Conformité ENS à Burgos : système de management de la sécurité pour les fournisseurs de l'Administration locale

Oui. Le RD 311/2022 établit que l'ENS s'applique non seulement aux entités du secteur public elles-mêmes, mais aussi à leurs fournisseurs et prestataires lorsque les systèmes d'information de l'entreprise privée entrent en contact avec ceux du secteur public. Si vous fournissez des services technologiques, gérez des données de citoyens ou livrez des logiciels à la Diputación de Burgos, à l'Ayuntamiento de Burgos ou à l'Universidad de Burgos (UBU), votre obligation de mise en conformité ENS est pleine et entière. Le délai pour les systèmes existants a expiré le 5 mai 2024 ; les nouveaux systèmes doivent être conformes dès leur mise en service.

Oui. L'Universidad de Burgos est une entité du secteur public de l'enseignement supérieur et est expressément incluse dans le champ d'application de l'article 2 du RD 311/2022. Cela signifie que ses systèmes d'information doivent se conformer à l'ENS et que les fournisseurs gérant ou accédant à ces systèmes — plateformes de gestion académique, services en nuage, maintenance des infrastructures informatiques — sont également tenus de respecter le niveau de catégorie correspondant à ces services.

Cela dépend du service et des données traitées, mais les fournisseurs SaaS hébergeant des applications pour des entités publiques catégorisent souvent leurs systèmes como básico ou medio. Si l'application gère des données à caractère personnel de citoyens, des informations budgétaires ou des dossiers administratifs présentant une certaine criticité, la catégorie medio est fréquente. La catégorie alto est moins courante dans le contexte local, mais peut s'appliquer aux systèmes gérant des infrastructures critiques ou des services d'urgence. La catégorisation finale nécessite d'évaluer les cinq dimensions CIDAT au cas par cas — ce qui constitue la première étape de tout projet que nous engageons.

L'avantage principal est l'efficience. Les deux référentiels partagent une structure de management très similaire — politique de sécurité, analyse des risques, sélection des contrôles, audit et amélioration continue — et de nombreux contrôles de l'Annexe II de l'ENS ont des équivalents directs ou partiels dans l'Annexe A de l'ISO 27001:2022. Avec un SMSI ISO 27001 certifié ou en cours, l'écart vers l'ENS se concentre uniquement sur les aspects spécifiques au cadre espagnol. Traiter les deux référentiels dans un projet unique évite de dupliquer analyses des risques, documentation et audits internes, avec une économie estimée à 30–40 % par rapport à deux projets indépendants.

La conformité à l'ENS pour les systèmes de catégorie medio ou alto ne peut être certifiée que par des organismes d'inspection accrédités par ENAC conformément à la norme UNE-EN ISO/IEC 17065. Summum Calidad n'émet pas ce certificat. Ce que nous faisons, c'est préparer votre système — documentation, contrôles mis en œuvre, preuves et revue pré-audit — pour que vous réussissiez le processus de certification avec l'organisme accrédité de votre choix. Pour les systèmes de catégorie básico, la conformité est démontrée par une déclaration de conformité auto-évaluée conformément à la CCN-STIC 809, que nous préparons et accompagnons intégralement.

La conformité à l'ENS est une exigence de capacité technique dans les cahiers des charges des marchés publics portant sur des systèmes d'information. Si vous souhaitez soumissionner auprès de la Diputación de Burgos, de l'Ayuntamiento de Burgos ou de l'UBU pour des marchés impliquant la gestion de données ou de systèmes de l'Administration, les cahiers des charges exigent généralement la preuve de conformité ENS au niveau correspondant au marché. Ne pas l'avoir obtenue peut vous disqualifier d'emblée. Commencer le projet suffisamment tôt — au minimum trois à six mois pour la catégorie básico, neuf à dix-huit pour medio ou alto — est la seule façon d'être prêt à temps.