Commentaire des articles Ad intitulé de la loi L’intitulé de la loi en projet est modifié par rapport celui de la loi mo

Commentaire des articles Ad intitulé de la loi L’intitulé de la loi en projet est modifié par rapport celui de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité (ci-après « la loi de 2004 »). En effet, les habilitations de sécurité font partie de l’architecture de sécurité mise en place pour protéger les pièces classifiées. Dans cette logique, un recentrage de l’intitulé de la loi sur la protection des pièces classifiées est proposé. Ad article 1er – Objet Au premier paragraphe, cet article délimite le périmètre de la loi qui reste fondamentalement le même que celui de la loi de 2004, qu’elle est censée remplacer. Le présent projet de loi vise donc à déterminer les règles de base concernant la classification des pièces, les mesures tendant à leur protection ainsi que les habilitations de sécurité. Le deuxième paragraphe reprend essentiellement le texte de la loi de 2004. Il est en effet utile de préciser que le niveau de protection prévu par le cadre légal est à considérer comme un minimum à atteindre, quitte à ce que la situation spécifique d’une entité puisse la mener à édicter des règles plus contraignantes pour la protection des pièces classifiées qu’elle est appelée à gérer. La notion de « département ministériel » est remplacée par celle d’« entité publique ou privée » pour ouvrir la faculté d’édicter des normes plus contraignantes à toutes les entités gérant des pièces classifiées, y inclus les entités publiques qui ne sont pas des départements ministériels et les entités privés concernées. Le troisième paragraphe tient compte de la hiérarchie des normes en prévoyant la faculté d’agréer des normes plus contraignantes dans le cadre d’une convention internationale liant le Luxembourg. Ad article 2 – Définitions Le présent article comprend, dans un souci de clarté et de sécurité juridique, les définitions de certaines notions-clés qui sont utilisées dans le cadre du présent projet de loi. Ad article 3 – Motifs justifiant la classification Le premier paragraphe de cet article fournit les motifs pouvant justifier la classification d’une pièce. Essentiellement, il s’agit de protéger la sécurité nationale ou la sécurité des Etats ou des organisations internationales ou supranationales avec lesquelles le Luxembourg poursuit des objectifs communs sur base de conventions internationales, les relations internationales du Luxembourg et le potentiel scientifique ou les intérêts économiques du Luxembourg. Par rapport à la loi de 2004, le périmètre des intérêts à protéger est élargi. Au lieu d’inclure seulement, comme c’est le cas aujourd’hui, la sécurité des Etats auxquels le Luxembourg est lié par un accord en vue d’une défense commune, il est proposé d’élargir ce concept à tous les Etats et organisations internationales ou supranationales auxquels le Luxembourg est lié conventionnellement. Cette contribution accrue du Luxembourg à la sécurité de ses partenaires internationaux, quel que soit le domaine de coopération, renforcera encore la crédibilité et la fiabilité du Luxembourg en tant qu’acteur international. La pratique des vingt dernières années a montré que les motifs visés restent pertinents pour apprécier la nécessité de protéger une information au moyen de la classification. L’énumération limitative des motifs se justifie par le souci d’éviter des abus par une classification excessive de pièces, notamment administratives. Le deuxième paragraphe, repris de la loi de 2004, garde également toute sa pertinence en ce qu’il s’inscrit dans la même logique qui veut que la classification ne soit utilisée qu’aussi longtemps que la protection des intérêts précités l’exige. Dans le cas contraire, il incombe à l’autorité ayant procédé à la classification de déclassifier la pièce concernée pour la soumettre aux règles de l’archivage. Ad article 4 – Niveaux de classification Le présent article définit, au premier paragraphe, les quatre niveaux de classification, qui sont conformes aux normes UE1 et OTAN2 et reprennent également ceux qui étaient prévus par la loi de 2004. Le deuxième paragraphe gère la protection à attribuer à un ensemble de pièces comportant ou moins une pièce classifiée. Le terme « information », utilisé dans la loi de 2004, est remplacé par le terme « pièce » pour assurer la cohérence à travers l’ensemble du texte. La définition du terme « pièce » englobe par ailleurs « l’information » en vertu de l’article 2, point 19°. Les termes « degré de classification », utilisés par la loi de 2004, sont remplacés dans l’ensemble du texte par les termes « niveaux de classification » pour tenir compte de la nomenclature UE et OTAN. Ad article 5 – Opérations de classification, de déclassement et de déclassification Le présent article confirme, au premier paragraphe, le principe, déjà contenu dans la loi de 2004, selon lequel il appartient à l’autorité ayant décidé de la classification d’une pièce de décider de son déclassement ou de sa déclassification, ceci pour permettre une gestion cohérente des pièces classifiées. Une autorité procédant à la classification d’une pièce pour protéger son contenu ne partagera cette pièce que quand elle aura l’assurance que le destinataire ne peut à lui seul décider de supprimer cette protection. Le deuxième paragraphe innove par rapport à la loi de 2004 en ce qu’il prévoit la possibilité, pour l’autorité classifiant une pièce, d’indiquer une date ou un événement spécifique suite auxquels la pièce pourra être déclassée ou déclassifiée. Nonobstant le principe contenu à l’article 3, paragraphe 2, il est en effet concevable qu’il puisse exister des cas dans lesquels cette autorité puisse apprécier au moment de la classification que cette dernière ne sera plus nécessaire à partir d’un moment donné. L’indication d’un tel moment n’empêchera pas l’autorité ayant procédé à la classification de décider d’un déclassement ou d’une déclassification à un moment antérieur lorsqu’elle juge que la classification initiale n’est plus nécessaire avant le moment prévu. 1 Décision modifiée du Conseil du 23 septembre 2013 concernant les règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne (2013/488/UE), article 2, paragraphe 2. 2 Directive sur la sécurité des informations OTAN classifiées, AC/35-D/2002-REV5, annexe 1, paragraphe 2. 2 Alors que l’article 10 de la loi de 2004 prévoit la destruction de toutes les pièces classifiées, sans exception, après qu’elles ont perdu toute utilité pour leur détenteur, le paragraphe 3 introduit une approche nouvelle en prévoyant de manière limitative les catégories de pièces classifiées qui ne pourront en aucun cas être déclassifiées, étant donné qu’une telle déclassification, entraînant un archivage potentiel, pourrait à tout moment nuire au droit légitime à la protection des données personnelles concernées ainsi qu’au besoin légitime de protéger les moyens et mesures opérationnels de certaines administrations et les pièces classifiées comportant des informations classifiées ayant une origine étrangère, internationale ou supranationale. Après la perte de leur utilité, ces pièces seront détruites, telles qu’elles le sont déjà en application de la loi de 2004 (conformément à l’article 23). Par contre, toutes les pièces qui ne font pas partie des catégories susvisées devront désormais être déclassifiées après la perte de leur utilité, ce qui les soumettra aux règles relatives à l’archivage. Conformément à l’article 5, paragraphe 4, les pièces portant des marquages indiquant potentiellement une volonté de protection du contenu de la pièce, émanant d’autorités luxembourgeoises, et antérieures au 1er août 2004, ou émanant d’autorités inconnues, indépendamment de leur date, ne sont pas considérées comme des pièces classifiées au sens du présent projet de loi. En effet, certains ministères et administrations disposent de telles pièces historiques et sont confrontés à la question de leur traitement soit en application de la loi de 2004, soit en application de la loi modifiée du 17 août 2018 sur l’archivage. En l’absence de base légale nationale pour la classification des pièces antérieure au 1er août 2004, il convient de considérer ces pièces comme non classifiées. Ces pièces peuvent, à des fins de clarification, être dotées de marquages rendant sans équivoque l’absence de classification légale, p.ex. en biffant les mentions susceptibles d’induire en erreur quant au statut de la pièce en question. Les pièces antérieures au 1er août 2004 peuvent cependant, à des fins de protection, être classifiées conformément aux dispositions du présent projet de loi, et notamment aux dispositions des articles 3 et 4 du présent projet de loi. Le dernier paragraphe prévoit que le détail de la procédure de classification, de déclassement et de déclassification est déterminé par règlement grand-ducal. Ad article 6 – Autorités procédant à la classification, au déclassement et à la déclassification La loi de 2004 limite les autorités pouvant procéder à la classification, au déclassement et à la déclassification aux membres du Gouvernement, au chef d’état-major de l’Armée ainsi qu’au directeur du Service de renseignement de l’État (ci-après le « SRE »). Or, il s’avère qu’en pratique, il existe un besoin d’élargir cette liste au Président de la Chambre des Députés, au président de la commission de contrôle parlementaire du SRE, au procureur général d’État et aux procureurs d’État, au HautCommissaire à la Protection nationale, au directeur général de la Police grand-ducale, au directeur de l’Administration des douanes et accises, au directeur du Centre des technologies de l’information de l’État, au président de la Cour des comptes et au président de la Commission nationale pour la protection des données. En effet, ces autorités peuvent, dans l’exercice de leurs fonctions, être producteur ou détenteur d’informations auxquelles elles souhaitent légitimement conférer une protection accrue, en application du présent projet de loi. 3 Le pouvoir de classifier n’exempt pas en lui-même l’autorité concernée du besoin de disposer d’une habilitation de sécurité. Ad article 7 – Classification résultant d’obligations internationales Le présent article comporte les règles applicables aux pièces classifiées en vertu de conventions internationales liant le Luxembourg et aux pièces classifiées reçues d’États avec lesquels le Luxembourg n’a pas conclu de convention internationale. Il est également fait référence au tableau d’équivalence entre les niveaux de classification nationaux et internationaux, mis à jour par rapport à celui de 2004 et annexé à la présente loi. Les pièces en provenance d’États ou d’organisations avec lesquels aucune convention internationale n’a encore été conclue sont protégées à un niveau identique au niveau de protection national qui serait d’application si la pièce était d’origine luxembourgeoise. Cette disposition, d’ailleurs conforme au droit coutumier en la matière, vise notamment à rassurer les États et organisations en question. Ad article 8 – Principe général de protection Le présent article vise à consacrer le principe général de protection selon lequel les pièces classifiées doivent faire l’objet de mesures de sécurité pendant tout leur cycle de vie. Ces pièces se distinguent ainsi des pièces non-classifiées. Leur détenteur est tenu de les protéger à tout moment tel que prévu par le cadre légal applicable. Ad article 9 – Officiers de sécurité Le présent article régit l’officier de sécurité ainsi que ses missions. Le premier paragraphe prévoit l’obligation du ministre compétent ou de l’organe de gestion de l’entité publique ou privée utilisant des pièces classifiées de nommer un officier de sécurité et au moins un officier de sécurité adjoint. Si le ministre compétent ou l’organe de gestion peuvent nommer plusieurs officiers de sécurité adjoints, ils doivent, en tout état de cause, en nommer au moins un. La nomination de plusieurs officiers de sécurité adjoints peut notamment tenir compte du volume du travail dû à l’envergure de l’entité concernée. Les officiers de sécurité jouent en effet un rôle crucial dans l’architecture de sécurité encadrant les pièces classifiées, étant donné qu’ils veillent au respect du cadre légal afférent. Ils sont également les interlocuteurs principaux de l’ANS concernant l’entité pour laquelle ils sont responsables. Le deuxième paragraphe prévoit le niveau de l’habilitation de sécurité dont les officiers de sécurité et leurs adjoints doivent être titulaires. Le troisième paragraphe prévoit les missions de l’officier de sécurité et de ses adjoints. Le quatrième paragraphe prévoit l’obligation pour l’entité concernée d’informer l’ANS de toute nomination ou changement d’officier de sécurité ou d’officier de sécurité adjoint afin de