Ich bin Ángel Ortega Castro, unabhängiger ENS-Berater. Ich begleite Unternehmen, die mit der Diputación de León, dem Ayuntamiento de León und der Universidad de León (ULE) zusammenarbeiten möchten, bei ihrer Anpassung an den Esquema Nacional de Seguridad (ENS) – das spanische nationale Rahmenwerk für Informationssicherheit der öffentlichen Verwaltung. Ohne Umwege, ohne leere Fachbegriffe: von der Diagnose bis zur Konformität.
León verfügt über drei bedeutende öffentliche Einrichtungen, die ein erhebliches Volumen an technologischer Auftragsvergabe generieren: die Diputación Provincial de León, die digitale Verwaltungsdienstleistungen für mehr als 200 Gemeinden der Provinz erbringt und im Bereich Tourismus und ländliche Entwicklung auf ihre IKT-Infrastruktur setzt; der Ayuntamiento de León, der über seine elektronische Verwaltungsplattform (Sede Electrónica) Bürgerverfahren online bearbeitet und seine Agenda als digitale Stadt konsequent weiterentwickelt; sowie die Universidad de León (ULE), eine öffentliche Hochschule mit mehr als 10.000 Studierenden, die Daten aus Lehre, Forschung und Personal von hohem Wert verwaltet und regelmäßig Software-, Hosting- und technische Supportleistungen ausschreibt. Alle drei Einrichtungen gelten als öffentliche Verwaltung im Sinne des Real Decreto 311/2022 (BOE-A-2022-7191) vom 3. Mai, mit dem der Esquema Nacional de Seguridad geregelt wird.
Das Entscheidende für Unternehmen liegt nicht nur im direkten Erfüllen der Norm: Es geht darum zu verstehen, dass der ENS die gesamte Lieferkette erfasst. RD 311/2022 erstreckt die ENS-Anpassungspflicht ausdrücklich auf private Organisationen, die der öffentlichen Verwaltung Dienstleistungen oder Lösungen auf vertraglicher Basis erbringen. Ein Softwareentwicklungsunternehmen, das die Diputación de León beliefert, ein Anbieter von Managed Security Services für den Ayuntamiento oder ein Systemintegrator für die ULE ist ebenso Normadressat wie die Verwaltungen selbst.
Die Diputación de León vergibt Verträge für IKT-Dienste, Dokumentenmanagement und digitale Transformation. Die ENS-Konformität entwickelt sich zunehmend zu einem Kriterium der technischen Leistungsfähigkeit in ihren Ausschreibungsunterlagen.
Der Ayuntamiento de León bearbeitet über seine Sede Electrónica sensible Bürgerdaten. Anbieter von Plattformen und Support müssen Sicherheitsmaßnahmen nachweisen, die dem jeweiligen Risiko angemessen sind.
Die Universidad de León (ULE) verarbeitet Forschungsdaten, akademische Unterlagen und Personalverträge, die durch die DSGVO geschützt sind. Unternehmen, die technologische Dienste erbringen, müssen ein Sicherheitsniveau nachweisen, das dem vom ENS geforderten entspricht.
Die Übergangsfrist des RD 311/2022 für bereits bestehende Systeme endete am 5. Mai 2024. Es gibt keinen Aufschub mehr: Die Verpflichtung ist bei jeder öffentlichen Ausschreibung in León heute durchsetzbar.
Unternehmen aus León oder solche, die in der Provinz tätig sind und öffentliche Aufträge anstreben, stehen vor einer Situation, in der Informationssicherheit kein optionales Kriterium mehr ist. Ausschreibungsunterlagen der Diputación de León, des Ayuntamiento de León und der ULE enthalten mit zunehmender Häufigkeit die ENS-Konformität als Zugangsvoraussetzung oder als technisches Wertungskriterium. Wer diese Konformität nicht nachweisen kann, scheidet aus dem Auswahlverfahren aus, bevor auch nur ein Angebot geöffnet wird.
Die Anpassung dient jedoch nicht allein der Teilnahme an Ausschreibungen. Sie zeigt jedem Kunden – öffentlich wie privat –, dass Ihre Organisation Informationen mit Sorgfalt behandelt und dass die ihr anvertrauten Daten unter einem anerkannten Sicherheitsrahmen liegen. Das ist ein Differenzierungsfaktor, der weit über die bloße Normeinhaltung hinausgeht. Die ENS-Beratung, die ich anbiete, deckt den gesamten Prozess ab: von der Erstdiagnose bis zur Übergabe der prüffertigen Nachweise. Einen Überblick über den Normenrahmen bietet der ENS-Leitfaden als besten Ausgangspunkt.
