Was das ENS ist und wen es verpflichtet
Das Esquema Nacional de Seguridad (ENS) ist der Rahmen, der die Mindestsicherheitsanforderungen für die Informationssysteme des öffentlichen Sektors in Spanien festlegt. Heute gilt dafür das Real Decreto 311/2022 vom 3. Mai (RD 311/2022), das das vorherige Real Decreto 3/2010 aufgehoben und sowohl die Grundsätze als auch den Maßnahmenkatalog aktualisiert hat. Wenn Sie den gesamten Rahmen verstehen möchten, bevor Sie weiterlesen: Ich habe einen vollständigen Leitfaden zum Esquema Nacional de Seguridad geschrieben, in dem ich ihn ausführlicher erläutere.
Die Verpflichtung betrifft einen größeren Kreis, als viele denken. Zum einen die öffentlichen Verwaltungen im engeren Sinne: die Zentralverwaltung des Staates (Administración General del Estado), die autonomen Regionen und die Kommunalverwaltungen sowie ihre öffentlich-rechtlichen Einrichtungen. Der Fall der Rathäuser (ayuntamientos) hat Besonderheiten hinsichtlich Größe und Ressourcen, die ich gesondert in dieser Analyse zum ENS in der Kommunalverwaltung behandle.
Zum anderen – und das wird häufig vergessen – betrifft das ENS auch private Unternehmen, die diesen Verwaltungen Dienstleistungen erbringen, sofern diese Dienstleistungen die Verarbeitung von Informationen oder Systemen des öffentlichen Sektors beinhalten. Ein Softwareanbieter, ein Hosting-Dienst, der Daten eines Rathauses beherbergt, oder ein Unternehmen, das eine elektronische Verwaltungsstelle betreibt, fallen eindeutig in diesen Anwendungsbereich. In der Praxis verlangen immer mehr Ausschreibungsunterlagen die ENS-Konformität als Voraussetzung für eine Angebotsabgabe.
Sicherheitskategorien: BÁSICA, MEDIA und ALTA
Das ENS wendet nicht auf alle Systeme dasselbe Anforderungsniveau an. Jedes System wird einer von drei Kategorien zugeordnet: BÁSICA, MEDIA oder ALTA. Diese Kategorie bestimmt, welche Sicherheitsmaßnahmen verpflichtend sind und mit welcher Intensität sie umgesetzt werden müssen. Je höher die Kategorie, desto mehr Maßnahmen und desto strenger die Anforderungen.
Die Kategorie wird nicht willkürlich gewählt. Sie wird berechnet, indem die Auswirkung eines Vorfalls auf fünf Sicherheitsdimensionen bewertet wird: Vertraulichkeit, Integrität, Nachvollziehbarkeit, Authentizität und Verfügbarkeit. Für jede Dimension wird ein Niveau BAJO (Niedrig), MEDIO (Mittel) oder ALTO (Hoch) je nach dem Schaden vergeben, den ihr Verlust verursachen würde. Die Kategorie des Systems entspricht dem höchsten Niveau, das eine seiner Dimensionen erreicht, vorbehaltlich der Nuancen, die der Anhang des Real Decreto im Detail festlegt.
Ein Beispiel verdeutlicht die Logik. Ein Informationsportal, das nur Inhalte ohne sensible personenbezogene Daten veröffentlicht, fällt wahrscheinlich in die Kategorie BÁSICA. Ein System, das das Einwohnermelderegister oder Akten mit Gesundheitsdaten verwaltet – bei denen ein Datenleck ernste Folgen hätte –, steigt leicht auf MEDIA oder ALTA. Die richtige Kategorisierung ist das Fundament des gesamten Projekts: Übertreiben Sie es, geben Sie zu viel aus; unterschätzen Sie es, erfüllen Sie die Anforderungen nicht.
| Kategorie | Wann sie gilt (Auswirkung des Vorfalls) | Anforderung an Maßnahmen |
|---|---|---|
| BÁSICA | Keine Dimension übersteigt das Niveau BAJO (Niedrig) | Mindestmaßnahmenpaket |
| MEDIA | Mindestens eine Dimension erreicht das Niveau MEDIO (Mittel) | Verstärkte Maßnahmen in Management, Kontrolle und Überwachung |
| ALTA | Mindestens eine Dimension erreicht das Niveau ALTO (Hoch) | Maßnahmen mit höchsten Anforderungen und zusätzliche Kontrollen |
Was eine ENS-Beratung umfasst
Wenn ich von ENS-Beratung spreche, meine ich nicht nur die Übergabe eines Berichts. Ich meine die Begleitung der Organisation von der Diagnose bis zu dem Moment, in dem ein externer Auditor die Konformität zertifizieren kann. Der übliche Umfang deckt folgende Arbeitsblöcke ab.
Differenzanalyse oder GAP-Analyse
Das ist die Ausgangsaufnahme. Wir vergleichen, was die Organisation heute tut, mit dem, was das ENS für ihre Kategorie fordert, und erhalten die Liste der Lücken. Ohne diese Analyse ist eine realistische Planung unmöglich, denn Sie wissen nicht, wie viel Weg noch vor Ihnen liegt.