s’assurer à tout moment d’une interaction efficace entre l’ANS et les entités traitant des pièces classifiées. Ad article 10 – Atteinte à la sécurité des pièces classifiées 4 Le présent article prévoit les mesures à prendre en cas d’incident de sécurité. D’un côté, la personne constatant un tel incident de sécurité doit immédiatement en avertir les officiers de sécurité concernés qui doivent procéder sans délai à une enquête et en informer immédiatement l’ANS et le chef de l’administration ou de l’établissement public ou l’organe de gestion de l’entité publique ou privée pour laquelle ils sont responsables. Cette obligation s’impose du fait que ces personnes ou autorités sont, dans leurs rôles respectifs et aux moments définis, responsables de la protection d’une pièce classifiée donnée tout au long de son cycle de vie. Le lancement sans délai d’une enquête par l’officier de sécurité ou ses adjoints dès qu’un incident de sécurité a été constaté vise notamment à comprendre comment, malgré les procédures de sécurité en place, cet incident de sécurité ait pu se produire et à permettre à tous les acteurs impliqués de remédier aux failles dans leur architecture de sécurité concernant la protection des pièces classifiées. Aux termes du deuxième paragraphe, l’ANS ou l’officier de sécurité ou ses adjoints informent l’autorité qui a procédé à la classification des pièces concernées par l’incident de sécurité, en y incluant les résultats de l’enquête effectuée par l’officier de sécurité ou ses adjoints. Dans certains cas, il convient en effet de centraliser cette obligation au sein de l’ANS qui est mieux placée qu’un officier de sécurité isolé pour connaître les autorités compétentes, surtout quand il s’agit d’autorités d’Etats tiers ou d’organisations internationales ou supranationales. Ad article 11 – Modalités d’application des mesures de protection Cet article prévoit que les modalités d’application concernant les mesures de protection des pièces classifiées sont fixées par règlement grand-ducal. En effet, au-delà des principes posés par la loi, il convient de détailler ces modalités afin de guider tant l’ANS que les entités concernées dans la mise en œuvre desdites mesures. Force est de constater que les règlements de sécurité évoluent, comme le font les moyens d’intrusion et les moyens de protection contre ces intrusions, de sorte que le règlement grand-ducal apparaît comme la manière appropriée pour établir un cadre y relatif. Ad article 12 – Accès aux pièces classifiées Le présent article vise à régler l’accès des personnes physiques aux pièces classifiées. Le premier paragraphe énonce les conditions pour un tel accès, conformément aux normes UE3 et OTAN4. Pour l’accès aux pièces de niveau « CONFIDENTIEL » ou supérieur, les personnes physiques auront besoin de disposer d’une habilitation de sécurité adéquate, ceci pour restreindre le cercle de personnes concernées ab initio à ceux pour lesquels l’ANS, après avoir fait une enquête de sécurité, a pu constater qu’elles présentent effectivement les garanties légales suffisantes. Il s’agit ici d’une innovation par rapport à la loi de 2004 qui prévoit l’obligation de disposer d’une habilitation de sécurité pour l’accès à toute pièce classifiée, même de niveau « RESTREINT », ce alors 3 Décision modifiée du Conseil du 23 septembre 2013 concernant les règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne (2013/488/UE), article 7, paragraphe 1. 4 Directive sur la sécurité concernant le personnel AC/35-D/2000-REV9, annexe 1, paragraphe 2. 5 que les normes UE5 et OTAN6 ne la prévoient plus pour les pièces de niveau « RESTREINT ». Le Luxembourg est parmi les rares États européens appliquant encore cette obligation. Or, il en résulte un réel désavantage compétitif pour les entreprises luxembourgeoises souhaitant participer à des marchés/projets dont des éléments sont soumis à une classification de niveau « RESTREINT ». En effet, ces entreprises et leurs agents, avant de pouvoir contribuer à de tels marchés/projets, ont besoin de demander d’abord chacun une habilitation de sécurité, processus pouvant durer plusieurs mois. Il est évident que cette obligation est de nature à défavoriser les entreprises nationales par rapport à leurs concurrents étrangers qui, souvent, ne sont pas soumis aux mêmes conditions. La suppression de l’obligation de disposer d’une habilitation de sécurité pour l’accès aux pièces de niveau « RESTREINT » présente par ailleurs l’avantage de désengorger l’ANS par rapport au traitement des demandes afférentes, ce qui devrait avoir un impact tangible sur les délais de délivrance des habilitations restantes. Il s’agit donc, outre un alignement sur les normes internationales et une homogénéisation par rapport aux États voisins, d’une simplification administrative dont les gains se situent à plusieurs niveaux. Le deuxième paragraphe comprend la liste des personnes qui, en raison des fonctions qu’elles occupent, n’ont pas besoin d’une habilitation de sécurité pour accéder aux pièces classifiées, quel qu’en soit le niveau. Cette liste est élargie par rapport à la loi de 2004 qui n’exemptait que les membres du Gouvernement de l’obligation de disposer d’une habilitation de sécurité, ceci dans le but, notamment, de tenir compte de la séparation des pouvoirs. Le troisième paragraphe du présent article vise à clarifier que l’accès aux pièces de niveau « RESTREINT » n’est pas pour autant inconditionné. En effet, cet accès reste soumis aux autres conditions d’accès. Parmi celles-ci figure notamment le « besoin d’en connaître » qui est évalué, par rapport à l’emploi, la fonction ou la mission de l’agent concerné. Ne peuvent avoir accès à une pièce classifiée que les personnes qui, afin de pouvoir exercer leurs fonctions, ont effectivement besoin d’y accéder. Cette disposition vise à réduire le cercle de personnes ayant un tel accès au minimum nécessaire de personnes, protégeant ainsi le contenu de la pièce par rapport au risque inhérent à une diffusion excessivement large. S’y ajoute que les personnes en question doivent avoir été informées des règles visant à protéger les pièces classifiées et le certifier, ceci pour assurer une véritable prise de conscience de leur responsabilité dans la protection des pièces classifiées. En effet, il convient de veiller à ne pas créer de maillons faibles dans la chaîne de protection. Les quatrième et cinquième paragraphes règlent la transmission de l’information dans ce contexte. Ad article 13 – Registre des autorisations d’accès aux pièces classifiées Afin que les officiers de sécurité concernés et ceux des entités organisant une réunion classifiée, y inclus les organisations internationales, ainsi que les bureaux d’ordre puissent obtenir une 5 Décision modifiée du Conseil du 23 septembre 2013 concernant les règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne (2013/488/UE), article 7, paragraphe 4. 6 AC/35-D/2000-REV9, annexe 1, paragraphe 2. 6 confirmation officielle du statut d’un agent censé détenir une habilitation de sécurité ou en être légalement exempté, ces informations doivent être consignées dans un registre dont la tenue centralisée est confiée à l’ANS. Ad article 14 – Participation à des réunions classifiées Cet article prévoit l’obligation pour les personnes participant à des réunions classifiées de niveau « CONFIDENTIEL » ou supérieur de disposer d’une habilitation de sécurité adéquate, hormis les personnes dûment exemptées. Ad article 15 – Zones physiquement protégées Le premier paragraphe du présent article pose le principe en vertu duquel les pièces classifiées doivent être utilisées dans des zones physiquement protégées, et ceci afin d’empêcher un accès non autorisé à des pièces classifiées. Le deuxième paragraphe prévoit que la définition et l’application de mesures de protection physique sont effectuées sur base d’une gestion des risques. Ces mesures doivent être proportionnées aux risques évalués. Ad article 16 – Homologation des zones physiquement protégées Le présent article pose, au premier paragraphe, le principe selon lequel les zones physiquement protégées dans lesquelles sont utilisées des pièces classifiées de niveau « CONFIDENTIEL » ou supérieur doivent être homologuées. Alors que l’ANS s’acquitte déjà aujourd’hui de cette tâche, cette pratique repose sur une application des articles 8 (« Chaque lieu ou système de communication et d'information où sont conservées ou traitées des pièces classifiées, sera protégé par des mesures physiques de sécurité appropriées. ») et 20 (l’ANS veille « à la sécurité des pièces classifiées dans les entités civiles et militaires ») de la loi de 2004. Le deuxième paragraphe prévoit les conditions d’homologation, à savoir que les zones en question doivent présenter des garanties suffisantes pour prévenir, détecter et ralentir l'accès non autorisé à des pièces classifiées. Ad article 17 – Bureaux d’ordre Le présent article prévoit, en référence à la loi portant création du Centre des technologies de l’information de l’État (CTIE), le rôle du bureau d’ordre central et des bureaux d’ordre auxiliaires dans la gestion des pièces classifiées. Ad article 18 – Modes de gestion des pièces classifiées Le présent article prévoit la faculté pour les entités concernées d’assurer soit elles-mêmes la gestion de leurs pièces classifiées, soit de la déléguer au BOC ou à un BOA. La délégation est particulièrement utile pour les entités gérant relativement peu de pièces classifiées. Ad article 19 – Enregistrement des pièces classifiées 7 Le présent article prévoit les étapes du cycle de vie d’une pièce classifiée en dehors d’un SIC nécessitant un enregistrement afin de pouvoir rendre compte, à tout moment, de son statut et agir de manière efficace en cas de compromission. La distinction entre les pièces classifiées utilisées en dehors et dans un SIC se justifie par la pratique et la configuration des SIC qui sont homologués et qui offrent dès lors un environnement particulièrement protégé pour le cycle de vie de ces pièces. Ad article 20 – Identification des pièces classifiées Le présent article prévoit les principes à appliquer lors de l’identification des pièces classifiées, déclassées ou déclassifiées afin d’éviter tout doute sur le statut de ces pièces. Ad article 21 – Communication et transport des pièces classifiées Le présent article vise à soumettre la communication de pièces classifiées aux mesures de sécurité légales et réglementaires. L’article précise en son paragraphe 2 qu’en-dehors des SIC, les pièces classifiées sont emballées et transportées de manière à être protégées à tout moment de toute observation, modification ou divulgation non autorisée et à en assurer la garde permanente pendant la durée de l’acheminement. Ad article 22 – Reproduction ou traduction des pièces classifiées Le présent article prévoit les règles de principe applicables en cas de reproduction ou de traduction de pièces classifiées. Ad article 23 – Destruction Le présent article prévoit les règles de principe applicables à la destruction de certaines catégories de pièces classifiées, énumérées à l’article 5. Par rapport à l’obligation d’enregistrement prévue de manière générale à l’article 19, le paragraphe 3 du présent article prévoit un régime détaillé. Ad article 24 – Utilisation d’un SIC Le présent article prévoit l’obligation pour les pièces classifiées électroniques d’être utilisées exclusivement dans des SIC homologués. L’extraction d’une telle pièce d’un SIC homologué pour une transmission via un système non homologué serait dès lors contraire à la loi. Le deuxième paragraphe vise à responsabiliser l’autorité qui opère un SIC homologué de mettre en œuvre les mesures de sécurité et de l’assurance de l’information classifiée s’appliquant au SIC. Ad article 25 – Homologation d’un SIC 8 Cet article pose les conditions qu’un SIC doit remplir afin d’être homologable, à savoir le fait de présenter des garanties suffisantes quant à la confidentialité, l’intégrité, la disponibilité, la nonrépudiation et l’authenticité de ces systèmes et des informations qu’ils contiennent. En effet, un tel SIC doit garantir la confidentialité des pièces qu’il contient – il doit donc présenter une protection suffisante contre un accès non autorisé et contre la divulgation des pièces à des personnes ou entités non autorisées (« confidentialité »). Il doit en plus garantir que l’exactitude et le caractère complet des informations sont préservés (« intégrité »). Il doit être accessible et utilisable, sur demande, par une personne ou entité dûment autorisée (« disponibilité »). Il doit assurer que ses utilisateurs ne peuvent pas nier l’authenticité de leur action ou nier leur participation à une action dans le cadre du SIC (« non-répudiation »). Il doit finalement aussi garantir que les données qu’il contient proviennent de