Texte 2024011702
TITRE Ier.- Définitions
Article 1er. Pour l'application du présent arrêté, l'on entend par :
1°" la loi " : la loi du 11 décembre 1998 relative à la classification, aux habilitations de sécurité, aux avis de sécurité et au service public réglementé ;
2°" fonctionnaire dirigeant " : la personne à laquelle est confiée, par nomination définitive ou par mandat, la direction d'une administration publique, d'un organisme d'intérêt public ou d'une entreprise publique autonome ou son remplaçant ;
3°" compromission " : la situation dans laquelle des informations classifiées, à la suite d'une négligence, d'une brèche de sécurité ou d'une activité nuisible, ont perdu leur confidentialité, intégrité ou disponibilité, ou dans laquelle des services et moyens d'appui ont perdu leur intégrité ou disponibilité, en ce compris la perte, la divulgation à des personnes non autorisées, la modification non autorisée, la destruction d'une manière non autorisée ou le déni de service ;
4°" incident de sécurité " : un acte ou une omission, intentionnel ou non, contraire aux dispositions d'un accord international, de la réglementation de l'Union européenne, de la loi, du présent arrêté et des directives de l'Autorité nationale de Sécurité dans ce domaine, par laquelle des informations classifiées ou des services et moyens d'appui sont effectivement ou potentiellement mis en péril ;
5°" Autorité nationale de Sécurité " : l'autorité visée à l'article 1ter de la loi ;
6°" Conseil national de Sécurité " : l'organe politique stratégique et de coordination créée par l'arrêté royal du 28 janvier 2015 portant création du Conseil national de sécurité, du Comité stratégique du renseignement et de la sécurité et du Comité de coordination du renseignement et de la sécurité ;
7°" sécurité industrielle " : l'application de mesures de protection en vue de prévenir, de détecter et de réparer la compromission d'informations classifiées lors des négociations précontractuelles et durant l'exécution d'un marché public ;
8°" titulaire " : une personne physique ou morale habilitée conformément au titre III, chapitre 5 du présent arrêté qui, sur base d'un besoin d'en connaître avéré, est en possession d'informations classifiées et à laquelle il incombe par conséquent d'en assurer la protection, conformément à la loi, au présent arrêté et aux directives de l'Autorité nationale de Sécurité ;
9°" porteur " : toute personne chargée de transporter des informations classifiées et en possession d'une habilitation de sécurité valable d'un niveau au moins équivalent à celui des informations transportées, mais qui n'a pas qualité pour prendre connaissance de leur contenu ;
10°" organes " : tous les membres de l'organe d'administration, de la gestion journalière et toutes les autres personnes qui détiennent le pouvoir de gérer effectivement la personne morale, à savoir administrateurs, membres du conseil de surveillance, membres du conseil de direction, représentants permanents, personnes chargées de la gestion journalière et dirigeants de fait ;
11°" préposés " : toutes les personnes qui, dans le cadre d'une convention, à titre onéreux ou non, exécutent un rôle ou une tâche sous la direction et le contrôle d'une autre personne ;
12°" personne morale " : toute personne morale qui n'est pas une entité de droit public belge ;
13°" personne de contact pour la sécurité " : le fonctionnaire, le membre du personnel ou la personne contractuellement liée à l'entité, disposant de la nationalité belge et d'un avis de sécurité positif tel que défini à l'article 24 de la loi qui, dans une administration publique, un organisme d'intérêt public, une entreprise publique autonome ou une personne morale sans habilitation de sécurité, est désigné par le ministre ou son délégué, ou, à défaut de tutelle d'un ministre, le chef de cette administration publique, de cet organisme d'intérêt public ou de cette entreprise publique autonome, ou par l'organe d'administration de cette personne morale pour veiller à l'observation des règles de sécurité relatives à l'utilisation d'informations classifiées de niveau " RESTREINT " ;
14°" entité " : une organisation, avec ou sans responsabilité juridique, qui exerce une ou plusieurs activités spécifiques nécessitant l'utilisation d'informations classifiées ;
15°" autorité fonctionnelle d'un système de communication et d'information " : la personne ou l'entité responsable de l'élaboration, du développement, de l'entretien et/ou du fonctionnement d'un système de communication et d'information qui apporte un appui à un ou plusieurs processus.
TITRE II.- ROLES ET RESPONSABILITES
Chapitre 1er.- L'OFFICIER DE SéCURITé
Art. 2.En application de l'article 1bis, 15°, a) de la loi, les membres du Gouvernement fédéral et des gouvernements des entités fédérées désignent, dans la mesure où ils souhaitent utiliser des informations classifiées, un officier de sécurité au sein de leur cellule stratégique et au moins un officier de sécurité au sein de chaque administration publique relevant de leur autorité, dans laquelle des informations classifiées de niveau " CONFIDENTIEL " ou supérieur sont utilisées.
L'officier de sécurité est, si possible, remplacé par la personne dont le nom a été communiqué à l'autorité qui a désigné l'officier de sécurité, tel que visé à l'alinéa 1er. Les conditions d'accès à ce remplacement sont les mêmes que celles exigées pour la fonction d'officier de sécurité déterminées par la loi et le présent arrêté.
Art. 3.Seules les personnes qui possèdent la nationalité belge peuvent exercer la fonction d'officier de sécurité.
Art. 4.L'Autorité nationale de Sécurité fixe les modalités du contrôle de l'exécution des missions de l'officier de sécurité.
Chapitre 2.- LA PERSONNE DE CONTACT POUR LA SéCURITé
Art. 5.En ce qui concerne l'utilisation d'informations classifiées de niveau " RESTREINT ", la personne de contact pour la sécurité :
1°est le point de contact permanent pour l'Autorité nationale de Sécurité et les autorités de sécurité visées à l'article 1quinquies de la loi, représente auprès de celles-ci la personne morale pour ce qui concerne tous les aspects de sécurité et est compétente pour prendre les mesures et décisions requises ;
2°est chargée de contrôler la conformité de la sécurité des informations classifiées susmentionnées, conformément aux mesures de protection décrites dans la loi, le présent arrêté et les directives de l'Autorité nationale de Sécurité ;
3°est chargée de prêter son concours lors des contrôles, des audits et des enquêtes effectués par l'Autorité nationale de Sécurité et les autorités de sécurité visées à l'article 1quinquies de la loi;
4°est responsable des signalements et des enquêtes administratives internes relatifs aux incidents de sécurité et compromissions, ainsi que de prendre des mesures à cet égard, conformément aux instructions de l'autorité de sécurité compétente ;
5°est chargée de rappeler régulièrement au personnel devant avoir accès aux informations classifiées de niveau " RESTREINT ", les restrictions en matière d'utilisation des informations classifiées de niveau " RESTREINT " et les mesures de protection en vigueur.
Art. 6.La personne de contact pour la sécurité :
1°a pris connaissance des mesures de protection relatives aux informations classifiées de niveau " RESTREINT " ;
2°confirme par écrit à l'Autorité nationale de Sécurité selon le modèle établi par l'Autorité nationale de Sécurité, avoir entièrement compris les responsabilités et les mesures de protection imposées.
Art. 7.Si un officier de sécurité a déjà été désigné au sein de l'entité visée à l'article 1er, 14°, aucune personne de contact pour la sécurité n'est désignée.
L'officier de sécurité exerce dans ce cas les missions de la personne de contact pour la sécurité, sans devoir être en possession d'un avis de sécurité positif, tel que visé à l'article 24 de la loi.
Art. 8.L'Autorité nationale de Sécurité fixe les modalités du contrôle de l'exécution des missions de la personne de contact pour la sécurité et peut déterminer des modalités complémentaires de désignation.
Chapitre 3.- L'AUTORITé FONCTIONNELLE D'UN SYSTEME DE COMMUNICATION ET D'INFORMATION
Art. 9.L'autorité fonctionnelle d'un système de communication et d'information, telle que visée au titre III, chapitre 3 du présent arrêté :
1°prend contact, dans le cadre d'un projet d'approbation d'un système de communication et d'information, avec l'Autorité nationale de Sécurité afin de fixer les normes et exigences de sécurité pertinentes et de démarrer le processus d'approbation, en coopération avec l'officier de sécurité ou la personne de contact pour la sécurité ;
2°veille à ce que les mesures de sécurité répondent aux exigences de la loi, du présent arrêté et des directives de l'Autorité nationale de Sécurité et à ce que le système de communication et d'information ne traite aucune information classifiée avant approbation ;
3°évalue au moins une fois par an les mesures de protection mises en place dans un système de communication et d'information, en ce compris le plan de sécurité, et transmet cette évaluation à l'Autorité nationale de Sécurité, après avoir informé l'officier de sécurité ou la personne de contact pour la sécurité ;
4°consulte et tient informé l'officier de sécurité ou la personne de contact pour la sécurité sur des questions en lien avec la sécurité du système de communication et d'information ;
5°signale toute modification prévue du système de communication et d'information à l'Autorité nationale de Sécurité au moyen d'une déclaration de conformité, après avoir informé l'officier de sécurité ou la personne de contact pour la sécurité ;
6°avertit l'officier de sécurité ou la personne de contact pour la sécurité en cas d'incident de sécurité dans le système de communication et d'information indiquant que celui-ci ne peut plus protéger les informations classifiées de manière adéquate ;
7°prend, après consultation de l'officier de sécurité ou la personne de contact pour la sécurité, contact avec l'Autorité nationale de Sécurité, pour avis concernant l'approche à suivre, dans les 24h qui suivent un incident de sécurité ou la prise de connaissance d'informations dont il ressort que le système de communication et d'information n'est (en partie) plus apte à protéger adéquatement les informations classifiées ;
8°prête à tout moment son concours à l'Autorité nationale de Sécurité pour effectuer les tâches relatives à l'approbation et au contrôle du système de communication et d'information qui incombent à cette instance ;
9°prévoit les sensibilisations et formations nécessaires pour ses préposés.
