Selon ce qu'affirme ISTEC elle-même dans une note de sa salle de presse du 14 mai 2026, la Generalitat Valenciana a certifié en catégorie ÉLEVÉE de l'Esquema Nacional de Seguridad son infrastructure de services de confiance et de certification électronique : ISTEC déclare avoir renouvelé « la certification au niveau le plus élevé de l'Esquema Nacional de Seguridad » et être « la seule entité du secteur public instrumental détenant cette certification en catégorie élevée » dans la Comunitat Valenciana. Nous n'avons pas vérifié cela dans le catalogue des entités certifiées du CCN, et la note ne publie pas la fenêtre de validité ; nous le présentons donc comme une déclaration de l'entité elle-même, non comme un fait vérifié par nos soins. Pour un fournisseur technologique, cela a une lecture très concrète : si votre application signe, scelle ou valide des documents auprès de cette infrastructure, vous interopérez avec un système de catégorie ÉLEVÉE, et les exigences cryptographiques et d'interconnexion qui vous parviendront ne sont pas celles d'un environnement quelconque. Summum Sistemas met en œuvre techniquement les mesures de l'Annexe II du RD 311/2022 qui rendent cette intégration possible.
La carte du secteur public dans la province de Valencia est formée par la Generalitat Valenciana et ses consellerias, la Diputació de València, l'Ajuntament de València et le reste des mairies, l'Universitat de València et l'Universitat Politècnica de València, et l'administration sanitaire. Toutes sont des entités du secteur public au sens de l'article 2.1 du RD 311/2022, qui renvoie à l'article 2 de la Loi 40/2015. Ce qui singularise ce marché n'est pas le nombre d'acheteurs mais le niveau du système horizontal auquel presque tout finit par s'intégrer : les services de signature et de certification électronique de la Generalitat, certifiés en catégorie ÉLEVÉE. Lorsque le maillon central de la chaîne est en catégorie ÉLEVÉE, les exigences techniques descendent dans le cahier des charges avec ce niveau de détail.
La conséquence pratique se trouve dans deux guides du Centro Criptológico Nacional qu'il convient d'avoir sur la table dès la conception, pas seulement au moment de l'audit. La CCN-STIC-807, « Cryptologie d'usage dans l'ENS », fixe les algorithmes admissibles : TLS 1.2 comme version minimale, TLS 1.3 recommandé, TLS 1.0 et 1.1 interdits ; AES-256 en mode GCM comme chiffrement symétrique recommandé ; SHA-256 au minimum pour les catégories MOYENNE et ÉLEVÉE, SHA-384 ou 512 recommandé pour ÉLEVÉE ; signature RSA d'au moins 3072 bits recommandée ou courbe elliptique P-256 ou supérieure ; et HSM recommandé en catégorie ÉLEVÉE. La CCN-STIC-811, « Interconnexion dans l'ENS », recommande une DMZ en catégories MOYENNE et ÉLEVÉE et situe l'IDS/IPS comme recommandé en catégorie ÉLEVÉE, avec séparation des zones et refus par défaut au périmètre. Aucun des deux guides n'est le décret royal lui-même : ce sont le développement technique du CCN, et il convient de les citer comme tels.
L'obligation de fond pour l'entreprise privée reste inscrite à l'article 2.3 du RD 311/2022, qui étend le décret royal aux systèmes d'information des entités du secteur privé — y compris l'obligation de disposer de la politique de sécurité de l'article 12, approuvée par l'organe détenant les compétences exécutives les plus élevées — lorsqu'elles fournissent des services ou des solutions au secteur public, en vertu d'une relation contractuelle, pour l'exercice par ces entités de leurs compétences et prérogatives administratives, et atteint également la chaîne d'approvisionnement du prestataire. Sur cette base, le travail est un travail d'ingénierie : catégorisation selon l'Annexe I en évaluant l'impact sur les cinq dimensions de l'article 40.2, analyse des risques avec MAGERIT modélisée dans PILAR, et mise en œuvre vérifiable des mesures de l'Annexe II, avec une attention particulière à mp.com, protection des communications.
Nous déterminons quelles parties de votre solution interopèrent avec l'infrastructure régionale de signature et de certification électronique et quelles exigences cryptographiques et d'interconnexion en découlent. C'est la décision de conception qui conditionne le plus le reste du projet.
Nous fixons la catégorie en évaluant l'impact sur les cinq dimensions de l'article 40.2 et exécutons l'analyse des risques avec MAGERIT modélisée dans PILAR, la méthodologie et l'outil du CCN, en documentant le risque résiduel et les critères d'acceptation.
Nous ajustons algorithmes, versions de protocole, gestion des clés et des certificats à la CCN-STIC-807, et concevons zones, DMZ, filtrage et détection conformément à la CCN-STIC-811 dans la mesure où la catégorie du système l'exige.
Nous préparons le dossier de preuves et la voie de l'article 38.1 : auto-évaluation pour la déclaration de conformité en catégorie BASIQUE — pouvant également faire l'objet d'un audit de certification — et audit pour la certification en MOYENNE et ÉLEVÉE, selon l'article 31 et l'Annexe III.
Le détail opérationnel : ce que nous livrons dans le cadre du travail et ce que nous maintenons vivant ensuite.
