Sect. Annexe
Art. LEGIARTI000054836502
En vigueur depuis le 14 sept. 2026
PREMIER MINISTRE
Secrétariat général de la défense et de la sécurité nationale
Direction de la protection et de la sécurité de l'Etat
INSTRUCTION GÉNÉRALE INTERMINISTÉRIELLE SUR LA PROTECTION EN FRANCE DES INFORMATIONS CLASSIFIÉES DE L'UNION EUROPÉENNE
Abroge et remplace l'instruction générale interministérielle n° 2102/SGDSN/PSE/PSD du 12 juillet 2013
SOMMAIRE
1. GLOSSAIRE
2. PRINCIPES ET ORGANISATION DE LA PROTECTION DES INFORMATIONS CLASSIFIÉES DE L'UNION EUROPÉENNE
2.1. Principes généraux
2.1.1. Objet de l'instruction
2.1.2. Champ d'application
2.1.3. Principes de sécurité
2.2. Niveaux de classification de l'Union européenne et équivalence avec les niveaux de protection et de classification français
2.2.1. Niveaux de classification de l'Union européenne
2.2.2. Equivalence avec les niveaux de classification et de protection français
2.3. Organisation de la protection des informations classifiées de l'Union européenne en France
2.3.1. Au niveau interministériel : le secrétaire général de la défense et de la sécurité nationale, autorité nationale de sécurité
2.3.2. Au niveau ministériel
2.3.3. Au niveau d'un organisme ayant accès à des informations classifiées de l'Union européenne
2.3.4. Réseau Union européenne
3. MESURES DE SÉCURITÉ RELATIVES AUX PERSONNES AYANT VOCATION À ACCÉDER AUX INFORMATIONS CLASSIFIÉES DE L'UNION EUROPÉENNE
3.1.Personnes ayant vocation à accéder à des informations classifiées de l'Union européenne
3.1.1. Principes généraux
3.1.2. Catalogues des emplois
3.1.3. Répertoire des habilitations
3.1.4. Accès ès qualité
3.1.5. Accès des personnes dans l'exercice de prérogatives juridictionnelles françaises
3.2. Procédure d'habilitation au domaine Union européenne
3.2.1. Demande et délivrance d'habilitation
3.2.2. Fin de l'habilitation
3.2.3. Cas particulier de l'habilitation des ressortissants étrangers
3.3. Formation et sensibilisation du personnel en matière de sécurité
4. LA PROTECTION DES INFORMATIONS CLASSIFIÉES DE L'UNION EUROPÉENNE DANS LES CONTRATS
4.1. Principes généraux de sécurité
4.2. Procédure d'habilitation au domaine Union européenne
4.2.1. Cas des personnes morales françaises
4.2.2. Cas des personnes morales de droit étranger
4.3. Aspects liés à la sécurité dans un contrat classifié de l'Union européenne
4.4. Mesures particulières pour les contrats RESTREINT UE/EU RESTRICTED
5. MESURES DE SÉCURITÉ RELATIVES A LA PROTECTION DES LIEUX DANS LESQUELS SONT CONSERVÉES OU MANIPULÉES DES INFORMATIONS CLASSIFIÉES DE L'UNION EUROPÉENNE
5.1. Modalités matérielles de protection
5.2. Protection des locaux dans lesquels sont traitées des informations classifiées de l'Union européenne
5.3. Accès des personnes non qualifiées
6. MESURES DE SÉCURITÉ RELATIVES AUX SYSTÈMES D'INFORMATION
6.1. Les instances interministérielles chargées de la sécurité des systèmes d'information
6.1.1. Le secrétaire général de la défense et de la sécurité nationale
6.1.2. L'Agence nationale de la sécurité des systèmes d'information
6.2. La sécurité des systèmes d'information
6.2.1. Principes généraux de protection des systèmes d'information
6.2.2. Agrément des dispositifs de sécurité
6.2.3. Homologation de sécurité
6.2.4. Interconnexion
6.2.5. Matériel cryptographique
6.2.6. Protection contre les signaux compromettants
6.2.7. Audit de sécurité des systèmes d'information traitant d'informations classifiées de l'Union européenne
7. GESTION DES INFORMATIONS CLASSIFIÉES DE L'UNION EUROPÉENNE
7.1. Elaboration des informations classifiées de l'Union européenne
7.1.1. Responsabilité de la décision de classification, de déclassement ou de déclassification
7.1.2. Règles de classification et de marquage
7.2. Equipements traitant des informations classifiées de l'Union européenne
7.3. Enregistrement des informations classifiées de l'Union européenne
7.4. Diffusion des informations classifiées de l'Union européenne
7.4.1. Principes généraux de diffusion
7.4.2. Modalités de diffusion à l'intérieur du territoire national
7.4.3. Modalités de diffusion en dehors du territoire national
7.5. Réception
7.6. Conservation
7.7. Reproduction et traduction
7.8. Procédure d'inventaire
7.8.1. Informations classifiées de l'Union européenne TRÈS SECRET UE/EU TOP SECRET
7.8.2. Informations classifiées de l'Union européenne SECRET UE/EU SECRET
