Behörden und KRITIS-Betreiber stehen vor einer doppelten Herausforderung: Sie müssen moderne Cybersecurity-Lösungen beschaffen und dabei gleichzeitig das Vergaberecht einhalten. Dieser Ratgeber zeigt, welcher Rechtsrahmen gilt, wie sich Anforderungen strukturieren lassen und welche Fehler teuer werden können.
Stand: 29.10.2026
Wer in Deutschland öffentliche Gelder für Cybersecurity ausgibt, bewegt sich gleichzeitig in zwei regulatorischen Welten: dem Vergaberecht und dem IT-Sicherheitsrecht. Beide Seiten stellen Anforderungen, die sich gegenseitig bedingen. Die wichtigsten Treiber im Überblick:
Erweiterte den Kreis der KRITIS-Betreiber, führte neue Meldepflichten und die Kategorie der Unternehmen im besonderen öffentlichen Interesse ein und verpflichtete KRITIS-Betreiber ab 1. Mai 2023 zu Systemen zur Angriffserkennung. Seit dem 6. Dezember 2025 gilt das BSI-Gesetz in neuer Fassung.
Das nationale Umsetzungsgesetz zur EU-NIS2-Richtlinie gilt seit dem 6. Dezember 2025. Es erweitert den Kreis der regulierten Einrichtungen erheblich (besonders wichtige und wichtige Einrichtungen, § 28 BSIG) und erfasst die Einrichtungen der Bundesverwaltung (§ 29 BSIG). Kommunale Unternehmen fallen darunter, wenn sie Sektor und Größe erfüllen. Risikomanagementmaßnahmen nach § 30 BSIG sind Pflicht.
Das Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen gilt seit dem 17. März 2026. Betreiber kritischer Anlagen müssen Risiken bewerten und Resilienzmaßnahmen ergreifen (§ 13 KRITISDachG). Es regelt die physische Seite; für Software und IT-Dienste, die nicht unmittelbar physische Prozesse steuern, gilt ausschließlich das BSI-Gesetz.
Für die Einrichtungen der Bundesverwaltung verbindlich (§ 44 Abs. 1 BSIG), für andere öffentliche Stellen eine Orientierung: BSI-Mindeststandards, etwa zur Nutzung externer Cloud-Dienste oder zur Protokollierung und Detektion von Cyberangriffen, enthalten konkrete technische Anforderungen, die sich ins LV übertragen lassen.
Wer den Rechtsrahmen frühzeitig als Anforderungsquelle nutzt, spart später Aufwand. Wer Anforderungen aus dem IT-Sicherheitsrecht erst nach dem Zuschlag in den Vertrag nachverhandeln will, stößt an die Grenzen für Vertragsänderungen (§ 132 GWB).
Cybersecurity-Leistungen sind oft komplexe Dienstleistungen mit hohem Beratungsanteil. Das wirkt sich auf die Wahl der Vergabeart aus, die bei der Vergabestelle liegt. Die Übersicht zeigt die Regelwerke und die dort vorgesehenen Verfahrensarten.
| Schwellenwert | Vergabeverordnung | Vorgesehene Verfahrensarten |
|---|---|---|
| Unter 216.000 € netto (Bundeskanzleramt und Bundesministerien: 140.000 €) | UVgO bzw. Landesrecht | Öffentliche Ausschreibung, Beschränkte Ausschreibung und Verhandlungsvergabe, jeweils mit oder ohne Teilnahmewettbewerb |
| Ab 216.000 € netto (Bundeskanzleramt und Bundesministerien: 140.000 €) | VgV (EU-weit) | Offenes und nicht offenes Verfahren, Verhandlungsverfahren mit Teilnahmewettbewerb, wettbewerblicher Dialog, Innovationspartnerschaft |
| Verteidigungs- oder sicherheitsspezifische Aufträge (§ 104 GWB) ab 432.000 € netto | VSVgV | Nicht offenes Verfahren, Verhandlungsverfahren mit Teilnahmewettbewerb; in begründeten Ausnahmen ohne Teilnahmewettbewerb oder wettbewerblicher Dialog (§ 11 VSVgV) |
Verhandlungsverfahren bei komplexen Lösungen: Bei Cybersecurity-Diensten wie SOC-as-a-Service, MDR oder SIEM-Betrieb lässt sich die Leistung oft nicht so genau beschreiben, dass ohne Verhandlung vergleichbare Angebote entstehen. Das Verhandlungsverfahren mit Teilnahmewettbewerb ist nach § 14 Abs. 3 VgV unter anderem zulässig, wenn der Auftrag konzeptionelle oder innovative Lösungen umfasst oder wegen seiner Komplexität nicht ohne vorherige Verhandlungen vergeben werden kann. Welche Verfahrensart zulässig ist, entscheidet Ihre Vergabestelle.
