ENS (Esquema Nacional de Seguridad) revisjons- og sertifiseringstjenester | Akkreditert ENS Compliance – Lazarus Alliance. Ringe +1 (888) 896-7580 i dag.
Lazarus Alliance vil koordinere direkte med organisasjonen din for å planlegge din National Security Framework (ENS) vurdering. Våre bedømmere vil hjelpe med å identifisere nivået på sertifiseringen basert på bedriftens spesifikke forretningskrav. Din bedrift vil bli tildelt sertifisering på passende ENS-nivå ved å demonstrere passende modenhet i evner og organisatorisk modenhet.
National Security Framework er en obligatorisk lov for virksomheter i offentlig sektor og deres teknologileverandører, som fastsetter nødvendige forutsetninger for å garantere tillit til bruk av elektroniske medier. For dette formål etablerer den en rekke tiltak som garanterer sikkerheten til systemene, data, kommunikasjon og elektroniske tjenester, som tillater utøvelse av rettigheter og oppfyllelse av plikter via disse mediene.
Rammeverket fastsetter sikkerhetspolitikken for bruk av elektroniske medier og består av grunnleggende prinsipper og minimumskrav som tillater tilstrekkelig beskyttelse av informasjonssystemer, tjenester og deres informasjon.
Den nasjonale sikkerhetsordningen (ENS)
Esquema Nacional de Seguridad (ENS), etablert under Kongelig resolusjon 311/2022 (oppdatering av kongelig dekret 3/2010), er et spansk regelverk som er utformet for å sikre sikkerheten til informasjonssystemer som brukes av offentlige og private enheter. Hovedformålet er å beskytte informasjon og tjenester ved å fremme en konsekvent, risikobasert tilnærming til cybersikkerhet, ivareta konfidensialitet, integritet, tilgjengelighet, autentisitet og sporbarhet av data.
ENS gjelder for:
- Offentlige enheterAlle offentlige forvaltningsorganer, inkludert sentrale, regionale og lokale myndigheter, for å sikre sine elektroniske tjenester og data.
- Private enheterOrganisasjoner som tilbyr tjenester til offentlige forvaltninger eller håndterer sensitive data knyttet til offentlige tjenester, for eksempel leverandører av kritisk infrastruktur eller entreprenører.
Ordningen pålegger implementering av sikkerhetstiltak proporsjonalt med systemenes risikonivå, kategorisert som grunnleggende, middels eller høy, og krever sertifisering for å demonstrere samsvar. Sertifisering innebærer en streng prosess med dokumentasjons- og stedsrevisjoner for å bekrefte overholdelse av ENS-sikkerhetskrav, noe som sikrer robust beskyttelse mot cybertrusler.
ENS sikkerhetsnivåer (Esquema Nacional de Seguridad – Kongelig resolusjon 311/2022)
Den spanske ENS klassifiserer alle informasjonssystemer i ett av tre sikkerhetsnivåer – Lav (Bajo), Middels (Medio) eller Høy (Alto) — basert på den potensielle virkningen av en sikkerhetshendelse på dimensjonene av konfidensialitet, integritet, autentisitet, sporbarhet og tilgjengelighet.
| Nivå | Når det gjelder (virkningen av et kompromiss) | Sertifiseringskrav (siden mai 2025) |
|---|---|---|
| LAV (Bajo) | Mindre eller ubetydelig skade på organisasjonen, innbyggerne eller staten. Ingen vesentlig skade på rettigheter, økonomisk aktivitet eller viktige tjenester. | Kun samsvarserklæring (egenerklæring). Ingen obligatorisk tredjepartssertifisering. |
| MEDIUM (Medio) | Betydelig skade: påvirker et betydelig antall brukere, forårsaker relevant økonomisk tap eller hindrer tjenestenes normale funksjon (men ikke kritisk). | Obligatorisk tredjepartssertifisering av en ENAC-akkreditert enhet (f.eks. Lazarus Alliance). |
| HØY (Alto) | Svært alvorlig skade: storskala innvirkning på borgernes rettigheter, betydelige økonomiske eller finansielle konsekvenser, eller forstyrrelse av viktige/kritiske tjenester (inkludert nasjonal sikkerhet eller klassifisert informasjon). | Obligatorisk tredjepartssertifisering (strengeste revisjonsomfang) + tilleggskrav (f.eks. bruk av CCN-godkjente kryptografiske produkter for klassifiserte data). |
Hvordan nivået bestemmes
Organisasjonen må gjennomføre en formell risikoanalyse (trusler × sårbarheter × verdi av eiendel) for hver av de fem sikkerhetsdimensjonene. Den høyeste resulterende effekten på tvers av en dimensjon definerer det overordnede systemnivået.
