Public Procurement Act: Die EU macht Cybersicherheit, Resilienz und Herkunft zu Vergabekriterien

Die Europäische Kommission hat am 9. September 2026 den Public Procurement Act vorgelegt, eine Verordnung, die die drei Vergaberichtlinien von 2014 durch ein einziges, unmittelbar geltendes Regelwerk ersetzen soll. Für die IT ist der Entwurf aus einem besonderen Grund relevant: Sicherheit, Lieferkettenresilienz und die Herkunft von Technologie bekommen erstmals ein eigenes Kapitel im allgemeinen Vergaberecht. Was das für öffentliche Auftraggeber und IT-Anbieter bedeutet und was sich schon heute vorbereiten lässt.

Auf einen Blick

Der Vorschlag ist umfangreich. Diese Eckdaten sind für die Einordnung entscheidend:

• Dokument: COM(2026) 590 final, veröffentlicht am 9. September 2026, begleitet von SWD(2026) 590 bis 592
• Rechtsform: Verordnung, unmittelbar geltend und ohne nationale Umsetzung. Sie hebt die Richtlinien 2014/23/EU, 2014/24/EU und 2014/25/EU auf
• Status: Vorschlag im ordentlichen Gesetzgebungsverfahren, noch kein geltendes Recht
• Geltungsbeginn: nach dem Entwurf zwei Jahre nach Inkrafttreten
• Neu für die IT: Kapitel „Security and resilience“ (Artikel 66 bis 69), European Preference (Artikel 70 bis 74), EWR-Pflicht für Vergabeplattformen (Artikel 131)

Ein Regelwerk statt drei Richtlinien

Öffentliche Auftraggeber in der EU vergeben laut Kommission jährlich rund 2,5 Billionen Euro, etwa 15 Prozent des Bruttoinlandsprodukts. Die Evaluierung der Richtlinien von 2014 kam zu einem klaren Ergebnis: Komplexität und fehlende Flexibilität erzeugen erhebliche Rechtsunsicherheit, Zuschläge werden weiterhin überwiegend über den Preis erteilt, und die Regeln zum Marktzugang von Anbietern aus Drittstaaten passen nicht mehr zur heutigen geopolitischen Lage.

Die Antwort darauf ist strukturell. Eine Verordnung ersetzt drei Richtlinien, und es gibt nur noch zwei Hauptverfahren: ein offenes und ein dynamisches Verfahren, jeweils optional mit Verhandlung und optional mit Eignungskriterien. Dazu kommen ein eigenes Innovationsverfahren und eine Ausnahmeschiene für Krisen und Notlagen. Die Schwellenwerte bleiben nah an den heutigen Werten: 5.404.000 Euro für Bauaufträge und Konzessionen, 140.000 Euro für Liefer- und Dienstleistungsaufträge zentraler Beschaffungsstellen, 216.000 Euro für subzentrale Auftraggeber, 432.000 Euro im Sektorenbereich und 750.000 Euro für soziale, Gesundheits- und Bildungsdienstleistungen.

Laut Folgenabschätzung der Kommission sinken die Kosten auf Bieterseite um rund eine Milliarde Euro per Jahr, bei den Auftraggebern um 220 Millionen Euro. Dem stehen wiederkehrende Mehrkosten von 477 beziehungsweise 141 Millionen Euro gegenüber. Je Verfahren entspricht das einer Ersparnis von etwa 4,4 Prozent für Auftraggeber und 8,9 Prozent für Unternehmen. Rund 71 Prozent aller öffentlichen Aufträge gehen nach denselben Zahlen an kleine und mittlere Unternehmen. Der Mittelstand ist also die Gruppe, bei der sich Vereinfachung am stärksten auswirkt.

