Conformité ENS à León : système de management de la sécurité pour les fournisseurs de l'administration publique

Parce que l'article 2 du RD 311/2022 étend le champ d'application de l'ENS aux entités privées qui fournissent des services ou des produits à des organismes publics soumis à cette réglementation. La Diputación de León, l'Ayuntamiento de León et l'Universidad de León (ULE) sont des organismes publics soumis à l'ENS ; par conséquent, toute entreprise qui leur fournit des logiciels, des services d'hébergement, de la maintenance de systèmes ou du traitement de données doit démontrer sa conformité. Si vous participez à des procédures de passation de marchés de ces organismes sans pouvoir attester de votre conformité, vous pouvez être exclu de ces procédures.

L'ENS établit trois catégories : basique, intermédiaire et élevée. La catégorie est déterminée en évaluant l'impact qu'un incident de sécurité aurait sur les cinq dimensions CIDAT (confidentialité, intégrité, disponibilité, authenticité et traçabilité) pour les services en périmètre. Si l'impact maximal dans toute dimension est faible, le système est basique ; si une dimension atteint un impact moyen, il est intermédiaire ; si une dimension atteint un impact élevé, il est élevé. Pour une entreprise de services technologiques travaillant avec l'Ayuntamiento de León sur un système de gestion documentaire, la catégorie habituelle est généralement basique ou intermédiaire. La catégorie définit quelles mesures de l'Annexe II sont obligatoires et si une déclaration de conformité auto-évaluée (catégorie basique) est suffisante ou si une certification par un organisme accrédité par ENAC est nécessaire (intermédiaire et élevée).

L'Annexe II du RD 311/2022 recense les 75 mesures de sécurité que les systèmes soumis à l'ENS doivent appliquer en fonction de leur catégorie. Ces mesures sont organisées en trois cadres — organisationnel (4 familles), opérationnel (7 familles, dont op.nub pour les services en nuage) et de protection (5 familles) — soit un total de 16 familles. Toutes les mesures ne sont pas obligatoires pour tous les systèmes : l'Annexe II précise pour chaque mesure si elle s'applique aux systèmes de catégorie basique, intermédiaire, élevée ou à toutes. Le travail d'analyse des écarts consiste précisément à identifier lesquelles de ces mesures s'appliquent au système de votre organisation et lesquelles sont déjà couvertes par les contrôles de votre système de management ISO 27001.

Oui. L'Universidad de León est une université publique et, à ce titre, est soumise à l'ENS. Cela implique que ses fournisseurs de systèmes d'information — logiciels de gestion académique, services en nuage, maintenance d'infrastructures, traitement de données d'étudiants — doivent démontrer leur conformité à l'ENS si leurs systèmes interagissent avec ceux de l'ULE. Les exigences précises dépendent du cahier des charges de chaque marché, mais la tendance réglementaire est que des exigences de conformité à l'ENS apparaissent de façon croissante dans les contrats de services TIC des universités publiques espagnoles.

Oui, et c'est la façon la plus efficiente de procéder. L'ISO 27001:2022 et l'ENS partagent une structure de management très similaire : politique de sécurité, analyse des risques, sélection de contrôles proportionnels, mise en œuvre avec des preuves et révision périodique. De nombreux contrôles de l'Annexe A de l'ISO 27001:2022 coïncident avec des mesures de l'Annexe II de l'ENS, de sorte que l'écart se concentre sur les aspects spécifiques du cadre espagnol : la catégorisation de l'Annexe I, les mesures sans équivalent exact dans l'ISO 27001 et le format de documentation requis par le CCN. Summum Calidad réalise l'analyse des écarts précise et ne comble que ce qui manque, sans refaire ce qui fonctionne déjà dans votre SMSI.

Non. Summum Calidad n'émet pas de certificats de conformité à l'ENS et ne réalise pas d'audits de certification. Pour les systèmes de catégorie basique, nous préparons la documentation nécessaire pour que votre organisation émette sa propre déclaration de conformité auto-évaluée conformément à la CCN-STIC 809. Pour les systèmes de catégorie intermédiaire ou élevée, nous réalisons une revue pré-audit exhaustive et vous accompagnons tout au long du processus, mais la certification est émise par un organisme d'inspection accrédité par ENAC selon la norme UNE-EN ISO/IEC 17065, librement choisi par l'organisation. Notre rôle est de vous préparer à réussir ce processus avec la meilleure assurance possible et le risque minimal de non-conformités.