CPV 726 – IT-Sicherheitsdienstleistungen

Was umfasst die CPV-Gruppe 726?

Die CPV-Gruppe 726 umfasst Dienstleistungen zur Überprüfung, Verbesserung und zum laufenden Betrieb der IT-Sicherheit in Organisationen. Im Unterschied zur Beschaffung von Sicherheitssoftwareprodukten (CPV 487) stehen hier menschliche Expertise und dienstleistungsbasierte Leistungen im Vordergrund: Penetrationstests zur Identifikation von Sicherheitslücken, Sicherheitsaudits und -assessments, Beratung zur Einführung und Zertifizierung von Informationssicherheits-Managementsystemen (ISMS) nach ISO 27001 oder BSI-Grundschutz, der Betrieb von Security Operations Centern (SOC) sowie Incident-Response-Dienstleistungen bei Sicherheitsvorfällen.

Für öffentliche Auftraggeber haben IT-Sicherheitsdienstleistungen durch die NIS2-Richtlinie, den BSI-Grundschutz als behördenverbindlichen Standard und die steigende Bedrohungslage durch Ransomware und Cyberangriffe auf staatliche Infrastrukturen erheblich an Bedeutung gewonnen. Die Anforderungen an Dienstleister sind hoch: Oft werden Sicherheitsüberprüfungen des Personals, besondere Zertifizierungen (z. B. OSCP für Pentester, ISO 27001 Lead Auditor) und strenge Vertraulichkeitsvereinbarungen gefordert.

Die vollständige CPV-Struktur ist im offiziellen CPV-Verzeichnis auf SIMAP einsehbar.

Typische Leistungen in CPV 726

• Penetrationstests (Netzwerk, Webanwendungen, Social Engineering)
• Sicherheitsaudits und IT-Sicherheitsassessments
• BSI-Grundschutz-Beratung und -Implementierung
• ISMS-Einführung und Zertifizierung nach ISO 27001
• Security Operations Center (SOC) Betrieb und Managed Detection & Response
• Incident Response und forensische Analyse nach Sicherheitsvorfällen
• Vulnerability Management und Schwachstellenmanagement

Beispiele für Ausschreibungen mit CPV 726

• Penetrationstests für die IT-Infrastruktur einer Bundesbehörde: Externe Durchführung von Black-Box- und Grey-Box-Penetrationstests für Webanwendungen, interne Infrastruktur und Active Directory, inklusive detailliertem Prüfbericht und Nachtest – veröffentlicht auf TED (Tenders Electronic Daily).
• SOC-Betrieb für ein Landesrechenzentrum: Managed Security Service für den 24/7-Betrieb eines Security Operations Centers inklusive SIEM-Betrieb, Threat Intelligence, Alarmierung und Incident-Response-Unterstützung für 15 angeschlossene Behörden – ausgeschrieben.
• BSI-Grundschutz-Beratung für eine Kreisverwaltung: Durchführung einer IS-Strukturanalyse, Schutzbedarfsfeststellung und Erstellung eines IT-Sicherheitskonzepts nach BSI-IT-Grundschutz-Kompendium für die gesamte IT-Infrastruktur des Landkreises – veröffentlicht auf TED.

Für wen ist CPV 726 relevant?

Öffentliche Auftraggeber

Öffentliche Stellen, die IT-Sicherheitsdienstleistungen beschaffen, müssen besonders auf Vertraulichkeit und Sicherheit bei der Auftragsdurchführung achten. Informationen aus Sicherheitsaudits und Penetrationstests sind hochsensibel. Eignungsanforderungen sollten daher neben fachlichen Qualifikationen auch Aspekte wie Zuverlässigkeit, Geheimhaltungsverpflichtungen und ggf. Sicherheitsüberprüfung des eingesetzten Personals umfassen. Vergaberechtliche Grundlagen bietet das BMWK.

Unternehmen und Bieter

IT-Sicherheitsunternehmen und Penetrationstester, die Sicherheitsdienstleistungen für Behörden erbringen, finden unter CPV 726 ein wachsendes Marktsegment. Entscheidend für den Erfolg sind anerkannte Zertifizierungen (OSCP, CISM, CISSP, ISO 27001 Lead Auditor), Erfahrung mit BSI-Grundschutz und öffentlichen IT-Umgebungen sowie ein nachweislich strukturierter Umgang mit sensiblen Sicherheitsinformationen.

Wie hilft Bond bei CPV 726?

Tender Match

Mit tender.match erhalten IT-Sicherheitsunternehmen und Penetrationstester automatisch alle relevanten Ausschreibungen mit CPV 726 direkt in ihr Dashboard. BOND indexiert Ausschreibungen aus über 1.000 Vergabeportalen in der EU – von TED über nationale Plattformen bis hin zu regionalen Vergabestellen. Statt täglich dutzende Portale manuell zu durchsuchen, werden passende IT-Sicherheitsausschreibungen nach Branche, Kompetenz, Region und Unternehmensprofil gefiltert und zugestellt. Eine automatisierte Gap-Analyse zeigt sofort, wo das Unternehmen die Anforderungen erfüllt und wo Lücken bestehen. So verpassen Unternehmen keine Frist mehr und können sich auf die Angebotserstellung konzentrieren.

Company Match

Für Unternehmen, die für Cybersicherheitsprojekte Zulieferer, Unterauftragnehmer oder Konsortialpartner suchen, bietet company.match einen direkten Zugang zu qualifizierten Firmen aus einer EU-weiten Datenbank mit über 28 Mio. Unternehmen. Besonders bei größeren IT-Sicherheitsausschreibungen, die ein einzelnes Unternehmen alleine nicht stemmen kann, identifiziert company.match automatisch passende Partner für Bietergemeinschaften und Teilleistungen – und erhöht so die Chancen auf den Zuschlag.

Häufige Fragen zu CPV 726

Können Penetrationstests im vereinfachten Verfahren vergeben werden? Penetrationstests können bei Unterschreitung der Schwellenwerte nach UVgO vereinfacht vergeben werden. Da der Markt für qualifizierte Penetrationstester spezialisiert ist, kann eine beschränkte Ausschreibung oder Direktvergabe (bei geringen Werten) sinnvoll sein. Bei EU-Schwellenwertüberschreitung ist ein förmliches Verfahren nach VgV erforderlich.

Wie werden Geheimhaltungsanforderungen bei IT-Sicherheitsaufträgen vergaberechtlich umgesetzt? Auftraggeber können Geheimhaltungsvereinbarungen (NDA) als Vertragsbestandteil vorschreiben und im Rahmen der Eignungsprüfung Nachweise zur Informationssicherheit (z. B. ISO 27001) verlangen. Für Leistungen an klassifizierten Systemen sind ggf. Sicherheitsüberprüfungen des Personals nach dem Sicherheitsüberprüfungsgesetz (SÜG) erforderlich. Details regelt die VgV.

Welche Rolle spielt NIS2 bei der Vergabe von IT-Sicherheitsdienstleistungen? Die NIS2-Richtlinie verpflichtet betroffene Einrichtungen – darunter viele öffentliche Stellen – zu angemessenen Cybersicherheitsmaßnahmen. Dies erhöht den Beschaffungsdruck für Sicherheitsdienstleistungen wie ISMS-Einführung, SOC-Betrieb und regelmäßige Sicherheitsaudits. Die vergaberechtliche Grundlage bleibt die VgV; NIS2 schafft den sachlichen Bedarf, nicht das Vergabeverfahren.