IT-Sicherheitsausschreibungen: BSI als Türöffner

Letzte Aktualisierung: März 2026 | Lesezeit: ca. 11 Min.

Warum gerade jetzt der beste Zeitpunkt ist, um als spezialisiertes IT-Sicherheitsunternehmen im öffentlichen Sektor durchzustarten

Der öffentliche Sektor in Deutschland gibt jedes Jahr Milliarden für IT-Sicherheit aus -- und der Betrag steigt. Die Bedrohungslage durch Cyberangriffe auf Behörden und öffentliche Infrastruktur nimmt zu. Der Angriff auf die Verwaltung des Landkreises Anhalt-Bitterfeld im Jahr 2021, der den Katastrophenfall auslöste, oder die Angriffe auf Universitätsklinika und Stadtverwaltungen haben gezeigt: IT-Sicherheit in der öffentlichen Verwaltung ist nicht optional. Sie ist überlebenswichtig.

Für spezialisierte IT-Sicherheitsunternehmen mit 50 bis 100 Mitarbeitern eröffnet sich ein wachsender Markt. Doch der Zugang ist nicht trivial. Öffentliche Auftraggeber fordern spezifische Zertifizierungen, Nachweise und Sicherheitsüberprüfungen, die viele Unternehmen abschrecken -- ähnlich wie die allgemeinen Eignungskriterien bei IT-Ausschreibungen, nur deutlich strenger. In diesem Artikel zeigen wir Ihnen, welche Türen Ihnen offenstehen, was Sie dafür brauchen und wie Sie als KMU erfolgreich gegen große Beratungshäuser bestehen können.

Der wachsende Markt für IT-Sicherheit im öffentlichen Sektor

Bevor wir in die Details der Zertifizierungen und Ausschreibungen einsteigen, lohnt ein Blick auf die Marktentwicklung. Mehrere Treiber sorgen dafür, dass der Bedarf an IT-Sicherheitsleistungen im öffentlichen Sektor kontinuierlich wächst:

Das IT-Sicherheitsgesetz 2.0 hat den Kreis der regulierten Unternehmen und Einrichtungen deutlich erweitert. Neben den klassischen KRITIS-Betreibern unterliegen nun auch "Unternehmen im besonderen öffentlichen Interesse" (UBI) erhöhten Sicherheitsanforderungen. Das erzeugt Nachfrage nach Beratung und Umsetzung.

Die NIS-2-Richtlinie der EU, die in deutsches Recht umgesetzt wird, erweitert den Kreis der betroffenen Einrichtungen nochmals erheblich. Schätzungen gehen von 29.000 bis 40.000 betroffenen Unternehmen und Einrichtungen in Deutschland aus -- viele davon im öffentlichen oder halböffentlichen Bereich.

Die Digitalisierung der Verwaltung (OZG, Registermodernisierung) erzeugt neue Angriffsflächen, die abgesichert werden müssen. Jede neue digitale Verwaltungsleistung braucht ein Sicherheitskonzept.

Die zunehmende Cloud-Nutzung in der öffentlichen Verwaltung (Deutsche Verwaltungscloud, Cloud-Strategie des Bundes) erfordert neue Sicherheitskonzepte und -kompetenzen.

Steigende Bedrohungslage. Das BSI berichtet in seinem jährlichen Lagebericht von einer "besorgniserregenden" bis "angespannten" Bedrohungslage. Ransomware-Angriffe auf Kommunen und öffentliche Einrichtungen sind keine Ausnahme mehr, sondern Alltag.

All diese Faktoren zusammen ergeben einen Markt, der jährlich zweistellig wächst. Und der öffentliche Sektor kann diesen Bedarf nicht mit internem Personal decken -- der Fachkräftemangel in der IT-Sicherheit ist im öffentlichen Dienst besonders ausgeprägt. Also wird extern beschafft. Über Ausschreibungen.

