Dans la province de Málaga, le volume des marchés technologiques du secteur public n'est pas concentré chez un seul organisme : il est réparti entre les mairies de la province, la Diputación Provincial, la Junta de Andalucía via sa délégation territoriale, l'Universidad de Málaga et le service andalou de santé. La Diputación de Málaga fournit une assistance technique aux entités locales de la province pour leur mise en conformité à l'Esquema Nacional de Seguridad, et l'Ayuntamiento de Málaga lui-même publie sur son siège électronique son certificat de conformité ENS en catégorie BASIQUE. Cela dessine un marché avec une caractéristique très concrète : la plupart des systèmes avec lesquels vous allez interopérer sont de catégorie BASIQUE, et là, la voie de conformité est la déclaration, pas la certification. Summum Sistemas met en œuvre le volet technique qui la soutient.
Travailler avec l'administration locale a des conséquences techniques qu'il convient de comprendre avant de dimensionner un projet. Les mairies moyennes et petites ont rarement une équipe de cybersécurité propre ; elles s'appuient sur l'assistance technique de la Diputación et sur des prestataires externes. Cela signifie qu'en pratique, une grande partie de la charge d'attester la conformité retombe sur le fournisseur. Et le RD 311/2022 le prévoit : son article 2.3 applique le décret royal aux systèmes d'information des entités du secteur privé — y compris l'obligation de disposer de la politique de sécurité de l'article 12 — lorsqu'elles fournissent des services ou des solutions à des entités du secteur public, en vertu d'une relation contractuelle, pour l'exercice par ces dernières de leurs compétences et prérogatives administratives, et impose que les cahiers des charges prévoient les exigences nécessaires pour garantir cette conformité, en mentionnant expressément les Déclarations ou Certifications de Conformité.
La catégorie BASIQUE est la véritable porte d'entrée de ce marché, et mérite d'être précisée car elle est mal interprétée dans deux sens. D'une part, « basique » ne signifie pas peu de choses : l'Annexe II du RD 311/2022 regroupe 73 mesures en 16 familles et trois cadres, et une partie substantielle d'entre elles est déjà exigible à cette catégorie, y compris op.nub.1, « Protection des services en nuage », qui s'applique dès la catégorie BASIQUE. D'autre part, « basique » change bien la voie de conformité, ce qui allège et raccourcit le processus : l'article 38.1 établit que les systèmes de catégorie BASIQUE ne requièrent qu'une auto-évaluation pour leur déclaration de conformité — sans préjudice de la possibilité de se soumettre également à un audit de certification —, tandis que ceux de catégorie MOYENNE ou ÉLEVÉE nécessitent un audit pour la certification. Pour une PME technologique qui veut entrer dans les marchés municipaux, cette différence est ce qui rend le projet viable.
Dans un environnement municipal, le travail technique se concentre là où se trouvent les constats réels : la famille op.exp du cadre opérationnel — inventaire des actifs, configuration de sécurité, gestion des changements, protection contre le code malveillant, journalisation de l'activité — et le contrôle d'accès op.acc. À cela s'ajoutent l'analyse des risques avec MAGERIT modélisée dans PILAR, la méthodologie et l'outil du Centro Criptológico Nacional, et la configuration cryptographique de la CCN-STIC-807. La catégorisation se fait selon l'Annexe I, en évaluant l'impact sur les cinq dimensions énumérées à l'article 40.2 : disponibilité, authenticité, intégrité, confidentialité et traçabilité. Rien de tout cela ne change d'une province à l'autre ; ce qui change, c'est l'échelle d'application et le budget disponible.
Nous délimitons le périmètre sans le gonfler. Dans les projets avec des mairies, un périmètre mal défini est la première cause de surcoût : un système qui, bien délimité, serait BASIQUE finit catégorisé MOYENNE, avec le changement de voie de conformité que cela implique.
Nous fixons la catégorie en évaluant l'impact sur les cinq dimensions de l'article 40.2 et en suivant la procédure de l'Annexe I. La justification est documentée, car c'est la première chose révisée lorsque quelqu'un conteste qu'un système soit de catégorie BASIQUE.
Nous nous concentrons là où se trouvent les constats dans les environnements municipaux : op.exp (inventaire, configuration de sécurité, gestion des changements, protection contre le code malveillant, journalisation de l'activité), op.acc (contrôle d'accès) et mp.com, avec une cryptographie ajustée à la CCN-STIC-807.
Nous préparons l'auto-évaluation qu'exige l'article 38.1 pour la déclaration de conformité en catégorie BASIQUE, réalisée conformément à l'article 31 et à l'Annexe III, avec le dossier de preuves qui l'appuie.
Le détail opérationnel : ce que nous livrons dans le cadre du travail et ce que nous maintenons vivant ensuite.
Délimitation du périmètre et catégorisation justifiée
Périmètre ENS défini et catégorie argumentée selon l'Annexe I, avec l'évaluation d'impact sur les cinq dimensions de l'article 40.2 documentée service par service.
