Séville concentre les services centraux de la Junta de Andalucía, ce qui signifie que les systèmes avec lesquels un fournisseur technologique finit par s'intégrer ne sont pas des applications départementales isolées : ce sont des plateformes horizontales qui desservent toute la communauté. Le système GUIA, de gestion unifiée des identités, a obtenu la certification de conformité à l'ENS en catégorie MOYENNE — certificat CERT-ENS-24309, délivré le 26 mai 2024 avec une validité de deux ans, si bien que cette fenêtre a expiré en mai 2026 et la Junta n'a pas publié de renouvellement ; il convient d'en vérifier l'état en vigueur avant de s'y référer. Lorsque vous vous intégrez à un système certifié en MOYENNE, la voie de conformité qu'on vous demandera cesse d'être l'auto-évaluation : l'article 38.1 du RD 311/2022 exige un audit pour la certification en catégories MOYENNE et ÉLEVÉE. Summum Sistemas prépare techniquement ce saut.
La différence entre catégorie BASIQUE et MOYENNE n'est pas une nuance : elle change la procédure, le coût et le calendrier. L'article 38.1 du RD 311/2022 établit que les systèmes de catégorie MOYENNE ou ÉLEVÉE « nécessiteront un audit pour la certification de leur conformité, sans préjudice de l'audit de sécurité prévu à l'article 31, qui pourra également servir aux fins de la certification », tandis que ceux de catégorie BASIQUE « ne requerront qu'une auto-évaluation pour leur déclaration de conformité, sans préjudice de la possibilité de se soumettre également à un audit de certification ». Un fournisseur qui s'intègre à des plateformes horizontales de la Junta découvre souvent trop tard que sa catégorisation monte et que l'auto-évaluation sur laquelle il comptait ne suffit plus. L'anticiper fait la différence entre planifier un audit et le subir.
La catégorie ne s'hérite pas automatiquement, mais elle se propage bien par l'impact. La catégorisation se fait selon l'Annexe I, en évaluant l'impact qu'aurait un incident sur l'information et les services, sur les cinq dimensions énumérées à l'article 40.2 : disponibilité, authenticité, intégrité, confidentialité et traçabilité. Si votre système traite des identités, intervient dans l'authentification des citoyens ou soutient un service dont d'autres dépendent, ces dimensions sont évaluées haut et la catégorie monte de son propre poids. À cela s'ajoute ce qui arrive par contrat : l'article 2.3 étend l'ENS aux systèmes des entités du secteur privé lorsque, en vertu d'une relation contractuelle, elles fournissent des services ou des solutions au secteur public « pour l'exercice par ces dernières de leurs compétences et prérogatives administratives », et impose que les cahiers des charges prévoient les exigences nécessaires pour garantir la conformité ENS des systèmes sur lesquels reposent les services des prestataires, en étendant cette précaution à la chaîne d'approvisionnement.
En catégorie MOYENNE, l'Annexe II active des mesures et des renforcements qui n'étaient pas exigibles en BASIQUE, et le poids se fait surtout sentir sur le contrôle d'accès (op.acc), la supervision (op.mon), la continuité (op.cont) et la protection des communications (mp.com). Les guides du Centro Criptológico Nacional précisent le niveau : la CCN-STIC-811 recommande une DMZ en catégories MOYENNE et ÉLEVÉE et la séparation des zones, et la CCN-STIC-807 fixe les algorithmes admissibles, avec SHA-256 au minimum pour MOYENNE et ÉLEVÉE et TLS 1.2 comme version minimale dans tous les cas. Nous exécutons l'analyse des risques avec MAGERIT modélisée dans PILAR, la méthodologie et l'outil du CCN ; il convient de rappeler que cette méthodologie et cet outil appartiennent au CCN et ne figurent pas dans le dispositif du RD, qui n'impose pas de méthodologie particulière.
Avant de nous engager sur des délais, nous évaluons si l'intégration avec les plateformes horizontales de la Junta fait passer votre système de BASIQUE à MOYENNE. C'est la décision qui conditionne le plus le budget, car elle entraîne l'audit de certification de l'article 38.1.
Nous appliquons l'Annexe I en évaluant l'impact sur les cinq dimensions de l'article 40.2, et exécutons l'analyse des risques avec MAGERIT modélisée dans PILAR, avec risque résiduel et critères d'acceptation documentés.
Nous mettons en œuvre ce que la catégorie MOYENNE active et que BASIQUE n'exigeait pas : renforcements du contrôle d'accès, de la supervision, de la continuité et des communications. Cela inclut la segmentation et la DMZ que la CCN-STIC-811 recommande en MOYENNE et ÉLEVÉE, et la configuration cryptographique de la CCN-STIC-807.
Nous révisons le système au regard de l'Annexe III, corrigeons les écarts et organisons le dossier de preuves dans l'ordre où il est révisé. L'objectif est d'arriver à l'audit de l'article 38.1 sans constats obligeant à un second cycle.
Le détail opérationnel : ce que nous livrons dans le cadre du travail et ce que nous maintenons vivant ensuite.
Avis de catégorie avant d'engager le budget
Évaluation préalable de la question de savoir si l'intégration avec des systèmes horizontaux certifiés en MOYENNE entraîne votre propre catégorisation vers le haut, avec la justification selon l'Annexe I et l'article 40.2.
