Ich bin Ángel Ortega Castro, unabhängiger ENS-Berater. Ich begleite Unternehmen, die als Auftragnehmer oder Technologielieferanten für den Ayuntamiento de Salamanca, die Diputación de Salamanca oder die Universidad de Salamanca (USAL) tätig werden wollen, bei ihrer Anpassung an den Esquema Nacional de Seguridad (ENS) — Spaniens nationales Regelwerk zur Informationssicherheit der öffentlichen Verwaltung (RD 311/2022): Diagnose, Anpassungsplan und Vorbereitung des Konformitätsnachweises — ohne Garantieversprechen auf eine Zertifizierung.
Salamanca vereint, gemessen an seiner Größe, einen ungewöhnlich breiten öffentlichen Sektor: eine Universität mit achthundert Jahren Geschichte, eine Provinzverwaltung, die mehr als dreihundert Gemeinden der Provinz betreut, und eine Stadtverwaltung, die in den letzten Jahren ihre digitale Transformation konsequent vorangetrieben hat. Drei Institutionen mit unterschiedlichen Ausschreibungsprofilen — aber mit einem wachsenden gemeinsamen Nenner: die Anforderung, dass ihre Technologielieferanten die Konformität mit dem Esquema Nacional de Seguridad nachweisen.
Das Stadtparlament verwaltet seine elektronische Behördenplattform, Bürgerdienste sowie Systeme für Stadtplanung und Sozialdienste. Jedes Unternehmen, das dem Ayuntamiento technologische Dienstleistungen erbringt, fällt als Teil seiner Lieferkette in den Anwendungsbereich des ENS.
Die Provinzverwaltung erbringt gemeinsame Dienste für elektronische Verwaltung und Technologie für die Gemeinden der Provinz. Ihre Aufträge für Software, Infrastruktur und Cloud verlangen mit zunehmender Häufigkeit, dass der Anbieter seine ENS-Konformität als Nachweis technischer Eignung vorlegt.
Die USAL ist als 1218 gegründete öffentliche Einrichtung, die dem Hochschulorganisationsgesetz (Ley Orgánica del Sistema Universitario) unterliegt, unmittelbar an den ENS gebunden und überträgt diese Verpflichtung auf ihre gesamte Lieferkette. Unternehmen, die Systeme für akademisches Management, Lernplattformen, Forschungssoftware oder Cloud-Dienste liefern, müssen die ENS-Konformität vor Vertragsabschluss oder bereits in der Ausschreibung nachweisen.
Das RD 311/2022 hat jeden Zweifel beseitigt: Lieferanten und Auftragnehmer des öffentlichen Sektors müssen sich dem ENS anpassen. Die Übergangsfrist für bestehende Systeme endete am 5. Mai 2024. Die Ausschreibungsunterlagen in Salamanca — wie im übrigen Spanien — verlangen diese Konformität bereits als technisches Eignungskriterium. Das ist kein zukünftiger Trend: Das ist die gegenwärtige Realität.
Wenn Ihr Unternehmen technologische Dienstleistungen für eine dieser Institutionen erbringt oder erbringen will, ist die ENS-Beratung für Unternehmen der richtige Weg, um die geforderte Sorgfalt im Umgang mit Informationssicherheit nachzuweisen. Der ENS-Leitfaden ist der beste Einstiegspunkt, wenn Sie noch prüfen, ob der ENS für Sie gilt.
Der ENS verpflichtet den Ayuntamiento de Salamanca, die Diputación de Salamanca und die Universidad de Salamanca (USAL) unmittelbar — wie jede andere Einrichtung des öffentlichen Sektors. Sein Geltungsbereich reicht jedoch weiter: Das Real Decreto 311/2022 erstreckt die Verpflichtung auf private Unternehmen, die dem öffentlichen Sektor im Rahmen vertraglicher Beziehungen Dienstleistungen oder Lösungen erbringen — also auf die gesamte Lieferkette. IKT-Anbieter, Systemintegratoren, SaaS-Unternehmen, Cloud-Dienste, Softwareberatungen: Wenn Ihre Geschäftstätigkeit die Zusammenarbeit mit diesen Verwaltungen umfasst, gilt der ENS auch für Sie.
