Eine Behörde verlangt ENS-Konformität von uns — was ist das und wie weist man das in Spanien nach?

Wenn die Stufe in den Unterlagen fehlt, fordert direkt über die Vergabeplattform eine offizielle Klarstellung (aclaración) an. Falls sie „básico“ sagen, müsst ihr keinen Cent für externe Auditoren ausgeben: Einfach die Standard-Checkliste auf der CCN-Plattform ausfüllen und euer System registrieren. Schickt die Anfrage am besten sofort raus.

Wir haben letztes Jahr an einer öffentlichen Ausschreibung über 110.000 EUR in Valencia teilgenommen. Da wurde ENS Medio verlangt. Unsere ISO 27001-Basis stand zwar, aber um die Gaps zu schließen und das Audit zu bestehen, haben wir glatte 3 Monate gebraucht. Kostenpunkt: 8.500 EUR für die akkreditierte Zertifizierungsstelle plus 4.000 EUR für externe Beratung.

Technisch gesehen liegt der größte Unterschied zur ISO in den CCN-STIC-Leitfäden. Bei Verschlüsselungsalgorithmen dürft ihr nur Standards nutzen, die vom spanischen Kryptologiezentrum freigegeben sind, das Incident-Reporting muss an die staatliche Meldeplattform angebunden sein und 2FA ist für alle System-Admins Pflicht.

Verlasst euch bloß nicht auf den Gedanken: „Wir haben ja ISO, das wird das Amt schon schlucken.“ Bei öffentlichen Vergaben fliegen Angebote ohne ENS-Zertifikat oder ENS-Erklärung schon in der formalen Prüfung raus, euer technisches Angebot wird nicht einmal geöffnet.

Eure Roadmap sollte so aussehen: 1) ENS-Kategorie schriftlich bei der Vergabestelle klären. 2) Die CCN-STIC-800-Reihe herunterladen und einen Gap-Abgleich mit eurer ISO machen. 3) Bei Básico die interne Erklärung vorbereiten, bei Medio sofort Angebote von ENAC-akkreditierten Stellen einholen.

die spanische bürokratie ist da echt gnadenlos. übrigens wir haben uns bei nem ähnlichen ding für ne stadtverwaltung im letzten moment mit der básico-selbsterklärung gerettet externes audit hätte zeitlich null gereicht.

Wichtig ist auch: Durch das 2022 novellierte Dekret (Real Decreto) wurden die ENS-Vorgaben für Cloud-Anbieter grundlegend überarbeitet. Wenn euer Cloud-Hoster selbst bereits ENS-zertifiziert ist, vereinfacht das euer Audit spürbar.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Fehler auf der nationaler sicherheitsrahmen spanien-Seite sind meist rückgängig zu machen, aber teuer.

Ich hoffe, das hilft dir weiter.

Ich stimme zu.

Beim Umsetzen gibt es drei Dinge zu beachten. Fehler auf der nationaler sicherheitsrahmen spanien-Seite sind meist rückgängig zu machen, aber teuer.

Wenn es jemand anders macht, würde mich das auch interessieren.

Bleibe dran. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Ich probiere es aus. Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit. Wenn es jemand anders macht, würde mich das auch interessieren.

Notiert, danke.

so klar geschriebene Texte sind selten dann halt wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

wenn es jemand anders maacht würde mich das auch interessieren.

Ich habe mich lange damit beschäftigt. Die Zeit die ihr braucht um ein Problem zu erkennen bestimmt direkt dessen Kosten.

Schreibt mir wenn ihr Fragen habt ich antworte so gut ich kann.

Dieser Ansatz hat seinen Preis der aber nicht thematisiert wird. Fehler auf der nationaler sicherheitsrahmen spanien-Seite sind meist rückgängig zu machen, aber teuer.

Wenn du das nicht von Anfang an schriftlich festhältst gibt es später Streit. Viel Erfolg.

Meine Frage klingt vielleicht etwas naiv entschuldigt bitte. Lösungen die im kleinen Maßstab funktionieren brechen bei Wachstum zusammen, das habe ich spät gelernt.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.