Je suis Ángel Ortega Castro, consultant ENS indépendant. J'accompagne les entreprises de Burgos et de sa province dans leur mise en conformité à l'Esquema Nacional de Seguridad (ENS) — le référentiel national espagnol de sécurité des systèmes d'information institué par le RD 311/2022 — pour qu'elles puissent répondre aux marchés publics et fournir des services à l'Administration locale, provinciale et régionale sans que la conformité réglementaire bloque leur développement commercial.
La province de Burgos dispose d'un secteur public vaste et diversifié. La Diputación de Burgos assure des services numériques pour les 371 municipalités de la province — gestion fiscale, plateformes de démarches en ligne, services sociaux, développement rural — et exige de ses prestataires technologiques qu'ils opèrent avec des garanties de sécurité auditables. L'Ayuntamiento de Burgos, chef-lieu de province de quelque 175 000 habitants, maintient des plateformes de participation citoyenne, des systèmes de gestion urbaine et un siège électronique en expansion constante. L'Universidad de Burgos (UBU), dotée de campus à Burgos capitale, Miranda de Ebro, Aranda de Duero et Palencia, publie régulièrement des appels d'offres portant sur des équipements TIC, des services cloud et des solutions de gestion académique.
À ces organismes s'ajoute la présence dans la province de délégations de la Junta de Castilla y León et d'organismes d'État — Subdelegación del Gobierno, Agence fiscale nationale, Sécurité sociale, Service public de l'emploi — qui contractent également des services numériques auprès d'entreprises locales. Burgos est par ailleurs un pôle industriel majeur : la présence d'entreprises françaises et de leurs filiales espagnoles dans les secteurs de l'automobile, de l'agroalimentaire et de la logistique fait de la province une zone où la question de la conformité ENS se pose fréquemment pour des entités à capitaux ou à partenaires européens. Tous ces organismes publics sont soumis à l'Esquema Nacional de Seguridad conformément au Real Decreto 311/2022 (BOE-A-2022-7191), du 3 mai. Et cette obligation se transfère, de manière expresse, à leurs prestataires de services.
Diputación de Burgos
Collectivité supramunicipale qui gère des services numériques pour 371 communes. Ses appels d'offres technologiques incluent des exigences de sécurité de l'information alignées sur l'ENS.
Ayuntamiento de Burgos
Chef-lieu provincial doté d'un siège électronique, d'une gestion fiscale dématérialisée et de services municipaux en ligne. Les prestataires TIC doivent attester leur conformité ENS pour accéder à ses marchés.
Universidad de Burgos (UBU)
Université publique dotée de quatre campus, avec une digitalisation croissante. Elle publie des appels d'offres en logiciels, cloud et infrastructure TIC soumis aux exigences de sécurité de l'ENS.
Qui est concerné
Si votre entreprise travaille avec l'Administration de Burgos, l'ENS vous concerne.
Le Real Decreto 311/2022 ne se limite pas au secteur public au sens strict. Sa disposition additionnelle première établit clairement que les entités privées qui fournissent des services ou des solutions au secteur public doivent attester leur conformité à l'ENS dans le cadre du contrat correspondant. Il ne s'agit pas d'une recommandation : c'est une condition qui figure en tant qu'exigence de solvabilité dans les cahiers des charges des marchés publics espagnols.
Cela signifie que si votre entreprise — qu'elle soit implantée à Burgos capitale, dans la comarca d'Aranda de Duero, à Miranda de Ebro ou en tout autre point de la province — fournit l'un des services suivants à la Diputación de Burgos, à l'Ayuntamiento, à l'UBU ou à tout organisme de la Junta de Castilla y León présent dans la province, l'ENS fait partie de vos obligations contractuelles :
→Logiciels de gestion municipale, fiscale ou de services sociaux
→Services d'hébergement, de cloud ou d'infrastructure TIC pour l'Administration
→Intégration de systèmes, maintenance de réseaux ou support technique à des organismes publics
→Conseil technologique, développement d'applications ou de portails web pour des administrations publiques
→Services de télécommunications ou de cybersécurité gérée pour des organismes publics
Le délai transitoire pour mettre en conformité les systèmes préexistants a expiré le 5 mai 2024. Les nouveaux contrats exigent la conformité dès le premier jour. Les entreprises qui ne peuvent pas l'attester sont exclues des marchés publics, sans possibilité de déposer une offre. La page conseil ENS pour entreprises expose le processus complet ; le guide de l'ENS offre le contexte réglementaire de départ.