Kategorisierung der Systeme
Wir stufen jedes System nach der zuvor beschriebenen Methode in BÁSICA, MEDIA oder ALTA ein und dokumentieren die Entscheidungen, damit sie vor dem Auditor nachvollziehbar sind.
Anwendbarkeitserklärung
Das ist das Dokument, das Maßnahme für Maßnahme angibt, welche auf das System zutreffen, in welchem Umfang und warum. Trifft eine Maßnahme nicht zu, muss dies begründet werden. Die Anwendbarkeitserklärung ist eines der Dokumente, die der Auditor am genauesten prüft.
Anpassungsplan
Er verwandelt die Lücken aus der GAP-Analyse in einen Maßnahmenplan mit Verantwortlichen, Prioritäten und Fristen. Hier wird entschieden, was zuerst behoben wird – in der Regel das, was das Risiko mit dem geringsten Aufwand am stärksten senkt.
Umsetzung der Maßnahmen
Das ist der Umsetzungsteil: Richtlinien, Verfahren, technische Kontrollen, Zugriffsverwaltung, Aktivitätsprotokollierung, Backups und alles, was der Katalog fordert. Ohne reale Umsetzung ist keine Zertifizierung möglich – Papier allein reicht nicht.
Vorbereitung des Audits
Bevor Sie die Zertifizierungsstelle kontaktieren, lohnt sich eine interne Überprüfung, die das Audit simuliert und letzte Lücken aufspürt. Es ist deutlich günstiger, eine Abweichung zu korrigieren, bevor der offizielle Auditor sie entdeckt.
Dieser Umfang ist im Kern eine Compliance-Beratung, angewandt auf einen konkreten Rahmen, mit dem Unterschied, dass das ENS in einer durch Dritte überprüfbaren Zertifizierung endet.
Die Projektphasen Schritt für Schritt
Jede Organisation hat ihr eigenes Tempo, aber ein gut geordnetes ENS-Projekt durchläuft in der Regel diese Phasen. Ich stelle sie in der Reihenfolge vor, in der ich sie umsetze, denn übersprungene Schritte rächen sich später.
- Umfang und Projektstart. Wir legen fest, welche Systeme ins Projekt einbezogen werden, wer für die Sicherheit verantwortlich ist und wie wir arbeiten werden. Ein schlecht abgegrenzter Umfang ist die häufigste Ursache für endlose Projekte.
- Kategorisierung. Wir bewerten die fünf Dimensionen jedes Systems und legen seine Kategorie fest. Daraus ergibt sich das Anforderungsniveau für alles Weitere.
- Differenzanalyse. Wir messen den Abstand zwischen dem aktuellen Zustand und den Anforderungen. Das Ergebnis ist die priorisierte Liste der Lücken.
- Risikoanalyse. Wir identifizieren Bedrohungen und bewerten das Risiko, um zu entscheiden, was zuerst angegangen wird. Das ENS verlangt dies, und es gibt den Prioritäten des Plans zusätzlich einen Sinn.
- Anwendbarkeitserklärung und Anpassungsplan. Wir dokumentieren, welche Maßnahmen zutreffen, und legen den Fahrplan zum Schließen der Lücken fest.
- Umsetzung. Wir setzen den Plan um: Richtlinien, Verfahren und technische Kontrollen. Das ist die längste Phase und die, die am stärksten von den internen Ressourcen abhängt.
- Interne Überprüfung. Wir stellen sicher, dass die Nachweise vor dem externen Audit vorhanden und stimmig sind.
- Zertifizierungsaudit. Eine akkreditierte Stelle überprüft die Konformität und stellt, wenn alles passt, die Zertifizierung aus.
Ich nenne bewusst keine festen Fristen. Die Gesamtdauer hängt von der Kategorie, der Anzahl der Systeme und vor allem vom Ausgangspunkt ab. Eine Organisation, die bereits über Sicherheitsrichtlinien verfügt, kommt deutlich schneller voran als eine, die bei null beginnt.
Das Zertifizierungsaudit zur ENS-Konformität
Die ENS-Konformität wird durch ein Audit einer dafür akkreditierten Zertifizierungsstelle nachgewiesen. Eine interne Selbstbewertung reicht nicht, wenn die formelle Zertifizierung angestrebt wird: Der Wert liegt gerade darin, dass ein unabhängiger Dritter prüft, dass die Maßnahmen existieren und funktionieren.
Der Auditor prüft die Dokumentation (Kategorisierung, Anwendbarkeitserklärung, Risikoanalyse, Richtlinien) und stellt vor Ort fest, ob die deklarierten Maßnahmen tatsächlich umgesetzt sind und funktionieren. Findet er Abweichungen, stuft er sie nach Schweregrad ein, und die Organisation muss sie korrigieren. Sind die Abweichungen behoben, wird das ENS-Konformitätszertifikat ausgestellt, das eine bestimmte Gültigkeitsdauer hat und zur Nachverfolgung verpflichtet.
