Chapitre VI
La compromission du secret de la défense nationale
Compromettre un secret de la défense nationale consiste à le révéler, en tout ou partie, à quelqu'un qui n'a pas à en connaître. Si la compromission délibérée est rare, les compromissions par négligence du détenteur ou par accès illicite sont fréquentes. La rivalité entre les Etats et la concurrence économique entre les entreprises nourrissent la recherche active d'informations classifiées ou stratégiques et exigent que la protection des informations ou supports classifiés demeure une préoccupation essentielle de toute personne ou tout service détenteur.
Article 66
Domaine d'application de la compromission
L'appropriation, la livraison ou la divulgation, à des personnes non habilitées ou n'ayant pas le besoin d'en connaître, de tout élément constituant un secret de la défense nationale constituent des agissements contre les intérêts de la nation, considérés comme particulièrement dangereux. Le code pénal consacre aux atteintes au secret de la défense nationale les articles 413-9 à 413-12 (89).
Constitue le délit de compromission le fait de divulguer ou de rendre possible la divulgation d'un secret de la défense nationale, c'est-à-dire de le rendre accessible à une ou plusieurs personnes n'étant pas qualifiée(s) pour y accéder.
Toute personne dépositaire d'éléments couverts par le secret de la défense nationale en est responsable. Elle a le devoir de s'opposer à la communication de ces éléments à une personne non qualifiée pour y accéder, sous peine d'être elle-même poursuivie du chef de compromission.
Pour une information classifiée, les agissements matériels par lesquels se traduit l'atteinte au secret de la défense nationale peuvent revêtir trois formes (90) :
― un acte positif, consistant à détruire, à soustraire ou à reproduire un secret que l'on détient ;
― une attitude passive, consistant à laisser détruire, détourner, reproduire ou divulguer un secret, soit par un autre dépositaire, soit par un tiers ;
― une attitude négligente ou imprudente, consistant à méconnaître les instructions et consignes administratives et portant de ce fait atteinte à la protection d'une information classifiée en l'exposant au risque d'être dévoilée.
L'auteur de l'infraction peut être une personne qualifiée (91) ou un tiers (92). Est qualifiée la personne qui, par son état, sa profession, sa fonction ou sa mission, temporaire ou permanente, est habilitée à avoir accès à une information classifiée et a le besoin d'en connaître. Est considérée comme tiers toute personne à laquelle l'accès au secret est interdit. A la différence de la personne qualifiée, le simple tiers ne peut se voir reprocher pénalement une attitude passive ou négligente.
La protection pénale est limitée aux informations ou supports faisant l'objet d'une mesure de classification. Tant que cette classification perdure, quelle qu'en soit l'ancienneté ou la pertinence, le délit de compromission conserve sa pleine application. Une personne habilitée n'est pas déliée de ses obligations lorsque cesse son habilitation (93).
Ces dispositions sont étendues aux actes commis au préjudice (94) :
― des puissances signataires du traité de l'Atlantique Nord ;
― de l'Organisation du traité de l'Atlantique Nord.
Elles s'appliquent également aux informations échangées (95) :
― en vertu d'un accord de sécurité régulièrement approuvé et ratifié, conclu entre la France et un ou plusieurs autres Etats étrangers ou une organisation internationale ;
― entre la France et une institution ou un organe de l'Union européenne et classifiées en vertu des règlements de sécurité de ces derniers, publiés au Journal officiel de l'Union européenne.
La qualité de secret est indépendante du nombre, parfois élevé, de personnes qui en connaissent la teneur.
L'infraction de compromission est constituée même si la divulgation n'est pas réalisée mais seulement rendue possible.
La tentative de compromission est sanctionnée comme le délit consommé (96).
La compromission est un délit. La nature singulière de l'infraction engendre des particularités procédurales importantes en matière d'ouverture des poursuites, de compétence juridictionnelle et de sanction applicable.
Outre les sanctions pénales, l'auteur d'un acte, commis délibérément ou non, qui compromet un secret de la défense nationale encourt le retrait de son habilitation et des sanctions disciplinaires, ce qui peut affecter gravement le déroulement de sa carrière.
Les personnes morales sont pénalement responsables des faits de compromission qui leur sont imputables et encourent, outre une peine d'amende, l'interdiction d'exercer l'activité dans l'exercice ou à l'occasion de laquelle l'infraction a été commise (97).
Article 67
Procédure à suivre en cas de compromission
La rapidité et la discrétion de l'intervention revêtent une importance primordiale pour limiter les conséquences de la divulgation des informations ou supports classifiés compromis.
Il est rendu compte immédiatement de toute découverte de compromission possible à l'autorité hiérarchique et au responsable de la sécurité de l'organisme concerné. Qu'il y ait une compromission avérée ou une simple suspicion, doivent être directement et dans les plus brefs délais informés :
- soit le service compétent du ministère de l'intérieur (98) chargé de centraliser les cas et de procéder à l'enquête sous le contrôle de l'autorité judiciaire ;
- soit le service compétent du ministère de la défense (99), qui avise lui-même celui du ministère de l'intérieur ;
- le HFDS du ministère intéressé qui en avise lui-même le SGDSN.
En matière informatique, les disparitions, vols, pertes accidentelles de supports matériels classifiés ou les agressions contre les systèmes d'information font l'objet d'un procès-verbal de perte ou d'agression informatique, adressé sans délai :
- directement au HFDS du ministère concerné ;
- par la voie hiérarchique du ministère concerné, à l'autorité émettrice de l'information classifiée et au SGDSN, pour les informer des conséquences éventuelles de la compromission ;
- au service enquêteur concerné, s'il n'est pas lui-même l'émetteur du procès-verbal.
Le chef de service prend immédiatement, en liaison avec l'officier de sécurité, les mesures adéquates pour prévenir la réitération de tels faits.
Le fait de ne pas signaler de tels actes, favorisant la divulgation d'une information classifiée, fait encourir des sanctions administratives ou professionnelles.
Le ministère de l'intérieur, outre l'information obligatoirement donnée au cas par cas, fournit au SGDSN un bilan annuel des cas constatés et de l'état d'avancement des procédures ou des suites réservées à chacune d'elles.
Le rapport annuel d'évaluation de la protection du secret établi annuellement par les HFDS (100) indique le nombre de cas de compromission constatés ou soupçonnés ainsi que les suites données.
Lorsque la compromission porte sur des informations classifiées étrangères, l'ANS française informe dans les plus brefs délais l'ANS étrangère. Lorsqu'une ASD est concernée, elle informe dans les plus brefs délais l'ANS étrangère ainsi que l'ANS française. Lorsque ce sont des informations de niveau Secret Défense qui sont compromises, l'ASD rend compte à l'ANS française, qui transmettra elle-même l'information à son homologue étrangère.
Chapitre VII
L'accès des magistrats aux informations classifiées
Le premier rôle du juge judiciaire à l'égard du secret de la défense nationale est de sanctionner les manquements constatés à sa protection. Il arrive toutefois que le juge se voie lui-même opposer ce secret, au cours de ses investigations, par l'autorité responsable d'un document classifié dont elle lui refuse la communication. En effet, ni les magistrats ni les officiers de police judiciaire n'ont qualité pour connaître les éléments que couvre ce secret.
Or, si refuser l'accès au magistrat constitue le délit d'entrave à la justice (101), le lui accorder fait encourir les sanctions pénales applicables à la compromission. Afin de dénouer ce paradoxe, de garantir la préservation du secret de la défense nationale tout en favorisant l'action de la justice et en évitant qu'il ne soit fait obstacle au bon déroulement d'une procédure judiciaire, les conditions dans lesquelles les magistrats peuvent accéder à une information classifiée utile à la manifestation de la vérité sont clairement définies.
Article 68
Moyens d'accès des magistrats aux informations classifiées
Pour obtenir communication d'éléments classifiés intéressant la procédure qu'il diligente, le magistrat dispose de trois possibilités : la perquisition, l'audition et la réquisition.
1. La perquisition :
La perquisition aux fins de saisie d'éléments classifiés suppose, dans la grande majorité des cas, que le magistrat pénètre dans des locaux où sont conservés de tels documents. Aussi la perquisition est-elle traitée dans les dispositions encadrant l'accès aux lieux abritant des secrets de la défense nationale (102).
2. L'audition :
Aucune autorité administrative ne peut autoriser l'un de ses agents à s'exprimer au sujet d'une information classifiée à moins que celle-ci n'ait été préalablement déclassifiée. Une personne habilitée, ne pouvant être déliée de ses obligations de protection du secret, ne peut en aucun cas être entendue par une juridiction sur des éléments restant classifiés sous peine d'encourir les sanctions applicables au délit de compromission.
