Secteur public

ENS à Barcelone : accords-cadres, le Consorci AOC et la chaîne d'approvisionnement du secteur public catalan

En Catalogne, une grande partie de l'accès au secteur public ne se joue pas marché par marché, mais lors d'une homologation préalable : le Consorci de Serveis Universitaris de Catalunya maintient un accord-cadre d'homologation des prestataires de services liés à la conformité à l'ENS, à l'ISO 27001 et au RGPD, et la Diputació de Barcelona met en concurrence son propre service de conseil et d'accompagnement à la conformité ENS pour sa Direcció de Serveis de Tecnologies i Sistemes Corporatius. Pour une entreprise technologique, cela change l'ordre des choses : la conformité cesse d'être une formalité postérieure au gain du marché et devient une condition d'entrée. L'article 2.3 du RD 311/2022 le confirme dans la norme elle-même : il s'applique aux systèmes des entités privées qui, en vertu d'une relation contractuelle, fournissent des services ou des solutions au secteur public pour l'exercice par ces entités de leurs compétences et prérogatives administratives, et l'article lui-même étend cette précaution à la chaîne d'approvisionnement du prestataire. Summum Sistemas prend en charge le volet technique de cette mise en conformité.

RéglementationRD 311/2022 · BOE-A-2022-7191

Marchés publicsAccords-cadres d'homologation · cahiers des charges exigeant la conformité

Axe techniqueop.nub · op.ext · chaîne d'approvisionnement

La zone métropolitaine de Barcelone concentre une densité d'acheteurs publics peu commune : la Generalitat de Catalunya et ses départements, la Diputació de Barcelona, l'Ajuntament de Barcelona, l'Àrea Metropolitana de Barcelona, les consells comarcals, les universités publiques et le Consorci d'Administració Oberta de Catalunya (AOC), qui fournit des services communs d'administration électronique aux administrations catalanes. Toutes sont des entités du secteur public au sens de l'article 2.1 du RD 311/2022, qui renvoie à l'article 2 de la Loi 40/2015. Et toutes achètent de la technologie. Le fait à retenir est que le Consorci AOC a annoncé le 15 avril 2024 la certification de conformité ENS en catégorie ÉLEVÉE de son service DESA'L, le référentiel documentaire : lorsque le service dont vous dépendez est certifié en catégorie ÉLEVÉE, les exigences qui vous parviennent par contrat ne sont pas celles d'une catégorie basique. L'AOC ne publie pas la fenêtre de validité de ce certificat ; il convient donc d'en vérifier l'état en vigueur avant de s'y référer.

Les cahiers des charges sont le mécanisme par lequel la norme descend jusqu'au contrat. L'article 2.3 du RD 311/2022 impose que les cahiers des charges administratifs ou techniques des entités du secteur public prévoient « toutes les exigences nécessaires pour garantir la conformité ENS des systèmes d'information sur lesquels reposent les services fournis par les prestataires, telles que la présentation des Déclarations ou Certifications de Conformité ENS correspondantes ». Le même article ajoute que cette précaution s'étend à la chaîne d'approvisionnement du prestataire. Dans un écosystème comme celui de Barcelone, où le produit habituel est un SaaS construit sur une infrastructure tierce, la conséquence pratique est que votre propre conformité ne suffit pas : il faut pouvoir attester également celle du fournisseur cloud sur lequel s'appuie le service, car l'Annexe II inclut la famille op.nub « Services en nuage » et sa mesure op.nub.1, « Protection des services en nuage », qui s'applique dès la catégorie BASIQUE et se renforce en MOYENNE et ÉLEVÉE.

L'article 2.3 impose en outre une obligation souvent négligée et qui n'est pas technique : l'entité privée doit disposer de la politique de sécurité de l'article 12, et le cas échéant cette politique « sera approuvée […] par l'organe détenant les compétences exécutives les plus élevées ». Ce n'est pas un document que le responsable des systèmes peut simplement signer. À partir de là, le travail de Summum Sistemas est un travail d'ingénierie : déterminer la catégorie du système selon l'Annexe I en évaluant l'impact sur les cinq dimensions fixées par l'article 40.2 — disponibilité, authenticité, intégrité, confidentialité et traçabilité —, exécuter l'analyse des risques, et mettre en œuvre et rendre vérifiables les mesures de l'Annexe II correspondantes. Une précision qui se répète souvent de travers mérite d'être rappelée : le RD 311/2022 ne nomme ni MAGERIT ni PILAR dans son dispositif. Ce sont la méthodologie et l'outil du Centro Criptológico Nacional, maintenus par le Centro Criptológico Nacional lui-même, et nous les utilisons parce qu'ils sont la référence de fait du secteur public, non parce que la norme les impose.

