Services d'audit et de certification de l'ENS (Esquema Nacional de Seguridad) | Accrédité Conformité ENS – Lazarus Alliance. Appel +1 (888) 896-7580 dès aujourd’hui.
- Lazarus Alliance, partenaire pour l'audit de certification FedRAMP, FISMA et NIST ; nous sommes prêts quand vous l'êtes !
Lazarus Alliance se coordonnera directement avec votre organisation pour planifier votre Cadre de sécurité nationale (ENS) Évaluation. Nos évaluateurs vous aideront à identifier le niveau de certification en fonction des besoins commerciaux spécifiques de votre entreprise. Votre entreprise obtiendra la certification au niveau ENS approprié après avoir démontré la maturité appropriée en termes de capacités et de maturité organisationnelle.
Le Cadre national de sécurité est une loi obligatoire pour les entreprises du secteur public et leurs fournisseurs de technologie, qui établit les conditions nécessaires pour garantir la confiance dans l'utilisation des médias électroniques. À cette fin, elle établit une série de mesures qui garantissent la sécurité des systèmes, des données, des communications et des services électroniques, permettant l'exercice des droits et l'accomplissement des devoirs via ces médias.
Le cadre établit la politique de sécurité pour l'utilisation des médias électroniques et comprend des principes de base et des exigences minimales qui permettent une protection adéquate des systèmes d'information, des services et de leurs informations.
Le régime de sécurité nationale (ENS)
L'Esquema Nacional de Seguridad (ENS), créée sous Arrêté royal 311/2022 (mise à jour du Décret royal 3/2010) est un cadre réglementaire espagnol visant à garantir la sécurité des systèmes d'information des entités publiques et privées. Son objectif principal est de protéger les informations et les services en promouvant une approche cohérente et fondée sur les risques en matière de cybersécurité, garantissant la confidentialité, l'intégrité, la disponibilité, l'authenticité et la traçabilité des données.
L'ENS s'applique à :
- Entités publiques:Tous les organismes de l’administration publique, y compris les organisations gouvernementales centrales, régionales et locales, doivent sécuriser leurs services et données électroniques.
- Entités privées:Organisations fournissant des services aux administrations publiques ou manipulant des données sensibles liées aux services publics, telles que les fournisseurs ou les entrepreneurs d'infrastructures critiques.
Ce programme impose la mise en œuvre de mesures de sécurité proportionnelles au niveau de risque des systèmes, classés comme Basique, Moyen ou Élevé, et requiert une certification pour démontrer la conformité. La certification implique un processus rigoureux d'audits documentaires et sur site pour vérifier le respect des exigences de sécurité de l'ENS, garantissant ainsi une protection robuste contre les cybermenaces.
Niveaux de sécurité de l'ENS (Esquema Nacional de Seguridad – Décret Royal 311/2022)
Le système espagnol ENS classe chaque système d'information dans l'un des trois niveaux de sécurité suivants : Grave (Bajo), moyen (Medio) ou aigu (Alto) — en fonction de l'impact potentiel d'un incident de sécurité sur les dimensions de confidentialité, intégrité, authenticité, traçabilité et disponibilité.
| Niveau | Quand cela s'applique (impact d'un compromis) | Exigence de certification (depuis mai 2025) |
|---|---|---|
| BAS (Bajo) | Dommages mineurs ou négligeables à l'organisation, aux citoyens ou à l'État. Aucun préjudice significatif aux droits, à l'activité économique ou aux services essentiels. | Déclaration de conformité uniquement (autodéclaration). Aucune certification tierce obligatoire. |
| MOYEN (Medio) | Dommages considérables : affectent un nombre important d’utilisateurs, entraînent des pertes économiques importantes ou entravent le fonctionnement normal des services (mais ne sont pas critiques). | Certification obligatoire par un tiers par une entité accréditée par l'ENAC (par exemple, Lazarus Alliance). |
| AIGUS (Alto) | Dommages très graves : atteinte à grande échelle aux droits des citoyens, répercussions économiques ou financières importantes, ou perturbation des services essentiels/critiques (y compris la sécurité nationale ou les informations classifiées). | Certification obligatoire par un tiers (étendue d'audit la plus rigoureuse) + exigences supplémentaires (par exemple, utilisation de produits cryptographiques approuvés par le CCN pour les données classifiées). |
Comment le niveau est déterminé
L'organisation doit procéder à une procédure formelle analyse de risque (menaces × vulnérabilités × valeur de l'actif) pour chacune des cinq dimensions de sécurité. L'impact le plus important sur l'ensemble des dimensions détermine le niveau global du système.
