Blog
Digitale Souveränität ausschreiben, ohne die eigene Vergabe zu versenken
Nehmen wir einen Entwurf, wie er derzeit leicht entstehen könnte: ein Fachverfahren als Software as a Service (SaaS), mittlerer Auftragswert, normaler Schutzbedarf. Im Anhang ein Souveränitätskatalog mit 43 Fragen, übernommen aus einer Cloud-Ausschreibung der EU-Kommission. Gefragt wird unter anderem nach dem Herstellungsland der Prozessoren.
Der Anbieter eines kommunalen Fachverfahrens weiß das nicht. Er kann es auch nicht wissen.
Seit dem 1. Juli 2026 darf digitale Souveränität ausdrücklich gewertet werden. Das ist gut. Es verleitet aber dazu, alles abzufragen, was irgendwo als Kriterium veröffentlicht wurde. Dieser Beitrag sortiert zweierlei: was es zum Stand 2. November 2026 überhaupt gibt und was davon verbindlich ist. Und wo die Grenze verläuft zwischen einer Abfrage, die etwas bewirkt, und einer, die entweder keine Angebote mehr bringt oder die Wertung verwässert.
1. Was gibt es?
Stellen Sie sich einen Werkzeugkasten vor, in dem Schraubenschlüssel, Bauanleitungen und Prospekte durcheinanderliegen. So sieht das Thema Souveränität derzeit aus. Bevor Sie etwas in Vergabeunterlagen übernehmen, müssen Sie wissen, was gesetzt ist, was Prüfmaßstab ist und was bloße Empfehlung.
Verbindlich: Gesetz und Verordnung
| Regelung | Rechtsqualität | Was sie für Ihre Ausschreibung bedeutet |
|---|---|---|
| § 58 Abs. 2 S. 2 Nr. 4 VgV | Norm, Kann-Vorschrift | „Aspekte der digitalen Souveränität“ sind zulässiges Zuschlagskriterium. Kein Ausschlussinstrument |
| § 128 Abs. 2 S. 3 GWB | Norm, Kann-Vorschrift | Digitale Souveränität und Versorgungssicherheit als Ausführungsbedingung, gilt über die gesamte Laufzeit |
| § 107 Abs. 2 S. 3 Nr. 2 lit. d GWB | Norm, Ausnahme | Bereichsausnahme bei besonders hohem Maß an Vertraulichkeit, Verfügbarkeit oder Integrität. Eng auszulegen, nicht für die gewöhnliche Verwaltungs-IT |
| § 127 Abs. 3 bis 5 GWB | Norm, anzuwenden | Auftragsbezug, Überprüfbarkeit, bekannt gemachte Gewichtung. Hier scheitern meines Erachtens die meisten Souveränitätskataloge |
| § 97 Abs. 2 GWB, § 31 Abs. 6 VgV | Norm, anzuwenden | Gleichbehandlung und Produktneutralität. Jede Anforderung, die nur ein Anbieter erfüllen kann, braucht eine Begründung im Vermerk |
| Data Act, VO (EU) 2023/2854, Art. 23 bis 32 | unmittelbar geltendes EU-Recht, bindet den Anbieter | Wechselrecht, Exportpflichten, Art. 28 Transparenz zur Rechtsordnung, Art. 32 Schutz vor Drittstaatenzugriff. Wechselentgelte ab 12. Januar 2027 verboten |
| DSGVO, § 80 SGB X, § 393 SGB V | Norm, sektorspezifisch zwingend | Bei Sozial- und Gesundheitsdaten harte Vorgaben zu Ort und C5-Nachweis |
| BSIG in der NIS-2-Fassung (§§ 30, 31, 39) | Norm für Einrichtungen und Betreiber kritischer Anlagen | Wer selbst KRITIS-Betreiber ist, muss Sicherheitsanforderungen in die Lieferkette durchreichen |
| BSI-Mindeststandard zur Nutzung externer Cloud-Dienste | für den Bund verbindlich (§ 44 BSIG) | Länder und Kommunen nur, wenn Landesrecht das anordnet. Als Begründung des Schutzbedarfs trotzdem nützlich |
Zwischenfazit: Das Gesetz erlaubt die Souveränitätswertung, es verlangt sie nicht. Und es zieht die Grenze dort, wo nicht mehr die Leistung bewertet wird, sondern der Bieter.