3. La réquisition judiciaire :
La réquisition est le moyen le plus fréquemment utilisé par les juridictions en matière d'informations classifiées. Le magistrat adresse à l'autorité administrative dont relève la classification, c'est-à-dire au ministre compétent, une réquisition aux fins de transmission des éléments utiles à la manifestation de la vérité.
Deux situations peuvent se présenter :
- soit le magistrat a identifié le ou les éléments classifiés dont il requiert la communication et il adresse directement une demande de déclassification à l'autorité classificatrice ;
- soit le magistrat souhaite se voir communiquer un certain nombre d'éléments qu'il ne peut identifier avec précision ; il requiert alors de l'administration concernée qu'elle procède elle-même à la recherche de ces éléments, les trie et communique les éléments qui ne sont pas classifiés, les éléments classifiés devant faire préalablement l'objet d'une demande de déclassification.
Article 69
Procédure de déclassification d'une information classifiée
La déclassification d'une information classifiée, sollicitée par requête, peut être décidée après avis de la Commission consultative du secret de la défense nationale.
1. Requête en déclassification d'une information :
Une juridiction française peut demander, dans le cadre d'une procédure engagée devant elle, la déclassification d'éléments protégés par le secret de la défense nationale (103). Cette demande, motivée, est adressée à l'autorité administrative qui a procédé à la classification du document, qui saisit elle-même sans délai la Commission consultative du secret de la défense nationale (CCSDN).
La CCSDN, autorité administrative indépendante (104), rend un avis destiné à éclairer l'autorité classificatrice sur l'opportunité de déclassifier et de communiquer des informations désignées par la juridiction, à l'exclusion des informations dont les règles de classification ne relèvent pas des seules autorités françaises (105). Pour les éléments classifiés par des autorités étrangères ou des organismes internationaux comme l'OTAN ou l'Union européenne, il appartient au magistrat de s'adresser à l'autorité ou à l'organisme concerné. Il peut, s'il le souhaite, s'informer des procédures auprès du SGDSN, autorité nationale de sécurité.
La motivation énoncée par le magistrat requérant permet à la commission d'une part de contrôler la validité de sa saisine en s'assurant que les éléments dont la déclassification est demandée intéressent effectivement la procédure, d'autre part de procéder au tri des pièces classifiées soumises à son appréciation afin de déterminer celles qui peuvent être utiles à la manifestation de la vérité.
2. L'avis de la Commission consultative du secret de la défense nationale :
La commission a accès à l'ensemble des éléments classifiés. Pour l'accomplissement de sa mission, elle est habilitée à procéder, le cas échéant, à l'ouverture des scellés des éléments classifiés qui lui sont remis. Elle en fait mention dans son procès-verbal de séance (106).
La CCSDN émet un avis dans le délai de deux mois à compter de sa saisine. Cet avis prend en considération les missions de service public de la justice, le respect de la présomption d'innocence et des droits de la défense, le respect des engagements internationaux de la France ainsi que la nécessité de préserver les capacités de défense et la sécurité des personnels. Le sens de l'avis peut être favorable, favorable partiellement ou défavorable à la déclassification. L'avis est transmis par la CCSDN au ministre concerné en sa qualité d'autorité classificatrice (107).
3. La décision de l'autorité classificatrice :
L'avis de la commission est consultatif. Le ministre a donc toute latitude pour ordonner une déclassification malgré un avis défavorable ou pour refuser la déclassification en dépit d'un avis favorable. Dans le délai de quinze jours francs à compter de la réception de l'avis de la CCSDN (108), le ministre compétent notifie sa décision, qui n'a pas à être motivée, assortie du sens de l'avis, à la juridiction concernée. Le sens de l'avis rendu par la CCSDN est publié au Journal officiel de la République française (109).
Chaque élément déclassifié est revêtu d'une mention expresse de déclassification précisant la date de la décision du ministre. L'élément peut ensuite être versé au dossier de la procédure afin d'y être examiné par le magistrat et soumis aux parties qui pourront en débattre contradictoirement. Le versement par erreur à un dossier judiciaire d'une pièce classifiée fait encourir des sanctions pénales.
TITRE IV
LA PROTECTION DES LIEUX
Les règles de sécurité applicables aux lieux sont mises en œuvre pour protéger les informations ou supports classifiés contre toute menace d'origine interne ou externe qui pourrait mettre en cause leur disponibilité, leur intégrité, leur confidentialité et afin d'empêcher qu'une personne non autorisée puisse y accéder.
Les mesures de protection physique appliquées à une information dépendent de son niveau de classification.
Tout système de protection physique doit s'appuyer sur une analyse des risques.
Un dispositif de protection est satisfaisant lorsqu'il retarde suffisamment l'intrusion pour permettre la mise en œuvre des moyens d'intervention avant que les éléments couverts par le secret de la défense nationale ne soient compromis.
Les contrôles élémentaires de personnes physiques ou morales sont prévus pour l'exécution de contrats sensibles dans des lieux abritant des secrets de la défense nationale.
L'accès d'un magistrat aux lieux abritant des secrets de la défense nationale se fait dans des conditions clairement définies et impliquant l'intervention de la CCSDN.
Chapitre Ier
Principes de protection physique des lieux
Article 70
Principes généraux
La protection physique est l'ensemble des mesures de sécurité destinées à garantir l'intégrité des bâtiments et des locaux spécifiquement dédiés aux informations ou supports classifiés, ainsi que la fiabilité des meubles dans lesquels ils sont conservés, afin d'éviter toute perte, dégradation ou compromission. Elle vise aussi à faciliter l'identification du ou des auteurs d'une éventuelle intrusion.
Le degré de sécurité physique à appliquer aux lieux pour assurer leur protection dépend du niveau de classification des documents qu'ils abritent, de leur volume et des menaces auxquelles ils sont exposés le dispositif global de protection et la solution technique retenue reposent sur les conclusions de l'évaluation des menaces et des contraintes inhérentes à l'environnement du site, ainsi que des méthodes de travail et de gestion des informations ou supports classifiés concernés (par exemple, en fonction de la circulation de ces informations ou supports dans le site et du nombre de personnes y ayant accès). Les vulnérabilités liées aux systèmes d'information doivent également être prises en compte.
Cet ensemble de mesures de protection se compose de quatre éléments combinés ou dissociés en fonction du niveau de classification :
- un ou plusieurs dispositifs de protection (les obstacles) ;
- un ou plusieurs dispositifs de détection et d'alarme ;
- des moyens d'intervention articulés sur des procédures et des consignes préétablies ;
- un ou plusieurs dispositifs de dissuasion (indications).
Ainsi, un dispositif de sécurité satisfaisant a pour objectif, en retardant l'intrusion (aucun obstacle n'étant infranchissable), de permettre la mise en œuvre des moyens d'intervention, alertés et guidés par les dispositifs de détection avant que les informations ou supports classifiés ne soient compromis.
Pour être efficace, un système de protection physique doit s'appuyer sur une analyse précise des risques et :
- être multiple, c'est-à-dire, dans une logique de défense en profondeur, comporter plusieurs dispositifs successifs, complémentaires, de nature différente, associés ou combinés à un ou plusieurs dispositifs de détection-alarme reposant eux-mêmes sur des principes différents ;
- être homogène, c'est-à-dire garantir la même efficacité en tous points, l'intrusion s'opérant toujours dans la zone de moindre résistance et la valeur d'un système équivalant à celle de son élément le plus faible ;
- être dissuasif, c'est-à-dire contribuer à réduire le risque d'une tentative d'intrusion ;
- être contrôlé, c'est-à-dire être testé fréquemment afin de vérifier qu'il est en état opérationnel ;
- être traçable, c'est-à-dire fournir tout moyen pouvant apporter un historique du fonctionnement des différents composants.
Afin d'éviter l'intrusion, à l'intérieur d'un site ou d'un local protégé, d'une personne non autorisée qui représente toujours une menace pour les informations ou supports classifiés détenus, la protection physique comprend nécessairement un système de contrôle d'accès (110).
Le contrôle d'accès constitue un moyen matériel de s'assurer qu'une personne qui demande à pénétrer dans un lieu ou à accéder à une information a le droit de le faire. Il a donc pour objectif :
- de filtrer les flux de circulation, les individus et les véhicules qui souhaitent entrer ou sortir d'un site, d'un bâtiment ou d'un local ;
- de contrôler les individus et les véhicules dans les zones protégées ;
- d'empêcher ou de limiter les déplacements de personnes non autorisées.