Typen von IT-Sicherheitsausschreibungen

IT-Sicherheit ist ein breites Feld. Entsprechend vielfältig sind die Ausschreibungen. Hier die wichtigsten Kategorien:

Penetrationstests und Schwachstellenanalysen

Dies ist einer der häufigsten Ausschreibungstypen. Behörden und öffentliche Einrichtungen lassen ihre IT-Systeme regelmäßig auf Schwachstellen prüfen. Die Ausschreibungen umfassen typischerweise:

• Penetrationstests für Webanwendungen, Netzwerke, mobile Anwendungen
• Schwachstellenscans und -bewertungen
• Red-Team-Assessments
• Social-Engineering-Tests

Die Auftragsvolumina reichen von 20.000 Euro für einen einzelnen Penetrationstest bis zu mehreren Hunderttausend Euro für Rahmenverträge über regelmäßige Tests. Worauf Sie bei der Angebotsabgabe in diesem Segment besonders achten sollten, erfahren Sie in unserem Leitfaden zu Penetrationstests für Behörden.

Beispiel: Der Freistaat Sachsen schreibt Penetrationstests für das i-Kfz-System (Internet-basierte Kfz-Zulassung) aus. Gefordert werden BSI-zertifizierte Penetrationstester, Erfahrung mit Verwaltungssoftware und eine Berufshaftpflichtversicherung mit mindestens 1 Million Euro Deckungssumme.

ISMS-Beratung und -Einführung

Die Einführung und Weiterentwicklung eines Informationssicherheitsmanagementsystems (ISMS) nach BSI-Grundschutz oder ISO 27001 ist eine häufig ausgeschriebene Leistung. Typische Inhalte:

• Bestandsaufnahme und Gap-Analyse
• Erstellung von Sicherheitskonzepten
• Definition von Sicherheitsrichtlinien und -prozessen
• Unterstützung bei der Zertifizierungsvorbereitung
• Schulung von Mitarbeitern

Diese Projekte haben oft eine Laufzeit von einem bis drei Jahren und Volumina von 200.000 bis über 1 Million Euro.

Security Operations Center (SOC) Dienstleistungen

Der Aufbau und Betrieb eines SOC wird zunehmend extern vergeben. Ausschreibungen umfassen:

• 24/7-Überwachung und Incident Detection
• SIEM-Betrieb und -Analyse
• Incident Response und Forensik
• Threat Intelligence
• Vulnerability Management

SOC-Ausschreibungen sind oft großvolumig (1 bis 10 Millionen Euro über die Vertragslaufzeit) und werden häufig als Rahmenverträge oder DPS vergeben.

IT-Sicherheitsaudits und Compliance-Prüfungen

Öffentliche Auftraggeber müssen ihre Einhaltung verschiedener Sicherheitsstandards nachweisen. Dafür werden externe Auditoren beauftragt:

• Audits nach BSI-Grundschutz
• ISO-27001-Zertifizierungsaudits
• Compliance-Prüfungen (DSGVO, BDSG, SGB)
• KRITIS-Nachweisprüfungen nach § 8a BSIG

IT-Notfallmanagement und Business Continuity

• Erstellung und Prüfung von IT-Notfallkonzepten nach BSI-Standard 200-4
• Durchführung von Notfallübungen
• Aufbau von Business-Continuity-Management-Systemen (BCMS)

Sichere Softwareentwicklung und Code Reviews

• Security-by-Design-Beratung für Entwicklungsprojekte
• Sicherheits-Code-Reviews
• Static Application Security Testing (SAST) und Dynamic Application Security Testing (DAST)
• DevSecOps-Beratung

BSI IT-Grundschutz: Was es ist und warum es entscheidend ist

Wenn Sie im öffentlichen Sektor IT-Sicherheitsleistungen anbieten wollen, kommen Sie am BSI IT-Grundschutz nicht vorbei. Es ist der de-facto-Standard für Informationssicherheit in der deutschen öffentlichen Verwaltung.

Was ist BSI IT-Grundschutz?

BSI IT-Grundschutz ist eine vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelte Methodik zur Identifikation und Umsetzung von IT-Sicherheitsmaßnahmen. Es basiert auf vier BSI-Standards:

• BSI-Standard 200-1: Managementsysteme für Informationssicherheit (ISMS)
• BSI-Standard 200-2: IT-Grundschutz-Methodik
• BSI-Standard 200-3: Risikomanagement
• BSI-Standard 200-4: Business Continuity Management

Ergänzt werden diese Standards durch das IT-Grundschutz-Kompendium, das konkrete Bausteine (Sicherheitsanforderungen) für verschiedene IT-Bereiche enthält -- von Serverräumen über Netzwerke bis hin zu Anwendungen und organisatorischen Prozessen.

