Ich bin Ángel Ortega Castro, unabhängiger ENS-Berater mit aktiver Präsenz auf den Kanarischen Inseln. Ich begleite Unternehmen in Las Palmas de Gran Canaria bei der Anpassung an den Esquema Nacional de Seguridad (ENS) — das nationale Rahmenwerk zur Informationssicherheit der öffentlichen Verwaltung Spaniens gemäß RD 311/2022 —, damit sie Leistungen für den Gobierno de Canarias, den Cabildo de Gran Canaria und den Ayuntamiento capitalino mit vollständiger normativer Absicherung erbringen können.
Las Palmas de Gran Canaria weist im Archipel eine außergewöhnliche Verwaltungsdichte auf. Hier haben Behörden aller drei Regierungsebenen ihren Sitz oder ihre Delegationen — und alle sind gemäß Real Decreto 311/2022 (BOE-A-2022-7191) vom 3. Mai verpflichtet, den Esquema Nacional de Seguridad (ENS) einzuhalten. Diese Pflicht erstreckt sich ausdrücklich auf die Lieferkette: Jedes private Unternehmen, das ihnen Dienste oder Lösungen mit einer IKT-Komponente erbringt, muss die ENS-Konformität nachweisen.
Der Gobierno de Canarias unterhält in Las Palmas de Gran Canaria zahlreiche Ministerien, Autonome Behörden und Agenturen — darunter den Servicio Canario de Salud, den Servicio Canario de Empleo und die Agencia Tributaria Canaria. All diese Stellen verwalten Informationssysteme, die die Daten von Millionen von Bürgern verarbeiten, und fallen in den Anwendungsbereich des ENS. Wenn sie digitale Dienste vergeben — Softwareentwicklung, Infrastrukturverwaltung, Cloud-Computing, technischen Support oder Technologieberatung —, fordern die Ausschreibungsunterlagen von den Auftragnehmern den Nachweis ihrer ENS-Konformität.
Der Cabildo de Gran Canaria, die Inselkörperschaft mit Zuständigkeiten in den Bereichen Straßen, Sozialleistungen, Tourismus, Umwelt und Wirtschaftsförderung, ist einer der größten öffentlichen Auftraggeber der Insel. Seine IKT-Ausschreibungen enthalten die ENS-Konformität mit wachsender Häufigkeit als Kriterium der technischen Leistungsfähigkeit. Dasselbe gilt für den Ayuntamiento de Las Palmas de Gran Canaria, die bevölkerungsreichste Gemeinde der Kanarischen Inseln, mit kommunalen Unternehmen wie EMALSA (Wasser und Abwasser) oder Guaguas Municipales: Jeder Auftragnehmer, der für diese Stellen Daten verarbeitet oder Systeme verwaltet, fällt in den obligatorischen Geltungsbereich des ENS.
Die Universidad de Las Palmas de Gran Canaria (ULPGC), öffentliche Hochschule mit mehreren über die Insel verteilten Campus, unterliegt ebenfalls dem ENS in ihren akademischen, administrativen und Forschungs-Informationssystemen. Software- oder Technologiedienstleistungsunternehmen, die mit der ULPGC zusammenarbeiten, müssen daher die ENS-Anforderungen von Beginn jedes Vergabeverfahrens an berücksichtigen.
Ministerien, Autonome Behörden und Agenturen mit Sitz in Las Palmas. Ihre IKT-Auftragnehmer müssen ENS-Konformität nachweisen.
Inselkörperschaft mit weitreichenden Zuständigkeiten. IKT-Ausschreibungen enthalten ENS-Konformität als Kriterium der technischen Leistungsfähigkeit.
Bevölkerungsreichste Gemeinde der Kanarischen Inseln mit eigenen Kommunalunternehmen. Deren Auftragnehmer fallen unter die ENS-Lieferkettenpflicht.
Öffentliche Universität, ENS-pflichtig in ihren Informationssystemen. Unternehmen, die Software oder Dienste für die ULPGC erbringen, fallen in den Geltungsbereich.
Die Kanarischen Inseln gehören nicht zum MwSt.-Gebiet der Europäischen Union. Die im Archipel geltende indirekte Steuer ist der IGIC (Impuesto General Indirecto Canario), geregelt durch das Gesetz 20/1991, mit Steuersätzen, die in der Regel unter der spanischen Mehrwertsteuer liegen. Diese Besonderheit des Régimen Económico y Fiscal (REF) de Canarias — des kanarischen Wirtschafts- und Steuerregimes — wirkt sich auf die Rechnungsstellung aus, nicht aber auf die normative Pflicht als solche.