Die einzige Übergangsbestimmung des RD 311/2022 setzte 24 Monate für die Anpassung bestehender Systeme fest; diese Frist endete am 5. Mai 2024. Neue Systeme oder solche mit wesentlichen Änderungen müssen ab dem ersten Tag konform sein. Das ENS-Zertifikat wird in den Kategorien Mittel und Hoch alle zwei Jahre erneuert.
Der ENS-Anpassungsplan folgt der Reihenfolge der CCN-STIC-Leitfäden. Wir improvisieren nicht: Jede Phase erzeugt ein Lieferergebnis, das auf dem vorherigen aufbaut. Dies ist der vollständige Fahrplan — von der Erstdiagnose bis zur Vorbereitung der Konformitätsauditierung.
| Phase | Was wir tun | Referenz und Lieferergebnis |
|---|---|---|
| Phase 01 Diagnose (Gap-Analyse) |
Differenzanalyse zwischen Ihrer aktuellen Situation und den ENS-Anforderungen. Festlegung des Geltungsbereichs und der betroffenen Informationssysteme. | Diagnose-/Gap-Analysebericht mit der tatsächlichen Abweichung zur Konformität. |
| Phase 02 Kategorisierung |
Bewertung der Systeme in den fünf Sicherheitsdimensionen (CIDAT) und Zuweisung der Kategorie: Basis, Mittel oder Hoch. | Anhang I des ENS. Bestimmt die anwendbare Kategorie Basis, Mittel oder Hoch. |
| Phase 03 Risikoanalyse |
Identifikation von Assets, Bedrohungen und Schutzmaßnahmen mit der MAGERIT-Methodik (unterstützt durch PILAR-Tools). | Bericht zur MAGERIT-Risikoanalyse und Risikobehandlungsplan. |
| Phase 04 Anpassungsplan + DdA |
Sicherheitsrichtlinie, Auswahl der Maßnahmen und Redaktion der Anwendbarkeitserklärung (DdA), mit Begründung jeder anwendbaren Kontrolle. | CCN-STIC 806 Leitfaden. Anpassungsplan und Konformitätserklärung. |
| Phase 05 Umsetzung |
Einführung der ausgewählten Maßnahmen: organisatorischer, operativer und Schutzrahmen. Begleitung Ihres Teams. | Umsetzung der Maßnahmen aus Anhang II mit Nachweisen. |
| Phase 06 Auditierung / Zertifizierung |
Vorbereitung und Vorprüfung. Bei den Kategorien Mittel und Hoch: Begleitung während der Auditierung durch die akkreditierte Stelle. | Anhang III. Ich bereite die ENS-Auditierung vor; die Konformitätsauditierung führt ein Dritter durch. |
Möchten Sie wissen, wie lange jede Phase dauert? Details finden Sie in den ENS-Anpassungsfristen. Und wenn Ihr System bereits in Betrieb ist, kann ich direkt mit der Umsetzung und Anpassung des ENS beginnen.
Die Kategorie eines Systems ist kein subjektives „niedrig/mittel/hoch": Sie wird ermittelt, indem der Einfluss eines Sicherheitsvorfalls auf die fünf Sicherheitsdimensionen bewertet wird — Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität und Rückverfolgbarkeit (CIDAT). Die Dimension mit dem höchsten Bewertungsniveau bestimmt die Systemkategorie.
Wenn ein Vorfall einen begrenzten Schaden für die Funktionen der Organisation, ihre Assets oder Personen verursachen würde.
Wenn ein Vorfall einen erheblichen Schaden verursachen würde: mindestens eine Dimension erreicht das mittlere Niveau.
Wenn ein Vorfall einen sehr schwerwiegenden, möglicherweise irreparablen Schaden verursachen würde: mindestens eine Dimension erreicht das hohe Niveau.
Die richtige Kategorie zu wählen ist entscheidend, um weder zu viel zu investieren noch zu kurz zu greifen. Ich helfe bei der Entscheidung im Leitfaden zu den ENS-Niveaus und der Kategoriewahl, und erkläre die Rolle der fünf Sicherheitsdimensionen (CIDAT).
