Königliches Dekret 311/2022
Umsetzung des Nationalen Sicherheitsschemas (ENS)
Wir bereiten Stadtverwaltungen, Provinzverwaltungen, Universitäten, öffentliche Stiftungen und Lieferanten darauf vor, das ENS zu erfüllen und das Zertifizierungsaudit zu bestehen. Dabei bringen wir die Erfahrung eines Unternehmens ein, das Software für die öffentliche Verwaltung entwickelt und nach ENS Kategorie MITTEL zertifiziert ist.
- Nach ENS Kategorie MITTEL zertifiziert
- ISO/IEC 27001
Rechtsrahmen
Was ist das Nationale Sicherheitsschema?
Das Nationale Sicherheitsschema (ENS) ist der verbindliche Rahmen für Informationssicherheit im spanischen öffentlichen Sektor. Geregelt ist es im Königlichen Dekret 311/2022, das die Fassung von 2010 ersetzte und eine bereits abgelaufene Frist von vierundzwanzig Monaten für die Anpassung bestehender Systeme festlegte.
Es legt Grundprinzipien, Mindestanforderungen und eine Reihe von Sicherheitsmaßnahmen fest, die in drei Rahmen gegliedert sind: organisatorisch org, operativ op und Schutzmaßnahmen mp. Welche Maßnahmen gelten, hängt von der Kategorie des Systems ab; das Nationale Kryptologische Zentrum (CCN) konkretisiert die Anwendung durch technische Anweisungen und die CCN-STIC-Leitfäden der Serie 800.
Für uns ist das ENS vor allem die Arbeitsweise, mit der wir unsere Individualsoftware und unsere Lösungen entwickeln. Diese Erfahrung stellen wir Ihrer Organisation zur Verfügung.
Anwendungsbereich
Wer das ENS erfüllen muss
Das ENS gilt für den gesamten öffentlichen Sektor im Sinne des spanischen Gesetzes 40/2015 sowie für private Einrichtungen, deren Systeme Dienste unterstützen, die sie für die öffentliche Verwaltung erbringen.
Kommunale Körperschaften
Stadtverwaltungen, Provinzverwaltungen, Inselräte, Gemeindeverbände und die ihnen zugeordneten Einrichtungen.
Institutioneller öffentlicher Sektor
Autonome Behörden, Konsortien, öffentliche Unternehmen und Stiftungen des öffentlichen Sektors.
Universitäten und Gesundheitswesen
Öffentliche Universitäten und Gesundheitsdienste, die zudem besonders geschützte personenbezogene Daten verarbeiten.
Lieferanten
Unternehmen, die für eine der genannten Stellen Dienste erbringen oder Informationssysteme liefern.
Kategorisierung
ENS-Kategorien: BASIS, MITTEL und HOCH
Die Kategorie ergibt sich aus der Bewertung der Auswirkungen, die ein Vorfall auf Informationen und Dienste in fünf Sicherheitsdimensionen hätte. Die Kategorie des Systems ist die höchste in einer dieser Dimensionen erreichte Stufe.
- CVertraulichkeit
- IIntegrität
- TNachvollziehbarkeit
- AAuthentizität
- DVerfügbarkeit
-
BASIS
Begrenzter Schaden
Ein Vorfall hätte begrenzte Auswirkungen auf die Aufgaben der Organisation, ihre Assets oder die betroffenen Personen.
Selbstbewertung und Konformitätserklärung (optional ist auch eine Zertifizierung möglich).
-
MITTEL
Schwerer Schaden
Ein Vorfall würde einen schweren Schaden verursachen. In dieser Kategorie sind wir für die Entwicklung und Wartung von Anwendungen zertifiziert.
Formelles Audit und Konformitätszertifikat durch eine akkreditierte Stelle.
-
HOCH
Sehr schwerer Schaden
Ein Vorfall würde einen sehr schweren Schaden verursachen, etwa bei kritischen Diensten oder besonders sensiblen Informationen.
