Un organisme public nous demande d'être conformes à l'ENS — c'est quoi et comment le certifier en Espagne ?

Si le niveau n'est pas précisé dans le cahier des charges, demandez immédiatement un éclaircissement (aclaración) via la plateforme des marchés publics. S'ils répondent que c'est le niveau básico, vous n'aurez pas un centime à verser à un auditeur externe : il suffit de remplir la checklist standard sur la plateforme du CCN et d'enregistrer votre système. Ne perdez pas de temps, envoyez la question tout de suite.

L'année dernière on a répondu à un marché public de 110.000 EUR à Valence. Ils demandaient l'ENS Medio. On avait déjà notre base ISO 27001 mais combler les écarts et passer l'audit nous a pris 3 mois complets. On a payé 8.500 EUR à l'organisme accrédité pour l'audit et 4.000 EUR pour l'accompagnement d'un consultant.

Côté technique, la plus grosse différence avec l'ISO réside dans les guides CCN-STIC. Pour les algorithmes de chiffrement des données, vous devez impérativement utiliser les standards validés par le Centre Cryptologique National espagnol, interfacer le mécanisme de notification des incidents avec la plateforme publique d'alerte et rendre l'authentification à deux facteurs obligatoire pour tous les administrateurs système.

Ne tombez surtout pas dans le piège de vous dire « on a l'ISO, on le met dans le dossier et l'administration va l'accepter ». Dans les marchés publics, les offres sans certificat ou déclaration ENS sont directement rejetées lors du contrôle administratif, votre pli technique ne sera même pas ouvert.

Voici la feuille de route à suivre : 1) Clarifier par écrit la catégorie ENS auprès de l'acheteur public. 2) Télécharger les guides de la série CCN-STIC 800 et faire l'analyse des écarts avec votre socle ISO actuel. 3) Si c'est le niveau basique, rédiger la déclaration interne ; si c'est le niveau moyen, demander en urgence des devis auprès d'organismes accrédités ENAC.

l'administration espagnole est ultra rigide la-dessus malheureusement. on s'en est sortis de justesse sur un marché municipal similaire avec une déclaration niveau básico, sinon l'audit externe n'aurait jamais été prêt à temps.

Il convient de souligner que le décret royal publié en 2022 a révisé les exigences de l'ENS pour les fournisseurs de services cloud. Vérifier que votre hébergeur cloud dispose lui-même d'une certification ENS facilitera considérablement votre processus d'audit.

La discussion part dans tous les sens, je recentre. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Je vais résumer le sujet, car plusieurs réponses différentes ont été données. L'erreur commise du côté de schéma national de sécurité est généralement réversible, mais coûteuse.

J'espère que cela vous sera utile.

Je suis d'accord.

Trois points à vérifier lors de cette opération. L'erreur commise du côté de schéma national de sécurité est généralement réversible, mais coûteuse.

Je suis aussi curieux de savoir si d'autres font autrement.

Je suis intéressé. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Je vais essayer. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard. Je suis aussi curieux de savoir si d'autres font autrement.

C'est noté, merci.

il est rare de trouver un texte qui explique les choses aussi clairement. du coup quand on essaie de tout changer en même temps, rien ne prend.

je suis aussi curieux de savooir si d'autres font autrement.

J'ai travaillé longtemps sur ce sujet. Le temps que vous mettez à détecter un problème détermine directement son coût.

Si vous avez des questions écrivez-moi, je répondrai au mieux.

Cette approche a un coût, dont on ne parle pas. L'erreur commise du côté de schéma national de sécurité est généralement réversible mais coûteuse.

Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard. Bon courage.

Ma question va paraître un peu novice, désolé d'avance. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

C'est mon avis, je ne l'écris pas comme une vérité absolue.