Wie Sie die BSI-Grundschutz-Zertifizierung erhalten

Die Zertifizierung nach BSI IT-Grundschutz ist ein mehrstufiger Prozess:

Schritt 1: ISMS aufbauen. Implementieren Sie ein Informationssicherheitsmanagementsystem gemäß BSI-Standard 200-1. Benennen Sie einen Informationssicherheitsbeauftragten (ISB), definieren Sie Ihre Sicherheitsleitlinie und -organisation.

Schritt 2: Strukturanalyse und Schutzbedarfsfeststellung. Erfassen Sie Ihre IT-Landschaft, identifizieren Sie die zu schützenden Assets und bewerten Sie deren Schutzbedarf (normal, hoch, sehr hoch).

Schritt 3: Modellierung. Ordnen Sie die Bausteine aus dem IT-Grundschutz-Kompendium Ihren Assets zu. Jeder Baustein enthält konkrete Anforderungen, die Sie umsetzen müssen.

Schritt 4: IT-Grundschutz-Check. Prüfen Sie, welche Anforderungen bereits erfüllt sind und welche noch umgesetzt werden müssen (Soll-Ist-Vergleich).

Schritt 5: Risikoanalyse. Für Assets mit erhöhtem Schutzbedarf führen Sie eine ergänzende Risikoanalyse nach BSI-Standard 200-3 durch.

Schritt 6: Maßnahmen umsetzen. Schließen Sie die identifizierten Lücken.

Schritt 7: Audit. Beauftragen Sie einen vom BSI zertifizierten Auditor mit der Prüfung. Dieser erstellt einen Auditbericht, auf dessen Basis das BSI das Zertifikat erteilt.

Zeitaufwand: Für ein Unternehmen mit 50 bis 100 Mitarbeitern rechnen Sie mit 12 bis 18 Monaten für den gesamten Prozess. Die Kosten liegen, je nach Ausgangslage, zwischen 50.000 und 150.000 Euro (inklusive interner Aufwände und externer Beratung).

Ist es die Investition wert? Eindeutig ja. Die BSI-Grundschutz-Zertifizierung ist in vielen Ausschreibungen der öffentlichen Hand eine Muss-Anforderung. Ohne sie können Sie gar nicht bieten. Mit ihr öffnen sich Türen zu einem Markt, in dem die Nachfrage das Angebot übersteigt.

ISO 27001 auf Basis von BSI IT-Grundschutz vs. native ISO 27001

Hier herrscht oft Verwirrung, daher eine klare Abgrenzung:

ISO 27001 (nativ): Die internationale Norm für Informationssicherheitsmanagementsysteme. Sie definiert die Anforderungen an ein ISMS auf einer relativ abstrakten Ebene. Die Zertifizierung erfolgt durch akkreditierte Zertifizierungsstellen (z.B. TÜV, DEKRA).

ISO 27001 auf Basis von BSI IT-Grundschutz: Hier wird das ISMS nicht nur nach den abstrakten Anforderungen der ISO 27001 geprüft, sondern zusätzlich gegen die konkreten Anforderungen des BSI-Grundschutz-Kompendiums. Die Prüfung ist deutlich umfangreicher und detaillierter. Die Zertifizierung erfolgt durch das BSI selbst.

Der entscheidende Unterschied für Ausschreibungen: Viele öffentliche Auftraggeber in Deutschland fordern explizit "ISO 27001 auf Basis von BSI IT-Grundschutz". Eine native ISO-27001-Zertifizierung reicht dann nicht aus. Das BSI-basierte Zertifikat ist in der deutschen Verwaltung der "Goldstandard" und wird gegenüber der nativen ISO-Zertifizierung bevorzugt.

Unsere Empfehlung: Wenn Sie primär im deutschen öffentlichen Sektor aktiv sind, streben Sie die ISO 27001 auf Basis von BSI IT-Grundschutz an. Sie erhalten damit automatisch auch die Konformität mit der nativen ISO 27001 und sind für den deutschen Markt optimal aufgestellt.