Das RD 311/2022 gilt im gesamten spanischen Staatsgebiet, einschließlich der Kanarischen Inseln, mit identischen technischen und dokumentarischen Anforderungen. Kategorie des Systems, Maßnahmen des Anhangs II und Konformitätsprozess sind dieselben, unabhängig davon, wo das Unternehmen seinen Sitz hat. Was sich ändert: Wenn ich mit einem auf den Kanarischen Inseln ansässigen Unternehmen zusammenarbeite, wird die Beratungsrechnung mit IGIC statt mit Mehrwertsteuer ausgestellt. Das ist ein praktischer, buchhalterischer Aspekt — kein Unterschied im normativen Geltungsbereich. Zu beachten ist auch, dass Unternehmen, die unter die Zona Especial Canaria (ZEC) fallen und der öffentlichen Verwaltung Dienste erbringen, ebenfalls ENS-pflichtig sind, soweit ihre Systeme von diesem Vertragsverhältnis betroffen sind.
Für europäische oder deutsch-sprachige Unternehmen mit Niederlassung auf den Kanarischen Inseln, die öffentliche Aufträge von kanarischen Behörden erhalten möchten, ändert sich am ENS-Anpassungsprozess nichts: Diagnose, Kategorisierung, MAGERIT-Risikoanalyse, Anpassungsplan und Konformitätserklärung verlaufen identisch. Lediglich die Einschaltung eines lokalen Steuerberaters für den IGIC-Aspekt empfiehlt sich. Der vollständige ENS-Leitfaden erläutert alle Schritte des Prozesses.
Der Anpassungsprozess folgt den Phasen des ENS-Rahmenwerks und den CCN-STIC-Leitfäden des Centro Criptológico Nacional. Jede Phase erzeugt ein Arbeitsergebnis, das auf dem vorherigen aufbaut. Ich begleite Sie von Anfang bis Ende — ich überreiche keine Unterlagen und verschwinde dann.
| Phase | Was wir tun | Referenz und Ergebnis |
|---|---|---|
| Phase 01 Diagnose (GAP) |
Differenzanalyse zwischen Ihrer aktuellen Situation und den ENS-Anforderungen. Definition des Geltungsbereichs und der betroffenen Informationssysteme, einschließlich derer, die kanarischen Behörden dienen. | Diagnosebericht / GAP-Analyse mit dem tatsächlichen Abstand zur Konformität. |
| Phase 02 Kategorisierung |
Bewertung der Systeme in den fünf Sicherheitsdimensionen (CIDAT) und Zuweisung der Kategorie: Basis, Mittel oder Hoch. | Anhang I des ENS. Bestimmt die anwendbare Kategorie auf Basis der potenziellen Schadensauswirkung eines Vorfalls. |
| Phase 03 Risikoanalyse |
Identifikation von Aktiven, Bedrohungen und Schutzmaßnahmen mit der Methodik MAGERIT. | MAGERIT-Risikoanalysebericht und Risikobehandlungsplan. |
| Phase 04 Anpassungsplan + Anwendbarkeitserklärung |
Sicherheitspolitik, Auswahl der Maßnahmen und Redaktion der Anwendbarkeitserklärung (Declaración de Aplicabilidad, DdA), mit Begründung jeder anwendbaren Kontrolle. | Leitfaden CCN-STIC 806. Anpassungsplan und Konformitätserklärung. |
| Phase 05 Implementierung |
Umsetzung der Maßnahmen aus Anhang II: organisatorischer, operativer und schützender Rahmen. Direkte Begleitung Ihres Teams in Las Palmas. | Implementierung der Maßnahmen aus Anhang II mit prüfbaren Nachweisen. |
| Phase 06 Vorbereitung der Konformität |
Vorprüfung und Begleitung während des Konformitätsprozesses. In Kategorie Mittel oder Hoch: Vorbereitung auf das Audit der akkreditierten Stelle. | Anhang III. Ich bereite vor; das Zertifikat stellt die ENAC-akkreditierte Stelle aus. |
Die Kategorie eines Systems ergibt sich aus der Bewertung der Auswirkungen, die ein Sicherheitsvorfall auf die fünf CIDAT-Dimensionen hätte — Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität und Rückverfolgbarkeit. Die Dimension mit dem höchsten Niveau bestimmt die Gesamtkategorie des Systems. Das ist keine subjektive Schätzung, sondern das Ergebnis der technischen Analyse jedes einzelnen Systems.
