La maintenance de l'ENS commence le lendemain de la certification : la conformité n'est pas permanente. Il faut la renouveler par un audit au moins tous les deux ans (autoévaluation en catégorie BASIQUE), rapporter une fois par an à l'INES, maintenir à jour l'analyse des risques et la déclaration d'applicabilité, notifier les incidents et recatégoriser le système lorsqu'il change de façon substantielle. Négliger l'un de ces éléments fait perdre la conformité.
En bref : se certifier à l'ENS ne clôt pas le projet, il l'ouvre. Le Schéma national de sécurité (décret royal 311/2022) exige un cycle de vie continu. Les systèmes de catégorie MOYENNE et HAUTE sont audités au moins tous les deux ans ; ceux de catégorie BASIQUE s'autoévaluent. Chaque année, il faut rapporter les indicateurs à l'INES, coordonné par le CCN (Centre national de cryptologie espagnol). Et en permanence, il faut tenir à jour l'analyse des risques, la déclaration d'applicabilité, la gestion des incidents et la veille sur les nouvelles instructions techniques. Vous trouverez ici le calendrier complet, ce que vérifie l'audit de renouvellement, quand recatégoriser et les erreurs qui font perdre la conformité.
J'accompagne des entreprises et des administrations tout au long du cycle de l'ENS, et la question qui revient le plus souvent arrive juste après avoir affiché le label sur son site : « et maintenant ? ». Beaucoup de PME se certifient pour répondre à un appel d'offres, poussent un soupir de soulagement et rangent la documentation dans un tiroir. Un an et demi plus tard, elles découvrent que leur conformité a expiré, que personne n'a rapporté à l'INES, ou qu'un changement de prestataire cloud a laissé le périmètre obsolète. Cet article est la carte de ce « lendemain » : quelles obligations périodiques vous incombent, ce qu'il en coûte de les respecter et quelles erreurs vous font perdre la conformité.
La certification ENS expire-t-elle ?
Oui. Ni la certification de conformité ni la déclaration de conformité ne sont acquises pour toujours. L'ENS est un modèle d'amélioration continue, pas une formalité que l'on franchit une fois pour toutes. Si vous venez de terminer votre processus de certification ENS, voici les cinq éléments qu'il faut désormais maintenir vivants :
- Validité limitée. Le label a une durée de validité limitée — deux ans à titre de référence générale —, fixée par l'Instruction technique de sécurité de conformité à l'ENS.
- Renouvellement périodique. Par audit d'une entité accréditée en catégories MOYENNE et HAUTE, ou par autoévaluation en catégorie BASIQUE.
- Rapport annuel à l'INES. Le rapport national sur l'état de la sécurité, coordonné par le CCN.
- Maintenance continue. Analyse des risques, déclaration d'applicabilité, mesures et procédures révisées régulièrement.
- Audit extraordinaire. Lorsque le système change de façon substantielle avant la révision ordinaire.
Le reste de cet article développe chacune de ces obligations avec sa périodicité réelle.
Calendrier des obligations après la certification ENS
Voici le tableau que je remets à un client le jour même où il obtient son label. Ce qui change selon la catégorie, c'est la façon dont la conformité est attestée ; le reste des obligations est commun aux trois catégories.
| Obligation | Périodicité | Catégorie BASIQUE | Catégorie MOYENNE / HAUTE |
|---|---|---|---|
| Attester la conformité | À la certification et à chaque renouvellement | Autoévaluation → Déclaration de conformité | Audit → Certification de conformité |
| Révision ordinaire de la sécurité | Au moins tous les 2 ans | Autoévaluation | Audit par une entité accréditée par l'ENAC |
| Révision extraordinaire | En cas de changements substantiels | Oui | Oui |
| Rapport INES | Annuel | Oui | Oui |
| Analyse des risques actualisée | Continue / au moins annuelle | Oui | Oui |
| Notification des incidents | Dès leur détection | Oui | Oui |
| Renouvellement du label | Avant son échéance (réf. 2 ans) | Oui | Oui |
Si vous vous êtes certifié à la limite d'un délai, consultez aussi mon article sur les délais de mise en conformité à l'ENS : le compteur du renouvellement démarre à la date du label, pas à la signature du contrat.
Audit de renouvellement de l'ENS : périodicité et points de contrôle
L'audit est le cœur de la maintenance en catégories MOYENNE et HAUTE. Ce n'est pas une formalité : si l'auditeur détecte des non-conformités graves, il ne renouvelle pas la certification.
À quelle fréquence renouvelle-t-on la certification ENS ?
