Chapitre 4 Procédure de sécurité relative aux entreprises

La procédure de sécurité relative aux entreprises vise à préserver la sécurité de l’information lors de l’exécution de mandats publics par des entreprises, des parties d’entre elles ou des sous-contractants (entreprises), dans la mesure où ces mandats impliquent l’exercice d’une activité sensible (mandats sensibles).

¹Les entreprises suivantes peuvent être soumises à la procédure de sécurité:

a.

entreprises appelées à exécuter un mandat sensible pour le compte d’une autorité ou d’une organisation soumise à la présente loi;

b.

entreprises dont le siège est en Suisse et qui soumissionnent pour des mandats dont l’exécution requiert un certificat international de sécurité au sens de l’art. 66.

²La procédure ne peut être menée sans le consentement de l’entreprise concernée.

³Les entreprises visées à l’al. 1, let. b, supportent les coûts de la procédure.

¹La procédure de sécurité est classée dans les cas suivants:

a.

l’entreprise concernée revient sur son consentement ou ne collabore pas à la procédure;

b.

l’entreprise concernée retire son offre;

c.

l’entreprise concernée n’entre plus en considération pour l’exécution du mandat.

²Le service spécialisé chargé de mener la procédure de sécurité relative aux entreprises (service spécialisé PSE) communique le classement de la procédure à l’entreprise et à l’autorité ou l’organisation qui attribue le mandat (adjudicateur).

¹Lorsque les autorités et organisations soumises à la présente loi envisagent d’attribuer un mandat sensible, elles adressent au service spécialisé PSE une demande d’ouverture de la procédure.

²Les autorités soumises à la présente loi désignent les services compétents pour demander l’ouverture de la procédure.

³Les autorités étrangères ou organisations internationales doivent déposer elles-mêmes une demande pour les entreprises visées à l’art. 50, al. 1, let. b.

¹ Le service spécialisé PSE examine la demande et ouvre la procédure.

²Il peut renoncer, en accord avec l’adjudicateur, à ouvrir une procédure lorsque d’autres mesures permettent de ramener le risque pour la sécurité à un niveau acceptable. Il recommande les mesures à prendre.

Le service spécialisé PSE fixe, en accord avec l’adjudicateur, les exigences en matière de sécurité de l’information pour la procédure d’adjudication et la phase d’exécution du mandat.

¹L’adjudicateur indique au service spécialisé PSE quelles entreprises entrent en considération pour l’exécution du mandat sensible.

²Le service spécialisé PSE évalue si les entreprises concernées présentent les qualifications requises sous l’angle de la sécurité pour exécuter le mandat sensible ou s’il existe un risque pour la sécurité.

³Il réalise l’évaluation sans aucune instruction.

¹Pour évaluer la qualification d’une entreprise, le service spécialisé PSE peut collecter des données auprès des sources suivantes:

a.

l’entreprise concernée;

b.

le SRC;

c.

toute source d’information publique.

²Il peut demander à des services étrangers ou internationaux de lui transmettre des données. La demande est adressée par l’intermédiaire du SRC.

¹Il existe un risque pour la sécurité lorsque des indices concrets fondés sur les données collectées laissent supposer avec une probabilité élevée que l’entreprise exécutera le mandat sensible de manière inadéquate ou contraire aux prescriptions.

²La probabilité d’une exécution inadéquate ou contraire aux prescriptions du mandat sensible peut être jugée élevée dans les cas suivants notamment:

a.

l’entreprise manque d’intégrité ou de loyauté;

b.

l’entreprise est contrôlée par des États étrangers ou des organisations étrangères de droit public ou privé ou se trouve sous leur influence, lorsque ce contrôle ou cette influence sont incompatibles avec les intérêts définis à l’art. 1, al. 2;

c.

un service spécialisé CSP a rendu une déclaration de risque pour un membre du personnel de l’entreprise et cette personne est indispensable pour l’exécution du mandat.

³L’évaluation doit se fonder sur des faits concernant la situation de l’entreprise, indépendamment de toute faute commise.

¹Le service spécialisé PSE communique son évaluation à l’adjudicateur et la notifie formellement à l’entreprise.

²Si le service spécialisé PSE conclut que l’exécution du mandat sensible par l’entreprise concernée pose un risque pour la sécurité, l’adjudicateur exclut l’entreprise de la procédure d’adjudication.

³Si toutes les entreprises qui entrent en considération posent un risque pour la sécurité, l’adjudicateur peut néanmoins confier le mandat à l’une d’entre elles. Le service spécialisé PSE classe la procédure. L’adjudicateur applique par analogie les mesures visées aux art. 59, 60, 63 et 64.

¹L’adjudicateur indique au service spécialisé PSE quelle est l’entreprise adjudicataire.

²L’entreprise établit un plan de sécurité en suivant les directives du service spécialisé PSE.

³Le plan de sécurité est soumis au contrôle du service spécialisé PSE. Ce dernier peut collecter les données nécessaires par écrit ou inspecter les locaux de l’entreprise.

¹Les collaborateurs de l’entreprise qui sont appelés à exercer une activité sensible sont soumis à un contrôle de sécurité.

²Le service spécialisé PSE est compétent pour la décision au sens de l’art. 41, al. 2. Si la procédure de sécurité relative aux entreprises est classée conformément à l’art. 58, al. 3, parce qu’aucune entreprise ne présente les qualifications requises pour exécuter le mandat, l’adjudicateur prend la décision.

