Госорган требует от нас соответствия ENS — что это вообще такое и как подтверждается в Испании?

Volkan A***в прошлом году·37 сообщений·23 тыс. просмотров#национальная схема безопасности #госзакупки в испании #инфобезопасность #законодательство о торгах

Volkan A***Ветеран

Должность: Специалист по цифровому маркетингу
Отрасль: Упаковка
Тип организации: сеть магазинов
Дата регистрации: янв. 2023 г.
Сообщение: 191

в прошлом году#1

Мы небольшая IT-компания из Мадрида (6 человек) делаем облачные решения для электронного документооборота в госорганах и местных муниципалитетах. На прошлой неделе начали готовить заявку на тендер по оцифровке архивов в Андалусии с бюджетом 140.000 EUR. В техзадании среди квалификационных требований четко прописано «соответствие Esquema Nacional de Seguridad (ENS)» и требуется приложить официальный подтверждающий документ.

Сертификат ISO 27001 у нас уже есть, так что с базовыми процессами инфобезопасности мы знакомы. Но говорят что в испанском госсекторе требования этой национальной системы безопасности куда жестче и бюрократичнее. К тому же в ТЗ толком не указано, какой именно уровень нужен: базовый (básico), средний (medio) или высокий (alto).

Что конкретно означает это требование на испанском рынке? Подойдет ли наш ISO 27001 напрямую или придется с нуля проходить независимый аудит ENS и получать аккредитованный сертификат? Как пройти этот процесс быстрее и с минимальными затратами?

Orhan Ç***Эксперт

Должность: Аналитик данных
Отрасль: Химия
Тип организации: семейный бизнес
Дата регистрации: окт. 2024 г.
Сообщение: 15

в прошлом годуСамый полезный#2

Если коротко: ENS (Esquema Nacional de Seguridad) в Испании — это обязательный госстандарт безопасности для самих госучреждений и частных подрядчиков, поставляющих им IT-решения. Сертификат ISO 27001 автоматически ENS не заменяет; в зависимости от важности и объема обрабатываемых данных вам обязательно потребуется официальный документ о соответствии базовому среднему или высокому уровню.

Система ENS делится на три уровня: базовый (Básico), средний (Medio) и высокий (Alto). Если тендер не связан напрямую с критической инфраструктурой или закрытыми медицинскими персональными данными обычно требуют базовый или средний уровень. При базовом уровне внешний аудит с аккредитацией не обязателен: достаточно провести самооценку по руководствам Национального криптологического центра (CCN) и оформить официальную декларацию соответствия (Declaración de Conformidad).

Если же тендер требует среднего или высокого уровня, придется пройти аудит в независимом сертификационном органе с аккредитацией ENAC и получить официальный сертификат (Certificación de Conformidad). Наличие ISO 27001 очень сильно ускорит дело так как большая часть требований ENS напрямую пересекается с мерами контроля ISO.

Первым делом направьте официальный запрос заказчику через площадку и уточните категорию ENS. Если уровень базовый, декларацию можно подготовить своими силами за 2–3 недели. Если нужен средний придется нанимать аккредитованных аудиторов: это займет от 2 до 4 месяцев а стоимость аудита обычно составляет от 7.000 до 14.000 EUR.

SinemЭксперт

Должность: Руководитель проектов
Дата регистрации: окт. 2023 г.
Сообщение: 176

в прошлом году#3

раз в тз уровень не указан, сразу запрашивайте разъяснение (aclaración) через площадку. если ответят, что нужен базовый, вообще ни копейки внешним аудиторам не отдадите: заполняете чек-лист на портале CCN, регистрируете систему и готово. не тяните время, отправляйте запрос.

Doruk S***Новый участникУчастник сообщества

Дата регистрации: авг. 2026 г.
Сообщение: 278

в прошлом году#4

В прошлом году подавались на гостендер в Валенсии на 110.000 EUR. С нас потребовали именно ENS Medio. База под ISO 27001 у нас была, но на закрытие всех хвостов и прохождение аудита ушло ровно 3 месяца. Заплатили 8.500 EUR аккредитованному органу за аудит и еще 4.000 EUR консультантам.

Özge Ç***Участник

Должность: Руководитель административного отдела
Отрасль: Бухгалтерия и консалтинг
Тип организации: Компания на 120 человек
Дата регистрации: нояб. 2024 г.
Сообщение: 2

в прошлом году#5

По технической части главное отличие от ISO — это руководства CCN-STIC. По шифрованию данных разрешено использовать строго стандарты, одобренные Национальным криптологическим центром Испании, систему инцидентов нужно обязательно интегрировать с государственной платформой оповещения, а 2FA обязательна для абсолютно всех системных администраторов.

Yiğit Ç***УчастникУчастник сообщества

Дата регистрации: март 2025 г.
Сообщение: 107

в прошлом году#6

Даже не думайте, мол, «приложим ISO, авось прокатит». В испанских госзакупках заявки без сертификата или декларации ENS срезают прямо на этапе проверки документов, технический конверт даже не вскроют.

Merve B***Новый участникУчастник сообщества

Дата регистрации: авг. 2026 г.
Сообщение: 247

в прошлом году#7

Пошаговый план такой: 1) Получите от заказчика письменное подтверждение категории ENS. 2) Скачайте руководства серии CCN-STIC 800 и сделайте гэп-анализ относительно вашей текущей базы ISO. 3) Если уровень базовый — оформляйте внутреннюю декларацию, если средний — срочно запрашивайте коммерческие предложения у аккредитованных органов ENAC.

Murat K***Участник

Должность: SaaS-разработчик
Тип организации: бутиковое агентство
Дата регистрации: март 2024 г.
Сообщение: 118

Doki · Настройка управления логами · 2025

в прошлом году#8

испанская бюрократия тут вообще жесть. мы на похожем проекте для мэрии в последний момент выехали на базовой декларации аудит бы просто не успели закрыть по срокам.

Furkan U***Участник

Должность: Руководитель административного отдела
Отрасль: Энергетика
Тип организации: Производственная компания из 40 человек
Дата регистрации: июль 2025 г.
Сообщение: 84

в прошлом году#9

Стоит отметить, что в соответствии с Королевским указом от 2022 года требования ENS к облачным провайдерам были обновлены. Если ваш облачный хостинг-провайдер уже имеет действующий сертификат ENS, это существенно упростит прохождение аудита для вашей инфраструктуры.

Ferhat G***Новый участникУчастник сообщества

Дата регистрации: май 2026 г.
Сообщение: 180

в прошлом году#10

Обсуждение размылось, давайте структурируем. Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Пишите, если есть вопросы, отвечу по мере возможности.

Nazlı Ş***Новый участник

Должность: Продакт-менеджер
Отрасль: Медицинские услуги
Тип организации: компания из 20 человек
Дата регистрации: июнь 2026 г.
Сообщение: 351

Doki · перенос инфраструктуры · 2023

в прошлом году#11

Сведу тему в кучу, так как ответов было несколько разных. Ошибка, сделанная на стороне национальная система безопасности, обычно исправима, но дорого.

Надеюсь, это будет полезно.