Je suis Ángel Ortega Castro, consultant ENS indépendant basé à Valladolid. J'accompagne les entreprises de la ville et de la province dans leur mise en conformité à l'Esquema Nacional de Seguridad (ENS) — le référentiel national espagnol de sécurité des systèmes d'information, institué par le RD 311/2022 — afin qu'elles puissent répondre aux marchés publics de la Junta de Castilla y León, de l'Ayuntamiento, de la Diputación Provincial ou de l'UVa sans être écartées des appels d'offres pour des raisons réglementaires.
Valladolid occupe une position singulière dans la carte de la commande publique espagnole. C'est la capitale de Castilla y León et le siège de la Junta de Castilla y León, le gouvernement régional qui administre la communauté autonome la plus étendue d'Europe occidentale. Cela signifie que la ville concentre une part très significative de la demande de services numériques du secteur public castillan : de la maintenance des systèmes d'information des différentes consejería à l'opération des plateformes d'administration électronique utilisées par l'ensemble du réseau d'organismes régionaux, en passant par l'ADE (Agencia de Innovación, Financiación e Internacionalización Empresarial de Castilla y León), dont le siège se trouve à Valladolid et dont l'activité de financement et d'internationalisation repose sur des systèmes soumis à l'ENS.
À la Junta de Castilla y León s'ajoutent trois grands organismes contractants d'envergure locale : la Diputación Provincial de Valladolid, qui assure des services numériques pour les communes de la province ; l'Ayuntamiento de Valladolid, avec un agenda de transformation numérique actif qui se traduit par des marchés de logiciels, de connectivité et de cybersécurité ; et l'Universidad de Valladolid (UVa), institution publique universitaire qui opère des systèmes sensibles — dossiers académiques, plateformes de recherche, administration électronique propre sur ses quatre campus de Valladolid, Palencia, Soria et Ségovie — et qui est soumise aux mêmes obligations ENS que tout autre organisme du secteur public.
Autour de cet écosystème d'administrations s'est développé un tissu d'entreprises TIC — intégrateurs, développeurs de logiciels, consultants technologiques, prestataires de services gérés — qui travaillent ou aspirent à travailler avec l'un de ces organismes. Pour toutes ces entreprises, l'Esquema Nacional de Seguridad n'est plus une option : le Real Decreto 311/2022 (BOE-A-2022-7191, du 3 mai) étend l'obligation à la chaîne d'approvisionnement, et les cahiers des charges l'inscrivent explicitement comme condition de solvabilité technique. Ne pas être conforme à l'ENS revient en pratique à ne pas pouvoir soumissionner.
Les marchés TIC des consejería et des organismes rattachés à la Junta exigent la conformité ENS. L'obtenir ouvre la porte ; ne pas l'avoir la ferme définitivement à chaque appel d'offres.
L'Ayuntamiento de Valladolid et la Diputación Provincial intègrent de plus en plus fréquemment la conformité ENS dans leurs cahiers des prescriptions techniques pour les appels d'offres numériques.
L'Universidad de Valladolid, avec ses quatre campus, est soumise à l'ENS et transfère cette exigence à ses prestataires TIC, en particulier pour les contrats impliquant l'accès aux systèmes universitaires.
Les entreprises qui finalisent leur mise en conformité maintenant se positionnent devant des concurrents qui n'ont pas encore entamé le processus. La conformité valide renforce l'offre commerciale dès le prochain appel d'offres.
Si vous souhaitez comprendre le cadre réglementaire avant de commencer, je vous recommande de lire le guide ENS complet et la présentation du service de conseil ENS pour entreprises.
L'ENS oblige l'ensemble du secteur public et les entreprises privées qui leur fournissent des services dans le cadre d'une relation contractuelle. Dans le contexte de Valladolid, cela concerne un éventail large d'entreprises locales et provinciales.
Quelques profils concrets qui doivent engager une mise en conformité :
La disposition transitoire unique du RD 311/2022 avait fixé 24 mois pour mettre en conformité les systèmes préexistants ; ce délai a expiré le 5 mai 2024. Les systèmes nouveaux ou ayant subi des modifications significatives doivent être conformes dès le premier jour. Si votre entreprise n'a pas encore entamé ce processus, chaque publication au profil du contractant est un rappel que la fenêtre se rétrécit.