Die Systemkategorie wird nicht gewählt: Sie wird berechnet, indem die Auswirkungen eines Sicherheitsvorfalls auf die fünf CIDAT-Dimensionen – Vertraulichkeit (Confidencialidad), Integrität (Integridad), Verfügbarkeit (Disponibilidad), Authentizität (Autenticidad) und Nachvollziehbarkeit (Trazabilidad) – bewertet werden. Die Dimension mit der höchsten Einstufung bestimmt die Kategorie des Gesamtsystems. Für Anbieter der Behörden in León ist die Kategorie Basis am häufigsten, wenn die verwalteten Daten nur begrenzte Auswirkungen haben; Systeme, die sensiblere Informationen verarbeiten, können die Kategorie Mittel erreichen.
Ein Vorfall würde begrenzte Folgen für die Funktionen der Organisation, ihre Informationswerte oder die betroffenen Personen haben.
Mindestens eine Dimension erreicht die Stufe Mittel: Ein Vorfall hätte schwerwiegende Folgen für die Organisation oder die betroffenen Personen.
Ein Vorfall hätte sehr schwerwiegende oder irreversible Folgen: Mindestens eine Dimension erreicht die Stufe Hoch.
In Kategorie Basis wird die Konformität durch eine selbstevaluierte Konformitätserklärung nachgewiesen. Die Organisation überprüft die Erfüllung gemäß den CCN-STIC-Leitfäden und formalisiert die Erklärung. Ich bereite die gesamte Dokumentation und die Nachweise vor, damit diese Erklärung solide ist und der Prüfung durch den öffentlichen Auftraggeber in León standhält.
In Kategorie Mittel oder Hoch erfordert die Konformität eine Zertifizierung durch eine von ENAC akkreditierte Stelle gemäß der Norm UNE-EN ISO/IEC 17065:2012. Ich bereite Ihre Organisation darauf vor; die Zertifizierung stellt die akkreditierte Stelle aus, die vom Berater unabhängig ist.
Die Arbeit endet nicht mit einem generischen Bericht. Jedes Arbeitsergebnis beantwortet eine konkrete Anforderung des RD 311/2022 und seiner Anhänge und ist darauf ausgelegt, der Prüfung durch den öffentlichen Auftraggeber oder die Zertifizierungsstelle standzuhalten.
Ich bin Ángel Ortega Castro, unabhängiger Berater mit Spezialisierung auf Compliance und Informationssicherheit. Ich begleite Unternehmen, die Dienstleistungen für die öffentliche Verwaltung erbringen möchten – darunter die Diputación de León, den Ayuntamiento de León und die Universidad de León – bei ihrer Anpassung an den Esquema Nacional de Seguridad (ENS) (RD 311/2022).
Meine Arbeit ist echte Begleitung: Ich verstehe Ihr Geschäft, bevor ich einen einzigen Anhang aufschlage, übersetze die Norm in konkrete Entscheidungen und lasse Ihr Team am Projektende in der Lage, die Konformität selbstständig aufrechtzuerhalten. Ich verschwinde nicht nach der ersten Lieferung.
Ich bin transparent in dem, was ich versprechen kann und was nicht: Ich bereite vor und passe an; die Zertifizierung stellt eine von ENAC akkreditierte Stelle aus. Diese Ehrlichkeit, kombiniert mit der Präzision bei der Anwendung des RD 311/2022 und der CCN-STIC-Leitfäden, unterscheidet diese Leistung von Beratungsunternehmen, die Siegel verkaufen, ohne den Prozess zu begleiten.
System-Integratoren und IKT-Beratungsunternehmen, die Dienste in den Bereichen elektronische Verwaltung, Dokumentenmanagement oder Infrastruktur für die Diputación Provincial de León und die von ihr betreuten Kommunen erbringen. ENS-Konformität ist der Schlüssel, um diese Verträge zu erschließen.
Unternehmen, die dem Ayuntamiento von León Plattformen für die Vorgangsbearbeitung, Lösungen für digitale Identität oder Managed Security Services anbieten. Der Ayuntamiento verlangt von Anbietern, die auf seine Systeme und die Daten seiner Bürger zugreifen, konkrete Sicherheitsgarantien.
Software-, Hosting- und Datenanalysefirmen, die von der Universidad de León (ULE) beauftragt werden. Die ULE verarbeitet sensible Daten von Studierenden, Forschern und Personal und überträgt ihre Sicherheitspflichten vertraglich auf die Anbieter, mit denen sie zusammenarbeitet.
Es gibt keinen Einheitspreis, der ohne Kenntnis Ihres Falls gilt. Die Investition hängt vom Geltungsbereich des Systems, von der resultierenden Kategorie (Basis, Mittel oder Hoch), von Ihrer Ausgangslage in der Informationssicherheit und davon ab, ob die Konformität nur eine Erklärung oder auch eine akkreditierte Zertifizierung erfordert.
