Ich bin Ángel Ortega Castro, unabhängiger ENS-Berater. Ich begleite Unternehmen in Palencia, die für die Diputación de Palencia, den Ayuntamiento de Palencia oder andere öffentliche Stellen tätig werden oder es werden wollen, bei der Anpassung an den Esquema Nacional de Seguridad (ENS) — das spanische nationale Rahmenwerk zur Informationssicherheit gemäß RD 311/2022 —.
Der Esquema Nacional de Seguridad (ENS) — Spaniens nationales Rahmenwerk für Informationssicherheit —, geregelt durch den Real Decreto 311/2022, de 3 de mayo (BOE-A-2022-7191), legt die verbindliche Informationssicherheitspolitik für den spanischen öffentlichen Sektor und für alle Privatunternehmen fest, die ihm vertraglich Leistungen erbringen. Palencia bildet da keine Ausnahme: Die Diputación de Palencia und der Ayuntamiento de Palencia sind als lokale Körperschaften unmittelbar an den ENS gebunden und geben diese Anforderung über die technischen Leistungsbeschreibungen ihrer Ausschreibungen an ihre Lieferanten und Auftragnehmer weiter.
Das bedeutet konkret: Ein Unternehmen aus Palencia, das mit der öffentlichen Verwaltung zusammenarbeiten möchte — sei es durch Entwicklung oder Wartung von Verwaltungssoftware, Erbringung von Kommunikationsinfrastrukturdiensten oder Bereitstellung von Cloud-Lösungen —, muss nachweisen, dass sein Umgang mit Informationen dem ENS entspricht. Das ist kein bürokratischer Formalismus: Es ist der Mechanismus, der sicherstellt, dass die Lieferkette des öffentlichen Sektors dieselben Sicherheitsstandards wahrt wie die Einrichtung, der sie dient.
Einen vollständigen Überblick über den Rechtsrahmen bietet der ENS-Leitfaden im Compliance-Hub und die Beschreibung der ENS-Beratung für Unternehmen.
Die Diputación de Palencia und der Ayuntamiento de Palencia nehmen den ENS als Anforderung in IKT-Verträge auf. Ohne nachgewiesene Konformität wird ein Angebot von vornherein ausgeschlossen.
Die Anpassung ist kein bloßes Siegel: Sie implementieren risikoproportionale Kontrollen für Ihre Systeme und Prozesse — nach der MAGERIT-Methodik und den CCN-STIC-Leitfäden.
Die Delegación Territorial der Junta de Castilla y León in Palencia und das Complejo Asistencial Universitario de Palencia vergeben ebenfalls externe Dienstleistungsaufträge, die ENS-Konformität voraussetzen.
Die ENS-Konformität wird alle zwei Jahre erneuert; wer früher beginnt, festigt Erfahrung und Prozesse, während der Wettbewerb noch an der Vorbereitung arbeitet.
Die Wirtschaftsstruktur Palencias — mit starker Präsenz in der Agrar- und Lebensmittelbranche, im Logistiksektor und im Dienstleistungsbereich — zählt immer mehr KMU, die den öffentlichen Beschaffungsmarkt als Wachstumschance begreifen. Die Diputación de Palencia erbringt technologische Unterstützungsdienste für die Gemeinden der Provinz über ihren Kooperationsdienst, was eine Kette von Verträgen mit privaten IKT-, Beratungs- und Wartungsanbietern erzeugt. Der Ayuntamiento de Palencia seinerseits verwaltet digitale Stadtdienste — elektronisches Verwaltungsportal, Plattform für Bürgerbeteiligung, Online-Antragstellung —, die auf externe Systeme und Anbieter angewiesen sind.
Beide Einrichtungen sind als Kommunalbehörden verpflichtet, sicherzustellen, dass ihre Informationssysteme — und die der Unternehmen, die diese verwalten oder mit Daten versorgen — dem ENS entsprechen. Wenn ein Leistungsverzeichnis der Diputación oder des Ayuntamiento de Palencia die Konformität mit RD 311/2022 verlangt, ist es ohne entsprechenden Nachweis nicht möglich, ein Angebot einzureichen. Die allgemeine Übergangsfrist für vorhandene Systeme endete am 5. Mai 2024; ab diesem Zeitpunkt gilt die Pflicht uneingeschränkt und ohne Aufschub.
