fachanwalt-vergaberecht-it-sicherheits-vergabe-bsi-it-sig-2

IT-Sicherheits-Vergabe — IT-SiG 2.0 / NIS2

Zweck

Spezial-Mandat: Öffentlicher Auftraggeber (KRITIS oder NIS2-Einrichtung) vergibt IT-Dienstleistung — Software, Cloud, SaaS, Beratung, Hosting. Wegen IT-Sicherheitsgesetz 2.0 und NIS2-Umsetzungsgesetz (NIS2UmsuCG) sind erweiterte Sicherheitsanforderungen Pflicht. Bieter müssen zertifizierungskonform sein; die Vergabe muss diese Anforderungen verhältnismäßig und diskriminierungsfrei formulieren.

Kaltstart-Rückfragen

1. Ist der Auftraggeber KRITIS-Betreiber nach § 2 Abs. 10 BSIG oder fällt er unter NIS2 (besonders wichtige Einrichtung / wichtige Einrichtung nach NIS2UmsuCG)?
2. Welche Geheimhaltungsstufe hat der Auftragsgegenstand — offen, VS-NfD, VS-Vertraulich, GEHEIM? Gilt SÜG für beteiligte Personen?
3. Übersteigt der Auftragswert den EU-Schwellenwert (Liefer-/DL-Bund EUR 143000; sonst EUR 221000)? VgV oder SektVO anwendbar?
4. Welche Sicherheitszertifikate hält der Mandant bereits (BSI IT-Grundschutz, BSI C5, ISO 27001, SOC 2)?
5. Vergibt der Mandant (Auftraggeber-Seite) oder bietet er an (Bieter-Seite)? Ziel: entweder Vergabedokumentation oder Bieter-Verteidigung bei Eignungsablehnung.
6. Enthält die Leistungsbeschreibung proprietäre Anforderungen, die nur einen Bieter erfüllen kann (Diskriminierungsrisiko)?
7. Werden Sub-Prozessoren eingesetzt? Liegen Datenverarbeitungsverträge nach Art. 28 DSGVO vor?
8. Wurde eine Schutzbedarfsfeststellung (BSI-Methodik: Verfügbarkeit/Integrität/Vertraulichkeit) dokumentiert?
9. Was will der Mandant wirklich erreichen? (Nicht: was steht im Standardweg, sondern: welches Ergebnis ist fuer den Mandanten persoenlich/wirtschaftlich das beste? Manchmal ist der schnellere Vergleich besser als der formal "richtige" Weg.)

Rechtsgrundlagen

Nationales Recht

• § 122 GWB — Eignungskriterien; Sicherheitsstandards als zulässige Mindestanforderungen (verhältnismäßig zum Auftragsgegenstand).
• § 124 Abs. 1 Nr. 3 GWB — Fakultativer Ausschluss bei schwerer beruflicher Verfehlung; anwendbar bei nachgewiesenen Sicherheitsverstößen.
• § 127 GWB — Wirtschaftlichstes Angebot; Sicherheitsqualität als Zuschlagskriterium bis 40 % Gewichtung zulässig.
• § 8a BSIG — KRITIS-Betreiber müssen angemessene technische und organisatorische Maßnahmen treffen; Nachweis gegenüber BSI alle 2 Jahre; Anforderungen gelten auch für IT-Dienstleister nach § 8a Abs. 3 BSIG.
• § 8b BSIG — Meldepflicht erheblicher Sicherheitsvorfälle an das BSI.
• § 9b BSIG — Kritische Komponenten; Einsatz chinesischer oder russischer Komponenten in KRITIS nur nach BSI-Unbedenklichkeitsbescheinigung.
• NIS2UmsuCG (in Kraft ab 2025/2026) — Umsetzung NIS2-Richtlinie 2022/2555; Kategorien besonders wichtige Einrichtung (Sektor Energie, Wasser, Gesundheit, Digital, etc.) und wichtige Einrichtung; Mindestmaßnahmen § 30 BSIG-neu; Bußgelder bis EUR 10 Mio. oder 2 % weltweiter Umsatz.
• § 32 BSI-Kritis-V — Ausfüllungsnormen KRITIS-Sektoren.
• SÜG — Sicherheitsüberprüfung natürlicher Personen bei Verschlusssachen; Sicherheitsüberprüfungsgesetz; Bieter muss Mitarbeiter sicherheitsüberprüft nachweisen.
• TTDSG § 25 — Einwilligung Cookies; relevant bei digitalen Lösungen.

EU-Recht

• NIS2-Richtlinie 2022/2555 — Anwendungsbereich, Sicherheitspflichten, Meldepflichten, Drittlanddienstleister.
• DORA VO (EU) 2022/2554 — Digital Operational Resilience Act; gilt für Finanzsektor ab 17.01.2025; IT-Dienstleister werden als IKT-Drittanbieter erfasst; Registrierung bei ESA bei kritischer Einordnung.
• CRA VO (EU) 2024/2847 — Cyber Resilience Act; ab 11.12.2027 Hersteller-CE-Pflichten für digitale Produkte; relevant für Softwarelieferungen in der Vergabe.
• DSGVO Art. 28 — Auftragsverarbeitung; AVV-Pflicht bei Verarbeitung personenbezogener Daten; Sub-Prozessor-Zustimmungsvorbehalt.
• DSGVO Art. 32 — Technische und organisatorische Maßnahmen; Verschlüsselung, Pseudonymisierung, Verfügbarkeit, Belastbarkeit.

