Je suis Ángel Ortega Castro, consultant ENS indépendant. J'accompagne les entreprises qui souhaitent travailler avec la Diputación de León, l'Ayuntamiento de León et la Universidad de León (ULE) dans leur mise en conformité à l'Esquema Nacional de Seguridad. Sans raccourcis, sans jargon creux : du diagnostic à la conformité.
León compte trois grandes institutions publiques qui génèrent un volume important de marchés technologiques : la Diputación Provincial de León, qui fournit des services numériques et de gestion à plus de 200 communes de la province et qui soutient le tourisme et le développement rural depuis son infrastructure TIC ; l'Ayuntamiento de León, qui opère son Siège Électronique (Sede Electrónica), instruit des procédures administratives en ligne et a avancé dans son programme de ville numérique ; et la Universidad de León (ULE), institution publique de plus de 10 000 étudiants qui gère des données académiques, de recherche et de personnel à haute valeur, et qui contracte de manière régulière des services de logiciels, d'hébergement et de support technique. Les trois organismes agissent en tant qu'administrations publiques à tous égards au regard du Real Decreto 311/2022 (BOE-A-2022-7191), du 3 mai, qui réglemente l'Esquema Nacional de Seguridad (ENS — le Schéma national de sécurité de l'information espagnol en matière d'administration électronique).
L'enjeu pour les entreprises ne se limite pas à respecter la norme directement : il s'agit de comprendre que l'ENS s'étend à la chaîne d'approvisionnement. Le RD 311/2022 étend l'obligation de mise en conformité à l'ENS aux organisations privées qui fournissent des services ou des solutions au secteur public par voie contractuelle. Une entreprise de développement logiciel au service de la Diputación de León, un prestataire de services de cybersécurité gérés pour l'Ayuntamiento ou un intégrateur de systèmes pour la ULE sont tout autant concernés par cette norme que les administrations elles-mêmes.
La Diputación de León publie des marchés de services TIC, de gestion documentaire et de transformation numérique. La conformité ENS est de plus en plus souvent un critère de solvabilité technique dans ses cahiers des charges.
L'Ayuntamiento de León gère des démarches sensibles de citoyens via son administration électronique. Ses prestataires de plateforme et de support doivent attester de mesures de sécurité proportionnées au risque.
La Universidad de León (ULE) traite des données de recherche, des dossiers académiques et des contrats de personnel protégés par le RGPD. Les entreprises qui lui fournissent des services technologiques doivent démontrer un niveau de sécurité équivalent à celui exigé par l'ENS.
Le délai transitoire du RD 311/2022 pour les systèmes préexistants a expiré le 5 mai 2024. Il n'y a plus de marge d'attente : l'obligation s'applique aujourd'hui dans tout appel d'offres public à León.
Les entreprises léonaises ou celles qui opèrent dans la province et aspirent à contracter avec l'administration locale font face à un contexte où la sécurité de l'information n'est plus un critère facultatif. Les cahiers des charges de la Diputación de León, de l'Ayuntamiento de León et de la ULE intègrent avec une fréquence croissante la conformité ENS comme condition d'accès ou comme critère d'évaluation technique. Ne pas pouvoir attester cette conformité équivaut à être éliminé du processus de sélection avant même l'ouverture des plis.
La mise en conformité, par ailleurs, ne sert pas uniquement à répondre aux appels d'offres. Elle démontre à tout client — public ou privé — que votre organisation gère l'information avec rigueur et que les données qui vous sont confiées sont protégées par un cadre de sécurité reconnu. C'est un argument différenciateur qui va bien au-delà de la stricte conformité réglementaire. L'accompagnement ENS que je propose couvre l'ensemble du processus : du diagnostic initial à la remise des preuves prêtes pour l'auditeur. Pour une vue d'ensemble du cadre normatif, le guide ENS est le meilleur point de départ.
La catégorie du système ne se choisit pas : elle se calcule en évaluant l'impact qu'aurait un incident de sécurité sur les cinq dimensions CIDAT — confidentialité, intégrité, disponibilité, authenticité et traçabilité. La dimension avec le niveau le plus élevé détermine la catégorie de l'ensemble. Pour les prestataires des administrations léonaises, la catégorie basique est la plus courante lorsque les données gérées ont un impact limité ; les systèmes traitant des informations plus sensibles peuvent atteindre le niveau moyen.
Un incident causerait un préjudice limité sur les fonctions de l'organisation, ses actifs ou les personnes.
Au moins une dimension atteint le niveau moyen : l'impact d'un incident serait grave pour l'organisation ou les personnes.
Un incident causerait un préjudice très grave ou irréparable : au moins une dimension atteint le niveau élevé.
En catégorie basique, la conformité est attestée par une déclaration de conformité auto-évaluée. L'organisation vérifie le respect des exigences selon les guides CCN-STIC et formalise la déclaration. Je prépare l'ensemble de la documentation et des preuves pour que cette déclaration soit solide et résiste au contrôle de l'acheteur public léonais.
En catégorie moyenne ou élevée, la conformité exige une certification par un organisme accrédité par ENAC conformément à la norme UNE-EN ISO/IEC 17065:2012. Je prépare votre organisation pour réussir cet audit ; la certification est émise par l'organisme accrédité, indépendant du consultant.
Le travail ne s'arrête pas à un rapport générique. Chaque livrable répond à une exigence spécifique du RD 311/2022 et de ses annexes, et est conçu pour résister à l'examen de l'acheteur public ou de l'organisme certificateur.