Dieselbe Logik gilt für Unternehmen aus Palencia, die Dienstleistungen für regionale Stellen mit Sitz in der Provinz erbringen: die Delegación Territorial der Junta de Castilla y León in Palencia, öffentliche Bildungseinrichtungen und das Complejo Asistencial Universitario de Palencia vergeben externe Aufträge — Dokumentenmanagement, Cybersicherheit, Cloud-Dienste, Infrastrukturwartung —, die in den Geltungsbereich des ENS fallen, sobald sie öffentliche Informationssysteme betreffen.
Der Prozess folgt der Abfolge, die die CCN-STIC-Leitfäden vorgeben. Jede Phase erzeugt ein Ergebnis, das als Grundlage für die nächste dient. Dies ist die vollständige Roadmap — von der Erstdiagnose bis zur Vorbereitung des Konformitätsaudits.
| Phase | Vorgehen | Referenz und Ergebnis |
|---|---|---|
| Phase 01 Diagnose (Gap) |
Differenzanalyse zwischen Ist-Zustand und ENS-Anforderungen. Festlegung des Geltungsbereichs und der betroffenen Informationssysteme. | Diagnosebericht / GAP-Analyse mit dem tatsächlichen Abstand zur Konformität. |
| Phase 02 Kategorisierung |
Bewertung der Systeme in den fünf Sicherheitsdimensionen (CIDAT) und Zuordnung der Kategorie: Basis, Mittel oder Hoch. | Anhang I des ENS. Bestimmt die anwendbare Kategorie Basis, Mittel oder Hoch. |
| Phase 03 Risikoanalyse |
Identifizierung von Vermögenswerten, Bedrohungen und Schutzmaßnahmen nach der MAGERIT-Methodik, unterstützt durch Werkzeuge wie PILAR. | MAGERIT-Risikoanalysebericht und Risikobehandlungsplan. |
| Phase 04 Anpassungsplan + DdA |
Sicherheitspolitik, Maßnahmenauswahl und Redaktion der Anwendbarkeitserklärung (DdA), in der jede Kontrolle aus Anhang II begründet wird. | Leitfaden CCN-STIC 806. Anpassungsplan und Konformitätserklärung. |
| Phase 05 Implementierung |
Einführung der ausgewählten Maßnahmen: Organisations-, Betriebs- und Schutzrahmen. Begleitung des Unternehmensteams. | Umsetzung der Maßnahmen aus Anhang II mit dokumentierten Nachweisen. |
| Phase 06 Konformitätsvorbereitung |
Vorprüfung und Begleitung während des Konformitätserklärungsprozesses (Basis) oder des Audits durch eine akkreditierte Stelle (Mittel/Hoch). | Anhang III. Ich bereite die Konformität vor; die Zertifizierung stellt die von ENAC akkreditierte Stelle aus. |
Die Kategorie wird nicht gewählt: Sie ergibt sich aus der Bewertung, welchen Schaden ein Vorfall in den fünf CIDAT-Sicherheitsdimensionen — Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität und Rückverfolgbarkeit — verursachen würde. Die Dimension mit dem höchsten Bewertungsniveau bestimmt die Gesamtkategorie. Für einen Auftragnehmer der Diputación de Palencia oder des Ayuntamiento de Palencia legt die ermittelte Kategorie sowohl den Umfang der umzusetzenden Maßnahmen als auch den geforderten Konformitätsweg fest.
Wenn ein Vorfall einen begrenzten Schaden für die Funktionen der Organisation, ihr Vermögen oder die Betroffenen verursachen würde.
Wenn ein Vorfall einen erheblichen Schaden verursachen würde: mindestens eine Dimension erreicht das mittlere Niveau.
Wenn ein Vorfall einen sehr schweren, möglicherweise irreparablen Schaden verursachen würde: mindestens eine Dimension erreicht das hohe Niveau.