Base légale : Real Decreto 311/2022, du 3 mai, portant réglementation de l'Esquema Nacional de Seguridad (BOE-A-2022-7191). Guides d'application du CCN (Centro Criptológico Nacional). Les organismes de certification sont accrédités par ENAC conformément à la norme UNE-EN ISO/IEC 17065:2012.
Niveaux d'exigence
Catégories de l'ENS : basique, moyen et élevé.
Tous les projets ne requièrent pas le même niveau d'exigence. La catégorie du système d'information est déterminée en évaluant l'impact qu'aurait un incident de sécurité sur les cinq dimensions CIDAT — confidentialité, intégrité, disponibilité, authenticité et traçabilité. La dimension au niveau le plus élevé fixe la catégorie de l'ensemble.
Catégorie basique
Impact limité
Habituelle chez les prestataires de services d'appui à la gestion municipale ou d'applications de démarches pour des entités locales de taille petite à moyenne.
Aucune dimension ne dépasse le niveau bas
Conformité par déclaration auto-évaluée
Aucun organisme certificateur externe obligatoire
Catégorie moyenne
Impact grave
Fréquente dans les systèmes traitant des données sensibles de citoyens ou des processus critiques d'organismes provinciaux ou universitaires.
Au moins une dimension atteint le niveau moyen
Certification par un organisme accrédité ENAC
Audit de conformité biennal
Catégorie élevée
Impact très grave
Applicable aux systèmes dont la défaillance pourrait entraîner des conséquences irréparables : infrastructures critiques ou services essentiels du secteur public.
Au moins une dimension atteint le niveau élevé
Certification par un organisme accrédité ENAC
Audit de conformité biennal obligatoire
Les deux voies de conformité
Basique → déclaration de conformité auto-évaluée
En catégorie basique, l'organisation vérifie elle-même sa conformité selon les guides CCN-STIC et émet une déclaration de conformité. Aucun certificateur externe n'est requis, mais la documentation et les preuves doivent être rigoureusement en ordre. Je prépare l'intégralité du corpus documentaire pour que votre déclaration soit solide et résiste à toute vérification de l'entité contractante.
Moyen / élevé → certification accréditée par ENAC
En catégorie moyenne ou élevée, la conformité exige une certification délivrée par un organisme accrédité par ENAC conformément à la norme UNE-EN ISO/IEC 17065:2012. Je prépare votre organisation pour réussir cet audit ; le label est délivré par l'organisme accrédité, non par le consultant. Cette distinction est essentielle : méfiez-vous de quiconque prétend garantir la certification lui-même.
Ce que vous obtenez
Documentation qui fonde la conformité.
L'objectif n'est pas de produire de la paperasse : c'est de doter votre entreprise du corpus documentaire et technique que tout auditeur ou cahier des charges à Burgos va exiger.
Rapport de diagnostic / analyse GAP qui mesure l'écart réel entre votre situation actuelle et les exigences de l'ENS applicables.
Catégorisation du système selon les cinq dimensions CIDAT et le niveau résultant (basique, moyen ou élevé).
Analyse des risques avec la méthodologie MAGERIT et plan de traitement des risques adapté à votre contexte opérationnel.
Politique de sécurité de l'information et réglementation dérivée, adaptées à la taille et au périmètre de votre entreprise.
Plan d'adéquation (CCN-STIC 806) avec responsables, délais et priorités ajustés à votre réalité.
Déclaration d'Applicabilité (DdA) qui justifie la sélection et l'exclusion des mesures de l'Annexe II du RD 311/2022.
Preuves de mise en œuvre des mesures organisationnelles, opérationnelles et de protection.
Préparation de l'audit (en catégorie moyenne ou élevée) : révision préalable, checklist et accompagnement pendant le processus avec l'organisme certificateur.
Ángel Ortega Castro consultant ENS
Qui est derrière ce service
Un consultant ENS qui accompagne vraiment.
Je suis Ángel Ortega Castro, consultant indépendant spécialisé en conformité réglementaire et sécurité de l'information. J'interviens auprès d'entreprises de Castilla y León — y compris celles de Burgos et de sa province — qui ont besoin de se conformer à l'ENS pour pouvoir répondre à des appels d'offres et opérer avec l'Administration publique.
Mon approche est celle d'un accompagnement réel : je ne vous laisse pas un manuel et disparais. Je travaille à vos côtés à chaque phase du processus, je traduis la norme en décisions concrètes adaptées à votre contexte, et je laisse votre équipe en capacité de maintenir la conformité de façon autonome une fois la mission terminée.