Wenn Ihr Geschäft auch stark internationale Komponenten hat, kann alternativ eine native ISO 27001 plus eine separate BSI-Grundschutz-Testat-Lösung sinnvoll sein. Lassen Sie sich hier von einem erfahrenen Berater begleiten.

Sicherheitsüberprüfungen: SÜ1 und SÜ2

Bei bestimmten Ausschreibungen -- insbesondere im Bereich der Bundesbehörden, des Militärs und der Nachrichtendienste -- reichen Zertifizierungen allein nicht aus. Hier werden persönliche Sicherheitsüberprüfungen der eingesetzten Mitarbeiter gefordert.

Die Stufen der Sicherheitsüberprüfung

Einfache Sicherheitsüberprüfung (SÜ1 / Ü1): Die Grundstufe. Wird gefordert, wenn Mitarbeiter Zugang zu als "VS-NUR FÜR DEN DIENSTGEBRAUCH" eingestuften Informationen erhalten. Die Überprüfung umfasst eine Identitätsprüfung, eine Abfrage beim Verfassungsschutz und eine Überprüfung des polizeilichen Führungszeugnisses. Dauer: in der Regel vier bis acht Wochen.

Erweiterte Sicherheitsüberprüfung (SÜ2 / Ü2): Wird gefordert bei Zugang zu "VS-VERTRAULICH" eingestuften Informationen. Zusätzlich zur SÜ1 werden Referenzpersonen befragt und eine intensivere Überprüfung durchgeführt. Dauer: drei bis sechs Monate.

Erweiterte Sicherheitsüberprüfung mit Sicherheitsermittlungen (SÜ3 / Ü3): Die höchste Stufe. Wird gefordert bei Zugang zu "GEHEIM" und "STRENG GEHEIM" eingestuften Informationen. Umfangreiche Ermittlungen im persönlichen Umfeld. Dauer: sechs bis zwölf Monate und länger.

Wann Sicherheitsüberprüfungen gefordert werden

Im IT-Sicherheitsbereich werden SÜ1 und SÜ2 häufiger gefordert als man denkt. Typische Szenarien:

• Penetrationstests für Systeme, die Verschlusssachen verarbeiten
• IT-Sicherheitsberatung für Bundesbehörden mit erhöhtem Schutzbedarf
• SOC-Dienstleistungen für sicherheitsrelevante Infrastrukturen
• ISMS-Beratung im Verteidigungsbereich

Praktische Implikationen für Ihr Unternehmen

Sicherheitsüberprüfungen betreffen immer einzelne Personen, nicht das Unternehmen als Ganzes. Das bedeutet:

• Sie brauchen Mitarbeiter, die bereit sind, sich überprüfen zu lassen.
• Die Überprüfung muss vor Projektbeginn abgeschlossen sein -- planen Sie die Vorlaufzeit ein.
• Mitarbeiter mit bestehender Sicherheitsüberprüfung sind ein Wettbewerbsvorteil. Wenn Sie bereits Projekte in sicherheitsrelevanten Bereichen durchgeführt haben, haben möglicherweise einige Ihrer Mitarbeiter schon eine Überprüfung.
• Die Überprüfung ist an die Person gebunden und bleibt auch bei einem Arbeitgeberwechsel bestehen. Mitarbeiter mit bestehender SÜ sind auf dem Arbeitsmarkt besonders gefragt.

Strategischer Tipp: Lassen Sie proaktiv einige Ihrer Senior-Berater sicherheitsüberprüfen, auch wenn kein konkretes Projekt ansteht. Eine bestehende SÜ1 oder SÜ2 kann den Unterschied machen, ob Sie auf eine zeitkritische Ausschreibung bieten können oder nicht.

KRITIS: Der Treiber für die Nachfrage

Die Regulierung Kritischer Infrastrukturen (KRITIS) ist einer der größten Treiber für IT-Sicherheitsausschreibungen. Einen vertieften Einblick in dieses Marktsegment bietet unser Artikel zu KRITIS und IT-Sicherheitsausschreibungen. Und viele KRITIS-Betreiber sind öffentlich oder halböffentlich: Stadtwerke, kommunale Krankenhäuser, Wasserversorger, Verkehrsunternehmen.