TITRE III.- Informations classifiées
Chapitre 1er.- Mesures de protection applicables lors de la classification et de la gestion d'informations classifiées
Section 1ère.- Disposition générale
Art. 10.Les règles relatives à la procédure pour la classification, la modification du niveau de classification et la déclassification et aux mesures de protection inhérentes à la classification, contenues dans le présent arrêté, ne portent pas préjudice à la faculté de chaque ministre et du chef du Service Général du Renseignement et de la Sécurité des Forces armées en ce qui concerne la Défense, de prescrire des règles complémentaires d'ordre technique.
Section 2.- Personnes et autorités compétentes pour la classification, la modification du niveau de classification et la déclassification
Art. 11.Les personnes ou autorités, générant des informations classifiées sous l'autorité ou à l'instruction d'une autorité administrative, ainsi que le procureur fédéral et les magistrats qu'il délègue à cette fin et le procureur général qui représente le Collège des procureurs généraux dans le Comité de coordination du renseignement et de la sécurité, doivent être titulaires d'une habilitation de sécurité de niveau " SECRET " au minimum afin de procéder, conformément aux dispositions du présent arrêté et aux directives de l'Autorité nationale de Sécurité, à :
1°la classification;
2°la modification du niveau de classification;
3°la déclassification.
Les personnes ou personnes morales visées au premier alinéa attribuent un niveau de classification tel que défini à l'article 4 de la loi, sans toutefois attribuer un niveau de classification supérieur au niveau de l'habilitation de sécurité dont elles sont titulaires.
Art. 12.Seules les personnes suivantes, dans la mesure où celles-ci possèdent une habilitation de sécurité du niveau de classification correspondante, sont habilitées à classifier, modifier ou déclassifier un niveau de classification " TRES SECRET " :
1°les membres permanents du Comité de coordination du renseignement et de la sécurité ;
2°le chef de la Défense et les officiers et fonctionnaires civils qu'il délègue à cette fin, qui sont au moins de niveau A, ainsi que les attachés de la Défense ;
3°le chef du Service général du Renseignement et de la Sécurité des Forces armées et les agents qu'il délègue à cette fin ;
4°l'administrateur général de la Sûreté de l'Etat et les agents qu'il délègue à cet effet ;
5°le commissaire général de la Police fédérale et les membres qu'il délègue à cet effet ;
6°le directeur général de l'Agence fédérale de Contrôle nucléaire ;
7°le secrétaire du Conseil des Ministres ;
8°la personne qui assure le secrétariat du Conseil national de Sécurité ;
9°le Président du Comité de Direction du Service public fédéral Affaires étrangères, Commerce extérieur et Coopération au Développement, les membres qu'il délègue à cet effet et les chefs des missions diplomatiques ou des postes consulaires ;
10°les fonctionnaires dirigeants désignés par le Conseil national de Sécurité ;
11°le procureur fédéral et les magistrats qu'il délègue à cet effet ;
12°le directeur et les membres de l'Organe de Coordination pour l'Analyse de la Menace compétents, désignés par celui-ci ;
13°le Comité permanent R, le chef de son Service d'Enquêtes, son greffier et le personnel ou les membres du personnel ou membres du Service d'Enquêtes de niveau A désignés à cet effet par le Comité.
Section 3.- Gestion des informations classifiées
Sous-section 1ère.- Disposition générale
Art. 13.L'Autorité nationale de Sécurité peut déterminer des mesures supplémentaires de nature administrative et technique pour la gestion des informations classifiées.
Sous-section 2.- Marquages
Art. 14.Les autorités et personnes compétentes pour classifier, modifier le niveau de classification ou déclassifier veillent à ce que les informations classifiées soient marquées conformément aux dispositions du présent arrêté et à ce que ces marquages soient clairement visibles.
Une modification d'un niveau de classification ou une déclassification est également clairement marquée sur les informations classifiées.
Art. 15.Le niveau de classification d'informations classifiées ne peut être ni modifié ni déclassifié sans l'autorisation écrite de l'autorité d'origine, de même que les marquages visés aux articles 16, 17, 18 et 20 ne peuvent pas être modifiés ou supprimés.
Art. 16.L'autorité ou la personne compétente indique clairement et correctement le niveau de classification sur les informations classifiées, conformément aux alinéas 2 et 3, et les éventuelles restrictions de diffusion conformément à l'article 18.
Chaque page d'un document classifié est numérotée et marquée du niveau de classification attribué au document et porte la mention " TRES SECRET ", " SECRET ", " CONFIDENTIEL " ou " RESTREINT ", ou la mention " ZEER GEHEIM ", " GEHEIM ", " VERTROUWELIJK " ou " BEPERKT ", selon que le document est rédigé en français ou en néerlandais.
La mention visée à l'alinéa 2 doit être suivie de la mention " (Wet 11.12.1998) " ou de la mention " (Loi 11.12.1998) ", selon que le document est rédigé en néerlandais ou en français.
Si le document est rédigé dans une langue autre que le néerlandais ou le français, le marquage en néerlandais ou en français doit être complété par son équivalent international en langue anglaise repris dans le tableau comparatif de l'annexe 1.
A défaut d'un marquage adéquat et complet, conformément aux alinéas 1er à 4 ainsi qu'à l'article 20, le titulaire du document prend contact par écrit avec l'autorité ou la personne compétente pour demander une correction.
A défaut d'une correction, le document en question sera considéré comme non-classifié.
Art. 17.Des parties distinctes d'un même document peuvent requérir des niveaux de classification différents et être marquées en conséquence, y compris si elles sont traitées sous forme électronique.
Art. 18.Il est possible d'apposer des marquages supplémentaires, tels que :
1°des restrictions d'utilisation ou d'accès;
2°la date ou l'évènement spécifique au-delà duquel le niveau de classification sera revu ou abrogé.
Art. 19.§ 1er. Les informations classifiées échangées dans le cadre de conventions ou de traités internationaux qui lient la Belgique, sont protégées par le niveau de classification belge correspondant, mentionné dans le tableau comparatif de l'annexe 1.
§ 2. Sous réserve des conventions et traités internationaux visés au paragraphe 1er, les informations classifiées échangées dans un cadre international par le Service général du Renseignement et de la Sécurité des Forces armées, le Ministère de la Défense ou par d'autres services publics fédéraux sont, pour ce qui concerne ces services, protégées par le niveau de classification belge correspondant comme déterminé dans les accords conclus à cet effet.
§ 3. Le cas échéant, le niveau de classification belge correspondant ainsi que des marquages supplémentaires seront apposés sur ces informations classifiées.
Sous-section 3.- Déclassification du niveau de classification " RESTREINT "
Art. 20.Les informations classifiées au niveau de classification " RESTREINT " indiqueront une date de finalisation et resteront classifiées pendant maximum dix ans après cette date, à moins qu'une date ne soit expressément indiquée sous la mention " RESTREINT " à partir de laquelle ces informations sont automatiquement déclassifiées. Cette dernière date ne peut pas dépasser dix ans après la date de finalisation de l'information classifiée au niveau " RESTREINT ".
L'article 7, § 5, de la loi s'applique aux informations classifiées de niveau " RESTREINT " émanant d'une autorité d'origine étrangère ou supranationale ainsi qu'aux informations classifiées mixtes.
Sous-section 4.- Classification ou déclassification collectives
Art. 21.Des pièces existantes peuvent faire l'objet d'une classification ou déclassification collectives suite à la décision expresse de l'autorité d'origine.
La classification ou la déclassification collectives consistent à attribuer ou à abroger un degré de classification général à un ensemble de documents, à un fichier ou à un ensemble de dossiers identifiables par sujet, sur quelque support que ce soit, sans procéder à la classification ou à la déclassification détaillées pour chaque document, fiche ou dossier.