7.8.3. Informations classifiées de l'Union européenne CONFIDENTIEL UE/EU CONFIDENTIAL
7.9. Destruction et archivage des informations classifiées de l'Union européenne
8. ATTEINTE AUX INFORMATIONS CLASSIFIÉES DE L'UNION EUROPÉENNE
8.1. Compromission des informations classifiées de l'Union européenne
8.2. Incidents affectant la sécurité des informations classifiées de l'Union européenne
8.2.1. Dispositif de gestion des incidents relatifs à un système d'information classifiée de l'Union européenne
8.2.2. Procédure en cas d'incidents affectant la sécurité des informations classifiées de l'Union européenne ou de compromission suspectée ou avérée
8.3. Les sanctions
8.3.1. Les sanctions pénales
8.3.2. Les sanctions administratives
9. LISTE DES ANNEXES
1. GLOSSAIRE
Au sens de la présente instruction, on entend par :
- Accord de sécurité : accord conclu, soit entre la France et au moins un Etat tiers ou une organisation internationale, soit entre l'Union européenne et un Etat tiers ou une organisation internationale ayant pour objet la protection d'informations classifiées.
- Accord intergouvernemental : accord entre les Etats membres de l'Union européenne relatif à la protection des informations classifiées, fait à Bruxelles le 4 mai 2011.
- Annexe de sécurité (AS) : ensemble de conditions contractuelles spéciales, établi par l'autorité contractante, qui fait partie intégrante de tout contrat classifié impliquant la détention ou l'accès à des informations classifiées de l'Union européenne ou la création de telles informations, dans lequel sont définis les conditions de sécurité et les éléments du contrat qui doivent être protégés pour des raisons de sécurité. L'annexe de sécurité en droit de l'Union européenne correspond au plan contractuel de sécurité tel que défini dans l'instruction générale interministérielle 1300. Le terme de Security Aspect Letter (SAL) peut également être utilisé.
- Arrangement administratif : arrangement conclu entre l'Union européenne et un Etat tiers ou une organisation internationale lorsqu'il y a un besoin durable d'échanger des informations dont le niveau de classification n'est, en principe, pas supérieur à RESTREINT UE/EU RESTRICTED ou que la partie en question ne dispose pas d'un système de sécurité suffisamment développé lui permettant de conclure un accord sur la sécurité des informations. Si pour des raisons opérationnelles urgentes, un cadre doit être mis en place rapidement pour échanger des informations classifiées, un arrangement administratif peut être conclu pour échanger des informations dont le niveau de classification est supérieur à RESTREINT UE/EU RESTRICTED.
- Articles contrôlés de la sécurité des systèmes d'information (ACSSI) : moyens, tels que les dispositifs de sécurité ou leurs composants, et certaines informations relatives à ces moyens (spécifications algorithmiques, documents de conception, clés de chiffrement, rapports d'évaluation, etc.) qui nécessitent la mise en œuvre d'une gestion spécifique visant à assurer leur traçabilité tout au long de leur cycle de vie. Il s'agit des moyens et des informations, qu'ils soient eux-mêmes classifiés ou non, qu'il est essentiel de pouvoir localiser à tout moment et en particulier en cas de compromission suspectée ou avérée.
- Assurance de l'information (AI) : degré de certitude de la capacité d'un système d'information à protéger les informations qu'il traite et à fonctionner comme il le doit, quand il le doit, sous le contrôle d'utilisateurs légitimes. Une assurance de l'information efficace garantit des niveaux appropriés de confidentialité, d'intégrité, de disponibilité, de non-répudiation et d'authenticité. L'assurance de l'information est fondée sur un processus de gestion des risques. Le terme de sécurité des systèmes d'information (SSI) peut également être utilisé.
- Autorité nationale de sécurité (ANS) : autorité nationale chargée d'assurer la protection des informations classifiées étrangères confiées aux organismes relevant de la juridiction de son Etat et d'assurer la liaison avec les autorités nationales de sécurité étrangères sur tout sujet relatif à la protection des informations et supports classifiés. En France, l'autorité nationale de sécurité est le secrétaire général de la défense et de la sécurité nationale.