Le processus suit l'ordre préconisé par les guides CCN-STIC, du diagnostic initial à la préparation de la déclaration de conformité ou de l'audit. L'objectif est que votre entreprise atteigne la conformité de manière ordonnée, avec une documentation solide que vous pourrez présenter devant la Junta de Castilla y León, l'Ayuntamiento de Valladolid ou tout autre organisme contractant.
| Phase | Ce que nous faisons | Référence et livrable |
|---|---|---|
| Phase 01 Diagnostic (gap) |
Analyse différentielle entre votre situation actuelle et les exigences de l'ENS. Définition du périmètre et des systèmes d'information concernés. | Rapport de diagnostic avec l'écart réel par rapport à la conformité et les lacunes prioritaires. |
| Phase 02 Catégorisation |
Évaluation des systèmes selon les cinq dimensions de sécurité (CIDAT) et attribution de la catégorie : basique, moyenne ou élevée. | Annexe I de l'ENS. Détermine le niveau d'exigence et la voie de conformité applicable. |
| Phase 03 Analyse des risques |
Identification des actifs, des menaces et des mesures de protection avec la méthodologie MAGERIT. | Rapport d'analyse des risques et plan de traitement. |
| Phase 04 Plan d'adéquation + DdA |
Politique de sécurité, sélection des mesures et rédaction de la Déclaration d'Applicabilité (DdA), en justifiant chaque contrôle applicable. | Guide CCN-STIC 806. Plan d'adéquation et déclaration de conformité. |
| Phase 05 Mise en œuvre |
Déploiement des mesures de l'Annexe II : cadre organisationnel, opérationnel et de protection. Accompagnement de votre équipe à chaque étape. | Preuves de mise en œuvre par mesure, prêtes pour un audit. |
| Phase 06 Conformité finale |
Préparation et révision préalable. En catégorie basique, support à la déclaration auto-évaluée. En catégorie moyenne ou élevée, accompagnement pendant l'audit de l'entité accréditée. | Annexe III. Je prépare la conformité ; la certification moyenne/élevée est délivrée par un tiers accrédité par ENAC. |
La catégorie du système ne se choisit pas arbitrairement : elle se calcule en évaluant l'impact qu'aurait un incident sur les cinq dimensions de sécurité — confidentialité, intégrité, disponibilité, authenticité et traçabilité (CIDAT). La dimension au niveau le plus élevé fixe la catégorie résultante.
Lorsqu'un incident causerait un préjudice limité sur les fonctions de l'organisation, ses actifs ou les personnes. C'est la plus fréquente chez les prestataires de services auxiliaires.
Lorsqu'un incident représenterait un préjudice grave : au moins une dimension atteint le niveau moyen. Habituelle dans les systèmes de gestion administrative ou traitant des données sensibles.
Lorsqu'un incident causerait un préjudice très grave, voire irréparable : au moins une dimension atteint le niveau élevé. Systèmes critiques ou traitant des données particulièrement sensibles.
En catégorie basique, la conformité s'atteste au moyen d'une déclaration de conformité auto-évaluée : l'organisation elle-même vérifie sa conformité selon les guides CCN-STIC. Je prépare l'intégralité de la documentation et des preuves pour que votre déclaration soit solide et résiste à toute vérification de l'organisme contractant.
En catégorie moyenne ou élevée, la conformité requiert une certification délivrée par un organisme accrédité par ENAC conformément à la norme UNE-EN ISO/IEC 17065:2012. Je prépare votre organisation pour réussir cet audit avec toutes les garanties ; la certification est délivrée par l'organisme accrédité, jamais par le consultant.
Je ne vous laisse pas un rapport PDF que personne ne rouvre. Je vous remets le corpus documentaire et technique qui fonde la conformité et que l'auditeur, la Junta de Castilla y León, l'Ayuntamiento de Valladolid ou tout autre organisme contractant devra trouver dans le dossier d'appel d'offres.
Je suis Ángel Ortega Castro, consultant indépendant basé à Valladolid, spécialisé en conformité réglementaire et sécurité de l'information. Je connais bien l'écosystème de la commande publique de Castilla y León : les délais, les cahiers des charges et les exigences habituelles d'organismes comme la Junta de Castilla y León, la Diputación Provincial de Valladolid, l'Ayuntamiento et l'UVa.
Mon approche est celle d'un accompagnement réel, personne à personne : je ne vous laisse pas un manuel et disparais. Je travaille à vos côtés à chaque phase, je traduis la norme en décisions concrètes et je laisse votre équipe en capacité de maintenir la conformité de façon autonome une fois la mission terminée.
Je suis honnête sur ce que je peux et ne peux pas faire : je prépare et mets en conformité votre organisation ; la certification en catégories moyenne ou élevée est délivrée par un organisme accrédité par ENAC. Cette transparence, alliée à la rigueur sur la norme en vigueur (RD 311/2022, Annexes I-IV et guides CCN-STIC), est ce qui me distingue des cabinets de conseil généralistes qui ne connaissent pas le tissu administratif local de Valladolid.
Intégrateurs ou développeurs de logiciels qui ont des contrats avec la Junta de Castilla y León ou ses organismes rattachés et qui doivent attester leur conformité ENS pour les renouveler ou les étendre. Ils se situent généralement en catégorie basique ou moyenne.
Entreprises technologiques installées au Parque Tecnológico de Boecillo ou dans la capitale qui fournissent des services de maintenance, de cybersécurité ou de support TIC à la Diputación Provincial, à l'Ayuntamiento de Valladolid ou à l'UVa, et qui doivent initier ou finaliser leur mise en conformité avant le prochain cahier des charges.
