Le chef de service, d'établissement ou d'entreprise désigné dans l'arrêté mentionné à l'article R. 413-3 du code pénal détermine et assure dans la zone à régime restrictif un niveau de protection adapté aux éléments constitutifs du potentiel scientifique et technique concernés.
Il veille à maintenir ce niveau de protection lors de la conclusion et de l'exécution de contrats d'externalisation ou de prestation de services, y compris pour le traitement des données, notamment l'infogérance, l'audit ou le conseil en propriété industrielle.
Il peut demander au haut fonctionnaire de défense et de sécurité du ministre qui a déterminé le besoin de protection de solliciter une enquête administrative de sécurité sur le prestataire auprès du ministère de la défense ou du ministère de l'intérieur.
Il définit une politique de sécurité des systèmes d'information et en assure la mise en œuvre. Il prévoit en particulier la procédure par laquelle les incidents majeurs sont signalés au ministre qui a déterminé le besoin de protection et, le cas échéant, à l'autorité nationale en matière de sécurité des systèmes d'information.