Les dispositions de la sous-section 2 ne s'appliquent pas aux documents classifiés en vertu des alinéas 1er et 2.
Sous-section 5.- Enregistrement
Art. 22.L'enregistrement indique sans équivoque le titulaire clairement identifié auquel les informations classifiées sont attribuées.
Art. 23.Par dérogation à l'article 22, les informations classifiées de niveau " RESTREINT " ne sont pas enregistrées. Par la seule prise de connaissance de ces informations, le titulaire assume la responsabilité de la protection de ces informations classifiées, conformément à la loi, au présent arrêté et aux directives de l'Autorité nationale de Sécurité, après avoir été informé par l'autorité d'origine des restrictions d'utilisation des informations classifiées de niveau " RESTREINT " et des mesures de protection applicables.
Lorsqu'elles entrent dans l'entité ou sortent de cette entité, les informations classifiées de niveau " CONFIDENTIEL " ou " SECRET " sont toujours enregistrées dans un registre spécialement prévu à cet effet.
Les informations classifiées de niveau " TRES SECRET " sont toujours enregistrées dans un registre spécialement prévu à cet effet, distinct du registre visé à l'alinéa 2.
Les informations classifiées de niveau " CONFIDENTIEL " qui sont imprimées par un membre du personnel de l'entité et qui ne sortent pas de l'entité, ne sont pas enregistrées.
Les projets de textes, les documents de travail et les impressions personnelles d'informations classifiées de niveau " SECRET ", s'ils ne sortent pas de l'entité, ne doivent pas être enregistrés pendant 5 jours ouvrables. Une fois que ce délai de 5 jours ouvrables à compter de l'impression du document est écoulé, il convient de les détruire ou de les enregistrer.
Les registres non-électroniques visés aux alinéas 2 et 3 peuvent aussi être tenus sous une forme électronique qui remplit les conditions relatives au niveau de classification " CONFIDENTIEL " au moins, conformément à la loi, au présent arrêté et aux directives de l'Autorité nationale de Sécurité.
Art. 24.L'utilisation d'informations classifiées dans un système de communication et d'information approuvé doit être enregistrée au moyen de processus internes à ce système de communication et d'information.
Art. 25.Les titulaires des informations classifiées de niveau " SECRET " ou " TRES SECRET " en connaissent la localisation.
Sous-section 6.- Reproduction et traduction
Art. 26.La reproduction ou la traduction, partielle ou complète, d'une pièce classifiée " TRES SECRET " ne peut avoir lieu sans l'accord écrit préalable exprès de l'autorité d'origine.
Art. 27.Lorsque l'autorité d'origine de documents classifiés du niveau " SECRET " ou inférieur n'a pas imposé de restrictions à leur reproduction ou à leur traduction, lesdits documents peuvent être reproduits ou traduits sur instruction du titulaire.
Art. 28.Les mesures de protection applicables au document original le sont aussi à ses reproductions et à ses traductions.
Sous-section 7.- Transmission et transport
Art. 29.L'information classifiée doit être transmise selon les modalités suivantes :
1°par porteur, sous double enveloppe fermée, le niveau de classification ne figurant que sur l'enveloppe intérieure ; ou
2°par voie électronique, sous la protection de systèmes approuvés par l'Autorité nationale de Sécurité et conformément aux mesures de protection applicables au niveau de classification correspondant aux informations classifiées.
L'Autorité nationale de Sécurité fixe les conditions supplémentaires de nature administrative et technique que cette double enveloppe fermée et ce porteur doivent remplir.
Art. 30.Les informations classifiées de niveau " RESTREINT " peuvent également être envoyées par pli recommandé à la poste, avec accusé de réception, sous double enveloppe fermée. Le niveau de classification ne peut figurer que sur l'enveloppe intérieure.
Art. 31.Les informations classifiées peuvent être transmises sur des supports électroniques conformément à la politique de sécurité de l'Autorité nationale de Sécurité.
Art. 32.Pour la circulation interne d'informations classifiées de niveau " CONFIDENTIEL " ou supérieur au sein d'une entité, celles-ci sont portées sous pli fermé par porteur ou par son titulaire.
L'entité au sein de laquelle circule des informations classifiées de niveau " RESTREINT " est responsable de la mise en place de toutes les mesures de sécurité possibles afin d'en empêcher la consultation inappropriée.
Les informations classifiées peuvent être transportées au sein de l'entité par le titulaire, à la condition que toutes les mesures de sécurité possibles afin d'en empêcher la consultation inappropriée soient effectivement mises en place.
Sous-section 8.- Destruction
Art. 33.Les dispositions de la présente sous-section sont applicables sans préjudice :
1°de l'article 25 de la loi ;
2°des articles 21 et 21/1 de la loi du 30 novembre 1998 organique des services de renseignement et de sécurité ;
3°de l'article 5 de la loi du 24 juin 1955 relative aux archives ; et,
4°des articles 132 à 137 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.
Le titulaire et l'autorité d'origine d'informations classifiées vérifient régulièrement si la détention des informations classifiées ou de leurs copies présente toujours une utilité et s'il n'y a pas lieu de procéder à leur destruction.
Art. 34.Le titulaire d'informations classifiées de niveau " TRES SECRET " ne procède jamais à leur destruction, mais les retourne toujours à leur autorité d'origine.
L'autorité d'origine dresse un procès-verbal de la destruction et de son objet. Ce procès-verbal est signé par ceux qui ont détruit les informations et l'officier de sécurité.
Art. 35.Les informations classifiées de niveau " SECRET " ou inférieur, ainsi que leurs copies, peuvent être détruites par l'autorité d'origine, le titulaire ou l'officier de sécurité du titulaire ou, le cas échéant, par la personne de contact pour la sécurité en cas d'informations classifiées, ou de copies, de niveau " RESTREINT ".
Cette autorité d'origine, ce titulaire ou officier de sécurité enregistre la destruction d'informations classifiées de niveau " CONFIDENTIEL " ou " SECRET " dans le registre visé à l'article 23.
Sous-section 9.- Incidents de sécurité et compromission
Art. 36.En cas d'incident de sécurité concernant des informations classifiées, l'officier de sécurité ou, le cas échéant, la personne de contact pour la sécurité des informations classifiées concernées en sont immédiatement avertis.
L'officier de sécurité ou, le cas échéant, la personne de contact pour la sécurité procède à une enquête administrative interne et avertit simultanément la personne qui dirige l'administration, la cellule stratégique, le service, l'organisme ou l'entreprise où il est désigné, ainsi que l'Autorité nationale de Sécurité.
Si nécessaire, l'Autorité nationale de Sécurité informe l'autorité d'origine des informations classifiées.
Art. 37.L'officier de sécurité signale une compromission d'informations classifiées de niveau " CONFIDENTIEL " ou supérieur à l'Autorité nationale de Sécurité immédiatement, qui en informe l'autorité d'origine.
En cas d'incident de sécurité ou de compromission dont la survenance est due à l'officier de sécurité ou à la personne de contact pour la sécurité, la direction de l'entité à laquelle appartient l'officier de sécurité ou la personne de contact pour la sécurité est tenue d'en informer l'Autorité nationale de Sécurité immédiatement après en avoir pris connaissance.
Art. 38.L'officier de sécurité ou, le cas échéant, la personne de contact pour la sécurité transmet chaque année, avant le 15 mars, un aperçu des incidents de sécurité et des compromissions au cours de l'année précédente à l'Autorité nationale de Sécurité.
Chapitre 2.- Mesures de protection physique
Section 1ère.- Dispositions générales
Art. 39.L'Autorité nationale de Sécurité détermine les mesures de protection physique minimales supplémentaires de nature administrative et technique pour l'utilisation d'informations classifiées au sein et en dehors des zones visées à l'article 42.
Art. 40.Les mesures de protection physique visent à prévenir l'utilisation inappropriée d'informations classifiées en :
1°garantissant que les informations classifiées sont traitées et stockées conformément à la loi, au présent arrêté et aux directives de l'Autorité nationale de Sécurité ;
2°permettant d'établir une distinction entre les membres du personnel au regard de l'accès aux informations classifiées sur la base de leur besoin d'en connaître et, le cas échéant, de leur niveau d'habilitation de sécurité ;
3°dissuadant, en empêchant et en détectant les actes non autorisés ;
4°empêchant ou en retardant toute intrusion par la ruse ou par la force.
Art. 41.Les informations classifiées de niveau " TRES SECRET " ne peuvent être consultées que dans la zone sécurisée, telle que visée à l'article 42, 2°.
Les informations classifiées de niveau " CONFIDENTIEL " ou " SECRET " ne peuvent être consultées en dehors des zones visées à l'article 42.
En cas de consultation d'informations classifiées dans la zone administrative, telle que visée à l'article 42, 1°, il est strictement nécessaire que toutes les précautions possibles soient prises afin d'écarter tout risque de consultation ou d'écoute inappropriée.