Le décret royal 311/2022 impose d'auditer les systèmes de catégorie MOYENNE ou HAUTE au moins tous les deux ans. C'est le rythme ordinaire du renouvellement. En catégorie BASIQUE, un audit par un tiers n'est pas nécessaire : une autoévaluation suffit, même s'il convient de la documenter avec la même rigueur. J'explique le mécanisme complet dans mon guide sur la fréquence d'audit de la conformité ENS.
Que vérifie l'auditeur lors du renouvellement ?
Il ne part pas de zéro : il vérifie que ce que vous avez déclaré reste vrai et que vous avez entretenu le système. Concrètement, il examine :
- L'analyse des risques. Qu'elle est à jour et reflète le système réel, pas celui d'il y a deux ans.
- La déclaration d'applicabilité. Que les mesures de l'Annexe II déclarées restent mises en œuvre et cohérentes avec la catégorie.
- Les preuves opérationnelles. Registres d'incidents, tests de continuité, revues des accès, formation du personnel.
- Les non-conformités antérieures. Que les actions correctives du précédent audit ont bien été clôturées.
Si vous préférez déléguer cette révision à un tiers qui la prépare et la mène avec vous, c'est exactement l'objet de mon service d'audit ENS.
Audit extraordinaire : quand la révision est anticipée
La périodicité de deux ans constitue le minimum ordinaire, mais un changement substantiel du système impose d'auditer plus tôt : une migration vers le cloud, un changement de prestataire critique, un nouveau site technologique ou une modification de l'évaluation des dimensions de sécurité. Traiter ces changements comme s'ils n'affectaient pas la conformité est l'une des erreurs les plus coûteuses que je constate.
INES : le rapport annuel que vous ne pouvez pas éluder
L'INES — le rapport national sur l'état de la sécurité — est l'obligation la plus souvent oubliée, car personne ne la réclame de façon visible… jusqu'à ce qu'on la réclame. Les entités relevant de l'ENS rapportent chaque année leurs indicateurs de sécurité via la plateforme coordonnée par le CCN, qui agrège ces informations dans le rapport national. C'est un bilan annuel de l'état de votre système : niveau de maturité, mesures mises en œuvre, incidents gérés.
Pour une PME qui s'est certifiée pour répondre à un appel d'offres, l'essentiel est de comprendre que l'INES n'est pas optionnel dans son périmètre et que son renseignement annuel fait partie de la maintenance, au même titre que l'audit. Si vous gérez une petite entité, mon guide sur l'ENS pour les petites municipalités : autoévaluation et rapport INES, pensé pour les équipes disposant de peu de ressources, vous sera utile.
Maintenance continue : risques, mesures et documentation à jour
Entre deux audits, le travail ne s'arrête pas. La conformité se démontre par des preuves, et les preuves se génèrent au quotidien. Voici les trois flux qu'il faut maintenir en mouvement.
Analyse des risques et déclaration d'applicabilité
L'analyse des risques est un document vivant. Chaque nouvel actif, chaque service externalisé et chaque menace émergente la modifient. Je recommande de la réviser au moins une fois par an et chaque fois qu'un élément pertinent change, en utilisant une méthodologie reconnue comme l'analyse des risques MAGERIT. La déclaration d'applicabilité doit évoluer en parallèle : si vous activez ou retirez une mesure de l'Annexe II, cela doit s'y refléter.
Gestion et notification des incidents
Un système conforme n'est pas un système qui ne subit aucun incident, mais un système qui les détecte, les gère et les notifie. Vous devez maintenir opérationnelle votre procédure de réponse aux incidents dans le cadre de l'ENS et notifier au CCN-CERT ceux qui le nécessitent selon leur niveau de gravité. Un incident grave non notifié constitue, en plus d'une défaillance opérationnelle, un motif direct de perte de conformité.
Veille sur les nouvelles instructions techniques et guides CCN-STIC
L'ENS n'est pas un texte figé. Le CCN publie et met à jour des instructions techniques de sécurité (ITS) et des guides CCN-STIC qui précisent comment appliquer les mesures. Maintenir l'ENS implique de rester attentif à ces mises à jour et de les intégrer avant que l'auditeur ne vous interroge à leur sujet. C'est la partie la moins visible de la maintenance, et celle qui distingue une conformité de façade d'une conformité réelle.
Que faire quand le système ou le périmètre change (et quand recatégoriser)
Les systèmes évoluent : de nouveaux services s'ajoutent, des informations plus sensibles migrent vers le cloud, le nombre d'utilisateurs augmente. Lorsque le changement affecte l'évaluation des dimensions de sécurité — confidentialité, intégrité, traçabilité, authenticité et disponibilité —, il faut refaire la catégorisation, et le résultat peut passer de BASIQUE à MOYENNE, ou de MOYENNE à HAUTE.
