Article 98
Cas des entreprises françaises qui soumissionnent
dans un cadre international
Les entreprises françaises candidates à un contrat nécessitant l'accès à des informations classifiées en dehors du cadre national et pour lesquelles une habilitation est requise, adressent, si elles ne sont pas déjà titulaires d'une habilitation, leur dossier d'habilitation soit au secrétariat général de la défense et de la sécurité nationale en sa qualité d'autorité nationale de sécurité soit à l'autorité de sécurité déléguée mentionnée dans l'accord de sécurité applicable entre la France et le pays au profit duquel elles soumissionnent. Une entreprise déjà habilitée s'adresse à son autorité d'habilitation pour une extension éventuelle du domaine d'habilitation. L'autorité d'habilitation transmet, le cas échéant, les éléments à l'autorité nationale de sécurité pour la délivrance d'une attestation d'habilitation appropriée.
Section 2
La procédure d'habilitation
Article 99
L'enquête préalable
Afin d'évaluer si une entreprise ne présente pas de vulnérabilité pour la défense et la sécurité nationale, les investigations menées par le service enquêteur portent notamment sur les détenteurs réels du pouvoir de direction et de contrôle ainsi que sur le ou les actionnaires. L'autorité nationale de sécurité de l'Etat de la nationalité des dirigeants ou des actionnaires peut être consultée. Le sens de l'enquête de vulnérabilité n'affecte en rien l'honorabilité de l'entreprise concernée ni celle de ses dirigeants.
Au terme des investigations, le service enquêteur émet un avis de sécurité qui n'est communiqué qu'à l'autorité d'habilitation.
Les conclusions de l'avis de sécurité sont de trois types :
― « avis sans objection », lorsque l'instruction n'a révélé aucun élément de vulnérabilité de nature à constituer un risque pour la sécurité des informations ou supports classifiés ni pour celle de la personne morale ;
― « avis restrictif », lorsque la personne morale présente certaines vulnérabilités constituant des risques directs ou indirects pour la sécurité des informations ou supports classifiés auxquels elle aurait accès, mais que des mesures de sécurité spécifiques prises par l'officier de sécurité permettraient de maîtriser ;
― « avis défavorable », lorsque des informations précises font apparaître que la personne morale présente des vulnérabilités faisant peser des risques tels qu'aucune mesure de sécurité ne semble suffisante à les neutraliser.
L'avis de sécurité est émis pour un niveau donné d'habilitation. L'avis « sans objection » est valable pour le niveau précisé ainsi que pour le(s) niveau(x) inférieur(s). Pour les avis restrictifs ou défavorables, les services enquêteurs se prononcent, au cas par cas, sur l'opportunité d'accorder une habilitation pour le(s) niveau(x) inférieur(s).
Les avis restrictifs ou défavorables ne sont pas classifiés. Ils sont assortis d'une fiche confidentielle indiquant les motifs de l'avis. Cette fiche, classifiée en tout ou partie, explicite les motifs de vulnérabilité décelés lors de l'enquête. Ces motifs ne peuvent être portés qu'à la connaissance de la seule autorité d'habilitation. Ne pouvant être reproduite, la fiche confidentielle est retournée après communication et sans délai au service enquêteur qui l'a émise, aux fins de conservation.
Toutefois, afin de permettre la reconnaissance des habilitations entre autorités d'habilitation, l'avis de sécurité ainsi que tous les éléments relatifs à l'habilitation de la personne morale concernée peuvent être transmis entre autorités d'habilitation. Sauf changement dans la situation de fait ou de droit de l'entreprise, la durée de validité de l'avis de sécurité émis est fixée conformément aux dispositions de l'article 24.
Article 100
L'habilitation de la personne morale
L'habilitation du contractant est une décision explicite qui est délivrée par l'autorité d'habilitation sur la base de l'avis de sécurité émis par l'un des services enquêteurs désignés à l'article 24.
L'autorité d'habilitation prend sa décision au vu de l'avis de sécurité émis avant la date d'attribution du contrat, sans être liée par cet avis. En cas d'urgence justifiée et après saisine du service enquêteur, l'autorité d'habilitation prend en dernier ressort, si elle l'estime nécessaire, sa décision au vu de tout autre élément utile en sa possession.
La décision de refus d'habilitation est notifiée au représentant de la personne morale dans les conditions définies à l'article 26. Une décision de refus ne préjuge pas de la conclusion de contrats de toute nature n'impliquant pas la mise en œuvre de mesures de protection du secret de la défense nationale.
Les décisions d'habilitation délivrées à l'occasion de la passation d'un contrat nécessitant la prise de connaissance d'informations classifiées ou leur détention comportent une date limite de validité fixée par l'autorité d'habilitation ainsi que, s'il y a lieu, un domaine de validité. La durée de validité de la décision d'habilitation peut être distincte de celle de l'avis de sécurité, sans pouvoir lui être supérieure.
Article 101
Durée de validité de l'habilitation
des personnes morales
L'habilitation délivrée à une entreprise par un ministère à l'occasion d'un contrat nécessitant l'accès ou la détention d'informations ou supports classifiés demeure valable pour toute autre consultation d'une autorité contractante relevant de ce même ministère, à l'occasion d'un autre contrat, dans les limites de date et de domaine de validité de cette habilitation et sauf changement dans la situation de fait ou de droit de l'entreprise considérée.