Le contrôle d'accès comprend des mécanismes de différents niveaux :
- l'autorisation d'accès ;
- l'identification et/ou l'authentification de la personne ;
- la traçabilité, afin d'identifier a posteriori celui qui est entré ou sorti.
La sécurisation physique des accès d'énergie, des locaux techniques et des moyens de communication participe également de la protection physique des informations ou supports classifiés.
Article 71
Les modalités matérielles de protection
Les types de mesures de protection physique, leur articulation selon le type de barrière et les mesures spécifiques aux niveaux supérieurs de classification sont détaillés en annexes 5 à 7.
Le système de protection physique de toute information ou support classifié est constitué de plusieurs "barrières" cohérentes, inclusives et successives :
- l'emprise du bâtiment et/ou le bâtiment lui-même ;
- le local qui contient le meuble ;
- le meuble dans lequel est conservé l'information ou le support classifié.
Le degré de protection de l'ensemble du dispositif est fonction du niveau de protection assuré par les mesures appliquées à chacune de ces "barrières". Pour définir un seuil minimal de protection physique, il est donc nécessaire de classer chacune des barrières en fonction du degré de résistance qu'elle oppose aux tentatives d'intrusion. Ces classes sont détaillées à l'annexe 6. Les classes de protection physique fixées dans cette annexe, selon les niveaux de classification des supports à protéger, sont des seuils minimaux à respecter impérativement.
La classe minimale du meuble à utiliser pour assurer la conservation des informations ou supports classifiés est définie en fonction de la classe des autres barrières conformément aux tableaux de l'annexe 6.
Sur un territoire étranger et compte tenu de leur environnement particulier, les organismes détenteurs d'informations ou de supports classifiés doivent, hors le cas d'opérations extérieures, appliquer les mesures de protection décrites dans la présente instruction.
Par ailleurs et compte tenu de leur environnement particulier, les locaux dans lesquels sont conservés les informations ou les supports classifiés peuvent faire l'objet de dispositions de sécurité complémentaires, ces mesures devant procéder d'une analyse précise des risques effectuée par le responsable du site concerné.
Les règles de protection d'une organisation internationale pourront être retenues dans une représentation française située physiquement au sein d'une entité relevant de cette organisation ou appliquant, en vertu d'accords de sécurité en vigueur, des mesures cohérentes avec lesdites règles.
Lorsque les circonstances imposent la détention d'informations classifiées mais ne permettent pas la mise en place des moyens adéquats de protection physique, des mesures compensatoires sont prises afin de conserver le même niveau de protection. Ces mesures de substitution doivent procéder d'une analyse précise des risques, effectuée par le responsable du site concerné, et être validées par le service enquêteur compétent. Le niveau de protection doit en toute hypothèse être suffisant pour permettre la prise en compte du délai réel d'intervention avant l'intrusion.
Article 72
Consultation des services enquêteurs
pour la protection physique des documents Secret Défense
Le traitement et la conservation, dans des locaux, d'informations ou de supports classifiés de niveau Secret Défense et plus ne peut intervenir, sauf en cas d'impossibilité majeure, qu'après avis des services enquêteurs quant à l'aptitude de ces locaux à accueillir de tels documents.
En raison de la diversité des dispositifs de protection disponibles sur le marché et de l'évolution constante des techniques utilisées, les autorités concernées peuvent, en cas de besoin, consulter les services enquêteurs compétents des ministères de la défense et de l'intérieur sur l'efficacité des matériels et des systèmes de protection qu'ils désirent installer ou afin de vérifier la validité des matériels et systèmes en place.
Les services enquêteurs s'assurent notamment que l'analyse de risques et les mesures de protection physique, qu'elles soient réglementaires ou compensatoires, prennent en compte le délai réel écoulé entre la détection de l'intrusion, la résistance des moyens mécaniques et la possibilité d'une intervention.
Chapitre II
Les zones protégées
Article 73
Définition
L'objet de la zone protégée est d'assurer aux lieux intéressant la défense nationale, qu'il s'agisse de services, d'établissements ou d'entreprises, publiques ou privées, une protection juridique contre les intrusions, complémentaire de la protection physique évoquée précédemment. Elles sont érigées en fonction du besoin de protection déterminé par le ministre compétent.
La zone protégée est définie à l'article 413-7 du code pénal. Elle consiste en tout local ou terrain clos délimité, où la libre circulation est interdite et l'accès soumis à autorisation afin de protéger les installations, les matériels, le secret des recherches, des études ou des fabrications ou les informations ou supports classifiés qui s'y trouvent. Les limites sont visibles et ne peuvent être franchies par inadvertance.
Les modalités de création de la zone protégée sont définies aux articles R. 413-1 à R. 413-5 du code pénal.
Des mesures d'interdiction d'accès sont prises par l'autorité responsable. L'ensemble des accès doit être contrôlé en permanence afin que toute pénétration à l'intérieur d'une zone protégée ne puisse être exécutée par ignorance. A cet effet, des pancartes sont disposées en nombre suffisant aux endroits appropriés.
L'autorisation de pénétrer dans une zone est donnée par le chef du service, de l'établissement ou de l'entreprise, selon les directives et sous le contrôle de l'autorité ayant décidé de la création de la zone protégée.
En vertu des dispositions pénales précitées, toute personne non autorisée s'introduisant dans une zone protégée encourt une peine correctionnelle.
Chapitre III
Les zones réservées
Article 74
Création des zones réservées
L'institution de zones réservées a pour but d'apporter une protection renforcée aux informations et supports ainsi qu'aux systèmes d'information classifiés au niveau Secret Défense.
Chaque ministre veille à ce que des zones réservées soient créées, par décision des autorités responsables de la détention d'informations classifiées, dans tous les services et organismes qui, de manière habituelle, élaborent, traitent, reçoivent ou détiennent des informations ou supports classifiés au niveau Secret Défense. La création de zones réservées, le cas échéant temporaires, est par ailleurs recommandée dans les services ou les organismes traitant occasionnellement d'informations ou supports classifiés à ce niveau.
Une zone réservée ne peut être créée en dehors d'une zone protégée. Elle peut être incluse dans une zone protégée ou lui correspondre.
Les mesures de sécurité applicables aux zones réservées sont définies à l'annexe 7.
Chapitre IV
Lieux abritant temporairement des secrets : la protection
des réunions de travail et des salles de conférences
Article 75
La préparation et l'organisation des réunions de travail
et des conférences
L'autorité organisatrice doit veiller à la protection des informations ou supports classifiés échangés au cours d'une réunion de travail, d'une conférence, d'un exercice ou d'une présentation de matériel.
Le local prévu pour la séance au cours de laquelle sont traités des informations ou supports classifiés doit :
- être à l'abri des interceptions par écoute directe ou indirecte (insonorisation, absence de microphone) et des prises de vues non autorisées ;
- n'être accessible qu'aux personnes autorisées (création éventuelle d'une zone protégée temporaire).
Le contrôle technique des lieux est effectué de manière régulière par le service chargé de la sécurité.
L'autorité organisatrice précise, lors des invitations ou convocations à une réunion de travail, à une conférence, à un exercice ou à une présentation de matériel, le niveau de classification des informations ou supports classifiés qui seront communiqués, pour permettre la désignation de personnes habilitées au niveau requis et ayant besoin d'en connaître. Les limites et le degré de précision à apporter à la communication, au cours de conférences ou de présentations de matériels, doivent être déterminés au préalable par le responsable.
Les autorités destinataires de l'invitation adressent en temps utile à l'autorité organisatrice les noms et fonctions des personnes chargées de les représenter ainsi que leur niveau d'habilitation. L'autorité organisatrice établit alors la liste de toutes les personnes participant à la séance, à quelque titre que ce soit : auditeurs, conférenciers, assistants, techniciens chargés des projections ou essais, etc.
Article 76
La protection des informations ou supports classifiés
au cours des réunions de travail et des conférences
L'autorité organisatrice s'assure de l'identité et du niveau d'habilitation de chacun des participants présents au vu, si besoin est, de certificats de sécurité (111). Elle s'assure que personne ne détienne, lors de la réunion, d'appareil permettant la captation, la réémission et l'enregistrement d'informations tels que, par exemple, un téléphone mobile, un assistant personnel (PDA) ou un ordinateur portable.
L'autorité organisatrice peut interdire toute prise de note ou tout enregistrement des interventions par les auditeurs. Elle veille, en application des principes stricts de cloisonnement de l'information classifiée, en particulier pour les niveaux Très Secret Défense et Secret Défense, à ce que la communication demeure limitée à l'objet de la réunion.