¹Le service spécialisé PSE rend formellement une déclaration de sécurité lorsque l’entreprise apporte la preuve qu’elle a mis en œuvre le plan de sécurité.

²Il refuse à l’entreprise la déclaration de sécurité et classe la procédure si l’entreprise ne met pas en œuvre le plan de sécurité. Il rend formellement une décision en conséquence.

³Les décisions visées aux al. 1 et 2 sont communiquées à l’adjudicateur.

⁴L’adjudicateur est lié par la décision du service spécialisé PSE, sous réserve de l’art. 58, al. 3.

⁵La déclaration de sécurité est valable cinq ans.

L’adjudicateur ne peut laisser une entreprise exécuter un mandat sensible qu’une fois que celle-ci a obtenu une déclaration de sécurité.

¹Les entreprises qui ont obtenu une déclaration de sécurité doivent constamment appliquer les mesures prévues par le plan de sécurité.

²Elles informent immédiatement le service spécialisé PSE et l’adjudicateur de tout changement et de tout incident dans le domaine de la sécurité.

¹Le service spécialisé PSE peut:

a.

inspecter inopinément les secteurs où le mandat sensible est exécuté;

b.

consulter les documents relatifs au mandat.

²Lorsque des indices concrets donnent à penser que la sécurité de l’information est menacée dans une entreprise, le service spécialisé PSE peut prendre immédiatement les mesures de protection qui s’imposent, notamment mettre les documents et le matériel en lieu sûr.

Les entreprises qui ont obtenu une déclaration de sécurité sont réputées qualifiées en cas d’adjudication d’autres mandats sensibles. Le service spécialisé PSE examine la nécessité d’adapter le plan de sécurité.

Le service spécialisé PSE établit à la demande de l’entreprise un certificat international de sécurité.

¹Le service spécialisé PSE révoque la déclaration de sécurité dans les cas suivants:

a.

l’entreprise n’a pas rempli ses obligations au sens de l’art. 63;

b.

une répétition de la procédure a permis d’identifier un risque pour la sécurité.

²Il notifie sa décision à l’entreprise et à l’adjudicateur.

³En cas de révocation de la déclaration de sécurité, l’adjudicateur retire immédiatement le mandat à l’entreprise, sous réserve de l’art. 58, al. 3. L’entreprise n’a droit à aucune indemnisation.

La procédure de sécurité est répétée dans les cas suivants:

a.

la déclaration de sécurité de l’entreprise échoit alors que l’entreprise exécute un mandat sensible;

b.

des changements importants sont intervenus au sein de l’entreprise et des indices concrets donnent à penser que ces changements ont fait apparaître de nouveaux risques pour la sécurité.

¹L’entreprise a 30 jours à compter de la notification de la décision du service spécialisé PSE pour:

a.

consulter le dossier du contrôle;

b.

demander la rectification des données erronées ou la destruction des données obsolètes;

c.

demander que l’on ajoute à une donnée la mention de son caractère litigieux;

d.

faire recours devant le Tribunal administratif fédéral.

²Les restrictions à la communication de renseignements sont régies par l’art. 26 LPD³⁹.⁴⁰

¹Le service spécialisé PSE exploite un système d’information pour réaliser et gérer les procédures de sécurité relatives aux entreprises.

²Les données sensibles et au sens de l’art. 5, let. c, LPD⁴¹ peuvent être traitées dans le système d’information dans la mesure où elles sont nécessaires à l’exécution de la procédure.⁴²

³Le système d’information contient les données suivantes:

a.

les données visées aux art. 56 et 59, al. 3;

b.

le résultat de l’évaluation visée à l’art. 55, al. 2;

c.

le résultat des contrôles de sécurité relatifs aux personnes visés à l’art. 60, al. 1;

d.

la décision du service spécialisé PSE visée à l’art. 60, al. 2;

e.

la raison sociale des entreprises qui ont obtenu une déclaration de sécurité;

f.

les mesures de protection visées à l’art. 64;

g.

les données et les dossiers relatifs aux procédures de recours.

⁴Le service spécialisé PSE est responsable de la sécurité du système d’information et de la licéité du traitement des données personnelles.

¹Les organes suivants peuvent consulter en ligne les données ci-après:

a.

les adjudicateurs: les données visées à l’art. 70, al. 3, let. b et d à g;

b.

les entreprises qui sont habilitées par le Conseil fédéral, en vertu de l’art. 31, al. 1, let. a, à ouvrir des procédures de contrôle de sécurité relatifs aux personnes dans leur domaine de compétence: les données visées à l’art. 70, al. 3, let. d.

²Le service spécialisé PSE peut au surplus communiquer les données visées à l’art. 70, al. 3, let. b à d, à d’autres services de la Confédération dans la mesure où ces données sont nécessaires à la sécurité de l’information.

¹Le service spécialisé PSE conserve les données aussi longtemps que l’entreprise concernée dispose d’une déclaration de sécurité, mais dix ans au plus.

²L’archivage des données est régi par les dispositions de la législation relative à l’archivage.

³Lorsque la procédure est classée, le service spécialisé PSE détruit l’ensemble des données et dossiers relatifs à la procédure dans les trois mois.

Le Conseil fédéral règle:

a.

les modalités de la procédure de sécurité relative aux entreprises;

b.

l’application aux sous-contractants de la procédure de sécurité relative aux entreprises;

c.

l’organisation du service spécialisé PSE;

d.

les mesures nécessaires pour garantir la sécurité des données du système visé à l’art. 70;

e.

les modalités du contrôle périodique réalisé par un organe externe du traitement des données personnelles.