In der Kategorie Basis weist die Organisation ihre Konformität durch eine selbstbewertete Konformitätserklärung nach: Die Organisation selbst prüft die Einhaltung anhand der CCN-STIC-Leitfäden und formalisiert das Ergebnis in einem Dokument. Ich erstelle die Dokumentation und die Nachweise, damit die Erklärung stichhaltig ist und jeder Prüfung durch den Auftraggeber standhält.
In den Kategorien Mittel und Hoch erfordert die Konformität eine Zertifizierung durch eine von ENAC akkreditierte Stelle gemäß der Norm UNE-EN ISO/IEC 17065:2012. Ich bereite Ihre Organisation auf das Bestehen dieses Audits vor; die Zertifizierung stellt die akkreditierte Stelle aus, nicht der Berater.
Das Ziel ist nicht die Produktion von Papier: Das Ergebnis des Prozesses ist der Dokumenten- und Technikkorpus, der die Konformität trägt und den der Auftraggeber — oder der Prüfer — sehen muss.
Ich bin Ángel Ortega Castro, unabhängiger Berater mit Spezialisierung auf normative Compliance und Informationssicherheit. Ich begleite Unternehmen und Verwaltungen in Kastilien-León — einschließlich der Provinz Palencia — bei der Anpassung an den Esquema Nacional de Seguridad (RD 311/2022).
Mein Ansatz ist der der echten Begleitung, von Person zu Person: Ich lasse Sie nicht mit einem Handbuch allein. Ich arbeite in jeder Phase an Ihrer Seite, übersetze die Norm in konkrete Entscheidungen und hinterlasse Ihr Team in der Lage, die Konformität nach Abschluss des Projekts eigenständig aufrechtzuerhalten.
Ich bin ehrlich darüber, was ich tun kann und was nicht: Ich bereite Ihre Organisation vor und passe sie an; die Zertifizierung stellt eine von ENAC akkreditierte Stelle aus. Diese Transparenz, verbunden mit Strenge gegenüber der geltenden Norm und ihren Anhängen I–IV sowie den CCN-STIC-Leitfäden, unterscheidet mich von generalistischen Beratungsunternehmen.
Systemintegratoren, Softwareunternehmen und Cloud-Dienstleister, die ENS-Konformität nachweisen müssen, um die Leistungsverzeichnisse der Diputación zu erfüllen und ihre laufenden öffentlichen Aufträge zu sichern.
Unternehmen aus dem Dienstleistungs- oder Industriesektor, die in der lokalen Verwaltung von Palencia einen erreichbaren Markt sehen und den ENS als Voraussetzung benötigen, um Angebote einzureichen und sich vom Wettbewerb abzuheben.
Anbieter mit Verträgen beim Ayuntamiento de Palencia, öffentlichen Bildungseinrichtungen oder Stellen der Junta de Castilla y León, die nach Ablauf der Übergangsfrist die Konformität vor der nächsten Vertragsverlängerung in Ordnung bringen müssen.
Es gibt keine einheitliche Zahl — und misstrauen Sie jemandem, der Ihnen eine nennt, ohne Ihren Fall zu kennen. Die Investition hängt vom Geltungsbereich (wie viele Systeme), von der Kategorie (Basis, Mittel oder Hoch), von Ihrem Reifegrad zu Projektbeginn und davon ab, ob eine akkreditierte Zertifizierung oder eine selbstbewertete Erklärung ausreicht.
Zur Beratung kommen in den Kategorien Mittel und Hoch die Kosten der von ENAC akkreditierten Zertifizierungsstelle hinzu, die unabhängig von meinem Honorar sind und vom prüfenden Dritten in Rechnung gestellt werden.
Ja, wenn der angestrebte Vertrag die Verarbeitung von Informationssystemen der Diputación de Palencia oder den Zugang zu von ihr verwalteten Daten beinhaltet. Das RD 311/2022 erstreckt die ENS-Pflicht auf die Lieferkette des öffentlichen Sektors: Das private Unternehmen, das die Leistung erbringt, muss dieselbe Konformität nachweisen wie die lokale Körperschaft selbst. Die technischen Leistungsbeschreibungen der Diputación enthalten diese Anforderung ausdrücklich, wenn der Vertragsgegenstand sie rechtfertigt.