- Autorité d'habilitation : autorité compétente pour diligenter une enquête administrative dans le cadre d'une demande d'habilitation et prendre la décision d'habilitation ou de refus d'habilitation.
- Autorité de sécurité déléguée (ASD) : conformément à l'article R. 2311-10-1 du code de la défense, le secrétaire général de la défense et de la sécurité nationale peut, en sa qualité d'autorité nationale de sécurité pour le secret de la défense nationale, nommer dans des domaines particuliers, notamment dans le domaine industriel, sur proposition du ou des ministres intéressés, une autorité de sécurité déléguée. Dans un cadre européen, cette autorité est plus particulièrement chargée de faire connaître la politique de sécurité industrielle de l'Union européenne et de fournir des orientations et une aide pour sa mise en œuvre. Dans ce cas, elle est alors nommée « autorité de sécurité désignée ».
- Autorité émettrice : autorité étatique nationale ou étrangère, ou supranationale, sous la responsabilité de laquelle un timbre de classification est apposé sur une information ou un support. Elle prend la décision de classification. Sont ainsi autorités émettrices d'informations classifiées de l'Union européenne :
- au plan national :
- le Président de la République ;
- le Premier ministre pour les informations classifiées de l'Union européenne dont l'élaboration est nécessaire à l'exercice des missions directement exercées par le Premier ministre, son cabinet ou dévolues aux services du Premier ministre et aux administrations placées sous sa responsabilité ;
- chaque ministre dans le champ de ses attributions ;
- dans les limites fixées par la loi, la formation spécialisée du Conseil d'Etat, la délégation parlementaire au renseignement et les autorités administratives indépendantes autorisées par la loi à accéder au secret de la défense nationale ;
- dans l'exercice de ses attributions juridictionnelles, la Cour des comptes.
- au plan européen : les autorités étatiques des autres Etats membres, les institutions, organes ou agences de l'Union européenne.
- Auteur d'informations classifiées de l'Union européenne : autorité qui, conformément aux modalités de classification arrêtées par l'autorité émettrice, prend la décision d'apposer le timbre de classification sur une information ou un support au niveau requis par son contenu.
- Avis de l'autorité nationale de sécurité : avis par lequel l'autorité nationale de sécurité d'un Etat membre indique à l'autorité d'habilitation de l'institution, de l'organe ou de l'agence de l'Union européenne qu'elle a, ou non, l'assurance qu'il n'existe pas de renseignements défavorables de nature à mettre en doute la loyauté, l'intégrité et la fiabilité d'un candidat à l'habilitation.
- Avis technique d'aptitude physique (ATAP) : appréciation rendue par le service enquêteur portant sur la capacité physique des locaux à conserver et à traiter des informations et supports classifiés au niveau requis selon les modalités définies par la présente instruction. Cet avis prend en compte la conformité aux exigences de sécurité du système d'information chargé du contrôle d'accès.
- Besoin d'en connaître : nécessité impérieuse de prendre connaissance d'une information dans le cadre de l'exercice d'une fonction ou de l'accomplissement d'une mission.
- Bureau d'ordre : bureau créé au sein de chaque organisme ou service dans lequel des informations classifiées de l'Union européenne de niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou d'un niveau supérieur sont détenues. Il veille à la bonne application des mesures de la présente instruction et assure l'enregistrement des informations classifiées de l'Union européenne de niveau CONFIDENTIEL UE/EU CONFIDENTIAL ou d'un niveau supérieur.
- Contrat classifié de l'Union européenne : contrat en vue de la fourniture de biens, de la réalisation de travaux ou de la prestation de services, dont l'exécution requiert ou implique l'accès à des informations classifiées de l'Union européenne ou la création de telles informations. Il peut s'agir d'un contrat de la commande publique, d'un contrat de sous-traitance, d'un sous-contrat à un contrat de la commande publique ou d'un contrat de subvention.
- Décision d'habilitation au domaine Union européenne : acte administratif autorisant, au terme d'une procédure d'habilitation, la personnes physique ou morale titulaire, en fonction de son besoin d'en connaître, d'accéder aux informations classifiées de l'Union européenne au niveau précisé dans la décision ainsi qu'aux niveaux inférieurs.
- Délégataire : ministère, ou organisme de droit public autre qu'un ministère, ou organisme de droit privé qui en fait la demande, auquel l'autorité nationale d'homologation de sécurité délègue la tâche de prendre la décision d'homologation des systèmes français traitant des informations classifiées de l'UE (ICUE).