Prüfmaßstäbe mit Nachweisfunktion
| Regelwerk | Rechtsqualität | Einordnung |
|---|---|---|
| BSI C5:2020 und C5:2026 | Kriterienkatalog mit Testat, De-facto-Standard | Taugt als Mindestanforderung für Cloud. Übergangsformel beachten: „C5 Typ 2 nach C5:2020 oder C5:2026“. Wer pauschal C5:2026 verlangt, schließt ab Juni 2027 Anbieter mit regulärem Testat aus |
| ISO/IEC 27001, ISO 27001 auf Basis IT-Grundschutz | Zertifizierung | Eignungsnachweis, kein Souveränitätsnachweis |
| Branchenspezifische Sicherheitsstandards (B3S) und Orientierungshilfe B3S des BSI | Standard für KRITIS-Betreiber, die Orientierungshilfe ist Empfehlung für Autoren | Relevant, falls Sie KRITIS-Betreiber sind. Dann umfasst der Anwendungsbereich auch extern erbrachte Leistungen. Die Orientierungshilfe in Version 1.3 verweist noch auf § 8a BSIG alter Fassung |
Bewertungsraster: Empfehlungen, keine Pflicht
| Raster | Herausgeber, Stand | Rechtsqualität | Brauchbar für |
|---|---|---|---|
| Cloud Sovereignty Framework (CSF) 1.2.1 mit Implementation Guidance und Calculator | EU-Kommission, Okt. 2025, Guidance nach Zuschlag 2026 | Methodik einer Kommissionsausschreibung nach EU-Haushaltsordnung, nicht nach GWB und VgV | Mechanik „Mindeststufe plus Score“, Fragenpool. Nicht eins zu eins übertragbar |
| C3A – Criteria enabling Cloud Computing Autonomy | BSI, 27.04.2026 | Orientierungsrahmen, ausdrücklich nicht verbindlich, setzt C5 voraus, noch kein Prüfverfahren | Gliederung der Unterkriterien: sechs Dimensionen entsprechend SOV-1 bis SOV-6 des CSF |
| 20 Kriterien zur Messung digitaler Souveränität | ZenDiS, Diskussionspapier März 2026, Konsultation | Diskussionsstand | Selbstcheck der eigenen Organisation, Leitfragen zu Exit, Standards, Datenformaten |
| Deutsch-französisches Papier zur digitalen Souveränität | BMDS, Bundeskanzleramt, DGE, 17.06.2026 | politisch, unverbindlich | Begriffsbasis für den Vergabevermerk |
| Policy Paper „Souveräne Cloud“ (GovImpact) | NExT e. V. und DigitalService, Juli 2026 | Empfehlung | Stufenmodell nach Reichweite und Schutzbedarf, Exit-Kosten in der Wirtschaftlichkeit |
Standards und Vertragsmuster
| Regelwerk | Rechtsqualität | Einordnung |
|---|---|---|
| Deutschland-Stack, IT-PLR-Beschluss B-2026/03-IT vom 18.03.2026 | Beschluss mit Zielhorizont 2028, Formulierung „anstreben“ | Sovereign Cloud Stack, ODF, offene Schnittstellen. Gute Quelle für leistungsbezogene Anforderungen, keine Sanktion |
| Deutsche Verwaltungscloud, Rahmenwerk | IT-PLR-Produkt | Bezugsweg prüfen |
| EVB-IT Muster 2026 | BMDS und Bitkom, 20.03.2026 | Open Source, SBOM, OpenCoDE als Optionen. EVB-IT Cloud bleibt Version 1.01, Neufassung angekündigt |
Entwürfe: beobachten, nicht anwenden
| Vorhaben | Stand | Folge |