In Kategorie Mittel oder Hoch kommen zum Beratungshonorar die Kosten der von ENAC akkreditierten Zertifizierungsstelle hinzu, die unabhängig von meinem Honorar sind und vom Dritten in Rechnung gestellt werden, der das Konformitätsaudit durchführt.
Die Einrichtungen, die als öffentliche Verwaltung fungieren – darunter die Diputación Provincial de León, der Ayuntamiento de León und die Universidad de León (ULE) – sind verpflichtet, den ENS anzuwenden und entsprechend ENS-Konformität von privaten Unternehmen zu verlangen, die ihnen technologische Dienste oder Lösungen erbringen. Diese Ausdehnung auf die Lieferkette ist im RD 311/2022 ausdrücklich geregelt und betrifft alle Verträge, die die Verarbeitung von Informationen oder den Zugang zu Systemen der Verwaltung beinhalten.
Ja, wenn die Leistung den Zugang zu oder die Verarbeitung von Informationen der Systeme des Ayuntamiento beinhaltet. Der Ayuntamiento de León betreibt seine Sede Electrónica und zahlreiche digitale Dienste im Rahmen des RD 311/2022; seine Ausschreibungsunterlagen für technologische Aufträge enthalten die ENS-Konformität mit zunehmender Häufigkeit als Kriterium der technischen Leistungsfähigkeit. Wer sie nicht nachweisen kann, kann vor der Angebotsprüfung ausgeschlossen werden. Ich begleite Sie durch die gesamte ENS-Beratung, die Sie benötigen.
Die ULE ist eine öffentliche Einrichtung, die dem ENS in ihren eigenen Systemen unterworfen ist und diese Verpflichtung vertraglich auf ihre Technologieanbieter überträgt, wenn die Leistung den Zugang zu Systemen oder die Verarbeitung universitärer Daten beinhaltet. Dazu gehören Anbieter von E-Learning-Plattformen, Hochschulverwaltungssoftware, Cloud-Hosting und technischem Infrastruktur-Support. Die ENS-Konformität – und die sie stützende Dokumentation – ist der Weg, um diesen Anforderungen gerecht zu werden.
Das hängt von den konkreten Daten und Diensten ab, die Ihr Unternehmen verwaltet. Für die Mehrheit der Anbieter der lokalen leonesischen Verwaltung – Supportleistungen, Dokumentenmanagement oder Plattformen für Verwaltungsvorgänge mit begrenzter Auswirkung – ist die Kategorie Basis am häufigsten. Die Kategorie Mittel gilt, wenn ein Vorfall schwerwiegende Folgen hätte, beispielsweise bei Systemen, die sensible personenbezogene Daten verarbeiten oder wesentliche Dienste erbringen. Die Kategorie Hoch ist bei Anbietern der Kommunalverwaltung seltener. Der erste Schritt ist stets die Diagnose, die die Kategorie anhand objektiver Kriterien bestimmt.
In Kategorie Basis ja: Die Konformität wird durch eine selbstevaluierte Konformitätserklärung nachgewiesen, ohne dass ein Drittparteienaudit erforderlich ist. In Kategorie Mittel oder Hoch reicht die Erklärung nicht aus; es ist eine Zertifizierung durch eine von ENAC akkreditierte Stelle gemäß der Norm UNE-EN ISO/IEC 17065:2012 erforderlich. Die Kategorie wird durch die Systembewertung bestimmt, nicht nach eigenem Ermessen des Anbieters. Ich bereite die Konformitätserklärung mit der gesamten Begleitdokumentation vor, damit sie vor jedem Prüfer verteidigt werden kann.
Der Zeitrahmen hängt von der Systemkategorie und dem Reifegrad der Organisation ab. Ein Projekt der Kategorie Basis mit einem Unternehmen, das bereits dokumentierte Kontrollen hat, kann in wenigen Wochen abgeschlossen werden. Ein Projekt der Kategorie Mittel mit mehreren Systemen und akkreditierter Zertifizierung kann mehrere Monate in Anspruch nehmen. Dies schätze ich in der Erstdiagnose, die der erste Schritt jedes Projekts ist und aus der Sie bereits nützliche Informationen gewinnen, auch wenn Sie sich entscheiden, nicht fortzufahren.
Erstes Gespräch kostenlos und unverbindlich. Wir bewerten gemeinsam Ihren Geltungsbereich, bestimmen die für Sie geltende Kategorie und ich unterbreite Ihnen, wenn wir gut zueinander passen, ein Festangebot. Falls nicht, nehmen Sie zumindest eine erste Diagnose mit, die Ihnen beim Einstieg in die Compliance bereits nützlich ist.