Un audit ENS (schéma national de sécurité espagnol) à Barcelone est réalisé par une entité de certification accréditée par l'ENAC, pas par un auditeur « local » : ces entités opèrent dans toute l'Espagne et leur localisation ne conditionne en rien votre choix. En catégorie BASIQUE, une autoévaluation suffit ; en MOYENNE et ÉLEVÉE, la certification de conformité par un tiers est obligatoire et se renouvelle au moins tous les deux ans. Je vous explique ici qui peut auditer, les phases du processus, de quoi dépend le prix et comment je prépare cet audit depuis l'extérieur de Barcelone.
En bref : la conformité à l'ENS s'atteste de deux façons selon la catégorie du système : déclaration de conformité (autoévaluation) en catégorie BASIQUE, et certification de conformité délivrée par une entité accréditée par l'ENAC en MOYENNE et ÉLEVÉE. Aucune des deux n'exige que l'auditeur ait un bureau à Barcelone : la revue documentaire se fait à distance, et la partie terrain, sur site quand le périmètre l'exige. Le prix dépend de la catégorie, du périmètre, du nombre de sites et de la maturité préalable, pas d'un tarif figé. Je travaille depuis Valladolid et Las Palmas et prépare l'audit d'entreprises de toute l'Espagne, y compris catalanes : mise en conformité, pré-audit et accompagnement le jour de la certification.
Je m'appelle Ángel Ortega Castro et j'accompagne les entreprises dans la mise en conformité et l'audit de l'Esquema Nacional de Seguridad (ENS). Je travaille depuis Valladolid et Las Palmas, et je suis des projets dans toute l'Espagne, Catalogne comprise. Si vous êtes arrivé ici en cherchant « auditeur ENS à Barcelone », vous êtes probablement face à un cahier des charges qui l'exige, ou sur le point de l'être. Je vais vous expliquer comment cela fonctionne vraiment : qui peut signer votre certificat, ce qui se fait à distance et ce qui se fait en personne, comment se calcule le prix et ce qui dépend de vous pour réussir l'audit du premier coup.
Qui peut auditer l'ENS à Barcelone (réponse rapide)
L'ENS ne s'audite pas n'importe comment, et la nuance « à Barcelone » est moins importante qu'il n'y paraît. Ce qui change, ce n'est pas la ville, mais la catégorie de votre système et le type de conformité dont vous avez besoin :
- Catégorie BASIQUE. L'autoévaluation de conformité en catégorie BASIQUE est admise : l'organisation elle-même vérifie qu'elle est conforme et publie sa déclaration de conformité. Il n'est pas nécessaire qu'une entité externe la signe, même s'il est préférable qu'une personne compétente la relise avant de la valider.
- Catégories MOYENNE et ÉLEVÉE. La certification de conformité est obligatoire et ne peut être émise que par une entité de certification accréditée par l'ENAC pour le schéma de l'ENS. C'est cette accréditation qui garantit que l'auditeur est indépendant et compétent ; sans elle, un « certificat » n'a aucune valeur devant un organe de contractation publique.
L'accréditation de l'ENAC est nationale : l'entité qui vous certifie à Barcelone est la même que celle qui certifie à Madrid, Bilbao ou Valladolid. Il n'existe pas de registre d'« auditeurs ENS de Barcelone » distinct du reste de l'Espagne. Pour vérifier qui est reconnu, vous pouvez consulter la liste des entreprises certifiées ENS et comparer catégories, périmètre et validité. Et si vous voulez le détail normatif de la fréquence de révision et de qui la réalise, je le développe dans l'article sur la fréquence de l'audit de conformité et qui le réalise, en m'appuyant sur l'Annexe III de l'ENS, qui régit l'audit de conformité.
L'auditeur doit-il être de Barcelone ? Audit sur site et à distance
Non. La localisation de l'auditeur ne limite en rien votre choix et, en pratique, une bonne partie du travail ne nécessite même pas qu'on mette les pieds dans vos bureaux. Il convient de distinguer deux natures de tâches dans le processus :
- Ce qui se fait à distance. La revue documentaire — politique de sécurité, analyse de risques, déclaration d'applicabilité, procédures, preuves — se réalise à distance sans perte de qualité. C'est le gros des heures d'un audit bien préparé.
