Le plan d'urgence pour les informations classifiées de l'UE exigé par votre convention de subvention

Parmi les obligations attachées à une subvention classifiée du Fonds européen de la défense, il en est une presque absente des recommandations publiées. Elle figure dans un document que la plupart des candidats n'ouvrent jamais, et l'autorité octroyant la subvention peut la vérifier sans difficulté.

Les bénéficiaires doivent disposer de plans de continuité d'activité destinés à protéger les informations classifiées de l'UE et doivent confirmer à l'autorité octroyant la subvention que ces plans existent.

Où se trouve réellement l'obligation

Elle ne figure pas dans la convention de subvention type. Cherchez-y « contingency » ou « business continuity » : vous ne trouverez rien. C'est l'une des raisons pour lesquelles cette exigence est si rarement évoquée.

Elle figure dans la décision (UE, Euratom) 2021/259 de la Commission, qui fixe les règles de mise en œuvre relatives à la sécurité industrielle pour les subventions classifiées. L'article 16, intitulé « Plans d'urgence et mesures de rétablissement », impose à l'autorité octroyant la subvention de veiller à ce que la convention de subvention classifiée oblige les bénéficiaires :

« à établir des plans de continuité d'activité (« BCP ») pour protéger les ICUE traitées dans le cadre de la subvention classifiée dans les situations d'urgence, et à mettre en place des mesures préventives et de rétablissement … pour réduire au minimum l'incidence des incidents liés au traitement et au stockage des ICUE. Les bénéficiaires confirment à l'autorité octroyant la subvention que leurs BCP sont en place. »

La clause qui vous engage directement figure dans la lettre relative aux aspects de sécurité annexée à votre convention de subvention, à l'annexe III, appendice A. Celle-ci oblige le bénéficiaire ou le sous-traitant à protéger toute ICUE traitée dans l'exécution de la convention et à informer l'autorité octroyant la subvention de son BCP.

Deux détails découlent de cette formulation et méritent d'être précisés.

Elle couvre les ICUE en général. Pas seulement les documents classifiés RESTREINT UE/EU RESTRICTED, ni seulement les niveaux les plus élevés. Toute information classifiée de l'UE traitée dans le cadre de la subvention entre dans le domaine d'application.

Elle comporte deux volets. Les mesures préventives et les mesures de rétablissement. Un plan qui décrit uniquement ce que vous feriez après un incident ne satisfait qu'à la moitié de l'exigence.

Ce qu'elle n'est pas

Le même cadre comporte une seconde obligation au nom voisin, et les confondre est le moyen le plus sûr de n'en satisfaire aucune.

L'exigence de l'appendice E figurant dans la même annexe est plus étroite. Elle s'applique aux informations classifiées de l'UE détenues au niveau RESTREINT UE/EU RESTRICTED dans les systèmes de communication et d'information du bénéficiaire, et impose des procédures de sauvegarde couvrant la fréquence, le stockage sur site ou hors site, et le contrôle de l'accès aux copies de sauvegarde. Il s'agit d'un document de continuité informatique.

Le BCP de l'article 16 vise à protéger les informations classifiées en cas d'urgence. Incendie, inondation, évacuation forcée, indisponibilité d'un site, incident mettant en cause la garde des documents classifiés. Il précise ce qu'il advient des documents classifiés, qui en est responsable, comment ils sont sécurisés ou détruits, et comment ils sont récupérés.

Un organisme doté d'un solide plan de reprise après sinistre informatique, et de rien d'autre, ne satisfait pas à l'article 16. Les deux documents répondent à des questions différentes, et l'autorité octroyant la subvention est en droit de vous interroger sur celui que vous n'avez pas rédigé.

Ce qu'un plan doit pouvoir démontrer

La décision ne prescrit pas de modèle, ce qui est à la fois un soulagement et un piège. Le soulagement : un plan proportionné à vos avoirs réels est acceptable. Le piège : « nous avons un plan » n'est pas l'obligation. L'obligation, c'est que le plan soit en place, que vous l'ayez confirmé à l'autorité octroyant la subvention et, implicitement, qu'il soit à jour.

Les questions auxquelles vous devez pouvoir répondre sont donc les questions ordinaires que l'on pose au sujet d'un document facile à rédiger une fois puis à oublier :

• Quelle version est en vigueur, qui l'a approuvée et quand ?
• Couvre-t-il à la fois les mesures préventives et les mesures de rétablissement ?
• Couvre-t-il toutes les ICUE réellement traitées dans le cadre de la subvention, y compris celles entrées dans le domaine d'application depuis sa rédaction ?
• Qui y est nommé, et ces personnes sont-elles toujours présentes ?
• Quand la confirmation à l'autorité octroyant la subvention a-t-elle été envoyée, et un élément important a-t-il changé depuis ?

Cette dernière question est la plus délicate. Une confirmation est une déclaration faite à une date donnée. Si le plan a changé substantiellement par la suite, ou si les avoirs classifiés ont évolué, la confirmation décrit une réalité qui n'existe plus.

Autrement dit, un problème de maîtrise documentaire

Rien de ce qui précède n'est exotique. Il s'agit d'un document maîtrisé, doté d'un responsable, d'une approbation, d'une cadence de revue et d'une liste de diffusion, dont vous devez pouvoir démontrer l'actualité à un instant donné, parfois des années plus tard.

C'est précisément la discipline que sous-tendent les normes qu'un fournisseur de défense est déjà censé respecter, et précisément ce à quoi sert la maîtrise documentaire. Si votre système qualité place déjà les procédures sous contrôle de version, avec un historique d'approbation et un calendrier de revue, le plan de l'article 16 y a sa place, plutôt qu'à côté, dans le dossier de quelqu'un. Sinon, l'obligation du FED est une bonne raison de combler une lacune qu'un auditeur aurait fini par trouver.

La question connexe de savoir qui est habilité à traiter les documents en premier lieu constitue une obligation distincte, traitée dans les habilitations et la lettre relative aux aspects de sécurité.

Vérifier par vous-même

• La décision (UE, Euratom) 2021/259 de la Commission, article 16, et annexe III appendice A
• L'appendice E de la même annexe, pour l'exigence de sauvegarde plus étroite qui s'applique aux informations classifiées dans vos propres systèmes, afin d'en voir la différence
• Votre lettre relative aux aspects de sécurité, où ces obligations touchent votre action spécifique

L'ensemble plus large des exigences figure dans ce qu'une subvention du FED vous oblige réellement à prouver.

Un plan de continuité vaut ce que vous pouvez en démontrer : quelle version, approuvée par qui, et ce qu'il indiquait le jour de l'incident. Découvrez comment ComplyTrain gère la maîtrise documentaire.

Ce texte décrit ce que prévoient les règles publiées au 8 septembre 2026 et ne constitue pas un avis juridique.