Le processus ENS à Barcelone.

Le processus · quatre étapes

Cartographie des marchés et périmètre réel du système

Avant de toucher un serveur, nous délimitons quels systèmes entrent dans le périmètre : quels services vous fournissez ou souhaitez fournir à la Generalitat, à la Diputació de Barcelona, à l'Ajuntament, à l'AMB, aux consells comarcals ou aux universités publiques, quels accords-cadres d'homologation vous concernent et ce qu'exigent leurs cahiers des charges. En découlent les deux éléments qui conditionnent tout le reste : le périmètre technique et la catégorie probable.

Catégorisation selon l'Annexe I et analyse des risques

Nous déterminons la catégorie du système — BASIQUE, MOYENNE ou ÉLEVÉE — en évaluant l'impact d'un incident sur les cinq dimensions de l'article 40.2. Sur cette base, nous exécutons l'analyse des risques avec MAGERIT modélisée dans PILAR, la méthodologie et l'outil du CCN. Le résultat est traçable : actifs, menaces, sauvegardes et risque résiduel, avec les décisions de traitement documentées.

Mise en œuvre de l'Annexe II centrée sur op.nub et op.ext

Nous mettons en œuvre les mesures techniques correspondant à la catégorie. Chez un fournisseur SaaS catalan, le poids porte généralement sur op.nub (protection des services en nuage), op.ext (services externes, y compris la protection de la chaîne d'approvisionnement) et mp.com, où nous appliquons les algorithmes et versions de la CCN-STIC-807 — TLS 1.2 au minimum, AES-256, SHA-256 ou supérieur — et la segmentation de la CCN-STIC-811.

Preuves et voie de conformité de l'article 38

Nous laissons le dossier de preuves prêt à être révisé. La voie dépend de la catégorie : l'article 38.1 dispose que les systèmes de catégorie BASIQUE ne requièrent qu'une auto-évaluation pour leur déclaration de conformité — sans préjudice de la possibilité de se soumettre également à un audit de certification —, tandis que ceux de catégorie MOYENNE ou ÉLEVÉE nécessitent un audit pour la certification. Les exigences applicables aux organismes certificateurs sont précisées par l'Instruction Technique de Sécurité à laquelle renvoie cet article.

Ce qui est inclus

Ce qu'inclut ENS à Barcelone.

Le détail opérationnel : ce que nous livrons dans le cadre du travail et ce que nous maintenons vivant ensuite.

Lecture technique des cahiers des charges et accords-cadres

Révision des clauses de sécurité des cahiers des charges et accords-cadres qui vous concernent en Catalogne, traduites en exigences concrètes de l'Annexe II et en voie de conformité requise : déclaration auto-évaluée ou certification par audit.
Rapport de catégorisation selon l'Annexe I

Justification de la catégorie attribuée avec l'évaluation d'impact sur les cinq dimensions de l'article 40.2, documentée de façon à résister à la révision d'un auditeur comme à celle de l'administration contractante.
Analyse des risques MAGERIT modélisée dans PILAR

Inventaire et évaluation des actifs, menaces et sauvegardes avec MAGERIT et PILAR, la méthodologie et l'outil du CCN, avec rapport de risque résiduel et critères d'acceptation documentés.
Mise en conformité de la couche cloud (op.nub) et de la chaîne d'approvisionnement (op.ext)

Vérification de l'adéquation du fournisseur cloud avec op.nub.1 et des conditions contractuelles héritées, ainsi que le traitement d'op.ext.3 (protection de la chaîne d'approvisionnement), où échouent la plupart des dossiers de fournisseurs SaaS.
Durcissement, cryptographie et interconnexion

Durcissement des systèmes et services, configuration cryptographique conforme à la CCN-STIC-807 et conception des zones et de l'interconnexion conforme à la CCN-STIC-811, y compris la DMZ que cette guide recommande en catégories MOYENNE et ÉLEVÉE.
Politique de sécurité de l'article 12 et dossier de preuves

Préparation de la politique de sécurité exigée de l'entité privée par l'article 2.3 — avec la précision qu'elle doit être approuvée par l'organe détenant les compétences exécutives les plus élevées — et du dossier de preuves techniques : configurations, journaux, résultats d'analyses de vulnérabilités et procès-verbaux de tests.

Cluster Summum

Comment il se connecte aux sœurs.

