Décret royal 311/2022
Mise en conformité avec le Schéma national de sécurité espagnol (ENS)
Nous préparons les mairies, les conseils provinciaux, les universités, les fondations publiques et les entreprises fournisseurs à se conformer à l'ENS et à réussir l'audit de certification. Nous le faisons avec l'expérience d'une entreprise qui développe des logiciels pour le secteur public et qui est certifiée ENS catégorie MOYENNE.
- Certifiés ENS catégorie MOYENNE
- ISO/IEC 27001
Cadre réglementaire
Qu'est-ce que le Schéma national de sécurité
Le Schéma national de sécurité espagnol (ENS) est le cadre de sécurité de l'information obligatoire pour le secteur public espagnol. Il est régi par le décret royal 311/2022, qui a remplacé celui de 2010 et fixé un délai de vingt-quatre mois, désormais écoulé, pour adapter les systèmes existants.
Il établit des principes de base, des exigences minimales et un ensemble de mesures de sécurité réparties en trois cadres : organisationnel org, opérationnel op et mesures de protection mp. Les mesures applicables dépendent de la catégorie du système, et le Centre cryptologique national espagnol (CCN) précise leur application au moyen d'instructions techniques et des guides CCN-STIC de la série 800.
Pour nous, l'ENS est avant tout la méthode de travail avec laquelle nous développons nos logiciels sur mesure et nos solutions. C'est cette expérience que nous mettons à la disposition de votre organisation.
Champ d'application
Qui est tenu de se conformer à l'ENS
L'ENS s'applique à l'ensemble du secteur public, tel que défini par la loi espagnole 40/2015, et aux entités privées dont les systèmes servent aux prestations qu'elles fournissent au secteur public.
Collectivités locales
Mairies, conseils provinciaux, conseils insulaires, intercommunalités et leurs organismes rattachés.
Secteur public institutionnel
Établissements publics autonomes, consortiums, entreprises publiques et fondations du secteur public.
Universités et santé
Universités publiques et services de santé, qui traitent en outre des données personnelles particulièrement protégées.
Entreprises fournisseurs
Entreprises qui fournissent des services ou des systèmes d'information à l'une quelconque des entités ci-dessus.
Catégorisation
Catégories de l'ENS : BASIQUE, MOYENNE et HAUTE
La catégorie s'obtient en évaluant l'impact qu'aurait un incident sur les informations et les services selon cinq dimensions de la sécurité. La catégorie du système correspond au niveau le plus élevé atteint dans l'une quelconque d'entre elles.
- CConfidentialité
- IIntégrité
- TTraçabilité
- AAuthenticité
- DDisponibilité
-
BASIQUE
Préjudice limité
Un incident aurait un impact limité sur les fonctions de l'organisation, ses actifs ou les personnes concernées.
Autoévaluation et déclaration de conformité (la certification est également possible).
-
MOYENNE
Préjudice grave
Un incident causerait un préjudice grave. C'est la catégorie dans laquelle nous sommes certifiés pour le développement et la maintenance d'applications.
Audit formel et certification de conformité délivrée par un organisme accrédité.
-
HAUTE
Préjudice très grave
Un incident causerait un préjudice très grave, par exemple pour des services critiques ou des informations particulièrement sensibles.
Audit formel et certification de conformité délivrée par un organisme accrédité.
Méthodologie
Les phases de la mise en conformité ENS
Un projet par phases, avec un livrable concret pour chacune, dimensionné à la taille de votre organisation : une petite commune n'a pas les mêmes besoins qu'un conseil provincial.
-
Analyse initiale et catégorisation
Nous identifions les services et les informations du périmètre, les évaluons selon les cinq dimensions de la sécurité et déterminons la catégorie de chaque système. Nous mesurons l'écart entre la situation actuelle et les exigences de l'ENS.
Livrable : Rapport de diagnostic et document d'évaluation et de catégorisation.
-
Analyse des risques
Nous inventorions les actifs, les menaces et les mesures de protection existantes selon la méthode MAGERIT, et calculons le risque résiduel pour décider de ce qu'il faut renforcer.
Livrable : Analyse des risques et plan de traitement.
-
Déclaration d'applicabilité
Nous sélectionnons les mesures de l'annexe II correspondant à la catégorie, justifions celles qui ne s'appliquent pas et documentons les mesures compensatoires lorsqu'elles sont nécessaires.
Livrable : Déclaration d'applicabilité, signée par le responsable de la sécurité.
-
Politique, organisation et règles
Nous rédigeons la politique de sécurité approuvée par l'organe de direction, définissons les rôles (responsables de l'information, du service, de la sécurité et du système) et élaborons les règles et les procédures.
Livrable : Politique de sécurité, règles et procédures opérationnelles.
