Ransomware, kompromittierte Netze, Datenabflüsse: Informationssicherheit ist für öffentliche Auftraggeber kein abstraktes Risiko mehr. Die Konsequenz zeigt sich in den Vergabeunterlagen: Auftraggeber dürfen den Nachweis verlangen, dass Informationssicherheit systematisch gemanagt wird. Die Vergabekammer des Bundes hat die Forderung eines ISO/IEC-27001-Zertifikats als Eignungskriterium bei der Verarbeitung von Sozialdaten gebilligt. Wie oft solche Nachweise verlangt werden, weist keine amtliche Statistik aus — die Vergabestatistik des Bundes erfasst Eignungsnachweise nicht. Dieser Leitfaden erklärt, welche Nachweise es gibt, wann Auftraggeber sie verlangen dürfen und wie der Weg zum Nachweis auch für mittelständische Unternehmen machbar wird.
Warum Informationssicherheit in Ausschreibungen so wichtig geworden ist
Öffentliche Auftraggeber verarbeiten hochsensible Daten — von Sozialdaten über Gesundheitsinformationen bis zu kritischer Infrastruktur. Wer als Dienstleister Zugriff auf diese Systeme erhält, wird Teil der Angriffsfläche. Vergabestellen reagieren darauf mit formalen Anforderungen: Sie verlangen von Bietern den Nachweis, dass Informationssicherheit systematisch gemanagt wird — nicht nur versprochen.
Dazu kommt der regulatorische Druck: Seit dem 6. Dezember 2025 gilt das NIS-2-Umsetzungsgesetz, das die Cybersicherheitspflichten des BSI-Gesetzes auf deutlich mehr Unternehmen erstreckt — nach BSI-Angaben auf rund 29.500 Einrichtungen. Das BSI hat außerdem den C5-Kriterienkatalog für Cloud-Dienste 2025/26 grundlegend überarbeitet. Für Bieter heißt das: Informationssicherheit ist in öffentlichen Ausschreibungen ein eigenes Eignungsthema.
IT-Sicherheitsnachweise im Überblick
Nicht jeder Nachweis passt zu jedem Unternehmen. Eine Auswahl für den deutschen Markt — welcher Nachweis gefordert ist, legen die Vergabeunterlagen fest:
- ISO/IEC 27001: Der internationale Standard für Informationssicherheits-Managementsysteme (ISMS), auditiert durch akkreditierte Zertifizierungsstellen; aktuelle Ausgabe 2022, mit Änderung 1 von 2024. Branchenübergreifend anerkannt.
- BSI IT-Grundschutz: Die deutsche Methodik des Bundesamts für Sicherheit in der Informationstechnik, kompatibel mit ISO/IEC 27001: Eine Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz ist möglich, geprüft durch einen vom BSI zertifizierten ISO-27001-Grundschutz-Auditor.
- TISAX®: Der Prüfstandard der Automobilindustrie (VDA ISA). Einige Unternehmen verlangen den Nachweis laut ENX Association von vielen ihrer Zulieferer; auch bei öffentlichen Aufträgen mit Automotive-Bezug kann er relevant sein.
- C5 (BSI): Der Kriterienkatalog des BSI für Cloud-Dienste. Die Erfüllung der Kriterien wird durch Wirtschaftsprüfer testiert, es ist also ein Testat und kein Zertifikat. Das BSI hat den Katalog 2025/26 grundlegend überarbeitet und führt neben dem C5:2020 die Fassung C5:2026; welche Fassung ein Verfahren verlangt, steht in den Vergabeunterlagen.
- SOC 2: Der US-amerikanische Prüfstandard für Dienstleister, die Kundendaten verarbeiten.
Nicht alle fünf Nachweise sind Zertifikate im engeren Sinn: Für den C5 gibt es das Testat eines Wirtschaftsprüfers, TISAX endet mit einem Label, SOC 2 mit einem Prüfbericht.
