AS 2019 881

Ordonnance concernant la procédure de sécurité relative aux entreprises dans le cadre des programmes européens de navigation par satellite Galileo et EGNOS

du 27 février 2019

Le Conseil fédéral suisse, vu l’art. 184, al. 3, de la Constitution1, arrête:

Art. 1 Objet et champ d’application 1 La présente ordonnance règle l’exécution de la procédure de sécurité relatives aux entreprises dans le cadre des programmes européens de navigation par satellite Galileo et EGNOS. 2 Elle s’applique aux entreprises de droit public ou privé ayant leur siège en Suisse qui désirent soumissionner pour des mandats sensibles s’inscrivant dans le cadre des programmes mentionnés à l’al. 1 et qui ont besoin à cet effet d’une déclaration nationale de sécurité.

Art. 2 Service compétent La procédure est menée par le service du Département fédéral de la défense, de la protection de la population et des sports (DDPS) chargé de l’exécution de la procé- dure visant à la sauvegarde du secret (service spécialisé CSI).

Art. 3 Ouverture et consentement 1 La procédure est ouverte à la requête du service ou de l’organisation compétente pour adjuger des mandats sensibles s’inscrivant dans le cadre des programmes Galileo et EGNOS (adjudicateur).

2 Elle ne peut être menée qu’avec le consentement de l’entreprise concernée.

RS 510.93 1 RS 101

2018-3934 881

Procédure de sécurité relative aux entreprises dans le cadre des programmes RO 2019

Art. 4 Classement de la procédure

1 La procédure est classée dans les cas suivants:

a. l’entreprise revient sur son consentement ou ne participe pas à la procédure; b. elle n’entre plus en considération pour l’exécution du mandat. 2 Les données et dossiers liés à une procédure qui a fait l’objet d’une décision de classement sont détruits.

Art. 5 Qualification de l’entreprise 1 Le service spécialisé CSI évalue si l’entreprise présente les qualifications requises du point de vue de la sécurité pour exécuter le mandat ou s’il existe un risque pour la sécurité.

2 Il peut collecter les données nécessaires à l’évaluation:

a. auprès de l’entreprise; b. auprès du Service de renseignement de la Confédération; c. à partir de sources publiques d’information.

3 Il peut également demander à des services étrangers des données nécessaires à

l’évaluation.

Art. 6 Risque pour la sécurité 1 Il existe un risque pour la sécurité lorsque des éléments concrets reposant sur les données collectées laissent supposer avec une haute probabilité que l’entreprise exécutera le mandat de manière inadéquate ou contraire aux prescriptions. 2 La probabilité d’une exécution inadéquate ou contraire aux prescriptions du man- dat peut être jugée élevée dans les cas suivants en particulier: a. des infractions ou d’autres incidents font douter à bon droit de la fiabilité de l’entreprise; b. l’entreprise est contrôlée par un autre État ou par une organisation de droit public ou privé étrangère ou se trouve sous leur influence, et ce contrôle ou cette influence est incompatible avec les intérêts en matière de sécurité de la Confédération ou des programmes Galileo et EGNOS; c. des personnes qui travaillent pour l’entreprise et qui sont indispensables pour l’exécution du mandat ont fait l’objet d’une des décisions visées à l’art. 22, al. 1, let. b à d, de l’ordonnance du 4 mars 2011 concernant les con- trôles de sécurité relatifs aux personnes (OCSP)2. 3 Le risque pour la sécurité doit être fondé sur la situation effective de l’entreprise, indépendamment de toute faute commise.

2 RS 120.4

Procédure de sécurité relative aux entreprises dans le cadre des programmes RO 2019

Art. 7 Plan de sécurité 1 Si l’entreprise remplit les conditions de sécurité requises au sens de l’art. 5, le service spécialisé CSI établit un plan de sécurité. 2 Il tient compte des exigences de sécurité de l’adjudicateur pour le projet concerné.