l'entité d’origine et n’ont pas été falsifiées (« authenticité »). Ad article 26 – Approbation des produits cryptographiques Le présent article prévoit les conditions sous lesquelles les produits cryptographiques utilisés par des SIC sont approuvés. Ad article 27 – Gestion centralisée du matériel cryptographique Le présent article pose le principe selon lequel le matériel cryptographique lié à l’utilisation d’un SIC est géré et distribué par l’autorité nationale de distribution cryptographique, conformément aux dispositions de la loi CTIE telle qu’adaptée par l’article 72 du présent projet de loi. Ad article 28 – Mesures de sécurité TEMPEST Le présent article prévoit la mise en œuvre de mesures dites « TEMPEST » pour protéger les SIC traitant des pièces classifiées de niveau « CONFIDENTIEL » ou supérieur contre la compromission de ces pièces par des émissions électromagnétiques non intentionnelles provenant de dispositifs électroniques. Ces émissions peuvent potentiellement révéler des informations classifiées si elles sont interceptées par des acteurs non autorisés. Les mesures de sécurité TEMPEST incluent le blindage, le filtrage et le maintien de distances physiques entre les équipements pour minimiser le risque de capture de ces émissions. Ad article 29 – Champ d’application de la présente section Le présent article définit le champ d’application de la section relative aux mesures de sécurité concernant la sécurité industrielle et, plus précisément, le domaine des contrats classifiés. Ad article 30 – Contrats classifiés et marchés publics 9 Le présent article prévoit l’obligation pour l’autorité adjudicatrice visant à obtenir un contrat classifié ou participer à un marché public basés sur des pièces classifiées, d’en informer au préalable son officier de sécurité et l’ANS. En effet, l’autorité adjudicatrice est amenée dans cette hypothèse à traiter des pièces classifiées nationales, de sorte que son officier de sécurité et l’ANS, vu leurs rôles respectifs dans la protection des pièces classifiées, ont un intérêt légitime à en être informé. Les marchés classifiés UE et OTAN sont régis par les règlements de sécurité émis par ces organisations. Ad article 31 – Accès aux pièces classifiées dans le contexte de la sécurité industrielle Le présent article impose aux personnes morales ne relevant pas de l’administration publique de disposer d’une habilitation de sécurité avant de pouvoir accéder à des pièces classifiées de niveau « CONFIDENTIEL » ou supérieur dans le contexte de la phase précontractuelle d’un contrat classifié. Ad article 32 – Mesures de sécurité concernant les éléments du contrat classifié Le présent article prévoit que les mesures de sécurité détaillées concernant les éléments du contrat classifié sont fixées par règlement grand-ducal. Ad article 33 – Homologations Au premier paragraphe, le présent article précise, par rapport aux articles 16 pour les zones physiquement protégées et 25 pour les SIC, que la tâche de l’homologation des zones physiquement protégées et des SIC incombe à l’ANS. Le deuxième paragraphe prévoit que les homologations peuvent être modifiées, suspendues ou retirées par l’ANS si les règles relatives à la protection des pièces classifiées ne sont pas respectées ou si les conditions pour la délivrance de l'homologation ne sont plus remplies. Ad article 34 – Vérifications des mesures de sécurité Au premier paragraphe, le présent article autorise l’ANS à vérifier la mise en place et l’exécution correcte des mesures de protection des pièces classifiées prévues à la présente loi. L’ANS peut solliciter des entités concernées les informations tendant à confirmer que l’entité met effectivement en œuvre les mesures de protection nécessaires. Le champ de vérification de l’ANS ne peut évidemment dépasser le cadre de ce qui est nécessaire par rapport à la mise en œuvre de la présente loi. Le deuxième paragraphe prévoit la faculté pour l’ANS de formuler des recommandations en vue d’améliorer la protection des pièces classifiées. L’ANS doit pouvoir agir comme conseiller des entités concernées dans le but d’améliorer l’architecture de sécurité autour des pièces classifiées. Le troisième paragraphe oblige les entités concernées de remédier aux manquements constatés dans la mise en œuvre des mesures de protection légales. Ad Chapitre 4 – Habilitations de sécurité Le présent chapitre traite des habilitations de sécurité. 10 La première section traite des habilitations pour personnes physiques, et la deuxième des habilitations pour personnes morales. La loi de 2004 ne prévoit pas de distinction entre les deux cas de figure. Or, une séparation des procédures afférentes augmente la lisibilité et la clarté pour chacun des cas de figure et les personnes qui en sont concernées, surtout que les règles applicables ne sont pas identiques en tout point. La troisième section concerne les procédures de délivrance, de refus, de révocation ou de modification de l’habilitation de sécurité. La quatrième section traite de la confidentialité des données recueillies. Ad article 35 – Champ d’application de la présente section Le présent article délimite le champ d’application de la présente section. Il ne concerne que les habilitations de sécurité pour les personnes physiques, à l’exclusion de celles pour personnes morales. Ad article 36 – Niveaux des habilitations de sécurité Au premier paragraphe, le présent article énonce les niveaux des habilitations de sécurité pour personnes physiques. Le niveau RESTREINT, prévu par la loi de 2004, est supprimé, conformément aux dispositions de l’article 12. Le deuxième paragraphe reprend en l’essence une disposition de la loi de 2004 selon laquelle le niveau de l’habilitation de sécurité est déterminé par le niveau de classification des pièces auxquelles le demandeur doit accéder pour l’exercice de son emploi, de sa fonction ou de sa mission. Le terme « titulaire », utilisé dans la loi de 2004, est remplacé par le terme « demandeur », étant donné que l’on se place, pour déterminer le niveau de l’habilitation requis, dans la perspective d’une personne qui cherche à obtenir une habilitation au niveau adéquat. Logiquement, il existe d’abord une demande, donc également un demandeur, pour accéder à des pièces classifiées d’un certain niveau, puis, si les conditions sont réunies, une habilitation au niveau correspondant. Ad article 37 – Contenu de la demande d’habilitation de sécurité Le présent article vise à énumérer les éléments à fournir dans le cadre d’une demande d’habilitation. Outre les données relatives à l’identité du demandeur et à son besoin concret de disposer d’une habilitation, le demandeur doit fournir son consentement écrit à faire l’objet d’une enquête de sécurité et remplir un questionnaire censé fournir de plus amples informations par rapport aux garanties et critères visés aux articles 38, paragraphe 1er et 44. Au deuxième paragraphe, les conditions de recevabilité d’une demande d’assistance étrangère à l’ANS sont énumérées. Ad article 38 – Conditions de délivrance, de renouvellement, de refus ou de révocation Le présent article prévoit les conditions de délivrance, de renouvellement, de refus, ou de révocation d’une habilitation de sécurité pour une personne physique. 11 Le premier paragraphe reprend la condition essentielle selon laquelle une personne physique ne peut devenir titulaire d’une habilitation de sécurité que si elle présente des garanties suffisantes quant à la discrétion, la loyauté, la fiabilité et l’intégrité. La notion de « fiabilité » est ajoutée en alignement aux règlements de sécurité UE et OTAN. Il importe, en effet, que l’État puisse se fier à la capacité du détenteur d’une habilitation de respecter le cadre légal en place. Les dispositions du présent chapitre contiennent les moyens dont dispose l’ANS pour vérifier si ces garanties sont suffisamment réunies dans le chef du demandeur d’une habilitation de sécurité, en énonçant les informations à fournir lors d’une demande, de même que le cadre de l’enquête de sécurité. Afin de s’assurer de la vérification des garanties susvisées, le deuxième paragraphe pose l’obligation d’effectuer une enquête de sécurité pour chaque demandeur d’une habilitation de sécurité, que ce soit une demande initiale ou une demande de renouvellement. Dans la même logique, le troisième paragraphe prévoit que la procédure de renouvellement de l’habilitation est la même que celle pour la demande initiale. Le quatrième paragraphe introduit, par rapport à la loi de 2004, la révocation d’une habilitation de sécurité à une personne physique qui ne présente plus les garanties légales nécessaires. En effet, il se peut que l’ANS obtienne – par la personne concernée elle-même, par son officier de sécurité ou par tout autre personne ou entité agissant dans le cadre de ses missions légales – des informations relatives à un changement concernant le dossier d’un titulaire d’une habilitation de sécurité, entraînant une enquête de sécurité ultérieure visant à vérifier si les garanties légales sont toujours réunies. Dans la négative, l’habilitation de sécurité est révoquée. Ad article 39 – Durée de validité de l’habilitation de sécurité Le présent article vise à fixer la durée de validité des habilitations de sécurité en fonction de leur niveau, que ce soit pour une première habilitation de sécurité (paragraphe 1) ou un renouvellement (paragraphe 2). La durée fixée est sans préjudice de la révocation d’une habilitation de sécurité au sens de l’article 38, paragraphe 4, de la modification d’une habilitation de sécurité au sens de l’article 63 et ou de la caducité au sens de l’article 40. Il est proposé, au paragraphe 3, d’introduire la possibilité de proroger une habilitation de sécurité audelà de sa validité initiale, pour une durée maximale de douze mois, sous réserve qu’une demande de renouvellement d’habilitation de sécurité et le questionnaire de sécurité correspondant aient été soumis à l’ANS avant la date d’expiration de l’habilitation de sécurité en cours. En effet, il se peut, pour des raisons diverses, qu’un dossier de demande de renouvellement n’ait pas pu être clôturé à temps avant la fin de validité d’une habilitation de sécurité, alors que l’ANS ne dispose pas d’éléments indiquant que le demandeur ne remplit plus les conditions légales nécessaires. Dans ce cas, l’ANS peut proroger l’habilitation de sécurité initiale pour lui permettre de clôturer le dossier tout en permettant au demandeur de pouvoir continuer à exercer son emploi. Ad article 40 – Caducité de l’habilitation de sécurité 12 Le présent article prévoit que l’habilitation de sécurité délivrée à une personne physique devient automatiquement caduque au moment de la cessation définitive des fonctions. Concrètement, sont visés les cas de retraite, démission, révocation ou licenciement. Par ailleurs, il faut que la cessation soit « définitive » dans ce sens que les simples modifications de tâches ne sont pas visées. Ad article 41 – Portée de l’enquête de sécurité Le présent article vise à encadrer le but et l’envergure de l’enquête de sécurité. Le premier paragraphe pose le but de l’enquête, à savoir la vérification des garanties suffisantes dans le chef du demandeur. Cette vérification est indissociablement basée sur l’application des critères d’appréciation légaux afin de lui donner un contour précis. Au deuxième paragraphe, sont énumérés les différents éléments à prendre en compte dans le cadre de l’enquête, à savoir, notamment, les informations fournies via le questionnaire de sécurité, les résultats de la consultation des traitements de données et des informations auxquels l’ANS a accès et, le cas échéant, les informations obtenues à l’occasion des entretiens prévus aux paragraphes 4 et 6. Le paragraphe 3 prévoit une proportionnalité entre l’appréciation des critères légaux et le niveau de l’habilitation de sécurité demandé. Dans une optique de mitigation des risques, un indice de vulnérabilité dans le chef du demandeur pèsera donc plus lourd pour une demande visant une habilitation de sécurité à un niveau plus élevé. Il s’agit là d’une approche différente par rapport au concept contenu dans la loi de 2004 qui prévoit que « l'ampleur de l'enquête de sécurité varie en fonction du niveau de l'habilitation de sécurité requise ». Le présent texte propose que l’ampleur de l’enquête soit la même quel que soit le niveau d’habilitation demandé – cela étant, la « grille de lecture » et la sévérité de l’appréciation de l’enquêteur varieront en fonction du niveau d’habilitation. Le paragraphe 4 donne une base légale explicite à l’ANS pour demander au demandeur de se présenter à un entretien dans le cadre de l’enquête. Il s’agit d’un élément potentiellement important de l’enquête de sécurité. Cet entretien sert à compléter les informations reçues et permet à l’ANS de chercher des réponses à d’éventuelles questions ayant surgi de l’analyse du dossier de demande ou de la consultation des différents accès. Aujourd’hui déjà, de tels entretiens sont effectués par l’ANS sur base de l’article 21, paragraphe 4 de la loi de 2004. Si l’entretien est censé faire partie des enquêtes de sécurité habituelles, l’article proposé n’en fait pourtant pas une obligation. En effet, il se pourrait qu’un demandeur ait obtenu très récemment une habilitation de sécurité d’un certain niveau, puis change d’emploi en raison duquel il nécessite une habilitation d’un niveau supérieur. Au cas où un tel entretien aurait donc eu lieu très récemment, le fait de convoquer le demandeur à nouveau dans un bref délai n’apporterait pas de plus-value pour l’enquête de sécurité. L’ANS pourra juger le besoin en fonction du dossier. Le paragraphe 5 prévoit la possibilité de refuser l’obtention d’une habilitation aux demandeurs refusant de fournir les informations sollicitées. En effet, l’ANS ne peut vérifier les garanties qu’à la lumière des éléments lui permettant d’apprécier les critères légaux. Le paragraphe 6 vise à régler la question de l’implication de l’entourage du demandeur dans la procédure de l’enquête de sécurité. 