AS 2014 1457

Ordonnance concernant la procédure de sécurité relative aux entreprises dans le cadre des programmes européens de navigation par satellite Galileo et EGNOS

du 6 juin 2014

Le Conseil fédéral suisse, vu l’art. 184, al. 3, de la Constitution1, arrête:

Art. 1 Objet et champ d’application 1 La présente ordonnance règle l’exécution de la procédure de sécurité relatives aux entreprises dans le cadre des programmes européens de navigation par satellite Galileo et EGNOS. 2 Elle s’applique aux entreprises de droit public ou privé ayant leur siège en Suisse qui désirent soumissionner pour des mandats sensibles s’inscrivant dans le cadre des programmes mentionnés à l’al. 1 et qui ont besoin à cet effet d’une déclaration nationale de sécurité.

Art. 2 Service compétent La procédure est menée par le service du Département fédéral de la défense, de la protection de la population et des sports (DDPS) chargé de l’exécution de la procé- dure visant à la sauvegarde du secret (service spécialisé CSI).

Art. 3 Ouverture et consentement 1 La procédure est ouverte à la requête du service ou de l’organisation compétente pour adjuger des mandats sensibles s’inscrivant dans le cadre des programmes Galileo et EGNOS (adjudicateur).

2 Elle ne peut être menée qu’avec le consentement de l’entreprise concernée.

Art. 4 Classement de la procédure

1 La procédure est classée dans les cas suivants:

a. l’entreprise revient sur son consentement ou ne participe pas à la procédure; b. elle n’entre plus en considération pour l’exécution du mandat. 2 Les données et dossiers liés à une procédure qui a fait l’objet d’une décision de classement sont détruits.

RS 510.661 1 RS 101

2014-0755 1457

Procédure de sécurité relative aux entreprises dans le cadre des RO 2014

Art. 5 Qualification de l’entreprise 1 Le service spécialisé CSI évalue si l’entreprise présente les qualifications requises du point de vue de la sécurité pour exécuter le mandat ou s’il existe un risque pour la sécurité.

2 Il peut collecter les données nécessaires à l’évaluation:

a. auprès de l’entreprise; b. auprès du Service de renseignement de la Confédération; c. à partir de sources publiques d’information.

3 Il peut également demander à des services étrangers des données nécessaires à

l’évaluation.

Art. 6 Risque pour la sécurité 1 Il existe un risque pour la sécurité lorsque des éléments concrets reposant sur les données collectées laissent supposer avec une haute probabilité que l’entreprise exécutera le mandat de manière inadéquate ou contraire aux prescriptions. 2 La probabilité d’une exécution inadéquate ou contraire aux prescriptions du man- dat peut être jugée élevée dans les cas suivants en particulier: a. des infractions ou d’autres incidents font douter à bon droit de la fiabilité de l’entreprise; b. l’entreprise est contrôlée par un autre État ou par une organisation de droit public ou privé étrangère ou se trouve sous leur influence et ce contrôle ou cette influence est incompatible avec les intérêts de la Confédération ou des programmes Galileo et EGNOS en matière de sécurité; c. des personnes qui travaillent pour l’entreprise et qui sont indispensables pour l’exécution du mandat ont fait l’objet d’une des décisions visées à l’art. 22, al. 1, let. b à d, de l’ordonnance du 4 mars 2011 concernant les contrôles de sécurité relatifs aux personnes (OCSP)2. 3 Le risque pour la sécurité doit être fondé sur la situation effective de l’entreprise, indépendamment de toute faute commise.

Art. 7 Plan de sécurité 1 Si l’entreprise remplit les conditions de sécurité requises au sens de l’art. 5, le service spécialisé CSI établit un plan de sécurité. 2 Il tient compte des exigences de sécurité de l’adjudicateur pour le projet concerné.