Conception de l'intégration avec les services de confiance
Analyse des points d'intégration avec l'infrastructure de signature et de certification électronique et des exigences techniques qui en découlent, résolue dès la conception plutôt qu'au moment de l'audit.
Catégorisation et analyse des risques
Catégorie justifiée selon l'Annexe I sur les cinq dimensions de l'article 40.2, et analyse des risques avec MAGERIT modélisée dans PILAR.
Configuration cryptographique conforme à la CCN-STIC-807
Algorithmes et versions admissibles, gestion des clés et des certificats : TLS 1.2 au minimum avec TLS 1.3 recommandé, AES-256, SHA-256 ou supérieur selon la catégorie, et HSM lorsque le système est de catégorie ÉLEVÉE.
Interconnexion et segmentation conformes à la CCN-STIC-811
Zonage, DMZ en catégories MOYENNE et ÉLEVÉE, refus par défaut au périmètre, filtrage sortant et détection d'intrusion là où la catégorie l'exige.
Protection des communications (mp.com) et des supports (mp.si)
Mise en œuvre des mesures de la famille mp.com — y compris la séparation des flux d'information sur le réseau lorsqu'elle est exigible — et de protection des supports et de l'information.
Dossier de preuves et préparation de la révision externe
Configurations, journaux d'audit, résultats d'analyses de vulnérabilités et procès-verbaux de tests, révisés au préalable au regard de l'Annexe III avant d'exposer le système à l'audit ou à l'auto-évaluation.
Le volet technique de Summum Sistemas et le volet gestion de Summum Calidad sont coordonnés pour que la déclaration d'applicabilité décrive le système réellement mis en œuvre. Dans les intégrations avec des services de confiance, où le détail cryptographique est révisé en profondeur, cette cohérence est ce qui évite les constats lors de la révision externe.
Service ENS principal de Summum Sistemas : vue d'ensemble complète de l'accompagnement technique à la conformité ENS pour les fournisseurs de l'Administration, avec le catalogue complet des familles de mesures, des méthodologies CCN et des voies de conformité disponibles.
Voir le service → calidadSummum Calidad s'occupe du volet normatif et de gestion de la mise en conformité à l'ENS à Valencia : catégorisation, Déclaration d'Applicabilité intégrée à l'ISO 27001 et politique de sécurité pour les fournisseurs de la Generalitat Valenciana. Le travail technique de Sistemas et le travail documentaire de Calidad sont coordonnés pour couvrir l'ENS dans sa totalité.
Voir le service →Pas automatiquement. Votre catégorie se détermine selon l'Annexe I par l'impact qu'aurait un incident sur les informations et les services que vous gérez, évalué sur les cinq dimensions de l'article 40.2. Ce qui se produit, en revanche, c'est que les exigences techniques concrètes de l'intégration — algorithmes, protocoles, gestion des certificats, segmentation — vous seront exigées au niveau du système avec lequel vous interopérez, même si votre catégorisation globale est inférieure.
Le guide CCN-STIC-807, « Cryptologie d'usage dans l'ENS », du Centro Criptológico Nacional, fixe TLS 1.2 comme version minimale et recommande TLS 1.3 ; TLS 1.0 et 1.1 sont interdits, et seules les suites de chiffrement avec forward secrecy sont admises. Le même guide indique AES-256-GCM comme chiffrement symétrique recommandé et interdit 3DES, MD5 et SHA-1. Il convient de consulter la version en vigueur du guide, car ces paramètres sont mis à jour.
Selon le guide CCN-STIC-807 du CCN, l'usage d'un HSM est recommandé pour les systèmes de catégorie ÉLEVÉE. Dans les catégories inférieures, l'analyse des risques peut également le recommander lorsque la garde des clés est un point critique du service. La catégorie du système se détermine selon l'Annexe I du RD 311/2022 et la procédure de l'article 40.
Cela dépend de la catégorie. Le guide CCN-STIC-811, « Interconnexion dans l'ENS », recommande la DMZ en catégories MOYENNE et ÉLEVÉE, et situe l'IDS/IPS comme recommandé en catégorie ÉLEVÉE, en plus de recommander des pare-feux aux points de connexion externe avec refus par défaut et journalisation du trafic. La conception concrète des zones découle de l'analyse des risques et du périmètre du système.
Non. Ni « MAGERIT » ni « PILAR » n'apparaissent dans le dispositif du RD 311/2022. Le décret royal exige une analyse et une gestion des risques (article 14) mais n'impose pas de méthodologie particulière. MAGERIT est la méthodologie de référence du Centro Criptológico Nacional et PILAR son outil associé, maintenus par le Centro Criptológico Nacional lui-même ; nous les utilisons parce qu'ils sont la référence de fait du secteur public espagnol et parce que leur résultat est traçable et reconnaissable par l'auditeur.
Non. Nous réalisons la mise en œuvre technique et la préparation du dossier. La détermination de la conformité suit la voie de l'article 38.1 du RD 311/2022 — auto-évaluation en catégorie BASIQUE, pouvant également faire l'objet d'un audit de certification, et audit de certification en MOYENNE et ÉLEVÉE — et les exigences applicables aux organismes certificateurs sont précisées par l'Instruction Technique de Sécurité prévue par ce même article.