Eksempel:
- Hvis tap av konfidensialitet ville forårsake «betydelig» skade → Medium
- Hvis tap av tilgjengelighet kan lamme en kritisk offentlig tjeneste → Høy
Siden kan 2025, må alle eksisterende systemer på mellom- og høyt nivå ha et gyldig ENS-sertifikat utstedt av et ENAC-akkreditert sertifiseringsorgan. Nye systemer må sertifiseres før de settes i produksjon.
Trenger du hjelp til å bestemme systemets ENS-nivå eller oppnå sertifisering? Ring Lazarus Alliance på +1 (888) 896-7580 – vi er et ENAC-kvalifisert ENS-sertifiseringsorgan og har sertifisert dusinvis av internasjonale leverandører og spanske offentlige enheter.
Revisjonstidslinje: Hva du kan forvente med Lazarus Alliance
Lazarus Alliance følger en strukturert prosess i samsvar med ISO/IEC 17065. Tilnærmingen vår bruker kritisk sti-metodikk og IT-revisjonsmaskin (ITAM) plattform for å akselerere revisjoner med opptil 46 %, med fokus på proaktiv identifisering av gap og effektiv bevishåndtering. Fullstendig innledende sertifisering tar vanligvis 3-6 måneder fra avspark, avhengig av omfang, beredskap og utbedringsbehov.
Detaljert ENS (Esquema Nacional de Seguridad) tidslinje for revisjon og overholdelse
Lazarus Alliance følger denne strukturerte 6-faseprosessen for ENS-sertifisering, gapvurderinger og kontinuerlig samsvar med Spanias nasjonale sikkerhetsordning (kongelig dekret 311/2022) for offentlig forvaltning og operatører av kritisk infrastruktur.
| Fase | Aktiviteter | Typisk varighet | Viktige leveranser og verktøy |
|---|---|---|---|
| Fase 0 – Forhåndsengasjement og beslutning | Innledende konsultasjon, gjennomgang av ENS-anvendbarhet, taushetserklæring og engasjementsbrev | 1-2 uker | Signert arbeidsplan, prosjektcharter og tilgang til Continuum GRC-portalen |
| Fase 1 – Oppstart og omfang | Oppstartsmøte, valg av ENS-kategori (HØY/MEDIUM/LAV), gjennomgang av kontrollkatalog og anvendelighetsmatrise | Uke 0–1 | Ferdigstilt ENS-omfangsdokument, skreddersydd kontrollliste, liste over dokumentforespørsler |
| Fase 2 – Gapvurdering og bevisinnsamling | Gapanalyse mot alle ENS-krav (organisatorisk, operasjonelt, beskyttelse, forsvar, gjenoppretting), opplasting av bevis | Uke 1–5 | Komplett bevispakke i Continuum GRC, detaljert plan for utbedring av gap |
| Fase 3 – Utbedring og validering | Støtte til utbedringer, policyoppdateringer, implementering av teknisk kontroll og ISMS-samsvar med ISO 27001 | Uke 5–9 | Validerte kontroller, oppdaterte standardoperasjoner (SOP-er) og opplæringslogger |
| Fase 4 – Vurdering av feltarbeid og testing | Kontrolltesting, intervjuer, sårbarhetsvurderinger, penetrasjonstesting, simulerte ENS-revisjoner | Uke 9–12 | Testresultater, foreløpige funnrapporter og sanntidsdashbord |
| Fase 5 – Rapportering, sertifisering og løpende vedlikehold | Levering av endelig rapport, løsning av funn, samsvarserklæring for ENS og årlig overvåkingsplanlegging | Uke 12–14 + pågående | Endelig ENS-samsvarsrapport, offisiell erklæringspakke, Cybervisor™ kontinuerlig overvåkingsveikart |
Hvorfor klienter blir raskere ferdige med Lazarus Alliance: Vår Proactive Cyber Security®-metodikk, Cybervisor™-plattform og Continuum GRC-automatisering reduserer vanligvis ENS-vurderings- og sertifiseringstiden med 40–50 %, samtidig som vi leverer dokumentasjon av høyere kvalitet, klar for CCN-STIC og et robust nasjonalt sikkerhetsprogram.