Recatégoriser a des conséquences pratiques immédiates : si le système passe de BASIQUE à MOYENNE, l'autoévaluation ne suffit plus et un audit de certification devient nécessaire. C'est pourquoi il convient d'évaluer chaque changement pertinent avant de l'exécuter, pas après. Voici les trois déclencheurs que j'examine systématiquement :
- Changement de périmètre. Nouveaux services ou systèmes qui entrent sous le parapluie de l'ENS.
- Changement technologique substantiel. Migration vers le cloud, nouveau centre de données ou nouveau prestataire critique.
- Changement dans l'évaluation de l'information. Des données qui deviennent plus sensibles et élèvent la catégorie du système.
Chacun de ces trois cas peut exiger un audit extraordinaire avant le renouvellement ordinaire. Le signaler à temps, c'est faire de la maintenance ; le dissimuler, c'est mettre la conformité en péril.
Combien coûte la maintenance de l'ENS (et combien coûte de la laisser tomber)
Maintenir la conformité coûte nettement moins cher que se certifier depuis zéro, et beaucoup moins cher que la récupérer après l'avoir laissée expirer. Je ne vais pas vous donner un chiffre définitif, car cela dépend de la catégorie, de la taille du système et de ce que votre équipe assume en interne ; pour les fourchettes de la certification initiale, consultez mon article sur le processus et les coûts de certification ENS. Je peux en revanche détailler ce qui compose la dépense annuelle de maintenance :
- L'audit de renouvellement. Il se concentre sur le cycle biennal ; en catégorie BASIQUE, il est remplacé par une autoévaluation et le coût externe baisse fortement.
- Les heures de mise à jour documentaire. Analyse des risques, déclaration d'applicabilité, procédures et preuves.
- Le temps de l'équipe interne. L'exploitation quotidienne des mesures : sauvegardes, accès, journaux, formation.
- Le support externe, le cas échéant. De nombreuses PME externalisent la veille continue et réservent l'exploitation à leur équipe.
Le coût de « la laisser tomber » apparaît rarement dans le tableur, et c'est pourtant le plus élevé : être exclu d'un appel d'offres qui exige une conformité en vigueur, refaire une bonne partie du projet pour se recertifier, et perdre l'avantage concurrentiel face aux prestataires qui, eux, l'ont maintenue. Maintenir coûte toujours moins cher que sauver.
Erreurs qui font perdre la conformité ENS
Presque toutes les pertes de conformité que j'ai observées relèvent des mêmes négligences. Aucune n'est technique ; toutes relèvent de la gestion :
- Laisser expirer le label. Personne n'a noté la date de renouvellement et le certificat a expiré sans audit. L'erreur la plus courante et la plus évitable.
- Changer le système sans le signaler. Une migration vers le cloud ou un nouveau service qui ne se reflète pas dans le périmètre et ne déclenche pas l'audit extraordinaire.
- Ne pas déposer le rapport INES. Le rapport annuel est oublié faute d'alerte, et son absence est enregistrée.
- Documentation figée. Analyse des risques et déclaration d'applicabilité identiques à celles du jour de la certification, alors que le système, lui, a changé.
- Incidents non notifiés. Gérés en silence, sans le registre ni la communication au CCN-CERT exigés par le cadre réglementaire.
- Ignorer les nouvelles ITS. L'auditeur interroge sur une instruction technique publiée des mois plus tôt, que personne n'avait lue.
Conclusion : l'ENS est un état, pas une formalité
La certification est la photo d'un jour ; la conformité est le film. Maintenir l'ENS signifie auditer ou s'autoévaluer dans les délais, rapporter chaque année à l'INES, tenir à jour l'analyse des risques et la déclaration d'applicabilité, notifier les incidents et recatégoriser quand le système l'exige. Rien de tout cela n'est complexe pris isolément ; la difficulté est de ne perdre aucun de ces éléments de vue pendant deux années consécutives. Si vous souhaitez situer cette phase dans le cycle complet, consultez mon guide de l'ENS pour les entreprises et les administrations.
Si vous vous êtes certifié pour un appel d'offres et que vous ne savez pas exactement ce qui vous incombe désormais, ou si votre renouvellement approche et que vous voulez l'aborder sans mauvaise surprise, racontez-moi votre situation et nous l'examinerons ensemble, sans engagement.
Besoin d'aide pour maintenir la conformité vivante année après année ? Découvrez mon service de conseil ENS pour les entreprises déjà certifiées qui ne veulent pas perdre leur label.