- Ce qui exige souvent une présence. La vérification de terrain (contrôler que ce qui est documenté s'applique vraiment : contrôle des accès physiques, salles techniques, entretiens avec le personnel, tests sur des systèmes concrets) peut exiger une visite sur place, surtout en catégorie ÉLEVÉE ou lorsqu'il y a des sites physiques importants à protéger.
Que le processus admette à la fois le distanciel et le présentiel est justement ce qui rend le code postal de l'auditeur sans importance. Choisir une entité pour sa proximité géographique, plutôt que pour sa solidité et son expérience dans votre secteur, revient à optimiser la mauvaise variable. Ce que connaître le terrain catalan apporte réellement, c'est de comprendre ce qu'exigent les cahiers des charges de la Generalitat et des entités locales — une question qui se résout avec du discernement, pas avec la proximité physique.
Les phases d'un audit ENS : de la revue documentaire au certificat
Un audit de conformité suit toujours la même séquence, que votre entreprise ait son siège à Barcelone ou ailleurs. Ce tableau résume chaque phase et l'endroit où elle s'exécute :
| Phase | En quoi cela consiste | Où cela se fait |
|---|---|---|
| 1. Périmètre et planification | Définir quels systèmes et services sont audités, la catégorie applicable et le calendrier | À distance |
| 2. Audit documentaire | Réviser la documentation du système de gestion : politique, analyse de risques, déclaration d'applicabilité et procédures | À distance |
| 3. Audit de terrain | Vérifier que ce qui est documenté est appliqué : entretiens, preuves opérationnelles et tests techniques | Sur site ou à distance selon la catégorie et le périmètre |
| 4. Rapport de constats | Documenter les non-conformités et observations, classées par gravité | À distance |
| 5. Plan d'actions correctives | Corriger les non-conformités dans le délai convenu | Travail interne + révision à distance |
| 6. Émission du certificat | L'entité accréditée délivre la certification (ou vous publiez la déclaration, en catégorie BASIQUE), avec une validité de référence de deux ans | À distance |
La durée totale varie beaucoup : quelques semaines pour un petit périmètre en catégorie BASIQUE, jusqu'à plusieurs mois pour des systèmes complexes en catégorie ÉLEVÉE, en comptant toujours le temps de corriger les non-conformités. Le délai dépend surtout de votre degré de préparation à la phase 2, pas de l'agenda de l'auditeur.
Combien coûte un audit ENS et de quoi dépend le prix
Je ne vais pas vous donner un chiffre figé, car ce serait inventer votre cas. Le coût d'un audit ENS ne répond pas à un tarif fixe, mais à une poignée de facteurs qui multiplient ou réduisent les jours de travail de l'auditeur. Voici ceux qui font vraiment bouger le curseur :
| Facteur | Comment cela affecte le coût |
|---|---|
| Catégorie du système | Plus la catégorie (BASIQUE, MOYENNE ou ÉLEVÉE) est élevée, plus il y a de mesures de l'Annexe II à vérifier et plus l'audit est approfondi |
| Périmètre | Nombre de systèmes, services et processus inclus : plus il est large, plus il faut d'heures |
| Nombre de sites | Plusieurs implantations physiques importantes peuvent multiplier les visites de terrain |
| Complexité technologique | Développements propres, services cloud ou nombreuses applications allongent la vérification |
| Maturité préalable | Disposer d'une certification ISO 27001 ou d'une mise en conformité bien menée réduit les constats et, donc, le coût et le délai |
| Pré-audit | C'est une dépense additionnelle qui est généralement rentable : elle détecte les failles avant l'audit officiel et évite de répéter des phases |
Pour vous faire une idée réaliste et cohérente des fourchettes, croisez ces facteurs avec ce que j'explique dans l'article sur le processus et les coûts de la certification ENS. La règle pratique est simple : chaque euro que vous investissez pour arriver préparé à l'audit est un euro que vous n'aurez pas à dépenser pour répéter des phases et corriger des non-conformités.
