Madrid est une communauté autonome uniprovinciale : il n'y a pas de diputación, et les compétences de niveau provincial sont assumées par la communauté elle-même. Ce qui existe, en revanche, c'est une concentration d'acheteurs publics difficile à égaler — l'Administración General del Estado, la Comunidad de Madrid, l'Ayuntamiento, les universités publiques et le service madrilène de santé — et un trait à exploiter : ici, l'état de conformité à l'ENS est public et consultable. L'Ayuntamiento de Madrid publie son certificat de conformité via son Centro de Ciberseguridad, et Madrid Digital, l'agence numérique de la Communauté, détient un certificat ENS en catégorie MOYENNE — ENS-2024/0013, valable jusqu'au 7 février 2027 — portant sur l'hébergement de ses systèmes d'information, la Plataforma Electrónica de Expedientes y Procedimientos Administrativos et la gestion des accès distants au réseau corporatif (ARCO) ; son certificat en catégorie BASIQUE ENS-2024/0011 ne couvrait pas l'entité entière, mais seulement le service « Paso a Producción » de ces systèmes, et sa validité allait du 7 février 2024 au 7 février 2026. Summum Sistemas prépare le côté du fournisseur : la mise en œuvre technique qui soutient cette conformité.
Que les certificats soient publics n'est pas une curiosité administrative : c'est une obligation légale et un avantage opérationnel. L'article 38.2 du RD 311/2022 impose aux responsables des systèmes d'information de rendre publiques, sur les portails internet ou sièges électroniques correspondants, leurs déclarations et certifications de conformité à l'ENS. Pour un fournisseur qui prépare une offre, cela signifie qu'il peut connaître à l'avance la catégorie de certification de l'organisme avec lequel il va interopérer et, ainsi, anticiper le niveau d'exigence qui descendra dans le cahier des charges. C'est la différence entre préparer un dossier générique et préparer celui qui convient réellement.
L'obligation du fournisseur découle de l'article 2.3, qui applique le décret royal aux systèmes d'information des entités du secteur privé — y compris l'obligation de disposer de la politique de sécurité de l'article 12 — lorsque, en vertu d'une relation contractuelle, elles fournissent des services ou des solutions à des entités du secteur public pour l'exercice par ces dernières de leurs compétences et prérogatives administratives. Ce même article impose que les cahiers des charges prévoient les exigences nécessaires pour garantir la conformité, en mentionnant expressément les Déclarations ou Certifications de Conformité, et étend cette précaution à la chaîne d'approvisionnement du prestataire. Sur un marché comme celui de Madrid, où l'acheteur dispose de ses propres équipes de cybersécurité et d'une expérience accumulée en audits, la conversation technique démarre à un niveau plus élevé qu'ailleurs.
Le travail technique se juge en conséquence sur les preuves, pas sur la documentation. Nous déterminons la catégorie selon l'Annexe I, en évaluant l'impact sur les cinq dimensions de l'article 40.2 — disponibilité, authenticité, intégrité, confidentialité et traçabilité —, nous exécutons l'analyse des risques avec MAGERIT modélisée dans PILAR, la méthodologie et l'outil du Centro Criptológico Nacional, et nous mettons en œuvre les mesures de l'Annexe II, qui regroupe 73 mesures réparties en 16 familles sur trois cadres : organisationnel, opérationnel et de protection. Chaque mesure porte son niveau d'exigence par catégorie, avec des renforcements que l'annexe elle-même numérote à partir de R1. Et une précision qui compte quand l'interlocuteur connaît le sujet : ni MAGERIT ni PILAR ne figurent dans le dispositif du RD 311/2022. Ce sont méthodologie et outil du CCN, non une imposition de la norme ; les utiliser est un choix de méthode, et cela s'explique comme tel.
Avant de dimensionner quoi que ce soit, nous consultons les déclarations et certifications que l'administration elle-même publie en vertu de l'article 38.2. Connaître la catégorie du système avec lequel vous allez interopérer est le meilleur indicateur de ce qu'exigera le cahier des charges.
Nous délimitons quels systèmes vous concernant entrent dans le périmètre et fixons la catégorie en évaluant l'impact sur les cinq dimensions de l'article 40.2. La catégorie détermine le sous-ensemble exigible de l'Annexe II, les renforcements applicables et la voie de conformité de l'article 38.
Nous mettons en œuvre les mesures techniques en laissant dès le premier jour la preuve associée : configurations, journaux d'activité, résultats d'analyses de vulnérabilités. Avec un acheteur qui audite réellement, une preuve produite après coup se remarque et fait perdre en crédibilité au dossier.
Nous préparons la voie correspondante selon l'article 38.1 : auto-évaluation pour la déclaration de conformité en catégorie BASIQUE — pouvant également faire l'objet d'un audit de certification —, ou audit de certification en MOYENNE et ÉLEVÉE. Nous révisons le système au regard de l'Annexe III avant de l'exposer à la révision externe.
Le détail opérationnel : ce que nous livrons dans le cadre du travail et ce que nous maintenons vivant ensuite.
Analyse de l'état de conformité publié par l'acheteur
Révision des déclarations et certifications que l'administration destinataire publie conformément à l'article 38.2, pour anticiper catégorie et exigences avant de dimensionner le projet.
Rapport de catégorisation selon l'Annexe I
Justification de la catégorie avec l'évaluation d'impact sur les cinq dimensions de l'article 40.2, différenciée par service fourni.
