Ich bin Ángel Ortega Castro, unabhängiger ENS-Berater mit Sitz in Valladolid. Ich begleite Unternehmen in der Stadt und der Provinz bei ihrer Anpassung an den Esquema Nacional de Seguridad (ENS) — Spaniens nationales Rahmenwerk zur Informationssicherheit der öffentlichen Verwaltung (RD 311/2022) —, damit sie mit der Junta de Castilla y León, dem Ayuntamiento, der Diputación Provincial oder der Universidad de Valladolid (UVa) arbeiten können, ohne bei Ausschreibungen ausgeschlossen zu werden.
Valladolid ist keine gewöhnliche Stadt in der spanischen Vergabelandschaft. Sie ist die Hauptstadt von Kastilien-León und Sitz der Junta de Castilla y León, der flächenmäßig größten Regionalregierung Spaniens. Das bedeutet, dass hier ein erheblicher Teil der Nachfrage nach digitalen Dienstleistungen aus dem kastilisch-leonesischen öffentlichen Sektor konzentriert ist: von der Systempflege der einzelnen Ministerien bis hin zur Unterstützung von E-Government-Plattformen, die das gesamte Netzwerk autonomer Stellen nutzt.
Neben der Junta de Castilla y León treten drei große lokale Auftraggeber hinzu: die Diputación Provincial de Valladolid, die digitale Dienste für die Gemeinden der Provinz verwaltet; der Ayuntamiento de Valladolid, der eine aktive Agenda zur digitalen Transformation umsetzt, die sich in Ausschreibungen für Software, Konnektivität und Cybersicherheit niederschlägt; und die Universidad de Valladolid (UVa), die als öffentliche Hochschule sensible Systeme betreibt — Studentenakten, Forschungsplattformen, eigene elektronische Verwaltung — und denselben ENS-Anforderungen unterliegt wie jede andere Einrichtung des öffentlichen Sektors.
Um dieses Verwaltungsökosystem hat sich ein Geflecht aus IKT-Unternehmen entwickelt — Systemintegratoren, Softwareentwickler, Technologieberater, Anbieter verwalteter Dienste —, die mit einer dieser Stellen arbeiten oder dies anstreben. Für alle gilt: Der Esquema Nacional de Seguridad ist keine Option mehr. Das Real Decreto 311/2022 (BOE-A-2022-7191 vom 3. Mai) erstreckt seine Wirkung auf die Lieferkette, und die Ausschreibungsunterlagen verlangen die Konformität als technisches Eignungskriterium. Ohne ENS-Konformität ist man in der Praxis von der Vergabe ausgeschlossen.
IKT-Aufträge der Ministerien und abhängigen Stellen der Junta de Castilla y León setzen ENS-Konformität voraus. Wer sie hat, steht drin; wer nicht, bleibt draußen.
Der Ayuntamiento de Valladolid und die Diputación Provincial nehmen die ENS-Konformität mit wachsender Häufigkeit in ihre Leistungsverzeichnisse auf.
Die Universidad de Valladolid mit Campus in Valladolid, Palencia, Soria und Segovia unterliegt dem ENS und überträgt diese Anforderung auf ihre IKT-Dienstleister.
Unternehmen, die ihre Anpassung jetzt abschließen, positionieren sich vor Wettbewerbern, die noch nicht begonnen haben. Eine gültige Konformität stärkt das Angebot gegenüber öffentlichen Auftraggebern spürbar.
Wer den rechtlichen Rahmen vor dem Einstieg vollständig verstehen möchte, dem empfehle ich den vollständigen ENS-Leitfaden und die Details zur ENS-Beratung für Unternehmen.
Der ENS verpflichtet den gesamten öffentlichen Sektor und die privatwirtschaftlichen Unternehmen, die ihm Dienstleistungen auf Vertragsbasis erbringen. Im Kontext Valladolids betrifft das eine breite Palette lokaler und regionaler Unternehmen.
