L'article 2 du RD 311/2022 ne laisse aucune place à l'interprétation : l'Esquema Nacional de Seguridad (ENS) s'applique aussi aux entités privées qui, en vertu d'une relation contractuelle, fournissent des services ou des solutions à des organismes du secteur public pour l'exercice par ces dernières de leurs compétences et prérogatives administratives. À Séville, cela concerne les fournisseurs de la Junta de Andalucía — dont la Présidence a son siège au Palacio de San Telmo —, de la Diputación de Sevilla, de l'Ayuntamiento de Sevilla, de l'Universidad de Sevilla et de l'Universidad Pablo de Olavide. La disposition transitoire unique a fixé au 5 mai 2024 la date limite de mise en conformité pour les systèmes déjà en exploitation ; les nouveaux systèmes doivent être conformes dès leur mise en production, et l'absence de conformité peut exclure une entreprise des marchés publics de l'un quelconque de ces organismes.
Summum Sistemas prend en charge le volet qui lui est propre : la mise en œuvre technique réelle des mesures de sécurité de l'Annexe II du RD 311/2022. Cette annexe organise 73 mesures en trois cadres — organisationnel, opérationnel et de protection — répartis en 16 familles, dont sept relèvent du bloc opérationnel, qui comprend la famille op.nub pour les services en nuage, particulièrement pertinente pour les fournisseurs SaaS qui servent des organismes andalous via une infrastructure cloud. Rédiger une politique de sécurité ne suffit pas : il faut configurer les systèmes, durcir les services, déployer la supervision, gérer les vulnérabilités et produire une preuve technique vérifiable que chaque mesure est effectivement en place.
Le point de départ de toute mise en conformité sérieuse est l'analyse des risques. L'ENS exige que la sélection des mesures de l'Annexe II repose sur une analyse formelle, proportionnée à la catégorie du système. Summum Sistemas applique la méthodologie MAGERIT du CCN — la référence officielle pour l'analyse des risques dans le cadre de l'Administration publique espagnole — et la met en œuvre avec l'outil PILAR, qui modélise actifs, menaces et sauvegardes de façon traçable et génère le rapport de risque résiduel qu'attendent les auditeurs de conformité. Pour vérifier le niveau d'implantation mesure par mesure, nous utilisons également INES (Informe Nacional del Estado de la Seguridad), la plateforme d'autoévaluation du CCN qui produit le tableau d'état par famille et étaye la déclaration de conformité. Une précision qui se répète souvent de travers : le RD 311/2022 ne nomme ni MAGERIT, ni PILAR, ni l'ENAC dans son dispositif. Ce sont la méthodologie et l'outil du Centro Criptológico Nacional et l'organisme national d'accréditation ; nous les utilisons parce qu'ils sont la référence de fait du secteur public, non parce que la norme les impose.