IT-Sicherheitsanforderungen ausschreiben: BSI C5, ISO 27001 und Nachweise rechtssicher fordern

Die Vergabeunterlagen für eine neue Cloud-Fachanwendung sind fast fertig. In der Leistungsbeschreibung steht bereits: „Der Auftragnehmer muss über ein gültiges ISO-27001-Zertifikat verfügen und einen BSI-C5-Testat vorlegen.“ Kurz vor Veröffentlichung stellt sich die entscheidende Frage: Ist das eine technische Mindestanforderung, ein Eignungskriterium oder eine Vorgabe für die Vertragsausführung? Davon hängt ab, ob du den Wettbewerb unnötig beschränkst oder eine tragfähige Sicherheitsanforderung formulierst.

Gerade bei Cloud-, Software- und IT-Betriebsleistungen gehören Informationssicherheit, Datenschutz und Resilienz regelmäßig zum Beschaffungsgegenstand. BSI C5 und ISO 27001 können dabei wichtige Orientierung geben. Sie ersetzen aber nicht die vergaberechtliche Prüfung, ob eine konkrete Forderung zum Auftrag passt, verhältnismäßig ist und mit geeigneten Nachweisen belegt werden kann.

Infografik zu IT-Sicherheitsanforderungen ausschreiben: BSI C5, ISO 27001 und Nachweise rechtssicher fordern (KI-generiert).

Sicherheitsanforderungen zuerst fachlich bestimmen

Bevor du über Zertifikate und Testate entscheidest, musst du den Schutzbedarf der Leistung klären. Die richtige Sicherheitsanforderung ergibt sich nicht aus der Bekanntheit eines Standards, sondern aus den Daten, Systemen und Risiken des konkreten Projekts.

Bei einer Cloud-Leistung sind insbesondere diese Fragen relevant:

• Welche Daten verarbeitet der Dienstleister, etwa personenbezogene Daten, Sozialdaten, Betriebsgeheimnisse oder Informationen mit erhöhtem Schutzbedarf?
• Welche Verfügbarkeitsanforderungen bestehen für die Anwendung?
• Ist eine Verarbeitung außerhalb bestimmter Rechtsräume ausgeschlossen oder nur eingeschränkt zulässig?
• Muss der Anbieter Unterauftragnehmer einsetzen, insbesondere weitere Cloud-Dienste?
• Welche Schnittstellen, Administrationsrechte und Fernzugriffe sind vorgesehen?
• Welche Anforderungen gelten für Protokollierung, Verschlüsselung, Schwachstellenmanagement und Reaktion auf Sicherheitsvorfälle?
• Welche Exit-Regelungen brauchst du bei Vertragsende oder Anbieterwechsel?

Aus diesen Antworten leitest du konkrete Anforderungen ab. Eine Beschaffung für ein öffentlich zugängliches Terminbuchungssystem erfordert typischerweise andere Sicherheitsvorkehrungen als ein Verfahren für besonders schutzbedürftige Personal-, Gesundheits- oder Sicherheitsdaten.

Wichtig ist die Trennung zwischen dem gewünschten Sicherheitsniveau und dem Beleg dafür. „Verschlüsselung ruhender Daten mit geeigneten kryptografischen Verfahren“ beschreibt eine Leistungserwartung. „ISO 27001“ beschreibt dagegen zunächst einen möglichen Nachweis für ein Informationssicherheitsmanagementsystem. Beides kann zusammengehören, erfüllt aber unterschiedliche Funktionen in der Vergabe.

Mindestanforderung, Eignung oder Zuschlag: Die richtige Einordnung

Die häufigsten Fehler entstehen, wenn Anforderungen und Nachweise ohne klare vergaberechtliche Funktion in die Unterlagen aufgenommen werden. Für jede Sicherheitsvorgabe solltest du deshalb festlegen, ob sie die angebotene Leistung, die Leistungsfähigkeit des Unternehmens oder die Qualität der Angebotswertung betrifft.

Einordnung	Worum es geht	Typisches Beispiel
Mindestanforderung an die Leistung	Das Angebot muss eine bestimmte technische oder organisatorische Eigenschaft erfüllen.	Der Cloud-Dienst muss Sicherheitsvorfälle innerhalb vereinbarter Fristen melden.
Eignungskriterium	Das Unternehmen muss nachweisen, dass es den Auftrag fachlich und organisatorisch bewältigen kann.	Der Bieter weist ein etabliertes Informationssicherheitsmanagement für die angebotene Betriebsleistung nach.
Zuschlagskriterium	Angebote, die über Mindestanforderungen hinausgehen, erhalten einen Qualitätsvorteil.	Zusätzliche, prüfbare Maßnahmen für Notfallwiederherstellung oder Transparenz in der Lieferkette werden bewertet.
Bedingung der Vertragsausführung	Eine Pflicht gilt spätestens während der Leistungserbringung.	Vor Produktivsetzung ist ein vereinbartes Sicherheitskonzept vorzulegen und fortzuschreiben.

