ENS-Pflege: was nach der Zertifizierung zu tun ist.

Die Pflege des ENS (spanisches nationales Sicherheitsschema) beginnt am Tag nach der Zertifizierung: Die Konformität gilt nicht auf Dauer. Sie muss mindestens alle zwei Jahre durch ein Audit erneuert werden (Selbstbewertung in der Kategorie BASIS), einmal jährlich an das INES gemeldet werden, erfordert eine stets aktuelle Risikoanalyse und Erklärung zur Anwendbarkeit, die Meldung von Vorfällen und die Neukategorisierung des Systems bei wesentlichen Änderungen. Vernachlässigen Sie auch nur einen dieser Punkte, verlieren Sie die Konformität.

Ich begleite Unternehmen und Verwaltungen durch den gesamten ENS-Zyklus, und die Frage, die am häufigsten gestellt wird, kommt genau in dem Moment, in dem das Siegel auf der Website hängt: „Und jetzt?" Viele KMU zertifizieren sich, um an einer Ausschreibung teilnehmen zu können, atmen erleichtert auf und legen die Unterlagen in eine Schublade. Anderthalb Jahre später stellen sie fest, dass ihre Konformität abgelaufen ist, dass niemand an das INES gemeldet hat oder dass ein Wechsel des Cloud-Anbieters den Anwendungsbereich veralten ließ. Dieser Artikel ist die Landkarte dieses „Tags danach": welche wiederkehrenden Pflichten Sie haben, was deren Erfüllung kostet und welche Fehler Sie aus dem Rennen werfen.

Läuft die ENS-Zertifizierung ab?

Ja. Weder das Konformitätszertifikat noch die Konformitätserklärung gelten für immer. Das ENS ist ein Modell der kontinuierlichen Verbesserung, keine einmalige Formalität. Wenn Sie gerade den ENS-Zertifizierungsprozess abgeschlossen haben, sind dies die fünf Elemente, die Sie ab jetzt am Leben erhalten müssen:

• Begrenzte Gültigkeit. Das Gütesiegel hat eine begrenzte Gültigkeitsdauer – zwei Jahre als allgemeine Referenz –, festgelegt durch die Technische Sicherheitsanweisung zur ENS-Konformität.
• Regelmäßige Erneuerung. Durch ein Audit einer akkreditierten Stelle in den Kategorien MITTEL und HOCH oder durch Selbstbewertung in der Kategorie BASIS.
• Jährliche Meldung an das INES. Der Nationale Sicherheitslagebericht, koordiniert vom Nationalen Kryptologiezentrum (CCN).
• Laufende Pflege. Risikoanalyse, Erklärung zur Anwendbarkeit, Maßnahmen und Verfahren werden regelmäßig überprüft.
• Außerordentliches Audit. Wenn sich das System vor der ordentlichen Überprüfung wesentlich ändert.

Der Rest dieses Artikels behandelt jede dieser Pflichten mit ihrer tatsächlichen Periodizität.

Pflichtenkalender nach der ENS-Zertifizierung

Das ist die Tabelle, die ich einem Kunden am selben Tag übergebe, an dem er das Siegel erhält. Was sich je nach Kategorie ändert, ist die Art, wie die Konformität nachgewiesen wird; die übrigen Pflichten gelten für alle drei Kategorien gleichermaßen.

Wenn Sie sich knapp vor Ablauf einer Frist zertifiziert haben, werfen Sie auch einen Blick auf die ENS-Anpassungsfristen: Die Uhr für die Erneuerung beginnt ab dem Datum des Gütesiegels zu laufen, nicht ab der Vertragsunterzeichnung.

Erneuerungsaudit des ENS: wie oft es fällig ist und worauf es sich konzentriert

Das Audit ist das Herzstück der Aufrechterhaltung in den Kategorien MITTEL und HOCH. Es ist keine Formalität: Stellt der Auditor schwerwiegende Nichtkonformitäten fest, erneuert er das Zertifikat nicht.