For et skreddersydd tilbud på ENS-revisjon eller for å komme i gang, ring +1 (888) 896-7580 – Lazarus Alliance Cybervisor™-teamene er klare.
Ofte Stilte Spørsmål
Hva er ENS (Esquema Nacional de Seguridad), og hvem gjelder det for i Spania?
Esquema Nacional de Seguridad (ENS) er det spanske nasjonale sikkerhetsrammeverket etablert av Kongelig resolusjon 311/2022. Den gjelder for alle offentlige enheter i Spania og for private selskaper som tilbyr tjenester eller systemer til den spanske offentlige forvaltningen (inkludert skyleverandører, administrerte tjenester, operatører av kritisk infrastruktur og deres underleverandører).
Hva er de viktigste endringene som er introdusert av den nye ENS (kongelig resolusjon 311/2022)?
Den oppdaterte ENS hever standarden betraktelig sammenlignet med 2010-versjonen: strengere krav til risikostyring, obligatorisk sertifisering for systemer på mellom- og høyt nivå, nye sikkerhetstiltak (f.eks. skysikkerhet, forsyningskjedesikkerhet og kryptologi), strengere tidsfrister for hendelsesrapportering (innen 24 timer for betydelige hendelser) og eksplisitt samsvar med NIS2 og andre EU-forskrifter.
Hva er de tre ENS-samsvarsnivåene (lav, middels, høy), og hvordan bestemmes nivået?
- LavGrunnleggende beskyttelse for ikke-kritisk informasjon eller tjenester
- MediumGjelder når det er en moderat risiko for konfidensialitet, integritet eller tilgjengelighet
- Høyt Kreves for systemer som håndterer klassifisert informasjon, kritiske tjenester, eller der en kompromittering kan forårsake alvorlig skade for borgere eller staten. Nivået bestemmes gjennom en formell risikoanalyse basert på dimensjonene konfidensialitet, integritet, autentisitet, sporbarhet og tilgjengelighet.
Er ENS-sertifisering obligatorisk, og når må organisasjoner være i samsvar?
Ja. Alle informasjonssystemer som har nådd middels eller høyt nivå må få ENS-sertifisering. Eksisterende systemer har frem til mai 2024 med å oppnå sertifisering i henhold til den nye Kongelig resolusjon 311/2022Nye systemer må sertifiseres før de settes i produksjon.
Hva innebærer ENS-sertifiseringsprosessen?
Prosessen inkluderer:
- Formell risikovurdering og fastsettelse av sikkerhetsnivå
- Gapanalyse mot de mer enn 75 sikkerhetstiltakene i vedlegg II
- Implementering eller utbedring av kontroller
- Utarbeidelse av erklæring om anvendelighet (DoA) og sikkerhetserklæring
- Uavhengig samsvarsvurdering (revisjon) av en ENAC-akkreditert enhet
- Utstedelse av ENS-sertifikat (gyldig i 5 år med årlige oppfølgingsrevisjoner)
Vi er et internasjonalt selskap som tilbyr tjenester til spanske offentlige etater. Trenger vi ENS-sertifisering?
Ja. Enhver organisasjon (uavhengig av sted) som behandler informasjon eller tilbyr elektroniske tjenester til den spanske offentlige forvaltningen, må overholde ENS på det nivået som kreves av kontrakten eller tjenesten. Mange offentlige anbud krever nå eksplisitt ENS-sertifisering som en forutsetning.
Hvordan forholder ENS seg til NIS2, ISO 27001 og andre rammeverk?
ENS er fullt ut i samsvar med NIS2-kravene i Spania. En organisasjon med en moden ISO 27001 Sertifisering kan oppnå ENS-sertifisering raskere fordi omtrent 70–80 % av kontrollene overlapper hverandre, men ENS har ytterligere Spaniaspesifikke krav (f.eks. nasjonal kryptologi, spesifikk hendelsesrapportering til INCIBE og krav til forsyningskjeden).