Exemple :
- Si la perte de confidentialité devait causer un préjudice « considérable » → Moyen
- Si l'indisponibilité d'un service public essentiel pouvait le paralyser → Élevé
Depuis que Mai 2025Tous les systèmes de niveau moyen et élevé existants doivent être titulaires d'un certificat ENS valide délivré par un organisme de certification accrédité par l'ENAC. Les nouveaux systèmes doivent être certifiés avant leur mise en production.
Besoin d'aide pour déterminer le niveau ENS de votre système ou obtenir une certification ? Appelez Lazarus Alliance au +1 (888) 896-7580 — nous sommes un organisme de certification ENS qualifié par l'ENAC et avons certifié avec succès des dizaines de fournisseurs internationaux et d'entités publiques espagnoles.
Calendrier d'audit : À quoi s'attendre avec Lazarus Alliance
Lazarus Alliance suit un processus structuré, conforme à la norme ISO/IEC 17065. Notre approche utilise la méthode du chemin critique et Machine d'audit informatique (ITAM) Plateforme permettant d'accélérer les audits jusqu'à 46 %, axée sur l'identification proactive des écarts et la gestion efficace des preuves. La certification initiale complète prend généralement plus de temps. 3-6 mois dès le lancement, en fonction de la portée, du niveau de préparation et des besoins de correction.
Calendrier détaillé d’audit et de conformité de l’ENS (Esquema Nacional de Seguridad)
Lazarus Alliance suit ce processus structuré en 6 phases pour la certification ENS, les évaluations des écarts et la conformité continue avec le système national de sécurité espagnol (décret royal 311/2022) pour l'administration publique et les opérateurs d'infrastructures critiques.
| phase | Activités | Durée typique | Principaux livrables et outils |
|---|---|---|---|
| Phase 0 – Avant l’engagement et la prise de décision | Consultation initiale, examen de l'applicabilité du système ENS, accord de confidentialité et lettre de mission | 1-2 semaines | Signature du cahier des charges, de la charte de projet et accès au portail Continuum GRC |
| Phase 1 – Lancement et définition du périmètre | Réunion de lancement, sélection de la catégorie ENS (ÉLEVÉE/MOYENNE/FAIBLE), examen du catalogue des contrôles et matrice d'applicabilité | Semaine 0 à 1 | Document finalisé relatif au périmètre ENS, liste de contrôle personnalisée, liste de demandes de documents |
| Phase 2 – Évaluation des écarts et collecte de données probantes | Analyse des écarts par rapport à toutes les exigences du SNE (organisationnelles, opérationnelles, de protection, de défense et de rétablissement), téléchargement des preuves | Semaines 1 à 5 | Dossier de preuves complet dans Continuum GRC, plan de correction des écarts détaillé |
| Phase 3 – Remédiation et validation | Assistance en matière de remédiation, mises à jour des politiques, mise en œuvre de contrôles techniques et alignement du SMSI avec la norme ISO 27001 | Semaines 5 à 9 | Contrôles validés, procédures opérationnelles normalisées mises à jour et dossiers de formation |
| Phase 4 – Travaux pratiques d’évaluation et tests | Tests de contrôle, entretiens, évaluations de vulnérabilité, tests d'intrusion, simulations d'audits ENS | Semaines 9 à 12 | Résultats des tests, rapport préliminaire et tableaux de bord en temps réel |
| Phase 5 – Rapports, certification et maintenance continue | Remise du rapport final, résolution des constatations, déclaration de conformité ENS et planification de la surveillance annuelle | Semaines 12 à 14 et suivantes | Rapport final de conformité ENS, dossier de déclaration officielle, feuille de route de surveillance continue Cybervisor™ |
Pourquoi les clients terminent leurs projets plus rapidement avec Lazarus Alliance : Notre méthodologie Proactive Cyber Security®, notre plateforme Cybervisor™ et l'automatisation Continuum GRC réduisent généralement le temps d'évaluation et de certification ENS de 40 à 50 %, tout en fournissant une documentation de meilleure qualité, conforme à la norme CCN-STIC, et un programme de sécurité nationale robuste.