3 Il peut collecter les données nécessaires à l’établissement du plan de sécurité par écrit ou en visitant les lieux.

2 RS 120.4

1458

Procédure de sécurité relative aux entreprises dans le cadre des RO 2014

Art. 8 Contrôles de sécurité relatifs aux personnes 1 Les personnes qui sont appelées à participer à l’exécution du mandat pour l’entre- prise font l’objet d’un contrôle de sécurité relatif aux personnes au sens de l’OCSP3. 2 Le service spécialisé CSI est l’autorité décisionnelle au sens de l’art. 24, al. 1, OCSP, pour les contrôles de sécurités relatifs aux personnes réalisés en application de la présente ordonnance.

Art. 9 Déclaration de sécurité relative aux entreprises 1 Le service spécialisé CSI établit une déclaration de sécurité relative aux entreprises sous la forme d’une décision lorsque l’entreprise apporte la preuve qu’elle a appli- qué le plan de sécurité. 2 Si l’entreprise n’applique pas le plan de sécurité, il classe la procédure et établit la décision en conséquence.

3 Il informe l’adjudicateur du contenu de la décision.

4 Les déclarations de sécurité relatives aux entreprises sont valables jusqu’au

31 décembre 2017.

Art. 10 Obligations de l’entreprise 1 Les entreprises au bénéfice d’une déclaration de sécurité appliquent en permanence les mesures prévues par le plan de sécurité. 2 Elles informent immédiatement le service spécialisé CSI et l’adjudicateur de tout changement ou événement ayant une incidence sur la sécurité.

Art. 11 Contrôles et mesures de protection 1 Le service spécialisé CSI est habilité à procéder sans préavis aux contrôles et mesures de protection suivants: a. inspecter les locaux où le mandat sensible est exécuté; b. consulter les documents pertinents pour l’exécution du mandat. 2 Lorsque des éléments concrets laissent penser que la sécurité de l’information est menacée dans l’entreprise, il peut prendre immédiatement les mesures de protection qui s’imposent, notamment mettre les documents et le matériel pertinents en lieu sûr.

Art. 12 Répétition de la procédure La procédure de sécurité est répétée lorsque des éléments concrets laissent penser que de nouveaux risques sont apparus par suite de changements importants au sein de l’entreprise.

3 RS 120.4

1459

Procédure de sécurité relative aux entreprises dans le cadre des RO 2014

Art. 13 Révocation de la déclaration de sécurité 1 Le service spécialisé CSI révoque la déclaration de sécurité dans les cas suivants:

a. l’entreprise ne remplit pas ses obligations au sens de l’art. 10; b. un risque pour la sécurité est identifié lors d’une répétition de la procédure.

2 Il notifie sa décision à l’entreprise et à l’adjudicateur.

Art. 14 Voies de droit Les décisions du service spécialisé CSI peuvent faire l’objet d’un recours devant le Tribunal administratif fédéral.

Art. 15 Traitement des données personnelles Le traitement des données personnelles par le service spécialisé CSI est régi par les art. 150 à 155 de la loi fédérale du 3 octobre 2008 sur les systèmes d’information de l’armée4.

Art. 16 Frais de procédure et émoluments

1 Les frais de la procédure de sécurité sont assumés par l’entreprise.

2 L’ordonnance du 8 novembre 2006 sur les émoluments du DDPS5 est applicable à

la perception de ces émoluments.

Art. 17 Exécution

1 Le DDPS exécute la présente ordonnance.

2 En cas de besoin, il peut édicter des dispositions d’exécution.

3 En l’absence de dispositions d’exécution, les dispositions de l’ordonnance du

29 août 1990 concernant la sauvegarde du secret6 sont applicables par analogie.

Art. 18 Entrée en vigueur et durée de validité La présente ordonnance entre en vigueur le 1er juillet 2014 et a effet jusqu’au 31 décembre 2017.

6 juin 2014 Au nom du Conseil fédéral suisse: Le président de la Confédération, Didier Burkhalter La chancelière de la Confédération, Corina Casanova

4 RS 510.91 5 RS 172.045.103 6 RS 510.413

1460

Procédure de sécurité relative aux entreprises dans le cadre des RO 2014

Cette page est vierge pour permettre d’assurer une concordance dans la pagination des trois éditions du RO.

1461

Procédure de sécurité relative aux entreprises dans le cadre des RO 2014

1462