Dans certains établissements affectés aux besoins de la défense et de la sécurité nationales, des installations radioélectriques de brouillage peuvent être utilisées aux fins de rendre inopérants, tant pour l'émission que pour la réception, les appareils de communications électroniques de tous types (téléphones mobiles et ordinateurs portables par exemple) (112).
Article 77
Les mesures de sécurité à l'issue d'une réunion de travail
ou d'une conférence
En cas de communication d'informations Très Secret Défense ou Secret Défense, l'organisateur consigne, dans un procès-verbal succinct à classifier éventuellement, les domaines d'information qui ont été exposés, les mesures prises pour en assurer la protection ainsi que la liste des participants avec mention de la justification de leur habilitation.
L'autorité organisatrice de la réunion fait procéder en fin de séance :
- à la récupération et à la mise en sécurité des informations ou supports classifiés éventuellement mis à la disposition des auditeurs (documents, graphiques, plans, films, bandes d'enregistrement, etc.) ;
- à la destruction des supports provisoires et préparatoires.
Les auditeurs et les participants assument la pleine responsabilité de la protection de leurs documents de travail et de leurs notes, qui sont à classifier au niveau correspondant à celui des informations recueillies. Ces documents sont détruits par leurs soins dès qu'ils ont cessé d'être utiles.
La transmission des notes prises par les participants ou de leurs comptes rendus de réunion s'effectue par les voies prévues aux articles 57 et 58 de la présente instruction.
Une liste de contrôle des tâches à effectuer tout au long de la préparation, de la tenue et de la fin de la réunion figure à l'annexe 8.
Chapitre V
L'accès des personnes non qualifiées
aux lieux abritant des secrets de la défense nationale
La nécessité d'exécuter une prestation de service, qu'il s'agisse d'un contrat sensible ou de l'obligation d'intervenir en urgence, ou une mission de contrôle peut rendre indispensable l'accès de personnes non qualifiées à des lieux abritant des éléments couverts par le secret de la défense nationale.
Article 78
Accès de personnes non qualifiées
aux lieux abritant des secrets de la défense nationale
1. L'expression "contrat sensible" recouvre tout contrat ou marché, quels que soient son régime juridique ou sa dénomination, à l'exception des contrats de travail, dont l'exécution s'exerce au profit d'un service ou dans un lieu abritant des informations ou supports classifiés dans lequel un cocontractant de l'administration, public ou privé, prend des mesures de précaution, y compris dans les contrats de travail de ses employés, tendant à assurer que les conditions d'exécution de la prestation ne mettent pas en cause la sûreté ou les intérêts essentiels de l'Etat.
Un contrôle élémentaire de la personne morale peut être sollicité par l'autorité contractante, sur la base des éléments fournis dans le cadre du marché. Ce contrôle élémentaire est conclu par un avis. Un avis avec réserve peut conduire l'autorité contractante à écarter la candidature de l'entreprise concernée. L'avis émis par le service enquêteur est consigné sur une fiche navette (113) qui est adressée à l'autorité contractante ou au pouvoir adjudicateur.
Les contrats sensibles comportent une clause de protection du secret conforme à la clause type figurant à l'annexe 10. L'autorité contractante peut compléter ou adapter la clause type selon les spécificités dudit contrat, sans toutefois être contraire à cette clause.
Elle peut prescrire cette clause type, ainsi complétée ou adaptée, dans les contrats sensibles de sous-traitance.
2. Dans le cas d'un contrat sensible portant sur le convoyage d'informations ou supports classifiés, sur le gardiennage de lieux abritant des éléments couverts par le secret de défense nationale, quels qu'ils soient, ainsi que sur l'entretien ou la maintenance dans de telles zones, ont seules le droit d'exécuter ce contrat les personnes appartenant à l'entreprise concernée qui ont fait l'objet au préalable d'un contrôle élémentaire défini à l'article 32.
3. Les contrats de travail des personnes exécutant un contrat sensible comportent une clause de protection du secret présentée en annexe 9. Lorsqu'un salarié exécutant un contrat de travail ordinaire se trouve soumis aux conditions applicables aux contrats sensibles, un avenant conforme aux présentes dispositions est introduit dans son contrat de travail.
Les parties au contrat de travail peuvent compléter ou adapter la clause mentionnée précédemment selon les spécificités dudit contrat sensible sans jamais lui être contraires.
4. Les personnels d'intervention en matière de secours, de sécurité ou d'incendie, agissant dans des cas d'urgence avérée, sont autorisés à procéder aux opérations requises par la situation sans être soumis aux formalités ordinaires. Si, dans des circonstances exceptionnelles, l'une de ces personnes accède fortuitement à un secret de la défense nationale, elle s'expose, en cas de divulgation, aux peines prévues à l'article 413-11 du code pénal.
Article 79
Accès des personnes non qualifiées
en raison d'une mission de contrôle
Certaines personnes, en leur qualité particulière et pour l'exercice d'attributions conférées par la loi, peuvent avoir à pénétrer dans les zones abritant des secrets sans pour autant avoir la qualité ni la nécessité d'accéder à ces secrets. Tel est le cas notamment des personnes chargées de visites ou de contrôles dans le cadre de la législation du travail ou encore d'inspections internationales effectuées en application d'une convention (114).
Ces personnes doivent être autorisées par l'autorité responsable du site à pénétrer dans les zones dans lesquelles sont traités des informations ou des supports classifiés et font préalablement l'objet d'une vérification d'identité et d'un contrôle de leur qualité.
En matière de législation sociale, les entreprises liées par un contrat tel que défini au titre VI de la présente instruction (115) doivent s'efforcer de concilier l'impératif de protection du secret de la défense nationale avec la nécessité d'appliquer les règles propres au droit du travail (116).
En principe, aucune entreprise ne doit faire obstacle aux missions d'inspection, d'enquête ou de contrôle menées par les médecins inspecteurs du travail, inspecteurs, contrôleurs, ingénieurs de prévention et fonctionnaires assimilés qui disposent, pour l'exercice de leurs attributions (117), du droit d'entrée dans tout établissement où travaillent des salariés (118), de la possibilité d'effectuer tout prélèvement aux fins d'analyse (119) et de se faire présenter tous livres, registres et documents utiles à l'accomplissement de leur mission (120). Cependant, lorsque l'entreprise détient des éléments couverts par le secret de la défense nationale et conformément aux dispositions précédentes, seule l'autorité responsable du site peut les autoriser à pénétrer dans les zones où sont traités des informations ou des supports classifiés, et ce après contrôle de la qualité et vérification de l'identité de ces fonctionnaires (121).
Cependant, bien que ces personnels s'engagent à ne rien révéler des secrets de fabrication ou procédés d'exploitation qui pourraient leur être révélés à cette occasion (122), sous peine d'encourir des poursuites sur le fondement de la violation du secret professionnel (123), ils ne sont nullement autorisés, sauf à être dûment habilités et à justifier du besoin d'en connaître pour le bon accomplissement de leur mission, à accéder ou à prendre connaissance d'informations ou supports classifiés, cet accès restant subordonné au respect des règles énoncées par la présente instruction.
De manière générale, les règles de protection du secret de la défense nationale s'appliquent à toute inspection ou à tout contrôle prévu par des dispositions législatives ou réglementaires.
Si, dans des circonstances exceptionnelles, l'un de ces intervenants accède à un secret de la défense nationale, il est tenu de ne pas le divulguer, sous peine de s'exposer aux dispositions de l'article 413-11 du code pénal. A cet effet, toutes ces personnes sont dûment informées de leurs obligations par leur autorité d'emploi.
Chapitre VI
L'accès des magistrats aux lieux abritant des éléments
couverts par le secret de la défense nationale
Article 80
Magistrat et protection du secret de la défense nationale
Conciliant les deux impératifs que constituent la recherche des auteurs d'infractions pénales et la protection du secret de la défense nationale, la création de lieux bénéficiant d'une protection particulière est assortie de dispositions prévoyant clairement la procédure par laquelle un magistrat peut y pénétrer en toute légalité (124). Ces dispositions, applicables aux lieux abritant des secrets sont édictées à peine de nullité de la procédure judiciaire (125).
Dans le but de faire connaître ces dispositions, l'autorité responsable du site ou l'autorité déléguée élabore, à l'intention des personnels affectés au site, des consignes concernant la conduite à tenir en cas de perquisition. Ces consignes se réfèrent à une instruction ou une circulaire ministérielle et visent à faciliter le déroulement de l'opération.
