L'Aragon a résolu son administration électronique en la concentrant dans une entité publique unique : Aragonesa de Servicios Telemáticos (AST), qui a annoncé le 11 mai 2026 le renouvellement de sa certification à l'Esquema Nacional de Seguridad en catégorie ÉLEVÉE, catégorie qu'elle détient, selon AST elle-même, depuis 2018. Dans cette même annonce, AST décrit le périmètre : « l'ensemble des services technologiques gérés par AST », pas seulement l'hébergement des applications d'administration électronique. AST ne publie pas la date d'échéance du certificat ; il convient donc d'en vérifier l'état en vigueur avant de s'y référer. Traduit pour un fournisseur : si votre application va vivre sur cette plateforme, vous n'arrivez pas chez un hébergeur quelconque, vous arrivez dans un environnement certifié dans la catégorie la plus exigeante de l'ENS, et les exigences qui vous seront transmises sont celles qui soutiennent cette certification. Summum Sistemas prépare techniquement votre côté.
C'est le scénario où l'article 2.3 du RD 311/2022 se voit le plus clairement. La norme s'applique aux systèmes d'information des entités du secteur privé qui, en vertu d'une relation contractuelle, fournissent des services ou des solutions aux entités du secteur public « pour l'exercice par ces dernières de leurs compétences et prérogatives administratives », et inclut expressément l'obligation de disposer de la politique de sécurité de l'article 12 — qui, dans le cas de ces entités, « sera approuvée […] par l'organe détenant les compétences exécutives les plus élevées ». Et elle ajoute un élément déterminant dans un modèle d'hébergement centralisé : les cahiers des charges doivent prévoir les exigences nécessaires pour garantir la conformité, et « cette précaution s'étendra également à la chaîne d'approvisionnement de ces prestataires ». Autrement dit, ce que vous intégrez compte aussi.
Dans l'Annexe II, ce scénario fait porter le poids sur deux familles du cadre opérationnel. La première est op.ext, services externes, qui inclut parmi ses mesures la protection de la chaîne d'approvisionnement (op.ext.3) et l'interconnexion des systèmes (op.ext.4) — toutes deux graduées par catégorie, celle de la chaîne d'approvisionnement étant exigible dans la catégorie la plus élevée. La seconde est op.nub, services en nuage, dont la mesure op.nub.1, « Protection des services en nuage », s'applique dès la catégorie BASIQUE et se renforce en MOYENNE et ÉLEVÉE. À cela s'ajoute le fait qu'être hébergé sur une plateforme certifiée ne transfère pas sa certification à votre application : elle atteste l'environnement, pas votre logiciel. Votre conformité reste la vôtre, et la répartition des responsabilités entre ce que couvre la plateforme et ce que vous couvrez doit être écrite, car c'est exactement ce qui est révisé.
Le reste de la carte publique aragonaise est complété par le Gobierno de Aragón et ses départements, la Diputación Provincial de Zaragoza, l'Ayuntamiento de Zaragoza, l'Universidad de Zaragoza et l'administration sanitaire régionale ; toutes sont des entités du secteur public au sens de l'article 2.1 du RD 311/2022, qui renvoie à l'article 2 de la Loi 40/2015. La méthode technique est la même pour toutes : catégorisation selon l'Annexe I en évaluant l'impact sur les cinq dimensions de l'article 40.2 — disponibilité, authenticité, intégrité, confidentialité et traçabilité —, analyse des risques avec MAGERIT modélisée dans PILAR, la méthodologie et l'outil du Centro Criptológico Nacional, et mise en œuvre vérifiable des mesures de l'Annexe II, qui regroupe 73 mesures réparties en 16 familles et trois cadres.
Nous déterminons ce que couvre la plateforme d'hébergement et ce qui reste de votre côté. Dans un environnement certifié, la frontière des responsabilités est le document le plus révisé : sans lui, des mesures non mises en œuvre apparaissent parce que chaque partie pensait qu'elles relevaient de l'autre.
Nous fixons la catégorie de votre système en évaluant l'impact sur les cinq dimensions de l'article 40.2, et nous exécutons l'analyse des risques avec MAGERIT modélisée dans PILAR, en documentant le risque résiduel et les décisions de traitement.
Nous mettons en œuvre et documentons les mesures de services externes et de nuage : gestion quotidienne du service externalisé, protection de la chaîne d'approvisionnement, interconnexion des systèmes et protection des services en nuage, chacune au niveau qu'exige la catégorie.
Nous compilons le dossier de preuves et préparons la voie de l'article 38.1 : auto-évaluation pour la déclaration de conformité en catégorie BASIQUE — pouvant également faire l'objet d'un audit de certification — et audit pour la certification en MOYENNE et ÉLEVÉE, selon l'article 31 et l'Annexe III.
Le détail opérationnel : ce que nous livrons dans le cadre du travail et ce que nous maintenons vivant ensuite.
Document de répartition des responsabilités avec la plateforme
Délimitation explicite des mesures de l'Annexe II couvertes par l'environnement d'hébergement et de celles qui restent de votre côté, ce qui évite les lacunes de responsabilité dans les environnements certifiés.