Analyse des risques MAGERIT modélisée dans PILAR
Avec MAGERIT et PILAR, la méthodologie et l'outil du CCN : actifs, menaces, sauvegardes et risque résiduel, dimensionnés à la taille réelle du système et non selon un modèle générique.
Mesures d'exploitation (op.exp) mises en œuvre et vérifiables
Inventaire des actifs, configuration de sécurité, gestion des changements, protection contre le code malveillant et journalisation de l'activité, qui sont les mesures révisées en premier dans un environnement municipal.
Contrôle d'accès et protection des communications
Mise en œuvre d'op.acc — identification, authentification, gestion des privilèges — et de mp.com, avec la configuration cryptographique de la CCN-STIC-807 : TLS 1.2 comme version minimale, AES-256, SHA-256 ou supérieur.
Mise en conformité cloud (op.nub) même en catégorie BASIQUE
Vérification d'op.nub.1, « Protection des services en nuage », qui s'applique déjà dès la catégorie BASIQUE : conditions contractuelles avec le fournisseur et répartition réelle des responsabilités.
Auto-évaluation et dossier de déclaration de conformité
Préparation de l'auto-évaluation conformément à l'article 31 et à l'Annexe III, et du dossier qui soutient la déclaration de conformité prévue à l'article 38.1 pour la catégorie BASIQUE.
Summum Sistemas réalise la mise en œuvre technique et Summum Calidad le volet gestion : politique de sécurité, déclaration d'applicabilité et dossier normatif. Dans les projets municipaux, où le budget est serré, préparer les deux volets en même temps évite de payer deux fois pour le même relevé d'information.
Service ENS principal de Summum Sistemas : vue d'ensemble complète de l'accompagnement technique à la conformité ENS pour les fournisseurs de l'Administration, avec le catalogue complet des familles de mesures, des méthodologies CCN et des voies de conformité disponibles.
Voir le service → calidadSummum Calidad s'occupe du volet normatif et de gestion : catégorisation, Déclaration d'Applicabilité, politique de sécurité et intégration avec l'ISO 27001. Le travail technique de Sistemas et le travail documentaire de Calidad sont coordonnés pour couvrir l'ENS dans sa totalité.
Voir le service →Non. Cela signifie que la voie de conformité est plus légère, pas que les mesures disparaissent. L'Annexe II du RD 311/2022 comporte 73 mesures en 16 familles et trois cadres, et une part substantielle est déjà exigible en catégorie BASIQUE — y compris op.nub.1, « Protection des services en nuage ». Ce qui change avec la catégorie, c'est le niveau d'exigence de chaque mesure et les renforcements applicables, que l'annexe elle-même numérote à partir de R1.
Chacun pour ce qui le concerne. L'entité locale répond de ses propres systèmes, et dispose pour cela de l'assistance technique que la Diputación de Málaga fournit aux entités locales de la province. Vous répondez des vôtres : l'article 2.3 du RD 311/2022 applique l'ENS aux systèmes des entités privées qui fournissent des services ou des solutions au secteur public, par relation contractuelle, pour l'exercice par ces dernières de leurs compétences et prérogatives administratives. En pratique, quand le client n'a pas d'équipe propre, c'est le fournisseur qui finit par porter la conversation technique.
L'article 38.1 du RD 311/2022 le distingue clairement : les systèmes de catégorie BASIQUE ne requièrent qu'une auto-évaluation pour leur déclaration de conformité, tandis que ceux de catégorie MOYENNE ou ÉLEVÉE nécessitent un audit pour la certification. Les deux procédures sont réalisées conformément à l'article 31 et à l'Annexe III. Un système de catégorie BASIQUE peut se soumettre volontairement à un audit de certification si cela présente un intérêt commercial.
L'article 38.2 du RD 311/2022 impose de rendre publiques les déclarations et certifications de conformité sur les portails internet ou sièges électroniques correspondants. Cette obligation s'adresse aux responsables des systèmes d'information relevant du champ de l'article 2. En pratique commerciale, montrer sa conformité est aussi un argument de vente face à une mairie qui doit démontrer la sienne.
Oui. La mesure op.nub.1, « Protection des services en nuage », de l'Annexe II s'applique dès la catégorie BASIQUE et se renforce en MOYENNE et ÉLEVÉE. De plus, l'article 2.3 étend l'exigence de conformité à la chaîne d'approvisionnement du prestataire. Il faut documenter comment cette mesure est couverte sur l'infrastructure contractée et quelle part de responsabilité vous assumez face au fournisseur cloud.
Non. Nous réalisons la mise en œuvre technique et préparons l'auto-évaluation et le dossier de preuves. La certification est délivrée par un tiers, et l'article 38.1 renvoie à l'Instruction Technique de Sécurité correspondante pour préciser les exigences applicables aux organismes certificateurs.