Ihre Konformität mit dem ENS, Kontrolle für Kontrolle, mit den Nachweisen vor Augen.
Für Verwaltungen und öffentliche Anbieter mit begrenzten IT-Ressourcen: HodeiShield bewertet 74 eigene Kontrollen auf Grundlage von Anhang II des RD 311/2022 nach Kategorie Basis, Mittel und Hoch und zeigt Ihnen vor dem Audit, was fehlt.
- ENS-Zertifikat (Kategorie Mittel), Nr. 34/5704/26/09103 · Hodeitek S.L., mit einem Geltungsbereich, der den SaaS-Dienst HodeiShield einschließt
- Daten in der EU (OVH, Gravelines); Cloudflare (USA) auf dem Anfragepfad
Was der ENS verlangt, kurz gefasst
Der ENS legt die Grundsätze und Mindestanforderungen an die Sicherheit der Informationssysteme des öffentlichen Sektors und derer fest, die ihm Dienste liefern.
Informative Zusammenfassung, keine Rechtsberatung. Maßgeblich sind der amtliche Text und die Leitfäden des Centro Criptológico Nacional.
- Kategorie nach Auswirkung
- Jedes System wird anhand des Niveaus von fünf Dimensionen als Basis, Mittel oder Hoch kategorisiert: Verfügbarkeit, Authentizität, Integrität, Vertraulichkeit und Nachvollziehbarkeit.
- Maßnahmen aus Anhang II
- Die Maßnahmen sind in organisatorischen Rahmen, operativen Rahmen und Schutzmaßnahmen gegliedert. Je höher die Kategorie, desto mehr Maßnahmen gelten, und desto strenger.
- Externe Dienste und Lieferkette
- Der operative Rahmen umfasst die externen Dienste, mit Vertragsgestaltung, laufender Steuerung und Schutz der Lieferkette. Hier fließen Ihre Lieferanten in Ihre Konformität ein.
- Nachweisbare Konformität
- Systeme der Kategorie Basis geben eine Konformitätserklärung ab; Systeme der Kategorie Mittel und Hoch durchlaufen ein Zertifizierungsaudit.
Drei Kategorien, jede verlangt mehr als die vorige
Die Kategorie bestimmt sich nach dem höchsten Niveau der fünf Dimensionen. HodeiShield hält sie im Profil Ihres Systems fest und bewertet die Maßnahmen, die dafür gelten; die Kategorie festzulegen bleibt Ihre Sache.
Basis
Erfüllen und erklären
Die Einstiegsstufe. Die Konformität wird bewertet und eine Erklärung abgegeben.
Mittel
Erfüllen und zertifizieren
Mehr Maßnahmen, höhere Anforderungen an die bereits vorhandenen und ein förmliches Audit zur Zertifizierung der Konformität.
Hoch
Höchste Anforderung
Die Maßnahmen in ihrem höchsten Anforderungsgrad und dasselbe Zertifizierungsaudit.
HodeiShield bewertet alle drei Kategorien anhand der 74 Kontrollen auf Grundlage von Anhang II des ENS.
Von jeder ENS-Pflicht zu einer Fähigkeit von HodeiShield
Was die Plattform mit jeder Anforderung macht und in welcher Phase des Zyklus sie liegt.
Direkt: Die Plattform erledigt es. Teilweise: Sie liefert Nachweise oder einen Teil, den Rest übernehmen Sie. Nicht abgedeckt: liegt außerhalb von HodeiShield.
- Pflicht:
Das System kategorisieren und das Profil festlegen
Anhang I
Was HodeiShield leistet:Sie hinterlegen die Kategorie und die Sicherheitsdimensionen Ihres Systems; mit diesem Profil wird entschieden, welche Maßnahmen gelten. Die Entscheidung über die Kategorie liegt bei Ihnen.
Docs · Compliance (öffnet sich in einem neuen Tab)PhaseSENSEUmfangTeilweise - Pflicht:
Die Sicherheitsmaßnahmen entsprechend der Kategorie anwenden
Anhang II
Was HodeiShield leistet:Zerlegt den ENS in die 74 Kontrollen von HodeiShield, bewertet jede nach Kategorie Basis, Mittel und Hoch und zeigt den aggregierten Fortschritt.
Docs · Compliance (öffnet sich in einem neuen Tab)PhaseSENSEPREDICTUmfangDirekt - Pflicht:
Jede Maßnahme durch Nachweise stützen
Anhang II
Was HodeiShield leistet:Jeder Nachweis hat eine verantwortliche Person, ein Gültigkeitsdatum und einen Status; ein abgelaufener zählt nicht mehr, bis er erneuert wird. Nachweise werden von Hand hochgeladen oder verlinkt.
Docs · Compliance (öffnet sich in einem neuen Tab)PhaseSENSEUmfangDirekt - Pflicht:
Externe Dienste und die Lieferkette steuern
Operativer Rahmen (op.ext)
Was HodeiShield leistet:Abhängigkeitsgraph, Lieferantenfragebögen per Token, periodischer externer Scan, tägliche CVE-Synchronisierung und SBOM der Lieferanten. Die Service-Level-Vereinbarungen verhandeln Sie selbst.