Der Ayuntamiento de Palencia ist als Kommunalbehörde verpflichtet, den ENS in seinen eigenen Systemen einzuhalten und von seinen Anbietern dieselbe Konformität zu verlangen, wenn die beauftragte Leistung öffentliche Informationssysteme betrifft. In der Praxis sind vor allem Verträge mit größerem technologischem Umfang — elektronisches Verwaltungsportal, Dokumentenmanagement, E-Government, Cybersicherheit — diejenigen, die diese Anforderung am häufigsten im Leistungsverzeichnis aufnehmen. Ein Unternehmen, das sie nicht nachweisen kann, wird vom Vergabeverfahren ausgeschlossen.
Die Kategorie — Basis, Mittel oder Hoch — wird weder vom Unternehmen noch vom Auftraggeber willkürlich festgelegt: Sie ergibt sich aus der Bewertung der Auswirkungen eines Vorfalls auf die fünf CIDAT-Sicherheitsdimensionen der betroffenen Systeme. Ein Anbieter, der administrative Vorgangsdaten mit begrenztem Schaden verwaltet, kann die Kategorie Basis erhalten, die durch eine selbstbewertete Erklärung nachgewiesen wird. Wenn die verwalteten Systeme kritisch für den Betrieb der Behörde sind oder sensible Daten verarbeiten, kann die Kategorie Mittel oder Hoch greifen und eine Zertifizierung durch eine von ENAC akkreditierte Stelle erfordern. Der erste Schritt ist stets die Diagnose zur Bestimmung des Geltungsbereichs und der richtigen Kategorie.
Die Übergangsfrist des RD 311/2022 für die Anpassung vorhandener Systeme endete am 5. Mai 2024. Wenn Sie laufende Verträge haben und noch nicht mit der Anpassung begonnen haben, ist die Lage dringend: Bei der nächsten Vertragsverlängerung oder jeder Überprüfung des Leistungsverzeichnisses kann die Behörde den Nachweis der Konformität verlangen. Am sinnvollsten ist es, so schnell wie möglich mit einer Diagnose zu beginnen, die den tatsächlichen Geltungsbereich der erforderlichen Konformität bestimmt, die Maßnahmen zu priorisieren, die die relevantesten Risiken schließen, und die Dokumentation fertigzustellen, bevor der Vertrag gefährdet wird.
Ja, und das ist genau der Ausgangspunkt des Prozesses. Die erste Phase des Dienstes ist die Diagnose und Geltungsbereichsbestimmung: Wir identifizieren, welche Informationssysteme Ihres Unternehmens mit dem öffentlichen Sektor verknüpft sind, grenzen sie präzise ab und bestimmen die für jedes einzelne geltende Kategorie. Mit dieser klaren Karte hat der Rest des Prozesses — Risikoanalyse, Anpassungsplan, Maßnahmenimplementierung — eine solide Grundlage und basiert nicht auf Annahmen.
In der Kategorie Basis wird die Konformität durch eine selbstbewertete Konformitätserklärung nachgewiesen: Die Organisation selbst überprüft die Einhaltung mit Unterstützung der CCN-STIC-Leitfäden und formalisiert das Ergebnis in einem Dokument. In den Kategorien Mittel und Hoch ist eine Zertifizierung durch eine von ENAC akkreditierte Stelle gemäß der Norm UNE-EN ISO/IEC 17065:2012 erforderlich: Ein unabhängiger Prüfer begutachtet die Nachweise und stellt das Siegel aus. Als Berater bereite ich Ihre Organisation auf beide Wege vor; die akkreditierte Zertifizierung erteilt ausschließlich die autorisierte Stelle.
Erstes Gespräch kostenlos und unverbindlich. Wir bewerten Ihren Geltungsbereich, bestimmen die für Ihren Fall geltende Kategorie, und wenn wir gut zusammenpassen, lege ich Ihnen ein verbindliches Angebot vor. Wenn Sie lieber selbst weitermachen, nehmen Sie trotzdem eine nützliche Erstdiagnose als Ausgangspunkt für die ENS-Konformität mit.