Was KRITIS-Betreiber nachweisen müssen

KRITIS-Betreiber müssen gemäß § 8a BSIG alle zwei Jahre nachweisen, dass sie angemessene Sicherheitsmaßnahmen getroffen haben. Dieser Nachweis wird durch externe Prüfungen erbracht -- und die Prüfer werden per Ausschreibung beschafft.

Darüber hinaus müssen KRITIS-Betreiber:
- Sicherheitsvorfälle an das BSI melden
- Eine Kontaktstelle für das BSI benennen
- Systeme zur Angriffserkennung (SzA) betreiben

Ausschreibungsvolumina im KRITIS-Bereich

Die KRITIS-Regulierung erzeugt einen kontinuierlichen Bedarf an:
- ISMS-Beratung und -Einführung (100.000 bis 500.000 Euro pro Projekt)
- Nachweisprüfungen nach § 8a BSIG (20.000 bis 100.000 Euro pro Prüfung)
- Penetrationstests und Schwachstellenanalysen (30.000 bis 200.000 Euro)
- SOC-Aufbau und -Betrieb (500.000 bis mehrere Millionen Euro)
- Systeme zur Angriffserkennung (200.000 bis 1 Million Euro)

Und mit NIS-2 werden diese Zahlen deutlich steigen, da der Kreis der betroffenen Einrichtungen sich vervielfacht.

Wie KMU gegen die Großen bestehen können

Jetzt die zentrale Frage: Wie kann ein IT-Sicherheitsunternehmen mit 50 bis 100 Mitarbeitern gegen Accenture, Deloitte, PwC oder die großen deutschen IT-Beratungshäuser bestehen?

Die gute Nachricht: Es geht. Und es gibt strukturelle Vorteile, die kleinere Unternehmen nutzen können.

Vorteil 1: Spezialisierung schlägt Breite

Die großen Beratungshäuser bieten alles an -- von Strategieberatung über SAP-Einführung bis IT-Sicherheit. Ihre IT-Sicherheitsabteilung ist eine von vielen. Ihr Unternehmen hingegen lebt und atmet IT-Sicherheit. Diese Spezialisierung spiegelt sich in Ihren Referenzen, Ihren Mitarbeiterprofilen und Ihrer Methodik wider.

In Ausschreibungen, die konkrete, tiefe Fachexpertise fordern -- etwa Penetrationstests für spezifische Systeme oder ISMS-Beratung nach BSI-Grundschutz -- haben Spezialisten einen natürlichen Vorteil. Ihre Berater sind keine Generalisten, die sich einarbeiten müssen, sondern Experten, die vom ersten Tag an produktiv sind.

Vorteil 2: Personalbeständigkeit

Eines der größten Probleme bei großen Beratungshäusern: Die vorgestellten Senior-Berater werden nach Zuschlag durch Junior-Berater ersetzt. Öffentliche Auftraggeber kennen dieses Problem und bewerten zunehmend die Verbindlichkeit der Personalzusagen.

Als kleineres Unternehmen können Sie personelle Kontinuität glaubhafter zusichern. Wenn Sie drei Senior-Penetrationstester in Ihrer Firma haben und diese namentlich im Angebot benennen, wird der Auftraggeber Ihnen eher glauben als einem Großunternehmen mit 50.000 Mitarbeitern.

Vorteil 3: Preis-Leistungs-Verhältnis

Ihre Gemeinkosten sind niedriger als die der Großen. Sie haben keine zehnstöckige Zentrale in Frankfurt zu finanzieren, kein globales Marketing-Budget und keine drei Management-Ebenen über dem Projektleiter. Diesen Kostenvorteil können Sie in Ihre Preisgestaltung einfließen lassen -- ohne Ihre Qualität zu kompromittieren.

Vorteil 4: Losaufteilung nutzen

Viele größere Ausschreibungen werden in Lose aufgeteilt. Das Vergaberecht fördert dies sogar explizit, um KMU den Zugang zu erleichtern (§ 97 Abs. 4 GWB). Bieten Sie auf die Lose, die zu Ihrem Profil passen, statt zu versuchen, alles abzudecken.

