ENS-Audit in Barcelona: wer prüft, Phasen und Preise.

Kurz zusammengefasst: Ein ENS-Audit (spanisches nationales Sicherheitsschema) in Barcelona führt eine nach ENAC akkreditierte Zertifizierungsstelle durch, kein „lokaler“ Auditor: Diese Stellen sind in ganz Spanien tätig, ihr Sitz spielt für Ihre Wahl keine Rolle. In der Kategorie BÁSICA genügt eine Selbstbewertung; in MEDIA und ALTA ist die Konformitätszertifizierung durch einen Dritten verpflichtend und wird mindestens alle zwei Jahre wiederholt.

Ein ENS-Audit in Barcelona führt eine nach ENAC akkreditierte Zertifizierungsstelle durch, kein „lokaler“ Auditor: Diese Stellen sind in ganz Spanien tätig, und ihr Standort hat keinen Einfluss auf Ihre Wahl. In der Kategorie BÁSICA genügt eine Selbstbewertung; in MEDIA und ALTA ist die Konformitätszertifizierung durch Dritte verpflichtend und wird mindestens alle zwei Jahre wiederholt. Hier erfähren Sie, wer prüfen darf, welche Phasen der Prozess hat, wovon der Preis abhängt und wie ich dieses Audit von außerhalb Barcelonas aus vorbereite.

Ich heiße Ángel Ortega Castro und begleite Unternehmen bei der Anpassung an das Esquema Nacional de Seguridad (ENS) und bei dessen Audit. Ich arbeite von Valladolid und Las Palmas aus und betreue Projekte in ganz Spanien, Katalonien eingeschlossen. Wenn Sie auf der Suche nach einem „ENS-Auditor in Barcelona“ hier gelandet sind, stehen Sie wahrscheinlich vor einer Ausschreibung, die dies verlangt – oder kurz davor. Ich erkläre Ihnen, wie es wirklich funktioniert: wer Ihr Zertifikat unterschreiben darf, was aus der Ferne und was persönlich erledigt wird, wie sich der Preis berechnet und was von Ihnen abhängt, um das Audit beim ersten Mal zu bestehen.

Wer darf das ENS in Barcelona auditieren? (Kurzantwort)

Das ENS wird nicht von irgendwem auditiert, und der Zusatz „in Barcelona“ ist weniger entscheidend, als es scheint. Was sich ändert, ist nicht die Stadt, sondern die Kategorie Ihres Systems und die Art der Konformität, die Sie benötigen:

• Kategorie BÁSICA. Hier ist die ENS-Konformitätserklärung durch Selbstbewertung in der Grundkategorie zulässig: Die Organisation prüft selbst, ob sie die Anforderungen erfüllt, und veröffentlicht ihre Konformitätserklärung. Eine externe Stelle, die diese unterzeichnet, ist nicht erforderlich – auch wenn es sich empfiehlt, sie vor der Veröffentlichung von einer sachkundigen Person prüfen zu lassen.
• Kategorien MEDIA und ALTA. Die Konformitätszertifizierung ist verpflichtend und darf nur von einer nach ENAC akkreditierten Zertifizierungsstelle für das ENS-Schema ausgestellt werden. Genau diese Akkreditierung garantiert, dass der Auditor unabhängig und fachlich qualifiziert ist; ohne sie hat ein „Zertifikat“ vor einer Vergabestelle keinen Wert.

Die ENAC-Akkreditierung gilt landesweit: Die Stelle, die Sie in Barcelona zertifiziert, ist dieselbe, die auch in Madrid, Bilbao oder Valladolid zertifiziert. Es gibt kein eigenes Register „ENS-Auditoren in Barcelona“, getrennt vom Rest Spaniens. Um zu prüfen, wer anerkannt ist, können Sie das Register der ENS-zertifizierten Unternehmen einsehen und Kategorie, Umfang und Gültigkeit abgleichen. Und wenn Sie sich für die normativen Details interessieren – in welchem Rhythmus die Konformitätsprüfung wiederholt wird und wer sie durchführt –, finden Sie das im Beitrag zur Häufigkeit des ENS-Audits und wer es durchführt, gestützt auf Anhang III des ENS, der das Konformitätsaudit regelt.

