NIS2 in der IT-Beschaffung: Cybersicherheit wird Vergabekriterium

Mit dem im Dezember 2025 verkündeten NIS2-Umsetzungsgesetz hat Deutschland die EU-Richtlinie zur Netz- und Informationssicherheit in nationales Recht überführt — ohne Übergangsfrist. Zehntausende Unternehmen und Einrichtungen sind seither verpflichtet, ein Cybersicherheits-Risikomanagement zu betreiben, sich beim BSI zu registrieren und erhebliche Sicherheitsvorfälle zu melden. Auch Teile der öffentlichen Verwaltung fallen in den Anwendungsbereich. Was in vielen Projekten noch unterschätzt wird: NIS2 ist längst nicht nur ein Thema für den IT-Betrieb — es verändert die Beschaffung.

Lieferkettensicherheit heißt: Anforderungen an Auftragnehmer

Zu den gesetzlichen Risikomanagement-Maßnahmen gehört ausdrücklich die Sicherheit der Lieferkette. Eine betroffene Einrichtung muss die Sicherheit ihrer unmittelbaren Anbieter und Dienstleister bewerten und vertraglich absichern. Praktisch bedeutet das: Wer NIS2-pflichtig ist, kann IT-Leistungen nicht mehr beschaffen, ohne Sicherheitsanforderungen systematisch mitzudenken — von der Softwareentwicklung über Wartungszugänge bis zum Cloud-Betrieb.

In der Vergabe schlägt sich das an drei Stellen nieder:

• Leistungsbeschreibung: Konkrete, prüfbare Sicherheitsanforderungen (etwa Patch- und Schwachstellenmanagement, Multifaktor-Authentifizierung, Verschlüsselung, Protokollierung, Notfallkonzepte) gehören als Muss-Kriterien in die Leistungsbeschreibung — produktneutral formuliert und am tatsächlichen Schutzbedarf ausgerichtet.
• Eignung und Nachweise: Zertifizierungen und Testate (z. B. ISO 27001, BSI-Grundschutz, C5 für Cloud-Dienste) können als Eignungs- oder Ausführungsanforderung dienen. Wichtig ist Augenmaß: Überzogene Nachweisforderungen schrumpfen den Bieterkreis unnötig und sind vergaberechtlich angreifbar.
• Vertrag: Melde- und Mitwirkungspflichten des Auftragnehmers bei Sicherheitsvorfällen, Auditrechte, Subunternehmersteuerung und Regelungen zum Vertragsende (geordnete Rückgabe, Löschung) müssen vertraglich verankert werden — die überarbeiteten EVB-IT bieten dafür Anknüpfungspunkte.

Wechselwirkung mit dem Vergaberecht

NIS2 verpflichtet den Auftraggeber, nicht den Bieter — deshalb muss der Auftraggeber seine Pflichten in Vergabeunterlagen übersetzen. Wer Sicherheitsanforderungen erst im Vertragsentwurf „nachschiebt“, riskiert Rügen und Verzögerungen; wer sie von Anfang an in Bedarfsermittlung, Markterkundung und Bewertungsmatrix integriert, bekommt vergleichbare Angebote und belastbare Verträge. Sicherheitsleistungen kosten Geld — sie gehören daher auch realistisch in die Auftragswertschätzung.

Fazit

Cybersicherheit ist mit NIS2 endgültig vom „nice to have“ zum rechtlich geforderten Beschaffungskriterium geworden. Betroffene Einrichtungen sollten ihre Muster-Leistungsbeschreibungen, Eignungskriterien und Vertragsvorlagen systematisch überprüfen. BAREMOS IT unterstützt dabei, NIS2-Anforderungen bedarfsgerecht und produktneutral in IT-Ausschreibungen zu überführen — vom Anforderungskatalog bis zur Bewertung der Angebote.