Je suis Ángel Ortega Castro, consultant ENS indépendant avec une présence active aux Îles Canaries. J'accompagne les entreprises de Las Palmas de Gran Canaria dans leur mise en conformité à l'Esquema Nacional de Seguridad (ENS) — le référentiel national espagnol de sécurité des systèmes d'information, institué par le RD 311/2022 — afin qu'elles puissent contracter avec le Gobierno de Canarias, le Cabildo de Gran Canaria et la mairie capitaline avec toutes les garanties réglementaires requises.
Las Palmas de Gran Canaria concentre une densité administrative singulière dans l'archipel. La ville accueille des organismes des trois niveaux de gouvernement, tous soumis à l'Esquema Nacional de Seguridad (ENS) en vertu du RD 311/2022 (BOE-A-2022-7191, du 3 mai). Cette obligation s'étend expressément à la chaîne de fournisseurs : toute entreprise privée qui leur prestate des services ou des solutions à composante TIC doit démontrer sa conformité à l'ENS.
Le Gobierno de Canarias dispose à Las Palmas de Gran Canaria de nombreuses consejerías, organismes autonomes et agences dépendantes, parmi lesquels le Servicio Canario de Salud, le Servicio Canario de Empleo et l'Agencia Tributaria Canaria. Ces organismes gèrent des systèmes d'information qui traitent les données de plusieurs millions de citoyens et qui entrent dans le champ d'application de l'ENS. Lorsqu'ils passent des marchés de services numériques — développement logiciel, gestion d'infrastructure, informatique en nuage, support technique ou conseil technologique —, les cahiers des charges imposent aux prestataires de justifier leur conformité au règlement.
Le Cabildo de Gran Canaria, la corporation insulaire aux compétences étendues en matière de voirie, d'action sociale, de tourisme, d'environnement et de développement économique, est l'un des plus grands donneurs d'ordre publics de l'île. Ses appels d'offres TIC intègrent de plus en plus souvent la conformité ENS comme condition de capacité technique. Il en va de même pour l'Ayuntamiento de Las Palmas de Gran Canaria, la commune la plus peuplée des Canaries, avec des entités dépendantes telles qu'EMALSA (eau et assainissement) ou Guaguas Municipales : tout fournisseur qui traite des données ou gère des systèmes pour ces organismes entre dans le périmètre d'obligation de l'ENS.
L'Universidad de Las Palmas de Gran Canaria (ULPGC), institution publique disposant de plusieurs campus répartis sur l'île, est également soumise à l'ENS pour ses systèmes d'information académiques, administratifs et de recherche. Les entreprises de logiciels ou de services technologiques qui collaborent avec la ULPGC doivent par conséquent anticiper les exigences ENS dès l'entame de tout processus de passation de marchés.
Consejerías, organismes autonomes et agences à Las Palmas. Leurs prestataires TIC doivent justifier la conformité ENS dans les cahiers des charges.
La corporation insulaire aux larges compétences. Ses appels d'offres TIC intègrent la conformité ENS comme critère de capacité technique.
La commune la plus peuplée des Canaries, avec des sociétés municipales propres. Ses fournisseurs sont inclus dans la chaîne de fournisseurs ENS.
Université publique soumise à l'ENS. Les entreprises de logiciels et de services qui collaborent avec la ULPGC entrent dans le périmètre d'obligation.
Les Îles Canaries ne font pas partie du territoire d'application de la TVA de l'Union européenne. L'impôt indirect en vigueur dans l'archipel est l'IGIC (Impuesto General Indirecto Canario), régi par la Loi 20/1991, avec des taux généralement inférieurs à ceux de la TVA péninsulaire. Cette singularité du Régime Économique et Fiscal (REF) des Canaries influe sur la facturation du service, mais en aucun cas sur l'obligation réglementaire.
Le RD 311/2022 s'applique à l'ensemble du territoire national, y compris aux Îles Canaries, avec des exigences techniques et documentaires identiques. La catégorie du système, les mesures de l'Annexe II et le processus de conformité sont les mêmes quelle que soit la localisation de l'entreprise. Ce qui change, en pratique, c'est que lorsque je travaille avec une entreprise canarienne, la facture de conseil est émise avec l'IGIC et non avec la TVA. Il s'agit d'un aspect pratique et comptable, non d'une différence de portée réglementaire. Il convient également de garder à l'esprit que certaines entreprises relevant de la Zona Especial Canaria (ZEC) qui prestent des services au secteur public sont soumises à l'ENS pour les systèmes affectés par cette relation contractuelle.
Mon conseil ENS est strictement identique pour les entreprises canariennes et pour celles du continent espagnol : diagnostic, catégorisation, analyse des risques (MAGERIT), plan de mise en conformité, déclaration d'applicabilité et mise en œuvre des mesures. Le guide ENS complet détaille chaque étape du processus.
