Ransomware-Angriffe auf Kommunen, gehackte Krankenhäuser, Datenlecks bei Behörden: Informationssicherheit ist für öffentliche Auftraggeber vom abstrakten Risiko zur täglichen Realität geworden. Die Konsequenz zeigt sich in den Vergabeunterlagen — immer mehr Ausschreibungen verlangen von Bietern belastbare Nachweise: ISO 27001, TISAX, C5 oder BSI IT-Grundschutz. Dieser Leitfaden erklärt, welche IT-Zertifizierungen es gibt, wann sie gefordert werden und wie der Weg zum Zertifikat auch für mittelständische Unternehmen machbar wird.
Warum Informationssicherheit in Ausschreibungen so wichtig geworden ist
Öffentliche Auftraggeber verarbeiten hochsensible Daten — von Sozialdaten über Gesundheitsinformationen bis zu kritischer Infrastruktur. Wer als Dienstleister Zugriff auf diese Systeme erhält, wird Teil der Angriffsfläche. Vergabestellen reagieren darauf mit formalen Anforderungen: Sie verlangen von Bietern den Nachweis, dass Informationssicherheit systematisch gemanagt wird — nicht nur versprochen.
Dazu kommt der regulatorische Druck: Die europäische NIS2-Richtlinie weitet Cybersicherheitspflichten auf deutlich mehr Unternehmen aus, das BSI verschärft Anforderungen an Cloud-Dienste für die Verwaltung, und Datenschutzaufsichtsbehörden prüfen Auftragsverarbeitung strenger denn je. Für Bieter heißt das: Der Nachweis der Informationssicherheit wird vom Wettbewerbsvorteil zur Eintrittsvoraussetzung.
Wer heute in die Zertifizierung investiert, bietet morgen auf Ausschreibungen, von denen Wettbewerber ausgeschlossen sind.
Die wichtigsten IT-Zertifizierungen im Überblick
Nicht jede Zertifizierung passt zu jedem Unternehmen. Die fünf relevantesten Standards für den deutschen Markt:
- ISO 27001: Der internationale Standard für Informationssicherheits-Managementsysteme (ISMS). Der wichtigste und am häufigsten geforderte Nachweis — branchenübergreifend anerkannt, auditiert durch akkreditierte Zertifizierungsstellen.
- BSI IT-Grundschutz: Die deutsche Methodik des Bundesamts für Sicherheit in der Informationstechnik, kompatibel mit ISO 27001. Besonders relevant bei Aufträgen für Bundesbehörden und kritische Infrastrukturen.
- TISAX®: Der Prüfstandard der Automobilindustrie (VDA ISA). Pflicht für fast alle, die mit Herstellern oder Zulieferern arbeiten — auch bei öffentlichen Aufträgen mit Automotive-Bezug relevant.
- C5 (BSI): Der Kriterienkatalog des BSI für Cloud-Dienste. Wer Cloud-Leistungen an die öffentliche Verwaltung verkaufen will, kommt am C5-Testat kaum vorbei.
- SOC 2: Der US-amerikanische Prüfstandard für Dienstleister, die Kundendaten verarbeiten. International verbreitet, in Deutschland vor allem bei SaaS-Anbietern mit internationaler Kundschaft.
Wie IT-Zertifizierungen in Vergabeverfahren eingesetzt werden
In den Vergabeunterlagen tauchen Sicherheitszertifikate in drei typischen Konstellationen auf — analog zur ISO 9001 im Qualitätsmanagement:
- Als Mindestanforderung: „Der Bieter verfügt über eine gültige Zertifizierung nach ISO 27001 oder gleichwertig." Ohne Nachweis erfolgt der Ausschluss.
- Als Eignungskriterium: Der Nachweis fließt in die Eignungsprüfung ein — fehlt er, muss die Eignung anderweitig aufwendig belegt werden.
- Als Zuschlagskriterium: Das Zertifikat bringt Wertungspunkte. Wer es hat, gewinnt Boden gegenüber nicht zertifizierten Wettbewerbern.
Die Formulierung „oder gleichwertig" klingt nach einem Ausweg, ist aber in der Praxis riskant: Die Gleichwertigkeit selbst dokumentierter Sicherheitsmaßnahmen muss den Auftraggeber überzeugen — und der entscheidet allein. Ein akkreditiertes Zertifikat nimmt diese Unsicherheit vollständig aus dem Verfahren.
Der Weg zum Zertifikat: klassisch vs. automatisiert
Der klassische Weg zur ISO 27001 folgt einem bewährten Muster: Gap-Analyse, Aufbau des ISMS mit Richtlinien und Prozessen, Risikoanalyse, interne Audits, dann das Zertifizierungsaudit durch eine akkreditierte Stelle. Aufwand und Dauer hängen stark von der Ausgangslage ab — typisch sind 6 bis 12 Monate und ein erheblicher interner Dokumentationsaufwand.
Inzwischen hat sich ein zweiter Weg etabliert: Compliance-Automatisierung. Spezialisierte Plattformen bilden Richtlinien, Nachweise, Risikomanagement und Lieferantenprüfungen digital ab, verbinden sich direkt mit den bestehenden IT-Systemen und sammeln Audit-Nachweise automatisiert. Der Effekt: Der manuelle Aufwand sinkt drastisch, und das ISMS bleibt nach der Zertifizierung aktuell — statt in einem Ordner zu veralten, der nur vor dem jährlichen Überwachungsaudit geöffnet wird.
Welche Zertifizierung lohnt sich für wen?
Die Entscheidung sollte sich an den Zielaufträgen orientieren — nicht am Standard selbst:
- Wer regelmäßig auf öffentliche IT-Ausschreibungen bietet, fährt mit ISO 27001 am besten — sie ist der universellste und am häufigsten geforderte Nachweis.
- Wer Bundesbehörden und KRITIS-Betreiber adressiert, sollte zusätzlich den BSI IT-Grundschutz im Blick behalten.
- Wer Cloud-Dienste für die Verwaltung anbietet, braucht perspektivisch ein C5-Testat.
- Wer im Automotive-Umfeld arbeitet, benötigt TISAX — unabhängig von öffentlichen Aufträgen.
Wichtig für die Planung: Zertifizierungen brauchen Vorlauf. Wer erst bei der konkreten Ausschreibung feststellt, dass ein Nachweis gefordert ist, kommt zu spät — die Angebotsfrist ist Wochen lang, der Weg zum Zertifikat dauert Monate. Deshalb lohnt es sich, Ausschreibungsanforderungen systematisch zu beobachten und Zertifizierungslücken strategisch zu schließen, bevor der Wunschauftrag erscheint.
Fazit: Sicherheitsnachweise sind planbare Wettbewerbsvorteile
IT-Zertifizierungen sind kein bürokratischer Selbstzweck: Sie öffnen Türen zu Aufträgen, die ohne Nachweis unerreichbar sind — und der Trend zeigt klar nach oben. Die gute Nachricht: Der Weg zum Zertifikat ist heute planbarer und effizienter als je zuvor. Wer die Anforderungen seiner Zielausschreibungen kennt und die Zertifizierung strategisch angeht, verwandelt eine formale Hürde in einen messbaren Wettbewerbsvorteil.