Docs · Risiko-Engine (öffnet sich in einem neuen Tab)PhaseSENSEPREDICTUmfangTeilweise - Pflicht:
Systeme aktuell halten und Schwachstellen überwachen
Operativer Rahmen
Was HodeiShield leistet:Der Endpoint-Agent meldet 172 Prüfungen mit signierten Beobachtungen. Die darin enthaltenen offenen Baselines fließen noch nicht in die ENS-Bewertung ein.
Docs · Endpoint-Agent (öffnet sich in einem neuen Tab)PhaseSENSEUmfangTeilweise - Pflicht:
Die Anpassung priorisieren und planen
Kontinuierliche Verbesserung
Was HodeiShield leistet:Roadmap, priorisiert nach Gewicht der Kontrolle und Aufwand. HodeiAI kann einen Eintrag im Risikoregister vorschlagen; eine Person mit Schreibrolle gibt ihn frei.
Docs · HodeiAI (öffnet sich in einem neuen Tab)PhasePREDICTACTUmfangDirekt - Pflicht:
Den Stand gegenüber einem Kunden oder einer vergebenden Stelle belegen
Erklärung / Zertifizierung
Was HodeiShield leistet:Trust Center und ATTEST-Attestierung mit dem Band je Rahmenwerk, offline überprüfbar. Sie belegt Integrität und Herkunft, nicht, dass der Nachweis wahrheitsgemäß ist.
Docs · ATTEST-Verifizierer (öffnet sich in einem neuen Tab)PhaseATTESTUmfangTeilweise - Pflicht:
Konformitätsaudit und Zertifizierung
Kategorien Mittel und Hoch
Was HodeiShield leistet:Wird von einer akkreditierten Zertifizierungsstelle durchgeführt. HodeiShield bereitet Ihre Nachweise vor; es auditiert und zertifiziert nicht.
PhaseAußerhalb des ZyklusUmfangNicht abgedeckt
Was HodeiShield beim ENS nicht leistet
Damit Sie mit vollständigen Informationen entscheiden.
Zertifiziert nicht den ENS Ihrer Organisation
Hodeitek S.L. ist im ENS, Kategorie Mittel, zertifiziert, und der Geltungsbereich schließt HodeiShield ein, doch das zertifiziert nicht Ihre Organisation. HodeiShield steht auch nicht im CPSTIC-Katalog, was etwas anderes ist.
Auditiert nicht und erklärt die Konformität nicht für Sie
Die Bewertung dient der Orientierung Ihrer Arbeit. Die Konformitätserklärung oder -zertifizierung stellen Sie oder eine akkreditierte Stelle aus.
Sammelt Nachweise nicht selbstständig aus der Cloud
Dokumentarische Nachweise werden hochgeladen oder verlinkt. Cloud-Kollektoren sind geplant, nicht in Betrieb.
Sagt Ihnen nicht, ob Sie auditbereit sind
Die „Auditbereitschaft“ hängt von Ihren Nachweisen ab. HodeiShield zeigt, was fehlt und was abläuft, mehr nicht.
Fragen zum ENS
Direkte Antworten, mit ihren Grenzen.
Ist HodeiShield im ENS zertifiziert?
Ja. Hodeitek S.L. ist im ENS, Kategorie Mittel, zertifiziert (Zertifikat Nr. 34/5704/26/09103, OCA Instituto de Certificación), und der Geltungsbereich der Zertifizierung schließt den SaaS-Dienst HodeiShield ein. Das zertifiziert nicht den ENS Ihrer Organisation: HodeiShield misst Ihre Sicherheitslage. Der CPSTIC-Katalog ist etwas anderes, und wir nehmen ihn nicht für uns in Anspruch.
Welche Kategorie gilt für mich?
Sie wird von Ihrer Organisation nach Anhang I bestimmt: das höchste Niveau unter den fünf Sicherheitsdimensionen. HodeiShield speichert das Ergebnis im Profil Ihres Systems, entscheidet es aber nicht für Sie.
Ich bin Lieferant einer Verwaltung. Betrifft mich der ENS?
Der ENS erstreckt sich auch auf private Einrichtungen, die dem öffentlichen Sektor Dienste oder Lösungen liefern. Welche Kategorie und welche Maßnahmen für Sie gelten, hängt von System und Vertrag ab; Ihr öffentlicher Kunde oder Ihre Rechtsberatung konkretisiert das.
Ersetzt es das Zertifizierungsaudit?
Nein. Es ordnet Ihre Nachweise und zeigt, was fehlt, damit Sie mit weniger Überraschungen ins Audit gehen. Die Zertifizierung erteilt eine akkreditierte Stelle.
Zählt die Endpoint-Telemetrie für die ENS-Bewertung?
Noch nicht. Die offenen Baselines des Agenten werden als Endpoint-Nachweis angezeigt, fließen aber nicht in die Compliance-Bewertung ein.
Wo werden die Daten gehostet?
In der EU: Anwendung, Datenbank und Speicher werden von OVH in Gravelines (Frankreich) betrieben. Cloudflare in den USA fungiert als DNS, CDN und TLS auf dem Anfragepfad.
Verwandte Lösungen
Messen Sie Ihren ENS mit einer IT-Generalistin oder einem IT-Generalisten am Tisch
In der Demo laden wir ein Beispielprofil eines Systems und gehen die Kontrollen, die Nachweise und die Roadmap durch.
Unverbindlich. Wir sagen Ihnen auch, was HodeiShield nicht abdeckt.