Mise en conformité ENS à Salamanque : système de gestion de la sécurité pour les fournisseurs de l'Administration

Oui. Si vos systèmes d'information interagissent avec ceux de la Diputación Provincial de Salamanca, de la Mairie de Salamanque ou de tout autre organisme public soumis à l'ENS — y compris l'Université de Salamanque (USAL), organisme public universitaire —, le RD 311/2022 vous impose d'atteindre la conformité au niveau applicable à votre système. Cela concerne aussi bien les intégrateurs de logiciels que les prestataires de services managés, les opérateurs de télécommunications ou les consultants ayant accès aux systèmes de ces organismes. Le délai général a expiré le 5 mai 2024.

L'absence de conformité à l'ENS peut constituer un motif d'exclusion dans les appels d'offres publics qui exigent une attestation de conformité, ou un motif de résiliation contractuelle si l'écart est découvert en cours d'exécution. Elle engage également la responsabilité de l'entité publique contractante, dont la propre conformité peut être remise en question si ses fournisseurs ne sont pas conformes. En pratique, un nombre croissant d'avis de marché public en Castille-et-León incluent la conformité ENS au niveau approprié comme exigence technique.

La catégorie est déterminée en évaluant l'impact qu'un incident de sécurité aurait sur les cinq dimensions CIDAT (confidentialité, intégrité, disponibilité, authenticité et traçabilité) des services dans le périmètre. Si l'impact maximal dans l'une quelconque de ces dimensions est faible, le système est de catégorie basique ; si une dimension atteint un impact moyen, il est de catégorie moyenne ; si une dimension atteint un impact élevé, il est de catégorie élevée. La catégorie basique exige une déclaration de conformité auto-évaluée (CCN-STIC 809) ; la catégorie moyenne ou élevée exige une certification par un organisme accrédité ENAC. Summum Calidad réalise la catégorisation en première étape du projet.

Cela dépend de la catégorie du système et du point de départ en matière de sécurité. Pour les systèmes de catégorie basique avec certaines pratiques déjà en place, le processus peut être achevé en trois à six mois. Pour la catégorie moyenne ou élevée sans certification ISO 27001 préalable, le délai habituel se situe entre neuf et dix-huit mois, incluant l'analyse de risques, la mise en œuvre des mesures techniques et organisationnelles et l'audit de conformité par l'organisme accrédité. Si vous disposez déjà d'une certification ISO 27001, le délai se réduit considérablement car l'écart se concentre sur les aspects spécifiques du cadre espagnol.

Oui, et c'est la démarche la plus efficiente. L'ENS et l'ISO 27001:2022 partagent la même structure de gestion — politique, analyse de risques, sélection de contrôles proportionnés, revue et amélioration continue — et de nombreuses mesures de l'Annexe II de l'ENS ont un équivalent direct dans l'Annexe A de l'ISO 27001:2022. Avec l'ISO 27001 en cours ou certifiée, l'écart vers l'ENS se concentre sur les aspects spécifiques du cadre espagnol, réduisant le travail de 30 % à 40 % par rapport à deux projets indépendants. Summum Calidad réalise cette analyse des écarts et comble uniquement ce qui manque réellement.

Non. Le certificat de conformité pour la catégorie moyenne ou élevée ne peut être délivré que par un organisme d'inspection accrédité par ENAC conformément à la norme UNE-EN ISO/IEC 17065. Pour la catégorie basique, la déclaration de conformité est auto-évaluée et émise par l'organisation elle-même selon la CCN-STIC 809. Summum Calidad vous prépare à réussir ce processus avec toutes les garanties : diagnostic, mise en œuvre, documentation des preuves et revue pré-audit. Le certificat final est délivré par le tiers accrédité de votre choix ; nous veillons à ce que vous soyez dans les meilleures conditions possibles pour affronter cet audit.