Wie oft wird die ENS-Zertifizierung erneuert?

Das Königliche Dekret 311/2022 schreibt vor, Systeme der Kategorie MITTEL oder HOCH mindestens alle zwei Jahre zu auditieren. Das ist der übliche Rhythmus der Erneuerung. In der Kategorie BASIS ist kein Audit durch Dritte erforderlich: Eine Selbstbewertung genügt, auch wenn es sich empfiehlt, sie mit derselben Sorgfalt zu dokumentieren. Den vollständigen Mechanismus erkläre ich in meinem Leitfaden dazu, wie oft die ENS-Konformität auditiert wird.

Was prüft der Auditor bei der Erneuerung?

Er beginnt nicht bei null: Er prüft, ob das Erklärte weiterhin zutrifft und ob Sie das System gepflegt haben. Konkret schaut er sich Folgendes an:

• Die Risikoanalyse. Ob sie aktuell ist und das reale System widerspiegelt, nicht das von vor zwei Jahren.
• Die Erklärung zur Anwendbarkeit. Ob die deklarierten Maßnahmen aus Anhang II weiterhin umgesetzt und mit der Kategorie stimmig sind.
• Die operativen Nachweise. Vorfallprotokolle, Kontinuitätstests, Zugriffsüberprüfungen, Schulung des Personals.
• Frühere Nichtkonformitäten. Ob die Korrekturmaßnahmen aus dem vorherigen Audit tatsächlich abgeschlossen wurden.

Wenn Sie diese Überprüfung lieber einem Dritten überlassen möchten, der sie mit Ihnen vorbereitet und durchführt, ist das genau der Zweck meines ENS-Audit-Service.

Außerordentliches Audit: wann die Überprüfung vorgezogen wird

Die Zweijahresfrist ist das ordentliche Minimum, aber eine wesentliche Änderung des Systems zwingt zu einem früheren Audit: eine Cloud-Migration, ein Wechsel des kritischen Anbieters, ein neuer Technologiestandort oder eine Änderung der Bewertung der Sicherheitsdimensionen. Diese Änderungen so zu behandeln, als hätten sie keine Auswirkung auf die Konformität, ist einer der teuersten Fehler, die ich sehe.

INES: der jährliche Bericht, den Sie nicht auslassen können

Das INES – der Nationale Sicherheitslagebericht (Informe Nacional del Estado de Seguridad) – ist die Pflicht, die am häufigsten vergessen wird, weil sie niemand sichtbar einfordert … bis er es doch tut. Einrichtungen im Anwendungsbereich des ENS melden jedes Jahr ihre Sicherheitsindikatoren über die vom CCN koordinierte Plattform, die diese Informationen im nationalen Bericht zusammenführt. Es ist eine jährliche Standortbestimmung Ihres Systems: Reifegrad, umgesetzte Maßnahmen, bearbeitete Vorfälle.

Für ein KMU, das sich für eine Ausschreibung zertifiziert hat, ist es wichtig zu verstehen, dass das INES innerhalb seines Anwendungsbereichs nicht optional ist und dass die jährliche Meldung ebenso Teil der Aufrechterhaltung ist wie das Audit. Wenn Sie eine kleine Einrichtung leiten, wird Ihnen mein Leitfaden zur Selbstbewertung und zum INES-Bericht nützlich sein, der für Teams mit begrenzten Ressourcen gedacht ist.

Laufende Pflege: Risiken, Maßnahmen und aktuelle Dokumentation

Zwischen zwei Audits ruht die Arbeit nicht. Konformität wird durch Nachweise belegt, und Nachweise entstehen täglich. Das sind die drei Stränge, die Sie in Bewegung halten müssen.

