Je suis Ángel Ortega Castro, consultant ENS indépendant. J'accompagne les entreprises qui souhaitent soumissionner ou intervenir en tant que prestataires auprès de l'Ayuntamiento de Salamanca, la Diputación de Salamanca ou l'Universidad de Salamanca (USAL) dans leur mise en conformité avec l'Esquema Nacional de Seguridad (ENS) — le référentiel espagnol de sécurité des systèmes d'information régi par le RD 311/2022 — : diagnostic, plan de mise en conformité et préparation à la déclaration, sans promesse de certification garantie.
Pour sa taille, Salamanque concentre un secteur public inhabituellement étendu : une université forte de huit siècles d'histoire, une diputación qui couvre plus de trois cents communes de la province et un ayuntamiento qui a engagé ces dernières années une transformation numérique substantielle. Trois entités aux profils d'appels d'offres distincts, mais avec un dénominateur commun de plus en plus marqué : l'exigence que leurs prestataires technologiques attestent leur conformité avec l'Esquema Nacional de Seguridad (ENS). Pour les entreprises françaises ou francophones opérant en Espagne — ou souhaitant y développer leur activité dans le secteur public — cette exigence réglementaire est la porte d'entrée incontournable.
La mairie gère son siège électronique, ses plateformes de démarches citoyennes et ses systèmes d'urbanisme et de services sociaux. Toute entreprise fournissant des services technologiques à l'Ayuntamiento entre dans le périmètre de l'ENS au titre de la chaîne d'approvisionnement.
La Diputación fournit des services mutualisés d'administration électronique et de technologie aux communes de la province. Ses marchés de logiciels, d'infrastructure et de services cloud exigent, de plus en plus fréquemment, que le prestataire atteste sa conformité avec l'ENS comme condition de capacité technique.
La USAL, institution publique fondée en 1218 et soumise à la Ley Orgánica del Sistema Universitario, est directement assujettie à l'ENS et répercute cette obligation sur toute sa chaîne de prestataires. Les entreprises lui fournissant des systèmes de gestion académique, des plateformes d'apprentissage, des logiciels de recherche ou des services cloud doivent démontrer leur conformité à l'ENS avant la signature du contrat — ou, dans bien des cas, dès le cahier des charges.
Le RD 311/2022 a dissipé tout doute : prestataires et contractants du secteur public doivent se conformer à l'ENS. Le délai transitoire pour les systèmes préexistants a expiré le 5 mai 2024. Les cahiers des charges de Salamanque, comme ceux du reste de l'Espagne, intègrent désormais cette exigence comme critère de capacité technique. Ce n'est pas une tendance future : c'est la réalité actuelle.
Si votre entreprise fournit ou souhaite fournir des services technologiques à l'une de ces institutions, la mission de conseil ENS est la voie pour attester que vous gérez la sécurité de l'information avec la rigueur exigée par le référentiel. Le guide ENS est le meilleur point de départ si vous êtes encore en train d'évaluer si l'obligation vous concerne.
L'ENS s'impose directement à l'Ayuntamiento de Salamanca, la Diputación de Salamanca et l'Universidad de Salamanca (USAL), comme à toute entité du secteur public espagnol. Mais son champ ne s'arrête pas là : le Real Decreto 311/2022 étend l'obligation aux entreprises privées fournissant des services ou des solutions au secteur public dans le cadre d'une relation contractuelle, c'est-à-dire à l'ensemble de la chaîne d'approvisionnement. Prestataires TIC, intégrateurs de systèmes, éditeurs SaaS, fournisseurs cloud, cabinets de conseil informatique : si votre activité commerciale inclut des prestations pour ces administrations, l'ENS vous concerne.
La disposition transitoire unique du RD 311/2022 avait accordé 24 mois pour adapter les systèmes préexistants ; ce délai a expiré le 5 mai 2024. Les systèmes nouveaux ou ayant subi des changements significatifs doivent être conformes dès le premier jour. La certification ENS se renouvelle tous les deux ans pour les catégories moyenne et haute.