Article 81
Accès d'un magistrat aux lieux abritant des secrets
de la défense nationale
1. Consultation de la liste délimitant les lieux abritant des secrets de la défense nationale.
La liste des lieux abritant des éléments couverts par le secret de la défense nationale est établie par arrêté du Premier ministre mais n'est pas publiée. Elle précise, pour chaque lieu, l'organisme concerné, les pièces clairement déterminées, et l'implantation du site où sont conservés les informations ou supports classifiés. Les HFDS sont tenus de mettre à jour régulièrement la liste relevant de leur ministère.
La liste est transmise à la Commission consultative du secret de la défense nationale (CCSDN) et au ministre de la justice. Ce dernier organise un accès sécurisé à cette liste permettant à chaque magistrat qui envisage une perquisition de vérifier si le lieu concerné y figure (126).
2. Procédure d'accès.
Un magistrat peut, lorsqu'il estime cet acte nécessaire au bon déroulement de la procédure qu'il instruit, effectuer une perquisition dans un lieu précisément identifié comme abritant des éléments classifiés, à la seule condition d'être accompagné du président de la Commission consultative du secret de la défense nationale (CCSDN), de son représentant membre de la Commission ou d'un délégué, dûment habilité (127).
Le magistrat qui entend procéder à une telle opération doit préalablement transmettre par écrit au président de la CCSDN, les informations utiles à l'accomplissement de sa mission. Le président (ou son délégué) se transporte sur les lieux sans délai. Dès le début de la perquisition, le magistrat informe le président de la CCSDN ainsi que le chef d'établissement, son délégué ou le responsable du site de la nature de l'infraction sur laquelle portent ses investigations, des raisons justifiant l'opération, de son objet et des lieux visés.
Seul le président de la CCSDN ou son représentant (membre de la commission ou délégué), assisté de toute personne habilitée à cet effet, pourra, sans risque de compromission, prendre connaissance des documents classifiés et, en fonction de l'objet de la recherche du magistrat, trier les éléments classifiés et sélectionner ceux qui peuvent être utiles à la justice.
Le magistrat ne peut saisir, parmi les éléments classifiés, que les documents relatifs aux infractions sur lesquelles portent ses investigations. Si les nécessités de l'enquête justifient que les originaux des éléments classifiés soient saisis, des copies sont laissées à leur détenteur.
Chaque document classifié saisi est, après inventaire par le président de la CCSDN, placé sous scellé. Les scellés sont remis au président de la Commission qui en devient gardien. Un procès-verbal relatant les opérations effectuées et procédant à l'inventaire des documents classifiés saisis est dressé mais il n'est pas joint au dossier de la procédure. Il est remis au président de la Commission.
La déclassification des documents concernés est ensuite traitée selon la procédure décrite à l'article 69 (128).
Article 82
Les cas particuliers
1. Dissimulation délictueuse.
Le fait de dissimuler, dans des lieux identifiés comme abritant des secrets de la défense nationale, des procédés, objets, documents, informations, réseaux informatiques, données informatisées ou fichiers non classifiés, en tentant de les faire indûment bénéficier de la protection attachée au secret de la défense nationale (129), expose son auteur aux sanctions réprimant le délit d'entrave à la justice (130).
2. Découverte incidente d'un élément classifié.
Lorsqu'à l'occasion d'une perquisition dans un lieu non identifié comme abritant des secrets de la défense nationale, un ou plusieurs éléments classifiés sont incidemment découverts, le magistrat, présent sur les lieux ou immédiatement avisé par l'officier de police judiciaire, en informe le président de la CCSDN. Les éléments classifiés sont placés sous scellés sans qu'il soit pris connaissance de leur contenu, par le magistrat ou l'officier de police judiciaire qui les a découverts, puis sont remis ou transmis, conformément aux règles protégeant le secret de la défense nationale, au président de la CCSDN afin qu'il en assure la garde (131). Le procès-verbal relatant les opérations relatives à ces éléments classifiés n'est pas joint au dossier de la procédure judiciaire mais remis au président de la CCSDN.
La déclassification et la communication des éléments ainsi placés sous scellés relèvent de la procédure ordinaire précédemment décrite. La CCSDN transmet les scellés, avec son avis, à l'autorité émettrice.
TITRE V
MESURES DE SÉCURITÉ RELATIVES AUX SYSTÈMES D'INFORMATION
Pour les systèmes d'information traitant d'informations classifiées s'appliquent les règles de la présente instruction et des instructions spécifiques d'application émises par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) ;
La SSI concerne tous les acteurs ayant une responsabilité dans la mise en œuvre de ces principes et mesures : les services informatiques pour la sécurité logique et les autres aspects de la sécurité informatique, les directions métiers pour les droits d'accès aux informations, et les responsables de la sécurité physique des locaux ;
La chaîne fonctionnelle de sécurité des systèmes d'information, placée sous l'autorité du HFDS dans les ministères, ou d'une structure de sécurité équivalente dans les organismes ne relevant pas d'un département ministériel, est chargée de prescrire, d'appliquer pour ce qui la concerne, et de contrôler les mesures de sécurité nécessaires ; ces dernières doivent viser la disponibilité, la confidentialité et l'intégrité, en restant proportionnées aux enjeux des informations et des systèmes concernés ;
L'homologation est l'acte formel par lequel l'autorité responsable certifie, après évaluation des risques, que la protection des informations et du système est assurée au niveau requis.
Article 83
Champ d'application
Le présent titre précise les mesures à appliquer pour protéger les informations classifiées dans les systèmes informatisés de traitement de l'information.
Ces mesures s'appliquent à tout système d'information ayant vocation à traiter des informations classifiées, qu'il soit placé sous la responsabilité d'un département ministériel (administration centrale ou service déconcentré), d'un organisme ou d'un établissement qui en relève, d'un organisme public ou privé ayant passé un contrat concernant la défense ou la sécurité nationale, ou plus généralement de toute personne publique ou privée qui traite de telles informations.
Des instructions et des directives techniques complètent en tant que de besoin les mesures générales exposées dans la présente instruction.
Chapitre Ier
L'organisation des responsabilités
relatives aux systèmes d'information
Article 84
Les instances interministérielles chargées de la sécurité
des systèmes d'information
1. Le Secrétariat général de la défense
et de la sécurité nationale (SGDSN)
Le SGDSN propose et met en œuvre la politique du Gouvernement en matière de sécurité des systèmes d'information (132), notamment pour les systèmes traitant d'informations relevant dusystème d'information secret de la défense nationale. Il s'assure que le Président de la République et le Gouvernement disposent des moyens de communication électronique nécessaires en matière de défense et de sécurité nationale. Il est à ce titre également chargé de garantir la sécurité de ces moyens de communication. Il dispose à cette fin d'un service à compétence nationale, l'Agence nationale de la sécurité des systèmes d'information (ANSSI).
2. L'Agence nationale de la sécurité
des systèmes d'information (ANSSI)
L'ANSSI est l'autorité nationale en matière de défense et de sécurité des systèmes d'information (133). Elle assiste le Secrétaire général de la défense et de la sécurité nationale dans l'exercice de ses attributions dans le domaine de la sécurité des systèmes d'information.
3. Le comité stratégique de la sécurité
des systèmes d'information
Ce comité propose au Premier ministre les orientations stratégiques en matière de sécurité des systèmes d'information et suit leur mise en œuvre (134).
Il est présidé par le Secrétaire général de la défense et de la sécurité nationale. Son secrétariat est assuré par l'ANSSI.
Article 85
Les départements ministériels
Chaque ministre est responsable, dans le département et les organismes dont il a la charge, de la sécurité des systèmes d'information. Il met en place un réseau de responsabilités, dénommé "chaîne fonctionnelle" de la sécurité des systèmes d'information, chargé d'appliquer la réglementation, de mettre en œuvre les mesures et d'en contrôler l'application.
L'organisation de cette chaîne de responsabilités, décrite dans le présent chapitre, peut être adaptée dans chaque département ministériel en fonction de contraintes particulières.
En matière de sécurité des systèmes d'information, le HFDS, sous la responsabilité du ministre, anime la politique de sécurité des systèmes d'information et en contrôle l'application (135). En particulier, il veille au déploiement, dans son ministère, des moyens sécurisés gouvernementaux de communication électronique. Il désigne un fonctionnaire de sécurité des systèmes d'information (FSSI) pour l'assister dans ce domaine.
Le HFDS est plus particulièrement chargé :
- de diffuser les instructions interministérielles relatives à la sécurité des systèmes d'information à l'ensemble des personnels concernés et d'en préciser les modalités d'application ;
- d'élaborer les instructions particulières pour son ministère, en définissant, pour chaque type de système d'information, les mesures de protection nécessaires ;
- de contrôler l'application de ces instructions et l'efficacité des mesures prescrites ;
- de recenser les besoins de protection des systèmes d'information et de veiller à ce qu'ils soient satisfaits ;
- de prescrire les inspections et les contrôles nécessaires pour vérifier l'application effective des instructions et des directives traitant de la sécurité des systèmes d'information ;
- d'organiser la sensibilisation des personnels, et particulièrement des autorités qualifiées et agents de sécurité des systèmes d'information, et de contrôler la formation des personnels.