Konkrete Beispiele für Profile, die sich anpassen müssen:
Die Übergangsvorschrift des RD 311/2022 setzte 24 Monate für die Anpassung bestehender Systeme; diese Frist endete am 5. Mai 2024. Neue oder wesentlich veränderte Systeme müssen vom ersten Tag an konform sein. Wenn Ihr Unternehmen die Anpassung noch nicht begonnen hat, ist jede neue Ausschreibung im Auftraggeber-Profil eine Erinnerung daran, dass der Spielraum enger wird.
Der Prozess folgt der durch die CCN-STIC-Leitfäden vorgegebenen Reihenfolge: von der Erstdiagnose bis zur Vorbereitung der Konformitätserklärung oder des Audits. Das Ziel ist, dass Ihr Unternehmen auf geordnetem Weg zur Konformität gelangt — mit einer belastbaren Dokumentation, die Sie der Junta de Castilla y León, dem Ayuntamiento oder jedem anderen öffentlichen Auftraggeber vorlegen können.
| Phase | Was wir tun | Referenz und Ergebnis |
|---|---|---|
| Phase 01 Diagnose (GAP) |
Differenzanalyse zwischen Ihrer aktuellen Situation und den ENS-Anforderungen. Definition des Geltungsbereichs und der betroffenen Informationssysteme. | Diagnosebericht mit dem tatsächlichen Abstand zur Konformität und den vorrangigen Lücken. |
| Phase 02 Kategorisierung |
Bewertung der Systeme in den fünf Sicherheitsdimensionen (CIDAT) und Zuordnung der Kategorie: Basis, Mittel oder Hoch. | Anhang I des ENS. Bestimmt das Anforderungsniveau und den anwendbaren Konformitätsweg. |
| Phase 03 Risikoanalyse |
Identifikation von Assets, Bedrohungen und Schutzmaßnahmen nach der MAGERIT-Methodik. | Risikoanalysebericht und Risikobehandlungsplan. |
| Phase 04 Anpassungsplan + SoA |
Sicherheitspolitik, Auswahl der Maßnahmen und Erstellung der Anwendbarkeitserklärung (Statement of Applicability, SoA) mit Begründung jeder anwendbaren Kontrolle. | CCN-STIC-Leitfaden 806. Anpassungsplan und Konformitätserklärung. |
| Phase 05 Umsetzung |
Einführung der Maßnahmen aus Anhang II: organisatorischer, betrieblicher und schützender Rahmen. Begleitung Ihres Teams in jedem Schritt. | Umsetzungsnachweise je Maßnahme, auditbereit. |
| Phase 06 Konformitätsabschluss |
Vorbereitung und Vorabprüfung. Bei Kategorie Basis: Unterstützung der selbstbewerteten Erklärung. Bei Mittel oder Hoch: Begleitung während des Audits durch die akkreditierte Stelle. | Anhang III. Ich bereite die Konformität vor; die Zertifizierung Mittel/Hoch stellt ein ENAC-akkreditiertes Drittunternehmen aus. |
Die Systemkategorie wird nicht nach Ermessen gewählt: Sie ergibt sich aus der Bewertung der Auswirkungen eines Vorfalls auf die fünf Sicherheitsdimensionen — Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität und Rückverfolgbarkeit (CIDAT). Die Dimension mit dem höchsten Niveau bestimmt die resultierende Kategorie.
Wenn ein Vorfall einen begrenzten Schaden an den Funktionen der Organisation, ihren Assets oder den betroffenen Personen verursachen würde. Am häufigsten bei Anbietern unterstützender Dienste.
Wenn ein Vorfall einen erheblichen Schaden verursachen würde: Mindestens eine Dimension erreicht das mittlere Niveau. Häufig bei Verwaltungsmanagementsystemen oder sensiblen Daten.
Wenn ein Vorfall einen sehr schweren, unter Umständen irreparablen Schaden verursachen würde: Mindestens eine Dimension erreicht das hohe Niveau. Kritische Systeme oder besonders sensible Daten.
Bei der Kategorie Basis wird die Konformität durch eine selbstbewertete Konformitätserklärung nachgewiesen: Die Organisation selbst verifiziert die Einhaltung nach den CCN-STIC-Leitfäden. Ich erstelle die gesamte Dokumentation und die Nachweise, damit die Erklärung belastbar ist und jeder Überprüfung durch den Auftraggeber standhält.
