Lorsque la passation d'un marché de défense ou de sécurité nécessite la détention de données protégées, l'acheteur exige des candidats qu'ils produisent les éléments justifiant de leur capacité à traiter, stocker et transmettre ces données au niveau de protection nécessaire.

Lorsque le candidat est établi en France, l'acheteur peut demander à l'autorité administrative compétente de vérifier, dans un délai que l'acheteur fixe, la conformité des locaux et installations susceptibles d'être utilisés, les procédures industrielles et administratives qui seront suivies, les modalités de gestion de l'information ou la situation du personnel susceptible d'être employé pour l'exécution du marché public, sans préjudice pour ces autorités de la possibilité de procéder à d'autres enquêtes et d'en tenir compte.

Lorsque le candidat est établi à l'étranger, l'acheteur peut saisir l'autorité nationale de sécurité ou l'autorité de sécurité déléguée aux fins de solliciter l'autorité nationale de sécurité de l'Etat du candidat ou l'autorité de sécurité désignée par l'Etat du candidat afin qu'elle vérifie, dans un délai que l'acheteur fixe, la conformité des locaux et installations susceptibles d'être utilisés, les procédures industrielles et administratives qui seront suivies, les modalités de gestion de l'information ou la situation du personnel susceptible d'être employé pour l'exécution du marché public, sans préjudice pour ces autorités de la possibilité de procéder à d'autres enquêtes et d'en tenir compte. Les habilitations de sécurité de l'Etat du candidat sont reconnues dans la limite des accords de sécurité existants, sans préjudice de la possibilité de faire procéder à une enquête par l'autorité administrative française compétente et d'en tenir compte.