptions.
La probabilité d’une exécution inadéquate ou contraire aux prescriptions du mandat peut être jugée élevée dans les cas suivants en particulier:
des infractions ou d’autres incidents font douter à bon droit de la fiabilité de l’entreprise;
l’entreprise est contrôlée par un autre État ou par une organisation de droit public ou privé étrangère ou se trouve sous leur influence, et ce contrôle ou cette influence est incompatible avec les intérêts en matière de sécurité de la Confédération ou des programmes Galileo et EGNOS;
des personnes qui travaillent pour l’entreprise et qui sont indispensables pour l’exécution du mandat ont fait l’objet d’une des décisions visées à l’art. 22, al. 1, let. b à d, de l’ordonnance du 4 mars 2011 concernant les contrôles de sécurité relatifs aux personnes (OCSP)2.
Le risque pour la sécurité doit être fondé sur la situation effective de l’entreprise, indépendamment de toute faute commise.
Art. 7 Plan de sécurité
Si l’entreprise remplit les conditions de sécurité requises au sens de l’art.5, le service spécialisé CSI établit un plan de sécurité.
Il tient compte des exigences de sécurité de l’adjudicateur pour le projet concerné.
Il peut collecter les données nécessaires à l’établissement du plan de sécurité par écrit ou en visitant les lieux.
Art. 8 Contrôles de sécurité relatifs aux personnes
Les personnes qui sont appelées à participer à l’exécution du mandat pour l’entreprise font l’objet d’un contrôle de sécurité relatif aux personnes au sens de l’OCSP3.
Le service spécialisé CSI est l’autorité décisionnelle au sens de l’art. 24, al. 1, OCSP pour les contrôles de sécurité relatifs aux personnes réalisés en application de la présente ordonnance.
Art. 9 Déclaration de sécurité relative aux entreprises
Le service spécialisé CSI établit une déclaration de sécurité relative aux entreprises sous la forme d’une décision lorsque l’entreprise apporte la preuve qu’elle a appliqué le plan de sécurité.
Si l’entreprise n’applique pas le plan de sécurité, il classe la procédure et rend une décision en la matière.
Il informe l’adjudicateur du contenu de la décision.
Les déclarations de sécurité relatives aux entreprises sont valables jusqu’au 31 décembre 2021.
Art. 10 Obligations de l’entreprise
Les entreprises titulaires d’une déclaration de sécurité appliquent en permanence les mesures prévues par le plan de sécurité.
Elles informent immédiatement le service spécialisé CSI et l’adjudicateur de tout changement ou événement ayant une incidence sur la sécurité.
Art. 11 Contrôles et mesures de protection
Le service spécialisé CSI est habilité à procéder sans préavis aux contrôles et mesures de protection suivants:
inspecter les locaux où le mandat sensible est exécuté;
consulter les documents pertinents pour l’exécution du mandat.
Lorsque des éléments concrets laissent penser que la sécurité de l’information est menacée dans l’entreprise, il peut prendre immédiatement les mesures de protection qui s’imposent, notamment mettre les documents et le matériel pertinents en lieu sûr.
Art. 12 Répétition de la procédure
La procédure de sécurité est répétée lorsque des éléments concrets laissent penser que de nouveaux risques sont apparus par suite de changements importants au sein de l’entreprise.
Art. 13 Révocation de la déclaration de sécurité
Le service spécialisé CSI révoque la déclaration de sécurité dans les cas suivants:
l’entreprise ne remplit pas ses obligations au sens de l’art. 10;
un risque pour la sécurité est identifié lors d’une répétition de la procédure.
Il rend une décision en la matière et informe l’adjudicateur du contenu de cette dernière.
Art. 14 Voies de droit
Les décisions du service spécialisé CSI peuvent faire l’objet d’un recours devant le Tribunal administratif fédéral.
Art. 15 Traitement des données personnelles
Le traitement des données personnelles par le service spécialisé CSI est régi par les art. 150 à 155 de la loi fédérale du 3 octobre 2008 sur les systèmes d’information de l’armée4.
Art. 16 Frais de procédure et émoluments
Les frais de la procédure de sécurité sont assumés par l’entreprise.
La perception d’émoluments est régie par l’ordonnance du 8 novembre 2006 sur les émoluments du DDPS5.
Art. 17 Exécution
Le DDPS exécute la présente ordonnance.
En cas de besoin, il peut édicter des dispositions d’exécution.
En l’absence de dispositions d’exécution, les dispositions de l’ordonnance du 29 août 1990 concernant la sauvegarde du secret6 sont applicables par analogie.
Art. 18 Entrée en vigueur et durée de validité
La présente ordonnance entre en vigueur le 1er avril 2019 et a effet jusqu’au 31 décembre 2021.
27 février 2019 Au nom du Conseil fédéral suisse: |
|---|
Le président de la Confédération, Ueli Maurer |
Le chancelier de la Confédération, Walter Thurnherr |