L'Esquema Nacional de Seguridad est le cadre qui fixe les exigences minimales de sécurité pour les systèmes d'information du secteur public en Espagne. Il est aujourd'hui régi par le Real Decreto 311/2022, de 3 de mayo, qui a abrogé l'ancien Real Decreto 3/2010 et actualisé aussi bien les principes que le catalogue de mesures. Si vous souhaitez comprendre le cadre complet avant d'aller plus loin, j'ai rédigé un guide complet de l'Esquema Nacional de Seguridad où je le détaille davantage.
L'obligation couvre un univers plus large que ce que beaucoup pensent. D'une part, les administrations publiques au sens strict : l'Administración General del Estado (l'administration générale de l'État), les communautés autonomes et les collectivités locales, ainsi que leurs organismes et entités de droit public. Le cas des mairies présente des particularités de taille et de ressources que nous traitons séparément dans cette analyse sur l'ENS dans l'administration locale.
D'autre part, et c'est ce qu'on oublie le plus souvent, l'ENS concerne aussi les entreprises privées qui fournissent des services à ces administrations lorsque ces services impliquent le traitement d'informations ou de systèmes du secteur public. Un prestataire de logiciels, un hébergeur qui stocke les données d'une mairie, ou une entreprise qui gère un guichet électronique entrent pleinement dans le champ d'application. En pratique, de plus en plus de cahiers des charges exigent la conformité à l'ENS comme condition pour soumissionner.
Catégories de sécurité : BÁSICA, MEDIA et ALTA
L'ENS n'applique pas le même niveau d'exigence à tous les systèmes. Chaque système est classé dans l'une des trois catégories : BÁSICA, MEDIA ou ALTA. Cette catégorie détermine quelles mesures de sécurité sont obligatoires et avec quelle intensité les appliquer. Plus la catégorie est élevée, plus il y a de mesures et de rigueur.
La catégorie ne se choisit pas arbitrairement. Elle se calcule en évaluant l'impact qu'aurait un incident sur cinq dimensions de sécurité : confidentialité, intégrité, traçabilité, authenticité et disponibilité. Pour chaque dimension, un niveau BAJO, MEDIO ou ALTO est attribué selon le préjudice que causerait sa perte. La catégorie du système correspond au niveau le plus élevé atteint par l'une quelconque de ses dimensions, sous réserve des nuances détaillées dans l'annexe du décret royal lui-même.
Un exemple clarifie la logique. Un portail d'information qui publie uniquement des contenus sans données personnelles sensibles restera probablement en BÁSICA. Un système qui gère le registre de population ou des dossiers avec des données de santé, où une fuite aurait des conséquences graves, monte facilement à MEDIA ou ALTA. Bien catégoriser est le fondement de tout le projet : si vous visez trop haut, vous dépensez trop ; si vous visez trop bas, vous ne serez pas conforme.
| Catégorie | Quand elle s'applique (impact de l'incident) | Niveau d'exigence des mesures |
|---|---|---|
| BÁSICA | Aucune dimension ne dépasse le niveau BAJO | Ensemble minimal de mesures de protection |
| MEDIA | Une dimension atteint le niveau MEDIO | Mesures renforcées de gestion, de contrôle et de surveillance |
| ALTA | Une dimension atteint le niveau ALTO | Mesures d'exigence maximale et contrôles supplémentaires |
Ce que comprend une consultance ENS
Quand je parle de consultance ENS, je ne me limite pas à la remise d'un rapport. Je parle d'accompagner l'organisation depuis le diagnostic jusqu'au moment où un auditeur externe peut certifier la conformité. Le périmètre habituel couvre les blocs de travail suivants.
Analyse différentielle ou GAP
C'est l'état des lieux de départ. Nous comparons ce que l'organisation fait aujourd'hui avec ce qu'exige l'ENS pour sa catégorie, et nous obtenons la liste des écarts. Sans cette analyse, il est impossible de planifier avec réalisme, car vous ne savez pas quel chemin il vous reste à parcourir.