L'habilitation en cours de validité précédemment délivrée par un autre département ministériel, dont une attestation peut être établie, est étendue au nouveau contrat sauf changement dans la situation de droit ou de fait du soumissionnaire. L'autorité d'habilitation, le cas échéant après examen du dossier transmis, à sa demande, par l'autorité ayant précédemment habilité le soumissionnaire, peut prendre une décision d'habilitation relative au domaine du nouveau contrat si l'habilitation précédemment délivrée a été limitée à un domaine particulier.
Si la décision d'habilitation arrive à expiration au cours de l'exécution d'un contrat régi par les présentes dispositions, une demande de renouvellement doit être déposée auprès de l'autorité d'habilitation, dans les six mois et, au plus tard, un mois avant cette date d'expiration. La durée de validité de la décision est alors prorogée dans les conditions définies à l'article 31.
Tout changement affectant le titulaire d'une habilitation, personne morale ou personne physique, intervenant après la décision doit être signalé à l'autorité d'habilitation afin de lui permettre de reconsidérer sa décision.
Article 102
Confidentialité de l'habilitation
de la personne morale
La personne morale titulaire d'une décision d'habilitation ne peut faire publiquement état de cette décision ou s'en prévaloir, ni communiquer à des tiers des informations se référant à des travaux classifiés sauf autorisation expresse de l'autorité contractante de référence.
Article 103
L'habilitation des personnes physiques
Sont seules autorisées à connaître des informations ou supports classifiés pour le compte d'une entreprise habilitée les personnes appartenant à cette entreprise qui ont fait l'objet au préalable d'une décision d'habilitation délivrée dans les conditions prévues à l'article 24. Sauf exception, le niveau de cette habilitation ne peut excéder celui de l'habilitation de la personne morale.
Il pourra être fait recours à l'agrément défini à l'article 33 pour un accès ponctuel à des informations classifiées à un niveau supérieur à celui de l'habilitation de la personne morale.
Les contrats de travail privés ou publics des personnes mentionnées au premier alinéa comportent une clause de protection du secret conforme à la clause type figurant à l'annexe 9 (4°). En cas de changement d'affectation amenant le salarié à travailler dans les conditions définies au premier alinéa, le contrat de travail fait l'objet d'un avenant écrit conforme aux présentes dispositions. Les parties au contrat de travail peuvent compléter ou adapter la clause type selon les spécificités dudit contrat sans lui être contraire.
Section 3
Phase de contractualisation
Article 104
Conditions de signature du contrat
L'autorité contractante ne peut signer aucun contrat nécessitant la connaissance d'informations classifiées avant réception de l'attestation d'habilitation de la personne morale ou physique candidate retenue, établie, sauf dans le cas d'une procédure d'urgence, sur la base de l'avis de sécurité du service enquêteur.
Lorsque le contrat nécessite la détention d'informations classifiées, la validation définitive de l'aptitude, sur la base d'un dossier établi conformément aux prescriptions de l'annexe 13, doit avoir été transmise à l'autorité contractante avant le début des travaux classifiés mais peut être communiquée à l'entreprise après la notification du contrat. Dans ce cas, et selon le calendrier établi en liaison avec le service enquêteur et l'autorité contractante, la date de début d'exécution du contrat est précisée au moment de la notification dans les conditions suivantes :
1. Un contrôle initial d'aptitude portant sur les mesures prises par l'entreprise habilitée pour assurer la sécurité des informations ou supports classifiés est effectué par le service enquêteur dans le ou les établissements concernés, préalablement à tout commencement d'exécution des travaux classifiés. A l'issue de ce contrôle, l'avis technique délivré par le service enquêteur est transmis à l'autorité contractante et notifié au contractant. A réception de cet avis, et s'il est sans réserve, le responsable de l'entreprise établit une attestation (144) certifiant la mise aux normes des locaux du ou des établissements concernés.
2. Si l'avis technique fait état de carences dans le dispositif de sécurité mis en œuvre au sein de l'entreprise, le titulaire est tenu de s'engager à mettre en œuvre toutes les mesures nécessaires à la mise en conformité de son établissement dans un délai défini en liaison avec le service enquêteur et l'autorité contractante et compatible avec la date de début des travaux classifiés.
3. A l'issue des travaux de mise aux normes et au plus tard à la date d'expiration du délai stipulé lors de la notification, la certification de l'aptitude mentionnée au paragraphe 1 du présent article (145) est transmise par le responsable de l'entreprise à l'autorité contractante, qui en informe le service enquêteur et peut le solliciter pour diligenter un contrôle.
4. Si l'attestation n'est pas parvenue dans le délai prédéfini ou si des carences sont constatées lors des contrôles effectués par le service enquêteur, une mise en demeure de se conformer aux prescriptions de l'article 71 est effectuée. Le défaut d'exécution des travaux engage la responsabilité du titulaire.
Si le titulaire dispose d'un local apte au traitement d'informations ou de supports classifiés ayant fait l'objet d'un avis d'aptitude dans le cadre d'un précédent contrat, il communique à l'autorité contractante de référence cet avis ainsi que l'attestation de non-changement des conditions qui ont amené la délivrance de l'avis d'aptitude (146).