Vorteil 5: Bietergemeinschaften

Für umfangreichere Projekte können Sie Bietergemeinschaften mit komplementären Partnern bilden. Ein klassisches Beispiel: Ihr Unternehmen übernimmt Penetrationstests und technische Sicherheitsaudits, ein Partner die organisatorische ISMS-Beratung und Schulungen. Gemeinsam decken Sie den gesamten Ausschreibungsumfang ab, ohne die Agilität eines Spezialisten zu verlieren.

Vorteil 6: Regionale Präsenz

Viele öffentliche Auftraggeber -- insbesondere Kommunen, Stadtwerke und Landesbehörden -- bevorzugen Anbieter mit regionaler Präsenz. Kurze Wege, persönliche Ansprechpartner, Kenntnis der lokalen Gegebenheiten. Das ist ein Vorteil, den die Hamburger Niederlassung eines globalen Beratungshauses nicht in gleicher Weise bieten kann.

Ihr Aktionsplan für IT-Sicherheitsausschreibungen

Zum Abschluss fassen wir die konkreten Schritte zusammen:

Kurzfristig (nächste 3 Monate):
1. Bestandsaufnahme: Welche Zertifizierungen haben Sie? Welche fehlen?
2. Starten Sie den Prozess für die BSI-Grundschutz-Zertifizierung, falls noch nicht vorhanden.
3. Prüfen Sie, welche Ihrer Mitarbeiter bereits sicherheitsüberprüft sind oder bereit wären, sich überprüfen zu lassen.
4. Erstellen Sie ein Referenzportfolio Ihrer IT-Sicherheitsprojekte.

Mittelfristig (3-12 Monate):
5. Schließen Sie die BSI-Grundschutz-Zertifizierung ab.
6. Lassen Sie drei bis fünf Senior-Berater auf SÜ1 überprüfen.
7. Bewerben Sie sich bei relevanten DPS für IT-Sicherheitsdienstleistungen.
8. Bauen Sie ein Netzwerk potenzieller Bietergemeinschaftspartner auf.

Langfristig (12+ Monate):
9. Erweitern Sie Ihr Leistungsportfolio um angrenzende Bereiche (z.B. von Penetrationstests hin zu SOC-Dienstleistungen).
10. Streben Sie SÜ2 für ausgewählte Mitarbeiter an.
11. Positionieren Sie sich als regionaler Spezialist für bestimmte Auftraggeber.
12. Evaluieren Sie BSI-Zertifizierungen als Penetrationstestdienstleister oder IT-Sicherheitsdienstleister.

Fazit: Der Markt wartet nicht

IT-Sicherheit im öffentlichen Sektor ist kein Nischenmarkt mehr -- es ist ein Wachstumsmarkt mit Milliardenvolumen. Die Kombination aus steigender Bedrohungslage, verschärfter Regulierung (NIS-2, KRITIS, IT-Sicherheitsgesetz 2.0) und fortschreitender Digitalisierung erzeugt einen Bedarf, der das Angebot übersteigt.

Für spezialisierte IT-Sicherheitsunternehmen mit den richtigen Zertifizierungen und der Bereitschaft, sich auf die Besonderheiten des öffentlichen Vergabewesens einzulassen, bieten sich hervorragende Chancen. Die BSI-Grundschutz-Zertifizierung ist dabei Ihr wichtigster Türöffner. Sie signalisiert dem Auftraggeber: Dieses Unternehmen nimmt IT-Sicherheit ernst -- nicht nur bei seinen Kunden, sondern auch bei sich selbst.

Und der erste Schritt auf diesem Weg? Finden Sie die Ausschreibungen, die zu Ihrem Profil passen. Systematisch, vollständig und rechtzeitig. Denn die beste Zertifizierung nützt nichts, wenn Sie die passende Ausschreibung erst sehen, wenn die Abgabefrist verstrichen ist.

Testen Sie Tendit 8 Wochen kostenlos -- und verpassen Sie keine relevante Ausschreibung mehr. usetendit.com