-
Mise en œuvre des mesures
Nous priorisons les mesures en attente dans un plan de mise en conformité et vous accompagnons dans leur mise en œuvre, y compris les mesures techniques sur les applications et les systèmes, en réunissant les preuves que demandera l'auditeur.
Livrable : Plan de mise en conformité et registre des preuves.
-
Audit et maintien
Nous réalisons une revue interne préalable, vous accompagnons pendant l'audit de certification et préparons le plan d'actions correctives. Ensuite, le système est maintenu en vue des audits périodiques et du rapport INES.
Livrable : Rapport de revue interne et plan d'actions correctives.
Marchés publics
Ce qu'exigent les cahiers des charges au sujet de l'ENS
Le décret royal 311/2022 lui-même prévoit que les cahiers des charges des marchés du secteur public doivent intégrer les exigences nécessaires pour garantir la conformité à l'ENS des systèmes du titulaire. Dans la pratique, voici les exigences les plus courantes :
- Certification de conformité à l'ENS du titulaire du marché, dans la catégorie correspondant au service contracté.
- Un périmètre de certification couvrant les systèmes qui servent réellement au service.
- Respect des exigences de l'ENS lorsque le service est fourni dans le cloud ou traite des informations de l'entité.
- Désignation d'un responsable de la sécurité et engagement de notification des incidents.
- L'ISO/IEC 27001 comme exigence ou comme critère d'évaluation.
Nous l'avons vécu en tant que fournisseur
Nous sommes certifiés ENS catégorie MOYENNE pour les systèmes d'information qui servent au développement et à la maintenance d'applications informatiques, ainsi qu'ISO/IEC 27001. Nous savons ce que vérifie l'auditeur et quels documents demande une commission d'appel d'offres, car nous les présentons dans nos propres réponses aux appels d'offres.
Si votre entreprise répond à des appels d'offres publics, nous vous aidons à définir un périmètre de certification couvrant les services que vous proposez.
Pourquoi ATISoluciones
Une mise en conformité réalisée par ceux qui développent et maintiennent des systèmes
Nous l'appliquons avant de le proposer
Nous travaillons chaque jour dans un système certifié ENS et ISO/IEC 27001 depuis 2020.
Des mesures techniques, pas seulement des documents
Nous sommes une équipe de développement : nous maîtrisons les mesures portant sur les applications, les accès, les journaux et les configurations.
Proportionnée à votre catégorie
Nous proposons les mesures qu'exige votre catégorie, sans surdimensionner le projet ni vous lier à un fabricant.
Questions fréquentes
Questions fréquentes sur la mise en conformité ENS
Quelle différence entre mise en conformité et certification ENS ?
La mise en conformité est le travail de déploiement de l'ENS : catégoriser les systèmes, analyser les risques, approuver la politique et appliquer les mesures. La certification est l'audit qui, pour les catégories MOYENNE et HAUTE, est réalisé par un organisme de certification accrédité et se conclut par la certification de conformité. Nous assurons la mise en conformité et vous accompagnons jusqu'à l'audit ; la certification est délivrée par l'organisme accrédité.
Quelle catégorie de l'ENS s'applique à ma collectivité ?
Elle dépend de l'évaluation des informations et des services inclus dans le périmètre, et non de la taille de l'entité. La catégorie de chaque système correspond au niveau le plus élevé obtenu dans l'une quelconque des cinq dimensions de la sécurité. C'est pourquoi la première étape de la mise en conformité est toujours la catégorisation.
La certification est-elle obligatoire en catégorie BASIQUE ?
Non. En catégorie BASIQUE, une autoévaluation et la déclaration de conformité suffisent, même si l'entité peut opter pour la certification. Dans les catégories MOYENNE et HAUTE, un audit formel et la certification de conformité sont nécessaires.
À quelle fréquence faut-il passer l'audit ENS ?
En règle générale, au moins tous les deux ans. Un audit extraordinaire est également nécessaire en cas de modifications substantielles du système susceptibles d'affecter les mesures de sécurité.
Je suis une entreprise fournisseur du secteur public : dois-je me conformer à l'ENS ?
Oui, lorsque vos systèmes servent à des prestations que vous fournissez à des entités du secteur public, et les cahiers des charges exigent généralement la déclaration ou la certification de conformité. C'est notre propre cas : nous développons des logiciels pour le secteur public et sommes certifiés ENS catégorie MOYENNE. Si vous développez également des logiciels, découvrez notre façon de travailler en matière de développement sécurisé.
Combien de temps dure un projet de mise en conformité ENS ?
Cela dépend du nombre de services inclus dans le périmètre, de la catégorie et du point de départ de votre organisation. Après le diagnostic initial, nous vous remettons un calendrier par phases adapté à votre situation.
Où en est votre organisation vis-à-vis de l'ENS ?
Demandez un diagnostic initial : nous examinons votre situation et vous proposons un plan de mise en conformité par phases.
