ENS-Beratung: Wie Sie den Implementierungspartner auswählen

Die Umsetzung des Spanischen Nationalen Sicherheitsgrundgesetzes (ENS) erfordert ein spezialisiertes Fachwissen, über das die meisten Organisationen intern nicht verfügen. Ein erfahrener ENS-Berater beschleunigt nicht nur den Anpassungsprozess, sondern vermeidet kostspielige Fehler, die die Zertifizierung um Monate verzögern und das Projektbudget erheblich steigern können. Diese Anleitung hilft Ihnen, das richtige Erwartungsbild zu entwickeln und den passenden Partner auszuwählen.

Was leistet eine ENS-Beratung genau?

Eine ENS-Beratung deckt den gesamten Lebenszyklus der Anpassung ab. In der Diagnosephase bewertet der Berater die aktuelle Sicherheitslage, identifiziert die Lücken gegenüber den ENS-Anforderungen und erstellt einen realistischen Projektplan mit Fristen, Ressourcen und Kosten.

In der Kategorisierungsphase bestimmt er die Systemkategorie (NIEDRIG, MITTEL oder HOCH) durch Bewertung jeder Sicherheitsdimension (DICAT) anhand der verarbeiteten Information und der erbrachten Dienste. Diese Bewertung ist entscheidend, weil sie Anzahl und Anforderungsniveau der anwendbaren Kontrollen bestimmt. Die Kategorie bestimmt auch, wie die Konformität nachgewiesen wird: NIEDRIG erfordert nur eine selbstbewertete Konformitätserklärung; MITTEL oder HOCH erfordern eine Zertifizierung durch eine von ENAC akkreditierte Stelle gemäß der Norm UNE-EN ISO/IEC 17065:2012 — der Berater bereitet das Projekt vor, kann es aber nicht selbst zertifizieren.

In der Risikoanalysephase führt der Berater den vollständigen Prozess mit MAGERIT durch: Asset-Inventar, Bedrohungsidentifikation, Bewertung von Auswirkung und Wahrscheinlichkeit, Auswahl von Schutzmaßnahmen und Berechnung des Restrisikos. Üblicherweise wird das PILAR-Werkzeug des CCN genutzt.

In der Umsetzungsphase berät und begleitet er die Implementierung der Kontrollen, erstellt oder prüft die Systemdokumentation (Leitlinien, Normen, Verfahren, Aufzeichnungen) und verifiziert die korrekte Umsetzung technischer Maßnahmen.

In der Verifizierungsphase führt er das interne Audit vor der Zertifizierung durch, identifiziert Abweichungen und begleitet die Organisation während des externen Audits.

Nachweisbare ENS-Erfahrung

Dies ist das wichtigste Kriterium. Fragen Sie nach Anzahl der abgeschlossenen ENS-Projekte, betroffenen Kategorien, Organisationstypen und Erfolgsquote im ersten Audit. Ein erfahrener Berater kennt die Kriterien der Auditoren, die kritischen Punkte und die effizientesten technischen Lösungen für jede Kontrolle.

Kenntnis von MAGERIT und PILAR

Die Risikoanalyse ist der Eckpfeiler des ENS. Der Berater muss MAGERIT beherrschen und kompetent mit PILAR umgehen. Seien Sie misstrauisch gegenüber Beratungen, die generische, vom CCN nicht anerkannte Methodiken vorschlagen.

Reale technische Kapazität

Das ENS verlangt nicht nur Dokumentation, sondern technische Umsetzung: Firewall-Konfiguration, Netzwerksegmentierung, Verschlüsselung, Identitätsmanagement, Monitoring, Systemhärtung. Der Berater braucht technische Profile, die die Implementierung anleiten und überprüfen — nicht nur dokumentieren.

Kenntnis des öffentlichen Sektors

Artikel 2 des RD 311/2022 (Anwendungsbereich) erstreckt die Pflicht auf den gesamten öffentlichen Sektor und auf privatwirtschaftliche Unternehmen, die ihm auf vertraglicher Basis Dienstleistungen erbringen. Wenn Ihre Organisation Teil der spanischen öffentlichen Verwaltung oder Dienstleister im öffentlichen Sektor ist, muss der Berater die Besonderheiten öffentlicher Auftragsvergabe, administrative Verfahren, typische Verwaltungsstrukturen und die CCN-Werkzeuge (INES, LUCIA, CLARA) kennen.

Unabhängigkeit gegenüber der Zertifizierungsstelle

Der Berater darf nicht zugleich die Zertifizierungsstelle sein. Diese Unabhängigkeit gewährleistet die Unparteilichkeit des Audits.

Warnsignale bei der Auswahl

Auffällig niedrige Preise bedeuten meist oberflächliche Arbeit. Garantien einer Zertifizierung sind unseriös. Fehlende überprüfbare Referenzen deuten auf Unerfahrenheit hin. Rein dokumentarische Angebote ohne technischen Anteil bestehen das Vor-Ort-Audit nicht. Fehlender Wissenstransfer macht die Organisation langfristig abhängig.

Typischer Projektablauf

Phase 1, Diagnose und Planung, 2 bis 4 Wochen. Phase 2, Risikoanalyse, 4 bis 8 Wochen. Phase 3, Dokumentation, 4 bis 8 Wochen. Phase 4, Implementierung der Kontrollen, 8 bis 20 Wochen. Phase 5, internes Audit, 3 bis 6 Wochen. Phase 6, Begleitung des Zertifizierungsaudits, 2 bis 4 Wochen.

Richtwerte für die Kosten

Für ein KMU mit Kategorie NIEDRIG kann die Beratung zwischen 5.000 und 12.000 € liegen, da nur eine Konformitätserklärung nötig ist. Für Kategorie MITTEL üblich 12.000 bis 35.000 €. Für Kategorie HOCH oder komplexe Systeme übersteigen die Kosten 35.000 € und können in großen Organisationen 60.000 bis 80.000 € erreichen. Diese Kosten beinhalten nicht das externe Zertifizierungsaudit, das direkt mit einer von ENAC akkreditierten Stelle vereinbart wird.

Warum spezialisierte Beratung den Unterschied macht

Spezialisierte Beratung beeinflusst drei Variablen: Zeit (durchschnittlich 40 % Fristreduktion), Kosten (Vermeidung von Phasen-Wiederholungen) und Erfolgsquote im ersten Audit (über 90 % mit erfahrenem Berater gegenüber 50–60 % ohne).