Rahmenvereinbarungen nutzen: Für wiederkehrende Leistungen wie Penetrationstests, Schwachstellen-Scanning oder Security-Awareness-Schulungen kommt eine Rahmenvereinbarung nach § 21 VgV in Betracht. Das spart Aufwand bei Folgebeschaffungen und schafft Planungssicherheit auf beiden Seiten.
Verschlusssachenaufträge (VSVgV): Werden bei einem Auftrag für Sicherheitszwecke Verschlusssachen verwendet, kann ein Verschlusssachenauftrag nach § 104 Abs. 3 GWB vorliegen, der oberhalb des Schwellenwerts nach der VSVgV vergeben wird. Der Auftraggeber benennt dann die Anforderungen zum Schutz der Verschlusssachen, die Bieter und Unterauftragnehmer erfüllen müssen (§ 7 VSVgV). Diese Besonderheit gehört schon in die Markterkundung, weil der Bietermarkt deutlich kleiner ist.
Verschlusssachen im Sinne des § 4 SÜG reichen von VS-NUR FÜR DEN DIENSTGEBRAUCH bis STRENG GEHEIM. Ein Auftrag im Bereich der nicht-militärischen Sicherheit, der Verschlusssachen verwendet oder erfordert, kann ein Verschlusssachenauftrag nach § 104 Abs. 3 GWB sein. Oberhalb des Schwellenwerts gilt dann die Vergabeverordnung Verteidigung und Sicherheit (VSVgV), auch mit eigenen Regeln für VS-NfD (§ 7 Abs. 4 VSVgV). Die Folgen für Planung und Bietermarkt sind erheblich: Der Auftraggeber muss klären, ob und auf welcher VS-Stufe ein Vorhaben einzuordnen ist, bevor das Vergabeverfahren beginnt.
Wichtig: Der VS-Grad eines Auftrags wird nicht automatisch festgelegt. Als Auftraggeber müssen Sie aktiv entscheiden, ob und auf welcher Stufe Ihr Vorhaben VS-Relevanz hat. Diese Entscheidung prägt das gesamte Vergabeverfahren.
