Habilitations et lettre relative aux aspects de sécurité dans un projet EDF

Dans un projet du Fonds européen de la défense, les habilitations de sécurité sont souvent présentées comme une simple case à cocher une fois la subvention accordée. Il vaut mieux les voir comme un calendrier. Plusieurs d'entre elles dépendent d'échéances nationales que vous ne maîtrisez pas, et l'une d'elles se dresse entre une évaluation réussie et une convention signée.

Les règles ne figurent pas dans le modèle de convention de subvention, là où la plupart des gens les cherchent. Elles se trouvent dans la décision (UE, Euratom) 2021/259 de la Commission, les règles d'exécution relatives à la sécurité industrielle pour les subventions classifiées, et elles vous parviennent par un instrument que beaucoup de candidats ne voient jamais nommer.

Le document qui porte l'ensemble

En vertu de l'article 5, paragraphe 1, de la décision (UE, Euratom) 2021/259 de la Commission, les exigences de sécurité propres à une subvention prennent la forme d'une lettre sur les aspects de sécurité (Security Aspects Letter), dont un modèle figure en annexe de cette décision. L'article 27, paragraphe 4, du règlement FED impose par ailleurs que le cadre de sécurité soit en place avant la signature de la convention.

Voilà le mécanisme. Tout ce qui suit n'est pas une obligation générale qui flotte au-dessus du programme. C'est ce qu'une SAL applique à votre action précise, à un niveau de classification précis, avec des conséquences précises. Si vous cherchez à savoir ce que votre projet devra réellement faire, la SAL est le document sur lequel il faut se renseigner. Poser la question tôt vous désigne comme quelqu'un qui connaît déjà l'exercice.

Habilitations de sécurité d'établissement

Une habilitation de sécurité d'établissement (Facility Security Clearance) est l'assurance donnée par une autorité nationale que les locaux et les procédures d'une organisation sont aptes à traiter des informations classifiées à un niveau donné.

Le déclencheur n'est pas la préférence de l'autorité qui octroie la subvention. En vertu de l'article 3, paragraphe 6, de la décision, une FSC est requise pour traiter des informations classifiées CONFIDENTIEL UE/EU CONFIDENTIAL et SECRET UE/EU SECRET. Cela dépend du niveau de classification des travaux et du droit national, pas de ce que tel appel demande.

Deux conséquences en découlent, et c'est la seconde qui fait mal.

L'article 3, paragraphe 3, impose que la documentation de l'appel précise le calendrier dans lequel les bénéficiaires doivent obtenir les FSC lorsqu'elles sont requises. Le calendrier est donc connaissable à l'avance, à partir de l'appel lui-même.

L'article 5, paragraphe 4, est plus tranchant : la convention de subvention classifiée ne peut être signée tant que l'autorité de sécurité nationale ou l'autorité de sécurité désignée du candidat n'a pas confirmé la FSC de ce dernier.

Relisez cette phrase si vous préparez le calendrier d'un projet. Une habilitation que vous entamez après l'attribution n'est pas une formalité administrative qui court en parallèle du projet. C'est une barrière placée devant la signature, actionnée par une autorité nationale qui suit son propre calendrier.

Les habilitations du personnel suivent la même règle

C'est là qu'une bonne partie des conseils publiés s'écarte de la décision, en traitant les habilitations du personnel comme un régime distinct doté d'une logique distincte.

L'article 3, paragraphe 7, couvre les deux dans une seule phrase : en principe, ni une FSC ni une PSC ne sont requises pour l'accès aux informations classifiées RESTREINT UE/EU RESTRICTED.

Au niveau RESTRICTED, la règle par défaut est donc qu'aucune des deux n'est nécessaire. Au-dessus, les deux entrent en jeu.

La réserve compte autant que la règle. Les États membres peuvent imposer des exigences en vertu du droit national, et ces exceptions nationales sont publiées. Elles sont énumérées à l'annexe IV de la décision, ainsi que dans l'annexe correspondante de l'instruction de sécurité du programme FED. La réponse exacte à la question « avons-nous besoin d'habilitations au niveau RESTRICTED » est donc : en principe non, puis vérifiez si l'État membre dans lequel vous êtes établi fait partie des exceptions. Et non pas : non.

C'est une réponse en deux temps plutôt qu'en un seul, ce qui explique précisément pourquoi elle est aplatie dans les résumés.

Que faire avant l'attribution

Si des travaux classifiés entrent dans le domaine d'application, trois questions méritent une réponse pendant la rédaction de la proposition, plutôt qu'après son succès.

À quel niveau cette action sera-t-elle réellement classifiée ? Cela détermine si l'article 3, paragraphe 6, s'applique, et cela doit ressortir de la documentation de l'appel.

Quels partenaires détiennent déjà une FSC, à quel niveau, et quand expire-t-elle ? Une habilitation détenue par un membre du consortium ne couvre pas un autre membre, et une expiration en cours de projet est exactement le type de problème de calendrier que l'article 5, paragraphe 4, rend coûteux.

Notre État membre fait-il partie des exceptions de l'annexe IV ? Si c'est le cas, la règle par défaut du niveau RESTRICTED ne s'applique pas à vous et votre planification du personnel change.

Aucune de ces questions n'est difficile. Il est simplement plus facile d'y répondre en mars que la semaine précédant la signature, et les réponses sont le genre d'éléments qu'il faut prouver par la suite plutôt que se rappeler : quelle habilitation, à quel niveau, valable entre quelles dates, confirmée par quelle autorité.

C'est un problème d'archivage, et il a sa place avec le reste de vos preuves, sous maîtrise documentaire, avec des dates et un historique d'approbation, plutôt que dans une boîte de réception.

Vérifier par vous-même

• Décision (UE, Euratom) 2021/259 de la Commission, article 3, paragraphes 3, 6 et 7, article 5, paragraphe 4, et annexe IV
• Règlement (UE) 2021/697, article 27, paragraphe 4, pour l'exigence que le cadre de sécurité soit en place avant la signature, et décision (UE, Euratom) 2021/259 de la Commission, article 5, paragraphe 1, pour la lettre sur les aspects de sécurité elle-même
• L'instruction de sécurité du programme FED, qui fixe les dispositions de sécurité au niveau du programme
• Votre documentation d'appel, qui doit indiquer le calendrier de la FSC

L'obligation connexe de disposer d'un plan de continuité pour les informations classifiées de l'UE est une exigence distincte de la même décision, à l'article 16, et nous la traitons dans un article dédié. L'ensemble plus large des exigences figure dans ce qu'une subvention FED vous oblige réellement à prouver.

Les habilitations, les confirmations et les dates qui s'y rattachent sont des preuves à durée limitée. Découvrez comment ComplyTrain en assure le suivi.

Ce texte décrit l'état des règles publiées au 8 septembre 2026. Il ne constitue pas un conseil juridique, et les exigences d'habilitation dépendent en particulier du droit national de l'État membre dans lequel une entité est établie.