Seit Dezember 2025 gilt das neu gefasste BSI-Gesetz. Für die Vergabepraxis ist sein Anwendungsbereich die entscheidende Größe: Die kommunale Kernverwaltung erfasst es grundsätzlich nicht, Einrichtungen der Bundesverwaltung unterliegen dagegen einem eigenen Regelungsregime. Für deren Vergabeverfahren benennt § 44 Abs. 4 BSIG technische Richtlinien des BSI als Rahmen für Eignungsanforderungen und Spezifikationen.

Newsletter-Anmeldung

Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz hat der Bundesgesetzgeber den Kreis der Einrichtungen, die zu Maßnahmen der IT-Sicherheit verpflichtet sind, erheblich erweitert. Anknüpfungspunkt des Gesetzes ist dabei die Einrichtung: Ob sie erfasst wird, bestimmt sich nach Einrichtungsart, Tätigkeit und Größe. Für Vergabestellen ist deshalb zuerst zu klären, ob sie in den Anwendungsbereich fallen – und erst danach, was das für die Beschaffung bedeutet.

I. Vom EU-Recht zum neuen BSI-Gesetz

Grundlage ist die Richtlinie (EU) 2022/2555, kurz NIS-2-Richtlinie; ihre Umsetzungsfrist lief am 17. Oktober 2024 ab. Deutschland hat sie mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301) umgesetzt, das am 6. Dezember 2025 in Kraft trat. Gebräuchlich ist dafür weiterhin die Kurzform NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz.

Kern der Umsetzung ist eine vollständige Neufassung des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik (BSIG). Es unterscheidet drei Adressatenkreise: besonders wichtige Einrichtungen, wichtige Einrichtungen und Einrichtungen der Bundesverwaltung.

II. Wer als Einrichtung verpflichtet ist

§ 28 BSIG bestimmt den Anwendungsbereich. Besonders wichtige Einrichtungen sind neben Betreibern kritischer Anlagen, qualifizierten Vertrauensdiensteanbietern und größeren Telekommunikationsanbietern nach Absatz 1 Nummer 4:

sonstige natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten und die einer der in Anlage 1 bestimmten Einrichtungsarten zuzuordnen sind

Hinzu treten Größenschwellen: mindestens 250 Beschäftigte oder ein Jahresumsatz über 50 Millionen Euro bei zugleich über 43 Millionen Euro Bilanzsumme. Für wichtige Einrichtungen gilt nach Absatz 2 Nummer 3 dieselbe Konstruktion mit den Anlagen 1 und 2 und abgesenkten Schwellen von 50 Beschäftigten oder jeweils über 10 Millionen Euro.

Entscheidend für die Verwaltungspraxis sind die beiden Merkmale, die diesen Schwellen vorgelagert sind: Erfasst wird, wer entgeltlich Waren oder Dienstleistungen anderen anbietet und wer einer der in den Anlagen aufgeführten Einrichtungsarten zuzuordnen ist. Die Prüfung setzt damit bei der Organisationseinheit an, nicht bei der Beschaffungsfunktion. Eine Stelle kann beschaffen und daneben eine erfasste Tätigkeit ausüben – dann folgt ihre Pflichtigkeit aus dieser Tätigkeit.

Einrichtungen der Bundesverwaltung nimmt § 28 ausdrücklich aus; für sie gilt der eigenständige Pfad des § 29 BSIG.

III. Die kommunale Kernverwaltung

Die kommunale Kernverwaltung fällt grundsätzlich nicht in den Anwendungsbereich des BSIG. So formuliert es auch das Bundesamt für Sicherheit in der Informationstechnik, das zugleich darauf hinweist, dass einzelne Organisationseinheiten innerhalb einer Kommune erfasst sein können.