Pour obtenir un devis d'audit ENS personnalisé ou pour commencer, appelez le +1 (888) 896-7580 — les équipes de Lazarus Alliance Cybervisor™ sont prêtes.
Questions fréquemment posées
Qu’est-ce que l’ENS (Esquema Nacional de Seguridad) et à qui s’applique-t-il en Espagne ?
L'Esquema Nacional de Seguridad (ENS) est le cadre de sécurité nationale espagnol établi par Décret royal 311/2022. Elle s'applique à toutes les entités du secteur public en Espagne et aux entreprises privées qui fournissent des services ou des systèmes à l'administration publique espagnole (y compris les fournisseurs de cloud, les services gérés, les opérateurs d'infrastructures critiques et leurs sous-traitants).
Quels sont les principaux changements introduits par le nouveau ENS (Décret royal 311/2022) ?
La version actualisée de l'ENS relève considérablement le niveau par rapport à la version 2010 : exigences plus strictes en matière de gestion des risques, certification obligatoire pour les systèmes de niveau moyen et élevé, nouvelles mesures de sécurité (par exemple, sécurité du cloud, sécurité de la chaîne d'approvisionnement et cryptologie), délais plus stricts pour le signalement des incidents (dans les 24 heures pour les incidents importants) et alignement explicite avec la norme NIS2 et d'autres réglementations de l'UE.
Quels sont les trois niveaux de conformité ENS (faible, moyen, élevé) et comment le niveau est-il déterminé ?
- LowProtection de base pour les informations ou services non critiques
- MoyenneS'applique lorsqu'il existe un risque modéré pour la confidentialité, l'intégrité ou la disponibilité.
- HauteCe niveau de sécurité est requis pour les systèmes traitant des informations classifiées, des services critiques ou lorsque toute compromission pourrait causer un préjudice grave aux citoyens ou à l'État. Il est déterminé par une analyse de risques formelle fondée sur les dimensions de confidentialité, d'intégrité, d'authenticité, de traçabilité et de disponibilité.
La certification ENS est-elle obligatoire, et dans quel délai les organisations doivent-elles s'y conformer ?
Oui. Tous les systèmes d'information de niveau moyen ou élevé doivent obtenir la certification ENS. Les systèmes existants ont jusqu'en mai 2024 pour obtenir cette certification. Arrêté royal 311/2022Les nouveaux systèmes doivent être certifiés avant leur mise en production.
En quoi consiste le processus de certification ENS ?
Le processus comprend:
- Évaluation formelle des risques et détermination du niveau de sécurité
- Analyse des écarts par rapport aux plus de 75 mesures de sécurité figurant à l'annexe II
- Mise en œuvre ou correction des contrôles
- Préparation de la déclaration d'applicabilité (DoA) et de la déclaration de sûreté
- Évaluation indépendante de la conformité (audit) par une entité accréditée par l'ENAC
- Délivrance du certificat ENS (valable 5 ans avec audits de suivi annuels)
Nous sommes une entreprise internationale qui fournit des services aux entités publiques espagnoles. Avons-nous besoin de la certification ENS ?
Oui. Toute organisation (quel que soit son lieu d'établissement) qui traite des informations ou fournit des services électroniques à l'administration publique espagnole doit se conformer au système ENS au niveau requis par le contrat ou le service. De nombreux appels d'offres publics exigent désormais explicitement la certification ENS comme condition préalable.
