Tout opérateur qui souhaite transférer un bien à double usage figurant sur la liste de l’annexe IV du règlement (UE) 2021/821.

Tout opérateur qui souhaite transférer un bien à double usage, autre que ceux figurant sur la liste de l’annexe IV du règlement (UE) 2021/821, depuis le territoire luxembourgeois vers un autre État membre de l’Union européenne, dans les cas où, au moment du transfert :

• l’opérateur sait que la destination finale des biens en question est située à l’extérieur de l’Union européenne,
  
•  l’exportation de ces biens vers cette destination finale est soumise à une obligation d’autorisation dans l’État membre depuis lequel les biens sont destinés à être transférés, et une telle exportation réalisée directement depuis son territoire n’est pas autorisée par une autorisation générale ou globale,
  
• aucune transformation ou ouvraison ne doit être réalisée sur les biens dans l’État membre de l’Union européenne vers lequel ils sont destinés à être transférés.

Liste de l'annexe IV du règlement (UE) 2021/821

Les rubriques ne contiennent pas toujours une description complète des biens, ni des notes y afférentes figurant à l'annexe I, laquelle est la seule à fournir la description complète.

La mention d'un produit dans la présente annexe n'affecte pas l'application des dispositions concernant les produits de masse à l'annexe I.

Les termes entre guillemets doubles sont des termes définis dans la liste de définitions générales figurant à l'annexe I.

PARTIE I

(possibilité d'une autorisation générale nationale pour les échanges intracommunautaires)

Dérogations

L'annexe IV ne vise pas les biens relevant de la technologie MTCR suivants :

• les biens qui sont transférés du fait de commandes passées par l'Agence spatiale européenne (ESA) dans le cadre d'une relation contractuelle ou qui sont transférés par l'ESA pour l'exercice de ses fonctions officielles ;
• les biens qui sont transférés du fait de commandes passées par une organisation spatiale d'un État membre dans le cadre d'une relation contractuelle ou qui sont transférés par cette dernière pour l'exercice de ses fonctions officielles ;
• les biens qui sont transférés du fait de commandes passées dans le cadre d'une relation contractuelle en rapport avec un programme communautaire de développement et de production de lancement spatial signé par au moins deux gouvernements européens ;
• les biens qui sont transférés vers un site de lancement spatial sous contrôle de l'État sur le territoire d'un État membre, sauf si ce dernier contrôle les transferts en question dans le cadre du présent règlement.

PARTIE II

(aucune autorisation générale nationale pour les échanges intracommunautaires)

Démarches préalables

Pour pouvoir introduire la demande d’autorisation par voie électronique, l’opérateur doit au préalable faire une demande expresse (sur papier libre ou par e-mail) à l’OCEIT et obtenir son accord.

Ni la demande d’autorisation (Pdf, 1,18 Mo), ni l’émission de l’autorisation de transfert par l’OCEIT, ne donnent lieu à la perception de taxes ou de frais quelconques.

Introduction de la demande

L’opérateur doit introduire sa demande d’autorisation individuelle ou globale auprès de l’OCEIT en utilisant le formulaire de demande (Pdf, 1,18 Mo).

La demande se fait par courrier postal ou par voie électronique (si l’opérateur a préalablement obtenu l’accord de l’OCEIT).

La demande doit être signée par une personne habilitée à engager le demandeur. Par cette signature, le signataire certifie l'exactitude des renseignements fournis dans la demande et celle du contenu de tous documents joints à celle-ci. Il s’engage en même temps à assurer aux biens concernés une destination conforme à sa demande.

Pièces justificatives

Les pièces justificatives à joindre à la demande d’autorisation individuelle ou globale sont les suivantes :

• lettre explicative détaillée de l’opération ;
• certificat d’utilisation finale (Pdf, 381 Ko) (ou, après accord de l’OCEIT, un engagement de l’exportateur (Pdf, 1,16 Mo)) ;
• facture / facture pro forma ;
• contrat de vente ;
• extrait récent du RCS (moins de 3 mois).

Pour les biens de l’annexe I, catégorie 5, partie 2, et ne figurant pas sur la liste de l’annexe IV du règlement (UE) 2021/821, les informations et documents suivantes sont à fournir :

• Indication de la référence commerciale du moyen de cryptologie, de la version.
  Description générale du moyen et de ses fonctionnalités.
  Indication de la catégorie dans laquelle doit être classé le moyen (Logiciel de chiffrement pour ordinateur personnel. Système d'exploitation. Messagerie électronique. Système de communication sans fil. Moyen de chiffrement au niveau du réseau. Téléphone ou télécopie. Autres - à préciser)
• Présentation des services de cryptologie fournis (Authentification. Signature. Contrôle d'intégrité. Confidentialité. Horodatage. Archivage sécurisé. Gestion des clés cryptographiques. Certification de clés ou de données. Autres (à préciser)). Préciser les noms des algorithmes utilisés et la longueur maximale des clés cryptographiques pour chaque algorithme.
• Présentation de la mise en œuvre des algorithmes (logiciel, matériel)
• Présentation des normes ou standards de sécurité du moyen
• Présentation du type de données concernées par la prestation
• Document relatif aux caractéristiques techniques du bien, reprenant les éléments ci-après :
  