VS-Stufen und ihre Konsequenzen für Auftraggeber
| VS-Stufe | Bedeutung | Geheimschutz-Zuständigkeit | Sicherheitsüberprüfung |
|---|---|---|---|
| VS-NfD | Nur für den Dienstgebrauch | Keine Geheimschutzbetreuung durch das BMWE erforderlich | Keine Sicherheitsüberprüfung nach SÜG |
| VS-VERTRAULICH | Kenntnis könnte staatliche Interessen schädigen | Sicherheitsbescheid des BMWE (Geheimschutzbetreuung) | Ü1 (§ 8 SÜG) |
| GEHEIM | Schwere Schäden für die Bundesrepublik möglich | Sicherheitsbescheid des BMWE (Geheimschutzbetreuung) | Ü2 (§ 9 SÜG) |
| STRENG GEHEIM | Existenzbedrohende Schäden möglich | Höchste Sicherheitsstufe, Sicherheitsbescheid des BMWE | Ü3 (§ 10 SÜG) |
Geheimschutzbetreuung durch das BMWE
Ab VS-VERTRAULICH fragt der Auftraggeber nach Sicherheitsbescheiden des Bundesministeriums für Wirtschaft und Energie (BMWE) oder nach der Bereitschaft, die Voraussetzungen dafür bis zur Auftragsausführung zu erfüllen (§ 7 Abs. 2 VSVgV). Die Geheimschutzbetreuung ist kein einmaliger Akt, sondern ein dauerhafter Status mit erheblichen Anforderungen an die Unternehmensorganisation:
Für Auftraggeber bedeutet das konkret: Wer einen VS-VERTRAULICH-Auftrag vergeben will, muss den Vorlauf einplanen. Wer das tut, bekommt am Ende genau den Bieterkreis, den er will: qualifizierte Unternehmen mit nachgewiesener Geheimschutzstruktur. Wer es nicht tut, veröffentlicht eine Ausschreibung, auf die faktisch niemand antworten kann, und riskiert eine Rüge wegen diskriminierender Anforderungen.
Sicherheitsüberprüfungen nach SÜG: Ü1, Ü2, Ü3
Neben der Geheimschutzbetreuung auf Unternehmensebene (BMWE) müssen auch die Personen, die tatsächlich Zugang zu Verschlusssachen erhalten, individuell überprüft werden. Diese Personenüberprüfung nach dem Sicherheitsüberprüfungsgesetz (SÜG) ist eine eigenständige Anforderung und läuft parallel zur Unternehmensqualifizierung. Für die Vergabeunterlagen ist entscheidend, welchen Überprüfungsgrad der Auftrag erfordert:
Überprüfung der betroffenen Person selbst. Bewertung der Sicherheitserklärung mit Erkenntnissen der Verfassungsschutzbehörden, Auskünfte aus Bundeszentralregister und Gewerbezentralregister, Datenübermittlung aus dem Zentralen staatsanwaltschaftlichen Verfahrensregister, Anfragen an BKA, Bundespolizei und Nachrichtendienste des Bundes, Recherchen auf öffentlich zugänglichen Internetplattformen einschließlich sozialer Netzwerke und Abruf von Meldedaten (§ 12 Abs. 1 SÜG). Keine Referenzbefragung. Einstieg für Aufträge mit VS-VERTRAULICH.
Alle Maßnahmen aus Ü1 plus: Anfragen bei den Polizeidienststellen der Wohnsitze, in der Regel der letzten fünf Jahre, Prüfung der Identität der betroffenen Person und Einbezug mitbetroffener Personen wie Ehe- oder Lebenspartner (§ 12 Abs. 2, 2a SÜG). Keine Referenzbefragung. Bieter mit bereits abgeschlossener Ü2 haben einen Vorteil, weil Erstüberprüfungen lange dauern können.
Alle Maßnahmen aus Ü2 plus: Befragung von mindestens einer Referenzperson aus der Sicherheitserklärung sowie weiterer geeigneter Auskunftspersonen (§ 12 Abs. 3 SÜG). Auch für Personen mit Zugang zu einer hohen Anzahl GEHEIM eingestufter Verschlusssachen oder mit Tätigkeiten bei Nachrichtendiensten (§ 10 SÜG). Das SÜG nennt keine Bearbeitungsfristen. Im zivilen IT-Sicherheitsbereich die Ausnahme.
In den Vergabeunterlagen: Die Anforderungen zum Schutz der Verschlusssachen und den erforderlichen Überprüfungsgrad benennt der Auftraggeber in der Bekanntmachung oder den Vergabeunterlagen (§ 7 Abs. 1 VSVgV). Bei VS-VERTRAULICH oder höher erklären Bewerber oder Bieter nach § 7 Abs. 2 VSVgV, ob Sicherheitsbescheide bestehen oder dass sie bereit sind, die Voraussetzungen bis zur Auftragsausführung zu erfüllen. Wer bereits abgeschlossene Überprüfungen voraussetzt, verkleinert den Bieterkreis. Der geforderte Grad sollte deshalb dem tatsächlichen Schutzbedarf des Auftrags entsprechen; die Festlegung trifft die Vergabestelle.