Catégorisation des systèmes
Nous classons chaque système en BÁSICA, MEDIA ou ALTA selon la méthode décrite plus haut, en documentant les décisions afin qu'elles soient défendables devant l'auditeur.
Déclaration d'applicabilité
C'est le document qui indique, mesure par mesure, lesquelles s'appliquent au système, avec quelle portée et pourquoi. Lorsqu'une mesure ne s'applique pas, cela doit être justifié de façon motivée. La déclaration d'applicabilité est l'un des livrables que l'auditeur examine le plus attentivement.
Plan de mise en conformité
Il transforme les écarts identifiés par l'analyse GAP en un plan d'action avec responsables, priorités et délais. C'est là que l'on décide ce qui doit être corrigé en premier, généralement ce qui réduit le plus le risque pour le moins d'effort.
Mise en œuvre des mesures
C'est la partie exécution : politiques, procédures, contrôles techniques, gestion des accès, journalisation de l'activité, sauvegardes et tout ce qu'exige le catalogue. Sans mise en œuvre réelle, aucune certification n'est possible ; les documents seuls ne suffisent pas.
Préparation de l'audit
Avant de faire appel à l'organisme certificateur, il convient de procéder à une revue interne qui simule l'audit et traque les derniers détails. Il est bien moins coûteux de corriger une non-conformité avant qu'elle ne soit détectée par l'auditeur officiel.
Ce périmètre correspond, pour l'essentiel, à une consultance de conformité réglementaire appliquée à un cadre précis, à la différence que l'ENS se conclut par une certification vérifiable par un tiers.
Les phases du projet étape par étape
Chaque organisation a son propre rythme, mais un projet ENS bien organisé parcourt généralement ces phases. Je les présente dans l'ordre où je les exécute, car sauter des étapes se paie plus tard.
- Périmètre et lancement. Nous définissons quels systèmes entrent dans le projet, qui est responsable de la sécurité et comment nous allons travailler. Un périmètre mal délimité est la cause la plus fréquente des projets qui s'éternisent.
- Catégorisation. Nous évaluons les cinq dimensions de chaque système et fixons sa catégorie. C'est de là que découle le niveau d'exigence pour tout le reste.
- Analyse différentielle. Nous mesurons l'écart entre la situation actuelle et ce qui est exigé. Le résultat est la liste hiérarchisée des écarts.
- Analyse des risques. Nous identifions les menaces et évaluons le risque pour décider ce qu'il faut traiter en premier. L'ENS l'exige et, en plus, cela donne du sens aux priorités du plan.
- Déclaration d'applicabilité et plan de mise en conformité. Nous documentons quelles mesures s'appliquent et traçons la feuille de route pour combler les écarts.
- Mise en œuvre. Nous exécutons le plan : politiques, procédures et contrôles techniques. C'est la phase la plus longue et celle qui dépend le plus des ressources internes.
- Revue interne. Nous vérifions que les preuves existent et sont cohérentes avant l'audit externe.
- Audit de certification. Un organisme accrédité vérifie la conformité et, si tout est en ordre, délivre la certification.
Je ne vous donne volontairement pas de délais fixes. La durée totale dépend de la catégorie, du nombre de systèmes et, surtout, du point de départ. Une organisation qui dispose déjà de politiques de sécurité avance bien plus vite qu'une organisation qui part de zéro.
L'audit de certification de conformité à l'ENS
La conformité à l'ENS s'accrédite au moyen d'un audit réalisé par un organisme de certification accrédité à cet effet. Une auto-évaluation interne ne suffit pas lorsqu'on recherche la certification formelle : la valeur réside précisément dans le fait qu'un tiers indépendant vérifie que les mesures existent et fonctionnent.
L'auditeur examine la documentation (catégorisation, déclaration d'applicabilité, analyse des risques, politiques) et vérifie sur le terrain que les mesures déclarées sont réellement mises en œuvre et opérationnelles. S'il constate des écarts, il les classe selon leur gravité et l'organisation doit les corriger. Une fois les non-conformités résolues, le certificat de conformité à l'ENS est délivré ; il a une durée de validité déterminée et impose un suivi.
