La Biscaye n'a pas de diputación provincial de régime commun : elle a une Diputación Foral, avec ses propres compétences et sa propre structure, et une société publique d'informatique — Lantik, S.A.M.P. — qui concentre une grande partie des systèmes d'information du territoire foral. Ce détail, qui paraît administratif, décide de la façon dont on entre : le véritable interlocuteur technique de nombreux marchés technologiques du territoire historique n'est pas le département, c'est la société forale. Et Lantik publie sur son site un certificat de conformité à l'ENS — ENS-2018/0011, catégorie MOYENNE — aux côtés de son certificat ISO 27001 SI-0007/2011 (consulté le 13 août 2026). Lantik ne publie pas la fenêtre de validité de ce certificat ; il convient donc d'en vérifier l'état en vigueur avant de s'y référer. Lorsque le système avec lequel vous allez vous interconnecter est certifié depuis des années, les questions posées lors de la phase technique ne sont pas génériques. Summum Sistemas prend en charge cette partie : la mise en œuvre réelle des mesures de l'Annexe II du RD 311/2022 sur vos systèmes.
Le secteur public soumis à l'ENS dans l'environnement de Bilbao comporte plusieurs strates qu'il convient de ne pas mélanger. Il y a le Gobierno Vasco et ses départements ; il y a la Diputación Foral de Bizkaia, avec son propre régime foral et ses sociétés publiques, dont Lantik ; il y a l'Ayuntamiento de Bilbao ; il y a l'Universidad del País Vasco / Euskal Herriko Unibertsitatea ; et il y a Osakidetza, le service basque de santé. Toutes sont des entités du secteur public au sens de l'article 2.1 du RD 311/2022, qui renvoie à l'article 2 de la Loi 40/2015. Ce qui les distingue pour un fournisseur, c'est le circuit de passation de marché et qui joue le rôle de contrepartie technique, pas le niveau d'exigence normative : l'ENS est le même à Bilbao que partout ailleurs en Espagne.
L'obligation pour l'entreprise privée naît de l'article 2.3, dont la rédaction est directe : le décret royal s'applique aussi aux systèmes d'information des entités du secteur privé, « y compris l'obligation de disposer de la politique de sécurité visée à l'article 12, lorsque, conformément à la réglementation applicable et en vertu d'une relation contractuelle, elles fournissent des services ou des solutions aux entités du secteur public pour l'exercice par ces dernières de leurs compétences et prérogatives administratives ». Ce même article impose que les cahiers des charges prévoient les exigences nécessaires pour garantir la conformité, « telles que la présentation des Déclarations ou Certifications de Conformité ENS correspondantes », et étend cette précaution à la chaîne d'approvisionnement du prestataire. Il existe en outre une échéance déjà passée : la disposition transitoire unique a accordé vingt-quatre mois aux systèmes préexistants — incluant expressément ceux des prestataires du secteur privé — pour atteindre leur pleine conformité, à compter de l'entrée en vigueur le 5 mai 2022.
Dans un projet destiné à s'interconnecter avec des plateformes forales déjà certifiées, le poids technique se déplace vers deux points. Le premier est le contrôle d'accès, la famille op.acc de l'Annexe II, car l'identification et l'authentification entre systèmes d'organisations distinctes sont là où se concentrent les constats. Le second est op.ext, services externes, y compris op.ext.3, protection de la chaîne d'approvisionnement. À cela s'ajoute l'interconnexion proprement dite : le guide CCN-STIC-811 du Centro Criptológico Nacional recommande une DMZ en catégories MOYENNE et ÉLEVÉE et situe l'IDS/IPS comme recommandé en ÉLEVÉE, et la CCN-STIC-807 fixe les algorithmes admissibles — TLS 1.2 comme version minimale, AES-256, SHA-256 ou supérieur, avec HSM recommandé en catégorie ÉLEVÉE. Aucun de ces deux guides n'est le décret royal : ce sont le développement technique du CCN, et ils sont cités comme tels.
Nous déterminons avec qui vous signez réellement et avec quel système il faut réellement interopérer : Gobierno Vasco, Diputación Foral de Bizkaia et ses sociétés publiques, Ayuntamiento de Bilbao, UPV/EHU ou Osakidetza. Le circuit foral a ses propres instruments, et l'exigence technique qui finit dans le contrat dépend duquel d'entre eux vous empruntez.
Nous appliquons l'Annexe I pour fixer la catégorie — BASIQUE, MOYENNE ou ÉLEVÉE — en évaluant l'impact sur les cinq dimensions de l'article 40.2. Nous réalisons l'analyse des risques avec MAGERIT modélisée dans PILAR, méthodologie et outil du CCN ; le RD n'impose pas de méthodologie, mais c'est la référence du CCN et celle que reconnaissent les équipes techniques de l'administration.
Nous mettons en œuvre les mesures de la famille op.acc — identification, authentification des utilisateurs externes et de l'organisation, accès distant — et concevons l'interconnexion conformément à la CCN-STIC-811 : zonage, DMZ là où la catégorie le conseille, filtrage et journalisation. La configuration cryptographique suit la CCN-STIC-807.
Nous traitons op.ext, y compris la protection de la chaîne d'approvisionnement, qui est la mesure la plus sous-estimée lorsque le produit intègre des composants tiers. Et nous terminons par le dossier de preuves qui soutient la voie de conformité de l'article 38 : auto-évaluation en BASIQUE, audit de certification en MOYENNE et ÉLEVÉE.
Le détail opérationnel : ce que nous livrons dans le cadre du travail et ce que nous maintenons vivant ensuite.
