Section 5 Déclaration de sécurité relative aux entreprises et répétition de la procédure

(art. 61 et 62 LSI)

La déclaration de sécurité relative aux entreprises indique l’activité sensible que l’entreprise est autorisée à accomplir.

(art. 63, al. 2, LSI)

¹Par changement dans le domaine de la sécurité, on entend notamment:

a.

un changement des rapports de propriété ou des structures de l’entreprise;

b.

un changement du site de l’entreprise;

c.

un changement de la composition de la direction de l’entreprise;

d.

un changement des liens d’intérêts des membres de la direction de l’entreprise;

e.

un changement de la solvabilité et d’éventuelles procédures de saisie ou de faillite;

f.

l’existence de litiges de droit privé ou public ou de procédures pénales;

g.

un changement concernant l’utilisation des moyens informatiques;

h.

l’engagement de collaborateurs amenés à participer aux activités sensibles;

i.

un changement dans les relations de l’entreprise avec des États étrangers ou des organisations étrangères ou dans d’autres relations de dépendance;

j.

l’acceptation de mandats suscitant un conflit d’intérêts ou créant une relation de dépendance par rapport à un adjudicateur.

²Par incident dans le domaine de la sécurité, on entend notamment:

a.

l’accès illicite à l’entreprise;

b.

l’utilisation abusive des moyens informatiques de l’entreprise;

c.

une attaque visant les moyens informatiques de l’entreprise, qu’elle ait abouti ou non;

d.

la découverte de vulnérabilités ou de failles de sécurité;

e.

l’ouverture de procédures pénales ou de procédures de poursuite pour dettes contre du personnel de l’entreprise participant à l’exécution du mandat sensible;

f.

les perquisitions et les mises sous séquestre effectuées dans l’entreprise.

³L’entreprise doit également annoncer les changements et les incidents dans le domaine de la sécurité qui concernent leurs fournisseurs si ces changements ou incidents sont susceptibles d’avoir un impact sur l’exécution du mandat sensible.

⁴Elle informe le service spécialisé PSE dès lors qu’il est prévisible que la déclaration de sécurité de l’entreprise arrivera à échéance alors que l’entreprise sera en train d’exécuter un mandat sensible.

¹Si, lors de la collaboration avec l’entreprise, l’adjudicateur constate un changement ou un incident dans le domaine de la sécurité, il prend sans délai les mesures nécessaires et informe immédiatement le service spécialisé PSE.

²L’adjudicateur informe en outre le service spécialisé PSE dans les cas suivants:

a.

il a connaissance, dans le cadre de l’exécution du mandat sensible, d’indices justifiant la révocation de l’adjudication au sens de l’art. 44 LMP¹⁰;

b.

il entend procéder à un changement dans le domaine de la sécurité concernant le mandat;

c.

il entend confier un mandat supplémentaire à l’entreprise.

(art. 66 LSI)

¹Le service spécialisé PSE perçoit un émolument de 100 francs pour l’établissement d’un certificat international de sécurité.

²Un émolument correspondant au temps consacré est de plus perçu si l’établissement d’un certificat international de sécurité requiert au préalable une procédure de sécurité relative aux entreprises. Le tarif horaire est de 100 à 400 francs. Il dépend de l’urgence du de la tâche et de la fonction occupée par le personnel qui conduit la procédure. Pour le reste, l’ordonnance générale du 8 septembre 2004 sur les émoluments¹¹ s’applique.

³Le service spécialisé de la Confédération pour la sécurité de l’information et le service spécialisé PSE peuvent transmettre, sur demande, une copie du certificat international de sécurité à l’autorité étrangère ou à l’organisation internationale.

(art. 67 LSI)

¹Si le service spécialisé PSE a connaissance d’indices laissant supposer qu’il existe un motif de révocation de la déclaration de sécurité, il fixe, après avoir consulté l’adjudicateur, un délai à l’entreprise pour qu’elle remédie aux manquements.

²Si le mandat est retiré en raison de la révocation de la déclaration de sécurité, l’adjudicateur veille immédiatement à ce que:

a.

toutes les activités sensibles soient stoppées sans attendre et que les droits d’accès qui y sont liés soient retirés, et que

b.

toutes les informations classifiées, tous les moyens informatiques et tout le matériel soient saisis.

³Dans les dix jours après avoir été informé de la révocation, l’adjudicateur confirme au service spécialisé PSE qu’il a exécuté les mesures visées à l’al. 2.

(art. 68 LSI)

¹Le service spécialisé PSE est compétent pour ouvrir la répétition de la procédure de sécurité relative aux entreprises.

²Si la déclaration de sécurité de l’entreprise échoit alors que la procédure est en cours de répétition, sa validité est prolongée jusqu’à ce qu’une nouvelle déclaration soit rendue ou que la procédure de sécurité relative aux entreprises soit classée.

³Si la déclaration de sécurité de l’entreprise n’est pas renouvelée ou si la procédure de sécurité relative aux entreprises est classée, l’art. 20 s’applique par analogie. L’art. 58, al. 3, LSI est réservé.