Les informations classifiées de niveau " RESTREINT " peuvent être consultées en dehors des zones visées à l'article 42, si et seulement si toutes les précautions nécessaires ont été prises afin d'écarter tout risque de consultation ou d'écoute inappropriée.
Section 2.- Zones administratives et sécurisées
Art. 42.Sans préjudice de l'article 39, deux types de zones physiquement protégées sont créés, afin de protéger physiquement les informations classifiées, au sein d'une installation physique:
1°la zone administrative ; et
2°la zone sécurisée.
Art. 43.Les zones administratives doivent au moins répondre aux conditions suivantes :
1°un périmètre défini est établi de façon visible afin de permettre le contrôle des personnes et, dans la mesure du possible, des véhicules ;
2°seules les personnes qui y ont été spécifiquement autorisées par le chef de l'entité ou son remplaçant en vue d'accomplir un rôle ou une tâche spécifique peuvent pénétrer dans cette zone sans être escortées par une personne habilitée;
3°si le chef de l'entité ou son remplaçant autorise d'autres personnes à pénétrer dans cette zone, celles-ci sont toujours escortées par une personne habilitée.
Art. 44.§ 1er. Les zones sécurisées doivent au moins répondre aux conditions suivantes :
1°un périmètre défini et protégé est établi de façon visible avec un système de contrôle d'accès ;
2°sans préjudice des compétences propres des autorités judiciaires, seules les personnes titulaires d'une habilitation de sécurité conforme et qui ont été spécifiquement autorisées par le chef de l'entité ou son remplaçant à pénétrer dans la zone sur la base de leur besoin d'en connaître ou afin d'y accomplir un rôle ou une tâche spécifique, peuvent accéder à cette zone sans être escortées par une personne habilitée ;
3°les personnes qui ne sont pas titulaires d'une habilitation de sécurité conforme, et qui n'ont pas été spécifiquement autorisées par le chef de l'entité ou son remplaçant à pénétrer dans la zone sur la base de leur besoin d'en connaître ou en vue d'y accomplir un rôle ou une tâche spécifique, sont toujours escortées par une personne habilitée ;
4°les visiteurs sont enregistrés dans un registre des visites.
§ 2. Les autorités d'origine visées à l'article 12 sont habilitées, en collaboration avec leur officier de sécurité, à établir des zones sécurisées.
Art. 45.Si l'officier de sécurité estime que l'installation physique répond aux exigences pour être approuvée à partir du niveau de classification " CONFIDENTIEL ", il envoie une déclaration de conformité à l'Autorité nationale de Sécurité.
Art. 46.L'Autorité nationale de Sécurité vérifie la déclaration de conformité et peut effectuer une enquête de terrain à cet effet.
Art. 47.§ 1er. L'Autorité nationale de Sécurité notifie sa décision concernant l'approbation de l'installation physique à partir du niveau de classification " CONFIDENTIEL " à l'officier de sécurité.
§ 2. La décision d'approbation de l'installation physique a une durée de validité de cinq ans au maximum.
Une demande de renouvellement de cette décision peut être introduite entre le troisième et le sixième mois avant la date d'expiration de sa validité par l'officier de sécurité auprès de l'Autorité nationale de Sécurité, conformément à l'article 45.
§ 3. En l'absence de décision définitive de l'Autorité nationale de Sécurité dans le cas du paragraphe 2, alinéa 2, l'Autorité nationale de Sécurité accorde une approbation à titre provisoire de sorte que l'installation physique concernée puisse continuer à être utilisée dans l'attente d'une décision définitive de l'Autorité nationale de Sécurité.
Art. 48.Tout changement apporté à l'installation physique doit être immédiatement signalé à l'Autorité nationale de Sécurité.
L'Autorité nationale de Sécurité vérifie le changement et, si elle l'estime nécessaire, peut procéder à une nouvelle enquête de terrain.
L'Autorité nationale de Sécurité notifie à l'officier de sécurité sa décision d'approbation de l'installation physique.
Chapitre 3.- Mesures de protection des systèmes de communication et d'information pour les informations classifiées
Art. 49.L'Autorité nationale de Sécurité détermine les mesures de protection minimales supplémentaires de nature administrative et technique des systèmes de communication et d'information pour les informations classifiées.
Art. 50.Sans préjudice du chapitre 4 du titre III, l'officier de sécurité ou la personne de contact pour la sécurité évalue si un système de communication et d'information offre les garanties suffisantes, définies à l'article 8, § 4, alinéa 2, de la loi, pour utiliser des informations classifiées.
Si l'officier de sécurité ou la personne de contact pour la sécurité estime que le système de communication et d'information répond aux exigences pour utiliser des informations classifiées, il envoie une déclaration de conformité, attestant que les garanties sont remplies, ainsi que la documentation nécessaire à l'Autorité nationale de Sécurité.
Cette déclaration de conformité est signée tant par l'autorité fonctionnelle du système de communication et d'information que par l'officier de sécurité ou la personne de contact pour la sécurité.
Art. 51.L'Autorité nationale de Sécurité vérifie la déclaration de conformité. A cet effet, l'Autorité nationale de Sécurité peut utiliser la documentation technique ou, le cas échéant, demander une documentation technique supplémentaire.
Art. 52.Pour les systèmes de communication et d'information utilisant des informations classifiées de niveau " RESTREINT ", l'Autorité nationale de Sécurité peut demander à l'entité de soumettre le système de sécurité concerné à des tests de sécurité afin de vérifier que les garanties suffisantes sont atteintes en termes de confidentialité, d'intégrité, de disponibilité, d'authenticité et de non-répudiation de ces systèmes et des informations qu'ils contiennent. De surcroît, l'Autorité nationale de Sécurité peut vérifier que les mesures techniques et non techniques sont correctement implémentées, intégrées et configurées.
Pour les systèmes de communication et d'information utilisant des informations classifiées de niveau " CONFIDENTIEL " ou supérieur, l'Autorité nationale de Sécurité demande à l'entité de soumettre le système concerné à des tests de sécurité afin de vérifier que les garanties suffisantes sont atteintes en termes de confidentialité, d'intégrité, de disponibilité, d'authenticité et de non-répudiation de ces systèmes et des informations qu'ils contiennent. De surcroît, l'Autorité nationale de Sécurité vérifie que les mesures techniques et non techniques sont correctement implémentées, intégrées et configurées.
Art. 53.§ 1er. L'Autorité nationale de Sécurité notifie sa décision concernant l'approbation du système de communication et d'information à l'autorité fonctionnelle du système de communication et d'information et à l'officier de sécurité ou la personne de contact pour la sécurité.
§ 2. La décision d'approbation du système de communication et d'information dispose d'une durée de validité de trois ans au maximum.
Une demande de renouvellement de cette décision peut être introduite entre le sixième et le septième mois avant la date d'expiration de sa validité par l'officier de sécurité ou la personne de contact pour la sécurité auprès de l'Autorité nationale de Sécurité, conformément à l'article 50.
§ 3. En l'absence de décision définitive de l'Autorité nationale de Sécurité dans le cas du paragraphe 2, alinéa 2, l'Autorité nationale de Sécurité accorde une prolongation à titre provisoire de sorte que le système de communication et d'information concerné puisse continuer à être utilisé dans l'attente d'une décision définitive de l'Autorité nationale de Sécurité.
Chapitre 4.- Mesures de protection relatives au matériel cryptographique destiné au traitement d'informations classifiées
Section 1ère.- Généralités
Art. 54.L'Autorité nationale de Sécurité fixe les exigences minimales administratives et techniques en termes d'évaluation, d'approbation, d'utilisation, y compris le compte cryptographique, de transport, de partage, de conservation, de gestion, y compris la production des clés cryptographiques, et de destruction du matériel cryptographique destiné au traitement des informations classifiées.
Art. 55.Seuls les produits cryptographiques approuvés par l'Autorité nationale de Sécurité peuvent être utilisés pour stocker, traiter et transmettre des informations classifiées.
Art. 56.L'Autorité nationale de Sécurité est l'unique point de contact entre les autorités fonctionnelles d'un système de communication et d'information et les titulaires de comptes cryptographiques de produits cryptographiques destinés au traitement d'informations classifiées, d'une part, et les autorités internationales, d'autre part.
Section 2.- Procédure d'approbation de produits cryptographiques
Art. 57.Si l'autorité fonctionnelle d'un système de communication et d'information estime que le produit cryptographique offre les garanties suffisantes pour fournir des services de sécurité, tel que défini à l'article 8, § 4, alinéa 3 de la loi, il introduit une demande d'approbation auprès de l'Autorité nationale de Sécurité.
Art. 58.Le produit cryptographique est évalué par l'Autorité nationale de Sécurité ou à la demande de l'Autorité nationale de Sécurité par :
1°le Service général du Renseignement et de la Sécurité des Forces armées ; ou
2°un autre organisme conformément à la politique de sécurité de l'Autorité nationale de Sécurité.