Wie IT-Sicherheitsnachweise in Vergabeverfahren eingesetzt werden
In den Vergabeunterlagen können Sicherheitsnachweise an zwei verschiedenen Stellen stehen, und die Unterscheidung entscheidet, was ein fehlender Nachweis bedeutet: als Eignungskriterium (§ 122 GWB, § 42 VgV) — dort geht es um die Frage, ob Sie den Auftrag überhaupt ausführen können — oder, seltener, als Zuschlagskriterium (§ 127 GWB, § 58 VgV), wo das Zertifikat in die Wertung einfließt. Eine zwingende Mindestanforderung ist der Sonderfall der ersten Variante.
- Als Mindestanforderung: „Der Bieter verfügt über eine gültige Zertifizierung nach ISO/IEC 27001 oder gleichwertig.“ Fehlt der geforderte Nachweis und wird er auch nicht nachgefordert, kann das Angebot ausgeschlossen werden (§ 57 Abs. 1 Nr. 2 VgV).
- Als Eignungskriterium: Der Nachweis fließt in die Eignungsprüfung ein (§ 122 GWB, § 42 VgV). Fehlt er, kommen je nach Nachweisart gleichwertige Belege in Betracht — bei Gütezeichen nach § 34 Abs. 5 VgV, bei Normen der Qualitätssicherung nach § 49 Abs. 1 VgV.
- Als Zuschlagskriterium: Das Zertifikat bringt Wertungspunkte — nach der Gewichtung, die der Auftraggeber vorab bekannt gemacht hat (§ 58 Abs. 3 VgV).
Das Vergabebeschleunigungsgesetz hat die Reihenfolge umgedreht. Im offenen Verfahren prüft der Auftraggeber die Angebote jetzt im Regelfall vor der Eignung (§ 42 Abs. 4 VgV); abweichen darf er nur, soweit ein erhöhter Aufwand oder sonstige verfahrensbezogene Gründe entgegenstehen. In den übrigen Verfahrensarten bleibt es bei der bisherigen Reihenfolge.
Parallel gilt ein zweistufiges Nachweisverfahren. Der Nachweis der Eignung und des Nichtvorliegens von Ausschlussgründen soll durch Eigenerklärungen erfolgen (§ 122 Abs. 3 Satz 1 GWB); darüber hinausgehende Unterlagen sollen nur von aussichtsreichen Bewerbern oder Bietern verlangt werden (§ 122 Abs. 3 Satz 2 GWB). Wann der Auftraggeber sie anfordern darf, regelt § 48 Abs. 2 VgV: erst nach einer vorläufigen Prüfung der Teilnahmeanträge bzw. der Angebote, mit einer angemessenen Frist zur Einreichung. Seit 2026 kommt § 42 Abs. 2 VgV hinzu — bei der Auswahl der Eignungskriterien und Eignungsnachweise sind die besonderen Umstände von jungen sowie kleinen und mittleren Unternehmen angemessen zu berücksichtigen.
Verlangt der Auftraggeber ein Gütezeichen und kann ein Unternehmen es aus Gründen, die ihm nicht zuzurechnen sind, nachweislich nicht rechtzeitig erlangen, muss der Auftraggeber andere geeignete Belege akzeptieren (§ 34 Abs. 5 VgV). Für Normen der Qualitätssicherung gilt dasselbe: Gleichwertige Bescheinigungen akkreditierter Stellen aus anderen Staaten sind anzuerkennen, und wer die Bescheinigung aus nicht zu vertretenden Gründen nicht rechtzeitig beschaffen kann, darf andere Nachweise gleichwertiger Maßnahmen vorlegen (§ 49 Abs. 1 VgV). Praktisch bleibt der Weg über die Gleichwertigkeit aufwendiger: Sie müssen die Gleichwertigkeit darlegen, und das kostet Zeit, die in einer laufenden Angebotsfrist knapp ist. Ein akkreditiertes Zertifikat nimmt Ihnen diesen Nachweis ab. Maßgeblich ist immer, was die Vergabeunterlagen des konkreten Verfahrens fordern.