Analyse des risques MAGERIT modélisée dans PILAR
Avec MAGERIT et PILAR, du Centro Criptológico Nacional, avec inventaire des actifs, dépendances, menaces, sauvegardes et risque résiduel, avec une mise à jour au moins annuelle ou en cas de changement significatif.
Renforcements du contrôle d'accès (op.acc)
Mise en œuvre de l'identification, de l'authentification des utilisateurs externes et de l'organisation, de la gestion des privilèges et de l'accès distant avec les renforcements qu'active la catégorie MOYENNE, où se concentrent les constats dans les intégrations d'identité.
Supervision et continuité proportionnées à la catégorie
Détection d'intrusion, journalisation et surveillance (op.mon), et analyse d'impact et plan de continuité (op.cont) dans la mesure où la catégorie du système l'exige.
Segmentation, interconnexion et cryptographie
Conception des zones et de la DMZ selon la CCN-STIC-811, recommandée en MOYENNE et ÉLEVÉE, et configuration cryptographique selon la CCN-STIC-807 : TLS 1.2 au minimum et SHA-256 ou supérieur en MOYENNE et ÉLEVÉE.
Préparation complète de l'audit de certification
Révision préalable au regard de l'Annexe III, clôture des écarts et dossier de preuves ordonné : configurations, journaux d'audit, résultats d'analyses de vulnérabilités et procès-verbaux de tests.
Dans un dossier de catégorie MOYENNE, le volet technique de Summum Sistemas et le volet gestion de Summum Calidad doivent arriver coordonnés à l'audit : la déclaration d'applicabilité doit décrire le système réellement mis en œuvre. Lorsque les deux sont préparés séparément, l'incohérence entre document et système est le constat le plus fréquent.
Service ENS principal de Summum Sistemas : vue d'ensemble complète de l'accompagnement technique à la conformité ENS pour les fournisseurs de l'Administration, avec le catalogue complet des familles de mesures, des méthodologies CCN et des voies de conformité disponibles.
Voir le service → calidadSummum Calidad accompagne la mise en conformité à l'ENS à Séville depuis le système de gestion : catégorisation, Déclaration d'Applicabilité intégrée à l'ISO 27001 et préparation de la déclaration ou de la certification de conformité pour les fournisseurs de la Junta de Andalucía et des institutions sévillanes.
Voir le service → sistemasMise en conformité technique à l'ENS à Valladolid, dans le contexte de la Junta de Castilla y León et de l'Ayuntamiento de Valladolid : la même rigueur technique MAGERIT/PILAR/INES adaptée à l'écosystème de marchés publics de Valladolid.
Voir le service →Pas automatiquement, mais c'est ce qui se produit généralement. La catégorie de votre système se détermine selon l'Annexe I en évaluant l'impact d'un incident sur les cinq dimensions de l'article 40.2. Si votre système traite des identités, intervient dans l'authentification ou soutient un service dont d'autres dépendent, ces dimensions sont évaluées haut et la catégorie monte de son propre poids. De plus, le cahier des charges peut l'exiger directement en vertu de l'article 2.3.
Deux choses changent. La première, la voie de conformité : l'article 38.1 du RD 311/2022 exige un audit pour la certification en MOYENNE et ÉLEVÉE, contre la simple auto-évaluation pour la déclaration de conformité en BASIQUE — qui peut néanmoins également faire l'objet d'un audit de certification si cela présente un intérêt à l'attester. La seconde, le contenu : l'Annexe II active des mesures qui n'étaient pas exigibles en BASIQUE et ajoute des renforcements à celles qui l'étaient déjà, numérotés à partir de R1 selon la mesure.
Il peut servir. L'article 38.1 le dit expressément : l'audit pour la certification est exigé « sans préjudice de l'audit de sécurité prévu à l'article 31, qui pourra également servir aux fins de la certification ». Tant la procédure d'auto-évaluation que l'audit de certification sont réalisés conformément à l'article 31 et à l'Annexe III, et dans les termes que fixe l'Instruction Technique de Sécurité correspondante.
Le RD 311/2022 ne nomme dans son dispositif aucune entité concrète ni aucun schéma d'accréditation spécifique. L'article 38.1 renvoie à l'Instruction Technique de Sécurité correspondante, qui « précisera également les exigences applicables aux organismes certificateurs ». Il convient donc de vérifier les exigences en vigueur au moment de contracter l'audit, plutôt que de les tenir pour acquises.
L'Annexe II comporte 73 mesures réparties en 16 familles et trois cadres : organisationnel, opérationnel et de protection. Chaque mesure porte un niveau d'exigence par catégorie, pouvant aller de « non applicable » à l'application avec renforcements. Le nombre exact qui s'applique à vous dépend de la catégorie et du périmètre de votre système, et découle de l'analyse des risques : donner un chiffre avant de catégoriser et d'analyser reviendrait à l'inventer.
Non, et il est important de ne pas confondre les rôles. Nous faisons la mise en œuvre technique et la préparation : catégorisation, analyse des risques, mesures de l'Annexe II, révision préalable au regard de l'Annexe III et dossier de preuves. L'audit de certification est réalisé par un tiers, dans les termes que fixe l'Instruction Technique de Sécurité prévue à l'article 38.1.