Les instances visées au premier alinéa dressent un rapport d'évaluation.
L'Autorité nationale de Sécurité apprécie le rapport d'évaluation.
Art. 59.Pour les produits cryptographiques utilisant des informations classifiées, l'Autorité nationale de Sécurité demande à l'autorité fonctionnelle d'un système de communication et d'information de soumettre le produit concerné à des tests de sécurité afin de vérifier qu'il offre les garanties suffisantes quant à la fourniture de services de sécurité, en particulier sur le plan de la confidentialité, de l'intégrité, de la disponibilité, de l'authenticité et de la non-répudiation.
Art. 60.L'Autorité nationale de Sécurité peut demander à un autre pays ou à une autre instance de procéder à une seconde évaluation.
Art. 61.Un produit cryptographique obtient l'approbation de l'Autorité nationale de Sécurité sur la base d'une évaluation satisfaisante des garanties quant à la fourniture de services de sécurité, en particulier sur le plan de la confidentialité, de l'intégrité, de la disponibilité, de l'authenticité et de la non-répudiation.
L'Autorité nationale de Sécurité notifie sa décision concernant l'approbation du produit cryptographique à l'autorité fonctionnelle d'un système de communication et d'information.
La décision d'approbation du produit cryptographique a une validité de trois ans au maximum. Une demande de prorogation de cette décision peut être introduite jusqu'à six mois avant la date d'expiration de sa validité.
Art. 62.L'Autorité nationale de Sécurité tient un registre des produits cryptographiques qu'elle a approuvés.
Art. 63.L'autorité fonctionnelle d'un système de communication et d'information procède au moins une fois par an à une analyse des menaces relatives aux éventuelles compromissions du produit cryptographique approuvé et la transmet à l'Autorité nationale de Sécurité.
Section 3.- Gestion et distribution du matériel cryptographique
Art. 64.Une entité souhaitant utiliser du matériel cryptographique pour les informations classifiées doit être en possession d'un compte cryptographique délivrée par l'Autorité nationale de Sécurité et doit en outre appliquer les mesures de protection énoncées à l'article 7, § 1er de la loi.
Une demande de compte cryptographique doit être introduite auprès de l'Autorité nationale de Sécurité.
L'Autorité nationale de Sécurité fixe les conditions auxquelles un compte cryptographique doit répondre.
Art. 65.Le possesseur d'un compte cryptographique tient un registre du matériel cryptographique qu'il gère.
Art. 66.L'Autorité nationale de Sécurité tient un registre du matériel cryptographique qu'elle a distribué.
Section 4.- Situations d'urgence
Art. 67.Les informations classifiées de niveau de classification " RESTREINT " ou " CONFIDENTIEL " peuvent être transmises au moyen d'un produit cryptographique approuvé pour un niveau de classification inférieur ou sans cryptage, lorsque les circonstances exceptionnelles suivantes se produisent simultanément :
(a) une crise, un conflit ou une situation de guerre menace d'éclater ou a éclaté ; et
(b) il est d'une importance capitale de recevoir les informations rapidement, le cryptage n'est pas disponible et l'on estime que les informations classifiées concernées arriveront trop tardivement pour neutraliser la menace.
Art. 68.Dans des circonstances exceptionnelles, lorsqu'il est capital d'agir rapidement, que le cryptage est indisponible et que l'on estime que les informations classifiées concernées arriveront trop tardivement pour neutraliser la menace, les informations de niveau " RESTREINT " peuvent être transmises sans avoir été cryptées.
Art. 69.Lorsque les articles 67 et 68 sont invoqués, l'officier de sécurité de l'entité qui a transmis les informations classifiées établit ensuite un rapport. Ce rapport est transmis à l'autorité d'origine.
Chapitre 5.- Mesures de protection relatives aux personnes physiques ou morales
Section 1ère.- Habilitation de sécurité pour les personnes physiques
Sous-section 1ère.- Généralités
Art. 70.§ 1er. Les personnes de nationalité belge qui, dans les limites strictes d'un besoin d'en connaître, ont besoin d'accéder à des informations classifiées à partir du niveau " CONFIDENTIEL " peuvent se voir octroyer une habilitation de sécurité aux conditions prévues par la loi, le présent arrêté et la directive du Conseil national de sécurité, telles que mentionnées à l'article 18, alinéa 5 de la loi.
§ 2. Il en va de même pour les personnes de nationalité étrangère, à condition qu'il s'agisse de ressortissants d'un pays avec lequel la Belgique a conclu un accord en matière d'échange et de protection mutuelle d'informations classifiées, d'où il ressort que :
1°le service de renseignement et de sécurité belge compétent peut effectuer une enquête, conformément aux conditions prévues par la loi, le présent arrêté et la directive du Conseil national de Sécurité visée à l'article 18, alinéa 5 de la loi, ou que les autorités de sécurité visées à l'article 1quinquies de la loi peuvent, le cas échéant, octroyer une habilitation de sécurité ; ou
2°l'habilitation de sécurité étrangère peut être reconnue par l'Autorité nationale de Sécurité ou par les autorités de sécurités visées à l'article 1quinquies de la loi.
§ 3. Par dérogation au paragraphe 2, les ressortissants d'un Etat membre de l'Espace économique européen ou de la Confédération suisse qui, dans les limites strictes du besoin d'en connaître, doivent nécessairement avoir accès à des informations classifiées à partir du niveau de classification " CONFIDENTIEL ", peuvent se voir délivrer une habilitation de sécurité par l'Autorité nationale de Sécurité ou l'une des autorités visées à l'article 1quinquies de la loi, si le service de renseignement et de sécurité belge compétent peut effectuer l'enquête de sécurité, conformément aux conditions prévues par la loi, le présent arrêté et la directive du Conseil national de Sécurité, telles que visées à l'article 18, alinéa 5 de la loi.
Sous-section 2.- Procédure de demande
Art. 71.§ 1er. Sans préjudice de l'article 93, la demande d'habilitation de sécurité, dûment motivée et signée par l'autorité ou la personne visée au § 2, est adressée, par l'intermédiaire de l'officier de sécurité, à l'Autorité nationale de Sécurité ou, le cas échéant, à l'une des autorités visées à l'article 1quinquies de la loi.
§ 2. Pour les membres de la cellule stratégique d'un ministre ou d'un secrétaire d'Etat, la demande est signée par le directeur de la cellule stratégique dont relève le membre de la cellule stratégique concerné.
Pour les membres du personnel des administrations publiques, des organismes d'intérêt public ou des entreprises publiques autonomes, la demande est signée par le fonctionnaire dirigeant dont dépend le membre du personnel concerné.
Au sein du Ministère de la Défense, la demande est signée par l'autorité investie des pouvoirs de chef de corps.
Pour les membres du personnel de la police fédérale, la demande est signée par le commissaire général, le directeur général ou par le directeur dont le membre du personnel relève, ou par la personne qu'ils délèguent à cette fin.
Pour les membres du personnel de la police locale, la demande est signée par le chef de corps ou par la personne qu'il délègue à cet effet.
Pour les organes et préposés des personnes morales autres que celles citées à l'alinéa 2, la demande est signée par la ou les personnes qui assurent la direction de la personne morale dûment habilitée.
Pour le travailleur indépendant sans personnalité juridique, qui travaille exclusivement pour un seul et même donneur d'ordre sur le lieu d'exploitation dans le cadre d'un marché classifié, la demande peut être signée par les personnes mentionnées aux alinéas 2 ou 6, même si ce travailleur indépendant ne relève pas de l'autorité du donneur d'ordre.
Pour un travailleur indépendant doté de la personnalité juridique, dont le siège social est situé en Belgique, qui travaille exclusivement pour un seul et même donneur d'ordre sur le lieu d'exploitation dans le cadre d'un marché public classifié, la demande peut être signée par les personnes mentionnées aux alinéas 2 ou 6, même si ce travailleur indépendant ne relève pas de l'autorité du donneur d'ordre.
Dans les autres cas, la demande est signée par l'autorité directement concernée ou par la personne qui requiert une habilitation de sécurité.
§ 3. Dès que la demande d'habilitation de sécurité est acceptée par l'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi, elle en informe l'officier de sécurité, par écrit, dans les plus brefs délais.
L'officier de sécurité transmet aux personnes qui requièrent une habilitation de sécurité les documents requis par l'article 17 de la loi.
Sous-section 3.- Appréciation de la recevabilité de la demande
Art. 72.L'officier de sécurité vérifie que l'ensemble des documents visés à l'article 17, alinéa 3, de la loi sont dûment complétés par les personnes qui requièrent une habilitation de sécurité.
Si des documents font défaut ou s'ils ne sont pas dûment complétés, l'officier de sécurité en informe les personnes qui requièrent une habilitation de sécurité et leur demande de transmettre les documents manquants ou de compléter les documents dans les plus brefs délais. Le délai de quinze jours visé à l'article 73 ne prend pas cours tant que les documents manquants ou complétés n'ont pas été envoyés à l'officier de sécurité.