|---|---|---|
| Cloud and AI Development Act (CADA), COM(2026) 502 | Kommissionsvorschlag 03.06.2026, Berichtsentwurf im EP für Dezember 2026, Abstimmung frühestens Frühjahr 2027 | Pflicht-Mindestlevel für öffentliche Auftraggeber und Kriterien des „Unionsmehrwerts“. Würde das Spielfeld verschieben, gilt aber heute nicht |
| EUCS, Cybersecurity Act 2.0 | nicht verabschiedet | Ein EU-Zertifikat kann heute niemand vorlegen |
Rechtsprechung
Zu § 58 Abs. 2 S. 2 Nr. 4 VgV ist bislang keine Entscheidung veröffentlicht. Orientierung bietet nur eine Entscheidung zum alten Recht: Das OLG Karlsruhe (Beschl. v. 07.09.2022 – 15 Verg 8/22) hat den Ausschluss einer EU-Tochter eines US-Anbieters wegen bloß theoretischer Zugriffsmöglichkeit der Konzernmutter aufgehoben. Der Auftraggeber darf auf vertragliche Zusagen vertrauen.
Schreiben Sie im Vergabevermerk zu jedem verwendeten Raster dessen Rechtsqualität dazu. „Nach BSI C3A“ klingt verbindlich. Ist es allerdings nicht.
2. Was sollten die Ziele sein?
Eine verbreitete Annahme ist, Souveränität bedeute automatisch europäischer Anbieter. Oder Autarkie.
Das ist allerdings Industriepolitik und kein Auftragsbezug. Gegenüber Bietern aus der EU und aus GPA-Staaten ist eine Wertung nach Herkunft oder Eigentum dem Grunde nach ein Gleichbehandlungsproblem. Genau diese Anteile stecken aber im CSF: SOV-1 fragt nach EU-Finanzierung, Investitionen in der EU und Teilnahme an EU-Programmen.
Formulieren Sie Ihre Ziele so, wie Sie sie im Betrieb tatsächlich benötigen. Ein Mieter fragt auch nicht, wer Eigentümer des Hauses ist. Er fragt, ob er einen eigenen Schlüssel hat, ob er ausziehen kann und ob das Wasser läuft, wenn der Hausmeister kündigt.
| Ziel | Leitfrage | Woran Sie es messen |
|---|---|---|
| Wechselfähigkeit | Können wir in zwölf Monaten raus? | Export in offenen Formaten, dokumentierte Schnittstellen, Exit-Konzept mit Kosten |
| Kontrolle über Daten | Wer kann ohne uns an die Daten? | Datenort einschließlich Backup und Support, Schlüsselhoheit, Protokoll der Administratorzugriffe |
| Weiterbetrieb bei Störung | Was passiert, wenn der Hersteller den Stecker zieht? | Fortführungszusage, Betrieb und Support aus der EU, Notfallbetrieb |
| Transparenz der Lieferkette | Wissen wir, wer mitarbeitet? | Liste der Unterauftragnehmer, Anzeige von Wechseln, Software-Stückliste (Software Bill of Materials, kurz SBOM) |
Zwischenfazit: Jedes Ziel muss sich auf eine Leistungseigenschaft zurückführen lassen. Was nur den Bieter als Unternehmen beschreibt, gehört nicht in eine Punktevergabe.
3. Wo ist die Grenze?
Die Grenze hat zwei Seiten. Auf der einen kommen keine Angebote mehr. Auf der anderen kommen Angebote, aber die Wertung trennt nicht mehr zwischen ihnen.