Organisations privées de Valladolid ou de la province — y compris des filiales de groupes français du secteur automobile, agroalimentaire ou logistique présents dans la région — qui ont travaillé dans le secteur privé et souhaitent élargir leur portefeuille vers l'Administration. La conformité ENS est le premier critère de solvabilité technique qu'elles trouveront dans les cahiers des charges.
Il n'existe pas de chiffre unique, et méfiez-vous de quiconque vous en donne un sans connaître votre situation. L'investissement dépend du périmètre (combien de systèmes), de la catégorie (basique, moyenne ou élevée), de votre niveau de maturité de départ et de la nécessité ou non d'une certification accréditée.
Au coût du conseil s'ajoute, en catégories moyenne ou élevée, le coût de l'organisme certificateur accrédité par ENAC, qui est indépendant de mes honoraires et est facturé directement par le tiers réalisant l'audit de conformité.
Oui. La Junta de Castilla y León, en tant qu'administration régionale, est pleinement soumise à l'ENS et transfère cette obligation à ses prestataires et contractants de services TIC. Si votre entreprise fournit ou aspire à fournir des services numériques à l'une de ses consejería ou à ses organismes rattachés — comme l'ADE ou SACYL —, la conformité au RD 311/2022 est une condition de solvabilité technique que les cahiers des charges intègrent déjà de manière habituelle. J'en parle de façon détaillée dans le service de conseil ENS pour entreprises.
Oui. L'Universidad de Valladolid (UVa) est une institution publique universitaire qui gère des systèmes d'information soumis à l'ENS — dossiers académiques, plateformes d'administration électronique, systèmes de recherche — sur ses quatre campus. En tant qu'entité du secteur public, elle peut exiger de ses prestataires de services TIC qu'ils attestent leur conformité, notamment pour les contrats impliquant l'accès ou le traitement des systèmes d'information universitaires.
Oui. L'Ayuntamiento de Valladolid et la Diputación Provincial de Valladolid sont des entités locales soumises à l'ENS en vertu du RD 311/2022. Ils peuvent — et le font avec une fréquence croissante — inclure la conformité ENS comme condition de solvabilité technique dans leurs appels d'offres TIC. Si votre entreprise travaille ou souhaite travailler avec l'une de ces entités, il est conseillé d'anticiper la mise en conformité avant la publication du prochain cahier des charges.
Cela dépend de l'impact qu'aurait un incident de sécurité sur les systèmes que vous gérez : si le préjudice serait limité, la catégorie est basique ; s'il serait grave, la catégorie est moyenne ; s'il serait très grave, la catégorie est élevée. La catégorie est déterminée lors de la phase de catégorisation en appliquant l'Annexe I du RD 311/2022. De nombreux prestataires de services auxiliaires ou de logiciels de gestion se situent en catégorie basique, avec une déclaration de conformité auto-évaluée comme voie d'attestation.
Oui, et c'est même la décision la plus avisée. Entamer la mise en conformité avant de répondre à un appel d'offres permet d'attester la conformité dès le premier cahier des charges qui l'exige, sans précipitation. De plus, le processus de mise en conformité nécessite au minimum plusieurs semaines — voire plusieurs mois pour des systèmes plus complexes —, ce qui signifie que commencer à l'avance évite d'être écarté faute de temps.
Oui. L'ENS s'applique à l'entité juridique espagnole qui exécute la prestation, indépendamment de la nationalité de la société mère. Valladolid abrite de nombreuses entreprises industrielles à capitaux ou à partenaires français — dans l'automobile, la logistique ou l'agroalimentaire — dont les filiales espagnoles fournissent parfois des services technologiques au secteur public local. Si votre filiale espagnole remporte des marchés publics numériques, elle est tenue de se conformer au RD 311/2022 dans son propre périmètre. La conformité ENS de la filiale est indépendante de la certification ISO 27001 ou des référentiels de l'ANSSI dont le groupe disposerait en France.
Ce sont des référentiels compatibles qui partagent une part significative de contrôles. Si votre entreprise dispose déjà de la norme ISO 27001 ou y travaille, ce travail est valorisé dans la mise en conformité à l'ENS, et inversement. L'ENS est obligatoire pour quiconque travaille avec l'Administration publique espagnole ; ISO 27001 est volontaire et de portée internationale. Pour répondre aux marchés de la Junta de Castilla y León, de l'Ayuntamiento de Valladolid ou de la Diputación Provincial, c'est la conformité ENS que le cahier des charges exige.
Premier appel sans frais et sans engagement. Nous évaluons ensemble votre périmètre, la catégorie prévisible de vos systèmes et le type de marché public que vous visez. Si nous sommes la bonne combinaison, je vous transmets une proposition ferme ; sinon, vous repartez quoi qu'il arrive avec un diagnostic initial utile pour commencer.