Der Grund liegt in der Zuständigkeit: Die Gesetzgebungskompetenz für die Cybersicherheit der Verwaltung von Ländern, Landkreisen und Kommunen liegt bei den Ländern. Für die Landesverwaltungen entfalten die Regelungen des BSI-Gesetzes nach Auskunft des Bundesamtes keine unmittelbare normative Wirkung, sondern dienen als Orientierung. Die politische Vorentscheidung fiel im IT-Planungsrat, der Bund und Länder mit Beschluss 2023/39 vom 3. November 2023 bat,

von der Option, den Anwendungsbereich der NIS-2-Richtlinie auf Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene und Bildungseinrichtungen zu erstrecken, keinen Gebrauch zu machen.

Für kommunale Betriebe gilt das nicht pauschal. Das bayerische Landesamt für Sicherheit in der Informationstechnik weist darauf hin, dass eine Prüfung unerlässlich bleibt, ob kommunale Betriebe betroffen sind – insbesondere kritische Infrastrukturen wie die Wasserversorgung oder Klärwerke. Ein Eigenbetrieb oder eine kommunale Gesellschaft, die entgeltlich Leistungen in einem Sektor der Anlagen 1 oder 2 erbringt und die Schwellen überschreitet, ist Einrichtung im Sinne des § 28 BSIG, auch wenn ihre Trägerkommune es nicht ist.

Für kommunale IT-Dienstleister lohnt zusätzlich der Blick in § 28 Abs. 8 BSIG: Einheiten, die im öffentlichen Auftrag Leistungen für Verwaltungen erbringen, fallen aus dem Anwendungsbereich heraus, sofern das Landesrecht sie unter ausdrücklicher Bezugnahme auf diesen Absatz reguliert. Ob ein Land davon Gebrauch gemacht hat, ist im Einzelfall zu prüfen; einen Gesamtüberblick gibt es nicht.

IV. Einrichtungen der Bundesverwaltung

§ 29 BSIG zählt dazu die Bundesbehörden, die öffentlich-rechtlich organisierten IT-Dienstleister des Bundes sowie weitere Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts auf Bundesebene, soweit das BSI dies anordnet. Ausgenommen sind die Institutionen der Sozialen Sicherung und die Deutsche Bundesbank.

Für sie gelten nach § 29 Abs. 2 BSIG die Regelungen für besonders wichtige Einrichtungen, nicht jedoch die §§ 38, 40 Abs. 3, 61 und 65 – die Bußgeldtatbestände des BSIG finden auf Bundesbehörden also keine Anwendung. Weitere Ausnahmen bestehen nach Absatz 3 für die Geschäftsbereiche des Auswärtigen Amts und des Verteidigungsministeriums sowie für die Nachrichtendienste.

Konkretisiert werden die Anforderungen durch § 44 BSIG: Die Mindestanforderungen ergeben sich aus den BSI-Standards, dem IT-Grundschutz-Kompendium und den Mindeststandards des Bundes; mit deren Umsetzung gelten zugleich die Vorgaben des § 30 BSIG als erfüllt.

V. Der vergaberechtliche Anknüpfungspunkt: § 44 Abs. 4 BSIG

Der für Vergabeverfahren der Einrichtungen der Bundesverwaltung zentrale Anknüpfungspunkt ist § 44 Abs. 4 BSIG:

Das Bundesamt stellt im Rahmen seiner Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 10 technische Richtlinien und Referenzarchitekturen bereit, die von den Einrichtungen der Bundesverwaltung als Rahmen für die Entwicklung sachgerechter Anforderungen an Auftragnehmer – im Sinne einer Eignung – und IT-Produkte – im Sinne einer Spezifikation – für die Durchführung von Vergabeverfahren berücksichtigt werden. Die Vorschriften des Vergaberechts und des Geheimschutzes bleiben unberührt.

Die Norm ordnet die beiden vergaberechtlichen Ebenen zu: Anforderungen an den Auftragnehmer sind Eignungskriterien, Anforderungen an das Produkt gehören in die Leistungsbeschreibung. Technische Richtlinien und Referenzarchitekturen des BSI liefern dafür den fachlichen Rahmen.

