DEUTSCHLAND / LONDON (IT BOLTWISE) – Seit dem 4. August 2026 müssen öffentliche Auftraggeber IT-Sicherheitskriterien wie Resilienz und die Sicherheit der Lieferkette direkt in ihre Beschaffungsprozesse integrieren. Damit verlagert der Gesetzgeber Sicherheit aus der nachgelagerten Risiko-Prüfung in den Kern der Vergabe. Gleichzeitig läuft in Deutschland eine Registrierungspflicht beim BSI, inklusive Meldepflicht bei Sicherheitsvorfällen innerhalb von 24 Stunden. Der Übergang bringt für Kommunen und Stadtwerke erhebliche Prüf- und Abgrenzungsaufwände mit sich.
Seit dem 4. August 2026 greift in Deutschland eine neue Logik in der öffentlichen Auftragsvergabe: IT-Sicherheit ist nicht mehr nur ein technisches Zusatzkriterium, sondern soll in den Beschaffungsprozess selbst einwandern. Konkret bedeutet das, dass öffentliche Auftraggeber spezifische Sicherheitsanforderungen wie Resilienz und die Sicherheit der Lieferkette unmittelbar bei der Ausschreibung und Auswahl berücksichtigen müssen. Ziel ist dabei weniger ein formales Compliance-Zertifikat, sondern eine höhere Widerstandsfähigkeit der staatlichen Infrastruktur gegenüber Störungen oder Angriffen.
Der regulatorische Rahmen dazu kommt aus dem NIS2-Umsetzungsgesetz (NIS2UmsuCG), das bereits seit dem 6. Dezember 2025 in Kraft ist. Neben der Integration von Sicherheitskriterien in die Beschaffung verlangt das Gesetz eine Registrierungspflicht beim Bundesamt für Sicherheit in der Informationstechnik (BSI). Außerdem müssen Unternehmen Risikomanagement-Maßnahmen implementieren und Sicherheitsvorfälle streng melden: Für Vorfälle gilt eine Meldefrist von 24 Stunden. Für Einkaufsteams und IT-Sicherheitsverantwortliche verschiebt sich damit die Zusammenarbeit: Vergabeunterlagen werden stärker zu einem Kontrollpunkt, an dem technische und organisatorische Sicherheitsnachweise „vormontiert“ werden müssen.
Wie weit der Rollout bereits fortgeschritten ist, zeigt der Stand der BSI-Registrierungen. Nach Angaben des BSI wurden zum Ende einer Nachfrist am 31. Juli 2026 insgesamt 18.845 Unternehmen erfasst. Diese Zahl liegt spürbar unter einer ursprünglichen Schätzung von etwa 29.500 betroffenen Unternehmen. Von den registrierten Einheiten gelten 6.490 als „besonders wichtige“ und 12.355 als „wichtige“ Einrichtungen. Das Bundesministerium des Innern und für Heimat hat angekündigt, die Lücke zwischen erwarteten und tatsächlichen Anmeldungen untersuchen zu lassen; als Prüfinstanz wird zudem das Statistische Bundesamt (Destatis) genannt, das die Schätzung von 29.500 Unternehmen einer Überprüfung unterziehen soll.
Für Unternehmen und speziell für deren Geschäftsführung wird es rechtlich damit deutlich greifbarer. Das BSI bewertet den Registrierungsstand zwar insgesamt als grundsätzlich zufriedenstellend, verweist aber auf den Sanktionsrahmen bei Verstößen. Bei verspäteter Meldung oder Missachtung der Registrierungspflicht können Bußgelder von bis zu 500.000 Euro verhängt werden. Bei kumulierten Verstößen sieht der Gesetzgeber deutlich höhere Konsequenzen vor: bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Hinzu kommt ein weiterer Risikopunkt, der im Tagesgeschäft oft unterschätzt wird: Eine potenzielle persönliche Haftung der Geschäftsführung bei entsprechenden Verstößen erhöht den Druck, interne Zuständigkeiten und Nachweisprozesse sauber zu dokumentieren.
Gerade kommunale und infrastrukturelle Anbieter stehen bei der Umsetzung laut Branchenhinweisen vor praktischen Hürden. Der Verband kommunaler Unternehmen (VKU) hebt insbesondere für Stadtwerke hervor, dass die Prüfung der Betroffenheit oft komplex ist: Es ist nicht immer trivial, welche Organisationseinheiten oder Tochtergesellschaften in den Geltungsbereich fallen und welche Teile eines Konzerns konkret den Pflichten aus dem NIS2-Rahmen unterliegen. Diese Einordnung erfordert einen nicht zu unterschätzenden administrativen Aufwand, weil die Pflichten nicht nur „auf dem Papier“ existieren, sondern in Beschaffungsprozesse, Dokumentationen und Risikoanalysen übersetzt werden müssen.
Technisch und organisatorisch bedeutet die neue Beschaffungslogik außerdem: Sicherheitsanforderungen müssen in der Lieferantenbewertung operationalisiert werden, insbesondere wenn Resilienz und Lieferkettensicherheit Bestandteil der Ausschreibung werden. Unternehmen, die als Zulieferer für den öffentlichen Sektor auftreten, sollten daher frühzeitig damit planen, dass die Einhaltung dieser Resilienz-Standards künftig eine notwendige Voraussetzung für die Teilnahme an Ausschreibungen ist. Das ist weniger eine Frage „zusätzlicher Investitionen“ als eine Frage der Steuerung: Risikoanalysen, Nachweisführung, Incident-Workflows und die Fähigkeit, Anforderungen gegenüber Unterauftragnehmern konsistent umzusetzen, werden zu einem Wettbewerbsvorteil, weil sie den Vergabeprozess beschleunigen und die Wahrscheinlichkeit von Nachforderungen senken.
Für Einkaufsabteilungen entsteht daraus eine klare Konsequenz: Sie müssen eng mit IT-Sicherheit, Recht und Betriebsorganisation zusammenarbeiten, um die NIS2-Vorgaben in standardisierte Vergabebestandteile zu gießen. Für Betreiber kritischer Services ist parallel wichtig, die Registrierung und die 24-Stunden-Meldekette nicht als reine „Regelaufgabe“ zu behandeln, sondern als Teil eines belastbaren Betriebskonzepts. Wer hier zu spät aufsetzt, riskiert nicht nur wirtschaftliche Einbußen durch mögliche Bußgelder, sondern auch Verzögerungen bei Ausschreibungen und Vergaben. In Summe zeigt die Reform: IT-Sicherheit wird zur echten Vergabekategorie – mit messbaren Konsequenzen für Organisation, Prozesse und Verantwortung.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "NIS2-Sicherheit in der Beschaffung: Öffentliche Auftraggeber müssen IT-Kriterien einbauen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "NIS2-Sicherheit in der Beschaffung: Öffentliche Auftraggeber müssen IT-Kriterien einbauen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »NIS2-Sicherheit in der Beschaffung: Öffentliche Auftraggeber müssen IT-Kriterien einbauen« bei Google Deutschland suchen, bei Bing oder Google News!