In der Kategorie Basis wird die Konformität durch eine selbstbewertete Konformitätserklärung nachgewiesen: Die Organisation selbst überprüft die Einhaltung gemäß den CCN-STIC-Leitfäden. Ich erstelle die Dokumentation und die Nachweise, damit die Erklärung stichhaltig und bei jeder späteren Überprüfung belastbar ist.
In den Kategorien Mittel und Hoch muss die Konformität durch eine von ENAC akkreditierte Stelle gemäß der Norm UNE-EN ISO/IEC 17065:2012 zertifiziert werden. Ich bereite Sie darauf vor, das Audit zu bestehen; das Zertifikat stellt die akkreditierte Stelle aus, niemals der Berater.
Wenn Sie sich fragen, welches Rahmenwerk Sie benötigen, vergleiche ich ENS und ISO 27001 für öffentliche Ausschreibungen; und für den vollständigen Zertifizierungsprozess empfehle ich den Leitfaden zum ENS-Zertifizierungsprozess.
Ich lasse Sie nicht mit einem PDF zurück, das niemand mehr öffnet. Ich liefere das dokumentarische und technische Korpus, das die Konformität belegt und das der Prüfer — oder die Vergabestelle der USAL, der Diputación oder des Ayuntamiento — sehen muss.
Ich bin Ángel Ortega Castro, unabhängiger Berater mit Spezialisierung auf normative Compliance und Informationssicherheit. Ich begleite Verwaltungen, IKT-Anbieter und Unternehmen, die mit dem öffentlichen Sektor zusammenarbeiten, bei ihrer Anpassung an den Esquema Nacional de Seguridad.
Mein Ansatz ist der der echten, persönlichen Begleitung: Ich lasse Sie nicht mit einem Handbuch allein. Ich arbeite an Ihrer Seite durch jede Phase, übersetze die Norm in konkrete Entscheidungen und hinterlasse Ihr Team in der Lage, die Konformität nach Projektabschluss selbstständig aufrechtzuerhalten.
Ich bin ehrlich darüber, was ich versprechen kann und was nicht: Ich bereite und passe Ihre Organisation für die Konformität an; das Zertifikat stellt eine von ENAC akkreditierte Stelle aus. Diese Offenheit, verbunden mit Genauigkeit gegenüber der geltenden Norm (RD 311/2022, Anhänge I–IV und CCN-STIC-Leitfäden), unterscheidet mich von anonymen Beratungsunternehmen.
Lernplattformen, Systeme für akademisches Management, Forschungssoftware oder Cloud-Dienste, die die USAL über Ausschreibungen beschafft. Der ENS erscheint in den Ausschreibungsunterlagen als Bedingung für die technische Eignung; die Anpassung ist das Eingangstor.
Unternehmen, die der Diputación de Salamanca für ihr Netzwerk von Gemeinden Dienste für elektronische Verwaltung, Infrastruktur oder Software anbieten oder anbieten wollen. Die Reichweite der Provinzverwaltung über dreihundert Gemeinden macht diese Aufträge zu einem bedeutenden Hebel für den Einstieg in den lokalen öffentlichen Sektor.
Von Lösungen für elektronische Bearbeitung bis hin zu Systemen für Stadtplanung oder Sozialdienste: Immer mehr Ausschreibungen des Stadtrats von Salamanca verlangen ENS-Konformität. Sich vor der Bewerbung anzupassen ist der Unterschied zwischen Teilnahme und Ausschluss aus dem Verfahren.
Es gibt keine Einheitszahl — misstrauen Sie jedem, der Ihnen eine nennt, ohne Ihren Fall zu kennen. Die Investition hängt vom Geltungsbereich (wie viele Systeme), von der Kategorie (Basis, Mittel oder Hoch), von Ihrem Ausgangsniveau und davon ab, ob eine akkreditierte Zertifizierung erforderlich ist oder ob eine Erklärung ausreicht.
Zu dieser Beratungsinvestition kommt bei den Kategorien Mittel und Hoch der Kostenanteil der akkreditierten Zertifizierungsstelle hinzu, der unabhängig von meinem Honorar ist und von der prüfenden Drittpartei in Rechnung gestellt wird.