Wenn ein Vorfall einen begrenzten Schaden für die Funktionen der Organisation oder für Personen verursachen würde. Typisch bei digitalen Diensten geringerer Kritikalität.
Wenn ein Vorfall einen erheblichen Schaden verursachen würde. Mindestens eine Dimension erreicht das mittlere Niveau.
Wenn ein Vorfall einen sehr schweren oder irreparablen Schaden verursachen würde. Mindestens eine Dimension erreicht das hohe Niveau.
In der Kategorie Basis wird die Konformität durch eine selbstbewertete Konformitätserklärung nachgewiesen: Die Organisation selbst prüft die Einhaltung anhand der CCN-STIC-Leitfäden. Ich bereite die gesamte Dokumentation und die Nachweise vor, damit die Erklärung stichhaltig ist und jeder Überprüfung durch kanarische Auftraggeber standhält.
In den Kategorien Mittel und Hoch erfordert die Konformität eine Zertifizierung durch eine von ENAC akkreditierte Stelle gemäß der Norm ISO/IEC 17065:2012. Ich bereite Ihr Unternehmen auf das Bestehen dieses Audits vor; das Zertifikat stellt die akkreditierte Stelle aus, nicht der Berater. Das ist die Transparenz, die meine Arbeit auszeichnet.
Ich liefere kein PDF, das niemand wieder öffnet. Ich liefere den Dokument- und Technikkorpus, der die Konformität trägt und den der Cabildo, der Gobierno de Canarias oder jede andere kanarische öffentliche Stelle in den Ausschreibungsunterlagen sehen will.
Ich bin Ángel Ortega Castro, unabhängiger Berater mit Spezialisierung auf normative Compliance und Informationssicherheit, mit aktiver Präsenz auf den Kanarischen Inseln. Ich begleite Unternehmen in Las Palmas de Gran Canaria bei ihrer Anpassung an den Esquema Nacional de Seguridad, damit sie mit vollständigen Garantien an der öffentlichen Auftragsvergabe des Archipels teilnehmen können.
Ich verstehe das kanarische Verwaltungsökosystem: Der Gobierno de Canarias, die Inselräte (Cabildos) und die großen Gemeindeverwaltungen haben ihre eigenen Ausschreibungsrhythmen und Anforderungen an die technische Leistungsfähigkeit. Meine Arbeit besteht darin, das RD 311/2022 in konkrete Entscheidungen für Ihr Team zu übersetzen und die Organisation so aufzustellen, dass sie die Konformität nach Abschluss des Projekts selbstständig aufrechterhalten kann.
Ich bin transparent darüber, was ich leisten kann und was nicht: Ich bereite Ihre Organisation vor und passe sie an; das Zertifikat in Kategorie Mittel oder Hoch stellt eine ENAC-akkreditierte Stelle aus. Diese Klarheit vom ersten Tag an ist es, was eine ehrliche Begleitung von einem Versprechen ohne Substanz unterscheidet.
Entwickler, Systemintegratoren und SaaS-Anbieter, die Ministerien oder Agenturen des Gobierno de Canarias Dienste erbringen und ihre ENS-Konformität nachweisen müssen, um bestehende öffentliche Verträge zu verlängern oder neue zu gewinnen.
Organisationen aus Las Palmas, die Angebote beim Cabildo de Gran Canaria, beim Ayuntamiento capitalino oder bei deren kommunalen Unternehmen einreichen wollen und in den Ausschreibungsunterlagen ENS-Konformität als Anforderung an die technische Leistungsfähigkeit vorfinden.
Unternehmen, die Anwendungen entwickeln, Infrastruktur verwalten oder Datendienste für die Universidad de Las Palmas de Gran Canaria erbringen und die ENS-Konformität in bestehenden oder künftigen Verträgen nachweisen müssen.
Es gibt keinen Einheitspreis — und misstrauen Sie jemandem, der Ihnen einen nennt, ohne Ihren Fall zu kennen. Die Investition hängt vom Geltungsbereich (wie viele Systeme), der Kategorie (Basis, Mittel oder Hoch), Ihrer Ausgangssituation und davon ab, ob eine akkreditierte Zertifizierung erforderlich ist oder eine selbstbewertete Konformitätserklärung ausreicht.
Bitte beachten: Die Beratungsrechnung für kanarische Unternehmen wird mit IGIC (nicht Mehrwertsteuer) ausgestellt. In Kategorie Mittel oder Hoch kommen zum Beratungshonorar die Kosten der ENAC-akkreditierten Zertifizierungsstelle hinzu, die unabhängig sind und vom Dritten, der das Audit durchführt, in Rechnung gestellt werden.