Sicherheit und Resilienz bekommen ein eigenes Kapitel

Der sichtbarste Bruch mit dem geltenden Recht steht in Teil III, Titel II, Kapitel 4. Artikel 66 verpflichtet öffentliche Auftraggeber, in jeder Phase eines Verfahrens angemessene Maßnahmen zum Schutz der Sicherheitsinteressen der Union oder eines Mitgliedstaats zu treffen, sofern das Verfahren ein entsprechendes Risiko aufweist. Das reicht von der Planung über die Marktkonsultation bis zur Vertragsdurchführung. Die Vorschrift gilt ausdrücklich außerhalb des Verteidigungs- und Sicherheitsbereichs, der weiterhin der Richtlinie 2009/81/EG unterliegt.

Der Entwurf benennt auch, woraus solche Risiken entstehen können. Beim Auftragsgegenstand nennt Artikel 66 Abs. 3 unter anderem die Sensibilität der betroffenen Daten, kritische Abhängigkeiten von wenigen Drittstaatslieferanten, den Zugang zu kritischer Infrastruktur oder IT-Systemen und den Dual-Use-Charakter der beschafften Technologie. Bei den Bietern nennt er vier Merkmale, die in der IT-Beschaffung bislang selten systematisch abgefragt wurden:

• Eigentums-, Kontroll- oder Finanzierungsstrukturen, die das Risiko unzulässiger Einflussnahme bergen
• die Sicherheitshistorie, einschließlich früherer Vorfälle, Verstöße gegen Sicherheitsstandards oder Ausschlüsse aus anderen Vergabeverfahren aus Sicherheitsgründen
• die Fähigkeit, Anforderungen an Sicherheitsüberprüfung, Personalscreening und Informationssicherheit zu erfüllen
• die Exposition gegenüber Drittstaatsrecht, das zur Offenlegung sensibler Informationen zwingen oder die Vertragserfüllung stören kann

Umsetzen können Auftraggeber diese Anforderungen über Leistungsbeschreibungen, Eignungs- und Zuschlagskriterien sowie Vertragsbedingungen, etwa Sicherheitsaudits, Meldepflichten bei Eigentümerwechsel oder Vorgaben zur Untervergabe. Zusätzlich erhält die Kommission die Befugnis, für bestimmte Waren-, Dienstleistungs- und Baukategorien per delegiertem Rechtsakt verbindliche Spezifikationen oder Kriterien festzulegen, wenn ein konkretes Sicherheitsinteresse der Union betroffen ist.

Der Cyber Resilience Act wandert in die Beschaffung

Artikel 68 verknüpft das Vergaberecht direkt mit der Produktregulierung. Fallen Produkte mit digitalen Elementen unter die Verordnung (EU) 2024/2847, den Cyber Resilience Act, müssen die Mitgliedstaaten sicherstellen, dass die grundlegenden Cybersicherheitsanforderungen aus deren Anhang I im Beschaffungsprozess berücksichtigt werden. Ausdrücklich eingeschlossen ist die Fähigkeit der Hersteller, Schwachstellen wirksam zu behandeln.

Rechtstechnisch ist das eine Verschiebung. Nach Artikel 147 Nr. 11 des Entwurfs wird Artikel 5 des Cyber Resilience Act gestrichen, Verweise darauf gelten künftig als Verweise auf Artikel 68. Der Inhalt bleibt, der Ort ändert sich: Beschaffungsregeln stehen künftig im Beschaffungsrecht. Für Anbieter heißt das in der Praxis, dass die CE-Konformität nach CRA im Vergabeverfahren nachgefragt und bewertet wird. Die Schwachstellenbehandlung wird vom internen Prozess zum ausschreibungsrelevanten Nachweis.

Darüber hinaus erlaubt Artikel 68 den Mitgliedstaaten, für bestimmte Zwecke zusätzliche Cybersicherheitsanforderungen an Produkte mit digitalen Elementen zu stellen. Auftraggeber dürfen eigene Cybersicherheitsanforderungen in Spezifikationen, Eignungs- und Zuschlagskriterien oder Ausführungsbedingungen aufnehmen, jeweils mit Bezug zum Auftragsgegenstand und unter Wahrung von Transparenz, Diskriminierungsfreiheit und Verhältnismäßigkeit. Der Verweis auf die NIS-2-Richtlinie steht im Normtext.