Drei Begrenzungen sind für die Anwendung wesentlich: Adressat sind ausschließlich Einrichtungen der Bundesverwaltung. Die Richtlinien sind zu „berücksichtigen“, die Auswahl geeigneter Anforderungen bleibt Sache des Auftraggebers. Und Satz 2 stellt das Vergaberecht unberührt – die allgemeinen Anforderungen an Eignungskriterien und Leistungsbeschreibung nach § 122 GWB und § 121 GWB gelten unverändert.

Eine weitergehende Bindung kann sich künftig aus § 30 Abs. 6 BSIG ergeben: Danach dürfen erfasste Einrichtungen bestimmte IKT-Produkte, -Dienste und -Prozesse nur mit europäischer Cybersicherheitszertifizierung verwenden – allerdings erst, wenn eine Rechtsverordnung nach § 56 Abs. 3 BSIG dies bestimmt. Eine solche Verordnung liegt bislang nicht vor.

VI. Wie § 30 BSIG in die Beschaffung hineinwirkt

Über die Pflichten der Einrichtung wirkt das BSIG in die Beschaffung hinein. § 30 Abs. 2 BSIG verlangt von Einrichtungen unter anderem:

4. Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern, 5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen

Wer als erfasste Einrichtung die Sicherheit seiner Lieferkette gewährleisten und Sicherheitsmaßnahmen beim Erwerb informationstechnischer Systeme umsetzen muss, bildet diese Anforderungen regelmäßig schon in Beschaffung und Vertragsgestaltung ab. Das Bundesamt weist darauf hin, dass Sicherheitsanforderungen von Beginn eines Beschaffungsvorgangs an zu berücksichtigen sind.

Welche Anforderungen eine Einrichtung stellt, richtet sich nach Auftragsgegenstand und Risikolage; Maßstab ist die Verhältnismäßigkeit, für die § 30 Abs. 1 Satz 2 BSIG Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Wahrscheinlichkeit und Schwere von Sicherheitsvorfällen nennt. Unternehmen, die für erfasste Einrichtungen tätig werden, begegnen diesen Anforderungen deshalb unabhängig davon, ob sie die Schwellen des § 28 BSIG selbst überschreiten.

VII. Registrierung, Meldung und Sanktionen

Erfasste Einrichtungen müssen sich nach § 33 Abs. 1 BSIG binnen drei Monaten beim BSI registrieren; für die mit Inkrafttreten erfassten Einrichtungen lief die Frist am 6. März 2026 ab. Bis zum 30. Juni 2026 hatten sich 17.729 Unternehmen registriert, davon 11.501 wichtige und 6.215 besonders wichtige Einrichtungen. Auf den Sektor Öffentliche Verwaltung entfallen 331 Registrierungen. Schätzungen aus dem Gesetzgebungsverfahren gingen von rund 29.500 betroffenen Einrichtungen aus; die nächste Fortschreibung der Statistik ist für den 31. Oktober 2026 angekündigt.

§ 32 BSIG staffelt die Meldung erheblicher Sicherheitsvorfälle dreistufig: Erstmeldung binnen 24 Stunden, bestätigende Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat später. Der Bußgeldrahmen des § 65 BSIG reicht bis zu zehn Millionen Euro bei besonders wichtigen und bis zu sieben Millionen Euro bei wichtigen Einrichtungen, bei Umsätzen über 500 Millionen Euro für einen Teil der Tatbestände umsatzbezogen.

Noch nicht abgeschlossen ist das Registrierungsregime für kritische Anlagen: § 33 Abs. 2 BSIG verweist dafür inzwischen auf § 8 des KRITIS-Dachgesetzes, doch greifen die Vorschriften nach der Übergangsregelung des § 66 BSIG erst mit einer Rechtsverordnung, die noch aussteht.

Weiterführende Links