Quels sont les liens entre ENS et NIS2, ISO 27001 et autres référentiels ?
ENS est pleinement conforme aux exigences NIS2 en Espagne. Une organisation mature ISO 27001 La certification peut permettre d'obtenir la certification ENS plus rapidement car environ 70 à 80 % des contrôles se chevauchent, mais ENS comporte des exigences supplémentaires spécifiques à l'Espagne (par exemple, la cryptologie nationale, le signalement spécifique des incidents à l'INCIBE et les exigences relatives à la chaîne d'approvisionnement).
Comment Lazarus Alliance peut-elle nous aider à obtenir et à maintenir la certification ENS ?
Lazarus Alliance fournit des services ENS de bout en bout, notamment :
- Évaluation initiale des risques et du niveau de sécurité
- Analyse des écarts et feuilles de route pour la remédiation
- Soutien à la mise en œuvre des mesures techniques et organisationnelles
- Préparation de toute la documentation requise (DoA, politiques de sécurité, etc.)
- Audits complets d'évaluation de la conformité (nous sommes un organisme qualifié ENAC)
- Maintenance continue et audits de surveillance annuels. Nous avons accompagné de nombreuses entités publiques espagnoles et des prestataires internationaux dans l'obtention, dans les délais impartis, d'une certification ENS de haut niveau.
Avantages de la conformité ENS
Les avantages de la certification ENS (Esquema Nacional de Seguridad), régie par le décret royal 311/2022 en Espagne, sont considérables pour les entités publiques et privées, car elles garantissent une cybersécurité robuste et le respect du Cadre de sécurité nationale. Voici les principaux avantages :
- Cybersécurité renforcée : La certification ENS garantit que les systèmes d'information répondent à des exigences de sécurité strictes en matière de confidentialité, d'intégrité, de disponibilité, d'authenticité et de traçabilité. En mettant en œuvre des mesures de sécurité basées sur les risques et adaptées aux catégories de systèmes (Basique, Moyen, Élevé), les organisations réduisent leurs vulnérabilités et se protègent contre les cybermenaces telles que les violations de données ou les accès non autorisés.
- Conformité réglementaire: Pour les entités publiques, la certification ENS est obligatoire afin de se conformer au décret royal 311/2022, garantissant le respect des normes nationales en matière de services électroniques sécurisés. Les entités privées collaborant avec les administrations publiques (par exemple, les entrepreneurs ou les fournisseurs d'infrastructures critiques) respectent également leurs obligations légales, évitant ainsi les sanctions ou l'exclusion des marchés publics.
- Confiance et crédibilité accrues : La certification témoigne d'un engagement en matière de cybersécurité et renforce la confiance des clients, des partenaires et des parties prenantes. Les entités publiques et privées peuvent ainsi démontrer leur conformité à une norme nationale reconnue, renforçant ainsi leur réputation de fiabilité et de sécurité.
- Accès aux opportunités du secteur public : Les organisations privées certifiées ENS bénéficient d'un avantage concurrentiel lors de la soumission de contrats avec les administrations publiques, car la conformité est souvent une condition préalable à la collaboration ou à la prestation de services dans des secteurs tels que la santé, la finance ou les infrastructures critiques.
- Gestion des risques et résilience : Le cadre ENS promeut une approche fondée sur les risques, exigeant des organisations qu'elles identifient, évaluent et atténuent systématiquement les risques. Cela améliore la résilience opérationnelle, réduit la probabilité d'incidents et garantit une reprise plus rapide après d'éventuelles perturbations.
- Pratiques de sécurité normalisées : La certification harmonise les systèmes avec un ensemble unifié de mesures de sécurité, favorisant ainsi des pratiques de cybersécurité cohérentes et interopérables entre les services ou les unités opérationnelles. Ceci est particulièrement avantageux pour les grandes organisations ou celles opérant dans des environnements informatiques complexes.