Article 86
Autorités qualifiées et agents de sécurité
1. L'autorité qualifiée en sécurité
des systèmes d'information (AQSSI)
Les autorités qualifiées sont responsables de la sécurité des systèmes d'information au niveau d'un service, d'une direction d'un ministère, au niveau d'un organisme ou d'un établissement relevant d'un ministère.
Les autorités qualifiées sont désignées par le ministre pour le département et les organismes dont il a la charge. Leur responsabilité ne peut être déléguée.
En liaison avec le HFDS et le FSSI du département ministériel dont elle relève, l'autorité qualifiée est notamment chargée :
- de définir, à partir des objectifs de sécurité qu'il fixe, ou, pour les systèmes traitant d'informations classifiées, des objectifs de sécurité fixés par la présente instruction, une politique de sécurité des systèmes d'information adaptée à son service, sa direction, son établissement ou son organisme ;
- de s'assurer que les dispositions réglementaires et, le cas échéant, contractuelles sur la sécurité des systèmes d'information sont appliquées ;
- de faire appliquer les consignes et les directives internes ;
- de s'assurer que des contrôles internes de sécurité sont régulièrement effectués ;
- d'organiser la sensibilisation la formation du personnel aux questions de sécurité, en particulier en matière de systèmes d'information ;
- de s'assurer de la mise en œuvre des procédures réglementaires prescrites pour l'homologation des systèmes, pour l'agrément des dispositifs de sécurité et pour la gestion des articles contrôlés de la sécurité des systèmes d'information (ACSSI) (136) ;
- de désigner les autorités d'homologation des systèmes relevant de sa responsabilité.
Dans le cas d'un organisme qui ne relève pas d'un ministre, notamment un organisme privé, il appartient au responsable de cet organisme de désigner, en son sein, une personne ayant la fonction d'autorité qualifiée au sens du présent article.
2. L'agent, le responsable ou l'officier de sécurité
des systèmes d'information (ASSI, RSSI, OSSI)
Les autorités qualifiées peuvent se faire assister par un ou plusieurs agents, responsables ou officiers de sécurité des systèmes d'information (ASSI, RSSI, OSSI) (137). Elles précisent, lors de leur désignation, le périmètre de leurs attributions et leur dépendance hiérarchique. Ce périmètre peut être un service, une direction ou un organisme, dans sa totalité, un ou plusieurs systèmes d'information, ou un établissement.
Ces agents assurent principalement les fonctions opérationnelles de la sécurité des systèmes d'information. Ils peuvent être notamment chargés :
- d'être les contacts privilégiés des utilisateurs du système pour les questions de sécurité ;
- d'assurer la formation et la sensibilisation des responsables, des informaticiens et des usagers en matière de sécurité des systèmes d'information ;
- de tenir à jour la liste des personnels ayant accès aux systèmes d'information ;
- de faire surveiller en permanence les activités des personnes extérieures appelées à effectuer des interventions sur les systèmes d'information ;
- de s'assurer de l'application, par les personnels d'exploitation et les utilisateurs, des règles de sécurité prescrites ;
- d'assurer leur sensibilisation aux mesures de sécurité et de les informer de toutes modification des conditions d'emploi du système ;
- de veiller à la mise en œuvre des mesures de protection prescrites, d'établir des consignes particulières et de contrôler leur application ;
- d'assurer la gestion, la comptabilité et le suivi des ACSSI dans leur périmètre de responsabilité, et d'en assurer périodiquement l'inventaire ;
- d'établir les consignes de sécurité relatives à la conservation, au stockage et à la destruction des ACSSI ;
- de vérifier périodiquement l'installation et le bon fonctionnement des dispositifs de sécurité ;
- de veiller au respect des procédures opérationnelles de sécurité propres au système d'information ;
- de surveiller les opérations de maintenance ;
- de rendre compte de toute anomalie constatée ou de tout incident de sécurité.
Article 87
L'administrateur de la sécurité d'un système
Pour chaque système d'information traitant d'informations classifiées, l'autorité responsable de l'emploi du système désigne un administrateur de la sécurité pour mettre en œuvre les mesures opérationnelles de sécurité. A cet effet, l'administrateur est notamment chargé, en liaison avec l'ASSI concerné :
- de l'installation des logiciels correctifs de sécurité et des logiciels de protection ;
- de la gestion des moyens d'accès et d'authentification du système ;
- de la gestion des comptes et des droits d'accès des utilisateurs ;
- de l'exploitation des alertes de sécurité et des journaux de sécurité.
L'administrateur rend compte à l'ASSI de toute vulnérabilité du système qu'il détecte, de tout incident de sécurité et de toute difficulté dans l'application des mesures de sécurité.
L'administrateur de la sécurité administrateur de sécurité doit dans la mesure du possible être distinct de l'administrateur du système. Il doit être habilité au niveau de classification des informations traitées par le système et au minimum au niveau Secret Défense.
Chapitre II
La protection des systèmes d'information
Article 88
Principes généraux de protection
des systèmes d'information
L'objectif général de la protection d'un système d'information est de garantir l'intégrité, l'authenticité, la confidentialité et la disponibilité des informations traitées par ce système. La protection d'un système d'information s'appuie sur des principes portant sur l'organisation et sur les moyens techniques, auxquels s'ajoutent des principes de défense en profondeur. Ces principes doivent être respectés strictement dès lors que le système est susceptible de traiter des informations classifiées.
1. Principes relatifs à l'organisation
Ces principes comprennent :
- la prise en compte de la sécurité : la sécurité du système d'information doit être prise en compte dans toutes les phases de la vie du système, sous le contrôle de l'autorité d'homologation, notamment lors des études de conception et de spécification du système, tout au long de son exploitation et lors de son retrait du service ;
- la politique de sécurité du système d'information : une politique de sécurité définissant les principes et les exigences, techniques et organisationnels, de sécurité du système doit être établie et approuvée par l'autorité d'homologation. Cette politique s'appuie sur une gestion des risques prenant en compte les menaces pesant sur le système et sur les informations, et les vulnérabilités identifiées sur le système ;
- l'homologation du système : tout système doit être homologué (138) par une autorité désignée conformément à l'article 90 avant sa mise en service opérationnel ;
- l'organisation de la chaîne des responsabilités : il convient d'identifier clairement les personnes qui ont des responsabilités dans la sécurité du système d'information, de les habiliter au niveau requis et de veiller à les informer des menaces pesant sur le système et sur les informations ;
- le contrôle de la sécurité du système en phase d'exploitation : la mise en œuvre des mesures de sécurité et le respect des conditions dont est assortie l'homologation sont contrôlés tout au long de l'exploitation du système d'information notamment en conduisant régulièrement des audits de sécurité ;
- la gestion des incidents de sécurité : des procédures de détection et de traitement des incidents de sécurité susceptibles d'affecter la sécurité du système d'information doivent être mises en place. Il est rendu compte à l'autorité d'homologation des incidents rencontrés et des moyens mis en œuvre pour leur traitement. L'ANSSI est tenue informée des incidents et de leurs caractéristiques techniques affectant les systèmes d'information traitant d'informations classifiées.
2. Principes relatifs aux moyens techniques
Ces principes comprennent :
- la protection technique du système : le système d'information doit être conçu de manière à protéger l'information qu'il traite et à garantir son intégrité, sa disponibilité et la confidentialité des informations sensibles relatives à sa conception et à son paramétrage de sécurité ;
- la gestion des composants sensibles du système : une gestion des ACSSI et des autres composants sensibles du système d'information doit être mise en place, permettant d'en assurer la traçabilité tout au long de leur cycle de vie, conformément à l'article 91 ;
- la protection physique du système : les mesures de protection physique d'un système d'information doivent être appliquées ;
- la gestion et le contrôle des accès au système : le système d'information doit être conçu et géré de manière à ne permettre son accès (139) qu'aux seules personnes ayant le niveau d'habilitation requis et le besoin d'en connaître ;
- l'agrément des dispositifs de sécurité : des dispositifs de sécurité agréés par l'ANSSI conformément à l'article 89 du présent chapitre doivent être utilisés (140).
