Quand une PME commence à s'intéresser au Schéma national de sécurité (ENS), la première question qu'elle pose généralement est de savoir combien de mesures elle doit mettre en œuvre. La réponse courte — « 73, celles de l'Annexe II » — est incomplète et génère une alarme qui n'est pas toujours justifiée : toutes les 73 mesures ne s'appliquent pas à tous les systèmes. Le nombre réel dépend de la catégorie (BASIQUE, MOYENNE ou ÉLEVÉE) résultant de l'évaluation de l'impact sur les cinq dimensions de sécurité, et cette différence peut représenter la moitié de l'effort de mise en œuvre.
Le point de départ : 73 mesures réparties en trois cadres
L'Annexe II du décret royal 311/2022, du 3 mai (BOE-A-2022-7191) regroupe 73 mesures de sécurité réparties en trois cadres : 4 organisationnelles, 33 opérationnelles et 36 de protection. Ce chiffre de 73 est le catalogue complet, celui qui s'applique sans exception aux systèmes de catégorie ÉLEVÉE. Pour BASIQUE et MOYENNE, le tableau récapitulatif de l'Annexe II lui-même marque avec « n.a. » (non applicable) les mesures qui restent exclues selon la catégorie.
La répartition par catégorie, mesure par mesure
En comptant case par case le tableau récapitulatif de l'Annexe II (section 4 du décret royal), le résultat est le suivant :
- Catégorie BASIQUE : 52 mesures sur 73 (21 marquées « non applicable »). Les mesures exclues se concentrent sur la continuité du service (op.cont.1 à op.cont.4 complètes), les ressources externes (op.ext.1 à op.ext.4 complètes) et plusieurs contrôles spécifiques de planification, d'exploitation et d'information.
- Catégorie MOYENNE : 68 mesures sur 73 (5 marquées « non applicable ») : op.ext.3, op.cont.2, op.cont.3, op.cont.4 et mp.info.4. Autrement dit, MOYENNE récupère presque tout le cadre de continuité et de ressources externes que BASIQUE n'exige pas, et ajoute des renforcements là où BASIQUE se contentait du minimum.
- Catégorie ÉLEVÉE : 73 mesures sur 73, sans aucune exception. Aucune mesure de l'Annexe II n'est exclue pour les systèmes de catégorie ÉLEVÉE.
Par cadre, la répartition est la suivante : le cadre organisationnel exige ses 4 mesures de façon identique dans les trois catégories (il n'y a pas de marge à ce niveau) ; le cadre opérationnel passe de 22 mesures applicables en BASIQUE à 29 en MOYENNE et aux 33 complètes en ÉLEVÉE ; et les mesures de protection passent de 26 en BASIQUE à 35 en MOYENNE et aux 36 complètes en ÉLEVÉE.
Pourquoi le nombre de mesures n'est pas la seule variable
Qu'une mesure « s'applique » ne signifie pas qu'elle se met toujours en œuvre avec la même exigence. Les guides de la série CCN-STIC du Centre cryptologique national décrivent des niveaux de renforcement croissants pour une même mesure selon la catégorie du système : un contrôle d'accès exige déjà une double authentification dès BASIQUE dès lors que l'accès se produit depuis ou à travers une zone non contrôlée (renforcement R8 de op.acc.6, détaillé dans la double authentification est-elle obligatoire dans l'ENS de catégorie basique ?), et c'est seulement à partir de MOYENNE que s'y ajoute l'obligation d'enregistrer les accès, par exemple. Cela signifie que le saut réel d'effort entre catégories est plus important que la simple différence de mesures applicables (52 → 68 → 73) : la rigueur avec laquelle il faut mettre en œuvre les mesures déjà applicables dans la catégorie inférieure augmente également. Cette répartition des renforcements par mesure concrète dépend de la Déclaration d'applicabilité de chaque système et ne peut pas être généralisée sans analyser le cas : on ne peut ici affirmer avec certitude que quelles mesures s'appliquent, pas avec quelle profondeur exacte chacune doit être mise en œuvre dans un système concret.
Ce qui détermine la catégorie (et donc combien de mesures vous concernent)
La catégorie d'un système est le niveau le plus élevé atteint par l'une quelconque des cinq dimensions de sécurité — confidentialité, intégrité, traçabilité, authenticité et disponibilité —, et non la moyenne ni la somme de toutes ces dimensions. Il suffit qu'une seule dimension atteigne le niveau ÉLEVÉ pour que tout le système soit de catégorie ÉLEVÉE, même si les quatre autres sont au niveau BAS. Cette règle du « c'est le maximum qui l'emporte » est celle qui surprend le plus les organisations qui sous-estiment leur catégorie : un système à disponibilité critique mais avec des données peu sensibles peut se retrouver en catégorie ÉLEVÉE uniquement à cause de cette dimension.