Le processus de mise en conformité suit les phases du cadre ENS et les guides CCN-STIC du Centro Criptológico Nacional. Chaque phase produit un livrable qui s'appuie sur le précédent. Je travaille avec vous du début à la fin : je ne vous remets pas des documents pour ensuite disparaître.
| Phase | Ce que nous faisons | Référence et livrable |
|---|---|---|
| Phase 01 Diagnostic (analyse d'écart) |
Analyse différentielle entre votre situation actuelle et les exigences de l'ENS. Définition du périmètre et des systèmes d'information concernés, y compris ceux qui fournissent des services aux organismes canariens. | Rapport de diagnostic / analyse GAP mesurant l'écart réel par rapport à la conformité. |
| Phase 02 Catégorisation |
Évaluation des systèmes selon les cinq dimensions de sécurité (CIDAT) et attribution de la catégorie : basique, moyenne ou élevée. | Annexe I de l'ENS. Détermine la catégorie applicable en fonction de l'impact potentiel d'un incident. |
| Phase 03 Analyse des risques |
Identification des actifs, des menaces et des mesures de protection avec la méthodologie MAGERIT. | Rapport d'analyse des risques MAGERIT et plan de traitement des risques. |
| Phase 04 Plan de mise en conformité + DdA |
Politique de sécurité, sélection des mesures et rédaction de la Déclaration d'Applicabilité (DdA), en justifiant chaque contrôle applicable. | Guide CCN-STIC 806. Plan de mise en conformité et déclaration de conformité. |
| Phase 05 Mise en œuvre |
Déploiement des mesures de l'Annexe II : cadre organisationnel, opérationnel et de protection. Accompagnement direct de votre équipe à Las Palmas. | Mise en œuvre des mesures de l'Annexe II avec preuves auditables. |
| Phase 06 Préparation à la conformité |
Révision préalable et accompagnement tout au long du processus de conformité. En catégorie moyenne ou élevée, préparation pour l'audit de l'entité accréditée. | Annexe III. Je prépare la conformité ; la certification est délivrée par l'entité accréditée par ENAC. |
La catégorie d'un système s'obtient en évaluant l'impact qu'un incident de sécurité aurait sur les cinq dimensions CIDAT (confidentialité, intégrité, disponibilité, authenticité et traçabilité). La dimension au niveau le plus élevé détermine la catégorie du système. Il ne s'agit pas d'une estimation subjective : c'est le résultat de l'analyse technique de chaque système.
Lorsqu'un incident causerait un préjudice limité sur les fonctions de l'organisation ou les personnes. Habituelle pour les services numériques de moindre criticité.
Lorsqu'un incident représenterait un préjudice grave. Au moins une dimension atteint le niveau moyen.
Lorsqu'un incident causerait un préjudice très grave ou irréparable. Au moins une dimension atteint le niveau élevé.
En catégorie basique, la conformité s'atteste au moyen d'une déclaration de conformité auto-évaluée : l'organisation elle-même vérifie sa conformité selon les guides CCN-STIC. Je prépare l'intégralité de la documentation et des preuves pour que votre déclaration soit solide et résiste à la vérification de tout organisme canarien contractant.
En catégorie moyenne ou élevée, la conformité requiert une certification délivrée par un organisme accrédité par ENAC conformément à la norme ISO/IEC 17065:2012. Je prépare votre organisation pour réussir cet audit ; la certification est délivrée par l'organisme accrédité, jamais par le consultant. C'est cette clarté depuis le premier jour qui distingue un accompagnement honnête.
Je ne vous remets pas un PDF que personne ne rouvre. Je vous livre le corpus documentaire et technique qui fonde la conformité et que le Cabildo, le Gobierno de Canarias ou tout organisme du secteur public canarien exige dans les dossiers d'appel d'offres.
Je suis Ángel Ortega Castro, consultant indépendant spécialisé en conformité réglementaire et sécurité de l'information, avec une présence active aux Îles Canaries. J'accompagne les entreprises de Las Palmas de Gran Canaria et de Gran Canaria dans leur mise en conformité à l'Esquema Nacional de Seguridad (ENS) pour qu'elles puissent opérer avec toutes les garanties requises dans les marchés publics de l'archipel.
Je comprends l'écosystème administratif canarien : le Gobierno de Canarias, les Cabildos insulaires et les grandes mairies ont leurs propres calendriers de passation de marchés et leurs propres exigences de capacité technique. Mon travail consiste à traduire le RD 311/2022 en décisions concrètes pour votre équipe et à rendre l'organisation autonome dans le maintien de la conformité une fois le projet terminé.
Je suis transparent sur ce que je peux faire et ce que je ne peux pas : je prépare et adapte votre organisation à la conformité ; la certification en catégorie moyenne ou élevée est délivrée par un organisme accrédité par ENAC. Cette clarté dès le premier jour est ce qui distingue un accompagnement honnête d'une promesse sans fondement.
