Was ist ein Leistungsverzeichnis für ein System zur Angriffserkennung?
Ein System zur Angriffserkennung (SzA) ist kein einzelnes Produkt, sondern ein gesetzlich geforderter Verbund aus drei Bereichen: Protokollierung, Detektion und Reaktion. Betreiber kritischer Anlagen müssen solche Systeme seit dem 1. Mai 2023 einsetzen. Die Pflicht steht heute in § 31 Absatz 2 BSIG, zuvor war sie in § 8a Absatz 1a BSIG geregelt[1]. Für Energieversorgungsnetze und Energieanlagen kommt § 11 Absatz 1e EnWG hinzu.
Wir haben dieses Leistungsverzeichnis geschrieben, weil wir in Vergabeverfahren immer wieder dasselbe Muster sehen: Ausgeschrieben wird ein Werkzeug, gefordert ist aber ein nachweisbarer Zustand. Unser Muster-LV folgt deshalb nicht der Produktlogik der Anbieter, sondern dem Anforderungsraster der BSI-Orientierungshilfe SzA, jeweils mit MUSS- und SOLLTE-Anforderungen und einem klar benannten Ziel-Umsetzungsgrad[2]. So beschaffen Sie nicht nur Technik, sondern die Prüffähigkeit, die Sie gegenüber dem BSI schulden.
Für wen geeignet?
Leistungsumfang des Muster-LV System zur Angriffserkennung
Rechtsrahmen & Nachweisführung
Wir stellen den Nachweisgedanken bewusst an den Anfang des Leistungsverzeichnisses. Nachgewiesen wird die Umsetzung gegenüber dem BSI über Sicherheitsaudits, Prüfungen oder Zertifizierungen nach § 39 BSIG, die seit dem Inkrafttreten des NIS2-Umsetzungsgesetzes am 6. Dezember 2025 alle drei Jahre zu erbringen sind[3]. Wer erst nach der Beauftragung klärt, welche Artefakte die prüfende Stelle sehen will, zahlt dieselbe Lücke ein zweites Mal: einmal im Projekt und einmal im Mängelbeseitigungsplan.
Das BSI bewertet die Umsetzung über ein Umsetzungsgradmodell von 0 bis 5. Ab Umsetzungsgrad 3 sind alle MUSS-Anforderungen in allen drei Bereichen erfüllt, ab Grad 4 zusätzlich die SOLLTE-Anforderungen, soweit sie nicht begründet ausgeschlossen wurden[2]. Unser Preisblatt trennt die Positionen genau an dieser Linie, damit in der Angebotswertung sichtbar wird, was Pflicht ist und was ein Anbieter darüber hinaus verkauft.
Protokollierung
Der erste Anforderungsblock beschreibt die Protokollierung als Grundlage von allem, was danach kommt: zentrale Protokollinfrastruktur, Zeitsynchronisation, Speicherfristen, Schutz der Protokolldaten vor Veränderung und vor allem der Umfang der angebundenen Quellen. Wir verlangen von den Bietern eine tabellarische Aufstellung der abgedeckten Quellsysteme statt der üblichen Zusicherung, es würden „alle relevanten Systeme“ erfasst. Als Referenzraster nutzen wir den IT-Grundschutz-Baustein OPS.1.1.5 Protokollierung.
Die datenschutzrechtliche Seite gehört aus unserer Erfahrung in die Leistungsbeschreibung und nicht in die Betriebsphase. Protokolldaten enthalten personenbezogene Daten, deshalb fordern wir Rollen- und Berechtigungskonzepte, Pseudonymisierung, Löschfristen sowie die Unterstützung des Auftragnehmers bei der Beteiligung von Personalvertretung und Datenschutzbeauftragtem. In den Projekten, die wir begleitet haben, war dieser Punkt die häufigste Ursache für Verzögerungen im Rollout.
Detektion
Der Detektionsteil beschreibt, was das System erkennen können muss und wie es das nachweist: signaturbasierte und anomaliebasierte Verfahren, die Abdeckung der Netzsegmente einschließlich OT- und Fernwirktechnik, die Sensorplatzierung sowie Use Cases und Detection Rules als vertraglichen Liefergegenstand. Grundlage ist der Baustein DER.1 Detektion von sicherheitsrelevanten Ereignissen. Anbieter mit Erfahrung im deutschen KRITIS-Umfeld wie Rhebo, genua oder Rohde & Schwarz Cybersecurity bringen solche Regelwerke branchenspezifisch mit, was Sie in der Eignungsprüfung abfragen sollten.