Sicherheitsmerkmale als Mindestanforderung

Mindestanforderungen sind passend, wenn ohne sie der Beschaffungszweck nicht erreicht wird. Bei einer SaaS-Lösung kann das etwa die Mandantentrennung, Mehrfaktor-Authentisierung für privilegierte Zugänge, Verschlüsselung bei Übertragung, geregeltes Berechtigungsmanagement oder ein belastbares Backup- und Wiederherstellungskonzept sein.

Formuliere Mindestanforderungen möglichst leistungsbezogen. Statt pauschal einen bestimmten Standard zu verlangen, benennst du die erforderliche Sicherheitseigenschaft. Das schafft Klarheit für Bieter und erleichtert dir später die Angebotsprüfung.

Beispiel: „Der Auftragnehmer muss für administrative Zugriffe eine Mehrfaktor-Authentisierung einsetzen. Die eingesetzten Verfahren und die Behandlung von Notfallzugängen sind im Sicherheitskonzept darzustellen.“

Eine Mindestanforderung muss eindeutig sein. Unklare Begriffe wie „angemessene IT-Sicherheit“, „hohes Schutzniveau“ oder „modernste Verschlüsselung“ reichen nicht aus, wenn daraus keine überprüfbaren Leistungspflichten folgen.

ISO 27001 und BSI C5 als Eignungsnachweis

Ein ISO-27001-Zertifikat kann ein geeigneter Eignungsnachweis sein, wenn das Informationssicherheitsmanagement des Bieters für die ordnungsgemäße Ausführung relevant ist. Das trifft häufig bei IT-Betriebsleistungen, Managed Services oder komplexen Cloud-Diensten zu. Entscheidend ist, dass der Geltungsbereich des Zertifikats die angebotene Leistung oder die dafür verantwortliche Organisation tatsächlich umfasst.

Ein Zertifikat für einen weit entfernten Geschäftsbereich belegt nicht automatisch, dass auch die konkret angebotene Cloud-Umgebung oder der relevante Betriebsteil angemessen organisiert ist. Fordere deshalb nicht nur die Urkunde, sondern verlange Angaben zum Geltungsbereich, zur zertifizierten Organisationseinheit und zur Laufzeit.

Das BSI-Kriterienwerk C5 richtet sich speziell an Cloud-Dienste. Ein C5-Testat kann besonders aussagekräftig sein, wenn du einen Cloud-Service beschaffst und Transparenz über die Umsetzung sicherheitsrelevanter Kriterien benötigst. Dabei solltest du genau benennen, welche Form des Nachweises du erwartest und ob der Umfang den ausgeschriebenen Dienst erfasst.

Weder ISO 27001 noch C5 sind automatisch für jede Beschaffung zwingend. Bei kleineren, risikoarmen Leistungen kann eine solche Vorgabe unverhältnismäßig sein. Umgekehrt kann bei hochsensiblen Cloud-Verarbeitungen ein bloßes allgemeines Sicherheitskonzept zu wenig belastbar sein.

Gleichwertigkeit nicht nur erwähnen, sondern ermöglichen

Wenn du auf Zertifikate, Testate oder bestimmte Normen Bezug nimmst, musst du die Gleichwertigkeit rechtssicher behandeln. Ein bloßer Satz wie „oder gleichwertig“ genügt nicht, wenn die Vergabeunterlagen offenlassen, was als gleichwertig gelten kann und wie Bieter dies darlegen sollen.

Beschreibe deshalb den Zweck der Anforderung. Bei ISO 27001 kann dieser Zweck etwa sein, dass der Anbieter ein dokumentiertes, wirksames und regelmäßig überprüftes Informationssicherheitsmanagement betreibt. Bei C5 kann es um eine unabhängige Prüfung cloud-spezifischer Sicherheitsmaßnahmen und um nachvollziehbare Aussagen zum Prüfungsumfang gehen.

Du kannst dann verlangen, dass ein alternativer Nachweis mindestens erkennen lässt:

• welchen Geltungsbereich das Sicherheitsmanagement umfasst
• welche Sicherheitsprozesse dokumentiert und umgesetzt sind
• wie Risiken bewertet und behandelt werden
• wie interne oder externe Prüfungen stattfinden
• wie Sicherheitsvorfälle behandelt werden
• ob und durch wen die Angaben unabhängig geprüft wurden
• weshalb der Nachweis bezogen auf den Auftrag dem geforderten Standard entspricht

Bietern darf nicht faktisch die Möglichkeit genommen werden, einen gleichwertigen Nachweis zu führen. Das betrifft insbesondere Anbieter aus anderen Staaten, aber auch Unternehmen, die ein belastbares, anders aufgebautes Managementsystem einsetzen. Deine Prüfung muss sich auf den Inhalt und die Aussagekraft des Nachweises richten, nicht allein auf dessen Bezeichnung.