Muss der Auditor aus Barcelona stammen? Präsenz- und Fernaudit

Nein. Der Standort des Auditors schränkt Ihre Wahl nicht ein, und in der Praxis kommt für einen großen Teil der Arbeit ohnehin niemand persönlich in Ihr Büro. Dabei lohnt es sich, zwei unterschiedliche Bestandteile des Prozesses zu unterscheiden:

• Was aus der Ferne erledigt wird. Die Dokumentenprüfung – Sicherheitsrichtlinie, Risikoanalyse, Konformitätserklärung, Verfahren, Nachweise – erfolgt ohne Qualitätseinbußen aus der Distanz. Sie macht den Großteil der Arbeitsstunden eines gut vorbereiteten Audits aus.
• Was in der Regel Präsenz erfordert. Die Vor-Ort-Prüfung – zu kontrollieren, ob das Dokumentierte tatsächlich umgesetzt wird: physische Zutrittskontrolle, Technikräume, Mitarbeiterinterviews, Tests an konkreten Systemen – kann einen Besuch vor Ort erfordern, vor allem in der Kategorie ALTA oder wenn relevante physische Standorte zu schützen sind.

Dass der Prozess sowohl Fern- als auch Präsenzarbeit zulässt, macht die Postleitzahl des Auditors gerade irrelevant. Eine Zertifizierungsstelle nach geografischer Nähe statt nach Solvenz und Branchenerfahrung auszuwählen, heißt, die falsche Variable zu optimieren. Was tatsächlich hilft, wenn man den katalanischen Kontext kennt, ist zu verstehen, was die Ausschreibungen der Generalitat (der katalanischen Regionalregierung) und der Kommunalverwaltungen verlangen – das lässt sich mit Fachwissen lösen, nicht mit physischer Nähe.

Phasen eines ENS-Audits: von der Dokumentenprüfung bis zum Zertifikat

Ein Konformitätsaudit folgt immer derselben Abfolge, egal ob Ihr Unternehmen seinen Sitz in Barcelona oder anderswo hat. Diese Tabelle fasst jede Phase zusammen und zeigt, wo sie stattfindet:

Die Gesamtdauer schwankt stark: von wenigen Wochen bei kleinem Umfang in der Kategorie BÁSICA bis zu mehreren Monaten bei komplexen Systemen der Kategorie ALTA, wobei stets die Zeit zur Behebung von Nichtkonformitäten eingerechnet wird. Die Frist hängt vor allem davon ab, wie gut Sie zu Phase 2 vorbereitet erscheinen, nicht vom Terminkalender des Auditors.

Was kostet ein ENS-Audit, und wovon hängt der Preis ab?

Ich werde Ihnen keine feste Zahl nennen, denn das hieße, Ihren Fall zu erfinden. Die Kosten eines ENS-Audits richten sich nicht nach einer Preisliste, sondern nach einer Handvoll Faktoren, die die Arbeitstage des Auditors vervielfachen oder reduzieren. Das sind die Faktoren, die den Preis wirklich bewegen:

Um sich ein realistisches und stimmiges Bild von den Preisspannen zu machen, bringen Sie diese Faktoren in Verbindung mit dem, was ich im Beitrag über Prozess und Kosten der ENS-Zertifizierung erkläre. Die praktische Regel ist einfach: Jeder Euro, den Sie investieren, um vorbereitet zum Audit zu erscheinen, ist ein Euro, den Sie nicht für die Wiederholung von Phasen und die Behebung von Nichtkonformitäten ausgeben.

ENS für Anbieter katalanischer Verwaltungen: was die Ausschreibungen verlangen

Der häufigste Grund, warum ein katalanisches Unternehmen ein ENS-Audit sucht, ist eine Ausschreibung. Wenn Sie der Generalitat, den Provinzverwaltungen (Barcelona, Girona, Tarragona oder Lleida) oder den Gemeinden Dienstleistungen erbringen oder erbringen möchten, verlangt der Vertrag immer häufiger den Nachweis der ENS-Konformität, weil Sie Informationen oder Systeme einer öffentlichen Verwaltung verarbeiten. Das Consorci Administració Oberta de Catalunya (AOC), das die elektronische Verwaltung in Katalonien koordiniert, verstärkt genau diese Tendenz.