Hvordan kan Lazarus Alliance hjelpe oss med å oppnå og opprettholde ENS-sertifisering?
Lazarus Alliance tilbyr komplette ENS-tjenester, inkludert:
- Innledende risiko- og sikkerhetsnivåvurdering
- Veikart for gapanalyse og utbedring
- Implementeringsstøtte for tekniske og organisatoriske tiltak
- Utarbeidelse av all nødvendig dokumentasjon (avtale om sikkerhet, sikkerhetspolicyer osv.)
- Fullstendige samsvarsvurderingsrevisjoner (vi er en ENAC-kvalifisert enhet)
- Løpende vedlikehold og årlige overvåkingsrevisjoner. Vi har hjulpet en rekke spanske offentlige enheter og internasjonale leverandører med å oppnå ENS-sertifisering på høyt nivå i tide.
Fordeler med ENS-samsvar
Fordelene ved å oppnå en ENS-sertifisering (Esquema Nacional de Seguridad), som regulert av kongelig dekret 311/2022 i Spania, er betydelige for både offentlige og private enheter, og sikrer robust cybersikkerhet og samsvar med det nasjonale sikkerhetsrammeverket. Nedenfor er de viktigste fordelene:
- Forbedret cybersikkerhet: ENS-sertifisering sikrer at informasjonssystemer oppfyller strenge sikkerhetskrav for konfidensialitet, integritet, tilgjengelighet, autentisitet og sporbarhet. Ved å implementere risikobaserte sikkerhetstiltak skreddersydd for systemkategorier (grunnleggende, middels, høy), reduserer organisasjoner sårbarheter og beskytter mot cybertrusler som datainnbrudd eller uautorisert tilgang.
- Overholdelse av regelverk: For offentlige enheter er ENS-sertifisering obligatorisk for å overholde kongelig resolusjon 311/2022, som sikrer overholdelse av nasjonale standarder for sikre elektroniske tjenester. Private enheter som samarbeider med offentlige forvaltninger (f.eks. entreprenører eller leverandører av kritisk infrastruktur) oppfyller også juridiske forpliktelser, og unngår dermed straffer eller utelukkelse fra offentlige kontrakter.
- Økt tillit og troverdighet: Sertifisering demonstrerer en forpliktelse til cybersikkerhet, og styrker tilliten blant kunder, partnere og interessenter. Offentlige og private enheter kan vise frem at de overholder en anerkjent nasjonal standard, og dermed styrke sitt omdømme for pålitelighet og sikkerhet.
- Tilgang til muligheter i offentlig sektor: Private organisasjoner med ENS-sertifisering får et konkurransefortrinn når de byr på kontrakter med offentlige forvaltninger, ettersom samsvar ofte er en forutsetning for samarbeid eller tjenestelevering i sektorer som helsevesen, finans eller kritisk infrastruktur.
- Risikostyring og robusthet: ENS-rammeverket fremmer en risikobasert tilnærming, som krever at organisasjoner identifiserer, vurderer og reduserer risikoer systematisk. Dette forbedrer operasjonell robusthet, reduserer sannsynligheten for hendelser og sikrer raskere gjenoppretting etter potensielle forstyrrelser.
- Standardiserte sikkerhetspraksiser: Sertifisering samkjører systemer med et enhetlig sett med sikkerhetstiltak, og fremmer konsistente og interoperable cybersikkerhetspraksiser på tvers av avdelinger eller forretningsenheter. Dette er spesielt gunstig for store organisasjoner eller de som opererer i komplekse IT-miljøer.
- Beskyttelse av sensitive data: ENS-sertifisering sikrer robust beskyttelse av sensitiv informasjon, som personopplysninger eller kritiske driftsdata, i samsvar med personvernforskrifter som GDPR. Dette reduserer risikoen for juridisk ansvar og omdømmeskade fra datalekkasjer.
- Markedsdifferensiering: For private enheter signaliserer ENS-sertifisering et høyt nivå av modenhet innen cybersikkerhet, og skiller dem fra konkurrenter i bransjer der sikkerhet er en prioritet, for eksempel teknologi, telekommunikasjon eller offentlige tjenesteleverandører.
