Vertiefung It Sicherheits Vergabe Bsi It Sig 2 Bieter

---
name: vertiefung-it-sicherheits-vergabe-bsi-it-sig-2-bieter
title: 'Vertiefung: IT-Sicherheitsanforderungen auf Bieterseite'
description: 'Auf Bieterseite IT-Sicherheitsanforderungen vertieft angreifen oder belegen: aktuelles BSIG, Status- und Schutzbedarfsprüfung, Zertifikats-Scope, Gleichwertigkeit, Komponenten, Melde-SLA, Bewertbarkeit, Rüge und Nachprüfungsbeweise.'
author: Klotzkette
author_url: https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/vergaberecht-werkstatt/bieter-unternehmen/skills/vertiefung-it-sicherheits-vergabe-bsi-it-sig-2
license: Apache-2.0
version: 0.1.1
execution_mode: open
jurisdiction: de
practice: government-contracts
language: de
---

# Vertiefung: IT-Sicherheitsanforderungen auf Bieterseite

<!-- BEGIN output-format-block (autogen) -->

## Output-Format (verbindlich)

Schriftart Times New Roman, Schriftgrad 11 pt. Dezimalgliederung 1, 1.1, 1.1.1, 2, 2.1 fortlaufend ohne Lücken, maximal vier Ebenen. Aufzählungen mit Spiegelstrich oder Bullet. Hervorhebung nur durch Kursivsetzung bei Gesetzes- und Aktenzeichenfundstellen, kein Fettdruck, keine Unterstreichung. Vollständige Regeln in [`references/OUTPUT-FORMAT.md`](../../references/OUTPUT-FORMAT.md). Bei abweichenden Vorgaben der Stelle (Portal, Gericht, Kammer) gilt die Stelle.

<!-- END output-format-block (autogen) -->

## 1. Streitfrage isolieren

Jede Sicherheitsanforderung wird genau einer Kategorie zugeordnet:

1. Statusannahme des Auftraggebers oder Leistungsempfängers,
2. Eignungsanforderung an Unternehmen oder Personal,
3. technische Mindestanforderung,
4. bewerteter Qualitätsmehrwert,
5. Vertrags- oder Kontrollpflicht.

Erst danach wird entschieden, ob der Bieter erfüllt, Gleichwertigkeit nachweist, eine Bieterfrage stellt oder nach § 160 Abs. 3 GWB rügt. Dieselbe Eigenschaft darf nicht verdeckt als Eignung, Mindestleistung und Zuschlagsvorteil dreifach verwendet werden.

## 2. Aktueller BSIG-Check

Rechtsstand 2026:

- §§ 28 und 29 BSIG: Einrichtungs- und Anlagenkategorien,
- § 30 BSIG: Risikomanagementmaßnahmen,
- § 31 BSIG: besondere Anforderungen an Betreiber kritischer Anlagen einschließlich Angriffserkennung,
- § 32 BSIG: gestufter Meldeprozess,
- § 33 BSIG: Registrierung,
- § 39 BSIG: Nachweise kritischer Anlagen,
- § 41 BSIG: kritische Komponenten.

Die bis 05.12.2025 geltenden §§ 8a, 8b und 9b BSIG werden nur verwendet, wenn ein historischer Audit oder Altvorgang genau diesen Rechtsstand betrifft. Ein pauschales Verbot chinesischer, russischer oder anderer Drittstaatenkomponenten lässt sich aus § 41 BSIG nicht ableiten.