Wir fordern außerdem eine belastbare Aussage zum Umgang mit Fehlalarmen. Ein System zur Angriffserkennung, das die Betriebsmannschaft mit False Positives flutet, wird faktisch stillgelegt und ist dann trotz Beschaffung kein wirksames System im Sinne des Gesetzes. Das Leistungsverzeichnis verlangt daher ein Tuning-Konzept mit Verantwortlichkeiten und Fristen. Reale Vergabeunterlagen vergleichbarer Verfahren finden Sie im Vergabe-Archiv.
Reaktion & Meldepflichten
Reaktion ist der Bereich, den Ausschreibungen am häufigsten offen lassen. Mindestanforderung sind die Basisanforderungen des Bausteins DER.2.1 Behandlung von Sicherheitsvorfällen für alle Ereignisse, die mit Angriffen zusammenhängen können. Hinzu kommt die automatische Reaktion: In Netzen, in denen die kritische Dienstleistung dadurch nicht gefährdet wird, muss ein Eingriff in den Datenstrom möglich sein, und jeder Ausschluss eines Netzsegments von der automatischen Reaktion muss schlüssig begründet werden[2]. Genau diese Begründungspflicht haben wir als Dokumentationsleistung in das Leistungsverzeichnis aufgenommen.
Die Meldepflichten nach § 32 BSIG sind dreistufig: eine frühe Erstmeldung innerhalb von 24 Stunden, die Hauptmeldung mit Bewertung und Schweregrad innerhalb von 72 Stunden und die Abschlussmeldung spätestens einen Monat nach der Hauptmeldung[4]. Wir verankern die Mitwirkung des Auftragnehmers an diesen Fristen verbindlich, inklusive Bereitstellung der forensischen Grundlagen und einer benannten Eskalationskette, damit die Meldung nicht am Wochenende an einer Hotline scheitert.
Betriebsmodell, Abgrenzung & Preisblatt
Das Leistungsverzeichnis ist für drei Betriebsmodelle nutzbar: Eigenbetrieb, hybrider Betrieb mit Rufbereitschaft des Auftragnehmers und vollständig ausgelagerter Betrieb. Wir haben die Positionen so geschnitten, dass Sie ein Modell auswählen können, ohne das Dokument neu zu strukturieren. Ergänzend enthalten sind Schulung, Betriebsübergabe, Dokumentationspflichten und Exit-Regelungen, weil ein Anbieterwechsel im Vergaberecht kein Ausnahmefall, sondern der Normalfall am Ende der Laufzeit ist.
Zur Abgrenzung: Ein SIEM ist das Werkzeug, ein SOC die Organisation, NDR und EDR liefern die Sensorik. Das System zur Angriffserkennung ist die Klammer, die diese Bausteine auf die gesetzliche Anforderung abbildet. Wenn Sie einen dieser Bausteine einzeln beschaffen, passen unsere Muster-LVs zu SIEM, SOC und NDR unmittelbar an dieses Dokument an.
Quellen
- Bundesamt für Justiz: „§ 31 BSIG: Besondere Anforderungen an die Risikomanagementmaßnahmen von Betreibern kritischer Anlagen“, 2025, gesetze-im-internet.de.
- BSI: „Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung“, Version 1.1, 18. November 2024, bsi.bund.de.
- Bundesamt für Justiz: „§ 39 BSIG: Nachweise“, 2025, gesetze-im-internet.de.
- Bundesamt für Justiz: „§ 32 BSIG: Meldepflichten“, 2025, gesetze-im-internet.de.
Technische Details
| Format | Microsoft Excel (.xlsx) + PDF |
| Umfang | mehr als 70 Leistungspositionen |
| Sprache | Deutsch |
| Vergaberecht | GWB, VgV, UVgO konform |
| Normen | BSIG, EnWG, BSI IT-Grundschutz (OPS.1.1.5, DER.1, DER.2.1), NIS2 |
| Stand | 2026 (regelmäßige Revision) |
| Lieferung | Lieferung in 5 Werktagen |
Muster-LV: System zur Angriffserkennung (SzA)
- aus vergangenen Projekten entwickelt
- mehr als 70 Leistungspositionen
- Öffentlicher Sektor & KRITIS
- Raster der BSI-Orientierungshilfe SzA
- GWB / VgV / UVgO konform
- Stand 2026 (regelmäßige Revision)
- E-Mail Support inklusive