13 Le texte proposé prévoit la possibilité pour l’ANS de demander aux personnes faisant partie de l’entourage du demandeur de fournir des informations utiles à l’enquête de sécurité, lors d’un entretien. Le texte ne se limite pas au conjoint ou aux enfants majeurs du demandeur, mais inclut, potentiellement, toute personne majeure. L’absence de limite du champ des personnes pouvant potentiellement faire partie de l’entourage se justifie par le nombre élargi de personnes pouvant créer des risques de vulnérabilité pour le demandeur, ou fournir des informations par rapport à des indices de vulnérabilité, quel que soit leur lien familial avec lui. Evidemment, le conjoint reste une personne pouvant, dans la plupart des cas, fournir des informations utiles sur le demandeur. Mais tel est vrai aussi pour d’autres personnes vivant avec le demandeur, pour des personnes travaillant avec le demandeur, voire des personnes présentant des liens plus ou moins étroits avec le demandeur, pour toute sorte de raison. Il convient donc de créer une base légale permettant à l’ANS d’approcher ces personnes dans le cadre de l’enquête de sécurité. On se place ici également dans la logique du règlement de sécurité de l’OTAN qui prévoit que « bien que ces éléments soient à retenir pour la personne qui fait l'objet de la demande d'habilitation, s'il y a lieu et conformément aux lois et aux règlements nationaux, les membres de sa famille et toute autre personne susceptible d'avoir une influence sur l'intéressé(

1. e)devraient être pris en considération s'agissant de décider de l'admissibilité à l'obtention d'une PSC. »7 Cela étant, il est évident que si le champ des personnes faisant partie de l’entourage est théoriquement élargi, il convient d’encadrer et de conditionner strictement le recours à ce moyen d’enquête. Ainsi, il est proposé que l’ANS ne peut approcher que des personnes majeures, à l’exclusion des personnes mineures. L’ANS ne peut convoquer ces personnes qu’au cas où, dans le cadre de l’enquête sur le demandeur, ce dernier présente des indices de vulnérabilité potentielle par rapport aux critères légaux. Les personnes convoquées doivent présenter un lien avec ces indices de vulnérabilité, de sorte que l’ANS puisse légitimement s’attendre à ce qu’elles puissent fournir des informations y relatives. Les personnes convoquées, qui ne sont pas elles-mêmes demandeurs, doivent librement consentir à se soumettre à un tel entretien. Finalement, ces entretiens ne peuvent dépasser le cadre légal fixé pour l’appréciation des critères prévus à l’article 44. Si, donc le champ des personnes faisant partie de l’entourage est théoriquement élargi, il se voit réduit, en pratique, par l’application des conditions précitées qui sont censées focaliser les enquêtes de sécurité et limiter le concours de personnes tierces de manière proportionnée au strict nécessaire. Le paragraphe 7 précise que le refus d’une personne de se présenter à un entretien tel que prévu au paragraphe 6 ou d’y fournir les informations sollicitées ne peut à lui seul permettre à l’ANS de proposer le refus ou la révocation de la demande d’habilitation de sécurité. Cette disposition s’explique par le besoin d’éviter une situation dans laquelle une personne tierce pourrait, par un refus de concourir à l’enquête, pour quelque raison que ce soit, bloquer à elle seule l’obtention d’une habilitation de 7 Point 19 de l’Annexe 1 de la Directive sur la sécurité concernant le personnel (AC/35-D/2000-REV9). 14 sécurité d’un demandeur donné. Face à un éventuel refus d’une personne faisant partie de l’entourage de se présenter à un entretien, l’ANS doit utiliser les autres moyens légaux à sa disposition pour vérifier les garanties légales. On se place ici également dans la logique du règlement de sécurité de l’OTAN qui prévoit que « toute lacune dans un domaine d'enquête est compensée par le recours à d'autres moyens d'enquête, dans le respect des lois et règlements nationaux […]. »8 Ad article 42 – Enquête de sécurité ultérieure Le présent article concerne les enquêtes de sécurité ultérieures effectuées par l’ANS suite à la demande écrite du chef de l’administration, de l’établissement public, de l’organe de gestion de l’entité publique ou privée dont relève la personne physique, de l’officier de sécurité concerné ou de ses adjoints ou sur propre initiative de l’ANS suite au signalement ou au constat d’éléments de vulnérabilités susceptibles de mettre en cause les garanties visées à l’article 38, paragraphe 1er. Les enquêtes de sécurité ultérieures ne se distinguent des enquêtes de sécurité que sur le point du consentement du détenteur qui n’est pas requis. Alors qu’il n’existe dans le cas des enquêtes de sécurité ultérieures pas de questionnaire de sécurité nouveau, l’ANS pourra prendre en compte les informations fournies dans le questionnaire de sécurité fourni pour l’obtention de l’habilitation de sécurité en cours. Ad article 43 – Coopération internationale Par rapport à l’article 25, paragraphe 4 de la loi de 2004, et dans le but d’une meilleure lisibilité, le présent article vise à distinguer plus clairement deux hypothèses dans lesquelles l’ANS coopère avec des autorités étrangères. Au premier paragraphe, est visée l’hypothèse dans laquelle l’ANS agit comme autorité requérante dans le cadre des enquêtes de sécurité qu’elle effectue concernant les demandes d’habilitation de sécurité qui lui sont soumises en vertu de la présente loi. Au deuxième paragraphe, est visée l’hypothèse dans laquelle elle agit comme autorité requise par les autorités étrangères dans le cadre de leurs propres enquêtes de sécurité. Le paragraphe 3, se calquant sur l’article 9, paragraphe 4, alinéa 2 de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’État, prévoit les modalités d’échange direct des données à caractère personnel avec les autorités étrangères. Ad article 44 – Critères d’appréciation L’article 21, paragraphe 4 de la loi de 2004 prévoit aujourd’hui les critères que l’ANS doit prendre en compte dans le cadre de l’enquête de sécurité. Le présent texte propose d’énumérer les critères et de les lier à la vérification des garanties légales tout en les concentrant sur la personne du demandeur. 8 Point 23 de l’Annexe 1 de la Directive sur la sécurité concernant le personnel (AC/35-D/2000-REV9). 15 A ce propos, il convient de préciser que la liste des critères ne peut pas être une simple compilation des critères prévus par l’UE et par l’OTAN dans le cadre de leurs règlements de sécurité respectifs 9. Tout d’abord, les critères contenus dans ces règlements de sécurité ne sont pas identiques, même s’ils se recoupent par endroits. Mais, surtout, tant l’UE que l’OTAN prévoient une flexibilité pour la manière dont leurs États membres incorporent et appliquent les critères préconisés dans leur législation nationale. Ainsi, le point 7 de l’Annexe I (Mesures de sécurité concernant le personnel) de la Décision modifiée du Conseil du 23 septembre 2013 concernant les règles de sécurité aux fins de protection des informations classifiées de l’Union européenne (2013/488/UE) prévoit expressément que « […] parmi les principaux critères à retenir à cet effet, il y a lieu de déterminer, dans la mesure où les dispositions législatives et réglementaires nationales le permettent, si l’intéressé : […] ». Concernant l’OTAN, le point 18 de l’Annexe 1 de la Directive sur la sécurité concernant le personnel (AC/35-D/2000-REV9) prévoit que : « On trouvera dans les paragraphes qui suivent les principaux éléments qui permettent de déterminer le degré de loyauté, de fiabilité et de confiance d'une personne s'agissant d'accorder ou de maintenir une PSC. Ces éléments prennent en compte certains traits de personnalité ou certaines circonstances qui peuvent susciter des préoccupations sur le plan de la sécurité et seront évalués conformément aux lois et aux règlements nationaux, pour établir si la personne : […]» Cette approche ne saurait surprendre, vu la disparité des législations nationales des Etats membres concernant cette question. Les critères retenus par le texte proposé visent à tenir compte des critères UE et OTAN tout en trouvant, pour chacun, des solutions en phase avec les réalités législatives nationales et la recherche permanente d’une proportionnalité entre, d’une part, le besoin, pour l’ANS, de pouvoir vérifier les garanties légales, et, d’autre part, le besoin de protéger le demandeur et son entourage contre toute intrusion démesurée et non justifiée dans leur vie privée. Soulignons que l’enquête de l’ANS est une enquête administrative et non judiciaire. L’enquêteur de l’ANS n’est pas une autorité de poursuite, et le demandeur d’une habilitation de sécurité n’est pas un prévenu. Il convient donc de proportionner les moyens de l’ANS à ses missions. Alors que la solvabilité du demandeur est un critère au sens de la loi de 2004, il est opté dans le présent texte pour une formulation permettant de prendre en compte les éléments de la situation financière du demandeur susceptibles d’entraîner un risque de vulnérabilité au chantage ou à des pressions. Les liens avec des personnes ou entités qui posent un risque pour la sécurité nationale ou qui sont visés par un régime de sanctions international sont également à prendre en compte. 9 UE : lDécision modifiée du Conseil du 23 septembre 2013 concernant les règles de sécurité aux fins de protection des informations classifiées de l’Union européenne (2013/488/UE), Annexe I (Mesures de sécurité concernant le personnel), points 7-9. OTAN : Annexe 1 de la Directive sur la sécurité concernant le personnel (AC/35-D/2000-REV9), point 18. 16 Conformément aux règlements de sécurité UE et OTAN, le texte proposé vise à incorporer certains éléments médicaux dans la liste des critères, à savoir les problèmes d’addiction et les maladies mentales ou toute autre maladie, à condition qu’ils sont susceptibles d’altérer le discernement. Les antécédents judiciaires, policiers ou disciplinaires font également partie des critères énumérés, tout comme le fait de faire délibérément des déclarations fausses ou incomplètes dans le cadre du questionnaire de sécurité ou au cours d’un entretien avec les enquêteurs de l’ANS. La vérification des antécédents judiciaires est effectuée moyennant l’accès au bulletin n° 2 du casier judiciaire que l’ANS peut par ailleurs accéder une fois tous les douze mois pour chaque détenteur d’une habilitation de sécurité. La vérification des antécédents policiers est effectuée moyennant l’accès aux informations policières contenues dans la partie active du fichier central de la Police grand-ducale conformément aux dispositions de l’article 43quinquies de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale. Ces derniers critères (antécédents judiciaires, policiers ou disciplinaires), ainsi que les accès afférents prévus à l’article 45, répondent pleinement aux règles de l’OTAN et de l’UE en la matière : Concernant les règles de l’OTAN, elles résultent en effet de la directive AC/35-D/2000-REV 8 du 25 novembre 2020 sur la sécurité concernant le personnel. Le point 21c de la directive précitée AC/35-D/2000-REV 8, relatif aux « Eléments de l’enquête pour les habilitations des niveaux NATO CONFIDENTIEL, NATO SECRET et COSMIC TRES SECRET », prévoit ainsi ce qui suit : « (
2. c)vérification des dossiers nationaux et locaux : une vérification des dossiers des services de sécurité nationaux et des archives judiciaires centrales, si ces dernières existent et/ou d’autres dossiers gouvernementaux et de police comparables, est effectuée. » La directive AC/35-D/2000-REV 9 de l’OTAN du 11 février 2025, qui remplace la directive AC/35D/2000-REV 8 à partir du 1 juillet 2025, reprend les mêmes règles dans les termes suivants au paragraphe 21