Il convient de distinguer deux notions parfois confondues. Il y a la déclaration de conformité, plus légère et habituelle en catégorie BÁSICA, et la certification de conformité par audit, exigible dans les catégories supérieures. Laquelle s'applique dépend de la catégorie du système. Si vous voulez le détail du parcours et de ce qui influence son coût, je le développe dans cet article sur la certification ENS.
Maintien : la conformité n'expire pas le jour de l'audit
L'erreur la plus coûteuse que j'observe est de traiter l'ENS comme un projet avec une fin. La conformité doit être maintenue vivante. Les mesures se dégradent, les systèmes évoluent, de nouvelles menaces apparaissent, et le certificat exige des audits de suivi périodiques pour conserver sa validité.
Un maintien sain comprend la révision de la catégorisation lorsqu'un système change de manière significative, la mise à jour de l'analyse des risques, la gestion des incidents de sécurité et la préparation de chaque audit de suivi avec suffisamment d'avance. Dans les organisations qui traitent également des systèmes comportant des éléments d'intelligence artificielle, ce maintien doit être coordonné avec le reste des obligations, ce qui rejoint la conformité réglementaire de l'IA lorsque ces systèmes entrent dans le périmètre.
Conclusion
Une consultance ENS pour administrations bien conçue n'est pas de la paperasse : c'est mettre de l'ordre dans la sécurité de vos systèmes avec une méthode qu'un auditeur peut vérifier. Catégoriser avec rigueur, documenter l'applicabilité, mettre en œuvre des mesures réelles et arriver à l'audit sans surprise. Puis la maintenir, car la conformité se préserve, elle ne se conquiert pas une fois pour toutes.
Si votre administration ou votre entreprise a besoin de certifier sa conformité à l'ENS, ou si un cahier des charges vous le demande et que vous ne savez pas par où commencer, parlez-moi de votre cas et étudions le périmètre ensemble. Je travaille depuis Valladolid et Las Palmas de Gran Canaria, et le premier échange sert à comprendre votre point de départ, sans engagement.
Si vous souhaitez voir ce périmètre appliqué concrètement à votre organisme, avec ses phases et ses délais, c'est ainsi que je travaille la certification ENS pour les entreprises.
Besoin d'un accompagnement professionnel pour votre mise en conformité à l'ENS ? Découvrez mon service de consultance ENS pour les entreprises qui souhaitent soumissionner ou devenir prestataires de l'Administration.
Questions fréquentes
- Quelle réglementation encadre actuellement l'ENS ?
- L'Esquema Nacional de Seguridad est régi par le Real Decreto 311/2022, de 3 de mayo, qui a abrogé l'ancien Real Decreto 3/2010 et actualisé les principes de base ainsi que le catalogue de mesures de sécurité.
- Les entreprises privées doivent-elles se conformer à l'ENS ?
- Oui, lorsqu'elles fournissent des services à des administrations publiques impliquant le traitement d'informations ou de systèmes du secteur public. Il est courant que les cahiers des charges exigent la conformité à l'ENS pour pouvoir soumissionner.
- Comment décide-t-on de la catégorie BÁSICA, MEDIA ou ALTA ?
- On évalue l'impact d'un incident éventuel sur cinq dimensions de sécurité (confidentialité, intégrité, traçabilité, authenticité et disponibilité) selon des niveaux BAJO, MEDIO ou ALTO. La catégorie du système correspond au niveau le plus élevé atteint par l'une quelconque de ses dimensions.
- Qui peut certifier la conformité à l'ENS ?
- La certification de conformité s'obtient au moyen d'un audit réalisé par un organisme de certification accrédité à cet effet. Une auto-évaluation interne ne remplace pas cet audit lorsqu'on recherche la certification formelle.
- Combien de temps dure un projet de mise en conformité à l'ENS ?
- Cela dépend de la catégorie, du nombre de systèmes dans le périmètre et du point de départ. Une organisation disposant déjà de politiques de sécurité en place avance nettement plus vite qu'une organisation partant de zéro, c'est pourquoi il convient d'éviter des délais fixes avant l'analyse différentielle.