Le plan de mise en conformité ENS suit l'ordre prescrit par les guides CCN-STIC. Rien n'est improvisé : chaque phase produit un livrable qui s'appuie sur le précédent. Voici la feuille de route complète, du diagnostic initial à la préparation de l'audit.
| Phase | Ce que nous faisons | Référence et livrable |
|---|---|---|
| Phase 01 Diagnostic (gap) |
Analyse différentielle entre votre situation actuelle et les exigences de l'ENS. Définition du périmètre et des systèmes d'information concernés. | Rapport de diagnostic / analyse GAP avec l'écart réel à la conformité. |
| Phase 02 Catégorisation |
Évaluation des systèmes selon les cinq dimensions de sécurité (CIDAT) et attribution de la catégorie : básica, media ou alta. | Annexe I de l'ENS. Détermine la catégorie básica, media ou alta applicable. |
| Phase 03 Analyse de risques |
Identification des actifs, menaces et mesures de protection selon la méthodologie MAGERIT (avec des outils tels que PILAR). | Rapport d'analyse de risques MAGERIT et traitement du risque. |
| Phase 04 Plan de mise en conformité + DdA |
Politique de sécurité, sélection des mesures et rédaction de la Déclaration d'Applicabilité (DdA), justifiant chaque contrôle applicable. | Guide CCN-STIC 806. Plan de mise en conformité et déclaration de conformité. |
| Phase 05 Déploiement |
Mise en œuvre des mesures sélectionnées : cadre organisationnel, opérationnel et de protection. Accompagnement de votre équipe tout au long du déploiement. | Déploiement des mesures de l'Annexe II avec preuves documentées. |
| Phase 06 Audit / certification |
Préparation et révision préalable. Pour les catégories moyenne et haute, accompagnement pendant l'audit de l'organisme accrédité. | Annexe III. Je prépare l'audit ENS ; l'audit de conformité est réalisé par un tiers accrédité. |
Vous souhaitez connaître la durée de chaque phase ? Je la détaille dans les délais de mise en conformité ENS. Et si votre système est déjà opérationnel, je peux me charger directement du déploiement et de la mise en conformité ENS.
La catégorie d'un système ne s'évalue pas à l'intuition : elle s'obtient en mesurant l'impact d'un incident sur les cinq dimensions de sécurité — confidentialité, intégrité, disponibilité, authenticité et traçabilité (CIDAT) —. La dimension présentant le niveau le plus élevé détermine la catégorie du système.
Lorsqu'un incident causerait un préjudice limité sur les fonctions de l'organisation, ses actifs ou les personnes concernées.
Lorsqu'un incident entraînerait un préjudice grave : au moins une dimension atteint le niveau moyen.
Lorsqu'un incident causerait un préjudice très grave, voire irréparable : au moins une dimension atteint le niveau élevé.
Choisir la bonne catégorie est déterminant pour éviter de surinvestir ou de rester en deçà des exigences. Je vous aide à trancher dans le guide niveaux de l'ENS et comment choisir la catégorie, et à comprendre le rôle des cinq dimensions de sécurité (CIDAT).
En catégorie básica, la conformité est attestée par une déclaration de conformité auto-évaluée : l'organisation elle-même vérifie le respect des exigences selon les guides CCN-STIC. Je prépare la documentation et les preuves afin que la déclaration soit solide et défendable lors de tout audit ultérieur.
En catégorie media ou alta, la conformité exige une certification par un organisme accrédité par ENAC selon la norme UNE-EN ISO/IEC 17065:2012. Je vous prépare à la réussir ; la certification est délivrée par l'organisme accrédité, jamais par le consultant.
Si vous hésitez entre les deux référentiels, comparez ENS ou ISO 27001 pour soumissionner auprès de l'Administration ; et pour le processus complet du label, consultez le processus de certification ENS.
Je ne vous laisse pas un PDF que personne ne rouvre. Je vous remets le corpus documentaire et technique qui fonde la conformité et que l'auditeur — ou l'organe de passation de marchés de la USAL, la Diputación ou l'Ayuntamiento — a besoin de voir.
Je suis Ángel Ortega Castro, consultant indépendant spécialisé en conformité réglementaire et sécurité de l'information. J'accompagne des administrations, des prestataires TIC et des entreprises soumissionnant auprès du secteur public espagnol dans leur mise en conformité avec l'Esquema Nacional de Seguridad (ENS).
Mon approche est celle d'un accompagnement réel, de personne à personne : je ne vous laisse pas un manuel avant de disparaître. Je travaille à vos côtés à chaque phase, je traduis le référentiel en décisions concrètes et je laisse votre équipe autonome pour maintenir la conformité une fois la mission terminée.
Je suis honnête sur ce que je peux et ne peux pas promettre : je prépare et mets en conformité votre organisation ; la certification est délivrée par un organisme accrédité par ENAC. Cette franchise, alliée à la rigueur sur le référentiel en vigueur (RD 311/2022, Annexes I-IV et guides CCN-STIC), est ce qui me distingue des cabinets anonymes.
Plateformes d'apprentissage en ligne, systèmes de gestion académique, logiciels de recherche ou services cloud que la USAL contracte par appel d'offres. L'ENS figure dans les cahiers des charges comme condition de capacité technique ; la mise en conformité est la condition d'accès au marché.