Art. 73.Dès la réception des documents visés à l'article 17, alinéa 3, de la loi dûment complétés, l'officier de sécurité dispose d'un délai de quinze jours pour les transmettre à l'Autorité nationale de Sécurité ou aux autorités de sécurité visées à l'article 1quinquies de la loi.
Art. 74.L'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi vérifient que l'ensemble des documents visés à l'article 17, alinéa 3 de la loi ont été transmis et dûment complétés par les personnes qui requièrent une habilitation de sécurité.
Si des documents font défaut ou n'ont pas été dûment complétés ou si les motifs de la demande ne sont pas suffisamment précis, corrects ou convaincants, la demande est déclarée irrecevable. L'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi en informent l'officier de sécurité, qui à son tour avertit les personnes qui requièrent l'habilitation de sécurité.
Lorsque la demande est déclarée recevable par l'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi, l'officier de sécurité en est informé et l'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi transmettent immédiatement les documents visés à l'article 17, alinéa 3 de la loi ainsi que la demande d'enquête de sécurité à effectuer au service de renseignement et de sécurité compétent.
Art. 75.Si la demande est signée par l'autorité directement concernée ou par la personne qui requiert une habilitation de sécurité, telle que visée à l'article 71, § 2, alinéa 9, la procédure décrite aux articles 72, 73 et 74 est effectuée directement auprès de l'Autorité nationale de Sécurité ou des autorités de sécurité visées à l'article 1quinquies de la loi, et non par l'intermédiaire de l'officier de sécurité.
Sous-section 4.- Enquête de sécurité
Art. 76.A dater de la transmission visée aux articles 74, alinéa 3, et 75, le service de renseignement et de sécurité transmet les résultats de son enquête de sécurité à l'Autorité nationale de Sécurité ou aux autorités de sécurité visées à l'article 1quinquies de la loi, dans un délai de :
1°deux mois, s'il s'agit d'une enquête de sécurité dans le cadre d'une habilitation de sécurité de niveau " CONFIDENTIEL " ;
2°trois mois, s'il s'agit d'une enquête de sécurité dans le cadre d'une habilitation de sécurité de niveau " SECRET " ;
3°six mois, s'il s'agit d'une enquête de sécurité dans le cadre d'une habilitation de sécurité de niveau " TRES SECRET ".
Ces délais peuvent être prorogés pour une durée maximale de trois mois lorsque le service de renseignement et de sécurité doit recueillir des informations à l'étranger.
Art. 77.Le modèle des documents visés à l'article 17, alinéas 1er et 2, de la loi, est repris dans les annexes 2 à 5.
Art. 78.L'accord ou le retrait prévus à l'article 16 de la loi s'effectue par l'envoi électronique d'un formulaire d'accord à l'officier de sécurité.
S'il n'est pas possible de procéder via un envoi électronique, cet envoi se fait selon les modalités prévues à l'article 17, alinéa 2 de la loi.
Sous-section 5.- Décision concernant l'habilitation de sécurité
Art. 79.Dès la réception des résultats de l'enquête de sécurité, l'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi disposent d'un délai d'un mois pour statuer sur la demande d'habilitation de sécurité et transmettre la décision à l'officier de sécurité.
Art. 80.Dès la réception de la décision de l'Autorité nationale de Sécurité ou des autorités de sécurité visées à l'article 1quinquies de la loi, l'officier de sécurité dispose d'un délai de quinze jours pour notifier cette décision à la personne pour laquelle l'habilitation de sécurité est demandée.
Dans le cas visé à l'article 71, § 2, alinéa 9, l'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi notifient la décision à l'autorité directement concernée ou à la personne qui requiert une habilitation de sécurité dans un délai d'un mois et quinze jours.
Sous-section 6.- Durée de validité de l'habilitation de sécurité
Art. 81.L'habilitation de sécurité pour les personnes physiques est délivrée pour une période de cinq ans maximum.
Cette période peut être raccourcie en raison d'éléments recueillis lors de l'enquête de sécurité ou en raison d'une demande d'habilitation de sécurité de plus courte durée. Toute durée de validité inférieure à cinq ans est mentionnée dans la notification de la décision d'octroi de l'habilitation de sécurité par l'Autorité nationale de Sécurité ou des autorités de sécurité visées à l'article 1quinquies de la loi.
Le délai de cinq ans ou le délai réduit visé à l'alinéa 2 prennent cours à la date de la décision d'octroi de l'habilitation de sécurité par l'Autorité nationale de Sécurité ou des autorités de sécurité visées à l'article 1quinquies de la loi.
Sous-section 7.- Enquête de sécurité complémentaire
Art. 82.La personne titulaire d'une habilitation de sécurité est tenue de signaler à l'officier de sécurité, de sa propre initiative, les événements survenus dans sa sphère privée, qui entrainent une modification des données indiquées dans le questionnaire de base visé à l'article 17, alinéa 1er, de la loi.
L'employeur de la personne titulaire de l'habilitation de sécurité est également tenu de signaler à l'officier de sécurité tout élément troublant dans le comportement de la personne concernée qui est inconciliable avec les garanties de discrétion, de loyauté et d'intégrité.
Si la personne titulaire d'une habilitation de sécurité n'a pas retiré son consentement et que, pendant la durée de l'habilitation de sécurité, des éléments visés aux alinéas 1 et 2 sont signalés par l'officier de sécurité, le titulaire de l'habilitation de sécurité ou son employeur, l'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi peuvent charger le service de renseignement et de sécurité compétent de procéder à une enquête de sécurité complémentaire.
L'officier de sécurité est chargé du suivi des signalements d'éléments relatifs aux personnes titulaires d'une habilitation de sécurité susceptibles de conduire à un réexamen de l'habilitation de sécurité tel que visé à l'article 16, § 3, de la loi.
Section 2.- Habilitation de sécurité pour les personnes morales
Sous-section 1ère.- Généralités
Art. 83.Toute personne morale peut être autorisée à accéder à des informations classifiées pour autant que le besoin d'en connaître soit reconnu par l'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi et que cette personne morale dispose d'une habilitation de sécurité pour les personnes morales, à l'exception des informations classifiées de niveau " RESTREINT " pour lesquelles aucune habilitation de sécurité n'est requise.
Art. 84.Seules les personnes morales dont le siège social se situe en Belgique peuvent être habilitées dans le cadre des marchés publics qui impliquent, nécessitent et/ou contiennent des informations classifiées de niveau " CONFIDENTIEL " ou supérieur.
Les personnes morales dont le siège social n'est pas situé en Belgique peuvent également être habilitées dans le cadre de marchés publics classifiés du niveau " CONFIDENTIEL " au moins, dans la mesure où ces personnes morales disposent d'une habilitation de sécurité pour personnes morales qui peut être reconnue par l'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi sur la base des accords relatifs à l'échange et à la protection mutuelle des informations classifiées liant la Belgique.
Pour ce qui concerne les marchés publics qui impliquent, nécessitent et/ou contiennent des informations classifiées du niveau " CONFIDENTIEL " au moins, l'administrateur ICT doit être en possession d'une habilitation de sécurité du niveau fixé conformément à la politique de sécurité de l'Autorité nationale de Sécurité.
Pour ce qui concerne les marchés publics qui impliquent, nécessitent et/ou contiennent des informations classifiées de niveau " RESTREINT ", l'Autorité nationale de Sécurité détermine la nécessité d'une habilitation de sécurité pour l'administrateur ICT et, le cas échéant, son niveau.
Sous-section 2.- Procédure de demande
Art. 85.§ 1. Sans préjudice de l'article 93, l'administrateur d'une personne morale remet à l'Autorité nationale de Sécurité ou, le cas échéant, à l'une des autorités visées à l'article 1quinquies de la loi, le dossier d'habilitation comprenant au moins :
1°le questionnaire de base, mentionné à l'article 17 de la loi, rempli par le candidat officier de sécurité et son remplaçant éventuel ;
2°les documents justificatifs qui lui ont été remis par l'officier de sécurité du pouvoir adjudicateur ;
3°le questionnaire de base, mentionné à l'article 17 de la loi, rempli par toutes les personnes physiques appartenant aux organes de la personne morale, ainsi qu'une vue d'ensemble de tous les actionnaires ou associés qui exercent le contrôle de droit ou de fait sur la personne morale.
Toutes les personnes physiques appartenant aux organes sont tenus d'introduire une demande d'habilitation.
Au moins un des membres de l'organe d'administration doit:
1°avoir la nationalité belge ;
2°faire l'objet d'une enquête de sécurité effectuée par un des services de renseignement et de sécurité conformément à la loi, au présent arrêté et aux directives du Conseil national de Sécurité, telle que visée à l'article 18, alinéa 5 de la loi ; et
3°se voir octroyer une habilitation de sécurité à l'issue de l'enquête de sécurité effectuée.
