Allgemein formulierte Anforderungen an ein Security Operations Center kann jeder Anbieter mit denselben Zusagen beantworten. Vergleichbar werden die Angebote erst, wenn Mengengerüst, Reaktionszeiten, Eingriffsbefugnis und Exit als eigene Positionen im Leistungsverzeichnis stehen.
Dieser Leitfaden knüpft an unseren Fachbeitrag „SOC-Ausschreibungen: 7 Fragen, die Auftraggeber vorab klären sollten“ im Vergabeblog an. Dort geht es um die Fragen, die vor der Veröffentlichung geklärt sein sollten. Hier zeigen wir, wie die Antworten darauf in ein Leistungsverzeichnis wandern, das am Ende vergleichbare Angebote erzeugt.
Seit dem 6. Dezember 2025 gilt das NIS-2-Umsetzungsgesetz[2], und Systeme zur Angriffserkennung sind im BSIG ausdrücklich benannt. Betreiber kritischer Anlagen müssen sie einsetzen (§ 31 Abs. 2 BSIG) und die Umsetzung alle drei Jahre nachweisen (§ 39 Abs. 1 BSIG)[3], [4].
Ob Angebote vergleichbar werden, entscheidet sich nicht erst bei der Anbieterauswahl, sondern bei der Leistungsbeschreibung. Wer „ein SOC mit 24/7-Monitoring und schneller Reaktion“ ausschreibt, bekommt von jedem Anbieter ein Ja und am Ende Preise, deren Unterschiede sich aus den Angeboten nicht erklären lassen. In der Wertung entscheidet dann faktisch der Preis, ohne dass klar ist, welche Leistung dahinter steht.
Kein Anbieter kann seriös kalkulieren, ohne zu wissen, was überwacht werden soll. Fehlt das Mengengerüst oder steht es nur als Schätzung im Fließtext, rechnet jeder Anbieter mit eigenen Annahmen. Als Auftraggeber sollten Sie es zur verbindlichen Grundlage machen und im Leistungsverzeichnis als eigene Positionen führen.
| Angabe | Warum sie in die Unterlagen gehört |
|---|---|
| Log-Quellen nach Typ | Firewalls, Endpoints, Server, Cloud-Dienste und Identitätsdienste erzeugen sehr unterschiedliche Datenmengen und Auswertungsaufwände. |
| Events pro Sekunde (EPS) | Der zentrale Kostentreiber. Ohne EPS-Angabe kalkuliert jeder Anbieter mit eigenen Annahmen, und die Angebote werden unvergleichbar. |
| Anzahl Assets und Standorte | Bestimmt Onboarding-Aufwand und Lizenzmodell, oft auch die Zahl der benötigten Collectors. |
| Aufbewahrungsdauer | Trennen Sie heiße Vorhaltung für die Analyse von der Archivierung. Beides getrennt ausweisen, sonst zahlen Sie Analysepreise für Archivdaten. |
| Use Cases | Benennen Sie die Anwendungsfälle, die abgedeckt sein müssen, statt eine Gesamtzahl zu fordern. Zahlen lassen sich mit trivialen Regeln erfüllen. |
Wenn Sie die Werte nicht kennen, ist das kein Grund, sie wegzulassen. Fordern Sie stattdessen eine Erhebungsphase als eigene Position und lassen Sie den Preis für den Regelbetrieb auf Basis eines Korridors anbieten, den Sie vorgeben.
Vorlage statt leeres Blatt
Unser Muster-Leistungsverzeichnis SOC enthält technische Positionen zu Monitoring-Umfang, Betriebszeiten, Servicelevels, Onboarding und Exit, als Excel-Vorlage zum Weiterarbeiten.
„24/7“ bedeutet nicht überall dasselbe. Die Spanne reicht von einer dauerhaft besetzten Schicht bis zu einer Rufbereitschaft außerhalb der Bürozeiten. Beides kann tragfähig sein, aber es sind unterschiedliche Leistungen zu unterschiedlichen Preisen. Fragen Sie deshalb nicht ab, ob rund um die Uhr überwacht wird, sondern wie.
Als abfragbare Positionen formuliert, stehen diese Angaben in allen Angeboten an derselben Stelle und lassen sich nebeneinanderlegen. Das Muster-Leistungsverzeichnis SOC enthält dafür technische Positionen zu Betriebszeiten und Leistungserbringung.