Entreprises fournissant ou souhaitant fournir des services d'administration électronique, d'infrastructure ou de logiciels à la Diputación de Salamanca pour son réseau de communes. La couverture provinciale de la Diputación — plus de trois cents municipalités — fait de ces marchés un levier d'entrée particulièrement stratégique dans le secteur public local.
Des solutions de démarches électroniques aux systèmes de gestion urbanistique ou de services sociaux : de plus en plus d'appels d'offres du consistoire salmantín intègrent l'exigence de conformité avec l'ENS. Se mettre en conformité avant de déposer une candidature est la différence entre participer et être écarté d'emblée du processus.
Il n'existe pas de chiffre unique, et méfiez-vous de quiconque vous en fournirait un sans connaître votre situation. L'investissement dépend du périmètre (nombre de systèmes concernés), de la catégorie (básica, media ou alta), de votre niveau de maturité de départ et de la nécessité ou non d'une certification accréditée.
À cet investissement en conseil s'ajoute, pour les catégories media ou alta, le coût de l'organisme certificateur accrédité, qui est indépendant de mes honoraires et est facturé par le tiers qui conduit l'audit.
Oui, dès lors que la relation contractuelle implique que l'entreprise fournit des services ou des solutions technologiques au consistoire. Le RD 311/2022 étend l'obligation de respecter l'ENS aux prestataires et contractants du secteur public : l'Ayuntamiento de Salamanca, en tant qu'entité locale, fait partie de ce secteur public. Si le cahier des charges l'exige — et c'est de plus en plus le cas comme critère de capacité technique — l'entreprise doit attester sa conformité avec l'ENS avant l'attribution du marché.
La USAL est une université publique soumise à la Ley Orgánica del Sistema Universitario et donc directement assujettie à l'ENS. Cette obligation se répercute sur ses prestataires dès lors que le contrat implique le traitement de données ou l'utilisation de systèmes d'information de l'université. Plateformes d'apprentissage, systèmes de gestion académique, outils de recherche et services cloud constituent le périmètre habituel. L'exigence concrète dépend du cahier des charges de chaque appel d'offres, mais la tendance est que la USAL intègre la conformité avec l'ENS comme critère de solvabilité dans ses marchés technologiques.
La catégorie — básica, media ou alta — n'est pas fixée par le prestataire lui-même : elle est déterminée en évaluant l'impact d'un incident de sécurité sur les cinq dimensions (CIDAT) du système concret à opérer ou à fournir. De nombreux services TIC fournis aux entités locales par l'intermédiaire de la Diputación de Salamanca relèvent de la catégorie básica, ce qui permet d'attester la conformité par déclaration auto-évaluée sans certification accréditée. D'autres, impliquant des données sensibles ou des fonctions critiques pour l'administration municipale, peuvent exiger la catégorie media ou alta et, par conséquent, la certification correspondante par un organisme accrédité par ENAC. Le premier entretien permet de réaliser cette évaluation sans engagement.
En catégorie básica, l'organisation réalise une auto-évaluation conformément aux guides CCN-STIC et émet sa propre déclaration de conformité : aucun tiers n'intervient pour la valider. En catégorie media ou alta, la conformité doit être attestée par un organisme indépendant accrédité par ENAC selon la norme UNE-EN ISO/IEC 17065:2012 ; c'est cet organisme qui délivre le label ou le certificat, jamais le consultant. Mon travail dans les deux cas consiste à vous préparer afin que la documentation et les preuves soient solides : en básica, pour que la déclaration soit défendable ; en media et alta, pour que l'audit de l'organisme accrédité ne trouve aucun manquement. Je le détaille dans le guide ENS.
Cela dépend de si le cahier des charges exige la conformité comme condition d'admission ou comme critère de notation. Lorsqu'il s'agit d'une condition d'admission, ne pas l'attester entraîne l'exclusion du processus. Lorsqu'il s'agit d'un critère de notation, vous pouvez candidater, mais votre score sera inférieur. Dans tous les cas, engager le processus de mise en conformité avant de soumissionner est la stratégie la plus sûre : le diagnostic initial permet de savoir en combien de temps et avec quel effort vous pouvez atteindre la conformité, et pour de nombreux projets de catégorie básica le délai est parfaitement compatible avec le calendrier d'un appel d'offres.
Premier entretien sans frais et sans engagement. Nous évaluons votre périmètre, la catégorie qui vous correspond et le délai réaliste pour vous présenter aux appels d'offres de l'Ayuntamiento, la Diputación ou la USAL avec la conformité attestée.