Mise en œuvre technique de l'ENS à Burgos

Oui. L'article 2 du RD 311/2022 établit que l'ENS s'applique aux systèmes d'information des entités du secteur public ainsi qu'à ceux des entités privées qui leur fournissent des services ou des solutions. L'Ayuntamiento de Burgos et l'Universidad de Burgos (UBU) sont des entités du secteur public soumises à l'ENS. Si votre entreprise gère des données de ces organismes, fait fonctionner des logiciels sur leurs infrastructures ou fournit des services dans lesquels leurs systèmes interagissent avec les vôtres, l'ENS vous est applicable indépendamment de la taille de votre entreprise ou du montant du contrat.

PILAR est l'outil d'analyse des risques développé par le Centro Criptológico Nacional (CCN) spécifiquement pour l'ENS. Il met en œuvre la méthodologie MAGERIT de façon structurée, avec des catalogues d'actifs, de menaces et de sauvegardes alignés sur l'Annexe II du RD 311/2022, et génère des rapports dans le format attendu par les auditeurs de conformité. Une analyse réalisée dans un tableur n'est pas interdite par la norme, mais elle augmente le risque d'incohérences méthodologiques et complique la traçabilité entre menaces, risques et mesures appliquées — ce qui peut susciter des observations lors d'un audit de conformité ENAC.

INES (Instrumento Nacional de Evaluación de la Seguridad) est l'outil du CCN qui permet d'enregistrer et de vérifier le niveau de mise en œuvre des mesures de l'Annexe II de l'ENS. Il produit un rapport d'état qui reflète le degré de conformité de chaque mesure, différencié par niveau (de base, intermédiaire ou élevé), et sert de base documentaire à la déclaration de conformité autévaluée pour les systèmes de catégorie de base. Pour les systèmes de catégorie intermédiaire ou élevée, le rapport INES fait partie du dossier transmis à l'organisme d'audit accrédité par ENAC.

L'exigence varie selon le type de service et les conditions de chaque appel d'offres. La Diputación de Burgos, en tant qu'administration soumise à l'ENS, doit s'assurer que ses fournisseurs technologiques respectent également le cadre. En pratique, les contrats de services TIC, de développement logiciel, d'hébergement de systèmes et de traitement de données pour la Diputación incluent de plus en plus fréquemment des clauses exigeant l'accréditation ENS du fournisseur. L'absence de cette accréditation peut disqualifier une offre à l'étape de la solvabilité technique ou générer des manquements contractuels pendant l'exécution du service.

L'Annexe II du RD 311/2022 organise 75 mesures en 16 familles et trois cadres (organisationnel, opérationnel et de protection). Toutes les mesures ne sont pas obligatoires à leur niveau maximal pour les systèmes de catégorie de base : chaque mesure présente un niveau d'exigence différencié selon la catégorie du système (B/M/E ou n/a lorsqu'elle ne s'applique pas). En pratique, un système de catégorie de base doit appliquer le niveau de base de toutes les mesures identifiées comme obligatoires à ce niveau, ce qui représente entre 40 et 50 mesures actives selon le périmètre du système. L'analyse MAGERIT/PILAR détermine lesquelles s'appliquent dans chaque cas concret.

Summum Sistemas n'est pas un organisme d'inspection accrédité par ENAC et n'émet pas de certificats de conformité ENS. Notre travail est technique et préparatoire : nous analysons les risques avec MAGERIT/PILAR, mettons en œuvre les mesures de l'Annexe II, générons les preuves avec INES et préparons le système pour qu'il passe l'audit de conformité. Le certificat est délivré par le tiers accrédité ENAC (ISO/IEC 17065) que l'entreprise mandate. La différence concrète est qu'aborder cet audit avec des systèmes techniquement mis en œuvre et un dossier de preuves prêt réduit considérablement le risque de non-conformités et le coût global du processus.