„Unverzüglich“ und „schnellstmöglich“ sind keine Servicelevel, weil sich nicht messen lässt, ob sie eingehalten wurden. Eine Reaktionszeit ist erst dann belastbar, wenn drei Dinge feststehen: ab wann gemessen wird, was als Reaktion gilt und wie berichtet wird.
| Statt | Besser im Leistungsverzeichnis |
|---|---|
| „Reaktion unverzüglich“ | Zeit von der Alarmierung im System bis zur qualifizierten Rückmeldung an eine benannte Stelle, getrennt nach Kritikalität. |
| „hohe Erkennungsrate“ | Anteil der Alarme, die innerhalb der vereinbarten Zeit qualifiziert wurden, monatlich berichtet. |
| „regelmäßige Berichte“ | Berichtsturnus, Empfänger, Inhalt und Format, sowie ein jährlicher Bericht zur Wirksamkeit. |
Legen Sie die Kritikalitätsstufen selbst fest und ordnen Sie ihnen Zeiten zu. Überlassen Sie das dem Anbieter, definiert er die Stufen so, dass seine Zeiten eingehalten werden.
Eine Frage mit großer Wirkung auf Preis und Risiko gehört ausdrücklich beantwortet: Soll der Dienstleister im Ernstfall nur melden oder auch handeln? Ein Host isolieren, ein Konto sperren, eine Verbindung kappen: Das sind Eingriffe in Ihren Betrieb, und sie brauchen eine ausdrückliche Befugnis mit klaren Grenzen.
Regeln Sie im Leistungsverzeichnis, welche Maßnahmen der Dienstleister selbstständig ergreifen darf, welche eine Freigabe brauchen, wer diese Freigabe außerhalb der Bürozeiten erteilt und wie die Maßnahmen dokumentiert werden. Ohne diese Festlegung entsteht im Vorfall genau die Verzögerung, die das SOC verhindern sollte.
Klären Sie im selben Zug die Schnittstelle zum Incident-Response-Team: Ist es Teil der Leistung, ein separater Rahmenvertrag oder gar nicht vorhanden? Für einen Retainer haben wir ein eigenes Muster-Leistungsverzeichnis.
Fehlen beide Phasen in der Leistungsbeschreibung, tauchen sie später als Nachtrag auf. Das Onboarding entscheidet darüber, wann die Leistung überhaupt wirksam wird, der Exit darüber, ob Sie den Anbieter wechseln können, ohne bei null anzufangen.
Ein Exit ohne Datenherausgabe ist eine faktische Bindung an den Anbieter. Bei einer Laufzeit von vier Jahren ist das eine Entscheidung, die Sie bewusst treffen sollten und nicht versehentlich.
Wenn die Leistung sauber beschrieben ist, lässt sich auch differenziert werten. Bei einer reinen Preiswertung gewinnt das günstigste Angebot, nicht unbedingt das passendste. Welche Zuschlagskriterien gelten und wie sie gewichtet werden, legt die Vergabestelle fest und gibt es in den Unterlagen an (§ 127 GWB, § 58 VgV)[5]. Mögliche Ansatzpunkte, jeweils an nachprüfbaren Angaben festgemacht:
| Kriterium | Woran es sich nachprüfen lässt |
|---|---|
| Betriebsmodell | Schichtplan, Erbringungsorte, Sprachen, Vertretungsregelung |
| Reaktionsfähigkeit | zugesagte Zeiten je Kritikalität, Messpunkt, Berichtsformat |
| Eingesetztes Personal | Organisation, Qualifikation und Erfahrung des Teams, das die Leistung erbringt (§ 58 Abs. 2 Satz 2 Nr. 2 VgV); Referenzen des Unternehmens gehören in die Eignungsprüfung |
| Handlungsbefugnis | Katalog der Maßnahmen, Freigabewege, Dokumentation |
| Wechselfähigkeit | Exit-Leistungen, Datenformate, Fristen |
Die sieben Fragen, die Sie vor der Veröffentlichung intern klären sollten, haben wir im Vergabeblog ausführlich beschrieben, inklusive der typischen Antworten aus der Anbieterseite und woran man ausweichende Zusagen erkennt: zum Fachbeitrag im Vergabeblog.
Als technische Vorlage gibt es das Muster-Leistungsverzeichnis SOC. Wenn die Angriffserkennung im Vordergrund steht, kann zusätzlich das Muster-Leistungsverzeichnis SIEM passen. Wenn es enger um das technische System zur Angriffserkennung geht, hilft unser Leitfaden Systeme zur Angriffserkennung ausschreiben. Wie andere Auftraggeber vergleichbare Verfahren aufgebaut haben, sehen Sie im Vergabe-Archiv mit über 100.000 Vergabeunterlagen.
Quellen
Servicelevels, Monitoring-Umfang, Onboarding und Exit: das Muster-LV SOC als technische Vorlage für Ihre Leistungsbeschreibung, dazu vergleichbare Verfahren im Vergabe-Archiv. Verfahrenswahl, Fristen und Wertungsentscheidung liegen bei Ihrer Vergabestelle.
Sie haben eine konkrete Beschaffung vor sich und wollen sehen, wie andere sie aufgesetzt haben? Das Vergabe-Archiv zeigt vergleichbare Verfahren. Bei Fragen zu den Produkten melden Sie sich gern.