3. c)relatif aux « Investigative requirements for NATO CONFIDENTIEL, NATO SECRET and COSMIC TRÈS SECRET clearances » : « (
4. c)national and local record check : a check shall be made of national security and central criminal records, where the latter exists, and/or other comparable governmental and police records ». Concernant les règles de l’UE, elles résultent de l’Annexe I à la Décision modifiée 2013/488/UE du Conseil du 23 septembre 2013 concernant les règles de sécurité aux fins de protection des informations classifiées de l’Union européenne, et plus particulièrement du paragraphe 10, point
5. c)qui prévoit ce qui suit : «
6. c)vérification des antécédents aux niveaux national et local: il convient de procéder à des vérifications dans des fichiers de la sûreté et les casiers judiciaires, lorsque ces derniers existent, et/ou dans d’autres registres analogues des administrations ou de la police. Il convient de vérifier les fichiers des services répressifs dans le ressort desquels la personne a résidé ou travaillé. » Il convient de noter dans ce contexte que les critères et accès applicables en application de la loi de 2004 répondent déjà actuellement – et ont par le passé pleinement répondu – aux règles précitées de l’OTAN et de l’UE, en ce qu’elles confèrent à l’ANS les accès requis par les dispositions précitées des directives de l’OTAN (AC/35-D/2000-REV 8 et AC/35-D/2000-REV 9) et de la Décision modifiée 2013/488/UE du Conseil. 17 Finalement, tout incident de sécurité passé en lien avec le demandeur est également à prendre en compte, tout comme, de manière générale, les comportements de nature à entraîner un risque de vulnérabilité au chantage ou à des pressions et le fait d’avoir fait preuve, en acte ou en parole, d’un manque d’honnêteté, de loyauté ou de fiabilité ou de s’être montré indigne de confiance. Ad article 45 – Accès aux traitements de données et aux informations par l’ANS La loi de 2004 ne comporte pas de liste autonome des accès aux traitements de données et aux renseignements dont dispose l’ANS pour obtenir et vérifier les informations nécessaires à l’application des critères visés à l’article précédent. Il y est fait référence aux accès dont dispose le SRE. Le présent article propose d’intégrer les accès dans une liste autonome d’accès de l’ANS. Le premier paragraphe liste les accès directs de l’ANS. Les six premiers accès ainsi que l’accès au RCS contribuent à corroborer et à compléter les données du demandeur quant à son état civil et à sa situation professionnelle. Le fichier des véhicules routiers et de leurs propriétaires et détenteurs permet d’établir si la possession d’un ou de plusieurs véhicules par un demandeur est cohérente par rapport à sa situation financière et ses revenus déclarés. En plus, le respect (ou non) par le demandeur de ses obligations administratives concernant les véhicules dans sa possession peut fournir des indications quant à sa fiabilité. La vérification du fichier des armes prohibées est susceptible de révéler le cas échéant des vulnérabilités existant dans le chef du demandeur. L’ANS peut également accéder à la partie active du fichier central de la Police grand-ducale, conformément aux dispositions de l’article 43quinquies de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale. Le deuxième paragraphe liste les accès indirects de l’ANS. L’accès au bulletin N°2 du casier judiciaire permet à l’ANS de retracer les antécédents judiciaires du demandeur. Pour la vérification de la situation financière du demandeur, l’ANS peut obtenir, via le directeur de l’Administration des contributions directes, un certificat de revenu du demandeur, une attestation de non-obligation dont il résulte que le demandeur d’une habilitation de sécurité est en règle avec ses obligations relatives au paiement de ses impôts, ainsi qu’un certificat de propriété ou de non-propriété immobilière. De même, l’ANS peut s’adresser par écrit à l’employeur du demandeur d’une habilitation de sécurité pour obtenir le cas échéant des informations concernant l’existence d’une saisie sur salaire du demandeur. 18 Toujours dans le contexte de la vérification de la situation financière du demandeur et des vulnérabilités aux pressions et au chantage, il est également proposé que ce dernier doive déclarer à l’ANS toute situation d’endettement personnel qui dépasse le seuil de 100.000 euros, à l’exception des dettes hypothécaires contractées pour l’acquisition de l’habitation principale. Du fait de l’ancrage de l’ANS au sein du SRE, le directeur du SRE dirige également l’ANS et accède ainsi aux demandes d’habilitations de sécurité. Il lui incombe de juger, à la lumière des critères de la présente loi, dans quelle mesure des informations concernant un demandeur, qui ont été obtenues dans l’exercice des missions légales du SRE et qui sont pertinentes pour l’appréciation des critères prévus à l’article 44 sont transmises à l’ANS dans le cadre d’une enquête de sécurité. Le troisième paragraphe prévoit les aménagements à faire au niveau du système informatique par lequel tout accès est opéré, visant à garantir à tout moment la possibilité de retraçage de l’identité de l’agent ayant consulté un fichier ainsi que les motifs précis et contenus de la consultation. Le quatrième paragraphe limite la consultation aux données à caractère personnel strictement nécessaires, dans le respect du principe de proportionnalité par rapport au but de l’application des critères légaux. Afin d’éviter qu’un titulaire d’une habilitation de sécurité qui s’est fait condamner puisse retenir cette information qui, potentiellement, a un impact sur sa capacité à garder son habilitation, le cinquième paragraphe prévoit que l’ANS, en dehors du cadre d’une enquête ou d’une enquête de sécurité ultérieure, et au maximum une fois tous les douze mois comptés à partir de la date de délivrance de l’habilitation de sécurité, peut s'adresser par écrit au procureur général d'Etat pour obtenir la communication du bulletin N°2 du casier judiciaire du détenteur d’une habilitation de sécurité pour vérifier qu’il n’a pas fait l’objet d’une condamnation depuis la dernière vérification. Soulignons encore que si les accès précités sont utiles à l’ANS pour l’application des critères visés à l’article précédent, ils ne couvrent pas l’entièreté de ces critères. Il n’existe par exemple pas d’accès de l’ANS aux banques de données médicales concernant les demandeurs. Pour pouvoir appliquer les critères non couverts par les accès, l’ANS doit chercher à obtenir les informations pertinentes via le questionnaire de sécurité ou les différents types d’entretien qu’elle peut effectuer avec le demandeur, notamment, ou, le cas échéant, son entourage. Ad article 46 – Clôture de l’enquête de sécurité Le présent article vise à encadrer la clôture de l’enquête de sécurité concernant les demandeurs personnes physiques. A la fin de l’enquête de sécurité, l’ANS est tenue d’émettre un rapport d’enquête qui inclut les conclusions quant aux garanties présentées par le demandeur. L’ANS doit donc se prononcer soit en faveur, soit en défaveur de l’attribution d’une habilitation de sécurité. Le deuxième paragraphe prévoit que si l’enquête de sécurité ou l’enquête de sécurité ultérieure n’a pas révélé d’indice de vulnérabilité potentielle par rapport aux critères légaux s’appliquant aux personnes physiques, l’ANS doit conclure que le demandeur présente les garanties légales et proposer la délivrance, le renouvellement ou le maintien de l’habilitation de sécurité. A défaut d’indices contraires, il faut admettre que le demandeur présente à suffisance les garanties légales nécessaires. 19 Le troisième paragraphe prévoit que si l’enquête de sécurité ou l’enquête de sécurité ultérieure a révélé des indices de vulnérabilité potentielle par rapport aux critères prévus à l’article 44, l’ANS peut conclure que le demandeur ne présente pas les garanties légales nécessaires et proposer le refus, le non-renouvellement ou la révocation de l’habilitation de sécurité. L’ANS n’est pas tenue de conclure automatiquement qu’en cas d’un indice de vulnérabilité potentielle dans le chef du demandeur, il ne présente pas les garanties légales nécessaires. En effet, l’ANS doit tenir compte, pour conclure, de l’ensemble des informations obtenues dans le cadre de son enquête. Dans ce contexte, il est concevable qu’un indice de vulnérabilité mineur puisse être géré de manière à justifier l’obtention d’une habilitation de sécurité d’un certain niveau. Au cas où son avis serait négatif, l’ANS est tenue de le motiver expressément pour chaque indice de vulnérabilité constaté. Le quatrième paragraphe concerne le cas, certes rare, dans lequel l’ANS ne peut conclure au respect des garanties légales nécessaires au-delà d’une certaine période. Un scénario possible serait, par exemple, le cas d’un demandeur qui, au moment de l’enquête de sécurité, présente les garanties nécessaires, tout en indiquant qu’il s’apprête à déménager, dans un délai d’un an, dans un Etat visé par un régime de sanctions international actuel. Dans un tel cas, l’ANS peut proposer la délivrance ou le renouvellement de l’habilitation de sécurité pour une durée correspondante. Le cinquième paragraphe prévoit que l’ANS doit adresser ses conclusions au ministre ayant le Service de renseignement de l’État dans ses attributions, pour décision quant à la demande d’habilitation concernée. La loi de 2004 mentionne le « Premier Ministre » comme ministre compétent pour l’ANS – or, comme l’ANS reste ancrée au sein du SRE et que le ministre compétent pour le SRE, selon la loi SRE, est le ministre ayant le renseignement de l’État dans ses attributions, il convient de tracer une parallèle dans le présent texte. Ad article 47 – Champ d’application de la présente section Le présent article délimite le champ d’application de la présente section. Il ne concerne que les habilitations de sécurité pour les personnes morales, à l’exclusion de celles pour personnes physiques. Ad article 48 – Niveau des habilitations de sécurité Au premier paragraphe, le présent article prévoit les niveaux des habilitations de sécurité pour personnes morales. Le niveau RESTREINT, prévu par la loi de 2004, est supprimé. Le deuxième paragraphe prévoit que le niveau de l’habilitation de sécurité qu’une personne morale peut solliciter est déterminé par le niveau de classification du contrat classifié ou des pièces classifiées auxquelles les personnes physiques concernées doivent accéder pour l’exercice de leur emploi, de leur fonction ou de leur mission. Ad article 49 – Contenu de la demande d’habilitation de sécurité 20 Le présent article vise à énumérer les éléments à fournir dans le cadre d’une demande d’habilitation de sécurité. Outre les données relatives à l’identité du demandeur personne morale et à son besoin concret de disposer d’une habilitation, le demandeur doit fournir le nom de l’autorité contractante (l'entité, publique ou privée, qui a l'autorité pour passer un marché public et qui est responsable de la gestion du contrat). Le demandeur doit également fournir une description du ou des lieux dans lesquels les pièces classifiées visées seront utilisées. Le représentant légal de la personne morale concernée doit en outre remplir un questionnaire de sécurité couvrant les garanties et critères visés aux articles suivants. Au deuxième paragraphe, les conditions de recevabilité d’une demande d’assistance étrangère à l’ANS sont énumérées. Ad article 50 – Conditions de délivrance, de renouvellement, de refus ou de révocation Le présent article prévoit les conditions de de délivrance, de renouvellement, de refus ou de révocation d’une habilitation de sécurité pour une personne morale. Le paragraphe 1 reprend la condition essentielle selon laquelle une personne morale ne peut devenir titulaire d’une habilitation de sécurité que si elle présente des garanties suffisantes, quant aux moyens matériels et techniques et aux méthodes utilisées pour protéger les pièces classifiées de niveau « CONFIDENTIEL » ou supérieur, et quant à la discrétion, la loyauté, la fiabilité et l’intégrité des personnes physiques susceptibles d’avoir accès à ces pièces. Afin de s’assurer de la vérification des garanties susvisées, le paragraphe 2 pose l’obligation d’effectuer une enquête de sécurité pour chaque demandeur d’une habilitation de sécurité, que ce soit une demande initiale ou une demande de renouvellement. Dans la même logique, le paragraphe 3 prévoit que la procédure de renouvellement de l’habilitation de sécurité est la même que celle pour la demande initiale. Le paragraphe 4 introduit, par rapport à la loi de 2004, la révocation d’une habilitation de sécurité à une personne morale qui ne présente plus les garanties légales nécessaires. En effet, il se peut que l’ANS obtienne – par l’officier de sécurité de la personne morale concernée ou par tout autre personne ou entité agissant dans le cadre de ses missions légales – des informations relatives à un changement concernant le dossier d’un titulaire d’une habilitation de sécurité, entraînant une enquête de sécurité ultérieure visant à vérifier si les garanties légales sont toujours réunies. Dans la négative, une révocation est décidée. Ad article 51 – Durée de validité de l’habilitation de sécurité Le présent article vise à fixer la durée de validité des habilitations de sécurité des personnes morales à cinq ans au maximum (paragraphe 1) quitte à pouvoir être renouvelée (paragraphe 2). 