Pas de projets de révision en cours.
Le Conseil fédéral suisse, vu l’art. 184, al. 3, de la Constitution, arrête:
La présente ordonnance règle l’exécution de la procédure de sécurité relatives aux entreprises dans le cadre des programmes européens de navigation par satellite Galileo et EGNOS.
Elle s’applique aux entreprises de droit public ou privé ayant leur siège en Suisse qui désirent soumissionner pour des mandats sensibles s’inscrivant dans le cadre des programmes mentionnés à l’al. 1 et qui ont besoin à cet effet d’une déclaration nationale de sécurité.
La procédure est menée par le service du Département fédéral de la défense, de la protection de la population et des sports (DDPS) chargé de l’exécution de la procédure visant à la sauvegarde du secret (service spécialisé CSI).
La procédure est ouverte à la requête du service ou de l’organisation compétente pour adjuger des mandats sensibles s’inscrivant dans le cadre des programmes Galileo et EGNOS (adjudicateur).
Elle ne peut être menée qu’avec le consentement de l’entreprise concernée.
La procédure est classée dans les cas suivants:
l’entreprise revient sur son consentement ou ne participe pas à la procédure;
elle n’entre plus en considération pour l’exécution du mandat.
Les données et dossiers liés à une procédure qui a fait l’objet d’une décision de classement sont détruits.
Le service spécialisé CSI évalue si l’entreprise présente les qualifications requises du point de vue de la sécurité pour exécuter le mandat ou s’il existe un risque pour la sécurité.
Il peut collecter les données nécessaires à l’évaluation:
auprès de l’entreprise;
auprès du Service de renseignement de la Confédération;
à partir de sources publiques d’information.
Il peut également demander à des services étrangers des données nécessaires à l’évaluation.
Il existe un risque pour la sécurité lorsque des éléments concrets reposant sur les données collectées laissent supposer avec une haute probabilité que l’entreprise exécutera le mandat de manière inadéquate ou contraire aux prescriptions.
La probabilité d’une exécution inadéquate ou contraire aux prescriptions du mandat peut être jugée élevée dans les cas suivants en particulier:
des infractions ou d’autres incidents font douter à bon droit de la fiabilité de l’entreprise;
l’entreprise est contrôlée par un autre État ou par une organisation de droit public ou privé étrangère ou se trouve sous leur influence, et ce contrôle ou cette influence est incompatible avec les intérêts en matière de sécurité de la Confédération ou des programmes Galileo et EGNOS;
des personnes qui travaillent pour l’entreprise et qui sont indispensables pour l’exécution du mandat ont fait l’objet d’une des décisions visées à l’art. 22, al. 1, let. b à d, de l’ordonnance du 4 mars 2011 concernant les contrôles de sécurité relatifs aux personnes (OCSP)1.
Le risque pour la sécurité doit être fondé sur la situation effective de l’entreprise, indépendamment de toute faute commise.
Si l’entreprise remplit les conditions de sécurité requises au sens de l’art. 5, le service spécialisé CSI établit un plan de sécurité.
Il tient compte des exigences de sécurité de l’adjudicateur pour le projet concerné.
Il peut collecter les données nécessaires à l’établissement du plan de sécurité par écrit ou en visitant les lieux.
Les personnes qui sont appelées à participer à l’exécution du mandat pour l’entreprise font l’objet d’un contrôle de sécurité relatif aux personnes au sens de l’OCSP1.
Le service spécialisé CSI est l’autorité décisionnelle au sens de l’art. 24, al. 1, OCSP pour les contrôles de sécurité relatifs aux personnes réalisés en application de la présente ordonnance.
Le service spécialisé CSI établit une déclaration de sécurité relative aux entreprises sous la forme d’une décision lorsque l’entreprise apporte la preuve qu’elle a appliqué le plan de sécurité.
Si l’entreprise n’applique pas le plan de sécurité, il classe la procédure et rend une décision en la matière.
Il informe l’adjudicateur du contenu de la décision.
Les déclarations de sécurité relatives aux entreprises sont valables jusqu’au 31 décembre 2021.
Les entreprises titulaires d’une déclaration de sécurité appliquent en permanence les mesures prévues par le plan de sécurité.
Elles informent immédiatement le service spécialisé CSI et l’adjudicateur de tout changement ou événement ayant une incidence sur la sécurité.
Le service spécialisé CSI est habilité à procéder sans préavis aux contrôles et mesures de protection suivants:
inspecter les locaux où le mandat sensible est exécuté;
consulter les documents pertinents pour l’exécution du mandat.
Lorsque des éléments concrets laissent penser que la sécurité de l’information est menacée dans l’entreprise, il peut prendre immédiatement les mesures de protection qui s’imposent, notamment mettre les documents et le matériel pertinents en lieu sûr.
La procédure de sécurité est répétée lorsque des éléments concrets laissent penser que de nouveaux risques sont apparus par suite de changements importants au sein de l’entreprise.
Le service spécialisé CSI révoque la déclaration de sécurité dans les cas suivants:
l’entreprise ne remplit pas ses obligations au sens de l’art. 10;
un risque pour la sécurité est identifié lors d’une répétition de la procédure.
Il rend une décision en la matière et informe l’adjudicateur du contenu de cette dernière.
Les décisions du service spécialisé CSI peuvent faire l’objet d’un recours devant le Tribunal administratif fédéral.
Le traitement des données personnelles par le service spécialisé CSI est régi par les art. 150 à 155 de la loi fédérale du 3 octobre 2008 sur les systèmes d’information de l’armée1.
Les frais de la procédure de sécurité sont assumés par l’entreprise.
La perception d’émoluments est régie par l’ordonnance du 8 novembre 2006 sur les émoluments du DDPS1.
Le DDPS exécute la présente ordonnance.
En cas de besoin, il peut édicter des dispositions d’exécution.
En l’absence de dispositions d’exécution, les dispositions de l’ordonnance du 29 août 1990 concernant la sauvegarde du secret1 sont applicables par analogie.
La présente ordonnance entre en vigueur le 1er avril 2019 et a effet jusqu’au 31 décembre 2021.
Texte : droit fédéral consolidé (Fedlex), version du 01.04.2019. Seule la publication officielle fait foi. Hébergement en Europe (RGPD).