NATO-Klassifizierungen und internationale Aufträge
Bei Aufträgen mit NATO-Bezug oder im Rahmen von EU-Behörden gelten eigene Klassifizierungsstufen, die mit den deutschen VS-Stufen nicht deckungsgleich sind:
Eine direkte Übertragung nationaler VS-Stufen auf NATO-Klassifizierungen ist nicht automatisch möglich. Die zuständigen Geheimschutzstellen, für Unternehmen das BMWE, sollten deshalb frühzeitig eingebunden werden. Wer das erst nach Verfahrensstart klärt, riskiert eine Neugestaltung der Anforderungen mitten im laufenden Verfahren.
Praktische Hinweise für die Verfahrensplanung
VS-Einstufung am Schutzbedarf ausrichten. Die Einstufung richtet sich nach dem Schutzbedarf der Informationen, nicht nach dem gewünschten Bieterkreis. Sie hat aber Folgen: Eine höhere Stufe beschränkt den Kreis auf Unternehmen mit Geheimschutzbetreuung und sicherheitsüberprüftem Personal, verlängert die Vorlaufzeiten und erhöht die Betriebskosten. Die richtige Frage lautet deshalb: Welche VS-Stufe entspricht dem tatsächlichen Schutzbedarf des Vorhabens?
Marktanalyse als Entscheidungsgrundlage. Vor der Ausschreibung lohnt es sich zu prüfen, wie viele Unternehmen im relevanten Bereich bereits eine Geheimschutzbetreuung des BMWE haben. Das ist keine Frage, ob man die Anforderungen senken sollte, sondern eine Grundlage für die Planung. Die VSVgV sieht für Liefer- und Dienstleistungen kein offenes Verfahren vor, sondern das nicht offene Verfahren und das Verhandlungsverfahren mit Teilnahmewettbewerb (§ 11 Abs. 1 VSVgV).
Zugelassene VS-Technik nur fordern, wenn eingestufte Daten elektronisch verarbeitet werden. Für Verschlusssachen zugelassene IT-Produkte (etwa SINA) führt das BSI in der BSI-Schrift 7164. Wenn die Leistung keine elektronische Verarbeitung oder Übertragung eingestufter Daten umfasst, ist eine solche Anforderung nicht nötig. Ohne sachlichen Grund führt sie zu höheren Betriebskosten, die sich über die gesamte Vertragslaufzeit summieren.
Frühzeitig die Geheimschutzstellen einbinden. Bei einer erstmaligen Vergabe mit VS-VERTRAULICH hilft ein früher Kontakt mit dem eigenen Geheimschutzbeauftragten und dem für die Wirtschaft zuständigen Referat des BMWE, um die Anforderungen realistisch zu planen.