Je suis Ángel Ortega Castro, consultant indépendant spécialisé en conformité réglementaire et sécurité de l'information. J'accompagne les entreprises qui souhaitent fournir des services à l'administration publique — notamment à la Diputación de León, à l'Ayuntamiento de León et à la Universidad de León — dans leur mise en conformité à l'Esquema Nacional de Seguridad (ENS, RD 311/2022).
Mon travail est un accompagnement réel : je comprends votre activité avant d'ouvrir la moindre annexe, je traduis la norme en décisions concrètes et je laisse votre équipe en mesure de maintenir la conformité de façon autonome une fois le projet terminé. Je ne disparais pas après la première livraison.
Je suis transparent sur ce que je peux et ne peux pas promettre : je prépare et mets en conformité votre organisation ; la certification est émise par un organisme accrédité par ENAC. Cette franchise, combinée à la rigueur dans l'application du RD 311/2022 et des guides CCN-STIC, est ce qui distingue ce service des cabinets qui vendent un label sans accompagner le processus.
Intégrateurs et consultants TIC qui fournissent des services d'administration électronique, de gestion documentaire ou d'infrastructure à la Diputación Provincial de León et aux communes qu'elle dessert. La conformité ENS est la clé qui ouvre l'accès à ces marchés.
Entreprises qui proposent des plateformes de traitement administratif, des solutions d'identité numérique ou des services de sécurité gérée à la mairie de León. L'Ayuntamiento exige des garanties de sécurité aux acteurs qui accèdent à ses systèmes et aux données de ses administrés.
Sociétés de logiciels, d'hébergement ou d'analytique de données contractées par la Universidad de León (ULE). L'ULE traite des informations sensibles concernant les étudiants, les chercheurs et le personnel, et transfère ses obligations de sécurité aux prestataires avec lesquels elle collabore.
Il n'existe pas de tarif unique valable sans connaître votre situation. L'investissement dépend du périmètre du système, de la catégorie résultante (basique, moyenne ou élevée), de votre niveau de maturité en sécurité et de la nécessité d'une simple déclaration ou d'une certification accréditée.
En catégorie moyenne ou élevée, au coût de l'accompagnement s'ajoute le coût de l'organisme certificateur accrédité par ENAC, indépendant de mes honoraires et facturé par le tiers qui réalise l'audit de conformité.
Les organismes qui agissent en tant qu'administration publique à León — notamment la Diputación Provincial de León, l'Ayuntamiento de León et la Universidad de León (ULE) — sont tenus d'appliquer l'ENS et, par extension, d'exiger la conformité à l'ENS des entreprises privées qui leur fournissent des services ou des solutions technologiques. Cette extension à la chaîne d'approvisionnement est explicite dans le RD 311/2022 et s'applique à tous les marchés impliquant le traitement d'informations ou l'accès aux systèmes de l'administration.
Oui, si la prestation implique l'accès ou le traitement d'informations des systèmes de l'Ayuntamiento. L'Ayuntamiento de León opère son Siège Électronique et de nombreux services numériques dans le cadre du RD 311/2022 ; ses cahiers des charges en matière de marchés technologiques intègrent de plus en plus souvent la conformité ENS comme critère de solvabilité technique. Si vous présentez une offre sans pouvoir attester cette conformité, vous pouvez être exclu avant même l'évaluation de votre dossier. Je vous accompagne dans tout l'accompagnement ENS nécessaire pour être prêt.
La ULE est une institution publique soumise à l'ENS pour ses propres systèmes. Cette obligation se transfère contractuellement à ses prestataires technologiques lorsque le service implique l'accès à des systèmes ou le traitement de données universitaires. Les prestataires de plateformes d'e-learning, de logiciels de gestion académique, d'hébergement cloud ou de support technique d'infrastructure entrent dans le champ de cette exigence. La conformité à l'ENS — et la documentation qui l'étaye — est le moyen de démontrer que vous répondez à ce critère.
Cela dépend des données et des services concrets que gère votre entreprise. Pour la plupart des prestataires de l'administration locale léonaise — services de support, gestion documentaire ou plateformes de traitement à impact limité —, la catégorie basique est la plus courante. La catégorie moyenne s'applique lorsque l'impact d'un incident serait grave, par exemple pour des systèmes traitant des données personnelles sensibles ou soutenant des services essentiels. La catégorie élevée est moins fréquente dans le contexte des prestataires de l'administration locale. La première étape est toujours le diagnostic, qui détermine la catégorie avec des critères objectifs.
En catégorie basique, oui : la conformité est attestée par une déclaration de conformité auto-évaluée, sans nécessité d'audit par un tiers. En catégorie moyenne ou élevée, la déclaration ne suffit pas ; une certification émise par un organisme accrédité par ENAC conformément à la norme UNE-EN ISO/IEC 17065:2012 est requise. La catégorie est déterminée par l'évaluation des systèmes, non par le choix du prestataire. Je prépare la déclaration de conformité avec toute la documentation de soutien, pour qu'elle soit défendable devant n'importe quel examinateur.
Le délai dépend de la catégorie du système et du niveau de maturité de l'organisation. Un processus de catégorie basique avec une entreprise disposant déjà de contrôles documentés peut être finalisé en quelques semaines. Un projet de catégorie moyenne avec plusieurs systèmes et certification accréditée peut nécessiter plusieurs mois. Je l'évalue lors du diagnostic initial, qui est la première étape de tout projet et dont vous tirerez déjà des informations utiles, même si vous décidez de ne pas poursuivre.
Premier appel sans frais et sans engagement. Nous évaluons ensemble votre périmètre, déterminons la catégorie qui vous correspond et, si nous nous accordons, je vous transmets une proposition définitive. Sinon, vous repartez au moins avec un diagnostic initial utile pour commencer votre démarche de conformité.