Article R2311-9 du Code de la défense

Toute personne physique ou morale est tenue d'assurer, selon les modalités prévues au présent article, la protection des informations et supports classifiés, des lieux les abritant ainsi que celle des systèmes d'information contenant des informations classifiées dont elle a à connaître ou qu'elle a à détenir.
Les modalités d'accès et, le cas échéant, de production d'informations et supports classifiés par des personnes autres que l'Etat ou ses établissements publics, ainsi que les mesures de sécurité prises par ces personnes pour assurer la protection prévue au premier alinéa dans le respect des règles arrêtées sur le fondement des articles R. 2311-5 et R. 2311-6 font l'objet d'un plan contractuel de sécurité dans le cadre d'une convention conclue avec le ministre intéressé, après vérification de l'aptitude de ces mesures à garantir la disponibilité, l'intégrité, la confidentialité et la traçabilité des informations et supports classifiés.
Par dérogation à l'alinéa précédent, les modalités d'accès et, le cas échéant, de production d'informations et supports classifiés par les personnes mentionnées aux articles L. 1332-1 et L. 1332-2 et leurs cocontractants ainsi que les mesures de sécurité prises pour assurer la protection prévue au premier alinéa sont définies dans le plan de sécurité d'opérateur d'importance vitale mentionné à l'article R. 1332-19 ou, le cas échéant, dans le plan particulier de protection mentionné à l'article R. 1332-23.
Le plan contractuel de sécurité, le plan de sécurité d'opérateur ou le plan particulier de protection prévoit que des inspections, contrôles ou audits peuvent être organisés dans les lieux abritant des informations et supports classifiés aux fins de s'assurer de leurs conditions de protection.
Lorsqu'il apparaît que des informations et supports classifiés sont conservés dans des lieux qui ne sont pas de nature à garantir leur protection, l'autorité administrative peut mettre en demeure la personne morale d'effectuer les travaux nécessaires à leur mise en sécurité dans un délai de trois mois à compter de la notification de la mise en demeure. A l'issue d'une mise en demeure infructueuse, l'autorité administrative peut abroger la décision d'habilitation de la personne morale ou des personnes physiques qui la représentent.
Un arrêté du Premier ministre précise les modalités d'application de ces dispositions.