Viele Probleme in Cybersecurity-Ausschreibungen entstehen im Leistungsverzeichnis: Anforderungen sind zu allgemein formuliert, nicht messbar oder lassen sich von jedem Bieter erfüllen, ohne dass die tatsächliche Schutzwirkung sichergestellt ist. Eine Gliederung nach Lösung und Schutzbedarf hilft:
| Lösung | Kernpositionen im LV | Bezug |
|---|---|---|
| EDR / XDR | Agent-Deployment auf allen Endpunkten, Detektionsregeln nach MITRE ATT&CK, automatische Isolierung kompromittierter Systeme, Integrationsfähigkeit in SIEM | Baustein SzA |
| SIEM / Log-Management | Zentralisierte Log-Sammlung, Speicherfristen nach Vorgabe des Auftraggebers, Korrelationsregeln, Alarmierung bei kritischen Ereignissen, DSGVO-konforme Speicherung | Baustein SzA |
| NDR | Passive Netzwerkanalyse ohne Eingriff in den Datenverkehr, Erkennung lateraler Bewegungen, OT/ICS-Protokollunterstützung bei Bedarf, Retention der Flow-Daten | Baustein SzA |
| SOC-as-a-Service / MDR | 24/7-Überwachung, definierte Reaktionszeiten (SLA), Eskalationsprozess zur eigenen IT, Incident-Response-Berichte, Zuarbeit für Meldungen nach § 32 BSIG als vertragliche Pflicht | je nach Bedarf |
| Penetrationstest | Scope-Definition, Methodik (OSSTMM oder PTES), Reporting-Format mit CVSS-Bewertung, Nachtest nach Behebung, Vertraulichkeitsvereinbarung | je nach Bedarf |
| Schwachstellen-Management | Asset-Discovery, Scan-Frequenz, CVSS-basierte Priorisierung, Patch-Tracking, Schnittstelle zum Ticketsystem | § 30 Abs. 2 Nr. 5 BSIG |
Ein Hinweis: Formale Nachweise wie BSI-Zertifizierungen oder ISO 27001 des Bieters ersetzen keine präzisen Leistungsanforderungen. Auch zertifizierte Anbieter können Lösungen liefern, die die tatsächlichen Anforderungen nicht erfüllen, wenn das LV die Zertifizierung als hinreichende Bedingung behandelt.
Diese Fehlerbilder sind in Cybersecurity-Ausschreibungen typisch.
Formulierungen wie „state-of-the-art-Schutz“ oder „vollständige Sicherheit“ sind nicht prüfbar und führen zu unvergleichbaren Angeboten. Jeder Bieter kann behaupten, diese Anforderung zu erfüllen.
Besser: Anforderungen immer mit messbarem Kriterium verbinden. Statt „vollständige Endpunkt-Überwachung“ etwa: „Agent-Deployment auf mindestens 99 % aller Windows-, macOS- und Linux-Systeme innerhalb von 30 Tagen nach Auftragsstart; Nachweis per monatlichem Deployment-Report.“
Cybersecurity-Lösungen haben erhebliche laufende Kosten: Lizenzkosten, Betriebskosten für Signaturdatenbank-Updates, Personalkosten für das interne Security-Team und Wartungskosten. Preisblätter, die nur die Implementierungskosten abfragen, führen zu einem verzerrten Preis-Leistungs-Bild.
Besser: Preisblätter in drei Blöcke gliedern: einmalige Implementierungskosten, laufende Lizenz- und Betriebskosten (Jahresbasis) und optionale Erweiterungen. Das macht die Gesamtkosten über die Vertragslaufzeit vergleichbar.
SIEM-Systeme und EDR-Lösungen verarbeiten personenbezogene Daten, insbesondere Log-Daten mit Nutzerverhalten. Wer diese Anforderungen nicht ins LV und den Vertragsentwurf aufnimmt, riskiert Nachverhandlungen oder Datenschutzverstöße nach Vertragsschluss.
Besser: Datenschutzanforderungen als technische LV-Positionen aufnehmen: Speicherort der Daten (etwa EU-Rechenzentrum), Löschfristen für personenbezogene Daten, keine Weitergabe an Dritte ohne Zustimmung. Den Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO regelt der Auftraggeber in seinen Vertragsunterlagen.
In der Marketingpräsentation funktionieren Cybersecurity-Lösungen. In der eigenen Infrastruktur, mit den eigenen Netzwerksegmenten und Protokollen, kann das anders aussehen. Wer keinen PoC oder eine Testphase im Verfahren vorsieht, kauft die Katze im Sack.
Besser: Technische Präsentationen oder Testphasen einplanen. Ob und wie sie im konkreten Verfahren zulässig sind und gewertet werden, entscheidet Ihre Vergabestelle.
Verweise auf bestimmte Produkte, Hersteller oder Typen sind in der Leistungsbeschreibung nach § 31 Abs. 6 VgV nur erlaubt, wenn der Auftragsgegenstand sie rechtfertigt, oder ausnahmsweise mit dem Zusatz „oder gleichwertig“, wenn sich der Gegenstand sonst nicht hinreichend genau beschreiben lässt. Problematisch sind auch Anforderungen, die so auf ein Produkt zugeschnitten sind, dass kein anderes sie erfüllen kann.
