Je suis Ángel Ortega Castro, consultant ENS indépendant. Si votre entreprise est active à Tenerife et souhaite répondre aux appels d'offres du Cabildo de Tenerife, de la Mairie de Santa Cruz de Tenerife ou de l'Universidad de La Laguna (ULL), l'Esquema Nacional de Seguridad (ENS) — le dispositif national espagnol de sécurité des systèmes d'information, établi par le RD 311/2022 — est le prérequis incontournable. Je vous accompagne à chaque phase de la mise en conformité pour que vous puissiez concourir à la commande publique insulaire avec de véritables garanties.
Tenerife concentre un tissu administratif insulaire dont le volume de marchés publics TIC est supérieur à celui de nombreuses provinces continentales espagnoles. Le Cabildo de Tenerife gère des compétences larges — routes, transports interurbains, services sociaux, environnement, promotion touristique via Turismo de Tenerife —, et son programme Tenerife Digital a accéléré la demande de prestataires spécialisés en infrastructures numériques et cybersécurité. À cela s'ajoute une particularité fiscale qui distingue Tenerife du reste de l'Espagne : l'île applique l'IGIC (Impuesto General Indirecto Canario, taux général 7 %) en lieu et place de la TVA, un élément que tout opérateur extérieur doit anticiper dans sa structure d'offre économique.
Le gouvernement insulaire pilote la transformation numérique de l'île via Tenerife Digital et lance régulièrement des marchés TIC en gestion documentaire, plateformes de données, cybersécurité et services cloud. Ses appels d'offres intègrent la conformité ENS comme condition de solvabilité technique avec une fréquence croissante.
Co-capitale des îles Canaries, Santa Cruz mène un agenda de ville intelligente : télémétrie urbaine, portails de transparence, plateformes de participation citoyenne et gestion intégrée des services municipaux. Ses marchés de prestataires externes en solutions numériques exigent la conformité ENS pour les systèmes qui touchent aux données des résidents.
Fondée en 1792, l'une des plus anciennes universités d'Espagne. Elle opère un campus virtuel, des systèmes de gestion de la recherche, des dépôts institutionnels et des réseaux de communication étendus. En tant qu'université publique, ses prestataires TIC sont soumis aux mêmes obligations ENS que ceux de n'importe quel autre organisme de l'Administration.
Le Servicio Canario de la Salud (hôpitaux universitaires de Canarias et Nuestra Señora de la Candelaria), l'ITER (Instituto Tecnológico y de Energías Renovables), l'Autoridad Portuaria de Santa Cruz de Tenerife et les différentes consejería du Gobierno de Canarias dont le siège est à Tenerife complètent l'écosystème des organismes contractants de l'île.
Toute entreprise qui fournit des services numériques, une infrastructure technologique ou une gestion de l'information à l'un de ces organismes fait partie de la chaîne d'approvisionnement du secteur public et est tenue de se conformer à l'ENS. Si vous souhaitez comprendre le cadre réglementaire avant d'aller plus loin, je vous recommande de lire le guide ENS complet et la présentation du service de conseil ENS pour entreprises.
Le Real Decreto 311/2022 (BOE-A-2022-7191), du 3 mai, étend explicitement l'obligation de conformité aux entreprises privées qui fournissent des services au secteur public dans le cadre d'une relation contractuelle. Pour une entreprise opérant à Tenerife — ou depuis la péninsule ibérique souhaitant répondre à des marchés insulaires —, cela se traduit de façon concrète.
Quelques profils directement concernés :
Les îles Canaries appliquent l'Impuesto General Indirecto Canario (IGIC) — et non la TVA espagnole ordinaire. Le taux général est de 7 %. Pour les entreprises françaises ou continentales qui soumissionnent à des marchés à Tenerife, cette différence est déterminante dans la structure de l'offre économique : les règles de territorialité de l'IGIC diffèrent de celles de la TVA, et une sous-estimation de cet aspect peut fausser le calcul du coût réel de la prestation. Pour les entreprises installées aux Canaries qui veulent répondre à des marchés sur le continent espagnol, la situation est inverse. L'IGIC ne modifie en rien l'obligation de se conformer à l'ENS — celle-ci est d'application nationale —, mais il est impératif de le prendre en compte au moment de structurer l'offre financière d'une soumission insulaire.
