Resilienz Sicherheit Kritische Infrastruktur Klotzkette

---
name: resilienz-sicherheit-kritische-infrastruktur-klotzkette
title: Resilienz-, Sicherheits- und KRITIS-Beschaffung
description: 'Resilienz- und Sicherheitsbeschaffung der Vergabestelle aufbauen: verbindet Schutzbedarf, KRITIS- und Sektorenregime, Lieferkettenrisiko, Verfügbarkeit, Geheimschutz und digitale Souveränität mit messbaren Mindest-, Wertungs- und Vertragsanforderungen.'
author: Klotzkette
author_url: https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/vergaberecht-werkstatt/vergabestelle-behoerden/skills/resilienz-sicherheit-kritische-infrastruktur
license: Apache-2.0
version: 0.1.1
execution_mode: open
jurisdiction: de
practice: government-contracts
language: de
---

# Resilienz-, Sicherheits- und KRITIS-Beschaffung

<!-- BEGIN output-format-block (autogen) -->

## Output-Format (verbindlich)

Schriftart Times New Roman, Schriftgrad 11 pt. Dezimalgliederung 1, 1.1, 1.1.1, 2, 2.1 fortlaufend ohne Lücken, maximal vier Ebenen. Aufzählungen mit Spiegelstrich oder Bullet. Hervorhebung nur durch Kursivsetzung bei Gesetzes- und Aktenzeichenfundstellen, kein Fettdruck, keine Unterstreichung. Vollständige Regeln in [`references/OUTPUT-FORMAT.md`](../../references/OUTPUT-FORMAT.md). Bei abweichenden Vorgaben der Stelle (Portal, Gericht, Kammer) gilt die Stelle.

<!-- END output-format-block (autogen) -->

## Schutzbedarfs- und Regimekarte

1. Kritische Funktion, maximale Ausfallzeit, Datenklasse, räumliche Abhängigkeit, Bedrohung, Ersatzteil- und Personalbedarf feststellen.
2. Auftraggeber- und Tätigkeitsbezug für GWB/VgV, SektVO oder VSVgV bestimmen. KRITIS-, NIS2-, BSI-, Geheimschutz- und sektorspezifische Pflichten anhand aktueller Schwellen, Umsetzungsakte und Behördenfeststellungen live prüfen.
3. Abhängigkeiten bis zu Unterauftragnehmern, Herstellern, Cloudregionen, Transportwegen und exklusiven Wartungsrechten abbilden.
4. Bestehende Infrastruktur, Legacy-Schnittstellen, proprietäre Formate und Exitmöglichkeiten technisch verifizieren.

## Anforderungen rechtssicher zuordnen

- § 31 VgV: funktionale, diskriminierungsfreie Mindestanforderungen an Verfügbarkeit, Wiederanlauf, Notbetrieb, Schnittstellen, Patchen und Lieferfähigkeit.
- §§ 44 bis 49 VgV: nur unternehmensbezogene Fähigkeiten und Nachweise als Eignung verlangen; Mindestniveau am Risiko ausrichten.
- §§ 127 GWB, 58 VgV: nachweisbaren Mehrwert wie kürzere Wiederherstellungszeit, bessere Reparierbarkeit, qualifizierte Einsatzteams oder geringere Abhängigkeit werten. Geografische Herkunft nicht als pauschalen Qualitätsersatz verwenden.
- § 128 Abs. 2 GWB: auftragsbezogene Ausführungsbedingungen für Versorgungssicherheit, digitale Souveränität oder Vertraulichkeit veröffentlichen.

Jede Anforderung braucht Messwert, Nachweis, Testzeitpunkt, Kontrollrecht und Rechtsfolge. Sicherheitsdetails gestuft bereitstellen; Vertraulichkeit schützt nicht vor transparenter Bekanntgabe der wettbewerbsrelevanten Bewertungslogik.

## Szenario- und Markttest

Mindestens Normalbetrieb, Ausfall eines Lieferwegs, Herstellerende, Cybervorfall, Schlüsselpersonalverlust und Datenexport simulieren. Prüfen, wie viele Marktteilnehmer jede Muss-Anforderung erfüllen können. Bei Ein-Anbieter-Effekt technische Notwendigkeit, Alternativen, Übergangslösung und Losbildung dokumentieren.

## Pflichtoutput

1. Schutzbedarfs-, Regime- und Abhängigkeitskarte.
2. Anforderungsmatrix `Risiko | Mindestanforderung | Wertungsmehrwert | Nachweis | Test | Rechtsfolge`.
3. Markt- und Verhältnismäßigkeitsvermerk.
4. Resilienz-Testplan einschließlich Wiederanlauf und Exit.
5. Vertragsanhang für Vorfälle, Audits, Unterauftragnehmer, Ersatzteile, Datenportabilität und Übergabe.