## 3. Verhältnismäßigkeitsakte des Bieters

| Prüfpunkt | Auftraggeberbehauptung | Gegenbeleg des Bieters | mildere Anforderung |
| --- | --- | --- | --- |
| Schutzbedarf | [Unterlage] | [Risiko-/Leistungsanalyse] | [funktionale Kontrolle] |
| Zertifikat/Testat | [Bezeichnung] | [Scope/Gleichwertigkeit] | [alternativer Nachweis] |
| Referenzsektor | [Muss] | [technische Vergleichbarkeit] | [funktionsbezogene Referenz] |
| Datenstandort | [Gebiet] | [Datenfluss und Garantien] | [risikobezogene Klausel] |
| Komponente | [Ausschluss] | [Funktion/Lieferkette] | [Register und Wechselrecht] |

§ 122 Abs. 4 GWB verlangt Auftragsbezug und Verhältnismäßigkeit. Für Bescheinigungen, Qualitätsstandards und gleichwertige Nachweise sind die einschlägigen §§ 42 ff. VgV anzuwenden. Produkt- und Gütezeichenbezüge werden zusätzlich an § 31 VgV und der Linie des EuGH, Urteil vom 10.05.2012, C-368/10, geprüft.

## 4. Zertifikats- und Testatprüfung

- ISO 27001: Zertifikatsinhaber, Normversion, Scope, Standorte, Ausschlüsse und Gültigkeit.
- C5: Testat, Berichtstyp, Prüfzeitraum, geprüfter Cloud-Dienst, Abweichungen und Nutzungsbeschränkungen.
- BSI-Grundschutz: Zertifizierungsgegenstand und Abdeckung der angebotenen Leistung.
- Personalzertifikate: Person, Gültigkeit, Rolle, verbindliche Verfügbarkeit und Ersatzmechanik.

Ein Nachweis ist nicht schon deshalb ungeeignet, weil seine Bezeichnung abweicht. Der Bieter legt ein Kontrollmapping vor, das jede geforderte Eigenschaft mit Fundstelle und Evidenz verbindet.

## 5. Rügebaustein

```text
Die Vergabeunterlagen verlangen unter [Fundstelle] [Anforderung] als
[Eignung/Mindestleistung/Zuschlagskriterium]. Diese Vorgabe verletzt
[§ 97 Abs. 2, § 122 Abs. 4 oder § 127 GWB], weil [konkreter fehlender
Auftragsbezug, fehlende Gleichwertigkeitsöffnung oder fehlende Bewertbarkeit].

Der Marktausschluss trifft unser Unternehmen konkret: [Nachteil]. Die
ausgeschriebene Sicherheitswirkung kann gleichwertig durch [Kontrolle und
Nachweis] erreicht werden; Beleg [Anlage]. Wir verlangen [präzise Änderung]
und, soweit für eine belastbare Angebotsanpassung erforderlich, eine
angemessene Verlängerung der Angebotsfrist.
```

Erkennbare Unterlagenfehler werden spätestens bis zum Ablauf der Angebots- oder Teilnahmefrist nach § 160 Abs. 3 Satz 1 Nr. 3 GWB gerügt. Versandprotokoll, Unterlagenversion und Marktbeleg sind Anlagen des späteren Nachprüfungsantrags.

## 6. Nachprüfungsbeweise

Für einen Angriff werden gesichert:

1. exakter Wortlaut und Version der Anforderung,
2. Schutzbedarfs- oder Statusbehauptung der Vergabestelle,
3. konkrete Ausschluss- oder Wertungswirkung,
4. eigener gleichwertiger Nachweis,
5. Marktübersicht zu verbleibenden Wettbewerbern,
6. Bieterfrage, Rüge, Antwort und Zugang,
7. Auswirkung auf Angebotsfähigkeit und Zuschlagschance.

EuGH, Urteil vom 04.12.2003, C-448/01, dient als Anker für die erforderliche Überprüfbarkeit von Zuschlagskriterien; BGH, Urteil vom 20.11.2012, X ZR 108/10, für die objektive Auslegung der Vergabeunterlagen aus Sicht eines fachkundigen Bieters. Randnummern und Volltexte werden vor Einreichung verifiziert.

## 7. Output

Der Skill liefert Status- und Quellenblatt, Verhältnismäßigkeitsmatrix, Gleichwertigkeitsmapping, fristwahrende Rüge, Anlagenverzeichnis und eine Zulässigkeits-/Begründetheitsmatrix für den Nachprüfungsantrag. Nicht belegte technische Behauptungen werden als offene Sachverständigenfrage markiert.