Ja, wenn die angebotenen Dienste oder Lösungen eine IKT-Komponente haben und Teil der Lieferkette dieser Stellen sind. Das RD 311/2022 erstreckt die ENS-Pflicht auf private Auftragnehmer des öffentlichen Sektors, unabhängig davon, ob der Auftraggeber der Zentralstaat, eine Autonome Gemeinschaft, ein Inselrat oder eine Kommunalverwaltung ist. Der Cabildo de Gran Canaria und der Ayuntamiento de Las Palmas de Gran Canaria sind normativ verpflichtete Stellen; ihre Auftragnehmer erben die Pflicht in den betroffenen Systemen.
Ja. Die Universidad de Las Palmas de Gran Canaria ist eine Einrichtung des öffentlichen Hochschulsektors und als solche in ihren Informationssystemen ENS-pflichtig. Diese Pflicht überträgt sich über die Ausschreibungsunterlagen auf ihre Auftragnehmer. Ein Software- oder Cloud-Dienstleister, der mit der ULPGC zusammenarbeiten möchte, muss die ENS-Anpassung als Teil seines technischen Angebots einplanen.
Ja, uneingeschränkt. Das RD 311/2022 knüpft die ENS-Konformitätspflicht an das Vertragsverhältnis mit dem öffentlichen Auftraggeber, nicht an den Sitz des Unternehmens. Ein deutsches, österreichisches oder schweizerisches Unternehmen, das dem Gobierno de Canarias, dem Cabildo de Gran Canaria oder einer anderen spanischen öffentlichen Stelle IKT-Dienste erbringt, muss die ENS-Konformität in dem für den Vertragsgegenstand maßgeblichen Geltungsbereich nachweisen. Der ENS ist mit ISO/IEC 27001 verwandt, geht jedoch darüber hinaus: Er verlangt spezifische Maßnahmen nach Anhang II und Nachweisformate, die auf die spanische öffentliche Verwaltung zugeschnitten sind und ISO-zertifizierten Unternehmen nicht automatisch zugutekommen. Zusätzlich ist bei kanarischen Auftraggebern je nach vertraglicher Gestaltung der IGIC-Aspekt steuerlich zu berücksichtigen.
Nur in der Rechnungsstellung. Die Kanarischen Inseln erheben IGIC (Impuesto General Indirecto Canario) statt Mehrwertsteuer; wenn ich mit einem im Archipel ansässigen Unternehmen zusammenarbeite, wird die Rechnung für den Dienst mit IGIC ausgestellt. Der Anpassungsprozess an den ENS — Diagnose, Kategorisierung, Risikoanalyse, Anpassungsplan, Implementierung und Konformität — ist identisch mit dem für jedes festlandspanische Unternehmen. Das RD 311/2022 macht keine territoriale Unterscheidung.
Das hängt von der Kategorie des Systems ab. In Kategorie Basis wird die Konformität durch eine selbstbewertete Erklärung der Organisation selbst nachgewiesen. In Kategorie Mittel oder Hoch verlangt die Norm eine Zertifizierung durch eine von ENAC akkreditierte Stelle gemäß ISO/IEC 17065. Als Berater bereite ich Sie auf die Konformität auf beiden Wegen vor; in Kategorie Mittel/Hoch stellt das Zertifikat die akkreditierte Stelle aus, nicht der Berater.
Es gibt keine feste Kategorie: Sie wird bestimmt, indem die tatsächlichen Auswirkungen eines Sicherheitsvorfalls auf die fünf CIDAT-Dimensionen des konkreten Systems bewertet werden. Viele Anbieter digitaler Dienste geringerer Kritikalität — Dokumentenmanagement, Webportale, Produktivitätswerkzeuge — fallen in Kategorie Basis. Systeme, die sensible Bürgerdaten verarbeiten, kritische Infrastrukturen verwalten oder wesentliche Funktionen unterstützen, können Kategorie Mittel oder Hoch erreichen. Die Erstdiagnose ist der einzig valide Weg, das verlässlich zu bestimmen.
Erstes Gespräch kostenlos und unverbindlich. Gemeinsam klären wir Ihren Geltungsbereich, Ihre Kategorie und die kanarischen Behörden, für die Sie bereits tätig sind oder tätig werden möchten — und ich unterbreite Ihnen ein verbindliches Angebot. Wenn es am Ende nicht passt, nehmen Sie eine nützliche Erstdiagnose mit.