3 Il peut collecter les données nécessaires à l’établissement du plan de sécurité par écrit ou en visitant les lieux.

Art. 8 Contrôles de sécurité relatifs aux personnes 1 Les personnes qui sont appelées à participer à l’exécution du mandat pour l’entre- prise font l’objet d’un contrôle de sécurité relatif aux personnes au sens de l’OCSP 3. 2 Le service spécialisé CSI est l’autorité décisionnelle au sens de l’art. 24, al. 1, OCSP pour les contrôles de sécurité relatifs aux personnes réalisés en application de la présente ordonnance.

Art. 9 Déclaration de sécurité relative aux entreprises 1 Le service spécialisé CSI établit une déclaration de sécurité relative aux entreprises sous la forme d’une décision lorsque l’entreprise apporte la preuve qu’elle a appli- qué le plan de sécurité. 2 Si l’entreprise n’applique pas le plan de sécurité, il classe la procédure et rend une décision en la matière.

3 Il informe l’adjudicateur du contenu de la décision.

4 Les déclarations de sécurité relatives aux entreprises sont valables jusqu’au

31 décembre 2021.

Art. 10 Obligations de l’entreprise 1 Les entreprises titulaires d’une déclaration de sécurité appliquent en permanence les mesures prévues par le plan de sécurité. 2 Elles informent immédiatement le service spécialisé CSI et l’adjudicateur de tout changement ou événement ayant une incidence sur la sécurité.

Art. 11 Contrôles et mesures de protection 1 Le service spécialisé CSI est habilité à procéder sans préavis aux contrôles et mesures de protection suivants: a. inspecter les locaux où le mandat sensible est exécuté; b. consulter les documents pertinents pour l’exécution du mandat.

3 RS 120.4

Procédure de sécurité relative aux entreprises dans le cadre des programmes RO 2019

2 Lorsque des éléments concrets laissent penser que la sécurité de l’information est menacée dans l’entreprise, il peut prendre immédiatement les mesures de protection qui s’imposent, notamment mettre les documents et le matériel pertinents en lieu sûr.

Art. 12 Répétition de la procédure La procédure de sécurité est répétée lorsque des éléments concrets laissent penser que de nouveaux risques sont apparus par suite de changements importants au sein de l’entreprise.

Art. 13 Révocation de la déclaration de sécurité 1 Le service spécialisé CSI révoque la déclaration de sécurité dans les cas suivants:

a. l’entreprise ne remplit pas ses obligations au sens de l’art. 10; b. un risque pour la sécurité est identifié lors d’une répétition de la procédure. 2 Il rend une décision en la matière et informe l’adjudicateur du contenu de cette dernière.

Art. 14 Voies de droit Les décisions du service spécialisé CSI peuvent faire l’objet d’un recours devant le Tribunal administratif fédéral.

Art. 15 Traitement des données personnelles Le traitement des données personnelles par le service spécialisé CSI est régi par les art. 150 à 155 de la loi fédérale du 3 octobre 2008 sur les systèmes d’information de l’armée4.

Art. 16 Frais de procédure et émoluments

1 Les frais de la procédure de sécurité sont assumés par l’entreprise.

2 La perception d’émoluments est régie par l’ordonnance du 8 novembre 2006 sur

les émoluments du DDPS5.

Art. 17 Exécution

1 Le DDPS exécute la présente ordonnance.

2 En cas de besoin, il peut édicter des dispositions d’exécution.

3 En l’absence de dispositions d’exécution, les dispositions de l’ordonnance du

29 août 1990 concernant la sauvegarde du secret6 sont applicables par analogie.

4 RS 510.91 5 RS 172.045.103 6 RS 510.413

Procédure de sécurité relative aux entreprises dans le cadre des programmes RO 2019

Art. 18 Entrée en vigueur et durée de validité La présente ordonnance entre en vigueur le 1er avril 2019 et a effet jusqu’au 31 dé- cembre 2021.

27 février 2019 Au nom du Conseil fédéral suisse: Le président de la Confédération, Ueli Maurer Le chancelier de la Confédération, Walter Thurnherr

Procédure de sécurité relative aux entreprises dans le cadre des programmes RO 2019