La mise en œuvre technique réalisée par Summum Sistemas s'appuie sur le volet gestion apporté par Summum Calidad : politique de sécurité, déclaration d'applicabilité et intégration avec l'ISO 27001. Dans un dossier catalan, où l'accord-cadre d'homologation demande souvent les deux à la fois, préparer les deux volets de façon coordonnée évite le classique retravail d'une documentation qui ne décrit pas le système réellement mis en œuvre.

sistemas

Summum sistemas

Service ENS principal de Summum Sistemas : vue d'ensemble complète de l'accompagnement technique à la conformité ENS pour les fournisseurs de l'Administration, avec le catalogue complet des familles de mesures, des méthodologies CCN et des voies de conformité disponibles.

Voir le service → calidad

Summum calidad

Summum Calidad s'occupe du volet normatif et de gestion de l'ENS à Barcelone : catégorisation, Déclaration d'Applicabilité, politique de sécurité et intégration avec l'ISO 27001 pour les fournisseurs de la Generalitat et des entités publiques barcelonaises. Le travail technique de Sistemas et le travail documentaire de Calidad sont coordonnés pour couvrir l'ENS dans sa totalité.

Voir le service →

Questions fréquentes sur ENS à Barcelone.

Être homologué dans un accord-cadre de services ENS m'exempte-t-il d'être conforme à l'ENS ?

Non. Ce sont deux choses différentes qu'il convient de ne pas confondre. L'homologation dans un accord-cadre vous habilite à fournir certains services aux entités adhérentes ; la conformité à l'ENS concerne vos propres systèmes d'information. L'article 2.3 du RD 311/2022 applique l'ENS aux systèmes des entités privées qui fournissent des services ou des solutions au secteur public pour l'exercice par ces entités de leurs compétences et prérogatives administratives, en vertu d'une relation contractuelle et indépendamment de l'instrument de marché utilisé pour y parvenir.

Mon SaaS tourne chez un fournisseur cloud international. Cela m'empêche-t-il de contracter avec la Generalitat ou la Diputació ?

Cela ne vous en empêche pas en soi, mais cela introduit des exigences à résoudre explicitement. L'Annexe II du RD 311/2022 inclut la famille op.nub « Services en nuage », dont la mesure op.nub.1 « Protection des services en nuage » s'applique dès la catégorie BASIQUE et se renforce en MOYENNE et ÉLEVÉE. De plus, l'article 2.3 étend l'exigence de conformité à la chaîne d'approvisionnement du prestataire. En pratique, il faut démontrer comment ces mesures sont couvertes sur l'infrastructure contractée, pas seulement sur votre propre code.

Que signifie que le service DESA'L du Consorci AOC soit certifié en catégorie ÉLEVÉE ?

Cela signifie que le référentiel documentaire utilisé par de nombreuses administrations catalanes a passé un audit de certification dans la catégorie la plus exigeante de l'ENS. Pour un fournisseur, ce qui compte, c'est l'effet d'entraînement : lorsque votre service s'intègre à un système certifié en catégorie ÉLEVÉE, ou traite les informations que ce système conserve, les exigences qui vous parviennent par contrat ressembleront davantage à celles de cette catégorie qu'à celles d'une catégorie basique, même si votre système isolé pourrait être catégorisé plus bas.

Qui doit approuver la politique de sécurité dans mon entreprise ?

L'article 2.3 du RD 311/2022 est explicite : les entités du secteur privé entrant dans son champ d'application doivent disposer de la politique de sécurité visée à l'article 12, et elle « sera approuvée, dans le cas de ces entités, par l'organe détenant les compétences exécutives les plus élevées ». Il ne suffit pas que le responsable des systèmes la signe : c'est l'organe de gouvernance qui doit l'approuver.

Ai-je besoin d'un audit de certification, ou une auto-évaluation suffit-elle ?

Cela dépend de la catégorie du système, et l'article 38.1 du RD 311/2022 le fixe : les systèmes de catégorie MOYENNE ou ÉLEVÉE nécessitent un audit pour la certification de leur conformité, tandis que ceux de catégorie BASIQUE ne requièrent qu'une auto-évaluation pour leur déclaration de conformité — sans préjudice de la possibilité de se soumettre également à un audit de certification si cela présente un intérêt commercial. Les exigences applicables aux organismes certificateurs sont précisées par l'Instruction Technique de Sécurité prévue par ce même article.

Summum Sistemas certifie-t-il l'ENS ?

Non. Summum Sistemas s'occupe du volet technique : catégorisation, analyse des risques, mise en œuvre des mesures de l'Annexe II et préparation du dossier de preuves. La certification est délivrée par un tiers, et l'article 38.1 renvoie à l'Instruction Technique de Sécurité correspondante pour les exigences applicables aux organismes certificateurs. Notre travail consiste à amener le système à cet audit réellement mis en œuvre, avec les preuves en ordre.

On le construit ensemble?

Parler de ce service→ Retour aux services→