  

  1. Les éléments nécessaires pour mettre en oeuvre le moyen de cryptologie :

  a) deux modèles du moyen de cryptologie ;

  b) les guides d'installation du moyen ;

  c) les dispositifs d'activation du moyen, s'il y a lieu (numéro de licence, numéro d'activation, dispositif matériel, etc.) ;

  d) les dispositifs d'injection de clé ou d'activation du réseau, s'il y a lieu.

  2. Les éléments relatifs aux algorithmes cryptographiques :

  a) la description des fonctions de cryptologie offertes par le moyen (chiffrement, signature, gestion de clés, etc.) ;

  b) soit la description complète des procédés de cryptologie employés, sous la forme d'une description synoptique et mathématique et d'une simulation dans un langage de haut niveau ;
  soit la référence à un dossier préalablement déposé pour un moyen employant les mêmes procédés de cryptologie ; soit la référence à un standard reconnu, non équivoque, et dont les détails techniques sont accessibles aisément et sans condition, avec les paramètres et les modes opératoires de sa mise en oeuvre ;

  c) si le procédé de chiffrement mis en oeuvre dans le moyen n'est pas un standard reconnu, trois sorties de référence du procédé de chiffrement, sous format électronique, à partir d'un texte clair et d'une clé choisie arbitrairement, qui seront aussi fournis, dans le but de vérifier la conformité de la mise en oeuvre du procédé à la description de celui-ci.

  3. Les éléments relatifs à la gestion des clés :

  a) le mode de distribution des clés ;

  b) le procédé de génération des clés ;

  c) le format de conservation des clés ;

  d) le format de transmission des clés.

  4. Les éléments relatifs à la protection du procédé de chiffrement, à savoir la description des mesures techniques mises en oeuvre pour empêcher l'altération du procédé de chiffrement ou de la gestion de clés associée.

  5. Les éléments relatifs au traitement des données :

  a) la description des prétraitements subis par les données claires avant leur chiffrement (compression, formatage, ajout d'un en-tête, etc.) ;

  b) la description des post-traitements des données chiffrées, après leur chiffrement (ajout d'un en-tête, formatage, mise en paquet, etc.) ;

  c) trois sorties de référence du moyen, sous format électronique, effectuées à partir d'un texte clair et d'une clé choisie arbitrairement, qui seront aussi fournis, dans le but de vérifier la mise en oeuvre du moyen par rapport à la description de celui-ci.

  6. Les éléments relatifs à la mise en oeuvre de la cryptologie :

  a) le code source du moyen, et les éléments permettant une recompilation du code source ou les références des compilateurs associés ;

  b) les références des composants intégrant les fonctions de cryptologie du moyen et les noms des fabricants de chacun de ces composants ;

  c) les fonctions de cryptologie mises en oeuvre par chacun de ces composants ;

  d) la documentation technique du ou des composants réalisant les fonctions de cryptologie ;

  e) les types des mémoires (flash, ROM, EPROM, etc.) dans lesquelles sont stockés les fonctions et les paramètres de cryptologie ainsi que les références de ces mémoires.

  7. La description des services offerts aux utilisateurs de la prestation.

  8. La description des fonctions cryptologiques mises en oeuvre par le prestataire.

  9. La description des locaux utilisés pour mettre en oeuvre la prestation.

  10. La description des matériels et des logiciels informatiques et notamment des moyens de cryptologie utilisés par le prestataire.

  11. La description des systèmes de protection physique et de contrôle d'accès aux locaux et aux systèmes informatiques du prestataire.

  12. Lorsque la prestation consiste en la gestion de clés cryptographiques ou de certificats électroniques au profit des utilisateurs :

  a) la description de la procédure de génération des clés et des certificats ;

  b) la description de la procédure de distribution et de remise des clés et des certificats aux utilisateurs ;

  c) la description des mesures techniques et organisationnelles mises en oeuvre pour la protection et la conservation des clés ;

  d) la description de la procédure de recouvrement des clés (uniquement pour le service de confidentialité) ;

  e) les références des moyens de cryptologie mis en oeuvre par les utilisateurs de la prestation, lorsque ces moyens sont spécifiquement conçus pour fonctionner avec les clés ou les certificats délivrés par ce prestataire.

Délais de réponse de l’administration

Toute demande d’autorisation individuelle ou globale fait l’objet d’un accusé de réception par l’OCEIT.

En cas de demande incomplète, le demandeur est informé des pièces manquantes et des conséquences sur le délai de traitement de la demande.

La demande d’autorisation est traitée dans un délai de 60 jours ouvrables, à partir du jour où le dossier est complet.

