CCN-CERT : qu'est-ce que c'est et comment notifier les incidents de l'ENS.

En résumé : le CCN-CERT est le CERT gouvernemental d'Espagne, rattaché au Centre cryptologique national (CCN) et au CNI. Si votre organisme relève de l'ENS, vous devez lui notifier via LUCIA les incidents à impact significatif, conformément au Décret royal 311/2022. Les entreprises privées hors du champ de l'ENS s'adressent à l'INCIBE-CERT ; les systèmes de la défense nationale, à l'ESPDEF-CERT.

Le CCN-CERT est le CERT gouvernemental d'Espagne : la capacité de réponse aux incidents de sécurité du Centre cryptologique national (CCN), rattaché au CNI. C'est l'organisme auquel les entités relevant de l'ENS (schéma national de sécurité espagnol) doivent notifier les cyberincidents à impact significatif, via l'outil LUCIA et conformément au Décret royal 311/2022. La dangerosité et l'impact se classent selon le guide CCN-STIC 817 en cinq niveaux.

Quand j'accompagne un organisme, ou une entreprise prestataire du secteur public, dans sa mise en conformité avec l'ENS, la partie « incidents » est celle qui suscite le plus de doutes. On confond le CERT à prévenir, on ne sait pas toujours quand la notification est réellement obligatoire, et l'on mélange le registre interne de l'incident avec le signalement officiel à l'État. Je clarifie ici ce qu'est le CCN-CERT, quel rôle il joue au sein de l'ENS et, surtout, quand et comment lui notifier un cyberincident.

Qu'est-ce que le CCN-CERT (réponse rapide).

Le CCN-CERT est la capacité de réponse aux incidents de sécurité de l'information du Centre cryptologique national. En bref : c'est le CERT gouvernemental national, l'équipe publique qui aide l'Administration à prévenir, détecter et répondre aux cyberattaques. Trois idées pour le situer :

• C'est une équipe, pas une loi. « CERT » signifie Computer Emergency Response Team : une équipe technique de réponse aux urgences informatiques. Le CCN-CERT est celle de l'État pour le secteur public.
• Il dépend du CCN, qui dépend lui-même du CNI. Il est intégré au Centre cryptologique national, rattaché au Centre national de renseignement (CNI). C'est pourquoi son champ naturel est l'Administration et ses systèmes.
• Il a une fonction réglementaire précise au sein de l'ENS. Le Décret royal 311/2022 le désigne comme le point de contact auquel les entités relevant de l'ENS notifient les incidents à impact significatif.

CCN, CNI et CCN-CERT : qui est qui.

Ces sigles se ressemblent et se confondent facilement ; mieux vaut donc les distinguer :

• CNI — Centre national de renseignement. Le service de renseignement de l'État espagnol.
• CCN — Centre cryptologique national. Rattaché au CNI, c'est l'organisme responsable de la sécurité des technologies de l'information au sein de l'Administration. C'est lui qui élabore les guides CCN-STIC et le cadre de l'ENS.
• CCN-CERT — la capacité de réponse aux incidents du CCN. C'est le bras opérationnel qui gère les alertes, coordonne la réponse et reçoit les notifications d'incidents du secteur public.

Concrètement : le CCN fixe les règles (l'ENS, les guides) ; le CCN-CERT est celui que vous appelez quand quelque chose se passe. Le détail de ce qu'exige chaque norme, je le développe dans mon résumé du Décret royal 311/2022.

CCN-CERT ou INCIBE-CERT : à qui s'adresser selon votre profil.

L'Espagne ne dispose pas d'un CERT unique, mais de plusieurs équipes de référence selon le type d'entité. Se tromper d'interlocuteur retarde la réponse : voici donc la répartition que fixe le Décret royal 311/2022 lui-même :

La règle générale est simple : secteur public → CCN-CERT ; secteur privé → INCIBE-CERT ; défense → ESPDEF-CERT. La nuance importante se trouve dans la deuxième ligne : si vous êtes une entreprise privée certifiée ENS parce que vous prestez des services à l'Administration, la notification passe par l'INCIBE-CERT, qui coordonne avec le CCN-CERT. Les trois équipes partagent l'information entre elles, de sorte que vous ne notifiez pas « en double » : vous choisissez l'interlocuteur qui vous correspond, et c'est lui qui fait remonter ce qui doit l'être.

Quand la notification d'un incident est-elle obligatoire selon l'ENS.

Tous les incidents ne se notifient pas à l'État. L'obligation naît lorsque l'incident a un impact significatif sur la sécurité des systèmes concernés. C'est ce que précisent les deux articles du Décret royal 311/2022 qui régissent cette matière :

• Article 33 (Capacité de réponse aux incidents de sécurité). Le CCN organise la réponse via le CCN-CERT et établit que les entités publiques lui notifieront les incidents à impact significatif, en coordination avec l'ESPDEF-CERT dans le domaine de la défense et avec l'INCIBE-CERT pour le secteur privé prestataire de services publics.
• Article 34 (Prestation de services de réponse aux incidents aux entités du secteur public). Il définit les services fournis par le CCN-CERT : appui et coordination face aux vulnérabilités et incidents, recherche, diffusion de bonnes pratiques, formation et information sur les menaces.