Développeurs, intégrateurs et prestataires SaaS qui fournissent des services aux consejerías ou aux agences du Gobierno de Canarias et qui doivent justifier leur conformité ENS pour renouveler ou étendre leurs contrats publics.
Organisations de Las Palmas qui répondent aux appels d'offres du Cabildo de Gran Canaria, de la mairie capitaline ou de leurs entités dépendantes, et qui trouvent l'ENS comme condition de capacité technique dans les cahiers des charges.
Sociétés qui développent des applications, gèrent l'infrastructure ou prestent des services de données à l'Universidad de Las Palmas de Gran Canaria et qui doivent justifier la conformité ENS dans les contrats en cours ou futurs.
Il n'existe pas de chiffre unique, et méfiez-vous de ceux qui vous en donnent un sans connaître votre situation. L'investissement dépend du périmètre (nombre de systèmes), de la catégorie (basique, moyenne ou élevée), de votre niveau de maturité de départ et de la nécessité ou non d'une certification accréditée plutôt que d'une déclaration de conformité auto-évaluée.
N'oubliez pas que la facture de conseil aux Canaries est émise avec l'IGIC (et non la TVA). En catégorie moyenne ou élevée, aux honoraires de conseil s'ajoute le coût de l'entité de certification accréditée par ENAC, qui est indépendante et facture directement le tiers chargé de l'audit.
Oui, lorsque les services ou solutions proposés ont une composante TIC et font partie de la chaîne de fournisseurs de ces organismes. Le RD 311/2022 étend l'obligation ENS aux prestataires privés du secteur public, quelle que soit l'entité contractante — État central, communauté autonome, cabildo insulaire ou mairie. Le Cabildo de Gran Canaria et l'Ayuntamiento de Las Palmas de Gran Canaria sont des sujets obligés ; leurs fournisseurs héritent de l'obligation pour les systèmes concernés.
Oui. L'Universidad de Las Palmas de Gran Canaria est une entité du secteur public universitaire soumise à l'ENS pour ses systèmes d'information. Cette obligation se répercute sur ses fournisseurs via les cahiers des charges. Une entreprise de logiciels ou de services cloud souhaitant travailler avec la ULPGC doit intégrer la mise en conformité à l'ENS dans sa proposition technique.
Uniquement pour la facturation. Les Canaries appliquent l'IGIC (Impuesto General Indirecto Canario) à la place de la TVA ; lorsque je travaille avec une entreprise établie dans l'archipel, la facture est émise avec l'IGIC. Le processus de mise en conformité à l'ENS — diagnostic, catégorisation, analyse des risques, plan, mise en œuvre et conformité — est identique à celui de toute entreprise péninsulaire. Le RD 311/2022 ne fait aucune distinction territoriale.
Cela dépend de la catégorie du système. En catégorie basique, la conformité s'atteste par une déclaration auto-évaluée que souscrit l'organisation elle-même. En catégorie moyenne ou élevée, la norme exige une certification délivrée par un organisme accrédité par ENAC conformément à la norme ISO/IEC 17065. En tant que consultant, je vous prépare à la conformité dans l'une ou l'autre voie ; en catégorie moyenne ou élevée, la certification est délivrée par le tiers accrédité, jamais par le consultant.
Il n'existe pas de catégorie fixe : elle est déterminée en évaluant l'impact réel d'un incident de sécurité sur les cinq dimensions CIDAT du système concerné. Cela dit, de nombreuses entreprises fournissant des services numériques de moindre criticité (gestion documentaire, portails web, outils de productivité) relèvent de la catégorie basique. Les systèmes qui traitent des données sensibles de citoyens, gèrent des infrastructures critiques ou assurent des fonctions essentielles peuvent atteindre le niveau moyen ou élevé. Le diagnostic initial est le seul moyen rigoureux de le déterminer.
Oui. L'obligation ENS découle de la relation contractuelle avec le secteur public, et non de la localisation géographique du fournisseur. Une entreprise dont le siège est à hors des Canaries qui fournit des services TIC au Gobierno de Canarias est également soumise au RD 311/2022. Ce qui peut varier, c'est uniquement la fiscalité de la facture — si le client est canarien et que le service est réputé presté aux Canaries, les règles de l'IGIC peuvent s'appliquer — ce qu'il convient de vérifier avec votre conseiller fiscal.
Premier appel sans frais et sans engagement. Nous évaluons votre périmètre, votre catégorie et les organismes canariens avec lesquels vous travaillez ou souhaitez travailler, et je vous transmets un devis ferme. Si nous ne sommes pas la bonne combinaison, vous repartez quoi qu'il arrive avec un diagnostic initial utile pour entamer votre mise en conformité ENS.