À noter également que les Canaries bénéficient d'un Régime Économique et Fiscal spécifique (REF) qui inclut la Zone Spéciale Canarienne (ZEC), un régime fiscal attractif (taux d'imposition sur les sociétés de 4 % pour les entités autorisées) pouvant intéresser les groupes qui envisagent d'établir une filiale sur l'île pour répondre régulièrement aux marchés locaux. Ce régime est totalement indépendant de l'obligation ENS, mais il influe sur la stratégie d'implantation commerciale à moyen terme.
L'accompagnement suit l'ordre préconisé par les guides CCN-STIC : nous ne brûlons pas les étapes et chaque phase produit un livrable qui s'appuie sur le précédent, du diagnostic de départ jusqu'à la documentation nécessaire pour accréditer la conformité devant le Cabildo de Tenerife, l'ULL ou tout autre organisme contractant de l'île.
| Phase | Ce que nous faisons | Référence et livrable |
|---|---|---|
| Phase 01 Diagnostic (gap) |
Analyse différentielle entre votre situation actuelle et les exigences de l'ENS. Définition du périmètre et des systèmes d'information concernés par votre activité avec le secteur public insulaire. | Rapport de diagnostic / analyse GAP mesurant l'écart réel par rapport à la conformité. |
| Phase 02 Catégorisation |
Évaluation des systèmes selon les cinq dimensions de sécurité (CIDAT) et attribution de la catégorie : basique, moyenne ou élevée. | Annexe I de l'ENS. Détermine la catégorie applicable et la voie de conformité. |
| Phase 03 Analyse des risques |
Identification des actifs, des menaces et des mesures de protection avec la méthodologie MAGERIT (outillée par PILAR). | Rapport d'analyse des risques MAGERIT et plan de traitement. |
| Phase 04 Plan d'adéquation + DdA |
Politique de sécurité, sélection des mesures et rédaction de la Déclaration d'Applicabilité (DdA), en justifiant chaque contrôle applicable. | Guide CCN-STIC 806. Plan d'adéquation et déclaration de conformité. |
| Phase 05 Mise en œuvre |
Déploiement des mesures de l'Annexe II : cadre organisationnel, opérationnel et de protection. Accompagnement de votre équipe à chaque étape. | Preuves de mise en œuvre des mesures de l'Annexe II, prêtes pour l'audit. |
| Phase 06 Conformité finale |
Préparation et révision préalable. En catégorie moyenne ou élevée, accompagnement pendant l'audit de l'entité accréditée. Je prépare ; l'audit est réalisé par un tiers. | Annexe III. Je prépare l'audit ENS ; la certification est délivrée par un organisme accrédité par ENAC. |
La catégorie du système ne se choisit pas arbitrairement : elle se calcule en évaluant l'impact qu'aurait un incident sur les cinq dimensions de sécurité CIDAT — confidentialité, intégrité, disponibilité, authenticité et traçabilité. La dimension au niveau le plus élevé fixe la catégorie du système. Pour un prestataire du secteur public de Tenerife, cela dépend des systèmes gérés et de la nature des données traitées.
Lorsqu'un incident causerait un préjudice limité sur les fonctions de l'organisation, ses actifs ou les personnes. Fréquente chez les prestataires de logiciels de gestion interne sans traitement massif de données sensibles.
Lorsqu'un incident représenterait un préjudice grave : au moins une dimension atteint le niveau moyen. Fréquente chez les prestataires qui traitent des données personnelles de citoyens ou des systèmes de santé.
Lorsqu'un incident causerait un préjudice très grave ou irréparable : au moins une dimension atteint le niveau élevé. Applicable aux infrastructures critiques ou aux systèmes traitant des données particulièrement sensibles.
Choisir la bonne catégorie est essentiel pour ne pas surdimensionner le projet ni rester en deçà de ce qu'exige le cahier des charges. Je vous aide à la déterminer dans le guide des niveaux de l'ENS et comment choisir la catégorie.