Formelles Audit und Konformitätszertifikat durch eine akkreditierte Stelle.
Methodik
Phasen der ENS-Umsetzung
Ein Projekt in Phasen, mit einem konkreten Ergebnis in jeder Phase und zugeschnitten auf die Größe Ihrer Organisation: Eine kleine Gemeinde braucht nicht dasselbe wie eine Provinzverwaltung.
-
Erstanalyse und Kategorisierung
Wir identifizieren die Dienste und Informationen im Geltungsbereich, bewerten sie in den fünf Sicherheitsdimensionen und bestimmen die Kategorie jedes Systems. Wir ermitteln die Lücke zwischen dem Ist-Zustand und den Anforderungen des ENS.
Ergebnis: Diagnosebericht sowie Dokument zur Bewertung und Kategorisierung.
-
Risikoanalyse
Wir erfassen Assets, Bedrohungen und vorhandene Schutzmaßnahmen nach der Methodik MAGERIT und berechnen das Restrisiko, um zu entscheiden, was verstärkt werden muss.
Ergebnis: Risikoanalyse und Behandlungsplan.
-
Anwendbarkeitserklärung
Wir wählen die Maßnahmen aus Anhang II, die der Kategorie entsprechen, begründen die nicht anwendbaren und dokumentieren bei Bedarf Ausgleichsmaßnahmen.
Ergebnis: Anwendbarkeitserklärung, unterzeichnet vom Sicherheitsverantwortlichen.
-
Richtlinie, Organisation und Regelwerk
Wir verfassen die Sicherheitsrichtlinie, die das oberste Leitungsorgan verabschiedet, definieren die Rollen (Verantwortliche für Information, Dienst, Sicherheit und System) und erarbeiten Regelwerk und Verfahren.
Ergebnis: Sicherheitsrichtlinie, Regelwerk und Betriebsverfahren.
-
Umsetzung der Maßnahmen
Wir priorisieren die offenen Maßnahmen in einem Umsetzungsplan und begleiten Sie bei der Einführung – einschließlich der technischen Maßnahmen an Anwendungen und Systemen – und sammeln die Nachweise, die der Auditor verlangen wird.
Ergebnis: Umsetzungsplan und Nachweisregister.
-
Audit und Pflege
Wir führen vorab eine interne Prüfung durch, begleiten Sie während des Zertifizierungsaudits und erstellen den Plan für Korrekturmaßnahmen. Danach wird das System für die regelmäßigen Audits und den INES-Bericht gepflegt.
Ergebnis: Bericht der internen Prüfung und Plan für Korrekturmaßnahmen.
Öffentliche Auftragsvergabe
Was Ausschreibungen zum ENS verlangen
Das Königliche Dekret 311/2022 selbst sieht vor, dass die Ausschreibungsunterlagen öffentlicher Aufträge die Anforderungen enthalten müssen, die die ENS-Konformität der Systeme des Auftragnehmers sicherstellen. In der Praxis sind dies die häufigsten Anforderungen:
- ENS-Konformitätszertifikat des Auftragnehmers in der Kategorie, die dem beauftragten Dienst entspricht.
- Ein Geltungsbereich des Zertifikats, der die Systeme abdeckt, die den Dienst tatsächlich unterstützen.
- Erfüllung der ENS-Anforderungen, wenn der Dienst in der Cloud erbracht wird oder Informationen der Einrichtung verarbeitet.
- Benennung eines Sicherheitsverantwortlichen und Verpflichtung zur Meldung von Vorfällen.
- ISO/IEC 27001 als Anforderung oder als Bewertungskriterium.
Wir kennen es als Lieferant
Wir sind nach ENS Kategorie MITTEL für die Informationssysteme zertifiziert, die die Entwicklung und Wartung von Softwareanwendungen unterstützen, sowie nach ISO/IEC 27001. Wir wissen, was der Auditor prüft und welche Unterlagen eine Vergabestelle verlangt, weil wir sie in unseren eigenen Ausschreibungen einreichen.