L'ENS pour les prestataires des administrations catalanes : ce qu'exigent les cahiers des charges
Le motif le plus fréquent pour lequel une entreprise catalane cherche à se faire auditer dans le cadre de l'ENS est un cahier des charges. Si vous fournissez ou souhaitez fournir des services à la Generalitat, aux conseils provinciaux (Barcelona, Girona, Tarragona ou Lleida) ou aux mairies, il est de plus en plus fréquent que le contrat exige de justifier la conformité à l'ENS, parce que vous traitez des informations ou des systèmes d'une administration publique. Le Consorci Administració Oberta de Catalunya (AOC), qui coordonne l'administration électronique en Catalogne, pousse précisément dans cette direction.
Deux points clés pour ne pas vous tromper à la lecture du cahier des charges :
- C'est le cahier des charges ou le système qui fixe la catégorie, pas vous. Un contrat peut demander une conformité en catégorie MOYENNE et un autre en ÉLEVÉE ; vous certifier dans la mauvaise catégorie ne sert à rien pour soumissionner et ne vous fait pas économiser d'argent. Vérifiez précisément ce qu'exige le cahier des charges avant d'agir.
- L'obligation se transmet en cascade. Si vous sous-traitez une partie du service, vos sous-traitants concernés sont également couverts. Il convient de le prévoir dans vos propres contrats.
Je traite tout cela plus en détail dans le guide sur ce qu'exige l'ENS aux prestataires de l'Administration dans les appels d'offres et les cahiers des charges. L'idée de fond : l'ENS n'est plus l'affaire du seul secteur public ; c'est de plus en plus la clé pour entrer dans sa chaîne d'approvisionnement.
Travailler avec un consultant ENS à distance (et sur site quand c'est nécessaire)
Je veux être transparent ici, car c'est le point où je vois le plus de confusion. Il y a deux rôles distincts qui ne peuvent pas être mélangés :
- L'entité de certification est celle qui audite et délivre le certificat en catégories MOYENNE et ÉLEVÉE. Elle doit être indépendante et accréditée par l'ENAC. En raison de cette exigence d'indépendance, celui qui vous aide à vous mettre en conformité ne peut pas être, en même temps, celui qui vous certifie.
- Le consultant — mon rôle — est celui qui vous prépare : il met en place le système de gestion, réalise l'analyse de risques, rédige la déclaration d'applicabilité, corrige ce qui pose problème et vous accompagne lors d'un pré-audit pour que vous arriviez à la certification sans mauvaise surprise.
Je travaille depuis Valladolid et Las Palmas, et c'est justement l'avantage que je vous offre en toute honnêteté : presque tout mon travail avec vous se fait à distance — documentation, risques, réunions, révision des preuves — et je me déplace jusqu'à votre siège quand le projet l'exige, à Barcelone ou où que vous soyez. Je ne vous vends pas une proximité de quartier ; je vous dis que l'ENS n'a pas besoin que votre consultant vive dans votre ville pour bien faire le travail, mais qu'il a besoin de savoir ce qu'il fait. Si c'est cette préparation que vous cherchez, c'est exactement ce que couvre mon service de conseil ENS, pensé pour les entreprises qui veulent soumissionner ou devenir prestataires de l'Administration.
Comment préparer l'audit ENS pour le réussir du premier coup
Les audits ne se « réussissent » pas par chance : on y arrive préparé, ou pas. Voici les points que je révise toujours avant d'installer un client face à l'auditeur :
- Une analyse de risques vivante. Actualisée, cohérente avec la catégorie du système et traçable jusqu'aux mesures que vous avez mises en place.
- Une déclaration d'applicabilité honnête. Qui reflète ce que vous appliquez vraiment, avec la justification de ce que vous excluez. Un document maquillé s'effondre en phase de terrain.
- Des preuves datées. Registres de gestion des incidents, tests de continuité et résultats récents. Les documents sans date suscitent plus de soupçons qu'ils n'en évitent.