- Protection des données sensibles : La certification ENS garantit une protection robuste des informations sensibles, telles que les données personnelles ou les données opérationnelles critiques, conformément aux réglementations sur la protection des données comme le RGPD. Cela réduit les risques de responsabilité juridique et d'atteinte à la réputation liés aux fuites de données.
- Différenciation du marché : Pour les entités privées, la certification ENS signale un niveau élevé de maturité en matière de cybersécurité, les distinguant des concurrents dans les secteurs où la sécurité est une priorité, tels que la technologie, les télécommunications ou les fournisseurs de services publics.
- Accompagnement à la transformation numérique : En sécurisant les systèmes d’information, la certification ENS permet aux organisations d’adopter en toute sécurité les technologies numériques, les services cloud et les initiatives de gouvernement électronique, soutenant l’innovation tout en maintenant la conformité.
- Amélioration continue: Le processus de certification comprend des audits périodiques de surveillance et de renouvellement (généralement tous les 2 à 3 ans), garantissant une conformité continue et encourageant les organisations à maintenir et à mettre à jour leurs mesures de sécurité en réponse à l'évolution des menaces.
En obtenant la certification ENS, les organisations répondent non seulement aux exigences réglementaires, mais construisent également une base plus solide et plus sûre pour leurs opérations, favorisant la confiance et permettant une collaboration sécurisée dans les secteurs public et privé espagnols.
Parlez avec l'un de nos experts
Nos équipes Lazarus Alliance Cybervisor™ ont l’expérience de la réalisation de milliers d’évaluations pour des organisations fournissant des services à des clients du monde entier.
Nous sommes là pour répondre à toutes vos questions.
Processus de certification ENS
Le processus de certification de l'École nationale de sécurité (ENS), régi par le décret royal 311/2022 en Espagne, comprend une série d'étapes structurées visant à vérifier la conformité des systèmes d'information d'une organisation aux exigences du Cadre national de sécurité. Vous trouverez ci-dessous une description claire du processus de certification, y compris ses étapes, basé sur le système ENS et conforme aux normes UNE-EN ISO/IEC 17065:2012 pour les organismes de certification comme Lazarus Alliance :
- Demande et contrat :
Description : L'organisme souhaitant obtenir une certification soumet une demande à un organisme de certification accrédité. La demande comprend des informations sur le ou les systèmes d'information à certifier, leur périmètre et leur niveau de sécurité (de base, moyen ou élevé), conformément aux exigences de l'ENS.
- Activités : L'organisme de certification examine la demande pour s'assurer de son exhaustivité et de sa faisabilité, définit la portée de la certification et convient avec le client d'un contrat de certification juridiquement exécutoire, décrivant les responsabilités, les délais et les coûts.
- Résultat : Un accord formel est signé, garantissant que le client s'engage à fournir l'accès et la documentation nécessaires au processus de certification. - Audit documentaire (étape 1) :
- Description : L'organisme de certification effectue un examen hors site de la documentation de l'organisation pour évaluer la conformité aux exigences de l'ENS.
- Activités:
- Examen des politiques de sécurité, des évaluations des risques, des mesures de sécurité et des procédures de confidentialité, d'intégrité, de disponibilité, d'authenticité et de traçabilité de l'organisation.
- Vérification que les mesures de sécurité du système correspondent à la catégorie ENS (Basique, Moyenne ou Élevée) telle que définie dans le Décret Royal 311/2022.
- Identification des éventuelles lacunes ou non-conformités dans la documentation.
- Résultat : Un rapport est publié détaillant les constatations, y compris les non-conformités à corriger avant de passer à l'étape suivante. L'organisation peut être amenée à mettre en œuvre des mesures correctives. - Audit sur site (étape 2) :
- Description : L'organisme de certification effectue une évaluation sur site pour vérifier la mise en œuvre et l'efficacité des mesures de sécurité documentées à l'étape 1.
- Activités:
- Inspection des contrôles de sécurité physiques et logiques, y compris les contrôles d'accès, les mécanismes de réponse aux incidents et les configurations du système.
- Entretiens avec le personnel pour confirmer le respect des procédures documentées.