Es lohnt sich, zwei oft verwechselte Begriffe zu trennen. Es gibt die Konformitätserklärung, leichter und üblich in der Kategorie BÁSICA, und die Konformitätszertifizierung durch Audit, verpflichtend in höheren Kategorien. Welche zutrifft, hängt von der Kategorie des Systems ab. Wenn Sie die Details des Ablaufs und der Kostenfaktoren möchten, finden Sie sie in meinem Artikel zur ENS-Zertifizierung.
Aufrechterhaltung: Die Konformität endet nicht am Tag des Audits
Der teuerste Fehler, den ich sehe, ist, das ENS als ein Projekt mit einem Ende zu behandeln. Die Konformität muss lebendig gehalten werden. Maßnahmen verschleißen, Systeme ändern sich, neue Bedrohungen tauchen auf, und das Zertifikat erfordert regelmäßige Überwachungsaudits, um seine Gültigkeit zu behalten.
Eine gesunde Aufrechterhaltung umfasst die Überprüfung der Kategorisierung, wenn sich ein System wesentlich ändert, die Aktualisierung der Risikoanalyse, das Management von Sicherheitsvorfällen und die rechtzeitige Vorbereitung jedes Überwachungsaudits. Bei Organisationen, die zudem Systeme mit KI-Komponenten betreiben, sollte diese Aufrechterhaltung mit den übrigen Pflichten koordiniert werden – ein Punkt, der mit der KI-Compliance zusammenhängt, sobald solche Systeme in den Anwendungsbereich fallen.
Fazit
Eine gut aufgesetzte ENS-Beratung für Verwaltungen ist kein Papierkram: Es geht darum, die Sicherheit Ihrer Systeme mit einer Methode zu ordnen, die ein Auditor überprüfen kann. Sachkundig kategorisieren, die Anwendbarkeit dokumentieren, reale Maßnahmen umsetzen und ohne Überraschungen zum Audit gelangen. Und danach aufrechterhalten – denn die Konformität wird bewahrt, nicht ein einziges Mal erobert.
Wenn Ihre Verwaltung oder Ihr Unternehmen die ENS-Konformität zertifizieren lassen muss, oder wenn eine Ausschreibung das von Ihnen verlangt und Sie nicht wissen, wo Sie anfangen sollen: Erzählen Sie mir von Ihrem Fall, und wir sehen uns den Umfang gemeinsam an. Ich arbeite von Valladolid und Las Palmas de Gran Canaria aus, und das erste Gespräch dient dazu, unverbindlich Ihren Ausgangspunkt zu verstehen.
Wenn Sie sehen möchten, wie dieser Umfang konkret auf Ihre Institution angewendet wird, mit ihren Phasen und Fristen: So arbeite ich bei der ENS-Zertifizierung für Unternehmen.
Benötigen Sie professionelle Begleitung für Ihre ENS-Anpassung? Erfahren Sie mehr über meine ENS-Beratung für Unternehmen, die sich an Ausschreibungen beteiligen oder Dienstleister der Verwaltung werden möchten.
Häufig gestellte Fragen
Welche Vorschrift regelt das ENS derzeit?
Das Esquema Nacional de Seguridad wird durch das Real Decreto 311/2022 vom 3. Mai geregelt, das das vorherige Real Decreto 3/2010 aufgehoben und die Grundprinzipien sowie den Sicherheitsmaßnahmenkatalog aktualisiert hat.
Müssen private Unternehmen das ENS einhalten?
Ja, wenn sie öffentlichen Verwaltungen Dienstleistungen erbringen, die die Verarbeitung von Informationen oder Systemen des öffentlichen Sektors umfassen. Es ist üblich, dass Ausschreibungsunterlagen die ENS-Konformität als Voraussetzung für die Angebotsabgabe verlangen.
Wie wird die Kategorie BÁSICA, MEDIA oder ALTA festgelegt?
Bewertet wird die Auswirkung eines möglichen Vorfalls auf fünf Sicherheitsdimensionen (Vertraulichkeit, Integrität, Nachvollziehbarkeit, Authentizität und Verfügbarkeit) in den Stufen BAJO, MEDIO oder ALTO. Die Kategorie des Systems entspricht der höchsten Stufe, die eine seiner Dimensionen erreicht.
Wer kann die ENS-Konformität zertifizieren?
Die Konformitätszertifizierung wird durch ein Audit einer dafür akkreditierten Zertifizierungsstelle erlangt. Eine interne Selbstbewertung ersetzt dieses Audit nicht, wenn die formelle Zertifizierung angestrebt wird.
Wie lange dauert ein ENS-Anpassungsprojekt?
Das hängt von der Kategorie, der Anzahl der Systeme im Umfang und dem Ausgangspunkt ab. Eine Organisation mit bereits umgesetzten Sicherheitsrichtlinien kommt deutlich schneller voran als eine, die bei null beginnt – feste Fristen vor der Differenzanalyse sollten daher vermieden werden.