La question clé n'est donc pas « ai-je subi un incident ? », mais « quel impact a-t-il ? ». Et pour y répondre, il faut le classer — ce qu'uniformise justement le guide technique de référence.

Comment se classe la dangerosité d'un cyberincident.

La référence est le guide CCN-STIC 817 (« Esquema Nacional de Seguridad. Gestión de Ciberincidentes », soit schéma national de sécurité, gestion des cyberincidents), qui organise le classement selon deux axes indépendants, chacun avec cinq niveaux (CRITIQUE, TRÈS ÉLEVÉ, ÉLEVÉ, MOYEN et FAIBLE) :

• Dangerosité. La gravité technique de la menace elle-même (par exemple, un rançongiciel actif face à un e-mail de phishing isolé). Le guide utilise une taxonomie de neuf classes d'incidents et 36 sous-types.
• Impact. Les conséquences réelles pour votre organisation (informations compromises, services affectés, ampleur). C'est cet axe qui déclenche l'obligation de notifier.

Le tableau suivant résume, à titre indicatif, quand se déclenche la notification au CCN selon le niveau d'impact :

Les seuils et délais exacts sont fixés par la version en vigueur du CCN-STIC 817, qui est mise à jour régulièrement : avant de les appliquer, vérifiez-les dans le guide actuel et dans le reste des instructions techniques de sécurité et guides CCN-STIC. L'idée de fond ne change pas : plus l'impact est élevé, plus vite il faut alerter.

LUCIA et la procédure de notification, étape par étape.

La notification n'est pas un simple e-mail : elle se fait via LUCIA (Listado Unificado de Coordinación de Incidentes y Amenazas, soit registre unifié de coordination des incidents et menaces), l'outil du CCN-CERT pour gérer et coordonner les cyberincidents du secteur public. LUCIA offre un langage commun de dangerosité et de classification, assure la traçabilité de l'incident et respecte les exigences de l'ENS et du guide 817. Dans la pratique, le déroulement est le suivant :

1. Détectez et enregistrez l'incident en interne. Cette partie est encadrée par votre protocole de gestion des incidents de l'ENS, avec sa détection, son confinement et son éradication ; je n'entre pas dans ce détail ici.
2. Classez la dangerosité et l'impact conformément au CCN-STIC 817. C'est de ce classement que dépend l'existence d'une obligation de notifier, et avec quelle urgence.
3. Notifiez le CCN-CERT en ouvrant le dossier dans LUCIA lorsque l'impact atteint le seuil, avec le contenu minimal requis : ce qui s'est passé, les systèmes et services concernés et les mesures déjà adoptées.
4. Confinez et éradiquez en parallèle, en actualisant l'état de l'incident dans l'outil au fur et à mesure que la réponse avance.
5. Coordonnez avec le CCN-CERT l'analyse et, le cas échéant, l'appui spécialisé. L'outil est conçu pour ce travail conjoint.
6. Clôturez l'incident dans LUCIA une fois la menace éradiquée, en documentant les enseignements tirés.

Si vous voulez le détail du cycle interne de réponse — les étapes préalables au signalement —, je le développe dans mon guide sur la réponse aux incidents dans l'ENS. Cet article couvre l'autre moitié : la notification externe obligatoire.

Quels services le CCN-CERT propose-t-il au-delà de la gestion des incidents.

Réduire le CCN-CERT à « l'endroit où l'on notifie les incidents » serait trop restrictif. Conformément à l'article 34 du Décret royal 311/2022, il fournit un catalogue de services qu'il vaut mieux exploiter avant d'avoir un problème :

• Alertes et avis de vulnérabilités et de menaces émergentes.
• Rapports sur les cybermenaces et les bonnes pratiques, avec du renseignement utile pour anticiper.
• Outils d'appui, comme LUCIA elle-même, pour doter de capacités les organismes qui n'en disposent pas.
• Formation spécialisée (cours et journées techniques) pour les équipes de sécurité du secteur public.
• Guides CCN-STIC, la série 800 consacrée à l'ENS, qui précisent le « comment » de chaque mesure.

Pour un responsable de la sécurité, le CCN-CERT est à la fois une ressource préventive et un interlocuteur en cas de crise. Plus tôt vous l'intégrez à votre fonctionnement, moins vous improviserez le jour de l'incident.

Notification des incidents et NIS2 : ce qui s'annonce.