Ja, wenn die Vertragsbeziehung bedeutet, dass das Unternehmen dem Stadtrat technologische Dienstleistungen oder Lösungen erbringt. Das RD 311/2022 erstreckt die ENS-Verpflichtung auf Lieferanten und Auftragnehmer des öffentlichen Sektors: Der Ayuntamiento de Salamanca ist als kommunale Gebietskörperschaft Teil dieses öffentlichen Sektors. Wenn die Ausschreibungsunterlagen dies verlangen — und das tun sie zunehmend als technisches Eignungskriterium —, muss das Unternehmen seine ENS-Konformität vor der Vergabe nachweisen.
Die USAL ist eine dem Hochschulorganisationsgesetz (Ley Orgánica del Sistema Universitario) unterliegende öffentliche Universität und damit unmittelbar an den ENS gebunden. Diese Verpflichtung überträgt sich auf ihre Lieferanten, wenn der Vertrag die Verarbeitung von Daten oder die Nutzung von Informationssystemen der Universität beinhaltet. Lernplattformen, Systeme für akademisches Management, Forschungstools und Cloud-Dienste liegen typischerweise in diesem Bereich. Die konkrete Anforderung hängt von den Ausschreibungsunterlagen des jeweiligen Verfahrens ab, aber die Tendenz ist klar: Die USAL verankert die ENS-Konformität zunehmend als Eignungskriterium in ihren technologiebezogenen Aufträgen.
Die Kategorie — Basis, Mittel oder Hoch — legt nicht das liefernde Unternehmen fest, sondern ergibt sich aus der Bewertung des Einflusses eines Sicherheitsvorfalls auf die fünf Dimensionen (CIDAT) des konkreten Systems, das betrieben oder geliefert werden soll. Viele IKT-Dienstleistungen für Kommunen über die Diputación de Salamanca fallen in die Kategorie Basis, was es ermöglicht, die Konformität durch eine Selbstevaluierung ohne akkreditierte Zertifizierung nachzuweisen. Andere, wenn sie sensible Daten oder kritische Verwaltungsfunktionen betreffen, können die Kategorie Mittel oder Hoch erfordern und damit die entsprechende Zertifizierung durch eine von ENAC akkreditierte Stelle. Das erste Gespräch dient dazu, diese Einschätzung unverbindlich vorzunehmen.
In der Kategorie Basis führt die Organisation eine Selbstevaluierung gemäß den CCN-STIC-Leitfäden durch und stellt ihre eigene Konformitätserklärung aus: Kein Dritter ist an der Validierung beteiligt. In den Kategorien Mittel und Hoch muss die Konformität durch eine unabhängige, von ENAC nach der Norm UNE-EN ISO/IEC 17065:2012 akkreditierte Stelle bestätigt werden; diese Stelle stellt das Siegel oder Zertifikat aus, nicht der Berater. Meine Arbeit besteht in beiden Fällen darin, Sie so vorzubereiten, dass Dokumentation und Nachweise stichhaltig sind: bei Basis, damit die Erklärung belastbar ist; bei Mittel und Hoch, damit die Auditierung der akkreditierten Stelle alles in Ordnung vorfindet. Ausführlicher erkläre ich es im ENS-Leitfaden.
Das hängt davon ab, ob die Ausschreibungsunterlagen die Konformität als Zulassungsvoraussetzung oder als Bewertungskriterium verlangen. Wenn sie Zulassungsvoraussetzung ist, führt ihr Fehlen zum Ausschluss. Wenn sie Bewertungskriterium ist, können Sie sich bewerben, aber die Punktzahl wird niedriger sein. In jedem Fall ist es die sicherste Strategie, den Anpassungsprozess vor der Bewerbung zu beginnen: Die Erstdiagnose zeigt, in welchem Zeitraum und mit welchem Aufwand Sie die Konformität erreichen können, und bei vielen Projekten der Kategorie Basis ist der Zeitplan gut mit dem Terminkalender einer Ausschreibung vereinbar.
Erstes Gespräch kostenlos und unverbindlich. Wir bewerten Ihren Geltungsbereich, die für Sie zutreffende Kategorie und den realistischen Zeitplan, um an Ausschreibungen des Ayuntamiento, der Diputación oder der USAL mit nachgewiesener Konformität teilzunehmen.