- Støtte for digital transformasjon: Ved å sikre informasjonssystemer, gjør ENS-sertifisering det mulig for organisasjoner å trygt ta i bruk digitale teknologier, skytjenester og e-forvaltningsinitiativer, og støtte innovasjon samtidig som de opprettholder samsvar.
- Kontinuerlig forbedring: Sertifiseringsprosessen inkluderer periodisk overvåking og fornyelsesrevisjoner (vanligvis hvert 2.–3. år), som sikrer kontinuerlig samsvar og oppmuntrer organisasjoner til å vedlikeholde og oppdatere sikkerhetstiltakene sine som svar på utviklende trusler.
Ved å oppnå ENS-sertifisering oppfyller organisasjoner ikke bare regulatoriske krav, men bygger også et sterkere og sikrere fundament for driften sin, noe som fremmer tillit og muliggjør sikkert samarbeid i Spanias offentlige og private sektor.
Snakk med en av våre eksperter
Våre Lazarus Alliance Cybervisor™-team har erfaring med å utføre tusenvis av vurderinger for organisasjoner som tilbyr tjenester til kunder over hele verden.
Vi er her for å svare på alle spørsmål du måtte ha.
ENS sertifiseringsprosess
Sertifiseringsprosessen for Esquema Nacional de Seguridad (ENS), som regulert av kongelig dekret 311/2022 i Spania, involverer en strukturert serie med stadier for å bekrefte at en organisasjons informasjonssystemer overholder kravene i det nasjonale sikkerhetsrammeverket. Nedenfor er en tydelig beskrivelse av sertifiseringsprosessen, inkludert dens stadier, basert på ENS-ordningen og i samsvar med UNE-EN ISO/IEC 17065:2012-standarder for sertifiseringsorganer som Lazarus Alliance:
- Søknad og kontrakt:
- Beskrivelse: Organisasjonen som søker sertifisering sender inn en søknad til et akkreditert sertifiseringsorgan. Søknaden inneholder detaljer om informasjonssystemet(-ene) som skal sertifiseres, omfanget og sikkerhetskategorien (grunnleggende, middels eller høy) i henhold til ENS-kravene.
- Aktiviteter: Sertifiseringsorganet gjennomgår søknaden for fullstendighet og gjennomførbarhet, definerer sertifiseringsomfanget og blir enig med klienten om en juridisk bindende sertifiseringskontrakt som beskriver ansvar, tidsfrister og kostnader.
- Resultat: En formell avtale signeres, som sikrer at klienten forplikter seg til å gi nødvendig tilgang og dokumentasjon for sertifiseringsprosessen. - Dokumentrevisjon (trinn 1):
- Beskrivelse: Sertifiseringsorganet gjennomfører en ekstern gjennomgang av organisasjonens dokumentasjon for å vurdere samsvar med ENS-krav.
- Aktiviteter:
- Gjennomgang av organisasjonens sikkerhetspolicyer, risikovurderinger, sikkerhetstiltak og prosedyrer for konfidensialitet, integritet, tilgjengelighet, autentisitet og sporbarhet.
– Verifisering av at systemets sikkerhetstiltak er i samsvar med ENS-kategorien (grunnleggende, middels eller høy) som beskrevet i kongelig resolusjon 311/2022.
- Identifisering av eventuelle mangler eller avvik i dokumentasjonen.
- Resultat: Det utstedes en rapport som beskriver funnene, inkludert eventuelle avvik som må tas tak i før man går videre til neste trinn. Organisasjonen må kanskje iverksette korrigerende tiltak. - Revisjon på stedet (trinn 2):
- Beskrivelse: Sertifiseringsorganet gjennomfører en evaluering på stedet for å verifisere implementeringen og effektiviteten av sikkerhetstiltakene som er dokumentert i trinn 1.
- Aktiviteter:
- Inspeksjon av fysiske og logiske sikkerhetskontroller, inkludert tilgangskontroller, hendelsesresponsmekanismer og systemkonfigurasjoner.
- Intervjuer med personell for å bekrefte at dokumenterte prosedyrer følges.
