ENS — Esquema Nacional de Seguridad

Vue d'ensemble

L'ENS (Esquema Nacional de Seguridad), mis à jour par le décret royal 311/2022, établit le cadre de sécurité applicable à l'ensemble de l'administration publique espagnole et à ses fournisseurs. Il définit trois niveaux d'assurance — Basique, Moyen et Élevé — assortis d'exigences cryptographiques et de gestion des certificats de plus en plus strictes.

Le CCN (Centro Criptológico Nacional) fournit des orientations techniques par le biais des publications de la série CCN-STIC, couvrant aussi bien les algorithmes cryptographiques approuvés que les lignes directrices de mise en œuvre détaillées. Les certificats numériques sont obligatoires pour l'authentification, les signatures électroniques et les communications sécurisées à tous les niveaux d'assurance.

L'ENS v2.0 actualisé modernise le cadre pour faire face aux menaces actuelles, s'aligne sur les standards internationaux tels que l'ISO 27001 et renforce les exigences de sécurité de la chaîne d'approvisionnement. Toutes les entités publiques et leurs fournisseurs technologiques doivent obtenir la certification ENS auprès d'organismes d'audit accrédités.

Exigences clés

Catégorisation de sécurité (Basique/Moyen/Élevé)

Les systèmes d'information doivent être catégorisés aux niveaux d'assurance Basique, Moyen ou Élevé en fonction de l'impact d'une violation de sécurité, chaque niveau imposant des contrôles de sécurité progressivement plus stricts.

Exigences relatives aux certificats numériques (op.acc.5)

L'ENS impose l'utilisation de certificats numériques pour l'authentification des utilisateurs et le contrôle d'accès, avec des certificats qualifiés requis aux niveaux d'assurance Moyen et Élevé pour les services d'e-administration.

Standards des mécanismes cryptographiques (op.exp.10)

L'ENS définit les exigences cryptographiques pour la protection des données, incluant les algorithmes approuvés, les longueurs de clé minimales et les standards de protocole alignés sur les lignes directrices techniques CCN-STIC.

Gestion du cycle de vie des certificats

Les organisations doivent tenir un inventaire complet des certificats, mettre en œuvre des processus de renouvellement automatisés et garantir une révocation en temps voulu pour satisfaire aux exigences opérationnelles de sécurité de l'ENS.

Lignes directrices de conformité CCN-STIC

Le CCN (Centro Criptológico Nacional) publie les guides techniques CCN-STIC fournissant des orientations détaillées pour la mise en œuvre des contrôles de sécurité ENS, incluant les standards cryptographiques et de certificats.

Audit de sécurité et certification

Les entités publiques doivent se soumettre à des audits de certification ENS menés par des organismes accrédités, démontrant la conformité à tous les contrôles de sécurité applicables à leur niveau de catégorisation.

Jalons clés

2010

ENS v1.0 — Décret royal 3/2010

L'Espagne établit l'Esquema Nacional de Seguridad, créant un cadre de sécurité obligatoire pour tous les systèmes d'information de l'administration publique.

2015

Premier cycle de révision

Cycle initial de révision et de mise à jour traitant des menaces émergentes et des enseignements tirés des premières mises en œuvre de l'ENS dans les entités publiques.

2022

ENS v2.0 — Décret royal 311/2022

Révision majeure modernisant le cadre avec des contrôles de sécurité mis à jour, un alignement sur les standards internationaux et des exigences cryptographiques renforcées.

2024 Actuel

Date limite de conformité totale

Toutes les entités de l'administration publique et leurs fournisseurs doivent atteindre la pleine conformité aux exigences actualisées de l'ENS à cette échéance.

2025 Application

Alignement avec NIS2 et les cadres européens

L'ENS évolue pour s'aligner sur la transposition de la directive NIS2 et les cadres européens de cybersécurité plus larges, garantissant la cohérence transfrontalière.

Impact sur la PKI et les certificats

Le cadre ENS place les certificats numériques au cœur de la sécurité de l'administration publique, avec des exigences évoluant selon le niveau d'assurance. Voici les domaines critiques :

Certificats numériques obligatoires aux niveaux Moyen et Élevé

Les systèmes catégorisés aux niveaux d'assurance Moyen et Élevé doivent utiliser des certificats numériques qualifiés pour l'authentification des utilisateurs et les signatures électroniques, ce qui exige une infrastructure PKI robuste.

Inventaire des certificats pour les audits ENS

Les audits de certification ENS exigent un inventaire complet de tous les certificats numériques en usage, incluant leur finalité, leur validité, l'AC émettrice et les systèmes associés.

Standards cryptographiques CCN-STIC

Des algorithmes cryptographiques et longueurs de clé spécifiques doivent respecter les lignes directrices CCN-STIC, affectant directement les profils de certificats, les algorithmes de signature et les pratiques de génération des clés.

Authentification des portails d'e-administration

L'authentification par certificat est requise pour les portails d'e-administration, permettant un accès sécurisé des citoyens aux services publics et garantissant l'intégrité des transactions administratives.

Evertrust & ENS

Inventaire complet des certificats avec Horizon — Horizon fournit une découverte et un inventaire complets des certificats à l'échelle de votre infrastructure, garantissant la préparation aux audits de certification ENS à tout niveau d'assurance.

Gestion automatisée du cycle de vie — L'émission, le renouvellement et la révocation automatisés des certificats répondent aux exigences opérationnelles de sécurité de l'ENS, éliminant les failles manuelles et assurant une conformité continue.

Application des politiques CCN-STIC — Application des politiques pour les standards cryptographiques CCN-STIC, détectant et signalant automatiquement les certificats qui ne respectent pas les exigences d'algorithmes et de longueurs de clé approuvés.

Rapports ENS prêts pour audit — Générez des rapports de conformité détaillés directement alignés sur les contrôles de sécurité de l'ENS, simplifiant le processus d'audit de certification et démontrant une adhésion continue.

PKI

CLM

Cas d'usage

Secteurs

Conformité

Apprendre

Outils & Analyses

Événements & Communauté

ENS Réglementation

En bref