21 La durée fixée est sans préjudice de la révocation d’une habilitation de sécurité au sens de l’article 50, paragraphe 4, de la modification d’une habilitation de sécurité au sens de l’article 63 et ou de la caducité au sens de l’article 52. Il est proposé, au paragraphe 3, d’introduire la possibilité de proroger une habilitation de sécurité audelà de sa validité initiale, pour une durée maximale de douze mois, sous réserve qu’une demande de renouvellement d’habilitation de sécurité et le questionnaire de sécurité correspondant aient été soumis à l’ANS avant la date d’expiration de l’habilitation de sécurité en cours. En effet, il se peut, pour des raisons diverses, qu’un dossier de demande de renouvellement n’ait pas pu être clôturé à temps avant la fin de validité d’une habilitation de sécurité, alors que l’ANS ne dispose pas d’éléments indiquant que le demandeur ne remplit plus les conditions légales nécessaires. Dans ce cas, l’ANS peut proroger l’habilitation de sécurité initiale pour lui permettre de clôturer le dossier tout en permettant au demandeur de pouvoir continuer à exercer son emploi. Ad article 52 – Caducité de l’habilitation de sécurité Le présent article prévoit que l’habilitation de sécurité délivrée à une personne morale devient automatiquement caduque au moment de la radiation de la personne morale du registre de commerce et des sociétés. Ad article 53 – Portée de l’enquête de sécurité Le présent article vise à encadrer le but et l’envergure de l’enquête de sécurité concernant les personnes morales. Le premier paragraphe pose le but de l’enquête, à savoir la vérification que la personne morale présente les garanties suffisantes. Cette vérification est indissociablement basée sur l’application des critères d’appréciation légaux afin de lui donner un contour précis. Au deuxième paragraphe, l’envergure de l’enquête est définie. Outre sur la personne morale ellemême, elle s’étend à ses administrateurs, gérants et commissaires aux comptes, à son actionnariat et à ses bénéficiaires effectifs. Ces personnes exercent toutes une influence décisionnelle sur la personne morale et peuvent dès lors être susceptibles de constituer le cas échéant une vulnérabilité par rapport aux critères légaux. La liste proposée varie par rapport à celle retenue par l’article 21, paragraphe 2, de la loi de 2004 qui inclut, outre les administrateurs, gérants et commissaires, encore les préposés à l'administration ou à la gestion, les personnes qui mettent en œuvre le contrat, l'étude ou la production classifiés ainsi que la personne appelée à assumer les fonctions d'officier de sécurité. Or, la notion de « préposé à l’administration ou à la gestion » semble mieux être saisie par la notion de « gérant » ou « administrateur », donc de la personne chargée de la gestion effective. Les personnes mettant en œuvre le contrat, l'étude ou la production classifiés seront de toute façon soumises ellesmêmes à l’obligation de disposer d’une habilitation de sécurité et feront dès lors l’objet d’une enquête de sécurité propre, tout comme c’est le cas de l’officier de sécurité. Au troisième paragraphe, sont énumérés les différents éléments à prendre en compte dans le cadre de l’enquête, à savoir, notamment, les informations fournies via le questionnaire de sécurité, les résultats de la consultation des traitements de données et des informations auxquels l’ANS a accès, le 22 cas échéant, le résultat de la demande d’assistance étrangère auprès de l’autorité compétente étrangère et les informations reçues lors des entretiens prévus au paragraphe 5. Le paragraphe 4 prévoit une proportionnalité entre l’appréciation des critères légaux et le niveau de l’habilitation de sécurité demandé. Dans une optique de mitigation des risques, un indice de vulnérabilité dans le chef du demandeur pèsera donc plus lourd pour une demande visant une habilitation de sécurité à un niveau plus élevé. Il s’agit là d’une approche différente par rapport au concept contenu à l’article 21, paragraphe 3, de la loi de 2004 qui prévoit que « l'ampleur de l'enquête de sécurité varie en fonction du niveau de l'habilitation de sécurité requise ». Le présent texte propose que l’ampleur de l’enquête soit la même quel que soit le niveau d’habilitation demandé – cela étant, la « grille de lecture » et la sévérité de l’appréciation de l’enquêteur varieront en fonction du niveau d’habilitation. Le paragraphe 5 donne une base légale explicite à l’ANS pour demander à toute personne physique majeure de se présenter à un entretien, librement consenti, au cas où, lors de l’enquête de sécurité, l’ANS aurait révélé des indices de vulnérabilité potentielle par rapport au demandeur et au cas où cette personne physique majeure est susceptible d’être en mesure de fournir des informations y relatives. Comme pour les enquêtes concernant les personnes physiques, il s’agit d’un élément potentiellement important de l’enquête de sécurité. Cet entretien sert à compléter les informations reçues et permet à l’ANS de chercher des réponses à d’éventuelles questions ayant surgi de l’analyse du dossier de demande ou de la consultation des différents accès. Aujourd’hui déjà, de tels entretiens sont effectués par l’ANS sur base de l’article 21, paragraphe 4 de la loi de 2004. Le paragraphe 6 précise que le refus d’une personne de se présenter à un entretien tel que prévu au paragraphe 5 ou d’y fournir les informations sollicitées ne peut à lui seul permettre à l’ANS de proposer le refus ou la révocation de la demande d’habilitation de sécurité. Cette disposition s’explique par le besoin d’éviter une situation dans laquelle une personne tierce pourrait, par un refus de concourir à l’enquête, pour quelque raison que ce soit, bloquer à elle seule l’obtention d’une habilitation de sécurité d’un demandeur donné. Face à un éventuel refus d’une personne faisant partie de l’entourage de se présenter à un entretien, l’ANS doit utiliser les autres moyens légaux à sa disposition pour vérifier les garanties légales. On se place ici également dans la logique du règlement de sécurité de l’OTAN qui prévoit que « toute lacune dans un domaine d'enquête est compensée par le recours à d'autres moyens d'enquête, dans le respect des lois et règlements nationaux […]. »10 Ad article 54 – Enquête de sécurité ultérieure Le présent article concerne les enquêtes de sécurité ultérieures effectuées par l’ANS suite à la demande écrite du représentant légal de la personne morale, de l’officier de sécurité concerné ou de ses adjoints ou sur propre initiative de l’ANS suite au signalement ou au constat d’éléments de vulnérabilités susceptibles de mettre en cause les garanties visées à l’article 50, paragraphe 1er. Les enquêtes de sécurité ultérieures sont réalisées selon les mêmes modalités que celles prévues pour les enquêtes de sécurité. Ad article 55 – Coopération internationale 10 Point 23 de l’Annexe 1 de la Directive sur la sécurité concernant le personnel (AC/35-D/2000-REV9). 23 Par rapport à l’article 25, paragraphe 4 de la loi de 2004, et dans le but d’une meilleure lisibilité, le présent article vise à distinguer plus clairement deux hypothèses dans lesquelles l’ANS coopère avec des autorités étrangères. Au premier paragraphe, est visée l’hypothèse dans laquelle l’ANS agit comme autorité requérante dans le cadre des enquêtes de sécurité qu’elle effectue concernant les demandes d’habilitation de sécurité qui lui sont soumises en vertu de la présente loi. Au deuxième paragraphe, est visée l’hypothèse dans laquelle elle agit comme autorité requise par les autorités étrangères dans le cadre de leurs propres enquêtes de sécurité. Le paragraphe 3, se calquant sur l’article 9, paragraphe 4, alinéa 2, de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’État, prévoit les modalités d’échange direct des données à caractère personnel avec les autorités étrangères. Ad article 56 – Critères d’appréciation L’article 21, paragraphe 4 de la loi de 2004 prévoit aujourd’hui les critères que l’ANS doit prendre en compte dans le cadre de l’enquête de sécurité. Aucune distinction n’y est faite entre personnes physiques et morales. Le présent texte propose d’énumérer explicitement des critères et de les lier à la vérification des garanties légales tout en les concentrant sur la personne morale concernée. A ce propos, il convient de préciser que la liste des critères ne peut pas être une simple compilation des critères prévus par l’UE et par l’OTAN dans le cadre de leurs règlements de sécurité respectifs 11. Tout d’abord, les critères contenus dans ces règlements de sécurité ne sont pas identiques, même s’ils se recoupent par endroits. Mais, surtout, tant l’UE que l’OTAN prévoient une flexibilité totale pour la manière dont leurs Etats membres incorporent et appliquent les critères préconisés dans leur législation nationale12. 11 OTAN : Directive sur la sécurité industrielle et la sécurité des projets classifiés (AC/35-D/2003-REV5), point 37. UE : Décision modifiée du Conseil du 23 septembre 2013 concernant les règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne (2013/488/UE), Annexe V – Sécurité industrielle – III. 9. 12 Le point 37 de la Directive précitée de l’OTAN prévoit certes des « exigences minimales obligatoires », mais elle retient également que « les ANS/ASD de chacun des pays de l'OTAN sont chargées de délivrer une FSC appropriée aux établissements des contractants qui relèvent de leur juridiction et qui interviennent dans des contrats OTAN impliquant des informations classifiées NC [NATO CONFIDENTIAL] ou d'un niveau supérieur, conformément aux lois et règlements nationaux. » UE : L’article 11 de la Décision précitée du Conseil du 23 septembre 2013 prévoit ce qui suit : « […]4. L’autorité nationale de sécurité (ANS), l’autorité de sécurité désignée (ASD) ou toute autre autorité compétente de chaque État membre veille, autant que le permettent les dispositions législatives et réglementaires nationales, à ce que les contractants et les sous-traitants immatriculés sur le territoire dudit État prennent toutes les mesures appropriées pour protéger les ICUE dans le cadre de négociations précontractuelles et lors de l’exécution d’un contrat classifié. 5. L’ANS, l’ASD ou toute autre autorité compétente de chaque État membre veille, conformément aux dispositions législatives et réglementaires nationales, à ce que les contractants et les sous-traitants immatriculés sur le territoire de l’État membre concerné, qui participent à des contrats classifiés ou à des contrats de sous-traitance 24 Les critères retenus par le texte proposé visent à tenir compte des critères UE et OTAN tout en trouvant, pour chacun, des solutions en phase avec les réalités législatives nationales et la recherche permanente d’une proportionnalité entre, d’une part, le besoin, pour l’ANS, de pouvoir vérifier les garanties légales, et, d’autre part, le besoin de protéger le demandeur et son entourage contre toute intrusion démesurée et non justifiée dans leur vie privée. Soulignons que l’enquête de l’ANS est une enquête administrative et non judiciaire. L’enquêteur de l’ANS n’est pas un juge d’instruction, les personnes physiques jouant un rôle dans la gestion de la personne morale ne sont pas des prévenus. Il convient donc de proportionner les moyens de l’ANS à ses missions. Les critères d’appréciation énumérés au premier paragraphe obligent l’ANS à prendre en considération : 1° si la personne morale est la propriété ou contrôlée par des personnes physiques ou entités étrangères et s’il existe un risque pour la sécurité des pièces classifiées en raison d’une possible influence indue. En effet, la propriété ou le contrôle d’une personne morale par une personne ou entité étrangère peut le cas échéant être susceptible de créer une vulnérabilité en fonction des circonstances concrètes de chaque cas d’espèce, lorsque ces personnes exercent une influence sur cette dernière. Il convient notamment d’éviter qu’une personne physique qui n’aurait pas obtenu une habilitation de sécurité n’en obtienne par le biais d’une personne morale. 