Mise en œuvre technique de l'ENS à Tenerife

Oui. L'article 2 du RD 311/2022 établit que l'ENS s'applique aux entités du secteur public et aux systèmes d'information des prestataires qui leur fournissent des services ou des solutions. Le Cabildo de Tenerife, les mairies de l'île et l'Universidad de La Laguna sont des entités du secteur public soumises à l'ENS. Leurs contractants technologiques — éditeurs de logiciels, fournisseurs de services cloud, sociétés de maintenance, sous-traitants de traitement de données — doivent se conformer au même niveau que les systèmes de l'Administration qu'ils servent. Le régime fiscal spécial des Canaries (IGIC au lieu de TVA) ne modifie pas cette obligation : l'ENS est une réglementation nationale applicable sur l'ensemble du territoire espagnol, y compris l'archipel.

MAGERIT est la Méthodologie d'Analyse et de Gestion des Risques des Systèmes d'Information, élaborée par l'ancien ministère des Administrations publiques et maintenue par le CCN. Le RD 311/2022 n'impose pas explicitement MAGERIT, mais le guide CCN-STIC 803 (Valorisation des systèmes dans l'ENS) établit MAGERIT comme référence méthodologique officielle pour l'analyse de risques et la catégorisation du système. L'outil PILAR, développé par le CCN, met en œuvre MAGERIT de manière automatisée et génère des rapports de risque dans le format attendu par les auditeurs de conformité accrédités par l'ENAC. Utiliser MAGERIT et PILAR n'est pas une obligation légale explicite, mais c'est la voie qui garantit traçabilité, reproductibilité et acceptation dans le processus de certification.

Pour les systèmes de catégorie de base, l'organisation peut auto-évaluer sa conformité à l'ENS et émettre sa propre déclaration de conformité, en suivant la procédure de la CCN-STIC 809. Aucun tiers externe n'est requis : la responsabilité incombe à l'organisation elle-même. Pour les systèmes de catégorie moyenne ou haute, la conformité doit être certifiée par un organisme d'inspection accrédité par l'ENAC conformément à la norme UNE-EN ISO/IEC 17065. Summum Sistemas n'émet aucun certificat de conformité — c'est la compétence exclusive des entités accréditées par l'ENAC ; notre rôle est de préparer les systèmes pour qu'ils passent ce processus avec les preuves techniques en ordre.

Oui, et de plus en plus. La famille op.nub de l'Annexe II régit les exigences de sécurité lorsque les systèmes dans le périmètre utilisent de l'infrastructure, de la plateforme ou du logiciel en tant que service de tiers. Pour un prestataire qui fournit une application SaaS au Cabildo de Tenerife ou à l'Universidad de La Laguna avec cette application hébergée chez un fournisseur cloud, op.nub exige de documenter le modèle de responsabilité partagée, de vérifier les contrôles applicables au locataire et de s'assurer que le fournisseur cloud dispose des certifications ou rapports de sécurité — comme le label ENS du CCN pour les fournisseurs cloud — qui permettent de faire confiance à la chaîne de garde. Summum Sistemas examine et documente cet aspect dans le cadre de la mise en œuvre technique.

Cela dépend de la catégorie du système, du niveau de maturité technique préalable et du nombre de systèmes dans le périmètre. Pour un prestataire avec des systèmes de catégorie de base et des pratiques de sécurité partiellement mises en œuvre, la mise en œuvre technique peut être achevée en trois à cinq mois. Pour la catégorie moyenne, avec des systèmes plus complexes et sans durcissement préalablement documenté, le délai habituel est de six à douze mois, incluant l'analyse MAGERIT/PILAR, la mise en œuvre des mesures techniques et la compilation du dossier de preuves. Dans tous les cas, la coordination avec Summum Calidad sur le plan documentaire se fait en parallèle, sans allonger le délai global.

Le régime de l'IGIC (Impuesto General Indirecto Canario) s'applique aux entreprises établies aux Canaries qui fournissent des services dans l'archipel. Dans les contrats entre une entreprise technologique canarienne et un organisme public canarien (Cabildo, mairie, ULL), la facturation est régie par les règles de l'IGIC, et non par la TVA continentale. Cela affecte la fiscalité des services de mise en œuvre technique ENS que Summum Sistemas fournit à Tenerife, mais ne modifie ni le contenu des exigences ENS ni le calendrier de mise en conformité. Le RD 311/2022 s'applique sur l'ensemble du territoire national indépendamment du régime fiscal régional.