Zwei Schlüsselpunkte, um die Ausschreibung richtig zu lesen:

• Die Kategorie legt die Ausschreibung oder das System fest, nicht Sie selbst. Ein Vertrag kann Konformität in Kategorie MEDIA verlangen, ein anderer in ALTA; sich in der falschen Kategorie zertifizieren zu lassen, nützt weder bei der Ausschreibung noch spart es Geld. Prüfen Sie genau, was die Ausschreibung tatsächlich verlangt, bevor Sie tätig werden.
• Die Verpflichtung wird kaskadenartig weitergegeben. Wenn Sie einen Teil des Dienstes untervergeben, sind auch Ihre relevanten Unterauftragnehmer erfasst. Das sollten Sie in Ihren eigenen Verträgen berücksichtigen.

All das behandle ich ausführlicher im Leitfaden zu den ENS-Anforderungen an Anbieter der Verwaltung bei Ausschreibungen. Der Grundgedanke: Das ENS ist längst nicht mehr nur eine Sache des öffentlichen Sektors – es ist zunehmend der Schlüssel zum Zugang zu dessen Lieferkette.

Mit einem ENS-Berater remote arbeiten (und persönlich, wenn nötig)

Hier möchte ich offen mit Ihnen sein, denn genau hier sehe ich die meiste Verwirrung. Es gibt zwei unterschiedliche Rollen, die nicht vermischt werden dürfen:

• Die Zertifizierungsstelle ist diejenige, die in MEDIA und ALTA auditiert und das Zertifikat ausstellt. Sie muss unabhängig und nach ENAC akkreditiert sein. Gerade wegen dieser Unabhängigkeitsanforderung kann, wer bei der Anpassung hilft, nicht gleichzeitig zertifizieren.
• Der Berater – meine Rolle – bereitet Sie vor: baut das Managementsystem auf, führt die Risikoanalyse durch, verfasst die Konformitätserklärung, korrigiert, was nicht passt, und begleitet Sie bei einem Präaudit, damit Sie ohne Überraschungen zur Zertifizierung gelangen.

Ich arbeite von Valladolid und Las Palmas aus, und genau das ist der Vorteil, den ich Ihnen ehrlich anbiete: Fast meine gesamte Arbeit mit Ihnen findet remote statt – Dokumentation, Risiken, Besprechungen, Prüfung von Nachweisen – und ich reise zu Ihrem Standort, wenn das Projekt es erfordert, ob in Barcelona oder anderswo. Ich verkaufe Ihnen keine Nähe zum Nachbarort; ich sage Ihnen ehrlich, dass das ENS nicht verlangt, dass Ihr Berater in derselben Stadt lebt, um seine Arbeit gut zu machen – wohl aber, dass er weiß, was er tut. Wenn Sie genau diese Vorbereitung suchen, passt dazu meine ENS-Beratung für Unternehmen, die sich an Ausschreibungen beteiligen oder Anbieter der Verwaltung werden möchten.

Wie Sie das ENS-Audit vorbereiten, um es beim ersten Mal zu bestehen

Audits werden nicht durch Glück „bestanden“: Man kommt vorbereitet an oder eben nicht. Das sind die Punkte, die ich immer prüfe, bevor ich einen Kunden vor den Auditor setze:

• Lebendige Risikoanalyse. Aktuell, stimmig mit der Kategorie des Systems und rückverfolgbar bis zu den umgesetzten Maßnahmen.
• Ehrliche Konformitätserklärung. Sie sollte widerspiegeln, was tatsächlich angewendet wird, mit begründeten Ausschlüssen. Ein geschöntes Dokument fällt spätestens in der Vor-Ort-Phase auf.
• Datierte Nachweise. Aufzeichnungen zum Vorfallmanagement, Kontinuitätstests und aktuelle Ergebnisse. Undatierte Dokumente wecken mehr Misstrauen, als sie ausräumen.
• Präaudit. Eine Generalprobe, die Nichtkonformitäten aufdeckt, bevor der offizielle Auditor sie findet – wenn sie noch günstig zu beheben sind.

Wenn Sie die Details dieser Phase vertiefen möchten, finden Sie mehr im Beitrag über Vorbereitung und Schlüssel zum Bestehen des Konformitätsaudits. Die Vorbereitung ist mit Abstand die Variable, die am meisten darüber entscheidet, ob das Audit kurz, günstig und ohne Überraschungen verläuft.