§ 2. L'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi déterminent pour la personne morale visée à la présente section le nombre de personnes physiques appartenant aux organes qui doivent être titulaires d'une habilitation de sécurité, dont au moins la moitié doit être titulaire d'une habilitation de sécurité.
§ 3. La personne chargée de la gestion journalière de la personne morale doit résider et être domiciliée en Belgique.
Sous-section 3.- Appréciation de la recevabilité de la demande
Art. 86.L'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi vérifient que toutes les données mentionnées à l'article 85, paragraphe 1er, ont été envoyées.
Si des données sont manquantes ou incorrectement remplies, le candidat officier de sécurité de la personne morale sera invité à les compléter.
Art. 87.L'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi déclarent la demande recevable ou irrecevable et en informent le candidat officier de sécurité.
Si la demande est recevable, l'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi transmettent sans délai la demande d'ouverture d'une enquête de sécurité au service de renseignement et de sécurité compétent, ainsi que les informations mentionnées à l'article 85, paragraphe 1er.
Sous-section 4.- Enquête de sécurité
Art. 88.L'article 76 est applicable à ces demandes.
Sous-section 5.- Décision concernant l'habilitation de sécurité
Art. 89.Dès la réception des résultats de l'enquête de sécurité, l'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi disposent d'un délai d'un mois pour statuer sur la demande d'habilitation de sécurité et transmettre leur décision à l'officier de sécurité.
Art. 90.Dès la réception de la décision de l'Autorité nationale de Sécurité ou d'une autorité de sécurité visée à l'article 1quinquies de la loi par l'officier de sécurité, celui-ci dispose d'un délai de quinze jours pour notifier cette décision aux organes mentionnés à l'article 85, § 1er, alinéa 1, 3°.
Sous-section 6.- Durée de validité de l'habilitation de sécurité
Art. 91.L'article 81 s'applique aux décisions d'octroi d'une habilitation de sécurité pour les personnes morales.
Sous-section 7.- Autres tâches de l'officier de sécurité dans le cadre de la présente section
Art. 92.La personne morale est tenue, par l'intermédiaire de l'officier de sécurité, de communiquer immédiatement et par écrit à l'Autorité nationale de Sécurité, les éléments suivants :
1°les modifications ayant un impact sur la politique de sécurité de la personne morale ;
2°les modifications prévues dans la propriété/l'actionnariat et la direction de la personne morale ;
3°les nominations prévues d'administrateurs n'ayant pas la nationalité belge ou la coopération envisagée avec des sociétés ou des autorités étrangères.
4°tout élément d'intérêt inconciliable avec les garanties de discrétion, de loyauté et d'intégrité.
L'officier de sécurité est chargé du suivi de la notification de tous les éléments susceptibles d'aboutir à un réexamen de l'habilitation de sécurité visée à l'article 16, § 3 de la loi.
Section 3.- Habilitations de sécurité en vue d'un accès à l'étranger
Art. 93.La personne morale ou physique qui souhaite, dans un but scientifique, industriel ou économique, avoir accès à des informations classifiées ou à une zone sécurisée à l'étranger, doit introduire auprès de l'Autorité nationale de Sécurité une demande motivée d'obtention d'une habilitation de sécurité et doit y joindre l'invitation écrite des autorités étrangères compétentes.
Dès que la demande d'habilitation de sécurité a été acceptée, l'Autorité nationale de Sécurité en informe l'officier de sécurité dans les plus brefs délais. Celui-ci remet alors à la personne concernée tous les documents requis.
S'il n'y a pas d'officier de sécurité compétent à l'égard de la personne concernée, l'Autorité nationale de Sécurité informe directement celle-ci de sa décision et lui transmet, contre accusé de réception, les documents requis.
Art. 94.L'habilitation de sécurité délivrée conformément à l'article 93 concerne exclusivement l'accès aux lieux où sont situés des organismes publics étrangers, en ce compris des installations militaires, des entreprises étrangères ou des institutions étrangères d'enseignement supérieur.
Chapitre 6.- Mesures de protection liées aux marchés publics qui impliquent, nécessitent et/ou contiennent des informations classifiées
Art. 95.Les mesures de protection minimales supplémentaires de nature administrative et technique associées aux marchés publics qui impliquent, nécessitent et/ou contiennent des informations classifiées sont déterminées par l'Autorité nationale de Sécurité sous réserve de l'application de la loi du 13 août 2011 relative aux marchés publics et à certains marchés de travaux, de fournitures et de services dans le domaine de la défense et de la sécurité.
Art. 96.Dans le cadre des autres marchés publics (qu'ils soient attribués en vertu d'un accord-cadre ou non), aucun accès ne peut être accordé à des informations classifiées, sauf en cas de nécessité et à moins que les mesures de protection nécessaires ne soient prises à l'égard de l'adjudicataire et de tous les collaborateurs concernés de ce dernier, conformément à la loi, au présent arrêté et aux directives de l'Autorité nationale de Sécurité.
Art. 97.Un pouvoir adjudicateur peut passer des marchés pour des tâches qui impliquent ou nécessitent l'utilisation d'informations classifiées par des entités industrielles ou autres.
A cette fin, le pouvoir adjudicateur doit faire usage de la loi du 13 août 2011 relative aux marchés publics et à certains marchés de travaux, de fournitures et de services dans le domaine de la défense et de la sécurité.
Art. 98.Lors de l'attribution de marchés classifiés à des entités industrielles ou autres, le pouvoir adjudicateur veille au respect des normes minimales de sécurité industrielle, telles que définies dans la loi et le présent arrêté ainsi que dans les directives de l'Autorité nationale de Sécurité et dans le marché public classifié.
Art. 99.L'Autorité nationale de Sécurité vérifie que toutes les mesures de protection nécessaires liées aux marchés publics ont été prises pour protéger les informations classifiées lors de la phase de prospection, la procédure d'attribution ainsi que pendant l'exécution d'un marché public classifié.
Art. 100.L'Autorité nationale de Sécurité vérifie que :
1°les adjudicataires enregistrés sur le territoire qui participent à des marchés publics impliquant, nécessitant et/ou contenant des informations classifiées de niveau " CONFIDENTIEL " ou supérieur ou aux contrats de sous-traitance y afférents pendant l'exécution des marchés ou au stade précontractuel, disposent d'une habilitation de sécurité pour les personnes morales octroyée au niveau de classification correspondant ;
2°le personnel des adjudicataires ou des sous-traitants qui doit avoir accès à des informations classifiées de niveau " CONFIDENTIEL " ou supérieur pour l'exécution d'un marché public classifié dispose d'une habilitation de sécurité pour les personnes physiques du niveau de classification correspondant ;
3°les adjudicataires enregistrés sur le territoire qui participent à des marchés publics qui se rapportent à des informations classifiées ou impliquant, nécessitant et/ou contenant des informations classifiées de niveau " CONFIDENTIEL " ou supérieur, ou aux contrats de sous-traitance y afférents pendant l'exécution des marchés ou au stade précontractuel, disposent d'une installation physique approuvée ;
4°les adjudicataires enregistrés sur le territoire qui participent à des marchés publics ou qui se rapportent à des informations classifiées ou impliquant, nécessitant et/ou contenant des informations classifiées, ou aux contrats de sous-traitance y afférents pendant l'exécution des marchés ou au stade précontractuel, disposent d'un système de communication et d'information approuvé ;
5°les personnes morales qui ne sont pas enregistrées sur le territoire disposent d'une habilitation de sécurité valide pour les personnes morales, délivrée par les autorités compétentes du pays tiers et reconnue par l'Autorité nationale de Sécurité sur la base des accords et traités internationaux liant la Belgique en la matière.
Art. 101.En ce qui concerne les informations classifiées générées ou traitées par l'adjudicataire, le pouvoir adjudicateur exerce les droits de l'autorité d'origine, à moins que le pouvoir adjudicateur en ait disposé autrement dans le contrat.
Après l'exécution du marché, toutes les informations classifiées doivent être restituées au pouvoir adjudicateur dans les 15 jours ouvrables suivant le terme du contrat et aucune copie de ces informations ne peut être conservée.
Art. 102.Les candidats ou soumissionnaires qui n'ont pas été retenus et auxquels des informations classifiées ont été communiquées ou produites au cours de la procédure doivent les restituer au pouvoir adjudicateur dans un délai de 15 jours ouvrables à compter de la notification de leur non-sélection et ne peuvent conserver aucune copie de ces informations, sauf s'ils en ont encore besoin dans le cadre d'une procédure de litige. Dans ce cas, ils retourneront les informations classifiées à la fin de la période de recours et aucune copie de ces informations ne pourra être conservée.