Ce délai de 60 jours peut être prolongé pour une durée maximum de 30 jours ouvrables. La prolongation et sa durée sont dûment motivées et notifiées par l’OCEIT avant l’expiration du délai initial.

En l’absence de réponse dans le délai ainsi posé, la demande d’autorisation est à considérer comme refusée.

Durée de validité

La durée de validité de l’autorisation est de :

• 1 an pour les autorisations individuelles, renouvelable pour une période de 6 mois ;
• 3 ans pour les autorisations globales, renouvelable pour une période de 18 mois.

Obligations

L’opérateur doit envoyer à l’OCEIT, au plus tard 10 jours ouvrables suivant la date d’expiration, l’autorisation périmée qui est en sa possession.

L’opérateur doit déclarer auprès de l’OCEIT la perte de tout document d’autorisation.

L’opérateur doit respecter les conditions spéciales contenues dans l’autorisation.

L’opérateur doit tenir des registres détaillés et complets des opérations effectuées en application de l’autorisation. Ces registres doivent contenir les documents commerciaux, tels que factures, manifestes, documents de transport ou d’autres documents d’expédition, faisant apparaître les informations suivantes :

• la description des biens et leurs références dans la liste des annexes I et IV du règlement (UE) 2021/821 ;
• la quantité et la valeur des biens;
• les dates des transferts ;
• l’utilisation finale et l’utilisateur final des biens.

Pour le transfert de biens à double usage de l’annexe I du règlement (UE) 2021/821, l’opérateur doit indiquer sur tous documents commerciaux (contrats de vente, confirmations de commande, bordereaux d’expédition) que ces biens sont soumis à des contrôles s’ils sont exportés en dehors de l’Union européenne.

L’opérateur doit conserver les registres pendant une période de 10 ans, à partir de la fin de l’année civile au cours de laquelle l’opération a eu lieu. Il doit les présenter aux ministres sur demande de ceux-ci formulée durant cette période.

L’opérateur doit fournir sans délai, à première demande des ministres ou de l’OCEIT, les éléments et pièces permettant de vérifier la conformité de l’opération effectuée ou prévue.

Litiges

En cas de refus d’autorisation, un recours peut être introduit, par ministère d’avocat à la Cour, contre la décision administrative dans le délai de 3 mois courant à partir du jour de la notification de la décision administrative à l’administré.

Sanctions

Encourent une interdiction (limitée à 6 mois ou définitive) ou une autre restriction d’effectuer une ou plusieurs activités, et/ou la suspension pour une durée de 6 mois au plus de l’utilisation d’une autorisation générale de l’Union européenne ou nationale, ou d’une autorisation globale, et/ou une astreinte (allant jusqu’à 1.250 euros par jour, et jusqu’à 25.000 euros au total) les personnes qui :

• refusent de fournir les documents ou autres renseignements qui leur sont demandés par les ministres ou l’OCEIT ;
• fournissent aux ministres ou à l’OCEIT des documents ou autres renseignements qui se révèlent être incomplets ou incorrects ;
• font obstacle à l’exercice des pouvoirs des ministres ou de l’OCEIT ;
• ne donnent pas suite aux injonctions des ministres ou de l’OCEIT .

Encourent une peine de réclusion de 5 à 10 ans et/ou une amende de 25.000 à 1.000.000 euros, les personnes qui transfèrent des biens à double usage sans disposer de l’autorisation requise ou sans respecter l’interdiction applicable à l’opération.

Encourent une peine d’emprisonnement de 6 mois à 5 ans et/ou une amende de 7.500 à 75.000 euros, les personnes qui :

• ne tiennent pas ou qui ne conservent pas durant la période de 10 ans (courant à partir de la fin de l’année civile au cours de laquelle l’opération a eu lieu) les registres ;
• ne présentent pas les registres sur première demande des ministres ;
• omettent, de manière répétée ou significative, de renseigner une ou plusieurs des informations obligatoires du registre ;
• fournissent des informations qui s’avèrent fausses ou incomplètes dans le cadre d’une demande d’autorisation ;
• ne tiennent pas les engagements pris dans les déclarations d’utilisation et demandes d’autorisation remises aux ministres ;
• ne transmettent pas les informations dans les délais et selon les modalités indiquées.

Réexamen du dossier

Les ministres peuvent, à tout moment, retirer, suspendre pour une période de 90 jours au maximum ou restreindre l’utilisation des autorisations qu’ils ont délivrées.

Ce réexamen du dossier peut avoir lieu en cas de circonstances exceptionnelles justifiant des mesures urgentes, pour des raisons de protection des intérêts essentiels de sécurité de l’État, pour des motifs d’ordre public ou de sécurité nationale ou extérieure, tels que la sécurité des transports, la sécurité du stockage, le risque de détournement, la prévention de la criminalité, ou pour le non-respect des conditions spécifiées dans l’autorisation.

Démarches

Liens