Un exemple pratique : deux PME, deux catégories très différentes
Imaginez deux entreprises qui souhaitent se mettre en conformité avec l'ENS parce qu'elles sont fournisseurs d'une mairie. La première gère un portail de démarches internes sans données à caractère personnel ni services critiques : ses cinq dimensions sont évaluées au niveau BAS, donc sa catégorie est BASIQUE et elle devra mettre en œuvre 52 des 73 mesures, avec l'autoévaluation comme voie de conformité. La seconde gère un système de rendez-vous et de dossiers de santé avec une disponibilité critique exigée et des données particulièrement protégées : même si la plupart de ses dimensions se situent au niveau BAS ou MOYEN, il suffit que la confidentialité ou la disponibilité atteignent le niveau ÉLEVÉ pour que ce système — et non le reste des systèmes de l'organisation — se retrouve en catégorie ÉLEVÉE, avec les 73 mesures exigibles et un audit de certification obligatoire par un organisme accrédité par ENAC. Ce sont deux entreprises de même taille et de même secteur, mais avec des charges de mise en conformité très différentes, et la seule façon de savoir dans lequel des deux cas vous vous trouvez est d'évaluer vos propres dimensions, pas de vous comparer à votre voisin.
Autoévaluation ou audit, selon la catégorie
Le régime de conformité change aussi selon la catégorie : les systèmes de catégorie BASIQUE nécessitent seulement une autoévaluation pour leur déclaration de conformité (même s'ils peuvent se soumettre volontairement à un audit), tandis que MOYENNE et ÉLEVÉE exigent obligatoirement un audit de certification réalisé par un organisme accrédité par ENAC. Cela ajoute une seconde couche d'effort qui n'apparaît pas dans le simple décompte des mesures : ce n'est pas la même chose de remplir un questionnaire interne que de préparer des preuves pour un auditeur externe.
Comment savoir combien de mesures vous concernent
Le décompte précédent est générique : il indique combien de mesures s'appliquent à chaque catégorie, mais il ne vous dit pas encore quelle est votre catégorie. Cela dépend de la façon dont vous évaluez l'impact sur chacune des cinq dimensions pour votre système concret, ce qui varie beaucoup entre, par exemple, un ERP interne sans données à caractère personnel et une plateforme qui gère des dossiers d'une mairie. Avant de commencer à mettre en œuvre des contrôles, il convient de résoudre cette première question avec des données, pas au jugé : avec l'autodiagnostic ENS, vous pouvez saisir l'évaluation des cinq dimensions de votre système et obtenir instantanément la catégorie qui vous correspond, le nombre exact de mesures de l'Annexe II qui s'appliquent à vous et la procédure de conformité (autoévaluation ou audit) qui convient à votre cas.
Questions fréquentes
Les mesures « non applicable » de la catégorie BASIQUE peuvent-elles être mises en œuvre quand même ?
Oui. Qu'une mesure ne soit pas exigible dans votre catégorie ne signifie pas qu'elle soit interdite : de nombreuses organisations de catégorie BASIQUE mettent volontairement en œuvre des mesures supplémentaires de continuité ou de ressources externes si leur activité le justifie, même si elles n'en ont pas besoin pour la conformité.
Le total de 73 mesures inclut-il celles de mon fournisseur cloud ?
Le cadre opérationnel intègre une famille spécifique pour les services dans le cloud (op.nub), nouveauté de la révision de 2022 de l'ENS, mais sa portée dépend de la manière dont la responsabilité est répartie entre votre organisation et le fournisseur. C'est l'un des points qui exigent une analyse individuelle du contrat de service.
Puis-je passer de BASIQUE à MOYENNE en ajoutant seulement les 16 mesures manquantes ?
Pas exactement : outre l'ajout des mesures qui étaient auparavant « non applicable », il faut revoir le niveau de renforcement des mesures que vous aviez déjà mises en œuvre en BASIQUE, car MOYENNE exige une rigueur plus élevée sur plusieurs d'entre elles. Le décompte des mesures n'est qu'une partie du saut d'effort.
Cette répartition vaut-elle aussi pour les institutions de l'Administration ?
Oui, le tableau récapitulatif de l'Annexe II et le critère d'applicabilité par catégorie sont les mêmes pour les entités du secteur public et pour les fournisseurs privés qui, en raison d'une relation contractuelle, doivent se mettre en conformité avec l'ENS.
Ce contenu a un caractère informatif et indicatif. Il ne constitue pas un conseil juridique et ne remplace pas l'analyse d'un professionnel qualifié pour votre cas concret.