En catégorie basique, la conformité s'atteste au moyen d'une déclaration de conformité auto-évaluée : l'organisation vérifie elle-même sa conformité selon les guides CCN-STIC. Je prépare l'intégralité de la documentation et des preuves pour que votre déclaration soit solide et puisse être présentée dans toute soumission publique à Tenerife.
En catégorie moyenne ou élevée, la conformité requiert une certification délivrée par un organisme accrédité par ENAC conformément à la norme UNE-EN ISO/IEC 17065:2012. Je prépare votre organisation pour réussir cet audit ; la certification est délivrée par l'organisme accrédité, jamais par le consultant.
Pour comprendre le processus de certification dans son intégralité, consultez la page sur le processus de certification ENS. Si vous hésitez entre l'ENS et la norme ISO 27001, je compare les deux référentiels dans ENS ou ISO 27001 pour répondre aux marchés publics.
Je ne vous laisse pas un rapport que personne ne rouvre. Je vous remets le corpus documentaire et technique qui fonde la conformité et que le Cabildo, la Mairie, l'ULL ou tout autre organisme contractant de Tenerife devra trouver dans votre dossier de soumission.
Je suis Ángel Ortega Castro, consultant indépendant spécialisé en conformité réglementaire et sécurité de l'information. J'ai une présence active aux Canaries et j'accompagne des entreprises de Tenerife qui souhaitent accéder au marché public insulaire ou maintenir leurs contrats avec le Cabildo, la Mairie de Santa Cruz, l'Universidad de La Laguna et d'autres organismes de l'île.
Mon approche est celle d'un accompagnement réel, personne à personne : je ne vous laisse pas un manuel et disparais. Je travaille à vos côtés à chaque phase, je traduis la norme en décisions concrètes et je laisse votre équipe en capacité de maintenir la conformité de façon autonome une fois la mission terminée.
Je suis honnête sur ce que je peux et ne peux pas promettre : je prépare et mets en conformité votre organisation ; la certification en catégories moyenne ou élevée est délivrée par un organisme accrédité par ENAC. Cette transparence, alliée à la rigueur sur la norme en vigueur (RD 311/2022, Annexes I–IV et guides CCN-STIC), est ce qui me distingue des cabinets généralistes qui méconnaissent les particularités de la commande publique canarienne.
Entreprises qui fournissent des solutions de gestion documentaire, ERP, plateformes de données ou services de cybersécurité au Cabildo de Tenerife ou à ses organismes autonomes. Les cahiers des charges de ces marchés incluent désormais fréquemment la conformité ENS comme exigence de solvabilité technique.
Entreprises qui développent ou maintiennent les plateformes de campus virtuel, les systèmes de gestion de la recherche ou les infrastructures de réseau de l'Universidad de La Laguna, ainsi que les prestataires informatiques du Hospital Universitario de Canarias ou du Hospital Nuestra Señora de la Candelaria. La nature des données traitées (dossiers académiques, données de santé) place souvent ces systèmes en catégorie moyenne ou élevée.
Groupes ou filiales — y compris des entreprises françaises des secteurs des énergies renouvelables, du tourisme ou des services TIC — qui souhaitent répondre à des appels d'offres du Cabildo, de la Mairie ou d'autres entités insulaires. La conformité ENS est le prérequis technique d'entrée, et l'IGIC (7 %) est la variable fiscale à intégrer dans la structure de l'offre économique.
Il n'existe pas de chiffre unique. L'investissement dépend du périmètre (nombre de systèmes), de la catégorie (basique, moyenne ou élevée), de votre niveau de maturité de départ et de la nécessité ou non d'une certification accréditée. Pour les entreprises de Tenerife qui contractent avec un prestataire établi aux Canaries, la prestation sera soumise à l'IGIC (taux général de 7 %) et non à la TVA.
Au coût du conseil s'ajoute, en catégories moyenne ou élevée, le coût de l'organisme certificateur accrédité par ENAC, qui est indépendant de mes honoraires et est facturé directement par le tiers réalisant l'audit de conformité.
