BAREMOS IT GmbH
Menü

EVB-IT 2026: Open Source und SBOM werden Vertragsstandard

Veröffentlicht:

Acht Vertragsmuster neu gefasst

Der IT-Planungsrat hat in seiner 48. Sitzung am 26. November 2025 eine grundlegende Überarbeitung der EVB-IT beschlossen (Beschluss B-2025/48-IT); die neuen Fassungen sind seit dem 20. März 2026 kostenfrei unter evb-it.gov.de verfügbar. Betroffen sind acht der elf Vertragstypen: Überlassung Typ A, Dienstleistung, Pflege S, Rahmenvereinbarung sowie die Systemverträge Erstellung, System, Systemlieferung und Service. Unverändert bleiben EVB-IT Cloud, Überlassung Typ B und Instandhaltung. Für Vergabestellen bedeutet das: Wer künftig Standardsoftware überlässt, Individualsoftware erstellen lässt oder IT-Dienstleistungen ausschreibt, arbeitet mit einer neuen Vertragsgrundlage. Bereits geschlossene Verträge sind davon nicht betroffen, laufende Verfahren sollten aber geprüft werden.

Open Source wird gleichwertige, teils bevorzugte Option

Erstmals verankern die EVB-IT Open Source systematisch als gleichwertige und in bestimmten Konstellationen sogar bevorzugte Beschaffungsoption. Die Vertragsmuster regeln nun Veröffentlichungspflichten, Lizenzwahl und Quellcode-Zugang, wenn öffentliche Auftraggeber die Entwicklung neuer Software beauftragen. Proprietäre Lösungen bleiben weiterhin beschaffbar; die Neuerung schafft aber erstmals eine belastbare vertragliche Grundlage dafür, dass mit öffentlichen Mitteln entwickelte Software der Verwaltung insgesamt zur Nachnutzung zur Verfügung steht. Für IT-Verantwortliche in Kommunen und öffentlichen Unternehmen heißt das: Bei Ausschreibungen für Individualentwicklungen ist frühzeitig zu klären, ob und in welchem Umfang Open-Source-Klauseln in Leistungsbeschreibung und Vertragsanlagen aufgenommen werden sollen.

SBOM-Pflicht schafft Transparenz – und neue Prüfpflichten

Zentrale Neuerung ist die Einführung der Software Bill of Materials (SBOM) in den betroffenen Vertragsmustern. Auftragnehmer können damit verpflichtet werden, eine strukturierte Übersicht aller in der Software enthaltenen Komponenten samt Versionen, Abhängigkeiten und Lizenzbedingungen zu liefern. Das erleichtert die Bewertung von Lizenz-Compliance und IT-Sicherheitsrisiken erheblich, etwa bei der Nachverfolgung bekannt gewordener Schwachstellen in Drittkomponenten. Nach den überarbeiteten Vertragsbedingungen kann eine fehlende oder unvollständige SBOM als Mangel gelten. Für öffentliche Auftraggeber – insbesondere Kliniken mit hohen Anforderungen an IT-Sicherheit und Betriebskontinuität – ergibt sich daraus die Notwendigkeit, SBOM-Anforderungen bereits in der Leistungsbeschreibung konkret zu spezifizieren und Abnahmeprozesse entsprechend anzupassen, da die Vertragsmuster hierfür Optionen, aber keine automatische Pflicht vorsehen.

Praxisfolgen für laufende und künftige Vergabeverfahren

Ergänzend sind sämtliche Vertragsmuster, AGB und Anlagen nun barrierefrei gestaltet und als interaktive Playbooks im Tool EVB-IT digital verfügbar, das eine dialoggestützte, lokal im Browser ausführbare Vertragserstellung ermöglicht. Für die Vergabepraxis bedeutet die Überarbeitung in Summe einen erhöhten Abstimmungsaufwand in der Vorbereitungsphase: Leistungsbeschreibungen, Bewertungsmatrizen und Vertragsanlagen sollten daraufhin geprüft werden, ob Open-Source- und SBOM-Optionen genutzt werden sollen und wie sie sich zu bestehenden IT-Sicherheitskonzepten verhalten. Wer aktuell IT-Vergabeverfahren mit den betroffenen Vertragstypen vorbereitet, sollte die neuen Musterversionen von evb-it.gov.de beziehen, da ältere Fassungen die genannten Regelungen nicht enthalten.

Quellen