Le chef de service, d'établissement ou d'entreprise détermine et assure dans la zone à régime restrictif un niveau de protection adapté aux éléments constitutifs du potentiel scientifique et technique concernés.
Il veille à maintenir ce niveau de protection lors de la conclusion et de l'exécution de contrats d'externalisation ou de prestation de services, y compris pour le traitement des données, notamment l'infogérance, l'audit ou le conseil en propriété industrielle.
Il peut demander au haut fonctionnaire de défense et de sécurité du ministre chargé d'exercer la tutelle ou, à défaut de ministre de tutelle, de celui qui a déterminé le besoin de protection de solliciter un contrôle élémentaire du prestataire auprès du ministère de la défense ou du ministère de l'intérieur.
Il définit une politique de sécurité des systèmes d'information et en assure la mise en œuvre. Il prévoit en particulier la procédure par laquelle les incidents majeurs sont signalés au ministre chargé d'exercer la tutelle ou à celui qui a déterminé le besoin de protection.