Le chef de service, d'établissement ou d'entreprise désigné dans l'arrêté mentionné à l'article R. 413-3 du code pénal détermine et assure dans la zone à régime restrictif un niveau de protection adapté aux éléments constitutifs du potentiel scientifique et technique concernés.

Il veille à maintenir ce niveau de protection lors de la conclusion et de l'exécution de contrats d'externalisation ou de prestation de services, y compris pour le traitement des données, notamment l'infogérance, l'audit ou le conseil en propriété industrielle.

Il peut demander au haut fonctionnaire de défense et de sécurité du ministre qui a déterminé le besoin de protection de solliciter une enquête administrative de sécurité sur le prestataire auprès du ministère de la défense ou du ministère de l'intérieur.

Il définit une politique de sécurité des systèmes d'information et en assure la mise en œuvre. Il prévoit en particulier la procédure par laquelle les incidents majeurs sont signalés au ministre qui a déterminé le besoin de protection et, le cas échéant, à l'autorité nationale en matière de sécurité des systèmes d'information.

La demande d'autorisation d'accès à une zone à régime restrictif est adressée par l'intéressé au chef de service, d'établissement ou d'entreprise ou au responsable de la zone à régime restrictif placé sous son autorité.

Cette demande est assortie d'informations et de documents relatifs à l'identité et à la nationalité du demandeur, à son parcours universitaire et professionnel, à ses titres et travaux, à l'établissement français d'accueil souhaité et l'employeur d'origine, aux raisons de la demande, au but et au contenu de l'activité projetée, ainsi qu'aux intérêts et affiliations du demandeur avec des organisations étrangères ou sous contrôle étranger, comprenant les avantages reçus d'organisations étrangères ou sous contrôle étranger, publiques ou privées, y compris les bourses d'études et de recherche.

Si elles sont strictement nécessaires à l'instruction de la demande, le ministre chargé de délivrer l'avis émis en application de l'article R. 413-5-1 du code pénal peut solliciter des informations complémentaires sur le demandeur auprès du chef de service, d'établissement ou d'entreprise. Ces informations sont relatives à tout ou partie des éléments suivants :

1° Son domicile précédent ;

2° Sa résidence secondaire ou occasionnelle, y compris à l'étranger ;

3° Ses voyages et séjours à l'étranger durant les cinq dernières années ;

4° Les nom, prénom, nationalité et employeur actuel ou dernier employeur du conjoint et les nom, prénom et nationalité des parents.

Le chef de service, d'établissement ou d'entreprise ou le responsable de la zone à régime restrictif invite le demandeur à lui communiquer les informations et documents sollicités par le ministre et lui fixe un délai, qui ne peut excéder quinze jours, pour la transmission de ces informations.

L'autorisation est individuelle, nominative et indique sa durée de validité qui ne peut être supérieure à cinq ans.

Le chef de service, d'établissement ou d'entreprise informe le ministre chargé de délivrer l'avis émis en application de l'article R. 413-5-1 du code pénal, de tout changement significatif d'activité du demandeur ou bénéficiaire d'une autorisation d'accès en zone à régime restrictif au sein de cette zone.

Est qualifiée de visite la présence temporaire d'une personne au sein d'un service, d'un établissement ou d'une entreprise qui n'est pas liée à l'exercice de l'une des activités mentionnées au II de l'article R. 413-5-1 du code pénal.

Le chef de service, d'établissement ou d'entreprise comprenant une ou plusieurs zones à régime restrictif détermine en tant que de besoin les mesures de sécurité applicables aux visites dans ces zones. Ces visites ne sont organisées que dans des circuits de visite empruntant des itinéraires nettement définis à l'avance, encadrés de telle manière qu'aucune information à protéger ne puisse, lors de la visite, être directement accessible ou être déduite.

Les visites font l'objet d'un enregistrement et les visiteurs sont accompagnés tout le long de leur visite.

En application du V de l'article R. 413-5-1 du code pénal, le bénéficiaire d'une autorisation d'accès à une zone à régime restrictif est tenu de signaler au chef de service, d'établissement ou d'entreprise ou au responsable de la zone à régime restrictif placé sous son autorité, tout changement de situation concernant :

1° Les informations relatives à son état civil ;

2° Ses liens professionnels ou personnels avec un Etat étranger, une entreprise ou organisation étrangère ou sous contrôle étranger ou un ressortissant d'un Etat étranger ;

3° Ses activités professionnelles sur le territoire national en lien avec l'activité principale exercée au sein de la zone à régime restrictif.

Cette obligation est valable pendant toute la durée de l'autorisation d'accès.