- Haut fonctionnaire de défense et de sécurité (HFDS) : autorité chargée d'assister le ministre dans l'exercice de ses attributions de sécurité, de défense et de protection du secret. Il est appelé haut fonctionnaire correspondant de défense et de sécurité (HFCDS) pour le ministre de la défense et pour le ministre des affaires étrangères. Il est appelé haut fonctionnaire de défense (HFD) pour le ministre de l'intérieur.
- Homologation d'un système d'information : démarche visant à s'assurer, sur la base d'une analyse de risques globale, prenant en compte tous les éléments, y compris environnementaux, indispensables au fonctionnement et à la sécurité du système d'information considéré, que l'ensemble des risques a été identifié et fait l'objet d'un traitement approprié et que les risques résiduels sont acceptés. Cette démarche est matérialisée par une décision d'homologation par laquelle l'autorité d'homologation atteste de la capacité du système d'information à traiter des informations classifiées pour un niveau de classification donné.
- Information classifiée de l'UE (ICUE) : tout information, document, support, matériel, procédé, réseau informatique, donnée informatisée ou fichier, quels qu'en soient la forme, la nature ou le mode de transmission, qu'ils soient élaborés ou en cours d'élaboration, auxquels un niveau de classification de l'Union européenne a été attribué et qui, au regard des intérêts de l'Union européenne ou de ceux d'un ou de plusieurs de ses Etats membres, nécessitent une protection contre toute violation, toute destruction, tout détournement, toute divulgation, toute perte ou tout accès par toute personne non autorisée ou tout autre type de compromission.
- Instruction de sécurité relatives à un programme ou un projet (ISP) : liste de procédures et de mesures de sécurité appliquées à un programme ou à un projet spécifique afin de compléter ou préciser les mesures de sécurité issues des textes applicables. Elles peuvent être revues tout au long de la durée du programme ou du projet.
2. PRINCIPES ET ORGANISATION DE LA PROTECTION DES INFORMATIONS CLASSIFIÉES DE L'UNION EUROPÉENNE
2.1. Principes généraux
2.1.1. Objet de l'instruction
En vertu de l'Accord entre les Etats membres de l'Union européenne (UE) relatif à la protection des informations classifiées fait à Bruxelles le 4 mai 2011 (1) (ci-après « l'Accord intergouvernemental »), la France s'est engagée à assurer, conformément à sa législation et réglementation nationales, un niveau de protection des informations classifiées de l'Union européenne (ICUE) équivalent à celui fixé par les règles de sécurité du Conseil de l'Union européenne (2).
A cette fin, dans un souci de bonne administration et de non duplication des exigences de sécurité, un régime d'équivalence a été établi entre les niveaux de classification de l'Union européenne et les niveaux de classification français (point 2.2.2 de la présente instruction).
Conformément à ce régime d'équivalence, les mesures de protection à mettre en œuvre pour protéger des informations classifiées de l'Union européenne d'un niveau donné sont de manière générale similaires à celles mises en œuvre pour les informations et supports classifiés français de niveau équivalent. Toutefois, afin d'éviter tout risque de distorsion résiduelle entre les mesures nationales et les exigences européennes, ces mesures sont complétées par des mesures de protection spécifiques détaillées dans la présente instruction.
Partant, en complément de l'instruction générale interministérielle sur la protection du secret de la défense nationale n° 1300 (ci-après « instruction générale interministérielle 1300 »), de l'instruction interministérielle n° 910 relative aux articles contrôlés de la sécurité des systèmes d'information, de l'instruction interministérielle n° 300 sur la protection contre les signaux compromettants (ci-après « instruction interministérielle 300 ») et de l'instruction interministérielle n° 901 relative à la protection des systèmes d'information sensibles (ci-après « instruction interministérielle 901 »), la présente instruction a pour objet de définir les modalités spécifiques de protection des informations classifiées de l'Union européenne dans le cadre de la réglementation nationale, étant rappelé que conformément à l'article 4.2 du traité sur l'Union européenne, la sécurité nationale reste de la seule responsabilité de chaque Etat membre.
(1) Accord entre les Etats membres de l'Union européenne réunis au sein du Conseil relatif à la protection des informations classifiées échangées dans l'intérêt de l'Union européenne fait à Bruxelles le 4 mai 2011.
(2) Décision du Conseil du 23 septembre 2013 concernant les règles de sécurité aux fins de protection des informations classifiées de l'Union européenne.
Historique des versions
Cet article n'a jamais été modifié depuis sa publication.
Vos annotations
Prolegi/JORFTEXT000054834581#art-legiarti000054836502