Risikoanalyse und Erklärung zur Anwendbarkeit

Die Risikoanalyse ist ein lebendiges Dokument. Jeder neue Vermögenswert, jeder ausgelagerte Dienst und jede neu aufkommende Bedrohung verändert sie. Ich empfehle, sie mindestens einmal jährlich zu überprüfen und immer dann, wenn sich etwas Relevantes ändert, unter Verwendung einer anerkannten Methodik wie der MAGERIT-Risikoanalyse. Die Erklärung zur Anwendbarkeit muss parallel dazu angepasst werden: Aktivieren oder entfernen Sie eine Maßnahme aus Anhang II, muss sich das dort widerspiegeln.

Vorfallmanagement und -meldung

Ein konformes System ist nicht eines, das keine Vorfälle erleidet, sondern eines, das sie erkennt, verwaltet und meldet. Sie müssen das Verfahren zur Reaktion auf Sicherheitsvorfälle im ENS einsatzbereit halten und dem CCN-CERT diejenigen melden, die je nach Schweregrad erforderlich sind. Ein schwerwiegender, nicht gemeldeter Vorfall ist neben einem operativen Versagen ein direkter Grund für den Verlust der Konformität.

Beobachtung neuer technischer Anweisungen und CCN-STIC-Leitfäden

Das ENS ist kein starrer Text. Das CCN veröffentlicht und aktualisiert technische Sicherheitsanweisungen (ITS) und CCN-STIC-Leitfäden, die konkretisieren, wie die Maßnahmen anzuwenden sind. Das ENS aufrechtzuerhalten bedeutet, diese Aktualisierungen im Blick zu behalten und sie einzuarbeiten, bevor der Auditor danach fragt. Das ist der am wenigsten sichtbare Teil der Pflege – und der, der diejenigen, die nur auf dem Papier konform sind, von denen unterscheidet, die es wirklich sind.

Was tun, wenn sich System oder Anwendungsbereich ändern (und wann neu kategorisiert werden muss)

Systeme verändern sich: Dienste kommen hinzu, sensiblere Informationen wandern in die Cloud, die Zahl der Nutzer wächst. Wirkt sich die Änderung auf die Bewertung der Sicherheitsdimensionen aus – Vertraulichkeit, Integrität, Nachvollziehbarkeit, Authentizität und Verfügbarkeit –, muss die Kategorisierung neu vorgenommen werden, und das Ergebnis kann von BASIS auf MITTEL oder von MITTEL auf HOCH steigen.

Eine Neukategorisierung hat unmittelbare praktische Folgen: Wechselt das System von BASIS zu MITTEL, genügt die Selbstbewertung nicht mehr, und Sie benötigen ein Zertifizierungsaudit. Deshalb lohnt es sich, jede relevante Änderung vor ihrer Umsetzung zu bewerten, nicht danach. Die drei Auslöser, die ich immer prüfe:

• Änderung des Anwendungsbereichs. Neue Dienste oder Systeme, die unter den Schirm des ENS fallen.
• Wesentliche technologische Änderung. Cloud-Migration, neues Rechenzentrum oder neuer kritischer Anbieter.
• Änderung in der Bewertung der Informationen. Daten, die sensibler werden und die Kategorie des Systems anheben.

Jeder dieser drei Fälle kann ein außerordentliches Audit vor der ordentlichen Erneuerung erfordern. Es rechtzeitig zu melden, ist Pflege; es zu verschweigen, gefährdet die Konformität.

Was die Aufrechterhaltung des ENS kostet (und was es kostet, sie fallen zu lassen)

Die Konformität aufrechtzuerhalten kostet deutlich weniger, als sich von null zu zertifizieren, und erheblich weniger, als sie zurückzugewinnen, nachdem man sie hat verfallen lassen. Ich werde Ihnen keine feste Zahl nennen, da es von der Kategorie, der Systemgröße und davon abhängt, wie viel Ihr Team intern übernimmt; die Bandbreiten der Erstzertifizierung finden Sie in meinem Artikel über den Prozess und die Kosten der ENS-Zertifizierung. Was ich Ihnen aber aufschlüsseln kann, sind die Bestandteile der jährlichen Instandhaltungskosten:

