ENS-Beratung in Burgos

Ja. Die Diputación de Burgos ist als Einrichtung des öffentlichen Sektors gemäß RD 311/2022 an den ENS gebunden. Diese Verpflichtung erstreckt sich entlang der Lieferkette auf Anbieter und Auftragnehmer, die Informationssysteme verwalten. Wenn Ihr Unternehmen IKT-Dienste, Verwaltungssoftware oder digitale Infrastruktur für die Diputación erbringt, gilt der ENS für Sie, und die Ausschreibungsunterlagen können den Nachweis Ihrer Konformität verlangen.

Der Ayuntamiento de Burgos ist als Kommunalverwaltung verpflichtet, den ENS einzuhalten und diese Anforderung auf seine Anbieter digitaler Dienste zu übertragen. In der Praxis enthalten die technischen Leistungsbeschreibungen von Verträgen für Software, Systemwartung, Cloud oder Cybersicherheit die ENS-Konformität als Anforderung an die technische Leistungsfähigkeit. Unternehmen, die diese nicht nachweisen können, dürfen an diesen Ausschreibungen nicht teilnehmen.

Ja. Das RD 311/2022 knüpft die Pflicht zur ENS-Konformität an das Vertragsverhältnis mit dem öffentlichen Auftraggeber, nicht an den Unternehmenssitz. Ein deutsches, österreichisches oder schweizerisches Unternehmen, das der Diputación de Burgos, dem Ayuntamiento oder einem anderen Organ der spanischen öffentlichen Verwaltung IKT-Dienste erbringt, muss die ENS-Konformität in dem für den Vertragsgegenstand maßgeblichen Geltungsbereich nachweisen. Der ENS ist dabei mit ISO/IEC 27001 verwandt, geht jedoch über sie hinaus: Er verlangt spezifische Maßnahmen und Nachweisformate, die auf die spanische öffentliche Verwaltung zugeschnitten sind und ISO-zertifizierten Unternehmen ohne weitere Vorbereitung nicht automatisch zugutekommen.

Bei vielen KMU in Burgos, die Gemeindeverwaltungssoftware, IKT-Wartung oder technischen Support für lokale Stellen erbringen, ist die Kategorie Basis am häufigsten — weil die Auswirkung eines Vorfalls auf die fünf CIDAT-Dimensionen in der Regel begrenzt bleibt. In diesem Fall genügt eine selbstbewertete Konformitätserklärung, ohne externe Zertifizierungsstelle. Verwaltet das System jedoch sensible Bürgerdaten oder kritische Prozesse, kann die Kategorie Mittel oder Hoch greifen, und es ist eine ENAC-akkreditierte Zertifizierung erforderlich. Der erste Schritt ist stets die Diagnose und Kategorisierung.

ISO/IEC 27001 ist eine internationale Norm für Managementsysteme zur Informationssicherheit, die für jede Art von Organisation weltweit gilt. Der ENS (Esquema Nacional de Seguridad) ist ein spezifisch spanisches Regelwerk, das auf dem Grundgerüst von ISO 27001 aufbaut, jedoch zusätzliche und detailliertere Anforderungen enthält — etwa spezifische Sicherheitsmaßnahmen des Anhangs II, die MAGERIT-Methodik für die Risikoanalyse, Berichtsformaten an das CCN und die Verpflichtung zur Zertifizierung durch ENAC-akkreditierte Stellen in den Kategorien Mittel und Hoch. Eine ISO-27001-Zertifizierung kann den Anpassungsprozess erleichtern, ersetzt die ENS-Konformität jedoch nicht. Für den Zugang zu Verträgen mit der spanischen öffentlichen Verwaltung ist ausschließlich der ENS-Nachweis rechtlich relevant.

Ja. Der Anpassungsprozess ist zu einem großen Teil dokumentarisch und technisch und kann mit den geeigneten Werkzeugen aus der Ferne gesteuert werden. Diagnosegesrpäche, Arbeitssitzungen mit Ihrem Team und Dokumentenprüfungen finden üblicherweise per Videokonferenz statt. Wenn ein Projekt Vor-Ort-Besuche erfordert — zum Beispiel zur Prüfung physischer Infrastrukturen in Burgos —, bin ich problemlos präsent, da ich regelmäßig in Kastilien-León tätig bin.