Bei den Kategorien Mittel und Hoch erfordert die Konformität eine Zertifizierung durch eine von ENAC akkreditierte Stelle gemäß UNE-EN ISO/IEC 17065:2012. Ich bereite Ihr Unternehmen vor, das Audit erfolgreich zu bestehen; das Zertifikat stellt die akkreditierte Stelle aus, nicht der Berater.
Ich hinterlasse kein PDF, das niemand mehr öffnet. Ich übergebe den Dokumenten- und Technikkorpus, der die Konformität trägt und den der Prüfer, die Junta de Castilla y León, der Ayuntamiento de Valladolid oder jeder andere öffentliche Auftraggeber in den Vergabeunterlagen sehen muss.
Ich bin Ángel Ortega Castro, unabhängiger Berater mit Sitz in Valladolid, spezialisiert auf normative Compliance und Informationssicherheit. Ich kenne das Ausschreibungsökosystem in Kastilien-León gut: die Zeitpläne, die Leistungsverzeichnisse und die üblichen Anforderungen von Stellen wie der Junta de Castilla y León, der Diputación Provincial de Valladolid, dem Ayuntamiento und der UVa.
Mein Ansatz ist echter persönlicher Begleitung: Ich übergebe kein Handbuch und verschwinde dann. Ich arbeite in jeder Phase an Ihrer Seite, übersetze die Norm in konkrete Entscheidungen und lasse Ihr Team mit der Fähigkeit zurück, die Konformität nach Abschluss des Projekts eigenständig aufrechtzuerhalten.
Ich bin ehrlich darüber, was ich tun kann und was nicht: Ich bereite Ihre Organisation vor und passe sie an; das Zertifikat in den Kategorien Mittel oder Hoch stellt eine von ENAC akkreditierte Stelle aus. Diese Klarheit — verbunden mit Strenge gegenüber dem RD 311/2022, Anhänge I–IV, und den CCN-STIC-Leitfäden — unterscheidet mich von generischen Beratungsunternehmen.
Systemintegratoren oder Softwareentwickler mit Aufträgen bei der Junta de Castilla y León oder deren abhängigen Stellen, die ENS-Konformität nachweisen müssen, um Verträge zu erneuern oder zu erweitern. Sie befinden sich meist in der Kategorie Basis oder Mittel.
Technologieunternehmen mit Sitz im Parque Tecnológico de Boecillo oder in der Stadt, die der Diputación Provincial, dem Ayuntamiento de Valladolid oder der UVa Wartungs-, Cybersicherheits- oder IKT-Supportdienste erbringen und ihre Anpassung vor der nächsten Ausschreibung abschließen müssen.
Private Organisationen aus Valladolid oder der Provinz, die bisher im Privatsektor tätig waren und ihr Portfolio in Richtung Verwaltung ausbauen wollen. Die ENS-Konformität ist das erste technische Eignungskriterium, auf das sie in den Ausschreibungsunterlagen stoßen werden.
Es gibt keine Einheitszahl — und misstrauen Sie jedem, der sie ohne Kenntnis Ihres Falls nennt. Die Investition hängt vom Geltungsbereich (wie viele Systeme), von der Kategorie (Basis, Mittel oder Hoch), von Ihrer Ausgangssituation und davon ab, ob eine ENAC-akkreditierte Zertifizierung erforderlich ist oder die Konformitätserklärung ausreicht.
Zur Beratung kommen in den Kategorien Mittel oder Hoch die Kosten der ENAC-akkreditierten Zertifizierungsstelle hinzu, die unabhängig von meinem Honorar sind und direkt von dem Dritten fakturiert werden, der das Konformitätsaudit durchführt.
Ja. Die Junta de Castilla y León ist als Regionalregierung vollständig an den ENS gebunden und überträgt diese Verpflichtung auf ihre IKT-Dienstleister und Auftragnehmer. Wenn Ihr Unternehmen digitale Leistungen für eines ihrer Ministerien oder abhängigen Stellen erbringt oder anstrebt, ist die Konformität mit dem RD 311/2022 ein technisches Eignungskriterium, das in den Ausschreibungsunterlagen regelmäßig enthalten ist. Weitere Einzelheiten finden Sie in der ENS-Beratung für Unternehmen.