Die Formulierung „oder gleichwertig“ ist kein Feigenblatt, sondern eine Pflicht des Auftraggebers.
Der Weg zum Zertifikat: klassisch vs. automatisiert
Der klassische Weg zur ISO/IEC 27001 folgt einem festen Muster: Gap-Analyse, Aufbau des ISMS mit Richtlinien und Prozessen, Risikoanalyse, interne Audits, dann das Zertifizierungsaudit durch eine akkreditierte Stelle. Aufwand und Dauer hängen stark von der Ausgangslage ab — eine amtliche Angabe zur Dauer gibt es nicht. Der interne Dokumentationsaufwand kann erheblich sein.
Daneben gibt es Plattformen für Compliance-Automatisierung, die Richtlinien, Nachweise, Risikomanagement und Lieferantenprüfungen digital abbilden und sich an bestehende IT-Systeme anbinden lassen. Zu diesem Thema arbeiten wir mit einem Partner zusammen, den wir am Ende dieses Beitrags vorstellen; die Angaben zur Aufwandsersparnis dort sind seine eigenen. Neutrale Erhebungen dazu liegen nicht vor. Was sich sachlich sagen lässt: Ein digital geführtes ISMS ist leichter aktuell zu halten als eine Dokumentenablage.
Welcher Nachweis lohnt sich für wen?
Die Entscheidung sollte sich an den Zielaufträgen orientieren — nicht am Standard selbst:
- Wer regelmäßig auf öffentliche IT-Ausschreibungen bietet, fängt bei ISO/IEC 27001 an: Sie ist branchenübergreifend anerkannt und wird von akkreditierten Stellen zertifiziert.
- Wer Bundesbehörden und Betreiber kritischer Infrastrukturen adressiert, prüft die Vergabeunterlagen zusätzlich auf den BSI IT-Grundschutz.
- Wer Cloud-Leistungen für die öffentliche Verwaltung anbietet, sollte mit der Frage nach einem C5-Testat rechnen; eine allgemeine Rechtspflicht dazu gibt es nicht. Maßgeblich sind die Vergabeunterlagen des konkreten Verfahrens.
- Wer im Automotive-Umfeld arbeitet, braucht TISAX, sobald Geschäftspartner den Nachweis verlangen — unabhängig von öffentlichen Aufträgen.
Wichtig für die Planung: Nachweise brauchen Vorlauf. Wer erst bei der konkreten Ausschreibung feststellt, dass ein Nachweis gefordert ist, hat wenig Spielraum — im offenen Verfahren beträgt die Angebotsfrist mindestens 35 Tage (§ 15 Abs. 2 VgV), 30 Tage bei akzeptierter elektronischer Übermittlung (§ 15 Abs. 4 VgV) und bei hinreichend begründeter Dringlichkeit mindestens 15 Tage (§ 15 Abs. 3 VgV); unterhalb der EU-Schwellenwerte gibt es keine Mindestfristen in Tagen, die Fristen müssen angemessen sein (§ 13 UVgO). Wie lange der Weg zum Nachweis dauert, lässt sich dagegen nicht pauschal sagen — eine amtliche Angabe zur Dauer gibt es nicht. Deshalb lohnt es sich, Ausschreibungsanforderungen systematisch zu beobachten und Nachweislücken zu schließen, bevor der Wunschauftrag erscheint.
Fazit: Sicherheitsnachweise sind planbar
Sicherheitsnachweise öffnen Türen zu Verfahren, in denen sie gefordert werden — und sie sind planbar: Wer die Anforderungen seiner Zielausschreibungen kennt, kann die Zertifizierung vorbereiten, statt sie unter Frist nachzuholen.
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall. Maßgeblich sind die zum Zeitpunkt Ihres Verfahrens geltenden Vorschriften und die Vergabeunterlagen des konkreten Verfahrens.
Unsere Inhalte werden mit KI unterstützt und redaktionell geprüft.