Besser: Anforderungen produktneutral als Funktionen formulieren. Ob eine produktbezogene Vorgabe, etwa wegen Kompatibilität mit vorhandener Infrastruktur, sachlich gerechtfertigt ist, entscheidet und dokumentiert die Vergabestelle.
Besonders wichtige und wichtige Einrichtungen, darunter Betreiber kritischer Anlagen, müssen bei einem erheblichen Sicherheitsvorfall spätestens 24 Stunden nach Kenntnis eine frühe Erstmeldung abgeben, spätestens nach 72 Stunden eine Meldung (§ 32 BSIG). Wenn der externe Dienstleister im Ernstfall die erste Anlaufstelle ist, muss die Pflicht zur Meldungsunterstützung vertraglich festgeschrieben sein, inklusive Fristen und Eskalationspfad.
Besser: Die Unterstützung bei der Meldung als Leistung im LV-Teil „Incident Response“ beschreiben: Reaktionszeit, Zuarbeit für die Meldung, Beweissicherung und Nachbericht als geschuldete Leistungen, nicht als freiwilliger Service. Die Meldung selbst bleibt Pflicht der Einrichtung.
Diese Vorgehensweisen helfen bei der Vorbereitung:
Nehmen Sie sich Zeit für eine strukturierte Markterkundung (§ 28 VgV), etwa mit Gesprächen mit mehreren Anbietern über typische Schwachstellen in ähnlichen Umgebungen. Das Ergebnis fließt in die Anforderungen ein. Wer Unternehmen an der Vorbereitung beteiligt, muss nach § 7 VgV sicherstellen, dass der Wettbewerb nicht verzerrt wird, etwa indem die einschlägigen Informationen allen Bietern zur Verfügung stehen.
Die besten LV-Positionen entstehen nicht am Schreibtisch des Vergabedezernats, sondern im gemeinsamen Workshop mit dem IT-Betrieb, dem Datenschutzbeauftragten und, sofern vorhanden, dem CISO. Wer alle drei an einen Tisch bringt, beugt späteren Nachträgen vor, etwa wegen Anforderungen, die technisch nicht umsetzbar oder datenschutzrechtlich nicht genehmigungsfähig sind.
Gerade bei SOC-Leistungen oder umfassenden Security-Operations-Programmen kommen zweistufige Verfahren mit Teilnahmewettbewerb in Betracht: Im ersten Schritt weisen Bewerber ihre Eignung nach, im zweiten Schritt geben nur ausgewählte Bewerber Angebote ab. Die Verfahrensart legt Ihre Vergabestelle fest.
Cybersecurity-Dienstleister erzeugen hohe technische Abhängigkeit: proprietäre Log-Formate, Agenten, die tief im System verankert sind, und Playbooks, die nur im System des Anbieters laufen. Sinnvoll ist es, Portabilitäts- und Übergabeanforderungen schon in der ersten Leistungsbeschreibung festzulegen, damit ein späterer Anbieterwechsel nicht zum Projekt für sich wird.
Vorlagen und Recherche für Ihre Cybersecurity-Beschaffung
LV-Vorlagen für EDR, XDR, SIEM, NDR, SOC und weitere Sicherheitsthemen als editierbare Excel-Datei, anpassbar an Ihren Schutzbedarf.
Mehr erfahren →Über 100.000 Vergabeunterlagen: Sehen Sie, wie andere Auftraggeber Cybersecurity-Leistungen ausgeschrieben haben.
Mehr erfahren →Quellen
Sie haben eine konkrete Beschaffung vor sich und wollen sehen, wie andere sie aufgesetzt haben? Das Vergabe-Archiv zeigt vergleichbare Verfahren. Bei Fragen zu den Produkten melden Sie sich gern.