- Un pré-audit. Une répétition générale qui détecte les non-conformités avant que l'auditeur officiel ne les trouve, quand elles sont encore peu coûteuses à corriger.
Si vous voulez le détail de cette phase, je le développe dans l'article sur comment se préparer et réussir l'audit de conformité. La préparation est, de loin, la variable qui influence le plus le fait que l'audit soit court, économique et sans imprévu.
Conclusion : choisissez la solidité, pas la proximité
Se faire auditer dans le cadre de l'ENS en étant à Barcelone n'a aucun mystère géographique : la certification est signée par une entité accréditée par l'ENAC qui opère dans toute l'Espagne, une bonne partie du travail se fait à distance, et le prix dépend de votre catégorie, de votre périmètre et de votre degré de préparation, pas de la distance. Ce qui détermine le résultat, c'est la qualité de la préparation en amont — et cela, vous pouvez le maîtriser.
Si vous êtes face à un cahier des charges qui exige l'ENS, ou si vous voulez anticiper avant qu'il n'arrive, racontez-moi votre cas et nous l'étudierons ensemble, sans engagement.
Besoin de préparer et de réussir la révision de conformité ? Découvrez mon service d'audit ENS pour les entreprises et administrations de toute l'Espagne, Catalogne comprise.
Questions fréquentes sur l'audit ENS à Barcelone
Qui peut auditer l'ENS ?
En catégories MOYENNE et ÉLEVÉE, la certification de conformité ne peut être délivrée que par une entité de certification accréditée par l'ENAC pour le schéma de l'ENS ; cette accréditation garantit son indépendance et sa compétence. En catégorie BASIQUE, l'autoévaluation est admise : l'organisation elle-même vérifie qu'elle est conforme et publie sa déclaration de conformité, sans besoin d'un tiers.
L'audit ENS peut-il se faire à distance depuis Barcelone ?
En grande partie, oui. La revue documentaire (politique, analyse de risques, déclaration d'applicabilité, procédures) se réalise à distance sans perte de qualité. La vérification de terrain peut nécessiter une visite sur place selon la catégorie et le périmètre, surtout en catégorie ÉLEVÉE ou lorsqu'il existe des sites physiques importants. La localisation de l'auditeur ne limite pas votre choix.
Combien de temps dure un audit ENS ?
Cela dépend du périmètre et de la catégorie : de quelques semaines pour un petit périmètre en catégorie BASIQUE jusqu'à plusieurs mois pour des systèmes complexes en catégorie ÉLEVÉE, en comptant toujours le temps de corriger les non-conformités. Le délai dépend surtout de votre degré de préparation à la phase documentaire, pas de l'agenda de l'auditeur.
Que se passe-t-il si l'audit détecte des non-conformités ?
Un plan d'actions correctives est ouvert, avec un délai pour les résoudre ; la certification est délivrée une fois les non-conformités majeures corrigées. Les détecter en amont grâce à un pré-audit réduit le coût et le délai, car elles sont bien moins coûteuses à corriger avant l'audit officiel qu'après.
Ai-je besoin de l'ENS pour soumissionner auprès de la Generalitat ou des mairies catalanes ?
De plus en plus de cahiers des charges l'exigent des prestataires dont le service traite des informations ou des systèmes de l'administration catalane. Avant d'agir, vérifiez le cahier des charges concerné et, surtout, la catégorie demandée (BASIQUE, MOYENNE ou ÉLEVÉE) : vous certifier dans la mauvaise catégorie ne sert à rien pour soumissionner et ne vous fait pas économiser d'argent.
Sources
- Décret royal 311/2022 relatif à l'ENS · BOE — texte officiel de référence.
- CCN-CERT · Esquema Nacional de Seguridad (ENS) et conformité.
- ENAC · Entidad Nacional de Acreditación (organisme national d'accréditation).
- Centro Criptológico Nacional (CCN) · guides CCN-STIC.
- Consorci Administració Oberta de Catalunya (AOC).
Contenu rédigé par Ángel Ortega Castro pour angelortegacastro.com. Information à visée pédagogique ; pour toute obligation légale, consultez le texte en vigueur du Décret royal 311/2022 au BOE.