Je suis honnête sur ce que je peux et ne peux pas faire : je prépare et mets en conformité votre organisation ; la certification est délivrée par un organisme accrédité par ENAC. Cette transparence, alliée à la rigueur dans l'application du RD 311/2022 et des guides CCN-STIC, distingue cette mission des offres génériques qui ne connaissent pas le tissu administratif local de Burgos.
Consultant ENS indépendantRD 311/2022 · Annexes I–IVGuides CCN-STICMAGERIT · analyse des risquesBurgos · Castilla y León · Espagne
Questions fréquentes
Questions courantes des entreprises de Burgos sur l'ENS.
Les entreprises qui fournissent des services à la Diputación de Burgos doivent-elles respecter l'ENS ?+
Oui. La Diputación de Burgos, en tant qu'entité du secteur public, est soumise à l'ENS conformément au RD 311/2022. Cette obligation s'étend, par effet de chaîne d'approvisionnement, à ses prestataires et contractants qui gèrent des systèmes d'information. Si votre entreprise fournit des services TIC, des logiciels de gestion ou des infrastructures numériques à la Diputación, l'ENS vous est directement applicable et les cahiers des charges peuvent exiger que vous attestiez votre conformité.
L'Ayuntamiento de Burgos exige-t-il l'ENS dans ses appels d'offres technologiques ?+
L'Ayuntamiento de Burgos, en tant qu'administration locale, est tenu de respecter l'ENS et de répercuter cette exigence sur ses prestataires de services numériques. En pratique, les cahiers des prescriptions techniques des marchés de logiciels, de maintenance de systèmes, de cloud ou de cybersécurité intègrent la conformité ENS comme condition de solvabilité technique. Les entreprises qui ne peuvent pas l'attester ne peuvent pas concourir à ces appels d'offres.
L'Universidad de Burgos (UBU) impose-t-elle l'ENS à ses prestataires TIC ?+
Oui. L'Universidad de Burgos est une entité du secteur public soumise à l'ENS, et ses contrats technologiques — équipements, cloud, applications de gestion académique, plateformes d'e-learning — impliquent le traitement de données d'étudiants, de personnels et de chercheurs. Les prestataires qui gèrent ces systèmes doivent démontrer leur conformité ENS dans la catégorie correspondant au niveau d'impact du système.
Quelle catégorie ENS s'applique généralement à une PME de Burgos prestataire de l'Administration locale ?+
Cela dépend du type de service et des données traitées. Pour de nombreuses PME de Burgos qui fournissent des logiciels de gestion municipale, de la maintenance TIC ou du support technique à des organismes locaux, la catégorie basique est la plus courante : l'impact d'un incident sur les cinq dimensions CIDAT est généralement limité. Dans ce cas, une déclaration de conformité auto-évaluée suffit, sans certificateur externe. Toutefois, si le système traite des données sensibles de citoyens ou des processus critiques, la catégorie peut être moyenne ou élevée, ce qui requiert une certification accréditée par ENAC. La première étape est toujours le diagnostic et la catégorisation du système.
Mon client est la Junta de Castilla y León à Burgos : ai-je besoin de l'ENS ?+
Oui. La Junta de Castilla y León est une administration régionale pleinement soumise à l'ENS. Ses délégations à Burgos — Delegación Territorial, services de l'emploi, de la santé, de l'éducation — contractent des services numériques auprès d'entreprises locales. Si votre entreprise fournit un service de nature technologique à la Junta dans la province, le RD 311/2022 vous oblige à attester votre conformité ENS dans le périmètre correspondant à ce contrat.
Notre société est une filiale d'un groupe français : sommes-nous tout de même soumis à l'ENS espagnol ?+
Oui. L'ENS s'applique à l'entité juridique espagnole qui exécute la prestation, indépendamment de la nationalité de la société mère. Si votre filiale espagnole fournit des services numériques à une administration publique de Burgos ou de sa province, elle est tenue de se conformer au RD 311/2022 dans son propre périmètre. Les groupes français présents dans la région — notamment dans l'automobile, l'agroalimentaire et la logistique — sont concernés dès lors que leur filiale locale remporte des contrats publics technologiques. La conformité ENS de la filiale est indépendante de la certification ISO 27001 ou des référentiels ANSSI dont le groupe dispose en France.
Discutons de votre mise en conformité ENS à Burgos ?
Premier appel sans frais et sans engagement. Nous évaluons ensemble quels organismes de Burgos ou de la région sont vos clients, quelle catégorie ENS correspond à votre périmètre et quel est le chemin le plus direct pour attester la conformité. Si nous ne sommes pas la bonne combinaison, vous repartez quoi qu'il arrive avec un diagnostic initial utile.