Ja. Die Universidad de Valladolid (UVa) ist eine öffentliche Hochschule, die ENS-pflichtige Informationssysteme betreibt — Studentenakten, elektronische Verwaltungsplattformen, Forschungssysteme. Als Einrichtung des öffentlichen Sektors muss sie das RD 311/2022 einhalten und kann von ihren IKT-Dienstleistern verlangen, Konformität nachzuweisen, insbesondere bei Verträgen, die den Zugang zu oder die Verarbeitung ihrer Informationssysteme beinhalten.
Ja. Sowohl der Ayuntamiento de Valladolid als auch die Diputación Provincial sind Kommunalbehörden, die dem ENS gemäß RD 311/2022 unterliegen. Sie können — und tun es mit wachsender Häufigkeit — die ENS-Konformität als technisches Eignungskriterium in ihre IKT-Ausschreibungen aufnehmen. Wenn Ihr Unternehmen mit einer dieser Stellen arbeitet oder dies anstrebt, empfiehlt es sich, die Anpassung vor der nächsten Ausschreibung voranzutreiben.
Das hängt vom Schaden ab, den ein Sicherheitsvorfall in den von Ihnen verwalteten Systemen verursachen würde: Wäre er begrenzt, ist die Kategorie Basis; wäre er erheblich, Mittel; wäre er sehr schwer, Hoch. Die Kategorie wird in der Kategorisierungsphase durch Anwendung von Anhang I des RD 311/2022 bestimmt. Viele Anbieter unterstützender oder Verwaltungssoftware-Dienste fallen in die Kategorie Basis, bei der eine selbstbewertete Konformitätserklärung ausreicht.
Ja. Das RD 311/2022 knüpft die ENS-Konformitätspflicht an das Vertragsverhältnis mit dem öffentlichen Auftraggeber, nicht an den Unternehmenssitz. Ein deutsches, österreichisches oder schweizerisches Unternehmen, das der Junta de Castilla y León, dem Ayuntamiento de Valladolid oder einer anderen Einrichtung der spanischen öffentlichen Verwaltung IKT-Dienste erbringt, muss ENS-Konformität im maßgeblichen Geltungsbereich nachweisen. Eine ISO/IEC-27001-Zertifizierung erleichtert zwar den Prozess, ersetzt den ENS-Nachweis jedoch nicht: Dieser enthält spezifische Maßnahmen, Berichtspflichten an das CCN und Zertifizierungswege, die über ISO 27001 hinausgehen.
Ja, und es ist die klügste Entscheidung. Die Anpassung vor der Teilnahme an einer Ausschreibung zu beginnen, ermöglicht es, Konformität vom ersten Pliego an nachzuweisen, ohne Zeitdruck. Der Anpassungsprozess dauert mindestens mehrere Wochen — bei komplexeren Systemen auch Monate —, sodass ein frühzeitiger Start verhindert, aus Zeitmangel ausgeschlossen zu werden.
Es sind kompatible Rahmen mit einem erheblichen Anteil gemeinsamer Kontrollen. Wenn Ihr Unternehmen bereits ISO 27001 hat oder daran arbeitet, lässt sich diese Arbeit bei der ENS-Anpassung nutzen und umgekehrt. Der ENS ist für den Zugang zu Verträgen mit der spanischen öffentlichen Verwaltung verpflichtend; ISO 27001 ist freiwillig und international. Für Ausschreibungen bei der Junta de Castilla y León oder dem Ayuntamiento de Valladolid ist es der ENS-Nachweis, der in den Unterlagen gefordert wird.
Erstes Gespräch kostenlos und unverbindlich. Gemeinsam bewerten wir Ihren Geltungsbereich, die voraussichtliche Kategorie Ihrer Systeme und den angestrebten Ausschreibungstyp. Wenn es passt, erhalten Sie ein verbindliches Angebot; wenn nicht, nehmen Sie eine nützliche Orientierung für den Start mit.