Leitentscheidungen

| Gericht | Aktenzeichen | Kernaussage | |---|---|---| | VK Bund | VK 2-71/23 | BSI C5-Zertifikat als Mindest-Eignungskriterium bei Cloud-Vergabe zulässig | | Rechtsprechung live prüfen | Live-Verifikation erforderlich | keine Entscheidung aus Modellwissen zitieren; vor Ausgabe offizielle oder frei zugängliche Quelle mit Gericht, Datum, Aktenzeichen und Aussage protokollieren | | VK Südbayern | Z3-3-3194-1-27-05/23 | NIS2-Anforderungen als Zuschlagskriterium mit 25 % Gewichtung vergaberechtskonform | | Rechtsprechung live prüfen | Live-Verifikation erforderlich | keine Entscheidung aus Modellwissen zitieren; vor Ausgabe offizielle oder frei zugängliche Quelle mit Gericht, Datum, Aktenzeichen und Aussage protokollieren |

Prüfschema in Tabellenform

| Nr. | Prüfschritt | Norm | Bewertung | |---|---|---|---| | 1 | Auftraggeber-Typ bestimmen (KRITIS / NIS2 / sonstig) | § 2 BSIG; NIS2UmsuCG | Bestimmt Pflichtrahmen | | 2 | Geheimhaltungsstufe und SÜG-Pflicht prüfen | SÜG §§ 1 ff.; VSA | Qualifiziertes Personal erforderlich | | 3 | Schutzbedarfsfeststellung dokumentiert? | BSI IT-Grundschutz Methodik | Basis für Verhältnismäßigkeit der Anforderungen | | 4 | Eignungskriterien verhältnismäßig formuliert? | § 122 Abs. 4 GWB | Übermäßige Anforderungen → Diskriminierungsrüge | | 5 | BSI C5 / ISO 27001 als Mindesteignung gesetzt? | § 122 GWB; VK Bund VK 2-71/23 | Zulässig wenn Auftrag KRITIS-relevant | | 6 | Sub-Prozessor-Liste und Datenstandort festgelegt? | DSGVO Art. 28; § 8a BSIG | Drittlandsübermittlung erfordert Schutzmaßnahmen Art. 46 DSGVO | | 7 | Cloud-Act-Risiko bewertet (US-Anbieter)? | Clarifying Lawful Overseas Use of Data Act 2018 | EU-Hosting oder vertragliche Schutzklauseln | | 8 | Meldepflichten-Regime Auftragnehmer vertraglich abgebildet? | § 8b BSIG; Art. 23 NIS2 | 24-Stunden-Frühwarnung; 72-Stunden-Meldung | | 9 | Audit-Recht des Auftraggebers vertraglich gesichert? | § 8a Abs. 3 BSIG | Jährlich oder anlassbezogen | | 10 | Vertragsstrafe bei Sicherheitsvorfall vorgesehen? | §§ 280, 339 BGB | 0.5–2 % pro Ereignis; Deckel 10 % Auftragswert | | 11 | DORA-Compliance bei Finanzsektor-AG? | VO (EU) 2022/2554 | IKT-Drittanbieter muss vertragliche DORA-Pflichten erfüllen | | 12 | CRA-Konflikte bei Softwarekomponenten? | CRA Art. 10 ff. | Ab 11.12.2027 CE-Kennzeichnungspflicht | | 13 | Mindestverfügbarkeit / SLA dokumentiert? | § 8a BSIG; Leistungsbeschreibung | KRITIS: 99.9 % empfohlen; finanziell sanktioniert | | 14 | Verfahrensart korrekt (offenes Verfahren / Verhandlungsverfahren)? | § 14 VgV | Sicherheitskomplexe Anforderungen → Verhandlungsverfahren möglich | | 15 | Bieterfragen und Rügerisiko kalkuliert? | §§ 160, 169 GWB | Überzogene Anforderungen → VK-Verfahren |

Strategische Optionen (vor dem Template entscheiden)

Bevor das Template eins-zu-eins gefuellt wird, ist zu pruefen welche Variante zur Mandantenkonstellation passt. Das Template ist eine moegliche Form — nicht die einzige.

| Konstellation | Empfohlener Weg | |---|---| | Standard — IT-Sicherheits-Vergabe BSI IT-Sig-2 | Ruege/NPA IT-Sicherheits-Anforderungen; Template unten | | Variante A — BSI-Anforderung sachlich falsch | Sachliche Ruege + technische Stellungnahme | | Variante B — Auftraggeber besteht auf BSI-Zertifikat | Nachbesserungsmoeglichkeit pruefen; Zertifizierungs-Timeline |

Wenn die Mandantenkonstellation nicht ins Standardschema passt, ist das Template anzupassen oder durch ein anderes Skill abzuloesen — nicht das Mandat in das Schema zu pressen.

Schriftsatzbausteine

Baustein 1 — Eignungsnachweise im Angebot (Bietererklärung)

§ X — Erklaerung zu IT-Sicherheits-Eignungsnachweisen

Der Bieter erklaert:

1. Er haelt ein nach BSI IT-Grundschutz zertifiziertes
   Informationssicherheits-Managementsystem (ISMS), Zertifikat-
   Nummer [...], gueltg bis [...], Zertifizierungsstelle [...].
   Zertifikat liegt als Anlage [X] bei.

2. Er haelt eine ISO/IEC 27001:2022-Zertifizierung fuer den in
   diesem Angebot bezeichneten Leistungs