2° si la personne morale entretient ou a entretenu une relation avec des gouvernements, entités, groupes, organisations ou personnes liés à des activités criminelles, terroristes, extrémistes à propension violente, d’ingérence, d’espionnage, ou de prolifération d’armes de destruction massive ou de produits liés à la défense et de technologies y afférentes, auquel cas les garanties nécessaires seraient sérieusement mises en doute. 3° si la personne morale entretient ou a entretenu une relation avec des personnes suspectées d’agir au nom de ou d’obéir aux ordres d’une organisation ou d’un service de renseignement étranger et qui peuvent menacer la sécurité nationale, auquel cas les garanties nécessaires seraient sérieusement mises en doute. 4° si la personne morale présente un lien avec des gouvernements, entités, groupes, organisations ou personnes visés par un régime de sanctions des Nations unies ou de l’Union européenne, auquel cas les garanties nécessaires seraient sérieusement mises en doute. 5° si la personne morale a des antécédents judiciaires ou policiers. 6° si le personnel de la personne morale dispose d’une habilitation de sécurité appropriée. nécessitant l’accès à des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET au sein de leurs établissements, soient en possession, lors de l’exécution desdits contrats ou durant la phase précontractuelle, d’une habilitation nationale de sécurité d’établissement (HSE) du niveau de classification correspondant. » 25 7° si les locaux de la personne morale permettent de protéger correctement les pièces classifiées et qu’ils sont homologables. 8° si l’officier de sécurité et ses adjoints ont été nommés. 9° si les informations fournies dans le cadre de l’enquête de sécurité sont correctes. 10° s’il y a eu, dans le passé, un incident de sécurité impliquant le demandeur. Ad article 57 – Accès aux traitements de données et aux informations par l’ANS La loi de 2004 ne comporte pas de liste autonome des accès aux traitements de données et aux renseignements dont dispose l’ANS pour obtenir et vérifier les informations nécessaires à l’application des critères visés à l’article précédent. Il y est fait référence aux accès dont dispose le SRE. Le présent article propose d’intégrer les accès dans une liste autonome d’accès de l’ANS pour les enquêtes de sécurité concernant les personnes morales. Le premier paragraphe liste ainsi les accès directs de l’ANS. Les six premiers accès visent à établir l’identité de la personne morale et des personnes physiques ou morales qui assurent sa gestion et qui en ont la propriété ou le contrôle. Le septième accès relatif au fichier des véhicules routiers et de leurs propriétaires et détenteurs permet d’établir si la possession d’un ou de plusieurs véhicules par un demandeur est cohérente par rapport à sa situation financière et ses revenus déclarés. En plus, le respect (ou non) par le demandeur de ses obligations administratives concernant les véhicules dans sa possession peut fournir des indications quant à sa fiabilité. Le huitième accès vise à établir si des armes prohibées sont enregistrées sur le nom des personnes susvisées. Le neuvième accès vise à régler l’accès au RCS. Le dixième accès vise à régler l’accès de l’ANS au fichier central de la Police. Le deuxième paragraphe liste les accès indirects de l’ANS pour les enquêtes de sécurité concernant les personnes morales. Concernant les explications quant à l’accès indirect aux données policières et judiciaires, il est fait référence aux explications développées dans le cadre du commentaire de l’article 44. L’accès au bulletin N°2 du casier judiciaire permet à l’ANS de retracer les antécédents judiciaires du demandeur et des personnes en ayant la possession ou le contrôle. Pour la vérification de la situation financière du demandeur, l’ANS peut obtenir, via le directeur de l’Administration des contributions directes, une attestation de non-obligation dont il résulte que le 26 demandeur d’une habilitation de sécurité est en règle avec ses obligations relatives au paiement de ses impôts, ainsi qu’un certificat de propriété ou de non-propriété immobilière. Du fait de l’ancrage de l’ANS au sein du SRE, le directeur du SRE dirige également l’ANS et accède ainsi aux demandes d’habilitations de sécurité. Il lui incombe de juger, à la lumière des critères de la présente loi, dans quelle mesure des informations concernant les personnes visées à l’article 53, paragraphe 2, qui ont été obtenues dans l’exercice des missions légales du SRE et qui sont pertinentes pour l’appréciation des critères prévus à l’article 56 sont transmises à l’ANS dans le cadre d’une enquête de sécurité. Parmi les informations pertinentes se trouve le bénéficiaire effectif de la personne morale. Le troisième paragraphe prévoit les aménagements à faire au niveau du système informatique par lequel tout accès est opéré, visant à garantir à tout moment la possibilité de retraçage de l’identité de l’agent ayant consulté un fichier ainsi que les motifs précis et contenus de la consultation. Le quatrième paragraphe limite la consultation aux données à caractère personnel strictement nécessaires, dans le respect du principe de proportionnalité par rapport au but de l’application des critères légaux. Afin d’éviter qu’un titulaire d’une habilitation de sécurité qui s’est fait condamner puisse retenir cette information qui, potentiellement, a un impact sur sa capacité à garder son habilitation, le cinquième paragraphe prévoit que l’ANS, en dehors du cadre d’une enquête ou d’une enquête de sécurité ultérieure, et au maximum une fois tous les douze mois comptés à partir de la date de délivrance de l’habilitation de sécurité, s'adresser par écrit au procureur général d'Etat pour obtenir la communication du bulletin N°2 du casier judiciaire du détenteur d’une habilitation de sécurité pour vérifier qu’il n’a pas fait l’objet d’une condamnation depuis la dernière vérification. Ad article 58 – Clôture de l’enquête de sécurité Le présent article vise à encadrer la clôture de l’enquête de sécurité concernant les demandeurs personnes morales. A la fin de l’enquête de sécurité, l’ANS est tenue d’émettre un rapport d’enquête qui inclut les conclusions quant aux garanties présentées par le demandeur. L’ANS doit donc se prononcer soit en faveur, soit en défaveur de l’attribution d’une habilitation de sécurité. Le deuxième paragraphe prévoit que si l’enquête de sécurité n’a pas révélé d’indice de vulnérabilité potentielle par rapport aux critères légaux s’appliquant aux personnes physiques, l’ANS doit conclure que le demandeur présente les garanties légales et proposer la délivrance, le renouvellement ou le maintien de l’habilitation de sécurité. A défaut d’indices contraires, il faut admettre que le demandeur présente à suffisance les garanties légales nécessaires. Le troisième paragraphe prévoit que si l’enquête de sécurité a révélé des indices de vulnérabilité potentielle par rapport aux critères prévus à l’article 56, l’ANS peut conclure que le demandeur ne présente pas les garanties légales nécessaires et proposer le refus, le non-renouvellement ou la révocation de l’habilitation de sécurité. L’ANS n’est pas tenue de conclure automatiquement qu’en cas d’un indice de vulnérabilité potentielle dans le chef du demandeur, il ne présente pas les garanties légales nécessaires. En effet, l’ANS doit tenir compte, pour conclure, de l’ensemble des informations 27 obtenues dans le cadre de son enquête. Dans ce contexte, il est concevable qu’un indice de vulnérabilité mineur puisse être géré de manière à justifier l’obtention d’une habilitation de sécurité d’un certain niveau. Au cas où son avis serait négatif, l’ANS est tenue de le motiver expressément pour chaque indice de vulnérabilité constaté. Le quatrième paragraphe concerne le cas, certes rare, dans lequel l’ANS ne peut conclure au respect des garanties légales nécessaires au-delà d’une certaine période. Un scénario possible serait, par exemple, le cas d’un demandeur qui, au moment de l’enquête de sécurité, présente les garanties nécessaires, tout en indiquant qu’il s’apprête à transférer son siège social, dans un délai d’un an, dans un Etat visé par un régime de sanctions international actuel. Dans un tel cas, l’ANS peut proposer la délivrance ou le renouvellement de l’habilitation de sécurité pour une durée correspondante. Le cinquième paragraphe prévoit que l’ANS doit adresser ses conclusions au ministre. Ad article 59 – Champ d’application de la présente section Après la distinction entre personnes physiques et morales opérée dans les deux sections précédentes, le présent article, premier de la présente section, vise à clarifier que les dispositions de cette section, essentiellement procédurales, s’appliquent tant aux personnes physiques qu’aux personnes morales. Ad article 60 – Décision de délivrance ou de renouvellement de l’habilitation de sécurité L’enquête de sécurité est clôturée par les conclusions de l’ANS tendant à délivrer (ou non) une habilitation de sécurité. Le présent article concerne le cas dans lequel l’ANS a conclu dans le rapport d’enquête que le demandeur présente les garanties suffisantes. La décision de délivrer ou de renouveler est cependant prise par le ministre. Le deuxième paragraphe précise que l’habilitation de sécurité prend effet à la date de sa signature par le ministre. Ad article 61 – Décision de maintien, de refus et de révocation de l’habilitation de sécurité Le présent article établit que le ministre peut saisir la commission consultative pour donner un avis sur tout rapport d’enquête de l’ANS. Cette faculté existe donc aussi en cas de proposition de délivrance de l’ANS. Elle vise à permettre au ministre d’obtenir un avis supplémentaire en cas de doute persistant après l’enquête de sécurité. A chaque fois que la commission consultative est saisie, l’ANS lui remet le rapport d’enquête en question, ainsi que, sur demande, le dossier d’enquête dans son intégralité. Afin d’obtenir le cas échéant un supplément d’information, la commission consultative peut également décider d’entendre un membre de l’ANS ou la personne qui a fait l’objet de l’enquête de sécurité en question. 28 Le troisième paragraphe établit une obligation pour le ministre de saisir la commission consultative au cas où l’ANS a émis une proposition de refus ou de révocation. Le quatrième paragraphe prévoit que la commission consultative doit formuler un avis motivé à l’attention du ministre, se prononçant en faveur ou en défaveur du refus ou de la révocation. Le cinquième paragraphe prévoit que le ministre prend sa décision de maintenir, de refuser ou de révoquer une habilitation de sécurité sur base, d’une part, des conclusions de l’ANS, ainsi que, d’autre part, de l’avis motivé de la commission consultative. Le sixième paragraphe régit les droits de la personne qui s’est vu refuser ou révoquer l’habilitation de sécurité. Ad article 62 – Composition et fonctionnement de la commission consultative Le présent article prévoit la composition et le fonctionnement de la commission consultative. Il importe de lui donner une base légale afin de lui permettre de traiter les données à caractère personnel contenues dans les rapports d’enquête de l’ANS. La composition des membres de la commission consultative ne varie pas par rapport à celle prévue par l’article 27, paragraphe 2 de la loi de 2004. Le deuxième paragraphe règle la présidence et la représentation de la commission consultative. Au troisième paragraphe, la nomination d’un secrétaire de la commission consultative est prévue. Le quatrième paragraphe prévoit l’obligation pour les membres et le secrétaire de disposer d’une habilitation du niveau « TRÈS SECRET » et de respecter la confidentialité prévue à l’article 70. Ad article 63 – Modification d’une habilitation de sécurité Le présent article prévoit les règles relatives à la modification du niveau d’une habilitation de sécurité. En cas d’abaissement du niveau, il n’y a pas besoin pour l’ANS d’effectuer une nouvelle enquête de sécurité (paragraphe 1). Une demande de relèvement est cependant à traiter comme une nouvelle demande (paragraphes 2 et 3). Ad article 64 – Notification de la décision Le présent article règle la notification de la décision du ministre aux intéressés. Le ministre remet sa décision motivée à l’ANS (paragraphe 1). En cas de décision de délivrance, l’ANS la transmet à l’officier de sécurité du demandeur ou à ses adjoints, à charge pour eux d’en informer ce dernier (paragraphe 2). 