Mise en conformité ENS à Palencia : système de management pour les fournisseurs de l'Administration publique

La Diputación Provincial de Palencia et l'Ayuntamiento de Palencia sont des administrations territoriales relevant du secteur public espagnol et sont directement soumis à l'ENS en vertu de l'article 2 du RD 311/2022. D'autres organismes dépendants ou liés sont également dans le périmètre, notamment les patronatos, consortiums et entités instrumentales de l'administration locale palentine. Toute entreprise fournissant des services technologiques, gérant des systèmes d'information ou traitant des données de citoyens pour le compte de ces organismes partage l'obligation de se conformer à l'ENS dans la mesure où elle est concernée.

Cela dépend de la catégorie du système d'information impliqué dans le contrat. Si les systèmes sont de catégorie basique, une déclaration de conformité auto-évaluée selon la CCN-STIC 809 est suffisante ; aucune certification par un tiers accrédité n'est requise. Si les systèmes sont de catégorie moyenne ou haute, la certification par un organisme d'inspection accrédité par ENAC selon la norme UNE-EN ISO/IEC 17065 est obligatoire. Les documents de consultation de chaque appel d'offres précisent généralement le niveau d'exigence requis ; il est conseillé de les examiner avant de lancer le processus de mise en conformité.

Parce que l'ENS et l'ISO 27001:2022 partagent la même architecture de management : politique de sécurité, analyse des risques, sélection proportionnée des contrôles et amélioration continue. De nombreux contrôles de l'Annexe II de l'ENS ont un équivalent direct dans l'Annexe A de l'ISO 27001:2022, de sorte que les organisations qui détiennent déjà la norme peuvent combler l'écart vers l'ENS en se concentrant uniquement sur les aspects spécifiques du cadre espagnol. Une approche intégrée évite de dupliquer la documentation, réduit la charge d'audit et optimise le coût total du projet.

L'Annexe II du RD 311/2022 recense 75 mesures de sécurité réparties en trois cadres et 16 familles. Le cadre organisationnel regroupe les mesures de politique, de réglementation, de procédures et d'autorisation ; le cadre opérationnel comprend 7 familles avec 33 mesures couvrant la planification, le contrôle des accès, l'exploitation, les ressources externes, la continuité et la famille op.nub pour les services en nuage ; le cadre de protection couvre les mesures protégeant des actifs spécifiques. Toutes les mesures ne sont pas obligatoires pour tous les systèmes : le sous-ensemble applicable dépend de la catégorie — basique, moyenne ou haute — attribuée au système lors du processus de catégorisation de l'Annexe I.

Le délai dépend de la catégorie du système, de la taille de l'organisation et du point de départ en matière de sécurité. Pour les systèmes de catégorie basique avec des pratiques de sécurité déjà en place, le processus peut être achevé en trois à six mois. Pour la catégorie moyenne ou haute, sans ISO 27001 préalable, le processus nécessite généralement entre neuf et dix-huit mois, incluant l'analyse des risques, la mise en œuvre des mesures et l'audit de conformité par l'organisme accrédité. Avec l'ISO 27001 déjà certifiée, les délais sont sensiblement réduits.

Lorsqu'une entreprise détient déjà la certification ISO 27001 ou travaille à l'obtenir, Summum Calidad réalise une analyse d'écarts précise qui cartographie les contrôles de l'Annexe II de l'ENS par rapport aux contrôles déjà mis en œuvre dans le SMSI. Le résultat est un inventaire de ce qui peut être réutilisé directement — sans travail supplémentaire —, de ce qui nécessite un ajustement documentaire et de ce qui est véritablement nouveau par rapport à l'ENS. Le projet se concentre alors uniquement sur la fermeture des écarts réels, sans refaire ce qui fonctionne déjà, et le coût est sensiblement inférieur à celui d'un projet de mise en conformité démarrant de zéro.