3. Principes de défense en profondeur
La protection d'un système d'information nécessite d'exploiter tout un ensemble de techniques de sécurité, afin de réduire les risques lorsqu'un composant particulier de sécurité est compromis ou défaillant. Cette défense en profondeur se décline en cinq axes majeurs :
- prévenir : éviter la présence ou l'apparition de failles de sécurité ;
- bloquer : empêcher les attaques de parvenir jusqu'aux composants de sécurité du système ;
- contenir : limiter les conséquences de la compromission d'un composant de sécurité du système ;
- détecter : pouvoir identifier, en vue d'y réagir, les incidents et les compromissions survenant sur le système d'information ;
- réparer : disposer de moyens pour remettre le système en fonctionnement et en conditions de sécurité à la suite d'un incident ou d'une compromission.
Article 89
Agrément des dispositifs de sécurité
Les dispositifs de sécurité sont des moyens matériels ou logiciels destinés à protéger les informations traitées par le système ou à protéger le système lui-même. Ces dispositifs peuvent être développés pour un usage général ou spécifiquement pour un système particulier.
Ces dispositifs mettent en œuvre différents types de fonctions et de mécanismes de sécurité, notamment :
- des fonctions de cryptologie, chiffrant les informations stockées ou transmises sur des réseaux et assurant la signature, l'authentification ou la gestion de clés cryptographiques ;
- des fonctions de contrôle d'accès aux informations, comme l'authentification, le filtrage, le cloisonnement logique entre niveaux de sécurité ou le marquage des informations ;
- des fonctions ou des mécanismes destinés à protéger le dispositif lui-même, comme l'enregistrement et l'imputabilité des accès au dispositif, à empêcher ou à détecter les intrusions physiques ou logiques non autorisées, à garantir la protection, ou l'effacement le cas échéant, des données sensibles stockées, et plus généralement toute fonction ou tout mécanisme destiné à garantir l'intégrité et la disponibilité du dispositif ;
- des fonctions d'administration et de gestion sécurisée du dispositif ;
- des fonctions protégeant la transmission d'un signal radio, notamment contre le brouillage ;
- des fonctions ou des mécanismes limitant les émissions de signaux compromettants.
Un dispositif de sécurité mis en place dans un système d'information qui traite d'informations classifiées doit être agréé par l'ANSSI lorsqu'il est utilisé, en complément de mesures organisationnelles de sécurité, comme un moyen essentiel de protection contre les accès non autorisés aux informations classifiées ou au système.
Exceptionnellement, en fonction de l'étude des risques qui a été menée et des conditions particulières d'emploi, l'autorité d'homologation peut décider de ne pas recourir à un dispositif agréé. Cette décision doit être expressément justifiée au regard des risques qui en découlent et motivée dans la décision d'homologation du système.
L'agrément est habituellement demandé par l'autorité chargée du développement du dispositif de sécurité, ou à défaut par l'autorité responsable de l'emploi du système. Il est délivré à l'issue d'une évaluation de sécurité du dispositif, réalisée par un ou plusieurs laboratoires agréés par l'ANSSI. Cette évaluation a pour objectif de vérifier la cohérence des objectifs de sécurité, identifiés dans la cible de sécurité, au regard des menaces, et d'évaluer l'efficacité des fonctions et des mécanismes de sécurité. En fonction des résultats de l'évaluation, l'ANSSI peut prononcer un agrément qui atteste de l'aptitude du dispositif à protéger les informations classifiées à un niveau spécifié, dans des conditions d'emploi identifiées. A l'issue de sa période de validité, un agrément doit faire l'objet d'un renouvellementrenouvellement d'habilitation pouvant nécessiter de réévaluer le dispositif. En raison de l'évolution des menaces ou de la découverte de vulnérabilités, un agrément peut être retiré avant son échéance.
Pour assurer le bon déroulement de la procédure d'agrément ou de son renouvellement d'habilitation, l'autorité l'ayant demandé doit mettre en place une commission d'agrément réunissant, outre cette autorité, l'ANSSI, les laboratoires d'évaluation concernés et, le cas échéant, l'autorité d'emploi du système.
Article 90
L'homologation de sécurité
1. Démarche d'homologation
Il est nécessaire de mettre en œuvre une démarche dite "d'homologation" pour permettre d'identifier, d'atteindre puis de maintenir un niveau de risque de sécurité acceptable pour le système d'information considéré, compte tenu du besoin de protection requis. Cette démarche s'appuie sur une gestion globale des risques de sécurité concernant l'ensemble du système d'information tout au long de son cycle de vie.
L'homologation de sécurité d'un système est globale en ce qu'elle inclut dans son périmètre tout ce qui peut avoir un impact sur la sécurité du système, de nature technique ou organisationnelle. En particulier, il devra être tenu le plus grand compte :
- des interconnexions avec d'autres systèmes ;
- des supports amovibles ;
- des accès à distance par des utilisateurs "nomades" ;
- des opérations de maintenance, d'exploitation ou de télégestion du système, notamment lorsqu'elles sont effectuées par des prestataires externes.
Tout système d'information traitant d'informations classifiées doit faire l'objet d'une homologation, consistant en la déclaration par une autorité dite "d'homologation" que le système d'information considéré est apte à traiter des informations classifiées du niveau de classification retenu conformément aux objectifs de sécurité visés, et que cette autorité accepte les risques résiduels de sécurité. Lorsque le système recourt à des dispositifs de sécurité agréés par l'ANSSI, l'autorité d'homologation prend en compte les conditions attachées à ces agréments.
2. Autorité et commission d'homologation
L'homologation est prononcée par une autorité désignée dans les conditions suivantes :
- dans le cas où le système d'information traite d'informations classifiées au niveau Très Secret Défense, le SGDSN est l'autorité d'homologation ;
- dans le cas où le système d'information appartient à une administration, un service, un organisme ou un établissement relevant de la responsabilité d'un ministre, l'autorité qualifiée concernée désigne l'autorité d'homologation ;
- dans le cas où le système d'information relève de la responsabilité de plusieurs ministres, une autorité d'homologation unique est désignée conjointement par les ministres intéressés ;
- dans les autres cas, notamment lorsque le système d'information appartient à un organisme privé, la désignation de l'autorité d'homologation relève de la responsabilité du ou des organismes concernés par le système d'information.
L'autorité d'homologation doit être choisie au niveau hiérarchique suffisant pour assumer la responsabilité afférente à la décision d'homologation, et notamment pour accepter les risques résiduels. Elle est en principe l'autorité chargée de l'emploi du système. Elle peut être l'autorité qualifiée.
L'autorité d'homologation met en place une commission d'homologation chargée de l'assister et de préparer la décision d'homologation. Une telle commission comprend notamment des représentants des utilisateurs du système, et des responsables de l'exploitation et de la sécurité du système. En tant qu'autorité nationale en matière de sécurité des systèmes d'information, l'ANSSI peut participer à toute commission d'homologation. Elle en est membre de droit lorsque le SGDSNautorité nationale de sécurité est l'autorité d'homologation.
3. Décision d'homologation
La décision d'homologation est prise après l'examen du dossier d'homologation. Celui-ci comporte notamment :
- une analyse de risques ;
- la politique de sécurité du système ;
- les procédures d'exploitation de la sécurité ;
- la gestion des risques résiduels ;
- les résultats des tests et des audits menés pour vérifier la conformité du système à la politique de sécurité et aux procédures d'exploitation ;
- le cas échéant, les agréments des dispositifs de sécurité.
La décision d'homologation doit intervenir avant la mise en service opérationnel du système. Cependant, de façon exceptionnelle, lorsque l'urgence opérationnelle le requiert, il peut être procédé à une mise en service provisoire, sans attendre l'homologation du système, en tenant compte de l'avancement de la procédure d'homologation et des risques résiduels de sécurité. Dans ce cas, la mise en service définitive interviendra ultérieurement, lorsque l'homologation de sécurité aura été prononcée.
La décision d'homologation est prononcée pour une durée maximale :
- de cinq ans pour un système d'information au niveau Confidentiel Défense ;
- de deux ans pour un système d'information au niveau Secret Défense ou Très Secret Défense.
L'ANSSI est destinataire de toute décision d'homologation portant sur les systèmes d'information traitant d'informations classifiées. Elle peut demander le dossier d'homologation correspondant.
4. Contrôle et renouvellement de l'homologation
L'autorité d'homologation fixe les conditions du maintien de l'homologation de sécurité au cours du cycle de vie du système d'information. Elle contrôle régulièrement que le système fonctionne effectivement selon les conditions qu'elle a approuvées, en particulier après des opérations de maintien en condition opérationnelle.
