Wer im Rathaus über die nächste IT-Sicherheitsbeschaffung entscheidet, arbeitet seit diesem Frühjahr unter neuen Vorzeichen. Der Bundestag hat im April das Vergabebeschleunigungsgesetz verabschiedet, das digitale Souveränität als optionales Zuschlagskriterium im Vergaberecht verankert. Kurz darauf hat das Bundesamt für Sicherheit in der Informationstechnik einen Kriterienkatalog namens C3A vorgelegt, der die Frage beantwortet, ob eine IT-Lösung tatsächlich selbstbestimmt genutzt werden kann. Gemeint ist damit sehr Konkretes, nämlich wer die Schlüssel zu den Daten hält, wer im Ernstfall auf sie zugreifen kann und ob eine Kommune den Anbieter überhaupt noch wechseln könnte. Bislang war Souveränität eine politische Absichtserklärung. Jetzt lässt sie sich in einer Ausschreibung abfragen und nachweisen.
Der Bund geht dabei voran. Bei der Vergabe der souveränen Verwaltungscloud wog das Kriterium Souveränität schwerer als der Preis, den Zuschlag erhielten SAP und die Deutsche Telekom, der Betriebsstart verschiebt sich nach einer Vergabebeschwerde auf 2027. Auf europäischer Ebene hat die Kommission ein Bewertungsmodell entwickelt, das Souveränität als Punktwert in die Angebotswertung einfließen lässt. Für die Beschaffungspraxis kommt hinzu, dass Stadtwerke, Wasserversorger, Abfallbetriebe und Kliniken in kommunaler Trägerschaft, anders als die Kernverwaltung selbst, regelmäßig unter das NIS2-Umsetzungsgesetz fallen, samt Meldepflichten und persönlicher Verantwortung der Geschäftsführung. Damit sitzen dieselben Ratsmitglieder, die im Hauptausschuss über Verwaltungs-IT beraten, im Aufsichtsrat eines Unternehmens mit deutlich schärferen Pflichten.
Für die Praxis dürfte die neue Rechtslage vor allem mehr Begründungsaufwand bedeuten. Eine Verwaltung darf nicht schlicht deutsche Anbieter bevorzugen, das Vergaberecht deckt eine Bevorzugung nach Herkunft nicht. Zulässig ist es, an überprüfbaren Eigenschaften anzusetzen, etwa am Ort der Datenhaltung, am Zugriffsrecht Dritter oder an der Frage, wie aufwendig ein späterer Wechsel wäre. In der juristischen Fachliteratur zu IT-Vergaben wird darauf hingewiesen, dass solche Entscheidungen die Grenzen des vergaberechtlich Zulässigen wahren müssen und unterlegene Bieter Rechtsschutz suchen können. Für die Kämmerei entsteht potenziell Aufwand an zwei Stellen, im Verfahren selbst und bei möglichen Folgekosten. Eine Abhängigkeit, die sich erst bei der Vertragsverlängerung zeigt, kann im Haushalt später härter durchschlagen als ein Aufschlag bei der Erstbeschaffung. In den laufenden Haushaltsplanberatungen für 2027 könnte eine solche Position damit zu einem Punkt werden, den der Kämmerer nicht nur der Höhe nach, sondern auch in der Kriterienlogik begründen muss.
Entschieden wird der Wettbewerb allerdings selten am Herstellertisch. Kommunen kaufen Sicherheitssoftware fast immer über Systemhäuser, kommunale Rechenzentren oder Dienstleister, die den IT-Betrieb dauerhaft übernehmen. Welche Produkte dort empfohlen werden, bestimmt, was im Rathaus überhaupt zur Auswahl steht. Ein Hinweis darauf, wie sich dieser Markt bewegt, sind die Channel Excellence Awards, für die eine Fachzeitschrift gemeinsam mit einem Marktforschungsunternehmen Systemhäuser und IT-Dienstleister befragt. Der Jenaer Anbieter Enginsight hat es dort erstmals unter die zehn bestbewerteten Security-Hersteller in Deutschland geschafft, als einziger Neueinsteiger in diesem Kreis. Bewertet haben die Anwenderseite, also genau die Häuser, über die kommunale Beschaffung läuft. Enginsight entwickelt und betreibt seine Plattform in Deutschland und führt das als Beratungsvorteil an, das Unternehmen nennt digitale Souveränität, Datenschutz und Compliance zentrale Auswahlkriterien seiner Kunden. Für Kommunen heißt das, dass die Zahl der Anbieter wächst, die einen Souveränitätsnachweis ohne Umweg über außereuropäische Konzernstrukturen führen können.
Im Kern stehen drei Wege zur Verfügung. Eine Kommune kann Souveränität zur harten Mindestanforderung machen und den Bieterkreis von vornherein verengen, was den Wettbewerb und damit den Preisdruck verringert. Sie kann Souveränität als einen von mehreren Wertungspunkten gewichten und die Gewichtung danach bemessen, wie schutzbedürftig die betroffenen Daten sind, etwa im Melderegister oder im Jugendamt. Oder sie vergibt weiter nach Funktion und Preis und nimmt das Risiko einer späteren Abhängigkeit bewusst in Kauf. Der Aufwand für die Kriterien lässt sich teilen, indem Landkreise, kommunale Rechenzentren oder Zweckverbände einen Katalog einmal erarbeiten und mehrfach verwenden. Welchen Weg eine Kommune wählt, entscheidet am Ende weniger die Rechtslage als die eigene Risikobereitschaft, denn das Vergaberecht lässt inzwischen alle drei zu. (DEKOM, 01.09.2026) Mehr Infos hier…