Fazit: entscheiden Sie sich nach Solvenz, nicht nach Nähe

Sich in Barcelona für das ENS auditieren zu lassen, birgt kein geografisches Geheimnis: Die Zertifizierung unterschreibt eine nach ENAC akkreditierte Stelle, die in ganz Spanien tätig ist, ein großer Teil der Arbeit erfolgt remote, und der Preis hängt von Ihrer Kategorie, Ihrem Umfang und Ihrer Vorbereitung ab – nicht von der Entfernung. Was das Ergebnis entscheidet, ist die Qualität der vorherigen Vorbereitung, und genau die können Sie selbst steuern.

Wenn Sie vor einer Ausschreibung stehen, die das ENS verlangt, oder sich vorab absichern möchten, erzählen Sie mir Ihren Fall und wir prüfen ihn gemeinsam, unverbindlich.

Müssen Sie die Konformitätsprüfung vorbereiten und bestehen? Entdecken Sie meine ENS-Audit-Beratung für Unternehmen und Verwaltungen in ganz Spanien, Katalonien eingeschlossen.

Häufig gestellte Fragen zum ENS-Audit in Barcelona

Wer darf das ENS auditieren?

In den Kategorien MEDIA und ALTA darf die Konformitätszertifizierung ausschließlich von einer nach ENAC akkreditierten Zertifizierungsstelle für das ENS-Schema ausgestellt werden; diese Akkreditierung garantiert ihre Unabhängigkeit und Fachkompetenz. In der Kategorie BÁSICA ist eine Selbstbewertung zulässig: Die Organisation prüft selbst, ob sie die Anforderungen erfüllt, und veröffentlicht ihre Konformitätserklärung, ohne einen Dritten hinzuziehen zu müssen.

Kann das ENS-Audit von Barcelona aus per Fernzugriff durchgeführt werden?

Größtenteils ja. Die Dokumentenprüfung (Sicherheitsrichtlinie, Risikoanalyse, Konformitätserklärung, Verfahren) erfolgt ohne Qualitätsverlust aus der Ferne. Die Vor-Ort-Prüfung kann je nach Kategorie und Umfang einen persönlichen Besuch erfordern, vor allem in der Kategorie ALTA oder wenn relevante physische Standorte vorhanden sind. Der Standort des Auditors schränkt Ihre Wahl nicht ein.

Wie lange dauert ein ENS-Audit?

Das hängt vom Umfang und der Kategorie ab: von wenigen Wochen bei einem kleinen Umfang der Kategorie BÁSICA bis zu mehreren Monaten bei komplexen Systemen der Kategorie ALTA, wobei stets die Zeit zur Behebung von Nichtkonformitäten eingerechnet wird. Die Dauer hängt vor allem davon ab, wie gut Sie zur Dokumentenphase vorbereitet sind, nicht vom Terminplan des Auditors.

Was passiert, wenn das Audit Nichtkonformitäten feststellt?

Es wird ein Plan mit Korrekturmaßnahmen und einer Frist zu deren Behebung erstellt; die Zertifizierung wird ausgestellt, sobald die schwerwiegenden Nichtkonformitäten behoben sind. Werden sie vorab durch ein Präaudit erkannt, sinken Kosten und Dauer, denn eine Korrektur vor dem offiziellen Audit ist deutlich günstiger als danach.

Brauche ich das ENS, um mich bei der Generalitat oder katalanischen Gemeinden zu bewerben?

Immer mehr Ausschreibungen verlangen dies von Anbietern, deren Dienstleistung Informationen oder Systeme der katalanischen Verwaltung betrifft. Prüfen Sie vor jedem Schritt die konkrete Ausschreibung und vor allem die geforderte Kategorie (BÁSICA, MEDIA oder ALTA): Sich in der falschen Kategorie zertifizieren zu lassen, nützt weder bei der Bewerbung noch spart es Geld.

Quellen

• Real Decreto 311/2022 (ENS) — BOE — offizieller Gesetzestext.
• CCN-CERT — Esquema Nacional de Seguridad und Konformität.
• ENAC — Entidad Nacional de Acreditación.
• Centro Criptológico Nacional (CCN) — CCN-STIC-Leitfäden.
• Consorci Administració Oberta de Catalunya (AOC).

Inhalt erstellt von Ángel Ortega Castro für angelortegacastro.com. Informativer Charakter; für rechtlich verbindliche Auskünfte konsultieren Sie bitte den geltenden Text des ENS im BOE.