Rapport de catégorisation selon l'Annexe I
Justification de la catégorie avec l'évaluation d'impact sur les cinq dimensions de l'article 40.2, différenciée par service fourni.
Analyse des risques MAGERIT modélisée dans PILAR
Avec MAGERIT et PILAR, du Centro Criptológico Nacional : actifs, dépendances, menaces, sauvegardes et risque résiduel, avec une mise à jour au moins annuelle ou en cas de changement significatif.
Services externes (op.ext) et chaîne d'approvisionnement
Traitement de la gestion quotidienne du service externalisé, de la protection de la chaîne d'approvisionnement et de l'interconnexion des systèmes, au niveau correspondant à la catégorie.
Protection des services en nuage (op.nub)
Vérification d'op.nub.1 et des conditions contractuelles avec le fournisseur cloud, y compris la part du modèle de responsabilité partagée qui vous incombe.
Durcissement, cryptographie et dossier de preuves
Durcissement selon les guides CCN-STIC, configuration cryptographique conforme à la CCN-STIC-807 et compilation des preuves : configurations, journaux d'audit, analyses de vulnérabilités et procès-verbaux de tests.
Summum Sistemas s'occupe du volet technique et Summum Calidad du volet gestion : politique de sécurité, déclaration d'applicabilité et dossier normatif. Dans un modèle d'hébergement centralisé, cette coordination est ce qui permet d'expliquer d'une seule voix ce que couvre la plateforme et ce que vous couvrez.
Service ENS principal de Summum Sistemas : vue d'ensemble complète de l'accompagnement technique à la conformité ENS pour les fournisseurs de l'Administration, avec le catalogue complet des familles de mesures, des méthodologies CCN et des voies de conformité disponibles.
Voir le service → calidadSummum Calidad s'occupe du volet normatif et de gestion : catégorisation, Déclaration d'Applicabilité, politique de sécurité et intégration avec l'ISO 27001. Le travail technique de Sistemas et le travail documentaire de Calidad sont coordonnés pour couvrir l'ENS dans sa totalité.
Voir le service →Non. La certification atteste les systèmes de cette entité et le périmètre déclaré — dans le cas de la plateforme régionale aragonaise, l'hébergement des applications d'administration électronique — pas votre application. L'article 2.3 du RD 311/2022 applique l'ENS aux systèmes des entités privées qui fournissent des services ou des solutions au secteur public, par relation contractuelle, pour l'exercice par ces dernières de leurs compétences et prérogatives administratives. Votre conformité reste la vôtre ; ce que votre projet hérite, c'est le niveau d'exigence de l'environnement.
L'article 2.3 du RD 311/2022, après avoir imposé que les cahiers des charges prévoient les exigences de conformité, précise que « cette précaution s'étendra également à la chaîne d'approvisionnement de ces prestataires ». L'Annexe II la concrétise en une mesure : op.ext.3, « Protection de la chaîne d'approvisionnement », au sein de la famille des services externes, graduée selon la catégorie du système. En pratique, cela se traduit par le fait d'identifier et de contrôler les composants, bibliothèques et services tiers que votre solution intègre.
Dans le dossier de conformité lui-même et dans le contrat. L'Annexe II inclut des mesures spécifiques de services externes — gestion quotidienne, protection de la chaîne d'approvisionnement, interconnexion des systèmes — et de services en nuage (op.nub.1), et toutes exigent de pouvoir démontrer comment elles sont couvertes. Quand la répartition n'est pas écrite, des mesures orphelines apparaissent généralement : aucune des deux parties ne les met en œuvre car chacune pensait qu'elles étaient couvertes par l'autre.
La mesure op.nub.1, « Protection des services en nuage », de l'Annexe II s'applique lorsque le système utilise des services de cloud computing, et son exigence démarre dès la catégorie BASIQUE, avec des renforcements en MOYENNE et ÉLEVÉE. Si votre déploiement repose entièrement sur votre propre infrastructure ou sur un hébergement qui ne constitue pas un service en nuage, l'analyse d'applicabilité peut être différente ; cela se détermine en définissant le périmètre, pas par défaut.
Pas pour les systèmes préexistants. La disposition transitoire unique du RD 311/2022 a accordé vingt-quatre mois aux systèmes du champ d'application préexistants à son entrée en vigueur — incluant expressément ceux dont sont titulaires les prestataires du secteur privé — pour atteindre leur pleine conformité. La norme est entrée en vigueur le 5 mai 2022. Les nouveaux systèmes doivent être conformes dès leur mise en production.
Non. Nous réalisons la mise en œuvre technique : périmètre, catégorisation, analyse des risques, mesures de l'Annexe II, répartition des responsabilités avec la plateforme et dossier de preuves. La certification est délivrée par un tiers ; l'article 38.1 du RD 311/2022 renvoie à l'Instruction Technique de Sécurité correspondante pour les exigences applicables aux organismes certificateurs.