Gleichwertigkeit bedeutet jedoch nicht, dass jede Selbsterklärung genügt. Je höher Schutzbedarf und Risiko, desto belastbarer darf der geforderte Nachweis sein. Bei einem besonders kritischen Cloud-Betrieb kann eine unabhängige Prüfung sachlich geboten sein. Dann solltest du klar begründen können, warum eine bloße Eigenerklärung den Beschaffungsbedarf nicht absichert.

Zuschlagskriterien nur für echten Mehrwert einsetzen

Sicherheitsqualität kann ein Zuschlagskriterium sein, wenn sie über die Mindestanforderungen hinausgeht und einen konkreten Mehrwert für den Auftrag bietet. Das ist sinnvoll, wenn mehrere Lösungswege zulässig sind und du Unterschiede transparent bewerten kannst.

Bewertbar sind zum Beispiel:

• die Qualität eines auftragsbezogenen Sicherheits- und Betriebskonzepts
• die konkrete Ausgestaltung von Notfallübungen und Wiederanlaufverfahren
• die Transparenz bei eingesetzten Unterauftragnehmern und deren Kontrollmechanismen
• zusätzliche technische Maßnahmen zum Schutz privilegierter Zugänge
• die Qualität eines Exit- und Datenportabilitätskonzepts

Nicht geeignet sind vage Kriterien wie „beste IT-Sicherheit“ oder „umfangreichste Zertifizierung“. Bieter müssen erkennen können, welche Inhalte bewertet werden, wie die Punkte vergeben werden und welche Unterlagen sie einreichen sollen.

Vermeide außerdem Doppelwertungen. Was zwingende Mindestanforderung ist, darf nicht nochmals als besonderer Vorteil bepunktet werden. Du kannst aber einen nachvollziehbaren Mehrwert oberhalb der Mindestvorgabe bewerten. Wenn etwa ein getestetes Notfallkonzept verpflichtend ist, kann die Häufigkeit, Tiefe und auftragsspezifische Dokumentation zusätzlicher Übungen ein zulässiger Qualitätsaspekt sein.

Anforderungen in Leistungsbeschreibung und Vertrag absichern

Viele Sicherheitsvorgaben wirken erst während der Vertragslaufzeit. Deshalb gehören sie nicht allein in die Eignungsprüfung oder Angebotswertung. Übernimm die zentralen Pflichten in Leistungsbeschreibung, Vertrag und gegebenenfalls in eine Anlage zum Informationssicherheitskonzept.

Regle insbesondere Meldewege und Fristen für Sicherheitsvorfälle, Mitwirkungsrechte bei Audits, Anforderungen an Unterauftragnehmer, Dokumentationspflichten, Schwachstellenbehandlung, Rückgabe oder Löschung von Daten sowie Exit-Unterstützung. Bei Cloud-Leistungen solltest du auch festlegen, wie Änderungen am Dienst, am Betriebsmodell oder an Unterauftragnehmern angezeigt und bewertet werden.

EVB-IT-Verträge und ergänzende Vertragsanlagen können hierfür eine tragfähige Struktur bieten. Entscheidend ist, dass Sicherheitsanforderungen nicht als unverbindliche Absichtserklärung stehen bleiben, sondern überprüfbare Pflichten mit klaren Zuständigkeiten werden.

Passende Seminare und Termine findest du bei uns auf cmt.de.

Checkliste vor der Veröffentlichung

Prüfe deine Vergabeunterlagen vor der Bekanntmachung anhand dieser Fragen:

• Ist der Schutzbedarf der beschafften Leistung nachvollziehbar dokumentiert?
• Haben alle Sicherheitsanforderungen eine klare Funktion als Mindestanforderung, Eignungskriterium, Zuschlagskriterium oder Vertragsbedingung?
• Sind technische Mindestanforderungen konkret, messbar und auftragsbezogen formuliert?
• Erfasst der verlangte Zertifikats- oder Testatnachweis tatsächlich die angebotene Leistung?
• Ist die Forderung angesichts von Risiko, Auftragsgegenstand und Markt verhältnismäßig?
• Sind gleichwertige Nachweise ausdrücklich zugelassen und inhaltlich beschreibbar?
• Können Bieter die Zuschlagskriterien anhand veröffentlichter Maßstäbe nachvollziehen?
• Sind Sicherheitsvorgaben für die Vertragslaufzeit verbindlich geregelt?
• Ist festgelegt, wer Nachweise prüft, Sicherheitskonzepte bewertet und Vertragsverstöße verfolgt?

Wenn du diese Punkte sauber trennst, erreichst du zwei Ziele zugleich: Du schützt deine Organisation besser vor Sicherheitsrisiken und hältst den Wettbewerb für geeignete Anbieter offen.