- Test des mesures techniques (par exemple, cryptage, systèmes d'authentification) et des processus opérationnels pour garantir qu'ils répondent aux exigences ENS pour la catégorie spécifiée.
- Évaluation de la conformité avec les mesures correctives identifiées à l’étape 1.
- Résultat : Un rapport d’audit détaillé est produit, mettant en évidence l’état de conformité et les éventuelles non-conformités restantes. Les non-conformités majeures doivent être résolues avant l’octroi de la certification. - Décision de certification :
- Description : L'organisme de certification examine les résultats des deux étapes d'audit pour prendre une décision impartiale sur l'octroi de la certification ENS.
- Activités:
- Un comité d'examen indépendant ou un décideur désigné évalue les rapports d'audit, garantissant l'objectivité et la conformité à la norme UNE-EN ISO/IEC 17065:2012.
- Vérification que toutes les non-conformités (majeures et mineures) ont été correctement traitées.
- Résultat : Si l'organisation est conforme, elle obtient la certification ENS, valable pour une durée définie par le système (généralement 2 à 3 ans). L'organisme de certification délivre un certificat et autorise l'utilisation de la marque/du logo ENS dans des conditions spécifiques. - Audits de surveillance :
- Description : Des audits périodiques sont effectués pendant la période de validité de la certification pour garantir la conformité continue aux exigences de l'ENS.
- Activités:
- Audits de surveillance annuels ou bisannuels (selon le schéma et la catégorie du système) pour vérifier le respect continu des mesures de sécurité.
- Examen des modifications apportées au système, des évaluations des risques ou des incidents de sécurité depuis la certification.
- Évaluation des dossiers de plaintes et des mesures correctives prises par l’organisation.
- Résultat : Un rapport de surveillance confirme la conformité ou identifie les non-conformités nécessitant des mesures correctives pour maintenir la certification. - Audit de renouvellement :
- Description : À la fin de la période de validité de la certification (généralement 2 à 3 ans), un audit de renouvellement est effectué pour recertifier le système.
- Activités:
- Une réévaluation complète similaire aux étapes 1 et 2, évaluant le système par rapport aux exigences actuelles de l'ENS et à toutes les mises à jour du décret royal 311/2022.
- Examen des résultats de l’audit de surveillance et de la conformité continue de l’organisation.
- Résultat : En cas de réussite, un nouveau certificat est délivré, prolongeant la certification pour un cycle supplémentaire. Les non-conformités peuvent retarder ou empêcher le renouvellement jusqu'à leur résolution.
Notes complémentaires
- Exigences d'accréditation : L'organisme de certification doit être accrédité par un organisme national d'accréditation (par exemple, ENAC en Espagne) pour garantir l'impartialité et la compétence, conformément à la norme UNE-EN ISO/IEC 17065:2012.
- Responsabilités du client : L'organisation doit fournir l'accès à la documentation, au personnel et aux installations, conserver des enregistrements des plaintes et informer l'organisme de certification des changements importants du système, comme indiqué dans la clause 17065 de la norme ISO/IEC 4.1.2.
- Considérations spécifiques à l'ENS : Ce processus s'inscrit dans la stratégie ENS, axée sur les mesures de sécurité basées sur les risques, avec des exigences plus strictes pour les catégories de systèmes supérieures (Moyenne et Élevée). Le Centro Cryptológico Nacional (CCN) fournit des conseils supplémentaires sur la mise en œuvre de l'ENS, que l'organisme de certification intègre au processus d'audit.
- Non-conformités : Toute non-conformité identifiée lors des audits doit être corrigée dans un délai convenu avec l'organisme de certification. Les non-conformités majeures (par exemple, les failles de sécurité critiques) doivent généralement être résolues avant la certification, tandis que les non-conformités mineures peuvent être traitées lors de la surveillance.
Ce processus structuré garantit que les systèmes certifiés répondent aux normes de sécurité rigoureuses de l'ENS, protégeant les informations sensibles et permettant la conformité avec la réglementation espagnole.