Chapitre 7.- Contrôle
Art. 103.L'Autorité nationale de Sécurité exerce le contrôle :
1°afin de veiller à l'application (permanente) des mesures de protection minimales requises ;
2°afin de sensibiliser les fonctionnaires dirigeants, les dirigeants des personnes morales, les officiers de sécurité et les personnes de contact pour la sécurité à l'évolution de l'environnement en termes de risques et, au sens large, d'attirer l'attention de l'organisation sur l'importance des mesures de protection ;
3°afin de recommander des contre-mesures au cas où la confidentialité, l'intégrité, la disponibilité, l'authenticité et la non-répudiation des systèmes risquent de ne plus être garanties ;
4°afin de sensibiliser en permanence à la vigilance en matière de sécurité ;
5°dans le cadre de la procédure de demande d'habilitation de sécurité.
Art. 104.L'Autorité nationale de Sécurité exerce son contrôle au moyen :
1°d'informations demandées à l'entité contrôlée, qui est tenue de mettre sans délai à la disposition de l'Autorité nationale de Sécurité, à la demande de celle-ci, toutes les informations pertinentes sur les mesures de protection mises en oeuvre et de coopérer pleinement ;
2°d'informations recueillies dans le cadre des enquêtes de terrain, en particulier lors d'un contrôle ou une inspection sur place.
Les membres de l'Autorité nationale de Sécurité chargés d'effectuer des enquêtes de terrain sont nommés par le ministre de la Justice sur proposition de l'administrateur général de la Sûreté de l'Etat. Lors de leur nomination, ils reçoivent une carte de légitimation dont le modèle est déterminé par le ministre de la Justice. Cette carte ne peut être utilisée que dans le cadre des enquêtes de terrain et doit immédiatement être restituée à l'autorité qui l'a délivrée, une fois le mandat terminé.
Les membres du Service général du Renseignement et de la Sécurité des Forces armées chargés d'effectuer des enquêtes de terrain en ce qui concerne la Défense, tel que définie à l'article 1quinquies, alinéas 2 et 3 de la loi, se voient délivrer, lors de leur nomination, une carte de légitimation dont le modèle est déterminé par le ministre de la Défense. Cette carte ne peut être utilisée que dans le cadre d'enquêtes de terrain et doit être restituée immédiatement à l'autorité qui l'a délivrée, une fois le mandat terminé.
Art. 105.L'Autorité nationale de Sécurité visite l'entité contrôlée, de façon annoncée ou non, en vue d'évaluer la mise en oeuvre des mesures de protection prévues par la loi, le présent arrêté et les directives de l'Autorité nationale de Sécurité.
L'Autorité nationale de Sécurité communique un contrôle annoncé au moins un mois à l'avance à l'officier de sécurité de l'entité contrôlée, afin de permettre à ce dernier de prendre les mesures administratives nécessaires pour faciliter le contrôle. En l'absence d'officier de sécurité ou son remplaçant, l'Autorité nationale de Sécurité annonce ce contrôle au fonctionnaire dirigeant, aux personnes assurant la direction de l'entité contrôlée ou à la personne de contact pour la sécurité.
Art. 106.Lors de l'exécution d'une enquête de terrain, qu'elle soit annoncée ou non, les membres de l'Autorité nationale de Sécurité et du Service général du Renseignement et de la Sécurité des Forces armées peuvent se prévaloir des compétences suivantes, notamment :
1°s'entretenir avec toute personne potentiellement concernée par la protection des informations classifiées de l'entité contrôlée, en tenant compte des tâches de sécurité spécifiques dont elle est responsable ;
2°consulter toutes les pièces, tous les registres, documents et objets utiles au contrôle et liés à la protection des informations classifiées concernées ;
3°effectuer des contrôles ponctuels sur la manière de protéger les informations classifiées au sein de l'entité ;
4°visiter les différentes zones et implantations où des informations classifiées sont utilisées ;
5°consulter les informations pertinentes dans les systèmes de communication et d'information (en ce compris la sécurité du système, les données de configuration et les fichiers logs).
Art. 107.En cas de violation des mesures de protection, telles que prévues par la loi, le présent arrêté et les directives de l'Autorité nationale de Sécurité, l'Autorité nationale de Sécurité peut procéder à la suspension immédiate ou au retrait de l'approbation si la gravité de la situation le justifie.
Art. 108.Au plus tard deux mois à compter du premier jour ouvrable suivant le contrôle, l'Autorité nationale de Sécurité met le rapport avec ses constatations à la disposition de l'officier de sécurité de l'entité contrôlée.
Le rapport comprend :
1°les constatations relatives à l'application des mesures de protection minimales par l'entité concernée ;
2°le cas échéant, les exigences obligatoires à mettre en oeuvre si les mesures de protection minimales ne sont pas respectées;
3°le cas échéant, des recommandations si les mesures de protection minimales ont été respectées mais que la sécurité peut être améliorée.
En l'absence d'un officier de sécurité ou de son remplaçant, l'officier de l'Autorité nationale de Sécurité met ce rapport à la disposition du fonctionnaire dirigeant, des personnes assurant la direction de l'entité contrôlée ou de la personne de contact pour la sécurité.
Art. 109.Au plus tard quinze jours ouvrables à dater de la prise de connaissance du rapport, l'entité contrôlée transmet, le cas échéant, une proposition de mesures correctives à l'Autorité nationale de Sécurité, en indiquant le délai de mise en oeuvre.
Art. 110.Le cas échéant, l'Autorité nationale de Sécurité indique sans délai à l'entité contrôlée si ces mesures correctives sont suffisantes ou si des mesures correctives supplémentaires s'imposent.
Art. 111.L'entité contrôlée prend les mesures correctives nécessaires, sous peine de suspension ou de retrait de l'habilitation de sécurité pour les personnes morales.
TITRE IV.- Dispositions transitoires et finales
Art. 112.Les pièces classifiées avant l'entrée en vigueur, le 1er juin 2000, de la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité et revêtues de la mention " TRES SECRET ", " SECRET " ou " CONFIDENTIEL " sont réputées porter le degré de classification correspondant prévu à l'article 4 de la loi.
Les pièces classifiées après l'entrée en vigueur, le 1er juin 2000, de la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité, mais avant l'entrée en vigueur du présent arrêté, marquées de la mention " TRES SECRET ", " SECRET " ou " CONFIDENTIEL " et d'une référence à la loi qui ne respecte pas pleinement les exigences de forme énoncées à l'article 16, alinéa 2 ou 3, sont réputées porter le degré de classification correspondant prévu à l'article 4 de la loi.
Art. 113.Les documents revêtus de la mention "DIFFUSION RESTREINTE (AR 24.03.2000)" avant l'entrée en vigueur du présent arrêté conservent cette mention. Cette mention ne peut en aucun cas être assimilée au degré de classification " RESTREINT ", tel que prévu par l'article 4, alinéa 5 de la loi, étant donné que les mesures de protection telles que définies dans la loi et le présent arrêté ne s'appliquent pas aux documents portant la mention " DIFFUSION RESTREINTE (AR 24.03.2000) ".
Sans préjudice d'autres dispositions légales ou réglementaires spécifiques aux informations non classifiées, les informations non-classifiées, rédigées en français, dont une autorité ou une personne souhaite restreindre la diffusion aux personnes qualifiées pour en prendre connaissance sans attacher à cette limitation les effets juridiques prévus par la loi, peuvent être revêtues, à compter de l'entrée en vigueur du présent arrêté, de la mention " SENSIBLE NON CLASSIFIE (AR 20.12.2024) " et non plus de la mention " DIFFUSION RESTREINTE (AR 24.03.2000) ".
Lorsque les documents sont rédigés dans une autre langue que le néerlandais ou le français, les documents dont une autorité ou une personne souhaite restreindre la diffusion aux personnes qualifiées pour en prendre connaissance sans attacher à cette limitation les effets juridiques prévus par la loi, peuvent être revêtus, à compter de l'entrée en vigueur du présent arrêté, de la mention " SENSITIVE NON-CLASSIFIED (RD 20.12.2024) ".
Art. 114.Le présent arrêté entre en vigueur le 1er février 2025.
Art. 115.L'arrêté royal du 24 mars 2000 portant exécution de la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité est abrogé.
Art. 116.Nos Ministres sont chargés, chacun en ce qui le concerne, de l'exécution du présent arrêté.
Annexe.
Art. N1.
(Image non reprise pour des raisons techniques, voir M.B. du 22-01-2025, p. 5130)
Art. N2.
(Image non reprise pour des raisons techniques, voir M.B. du 22-01-2025, p. 5133)
Art. N3.
(Image non reprise pour des raisons techniques, voir M.B. du 22-01-2025, p. 5139)
Art. N4.
(Image non reprise pour des raisons techniques, voir M.B. du 22-01-2025, p. 5143)
Art. N5.
(Image non reprise pour des raisons techniques, voir M.B. du 22-01-2025, p. 51345)