Grenze A: Keine Angebote mehr
Was passiert, wenn Sie Mindestanforderungen formulieren, die heute niemand erfüllt? Antwort: Sie bekommen Rügen, Bieterfragen und im schlechtesten Fall laufen Sie in eine Aufhebung.
| Anforderung | Warum sie den Markt leerräumt |
|---|---|
| „Keine kritischen Nicht-EU-Abhängigkeiten“ (SEAL-4, CADA Level 4) | Die Kommission schreibt in ihrer Implementation Guidance selbst, SEAL-4 sei wegen der Abhängigkeit bei Chips und Hardware derzeit unerreichbar und daher nicht relevant |
| Herkunft von Hardware, Firmware und Prozessoren als Mindestanforderung | Ein Softwarehaus, das auf fremder Infrastruktur betreibt, kann das nicht belegen |
| C3A-Testat oder EUCS-Zertifikat | Es gibt weder ein C3A-Prüfverfahren noch ein verabschiedetes EUCS |
| Pauschal C5:2026 | Ab Juni 2027 Ausschluss regulärer C5:2020-Testate |
| Herausgabe des Quellcodes von Standardsoftware | Für proprietäre Produkte schlicht nicht verhandelbar, bei Individualentwicklung dagegen sinnvoll |
| Betrieb nur durch sicherheitsüberprüftes Personal ohne VS-Bezug | Schmaler Markt |
| Ausschluss von Anbietern mit Drittstaaten-Mutter | Ohne Schutzbedarfsbegründung eine Produktvorgabe durch die Hintertür, OLG Karlsruhe 15 Verg 8/22 |
| Mindest-SEAL über alle acht Ziele | Im CSF bestimmt das schwächste Ziel die Gesamtstufe. Eine einzige schwache Antwort reißt das ganze Angebot unter die Schwelle |
Der letzte Punkt verdient einen zweiten Blick. Im Beispieldatensatz des Kommissions-Calculators – laut Kommission fiktive Werte – erreicht ein Angebot einen Sovereignty Score von rund 68 Prozent und landet trotzdem bei SEAL-1. Grund ist eine einzige Antwort zum Drittstaatenrecht: „EU-Tochter mit vertraglichen Schutzzusagen“. Genau diese Konstellation hat das OLG Karlsruhe als ausreichend angesehen. Das Minimumprinzip ist für eine EU-Behörde mit Cloud-Infrastrukturbedarf vertretbar. Für Ihr Fachverfahren ist es ein schön verpacktes Risiko.
Grenze B: Die Wertung verwässert
Hier liegt der häufigere Fehler, weil er erst bei der Auswertung auffällt.
| Muster | Was passiert |
|---|---|
| Zu viele Unterkriterien | 15 Prozent Souveränität auf acht Ziele und 43 Fragen verteilt ergibt Bruchteile eines Prozentpunkts je Frage. Der Preis entscheidet trotzdem allein |
| Konzeptprosa ohne Vertragsbindung | Sie werten, wer schöner schreibt. Nach Zuschlag ist davon nichts einklagbar, wenn es nicht Vertragsbestandteil wird |
| Doppelwertung | Datenort und Schlüsselhoheit tauchen in der Regel unter Datenschutz und IT-Sicherheit noch einmal auf. Das verzerrt die Gewichtung und lädt zu Fragen ein |
| Kriterien ohne Spreizung | Wenn alle Bieter „EU-Rechenzentrum“ ankreuzen, trennt das Kriterium nichts. Jeder wird es im Kern erfüllen |
| Bieterbezogene Kriterien (Finanzierung, EU-Programme, Arbeitsplätze) | Kein Auftragsbezug |
Noch ein Hinweis zum aktuellen Stand: Die Gewichte im Calculator weichen vom Framework-Dokument 1.2.1 ab. Im Framework trägt die Lieferkette (SOV-5) 20 Prozent, im Calculator nur 10 Prozent. Dafür steigt die strategische Souveränität (SOV-1) von 15 auf 20 Prozent.
Zwischenfazit: Eine Souveränitätswertung ist dann gut, wenn sie mit wenigen Unterkriterien zwischen realen Angeboten unterscheidet.
