Conformité ENS intégrée à l'ISO 27001

Une entreprise privée doit se conformer à l'ENS lorsqu'elle fournit des services ou des solutions à des entités du secteur public espagnol elles-mêmes soumises à l'ENS. Cela inclut les fournisseurs de logiciels, les prestataires de services cloud, les sociétés de maintenance, les entreprises qui traitent des données pour le compte d'une Administration et tout service dans lequel les systèmes de l'entreprise privée interagissent avec les systèmes ou données du secteur public. L'échéance de conformité pour les systèmes préexistants était le 5 mai 2024, conformément à la disposition transitoire du RD 311/2022. Les nouveaux systèmes déployés après cette date doivent être conformes dès le premier jour.

La catégorie est déterminée en évaluant l'impact qu'un incident de sécurité aurait sur les cinq dimensions CIDAT pour chaque service en périmètre. Si l'impact maximal sur toutes les dimensions est FAIBLE, le système est de catégorie basique ; si une dimension atteint un impact MOYEN, il est de catégorie moyenne ; si une dimension atteint un impact ÉLEVÉ, il est de catégorie élevée. La catégorie détermine les mesures obligatoires de l'Annexe II et la voie de conformité requise : basique = déclaration de conformité auto-évaluée ; moyenne ou élevée = certification par un organisme accrédité par l'ENAC.

Oui, et c'est l'approche la plus efficace. L'ISO 27001:2022 et l'ENS partagent une structure de management très similaire et de nombreux contrôles se recoupent ou se complètent. Avec une certification ISO 27001 en place, l'écart vers l'ENS se concentre sur les aspects spécifiques du cadre espagnol : la catégorisation de l'Annexe I, les mesures de l'Annexe II sans équivalent direct dans l'ISO 27001 et l'adaptation de la documentation au format CCN. Summum Calidad réalise l'analyse d'écarts précise et ne comble que ce qui manque, sans refaire le travail déjà en place.

Pour les systèmes de catégorie basique, la conformité est attestée par une déclaration de conformité auto-évaluée produite par l'organisation elle-même, selon la procédure de la CCN-STIC 809. Pour les catégories moyenne ou élevée, la certification doit être réalisée par un organisme d'inspection accrédité par l'ENAC selon la norme UNE-EN ISO/IEC 17065. Summum Calidad n'émet aucun certificat de conformité — cela relève exclusivement des organismes accrédités — mais prépare votre système à réussir ce processus.

Cela dépend de la catégorie du système, de la taille de l'organisation et du niveau de maturité en sécurité existant. Pour les systèmes de catégorie basique avec des pratiques de sécurité déjà en place, le processus peut se compléter en trois à six mois. Pour les catégories moyenne ou élevée, avec des systèmes complexes et sans ISO 27001 préalable, le processus requiert généralement neuf à dix-huit mois, incluant l'analyse complète des risques avec la méthodologie MAGERIT, la mise en œuvre des mesures techniques et organisationnelles et l'audit de conformité par l'organisme accrédité.

La Déclaration d'Applicabilité (DdA) est un document qui recense, pour chaque contrôle de l'Annexe II de l'ENS, s'il s'applique au système, dans quelle mesure il est mis en œuvre et la justification des exclusions. C'est une exigence à la fois de l'ENS et de l'ISO 27001:2022, ce qui facilite sa rédaction intégrée. La DdA est l'un des documents examinés le plus attentivement par les auditeurs de conformité ; sa rigueur et son exhaustivité sont donc déterminantes pour l'issue de l'audit.

L'Annexe III du RD 311/2022 impose que les systèmes d'information soumis à l'ENS fassent l'objet d'un audit de sécurité au moins tous les deux ans. Pour les systèmes de catégorie basique, le renouvellement de la déclaration de conformité auto-évaluée suit le même cycle biennal. Pour les catégories moyenne ou élevée, l'organisme accrédité réalise l'audit de renouvellement dans ce délai. Tout changement significatif du périmètre ou de l'architecture du système peut imposer un audit extraordinaire hors cycle.

Ils sont complémentaires. L'ENS régit la sécurité des systèmes d'information dans le contexte de l'Administration publique et de ses prestataires ; le RGPD régit la protection des données personnelles des citoyens européens. Lorsqu'un prestataire de l'Administration traite des données personnelles de citoyens — situation la plus fréquente — les deux cadres s'appliquent simultanément. De nombreuses mesures de sécurité de l'Annexe II de l'ENS — gestion des accès, chiffrement, sauvegardes, gestion des incidents — satisfont également les exigences de sécurité du RGPD, ce qui rend une approche intégrée efficace et réduit la duplication documentaire.