- Testing av tekniske tiltak (f.eks. kryptering, autentiseringssystemer) og driftsprosesser for å sikre at de oppfyller ENS-kravene for den spesifiserte kategorien.
- Vurdering av samsvar med eventuelle korrigerende tiltak identifisert i trinn 1.
- Resultat: Det utarbeides en detaljert revisjonsrapport som fremhever samsvarsstatus og eventuelle gjenværende avvik. Store avvik må løses før sertifisering kan gis. - Sertifiseringsvedtak:
- Beskrivelse: Sertifiseringsorganet gjennomgår funnene fra begge revisjonsfasene for å ta en upartisk beslutning om å gi ENS-sertifisering.
- Aktiviteter:
- En uavhengig revisjonskomité eller utpekt beslutningstaker evaluerer revisjonsrapportene, og sikrer objektivitet og samsvar med UNE-EN ISO/IEC 17065:2012.
- Verifisering av at alle avvik (store og mindre) er tilstrekkelig håndtert.
- Resultat: Hvis organisasjonen er i samsvar med kravene, får den ENS-sertifisering, gyldig i en periode definert av ordningen (vanligvis 2–3 år). Sertifiseringsorganet utsteder et sertifikat og autoriserer bruken av ENS-merket/-logoen under spesifiserte betingelser. - Overvåkingsrevisjoner:
- Beskrivelse: Periodiske revisjoner gjennomføres i løpet av sertifiseringens gyldighetsperiode for å sikre kontinuerlig samsvar med ENS-krav.
- Aktiviteter:
- Årlige eller toårige overvåkingsrevisjoner (avhengig av ordning og systemkategori) for å bekrefte fortsatt overholdelse av sikkerhetstiltak.
- Gjennomgang av endringer i systemet, risikovurderinger eller sikkerhetshendelser siden sertifiseringen.
- Vurdering av klageregister og korrigerende tiltak iverksatt av organisasjonen.
- Resultat: En overvåkingsrapport bekrefter samsvar eller identifiserer avvik som krever korrigerende tiltak for å opprettholde sertifiseringen. - Fornyelsesrevisjon:
- Beskrivelse: Ved slutten av sertifiseringens gyldighetsperiode (vanligvis 2–3 år) gjennomføres en fornyelsesrevisjon for å resertifisere systemet.
- Aktiviteter:
- En omfattende revurdering tilsvarende trinn 1 og 2, som vurderer systemet opp mot gjeldende ENS-krav og eventuelle oppdateringer i kongelig resolusjon 311/2022.
- Gjennomgang av funn fra overvåkingsrevisjoner og organisasjonens løpende samsvar.
- Resultat: Hvis det lykkes, utstedes et nytt sertifikat, som forlenger sertifiseringen med en ny syklus. Avvik kan forsinke eller forhindre fornyelse inntil det er løst.
Flere merknader
- Akkrediteringskrav: Sertifiseringsorganet må være akkreditert av et nasjonalt akkrediteringsorgan (f.eks. ENAC i Spania) for å sikre upartiskhet og kompetanse, i henhold til UNE-EN ISO/IEC 17065:2012.
- Klientens ansvar: Organisasjonen må gi tilgang til dokumentasjon, personell og fasiliteter, føre registre over klager og varsle sertifiseringsorganet om vesentlige systemendringer, som beskrevet i ISO/IEC 17065 klausul 4.1.2.
- ENS-spesifikke hensyn: Prosessen er i samsvar med ENS-ordningens fokus på risikobaserte sikkerhetstiltak, med strengere krav for høyere systemkategorier (Middels og Høy). Centro Criptológico Nacional (CCN) gir ytterligere veiledning om implementering av ENS, som sertifiseringsorganet innlemmer i revisjonsprosessen.
- Avvik: Eventuelle avvik som identifiseres under revisjoner må håndteres innen en tidsramme avtalt med sertifiseringsorganet. Store avvik (f.eks. kritiske sikkerhetshull) krever vanligvis løsning før sertifisering, mens mindre avvik kan håndteres under overvåking.
Denne strukturerte prosessen sikrer at sertifiserte systemer oppfyller ENS' strenge sikkerhetsstandarder, beskytter sensitiv informasjon og muliggjør samsvar med spanske forskrifter.