Avec une fréquence croissante, oui. Les cahiers des prescriptions techniques des marchés de services TIC du Cabildo de Tenerife et d'autres organismes publics de l'île incluent la conformité à l'ENS comme critère d'admission ou de solvabilité technique, conformément à ce qu'exige le RD 311/2022 pour les prestataires de la chaîne d'approvisionnement du secteur public. Ne pas pouvoir l'accréditer peut entraîner l'exclusion de l'offre avant même que le prix ou la proposition technique ne soient évalués.
Oui. L'ULL est un établissement public d'enseignement supérieur soumis à l'ENS. Les prestataires qui lui fournissent des logiciels, une infrastructure cloud ou des services de gestion de l'information font partie de sa chaîne d'approvisionnement et sont donc soumis aux mêmes obligations. Cela inclut les plateformes de campus virtuel, les systèmes de gestion de la recherche, les dépôts institutionnels et toute solution traitant des données institutionnelles ou personnelles de la communauté universitaire.
Aux Canaries, la TVA ne s'applique pas : l'impôt indirect qui gère les opérations est l'IGIC, au taux général de 7 %. Un conseil ENS contracté auprès d'un prestataire établi aux Canaries sera facturé en IGIC. Si le prestataire est établi sur le continent espagnol ou à l'étranger, les règles de territorialité peuvent entraîner un traitement différent. En tout état de cause, l'IGIC ne modifie pas l'obligation de se conformer à l'ENS — la norme est d'application nationale — mais il doit être intégré dans la structure financière de toute offre sur le marché insulaire.
Cela dépend du système concret et de l'impact qu'aurait un incident sur ses cinq dimensions de sécurité (CIDAT). Un prestataire de logiciels de gestion interne sans accès à des données sensibles peut se situer en catégorie basique ; un prestataire qui gère des données personnelles massives de citoyens ou des systèmes liés à des infrastructures critiques peut atteindre la catégorie moyenne ou élevée. La catégorisation est la première étape du processus et nous la déterminons ensemble lors du diagnostic initial. Plus de détails dans le guide des niveaux de l'ENS et comment choisir la catégorie.
Oui. L'ENS s'applique à l'entité juridique espagnole qui exécute la prestation ou, si l'entreprise étrangère contracte directement avec l'Administration, à cette entité dans son périmètre contractuel. Si votre filiale espagnole — ou une société mère française qui fournit directement des services à un organisme public de Tenerife — reçoit des rémunérations pour des services numériques auprès du secteur public insulaire, elle est tenue de se conformer au RD 311/2022. Cette conformité est indépendante de la certification ISO 27001 ou des référentiels de l'ANSSI dont le groupe disposerait en France, bien que ces certifications puissent valoriser le travail déjà accompli lors de la mise en conformité à l'ENS.
Non, si le cahier des charges l'exige comme condition de solvabilité. L'obligation du RD 311/2022 s'applique à toute entreprise prestataire du secteur public, indépendamment de son lieu d'établissement. Les entreprises de la péninsule ibérique ou d'un autre pays de l'UE qui souhaitent répondre à des marchés à Tenerife doivent accréditer la même conformité qu'une entreprise canarienne. Par ailleurs, il convient d'anticiper les particularités fiscales du Régime Économique et Fiscal des Canaries (REF) — notamment l'IGIC en lieu et place de la TVA — au moment de structurer l'offre économique.
Ce sont des référentiels compatibles qui partagent une part significative de contrôles. Si votre entreprise dispose déjà de la norme ISO 27001 ou y travaille, ce travail est valorisé dans la mise en conformité à l'ENS, et inversement. L'ENS est obligatoire pour quiconque fournit des services au secteur public espagnol ; ISO 27001 est volontaire et de portée internationale. Pour répondre aux marchés du Cabildo de Tenerife, de la Mairie de Santa Cruz ou de l'ULL, c'est la conformité ENS que le cahier des charges exige, et non la seule certification ISO.
Premier appel sans frais et sans engagement. Nous évaluons ensemble votre périmètre, la catégorie prévisible de vos systèmes et le type d'organismes insulaires avec lesquels vous travaillez ou souhaitez travailler. Si nous sommes la bonne combinaison, je vous transmets une proposition ferme ; sinon, vous repartez quoi qu'il arrive avec un diagnostic initial utile.