• Das Erneuerungsaudit. Es fällt im Zweijahresrhythmus an; in der Kategorie BASIS wird es durch eine Selbstbewertung ersetzt, wodurch die externen Kosten stark sinken.
• Die Stunden für die Aktualisierung der Dokumentation. Risikoanalyse, Erklärung zur Anwendbarkeit, Verfahren und Nachweise.
• Die Zeit des internen Teams. Der tägliche Betrieb der Maßnahmen: Backups, Zugriffe, Protokolle, Schulungen.
• Externe Unterstützung, sofern vorhanden. Viele KMU lagern die laufende Überwachung aus und behalten den Betrieb im eigenen Team.

Die Kosten des „Fallenlassens" tauchen selten in der Kalkulation auf, und sie sind die höchsten: von einer Ausschreibung ausgeschlossen zu werden, die eine gültige Konformität verlangt, einen Großteil des Projekts für die Rezertifizierung neu machen zu müssen und den Wettbewerbsvorteil gegenüber Anbietern zu verlieren, die ihre Konformität aufrechterhalten haben. Instandhaltung ist immer günstiger als Rettung.

Fehler, die zum Verlust der ENS-Konformität führen

Fast alle Fälle von Konformitätsverlust, die ich gesehen habe, gehen auf dieselben Nachlässigkeiten zurück. Keiner davon ist technischer Natur; alle sind Managementfehler:

• Das Gütesiegel verfallen lassen. Niemand hat das Erneuerungsdatum notiert, und das Zertifikat lief ohne Audit ab. Der häufigste und am leichtesten vermeidbare Fehler.
• Das System ändern, ohne es zu melden. Eine Cloud-Migration oder ein neuer Dienst, der sich weder im Anwendungsbereich niederschlägt noch das außerordentliche Audit auslöst.
• Das INES nicht einreichen. Der Jahresbericht wird vergessen, weil keine Erinnerung eintrifft, und sein Fehlen wird registriert.
• Versteinerte Dokumentation. Risikoanalyse und Erklärung zur Anwendbarkeit sind identisch mit denen vom Tag der Zertifizierung, während das System es längst nicht mehr ist.
• Nicht gemeldete Vorfälle. Still bearbeitet, ohne das vom Rahmenwerk geforderte Protokoll und ohne Meldung an das CCN-CERT.
• Neue ITS ignorieren. Der Auditor fragt nach einer vor Monaten veröffentlichten technischen Anweisung, die niemand gelesen hatte.

Fazit: Das ENS ist ein Zustand, kein Verwaltungsakt

Die Zertifizierung ist die Momentaufnahme eines Tages; die Konformität ist der Film. Das ENS zu pflegen bedeutet, fristgerecht zu auditieren oder sich selbst zu bewerten, jedes Jahr an das INES zu melden, Risikoanalyse und Erklärung zur Anwendbarkeit aktuell zu halten, Vorfälle zu melden und neu zu kategorisieren, wenn das System es verlangt. Nichts davon ist für sich genommen komplex; die Schwierigkeit besteht darin, über zwei Jahre hinweg keinen dieser Punkte aus den Augen zu verlieren. Wenn Sie diese Phase in den gesamten Zyklus einordnen möchten, finden Sie meinen ENS-Leitfaden für Unternehmen und Verwaltungen.

Wenn Sie sich für eine Ausschreibung zertifiziert haben und nicht genau wissen, was jetzt von Ihnen verlangt wird, oder Ihre Erneuerung näher rückt und Sie sie ohne Überraschungen angehen möchten, schildern Sie mir Ihren Fall, und wir prüfen ihn gemeinsam, unverbindlich.

Benötigen Sie Hilfe, um die Konformität Jahr für Jahr lebendig zu halten? Erfahren Sie mehr über meinen ENS-Beratungsservice für Unternehmen, die bereits zertifiziert sind und ihr Gütesiegel nicht verlieren möchten.