4. Wie setzt man es um?
Jede Souveränitätsanforderung bekommt genau einen Regelungsort: Mindestanforderung, Zuschlagskriterium oder Ausführungsbedingung. Wer dieselbe Anforderung an zwei Stellen regelt, produziert in der Regel Widersprüche.
Schritt 1: Schutzbedarf vor Kriterien
Bevor Sie ein Kriterium formulieren, stufen Sie die Beschaffung ein, etwa nach Reichweite und Schutzbedarf.
| Stufe | Beispiele | Folge für die Ausschreibung |
|---|---|---|
| Hoch | Sozialdaten, Gesundheitsdaten, KRITIS, VS-NfD, staatliche Kernprozesse | Mindestanforderungen zu Ort, Zugriff und Betrieb. Mindeststufe nach SEAL-Logik für ausgewählte Ziele denkbar |
| Mittel | Arbeitsplatz, Kollaboration, ressortübergreifende Plattformen | Wertung über § 58 Abs. 2 S. 2 Nr. 4 VgV, wenige Mindestanforderungen |
| Niedrig bis mittel | isolierte Fachanwendung, Informationsportal | Exit und Datenexport als Mindestanforderung, Souveränität mit geringem Gewicht oder gar nicht werten |
Schritt 2: Markterkundung
Fragen Sie alle Anbieter dasselbe: gegliedert nach den C3A-Dimensionen, mit Angaben nach Art. 28 Data Act, zum C5-Nachweis und zur Verfügbarkeit mit Datum. Was alle erfüllen, wird Mindestanforderung. Was nur manche erfüllen, wird Wertung. Was niemand erfüllt, fliegt raus.
Schritt 3: Regelungsorte
| Regelungsort | Was hineingehört |
|---|---|
| Leistungsbeschreibung, Mindestanforderungen | Datenort EU oder EWR einschließlich Backup und Fernwartung (bei entsprechendem Schutzbedarf), Datenexport in offenen Formaten, dokumentierte Schnittstellen, C5 Typ 2 mit Übergangsformel (bei Cloud), Offenlegung der Unterauftragnehmer |
| Bewertungsmatrix | drei bis fünf Unterkriterien mit Erwartungshorizont, 10 bis 15 Prozent der Gesamtwertung |
| Vertrag (EVB-IT und Anlage) | Aufrechterhaltung der Zusagen, Mitteilung bei Herausgabeverlangen von Drittstaatsbehörden, Anzeige von Kontrollwechseln mit Sonderkündigungsrecht, Exit-Unterstützung nach Art. 25 Data Act, Sanktionen |
Die Ausführungsbedingung muss in Bekanntmachung oder Vergabeunterlagen angegeben sein. Und sie braucht eine Rechtsfolge, etwa Vertragsstrafe oder außerordentliche Kündigung.
Schritt 4: Was gewertet wird, wird Vertrag
Das ist der Punkt, an dem die meisten Konzepte scheitern. Ein Bieter, der für „Schlüssel beim Auftraggeber“ volle Punkte bekommt, muss das nach Zuschlag auch liefern. Also: Jede bepunktete Zusage wird Vertragspflicht.
5. Beispiel: Empfehlung Stand heute
Szenario: Land oder Kommune beschafft ein Fachverfahren als SaaS, normaler bis erhöhter Schutzbedarf, personenbezogene Daten ohne Sonderkategorie. Wertung 60 Prozent Qualität, 40 Prozent Preis.
Mindestanforderungen (A-Kriterien)
- Speicherung und Verarbeitung der Daten einschließlich Backup in der EU oder im EWR.
- Vollständiger Datenexport in einem dokumentierten, offenen Format, jederzeit und ohne Zusatzentgelt.
- Dokumentierte Schnittstellen zu den Fachverfahren des Auftraggebers.
- Angabe der Rechtsordnung der eingesetzten Infrastruktur und der Schutzmaßnahmen nach Art. 28 Data Act.
- Liste der Unterauftragnehmer mit Sitz und Rolle.