Jusqu'à présent, la notification obligatoire d'incidents a été presque une singularité du secteur public. Cela change avec la directive NIS2, qui étend le devoir de notifier aux entités essentielles et importantes de bien d'autres secteurs — énergie, santé, transport, banque, infrastructures numériques — avec des délais propres et stricts : une alerte précoce dans les 24 premières heures, une notification à 72 heures et un rapport final ultérieur, auprès du CSIRT compétent.

La conséquence est que de nombreuses organisations se retrouveront sous deux cadres à la fois : l'ENS, si elles opèrent dans le champ public, et NIS2, si elles appartiennent à un secteur couvert. Les deux ne sont pas incompatibles — ils partagent la même logique de classer, notifier et coordonner —, mais ils obligent à savoir clairement à quelle équipe notifier chaque incident, et avec quel délai. Concevoir la procédure une seule fois, en tenant compte des deux, évite de dupliquer le travail et de se tromper d'interlocuteur.

Conclusion : la notification fait partie de la conformité, elle ne la pénalise pas.

Le CCN-CERT n'est pas un ennemi auquel il faudrait cacher les problèmes : c'est l'équipe publique qui existe précisément pour vous aider quand vous avez un incident. Notifier à temps, bien classer la dangerosité et l'impact, et utiliser LUCIA comme la norme l'exige, ne retire pas de points à votre conformité ENS ; au contraire, cela en ajoute, car cela démontre que votre système de gestion fonctionne. Ce qui compromet la conformité, c'est l'inverse : taire un incident significatif.

Si vous mettez en conformité un organisme ou une entreprise prestataire avec l'ENS et que vous n'êtes pas sûr de quand et comment notifier, ou de la façon dont tout cela s'articule avec le guide de conformité ENS, racontez-moi votre cas et nous l'examinerons ensemble.

Questions fréquentes.

Qu'est-ce que le CCN-CERT ?

C'est la capacité de réponse aux incidents de sécurité du Centre cryptologique national (CCN), rattaché au CNI : le CERT gouvernemental d'Espagne. Il aide le secteur public à prévenir, détecter et répondre aux cyberattaques, et coordonne la notification des incidents dans le champ de l'ENS (schéma national de sécurité espagnol).

Qui est tenu de notifier les incidents au CCN-CERT ?

Les entités relevant du champ d'application de l'ENS — le secteur public — lorsqu'elles subissent des incidents à impact significatif, conformément à l'article 33 du Décret royal 311/2022. Les entreprises privées qui prestent des services au secteur public font passer leur notification par l'INCIBE-CERT, en coordination avec le CCN-CERT, et celles qui se situent hors du champ de l'ENS s'adressent en général à l'INCIBE-CERT.

Qu'est-ce que LUCIA ?

LUCIA (Listado Unificado de Coordinación de Incidentes y Amenazas, soit registre unifié de coordination des incidents et menaces) est l'outil du CCN-CERT pour gérer et notifier les cyberincidents du secteur public. Il standardise le cycle de vie de l'incident, offre un langage commun de dangerosité et de classification, et assure la traçabilité et la coordination avec le CCN-CERT.

Quel est le délai pour notifier un incident ?

Cela dépend de l'impact de l'incident selon le guide CCN-STIC 817 : ceux à impact élevé, très élevé ou critique se notifient immédiatement (à titre de référence, en un maximum de 24 heures), ceux à impact moyen dans les 72 heures environ, et ceux à impact faible sont enregistrés avec moins d'urgence. Vérifiez les seuils et délais exacts dans la version en vigueur du guide.

Notifier un incident pénalise-t-il ma certification ENS ?

Non : ce qui compromet la conformité, c'est de ne pas notifier. La détection, la gestion et la notification des incidents sont des mesures exigées par l'ENS lui-même et sont vérifiées lors de l'audit de conformité. Notifier à temps démontre que votre système de gestion fonctionne.

Notifier le CCN-CERT est-il la même chose que notifier une violation à l'AEPD ?

Non. Ce sont des obligations distinctes qui peuvent coïncider dans un même incident. La notification au CCN-CERT répond à l'ENS et à la sécurité des systèmes du secteur public ; la notification à l'Agence espagnole de protection des données (AEPD) répond au RGPD et ne s'impose que lorsque des données personnelles sont concernées, avec son délai propre de 72 heures. Une cyberattaque avec vol de données peut exiger les deux.

Sources

• Décret royal 311/2022 (ENS), art. 33 et 34 · BOE — texte consolidé officiel.
• CCN-CERT · Centre cryptologique national (CCN).
• LUCIA · gestion des cyberincidents du CCN-CERT.
• Guide CCN-STIC 817 et réglementation de l'ENS · CCN.
• INCIBE-CERT · Institut national de cybersécurité (INCIBE).
• Directive (UE) 2022/2555 (NIS2) · EUR-Lex.

Contenu rédigé par Ángel Ortega Castro pour angelortegacastro.com. Information à vocation pédagogique ; pour toute obligation légale, consultez le texte en vigueur du Décret royal 311/2022 sur le BOE.