L'autorité d'homologation examine le besoin de renouvellement de l'homologation avant le terme prévu notamment lorsque :
- les conditions d'exploitation du système ont été modifiées ;
- des nouvelles fonctionnalités ou applications ont été installées ;
- le système a été interconnecté à de nouveaux systèmes ;
- des problèmes d'application des mesures de sécurité ou des conditions de maintien de l'homologation ont été révélés, par exemple lors d'un audit de sécurité ;
- les menaces sur le système ont évolué ;
- de nouvelles vulnérabilités ont été découvertes ;
- le système a fait l'objet d'un incident de sécurité.
Article 91
Articles contrôlés de la sécurité
des systèmes d'information (ACSSI)
Certains moyens, tels que les dispositifs de sécurité ou leurs composants, et certaines informations relatives à ces moyens (spécifications algorithmiques, documents de conception, clés de chiffrement, rapports d'évaluation, etc.) peuvent nécessiter la mise en œuvre d'une gestion spécifique visant à assurer leur traçabilité tout au long de leur cycle de vie. Il s'agit des moyens et des informations, qu'ils soient eux-mêmes classifiés ou non, qu'il est essentiel de pouvoir localiser à tout moment et en particulier en cas de compromission suspectée ou avérée.
Ces moyens et informations sont appelés "articles contrôlés de la sécurité des systèmes d'information" (ACSSI). Ils portent un marquage spécifique les identifiant, en plus, le cas échéant, de leur mention de classification.
La décision de classer ACSSI un moyen ou une information est prise par l'ANSSI après avis de la commission d'agrément du dispositif de sécurité concerné. Dans le cas où le dispositif de sécurité n'est pas soumis à agrément du dispositif de sécurité n'est pas soumis à agrément, l'autorité d'homologation d'un système d'information qui met en œuvre un tel dispositif de sécurité peut décider après avis de la commission d'homologation de classer ACSSI ce dispositif ou ses composants ou les informations qui y sont liées.
Les principes de gestion des ACSSI ont pour objectif :
- de former, de sensibiliser et de responsabiliser les détenteurs de tels moyens et informations ;
- d'assurer la comptabilité de ces moyens et informations, et d'en établir l'inventaire à un niveau central ou local, selon les besoins, de façon qu'ils puissent être localisés à tout moment ;
- de gérer leur diffusion ;
- de contrôler périodiquement leur localisation et leur état ;
- d'informer la chaîne fonctionnelle de toute compromission suspectée ou avérée à la suite d'événements tels que la perte, le vol ou la disparition, même temporaire ;
- de s'assurer de leur destruction.
Article 92
Systèmes d'information particuliers
1. Traitement des informations "Spécial France"
Les systèmes d'information susceptibles de traiter des informations portant la mention "Spécial France" (141) doivent faire en outre l'objet de mesures de sécurité particulières pour garantir que les utilisateurs étrangers qui auraient un besoin d'accès légitime au système ne puissent accéder aux informations dont l'accès n'est autorisé qu'aux seuls utilisateurs français.
2. Echanges internationaux
Lorsque des informations classifiées sont transmises dans des systèmes d'information relevant de la responsabilité d'Etats étrangers ou d'organisations internationales, des mesures de protection doivent être fixées par des accords ou des règlements de sécurité avec ces partenaires, qui assurent à ces informations un niveau de protection au moins équivalent à celui prévu dans la présente instruction.
La protection des systèmes d'information traitant d'informations classifiées confiées à la France par des Etats étrangers ou par des organisations internationales, est assurée conformément aux accords et aux règlements de sécurité établis avec ces partenaires. Ces accords et règlements font, le cas échéant, l'objet d'instructions complémentaires pour l'application de ces mesures en France. AA défaut de tels accords ou règlements, les dispositions de la présente instruction s'appliquent à ces systèmes.
...
(89) Ces dispositions ne sont pas les seules à protéger le secret, les articles consacrés à la trahison et à l'espionnage y faisant également référence, de manière indirecte (articles 411-6 pour la livraison d'un secret à une puissance étrangère, 411-7 pour la collecte de renseignements à fin de transmission à une puissance étrangère, 411-8 pour l'exercice d'une activité ayant pour but la livraison de renseignements à une puissance étrangère).
(90) Articles 413-10 et 413-11 du code pénal.
(91) Articles 413-10 et 413-10-1 du code pénal.
(92) Articles 413-11 et 413-11-1 du code pénal.
(93) Ainsi, par exemple, une personne ne peut déposer devant une juridiction en révélant des éléments classifiés, à moins que ceux-ci n'aient été préalablement déclassifiés.
(94) Article 418-8 du code pénal.
(95) Article 414-9 du code pénal.
(96) Article 413-12 du code pénal.
(97) Articles 121-2 et 414-7 du code pénal.
(98) Direction générale de la sécurité intérieure.
(99) La direction de la protection et de la sécurité de défense (DPSD), direction générale de la sécurité extérieure (DGSE) pour son domaine de compétence. (100) Article 12 de la présente instruction.
(101) Article 434-4 du code pénal.
(102) Article 81 de la présente instruction.
(103) Article L. 2312-4 du code de la défense.
(104) Créé par une loi du 8 juillet 1998, cet organisme consultatif indépendant fait l'objet des articles L. 2311-1 à L. 2311-8 du code de la défense.
(105) Article L. 2312-1 du code de la défense.
(106) Article L. 2312-5 du code de la défense.
(107) Article L. 2312-7 du code de la défese.
(108) Ou à l'expiration du délai de deux mois imparti à la CCSDN pour formuler son avis.
(109) Article L. 2312-8 du code de la défense.
(110) Annexe 4.
(111) Modèle 05/IGI 1300 en annexe.
(112) Article L. 33-3 du code des postes et communications électroniques.
(113) Modèle 17/IGI1300.
(114) Dans cette hypothèse, des procédures particulières sont mises en œuvre, notamment dans le cadre des inspections par mise en demeure prévues par la convention internationale pour l'interdiction des armes chimiques, signée à Paris le 13 janvier 1993.
(115) Les dispositions suivantes ne s'appliquent en effet pas à l'Etat, ni aux collectivités territoriales ni à leurs établissements publics administratifs (articles L. 8113-8 et L. 8114-3 du code du travail).
(116) Articles L. 8112-1 à L. 8123-4 du code du travail. La paix des relations sociales, la sécurité des salariés et la lutte contre le travail illégal peuvent contribuer à la protection du secret de la défense nationale.
(117) Articles L. 8112-1 du code du travail pour les inspecteurs, L. 8113-11 pour les contrôleurs, L. 8123-1 pour les médecins inspecteurs, L. 8123-4 pour les ingénieurs de prévention.
(118) Articles L. 8113-3 à L. 8113-5 et L. 8123-3 et L. 8123-4 du code du travail.
(119) Articles L. 8113-3 à L. 8113-5 du code du travail.
(120) Articles L. 8113-4 et L. 8123-4 du code du travail.
(121) Articles L. 8114-1 et L. 8114-2 du code du travail : le refus du responsable du site de se prêter à ces opérations constitue le délit d'entrave.
(122) Articles L. 8113-10 et L. 8123-5 du code du travail.
(123) Article 226-13 du code pénal.
(124) Article 56-4 du code de procédure pénale.
(125) Article 56-4 (IV) du code de procédure pénale.
(126) Articles 56-4 du code de procédure pénale et R. 2311-9-1 du code de la défense.
(127) Articles 56-4 du code de procédure pénale et R. 2312-1 du code de la défense.
(128) Articles L. 2312-4 à L. 2312-8 du code de la défense.
(129) Article 56-4, alinéa 4, du code de procédure pénale.
(130) Article 434-4 du code pénal, qui prévoit et réprime comme caractérisant le délit d'entrave à la justice le fait de faire obstacle à la manifestation de la vérité, notamment par la destruction, la soustraction, le recel ou l'altération d'un document public ou privé ou d'un objet de nature à faciliter la découverte d'un crime ou d'un délit, la recherche des preuves ou la condamnation des coupables.
(131) Article 56-4 (II) du code de procédure pénale.
(132) Article R. 1132-3 du code de la défense.
(133) Décret n° 2009-834 du 7 juillet 2009, article 3.
(134) Décret n° 2009-834 du 7 juillet 2009, article 7.
(135) Article R. 1143-5 du code de la défense.
(136) Article 91 de la présente instruction.
(137) Désignés sous l'appellation d'ASSI dans la suite de l'instruction.
(138) Article R. 2311-6-1 du code de la défense.
(139) Article R. 2311-7-1 du code de la défense.
(140) Article R. 2311-6-1 du code de la défense.
(141) Conformément à l'article R. 2311-4 du code de la défense.