ENS — Schéma National de Sécurité

Vue d'ensemble

Le ENS (Esquema Nacional de Seguridad), mis à jour par le Royal Décret 311/2022, établit le cadre de sécurité pour l'ensemble de l'administration publique espagnole et ses fournisseurs. Il définit trois niveaux d'assurance — Basique, Moyen, et Élevé — avec des exigences de gestion cryptographique et de certificats de plus en plus strictes à chaque niveau.

Le CCN (Centro Criptológico Nacional) fournit des orientations techniques via la série de publications CCN‑STIC, couvrant tout, des algorithmes cryptographiques approuvés aux directives détaillées d’implémentation. Les certificats numériques sont obligatoires pour l’authentification, les signatures électroniques et les communications sécurisées à tous les niveaux d’assurance.

La version mise à jour d'ENS v2.0 modernise le cadre pour répondre aux menaces actuelles, s'aligne sur les normes internationales telles que ISO 27001, et renforce les exigences en matière de sécurité de la chaîne d'approvisionnement. Toutes les entités publiques et leurs fournisseurs de technologie doivent obtenir la certification ENS auprès d'organismes d'audit accrédités.

Clé Exigences

Catégorisation de la sécurité (Basique/Moyen/Élevé)

Les systèmes d'information doivent être classés en niveaux d'assurance Basique, Moyen ou Élevé en fonction de l'impact d'une violation de sécurité, chaque niveau imposant des contrôles de sécurité de plus en plus stricts.

Exigences du certificat numérique (op.acc.5)

L'ENS impose l'utilisation de certificats numériques pour l'authentification des utilisateurs et le contrôle d'accès, avec des certificats qualifiés requis aux niveaux d'assurance Moyen et Élevé pour les services de gouvernement électronique.

Normes des mécanismes cryptographiques (op.exp.10)

L'ENS définit les exigences cryptographiques pour la protection des données, incluant les algorithmes approuvés, les longueurs minimales de clé et les normes de protocole alignées sur les directives techniques du CCN-STIC.

Gestion du cycle de vie des certificats

Les organisations doivent maintenir des inventaires complets de certificats, mettre en œuvre des processus de renouvellement automatisés et garantir une révocation en temps opportun afin de répondre aux exigences de sécurité opérationnelle de l'ENS.

Directives de conformité CCN-STIC

Le CCN (Centro Criptológico Nacional) publie des guides techniques CCN‑STIC fournissant des directives détaillées de mise en œuvre pour les contrôles de sécurité ENS, y compris les normes cryptographiques et de certificats.

Audit de sécurité & certification

Les entités publiques doivent subir des audits de certification ENS réalisés par des organismes accrédités, démontrant leur conformité à tous les contrôles de sécurité applicables à leur niveau de catégorisation.

Clé Jalons

2010

ENS v1.0 — Décret royal 3/2010

L'Espagne établit l'Esquema Nacional de Seguridad, créant un cadre de sécurité obligatoire pour tous les systèmes d'information de l'administration publique.

2015

Premier cycle de révision

Le cycle d'examen initial et de mise à jour traite des menaces émergentes et des leçons tirées de la première mise en œuvre d'ENS dans les entités publiques.

2022

ENS v2.0 — Décret royal 311/2022

Une refonte majeure modernise le cadre avec des contrôles de sécurité mis à jour, une harmonisation avec les normes internationales et un renforcement des exigences cryptographiques.

2024

Date limite de conformité totale

Toutes les entités de l'administration publique et leurs fournisseurs doivent atteindre la conformité totale aux exigences ENS mises à jour d'ici cette date limite.

2025 Actuel

Alignement avec les cadres NIS2 & UE

L'ENS évolue pour s'aligner sur la transposition de la directive NIS2 et sur des cadres européens plus larges de cybersécurité, garantissant une cohérence transfrontalière.

Impact sur PKI & Certificates

Le cadre ENS place les certificats numériques au cœur de la sécurité de l'administration publique, avec des exigences qui s'adaptent au niveau d'assurance. Voici les domaines critiques :

Certificats numériques obligatoires aux niveaux moyen & élevé

Les systèmes classés aux niveaux d'assurance moyen et élevé doivent utiliser des certificats numériques qualifiés pour l'authentification des utilisateurs et les signatures électroniques, nécessitant une infrastructure PKI robuste.

Inventaire des certificats pour les audits ENS

Les audits de certification ENS nécessitent un inventaire complet de tous les certificats numériques en usage, y compris leur objectif, leur validité, l'autorité de certification émettrice et les systèmes associés.

Normes cryptographiques CCN-STIC

Des algorithmes cryptographiques spécifiques et des longueurs de clé doivent être conformes aux directives CCN-STIC, affectant directement les profils de certificats, les algorithmes de signature et les pratiques de génération de clés.

Authentification du portail e-Gouvernement

L'authentification basée sur les certificats est requise pour les portails e-gouvernement, permettant un accès sécurisé des citoyens aux services publics et garantissant l'intégrité des transactions administratives.

Evertrust & ENS

Inventaire complet des certificats avec Horizon — Horizon fournit une découverte et un inventaire complets des certificats sur l’ensemble de votre infrastructure, garantissant la préparation à l’audit pour la certification ENS à tout niveau d’assurance.

Gestion automatisée du cycle de vie — L’émission, le renouvellement et la révocation automatisés des certificats répondent aux exigences de sécurité opérationnelle ENS, éliminant les lacunes manuelles et assurant une conformité continue.

Application de la politique CCN-STIC — Application de la politique pour les normes cryptographiques CCN-STIC, détectant et signalant automatiquement les certificats qui ne respectent pas les exigences d’algorithme et de longueur de clé approuvées.

Rapports ENS prêts pour l'audit — Générer des rapports de conformité complets, directement alignés sur les contrôles de sécurité ENS, simplifiant le processus d'audit de certification et démontrant une conformité continue.

PKI

CLM

Cas d’utilisation

Secteurs

Conformité

Apprendre

Outils & analyses

Événements & Communauté

Schéma National de Sécurité

Faits rapides