Wenn sich Ihr Unternehmen an öffentlichen Ausschreibungen beteiligt, helfen wir Ihnen, einen Zertifikatsumfang festzulegen, der Ihre angebotenen Dienste abdeckt.
Warum ATISoluciones
ENS-Umsetzung von einem Team, das selbst Systeme entwickelt und betreibt
Wir wenden es selbst an, bevor wir es anbieten
Wir arbeiten seit 2020 täglich in einem nach ENS und ISO/IEC 27001 zertifizierten System.
Technische Maßnahmen, nicht nur Dokumente
Wir sind ein Entwicklungsteam: Wir verstehen die Maßnahmen zu Anwendungen, Zugängen, Protokollen und Konfigurationen.
Angemessen für Ihre Kategorie
Wir schlagen die Maßnahmen vor, die Ihre Kategorie verlangt – ohne das Projekt zu überdimensionieren oder Sie an einen Hersteller zu binden.
Häufige Fragen
Häufige Fragen zur ENS-Umsetzung
Was ist der Unterschied zwischen ENS-Umsetzung und ENS-Zertifizierung?
Die Umsetzung ist die Arbeit, das ENS einzuführen: Systeme kategorisieren, Risiken analysieren, die Richtlinie verabschieden und die Maßnahmen anwenden. Die Zertifizierung ist das Audit, das in den Kategorien MITTEL und HOCH eine akkreditierte Zertifizierungsstelle durchführt und das mit dem Konformitätszertifikat endet. Wir übernehmen die Umsetzung und begleiten Sie bis zum Audit; das Zertifikat stellt die akkreditierte Stelle aus.
Welche ENS-Kategorie gilt für meine Kommune?
Das hängt von der Bewertung der Informationen und Dienste im Geltungsbereich ab, nicht von der Größe der Einrichtung. Die Kategorie jedes Systems entspricht der höchsten Stufe, die es in einer der fünf Sicherheitsdimensionen erreicht. Deshalb ist der erste Schritt der Umsetzung immer die Kategorisierung.
Ist eine Zertifizierung in der Kategorie BASIS Pflicht?
Nein. In der Kategorie BASIS genügen eine Selbstbewertung und die Konformitätserklärung, wobei sich die Einrichtung auch für eine Zertifizierung entscheiden kann. In den Kategorien MITTEL und HOCH sind ein formelles Audit und das Konformitätszertifikat erforderlich.
Wie oft muss das ENS-Audit durchgeführt werden?
Regulär mindestens alle zwei Jahre. Ein außerordentliches Audit ist zudem erforderlich, wenn wesentliche Änderungen am System die Sicherheitsmaßnahmen beeinträchtigen können.
Wir sind Lieferant der öffentlichen Verwaltung – müssen wir das ENS erfüllen?
Ja, wenn Ihre Systeme Dienste unterstützen, die Sie für Einrichtungen des öffentlichen Sektors erbringen; die Ausschreibungsunterlagen verlangen in der Regel die Konformitätserklärung oder das Konformitätszertifikat. Das ist auch bei uns so: Wir entwickeln Software für die öffentliche Verwaltung und sind nach ENS Kategorie MITTEL zertifiziert. Wenn Sie zudem Software entwickeln, sehen Sie sich an, wie wir bei der sicheren Entwicklung arbeiten.
Wie lange dauert ein ENS-Umsetzungsprojekt?
Das hängt von der Zahl der Dienste im Geltungsbereich, der Kategorie und dem Ausgangspunkt Ihrer Organisation ab. Nach der Erstdiagnose erhalten Sie von uns einen auf Ihren Fall zugeschnittenen Phasenplan.
Wo steht Ihre Organisation beim ENS?
Fordern Sie eine Erstdiagnose an: Wir prüfen Ihre Situation und schlagen Ihnen einen Umsetzungsplan in Phasen vor.