Lecture technique du cahier des charges foral
Traduction des clauses de sécurité du cahier des charges en mesures concrètes de l'Annexe II et en voie de conformité exigée, en distinguant ce que demande la norme de ce qu'ajoute l'organe de passation de marché.
Rapport de catégorisation selon l'Annexe I
Évaluation de l'impact sur la disponibilité, l'authenticité, l'intégrité, la confidentialité et la traçabilité, avec la justification qu'exige l'article 40.2 et le détail par service fourni.
Analyse des risques MAGERIT modélisée dans PILAR
Réalisée avec MAGERIT et PILAR : actifs essentiels et de support, dépendances, menaces, sauvegardes et risque résiduel, avec une mise à jour au moins annuelle ou en cas de changement significatif, selon ce que fixe la politique de sécurité.
Contrôle d'accès (op.acc) pour la fédération avec les plateformes forales
Mise en œuvre de l'identification et de l'authentification, de la gestion des privilèges et de l'accès distant, avec une attention particulière à l'authentification des utilisateurs externes et de l'organisation lorsqu'il y a fédération entre systèmes d'entités distinctes.
Interconnexion et cryptographie conformes aux CCN-STIC
Conception des zones, de la DMZ et du filtrage selon la CCN-STIC-811, et configuration cryptographique selon la CCN-STIC-807 : TLS 1.2 au minimum, AES-256, SHA-256 ou supérieur, et HSM lorsque la catégorie est ÉLEVÉE.
Chaîne d'approvisionnement et dossier de preuves
Traitement d'op.ext.3 sur les composants et services tiers qu'intègre votre solution, et compilation du dossier de preuves techniques : configurations, journaux d'audit, résultats d'analyses de vulnérabilités et procès-verbaux de tests de continuité.
Summum Sistemas s'occupe du volet technique et Summum Calidad du volet gestion : politique de sécurité, déclaration d'applicabilité et intégration avec l'ISO 27001. En Biscaye, le détail compte car l'interlocuteur a souvent depuis des années intégré l'ISO 27001 et l'ENS, et repère au premier coup d'œil quand la documentation et le système mis en œuvre ne décrivent pas la même chose.
Service ENS principal de Summum Sistemas : vue d'ensemble complète de l'accompagnement technique à la conformité ENS pour les fournisseurs de l'Administration, avec le catalogue complet des familles de mesures, des méthodologies CCN et des voies de conformité disponibles.
Voir le service → calidadSummum Calidad s'occupe du volet normatif et de gestion de l'ENS à Bilbao : catégorisation, Déclaration d'Applicabilité, politique de sécurité et intégration avec l'ISO 27001. Le travail technique de Sistemas et le travail documentaire de Calidad sont coordonnés pour couvrir l'ENS dans sa totalité.
Voir le service →Le régime foral change le cadre de compétences et le circuit de passation de marché, pas l'Esquema Nacional de Seguridad. Le RD 311/2022 s'applique à tout le secteur public dans les termes de l'article 2 de la Loi 40/2015, et aux entités privées qui lui fournissent des services ou des solutions par relation contractuelle, pour l'exercice par ces dernières de leurs compétences et prérogatives administratives (article 2.3). Les catégories, les mesures de l'Annexe II et les voies de conformité de l'article 38 sont les mêmes. Ce qui change en pratique, c'est avec qui vous négociez et quels systèmes concrets vous avez en face de vous.
Non. Le certificat atteste la conformité des systèmes de cette entité, pas des vôtres. Ce qui se produit, en revanche, c'est que l'interconnexion avec un système certifié durcit généralement ce qu'on vous demandera : on vous demandera d'attester votre propre conformité et, selon la catégorie, des mesures concrètes de la famille op.acc et d'interconnexion. L'article 2.3 du RD étend en outre l'exigence à la chaîne d'approvisionnement du prestataire, de sorte que les composants tiers que vous intégrez entrent aussi dans la conversation.
La disposition transitoire unique du RD 311/2022 a donné vingt-quatre mois aux systèmes préexistants à son entrée en vigueur — incluant expressément ceux des prestataires du secteur privé — pour atteindre la pleine conformité, et la norme est entrée en vigueur le 5 mai 2022. L'effet pratique de ne pas être conforme est moins sanctionnateur qu'un enjeu d'accès : les cahiers des charges doivent exiger la conformité selon l'article 2.3, et sans elle, l'offre peut être écartée en phase technique ou générer des manquements pendant l'exécution.
INES (Informe Nacional del Estado de Seguridad, Rapport national sur l'état de la sécurité) est la plateforme du CCN par laquelle l'état de la sécurité des systèmes est communiqué au moins une fois par an. Elle ne remplace ni la déclaration ni la certification de conformité. Pour une entreprise, son utilité est d'organiser les données sur le degré de mise en œuvre des mesures avant de s'exposer à une révision externe.
L'Annexe II du RD 311/2022 comporte 73 mesures organisées en 16 familles et trois cadres : organisationnel, opérationnel et de protection. Le nombre qui vous concerne dépend de la catégorie du système et de votre périmètre : chaque mesure porte un niveau d'exigence par catégorie — depuis « non applicable » jusqu'à l'application avec renforcements, que l'annexe elle-même numérote à partir de R1. C'est pourquoi l'ordre correct est de catégoriser d'abord et d'analyser les risques ensuite ; compter les mesures avant cela ne dit rien d'utile.
Non. Nous réalisons la mise en œuvre technique et préparons le système et les preuves. La conformité se détermine par la voie de l'article 38.1 — auto-évaluation en catégorie BASIQUE, pouvant également faire l'objet d'un audit de certification, et audit de certification en MOYENNE et ÉLEVÉE — et les exigences applicables aux organismes certificateurs sont précisées par l'Instruction Technique de Sécurité prévue par cet article.