- Bei Cloud-Betrieb: BSI C5 Typ 2 nach C5:2020 oder C5:2026 nach der Übergangsregel des BSI, alternativ eines Unterauftragnehmers für die Infrastruktur.
Zuschlagskriterium „Digitale Souveränität“ (12 von 100)
| Unterkriterium | Gewicht | Nachweis im Angebot |
|---|---|---|
| Schlüsselhoheit: Wer verwaltet die Schlüssel, kann der Anbieter ohne Mitwirkung des Auftraggebers entschlüsseln? | 3 % | Schlüsselkonzept nach Formular |
| Administrativer Zugriff und Support: Ort, Personal, Protokollierung, Einsichtsrecht des Auftraggebers | 3 % | Betriebskonzept, Musterprotokoll |
| Exit: Verfahren, Formate, Dauer, Parallelbetrieb, Kosten | 3 % | Exit-Plan mit Preisangabe |
| Weiterbetrieb bei Ausfall eines Zulieferers oder Lieferstopp aus einem Drittstaat | 3 % | Fortführungskonzept mit Fristen |
Erwartungshorizont am Beispiel Schlüsselhoheit:
| Punkte | Erwartung |
|---|---|
| 0 | Schlüssel ausschließlich beim Anbieter, keine Angabe zum Zugriff |
| 1 | Schlüssel beim Anbieter, Zugriff protokolliert und dem Auftraggeber zugänglich |
| 2 | vom Auftraggeber verwaltete Schlüssel im Dienst des Anbieters (Bring Your Own Key, kurz BYOK) |
| 3 | Schlüssel in einem vom Auftraggeber oder einem Dritten kontrollierten Hardware-Sicherheitsmodul (HSM) außerhalb des Anbieterzugriffs (Hold Your Own Key, kurz HYOK) |
Vertrag
- Jede bepunktete Zusage als Pflicht.
- Mitteilungspflicht bei Herausgabeverlangen von Drittstaatsbehörden, soweit rechtlich zulässig.
- Anzeigepflicht bei Kontrollwechsel des Auftragnehmers oder eines wesentlichen Unterauftragnehmers, Sonderkündigungsrecht.
- Exit-Regeln nach Art. 25 Data Act, Parallelbetrieb als Recht des Auftraggebers.
- Überprüfungsklausel nach § 132 Abs. 2 S. 1 Nr. 1 GWB für den Wechsel auf ein künftiges EU-Zertifikat oder CADA-Level, sofern die Laufzeit über 2028 hinausgeht.
Was Sie heute hinterfragen oder weglassen sollten
- Eigentum, Konzernsitz, Finanzierung, Teilnahme an EU-Programmen als Wertung.
- Herkunft von Hardware und Firmware bei Softwarebeschaffungen.
- SEAL-Mindeststufen über alle acht CSF-Ziele.
- C3A-Testat, EUCS-Zertifikat oder pauschal C5:2026 fordern.
- Nachhaltigkeit (SOV-8) innerhalb der Souveränitätswertung. Das ist ein eigenes Kriterium.
- Den Calculator der Kommission als Bewertungsmatrix ohne Anpassung.
Was bleibt
Souveränität in der Ausschreibung ist Handwerk. Souveränitätskataloge scheitern weniger am Recht als an ihrer Länge.
Die Grenze verläuft dort, wo Sie den Bieter statt der Leistung bewerten, wo Sie verlangen, was der Markt nicht liefern kann, oder wo Sie so viel abfragen, dass am Ende nur noch der Preis entscheidet. Wer Schutzbedarf begründet, den Markt fragt, wenige Unterkriterien wertet und jede Zusage in den Vertrag übernimmt, ist auf der sicheren Seite.
Was bedeutet das für Ihre nächste Vergabe? Fangen Sie mit vier Fragen an: Kommen wir raus? Wer kommt an die Daten? Läuft es weiter, wenn jemand den Stecker zieht? Wer arbeitet mit? Alles Weitere ist Feinschliff.