29 En cas de refus ou de révocation, l’ANS en informe l’officier de sécurité, sans lui divulguer la décision motivée du ministre. En effet, l’officier de sécurité ou ses adjoints ont juste besoin de savoir que l’habilitation a été refusée ou révoquée mais n’ont pas besoin d’obtenir accès aux informations concernant le demandeur ayant mené à cette décision (paragraphe 3). Ad article 65 – Confirmation d’habilitation de sécurité Le présent article vise à conférer à l’ANS seule l’autorité pour émettre un certificat attestant qu’une personne détient une habilitation de sécurité. Cette disposition vise à assurer la crédibilité de ces certificats par rapport aux tiers légitimement intéressés. Ad article 66 – Mesures internes à l’ANS visant à assurer la confidentialité des données recueillies Le présent article vise à obliger l’ANS à prendre les mesures internes nécessaires afin d’éviter que les informations recueillies lors de l’enquête de sécurité soient détournées à d’autres fins. Ad article 67 – Statut La loi de 2004 prévoit que les fonctions de l’ANS sont assumées par le SRE. Le présent article vise à établir que l’ANS est intégrée au sein du SRE (paragraphe 1). En pratique, l’ANS est, aujourd’hui déjà, une division du SRE parmi d’autres. Au deuxième paragraphe, il est précisé que les missions de l’ANS sont exercées sous l’autorité et la direction du directeur du SRE. Cette précision vise à établir que le directeur du SRE est en même temps directeur de l’ANS. Ad article 68 – Missions Les missions de l’ANS sont énumérées dans le présent article. La protection des pièces classifiées est, de manière générale, sa mission principale. Le rôle de conseiller des entités concernées par cette protection est mis en avant. En effet, la pratique montre que les producteurs et destinataires de pièces classifiées et les entités dont ils dépendent ont une multitude de questions concernant la mise en œuvre des règles relatives à la protection des pièces classifiées. Ces questions se posent au moment de leur mise en conformité, quand il s’agit de préparer les lieux concernés à leur homologation, mais également au quotidien, dans le maniement des pièces classifiées et des habilitations de sécurité. L’ANS doit être en mesure d’y répondre. L’ANS coordonne également les efforts de sensibilisation qui sont entrepris de manière décentralisée par les officiers de sécurité. Il convient en effet d’assurer la transmission d’une information homogène afin de fortifier l’architecture de sécurité autour des pièces classifiées. L’homologation des lieux et SIC concernés rentre également dans les missions de l’ANS. Il en va de même pour la mise en œuvre des enquêtes de sécurité. 30 Finalement, l’ANS est chargée de la coopération internationale en matière de pièces classifiées. Elle entretient des liens avec ses homologues étrangères afin de permettre un partage d’expériences et un échange fluide sur base des dispositions légales et conventionnelles applicables. Ad article 69 – Traitement des données recueillies Le présent article vise à encadrer le traitement des informations collectées par l’ANS dans le cadre de l’exercice de ses missions légales. Ad article 70 – Obligation de confidentialité Le présent article prévoit les peines pénales à l’encontre des agents affectés aux missions de l’ANS qui sont dépositaires des informations qui leur sont confiées dans l'exercice de leurs missions ou de leur coopération, et qui, hormis le cas dans lequel ils sont appelés à rendre témoignage en justice et celui dans lequel la loi les oblige à faire connaître ces informations, les auront révélées. L’interdiction de révéler lesdites informations subsiste même lorsque les agents ont cessé leurs fonctions. Cette disposition, qui est inspirée de l’article 22 de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat, vise à souligner l’importance attachée à la sensibilité et à la protection des informations que les agents de l’ANS accèdent dans le cadre de leur travail. Tout demandeur d’une habilitation doit pouvoir se soumettre à une enquête de sécurité dans la confiance que les informations le concernant qui sont traitées dans ce contexte restent strictement internes à l’ANS. Ad article 71 – Compromission En raison de la gravité d’un tel acte, le présent article prévoit des sanctions pénales allant d’un mois à un an d’emprisonnement et d’une amende de 251 euros à 125 000 euros pour les personnes qui auront sciemment commis un incident de sécurité causant, directement ou indirectement, la compromission de pièces classifiées (paragraphe 1). Des peines plus lourdes sont prévues si le fait a été commis, soit dans l’intention de nuire aux intérêts protégés par la présente loi, soit pour se procurer un avantage illicite (paragraphe 2). Ad article 72 – Modification de la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’Etat Le présent article vise à modifier l’article 2 de la loi organique du Centre des technologies de l’information de l’État à quatre endroits. La loi modifiée du 20 avril 2009 portant création du CTIE prévoit à l’article 2, point t), que le CTIE a pour mission la planification, la mise en place, la gestion, l’exploitation et l’assurance de la disponibilité des systèmes de communication et d’information classifiés permettant la consultation politique et l’échange d’informations au profit du Gouvernement. 31 Premièrement, il est proposé de modifier le point
7. t)précité dans ce sens que le CTIE a pour mission d’exercer la fonction d’autorité opérationnelle qui comporte : - les aspects déjà couverts dans la loi actuelle du CTIE ; - l’élaboration des documents relatifs à la sécurité et la formation des utilisateurs des SIC, propres à chaque SIC ; - la mise en œuvre et la gestion des mesures de sécurité et de l’assurance de l’information classifiée, propres à chaque SIC ; et - la participation à la sélection des mesures et des dispositifs de sécurité TEMPEST et la veille à ce qu’ils soient installés et entretenus de manière sûre en coopération avec l’autorité nationale TEMPEST. Le SRE opère des SIC qui ne sont opérés au niveau national par aucun autre acteur et qui servent à la communication avec des services partenaires. Pour ces SIC, l’article 2, point
8. t)prévoit que le SRE assure lui-même la fonction d’autorité opérationnelle. Finalement, le CTIE peut désigner des entités publiques ou privées pour assumer elles-mêmes la fonction d’autorité opérationnelle pour les SIC qu’elles opèrent. En effet, il s’avère que de plus en plus d’entreprises nationales participent à des projets classifiés UE ou OTAN, qui sont d’intérêt public et qui sont soutenus par le Gouvernement, sans être directement à son profit. Le CTIE ne pouvant agir comme autorité opérationnelle pour toutes ces entités, la loi prévoit la possibilité de leur conférer la fonction d’autorité opérationnelle. Cette désignation est conditionnée par l’introduction d’une demande en ce sens par les entités concernées, par leur capacité à justifier cette demande par les besoins émanant de la réalisation de projets d’intérêt public et par leur capacité à respecter les mesures de protection applicables aux pièces classifiées. Sous ces conditions, cette ouverture permet notamment aux entreprises participant à des projets classifiés UE ou OTAN d’opérer elles-mêmes leur infrastructure en matière de SIC, ce qui devrait faciliter et accélérer leur participation auxdits projets et constituer ainsi un facteur de compétitivité pour les secteurs concernés de l’économie nationale. L’ANS informe le centre si l’entité concernée ne respecte plus les conditions visées. Le centre procède alors à la révocation de la désignation en question. Deuxièmement, il est proposé de modifier l’article 2, point u), de la loi organique du CTIE, dans ce sens que le CTIE a pour mission d’exercer la fonction d’autorité nationale de distribution cryptographique. En suivant le raisonnement développé supra pour les modifications visées au point t), il est prévu que le SRE gère et distribue le matériel cryptographique lié aux SIC qu’il opère exclusivement. Il est par ailleurs permis au CTIE de désigner les entités publiques ou privées pouvant faire de même pour les SIC qu’elles opèrent. Troisièmement, il est proposé de modifier l’article 2, point v), de la loi organique du CTIE pour expliciter le rôle du CTIE dans la gestion du Bureau d’ordre central. Quatrièmement, l’article 2, point z), est modifié pour restructurer l’énumération des compétences du CTIE en tant qu’autorité nationale d’agrément cryptographique. Ad article 73 – Modification de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’État Le présent article vise à modifier la loi organique du SRE pour y introduire un troisième directeur adjoint. 32 Cette modification porte le nombre de membres de la direction du SRE de trois à quatre. Alors que la loi modifiée de 2016 prévoit qu’au moins un membre de la direction du SRE soit juriste de formation, ce nombre est porté à deux avec la précision que le membre de la direction dont les attributions comportent la gestion journalière de l’ANS doit être juriste. L’ajout d’un membre de direction se justifie d’une part par la quantité de travail de l’ANS qui est en permanente croissance, que ce soit dans le domaine des habilitations de sécurité (1.179 nouveaux dossiers d’enquête en 2024 contre 700 en 2023) aussi bien que dans le nombre d’entités gérant des pièces classifiées qui ont besoin que leurs lieux et SIC soient homologués. La croissance de la population et du nombre de fonctionnaires et employés appelés à obtenir accès aux pièces classifiées dans le cadre de leur emploi ainsi que l’essor d’entreprises participant à des projets classifiés, favorisés par la situation géopolitique, devraient confirmer cette tendance dans les années à venir. La mise en œuvre du nouveau cadre légal concernant la protection des pièces classifiées justifie en outre que le membre de la direction suivant de plus près les activités de l’ANS soit juriste de formation. L’interprétation de la loi devra se faire au plus près possible de la lettre de la loi et de la volonté du législateur, sachant que l’ANS traite d’une grande quantité de données à caractère personnel et que la recherche de l’équilibre entre les besoins d’enquête de l’ANS et le droit du demandeur à la protection de ses données privées est une tâche constante. La perspective de juriste est également utile pour la négociation et l’interprétation des conventions internationales et des règlements de sécurité. Ad article 74 – Modification de la loi modifiée du 23 juillet 2016 portant création d’un HautCommissariat à la Protection nationale Le présent article propose de modifier l’article 3, 1 ter, point h), de la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale afin de restructurer et de préciser le rôle du HCPN en tant qu’autorité nationale TEMPEST. Ad article 75 – Modification de la loi modifiée du 17 août 2018 relative à l’archivage La loi modifiée du 17 août 2018 relative à l’archivage est modifiée étant donné que le terme « archives publiques » apparaît impropre dans le contexte de la classification, la législation pertinente visant les pièces et non pas les archives publiques qui sont classifiées. L’occasion est saisie pour remplacer également la référence à la loi de 2004 par une référence à la présente loi. Ad article 76 – Abrogation de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité Le présent article vise à abroger la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité et à la remplacer par le présent texte qui est censé constituer un cadre légal nouveau et complet concernant la protection des pièces classifiées. Les renvois légaux à la loi de 2004 sont ainsi remplacés via renvoi dynamique au présent texte. 33 Ad article 77 – Pièces classifiées en application de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité Le présent article vise à maintenir la protection de la classification des pièces classifiées conformément à la loi de 2004 au moment de l’abrogation de cette loi et de l’entrée en vigueur du présent texte afin d’éviter que ces pièces n’aient besoin d’être classifiées à nouveau. A partir de l’entrée en vigueur du présent texte, ces pièces sont régies par les règles qu’il contient. Ad article 78 – Habilitations de sécurité et homologations délivrées en application de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité Le présent article vise à maintenir la validité des habilitations de sécurité et des homologations délivrées conformément à la loi de 2004 au moment de l’abrogation de cette loi et de l’entrée en vigueur du présent texte afin d’éviter que ces habilitations n’aient besoin d’être délivrées à nouveau. A partir de l’entrée en vigueur du présent texte, ces habilitations sont régies par les règles qu’il contient. Dans cette logique, les habilitations de sécurité du niveau « RESTREINT » deviennent caduques au moment de l’entrée en vigueur de la présente loi. Ad article 79 – Entrée en vigueur Le présent article vise à fixer l’entrée en vigueur du présent texte au premier jour du premier mois qui suit sa publication au Journal officiel. 34