Analyse des risques MAGERIT modélisée dans PILAR
Avec MAGERIT et PILAR, du Centro Criptológico Nacional : actifs essentiels et de support, menaces, sauvegardes et risque résiduel, avec une mise à jour au moins annuelle ou en cas de changement significatif.
Mise en œuvre de l'Annexe II avec preuve traçable
Contrôle d'accès (op.acc), exploitation (op.exp), supervision (op.mon) et protection des communications (mp.com), chacune avec sa preuve associée et son critère de vérification défini à l'avance.
Cryptographie et interconnexion conformes aux CCN-STIC
Configuration cryptographique selon la CCN-STIC-807 — TLS 1.2 comme version minimale, AES-256, SHA-256 ou supérieur, HSM en catégorie ÉLEVÉE — et conception des zones et de l'interconnexion selon la CCN-STIC-811.
Préparation de la révision externe
Révision préalable au regard de l'Annexe III, correction des écarts et organisation du dossier de preuves dans l'ordre où il sera révisé, pour que l'audit ne se transforme pas en chasse aux fichiers.
Summum Sistemas couvre le volet technique et Summum Calidad le volet gestion : politique de sécurité, déclaration d'applicabilité et intégration avec l'ISO 27001. À Madrid, la coordination entre les deux volets se remarque particulièrement, car l'acheteur dispose souvent de sa propre équipe de cybersécurité et détecte rapidement quand le document et le système ne racontent pas la même histoire.
Service ENS principal de Summum Sistemas : vue d'ensemble complète de l'accompagnement technique à la conformité ENS pour les fournisseurs de l'Administration, avec le catalogue complet des familles de mesures, des méthodologies CCN et des voies de conformité disponibles.
Voir le service → calidadSummum Calidad s'occupe du volet normatif et de gestion de l'ENS à Madrid : catégorisation, Déclaration d'Applicabilité, politique de sécurité et intégration avec l'ISO 27001 pour les fournisseurs de la Comunidad de Madrid et de l'Ayuntamiento. Le travail technique de Sistemas et le travail documentaire de Calidad sont coordonnés pour couvrir l'ENS dans sa totalité.
Voir le service →La Comunidad de Madrid est uniprovinciale et assume les compétences qui, ailleurs, reviennent à la diputación. La carte des acheteurs publics est formée par l'Administración General del Estado, la Comunidad de Madrid elle-même et ses organismes, l'Ayuntamiento de Madrid et le reste des mairies, les universités publiques et le service madrilène de santé. Toutes sont des entités du secteur public au sens de l'article 2.1 du RD 311/2022, qui renvoie à l'article 2 de la Loi 40/2015.
Oui, et il convient de le faire avant de préparer votre offre. L'article 38.2 du RD 311/2022 impose aux responsables de rendre publiques les déclarations et certifications de conformité sur leurs portails internet ou sièges électroniques. L'Ayuntamiento de Madrid publie son certificat de conformité via son Centro de Ciberseguridad, et Madrid Digital publie les siens : l'ENS-2024/0013, en catégorie MOYENNE, valable jusqu'au 7 février 2027, dont le périmètre est l'hébergement de ses systèmes d'information, la Plataforma Electrónica de Expedientes y Procedimientos Administrativos et la gestion des accès distants au réseau corporatif (ARCO) ; et l'ENS-2024/0011, en catégorie BASIQUE, limité au service « Paso a Producción » de ces systèmes, valable du 7 février 2024 au 7 février 2026. Il convient de vérifier l'état en vigueur au moment de préparer l'offre.
Il n'y a pas de règle automatique. La catégorie de votre système se détermine par l'impact qu'aurait un incident sur les informations et les services que vous gérez, évalué sur les cinq dimensions de l'article 40.2 et selon la procédure de l'Annexe I. Connaître la catégorie de l'acheteur aide à anticiper la conversation et à ne pas surdimensionner, mais la catégorisation de votre système vous appartient et doit être justifiée.
Non. C'est une confusion fréquente qu'il convient de dissiper : ni « MAGERIT » ni « PILAR » n'apparaissent dans le dispositif du RD 311/2022. Ce sont la méthodologie d'analyse et de gestion des risques et l'outil associé du Centro Criptológico Nacional, maintenus par le Centro Criptológico Nacional lui-même. On les utilise parce qu'ils sont la référence de fait du secteur public espagnol et parce qu'ils produisent un résultat traçable que les équipes techniques de l'administration reconnaissent, pas parce que la norme les impose.
Elle est fixée par l'article 38.1 du RD 311/2022. Les systèmes de catégorie BASIQUE ne requièrent qu'une auto-évaluation pour leur déclaration de conformité, sans préjudice de la possibilité de se soumettre également à un audit de certification. Les systèmes de catégorie MOYENNE ou ÉLEVÉE nécessitent un audit pour la certification de leur conformité. L'auto-évaluation comme l'audit sont réalisés conformément à l'article 31 et à l'Annexe III.
Nous faisons le volet technique : périmètre, catégorisation, analyse des risques, mise en œuvre des mesures de l'Annexe II, durcissement, supervision et dossier de preuves. Reste en dehors la délivrance du certificat, qui revient à un tiers ; l'article 38.1 renvoie à l'Instruction Technique de Sécurité correspondante pour les exigences applicables aux organismes certificateurs.