Mise en conformité ENS à Valladolid par le système de management

La Junta de Castilla y León, dont le siège est à Valladolid, est une administration régionale du secteur public soumise à l'Esquema Nacional de Seguridad. L'article 2 du RD 311/2022 établit que l'ENS s'applique également aux entités privées lorsque leurs systèmes d'information traitent des informations du secteur public ou fournissent des services à des entités soumises au référentiel. Si votre entreprise gère des données de citoyens, opère des systèmes pour le compte de la Junta ou lui fournit des solutions technologiques, vous devez vous conformer. Le délai pour les systèmes existants a expiré le 5 mai 2024.

Oui. L'Ayuntamiento de Valladolid et l'Universidad de Valladolid (UVa) sont tous deux des entités du secteur public soumises à l'ENS. Leurs contrats de services numériques — développement de logiciels, maintenance de systèmes, services en nuage, traitement de données de citoyens ou d'étudiants — transfèrent l'obligation de mise en conformité ENS à leurs fournisseurs privés. La Diputación Provincial de Valladolid est dans la même situation. Si vous répondez à des appels d'offres ou fournissez des services à l'une de ces institutions, l'ENS vous est applicable.

La catégorie est déterminée en évaluant l'impact qu'un incident de sécurité aurait sur les cinq dimensions CIDAT — confidentialité, intégrité, disponibilité, authenticité et traçabilité — pour chaque service en périmètre. Si l'impact maximum sur l'une ou l'autre dimension est FAIBLE, le système est de catégorie basique ; si une dimension atteint MOYEN, il est de catégorie moyenne ; si une dimension atteint ÉLEVÉ, il est de catégorie élevée. La catégorie détermine quelles mesures de l'Annexe II sont obligatoires et si vous avez besoin d'une déclaration de conformité auto-évaluée (basique) ou d'une certification par un organisme accrédité ENAC (moyenne ou élevée). Summum Calidad réalise cette analyse de catégorisation comme première étape du projet.

Oui, et c'est la voie la plus efficace. L'ISO 27001:2022 et l'ENS partagent la même logique de système de management — politique de sécurité, analyse des risques, sélection des contrôles, révision et amélioration continue — et nombre de leurs contrôles sont coïncidents ou directement réutilisables. Avec une certification ISO 27001 obtenue ou en cours, l'écart vers l'ENS se concentre sur les aspects spécifiques au cadre espagnol : la catégorisation de l'Annexe I, les contrôles sans équivalent exact dans l'ISO 27001 et l'adaptation de la documentation au format du CCN. Summum Calidad ne comble que ce qui manque, sans refaire ce qui fonctionne déjà.

L'Annexe II du RD 311/2022 recense 75 mesures de sécurité organisées en trois cadres — organisationnel, opérationnel et de protection — et 16 familles. Les mesures applicables dépendent de la catégorie de votre système : basique, moyen ou élevé. Toutes les 75 mesures ne sont pas obligatoires à chaque niveau ; chaque mesure précise les catégories auxquelles elle s'applique. Parmi les familles les plus pertinentes pour les fournisseurs de services numériques figurent op.nub (sécurité des services en nuage), mp.com (protection des communications) et op.exp (exploitation). Summum Calidad identifie le sous-ensemble exact de mesures qui vous est applicable et en priorise la mise en œuvre selon l'effort et l'impact sur la conformité.

Pour les systèmes de catégorie basique, la conformité est attestée par une déclaration de conformité auto-évaluée par l'organisation elle-même, selon la procédure de la CCN-STIC 809 : l'entreprise déclare sous sa propre responsabilité qu'elle respecte les exigences ENS pour cette catégorie. Pour les catégories moyenne ou élevée, la conformité doit être certifiée par un organisme d'inspection accrédité par ENAC selon la norme UNE-EN ISO/IEC 17065 : un tiers indépendant audite le système et délivre le certificat. Summum Calidad n'émet pas ce certificat — c'est la compétence exclusive des organismes accrédités — mais prépare votre documentation, vos contrôles et vos preuves pour réussir ce processus de certification avec assurance.