Hochrisiko-Lieferanten: Ausschluss auch während der Vertragslaufzeit

Die schärfste Einzelregelung steht in Artikel 66 Abs. 5. Danach sollen Auftraggeber einen Wirtschaftsteilnehmer zu jedem Zeitpunkt des Verfahrens ausschließen, wenn er nach dem künftigen Cybersecurity Act 2 als Hochrisiko-Lieferant für IKT-Komponenten eingestuft wurde, die in als „key ICT assets“ identifizierten Systemen zum Einsatz kommen sollen. Die Kommission hat den Cybersecurity Act 2 am 20. Januar 2026 vorgeschlagen, er befindet sich noch in einem frühen Stadium des Gesetzgebungsverfahrens. Er soll einen EU-Rahmen für nicht-technische Risiken in IKT-Lieferketten schaffen.

Der Public Procurement Act baut damit eine Brücke zu einem Rechtsakt, der selbst noch verhandelt wird. Ob und in welcher Form die Verweisung im finalen Text bestehen bleibt, ist eine der offenen Fragen des Verfahrens. Die Richtung ist trotzdem erkennbar.

Artikel 67 regelt, was während der Vertragslaufzeit passiert. Auftraggeber können einen Vertrag ganz oder teilweise kündigen oder einen Wirtschaftsteilnehmer ausschließen, wenn Sicherheitsauflagen verletzt wurden oder sich ein Sicherheitsrisiko verwirklicht hat oder wahrscheinlich verwirklichen wird. Vorgeschaltet ist eine schriftliche Bewertung, die die Schwere des Risikos, die Auswirkungen auf die Leistungserbringung und mildere Mittel wie Vertragsanpassung oder verstärktes Monitoring abwägt. Der Auftragnehmer erhält in der Regel mindestens zehn Kalendertage für eine Stellungnahme und Abhilfevorschläge. Bis die Kündigung wirksam wird, muss er bei der Sicherung oder Übergabe von Daten, Dokumenten und Assets mitwirken.

Für IT-Verträge wird Exit- und Übergabefähigkeit damit zu einem regulatorisch unterlegten Thema. Wer schon heute dokumentierte Übergabeprozesse, saubere Datenexportwege und ein belastbares Verzeichnis eingesetzter Komponenten vorhält, erfüllt diese Anforderung ohne Zusatzaufwand.

Versorgungssicherheit für kritische Einrichtungen wird vertragsfähig

Artikel 69 richtet sich an Auftraggeber, die nach Artikel 6 der CER-Richtlinie (EU) 2022/2557 als kritische Einrichtung eingestuft sind. In Deutschland betrifft das unter anderem Kliniken, Energie- und Wasserversorger sowie Verkehrsbetriebe. Sie sollen, soweit einschlägig, Anforderungen an Versorgungssicherheit, an wirtschaftliche, physische und geopolitische Resilienz sowie an Transparenz und Nachhaltigkeit der Lieferketten in die Vergabeunterlagen aufnehmen. Grundlage ist die Risikobewertung nach Artikel 12 derselben Richtlinie.

Der Entwurf nennt dafür einen Katalog konkreter Vertragsinhalte, der sich weitgehend mit dem deckt, was in guten IT-Rahmenverträgen ohnehin verhandelt wird:

• Diversifizierung der Lieferkette, Mehrquellenstrategie, geografische Streuung der Produktion, Begrenzung der Abhängigkeit von einem einzelnen Drittstaat oder Anbieter
• Nachweise, dass Organisation und Standorte der Lieferkette die vertraglichen Versorgungsanforderungen tragen, samt Zusicherung für spätere Änderungen
• Bevorratung innerhalb der Union, Business-Continuity- und Disaster-Recovery-Pläne
• Zusagen, im Fall eigener Lieferunfähigkeit die Mittel für die Weiterproduktion bereitzustellen, ausdrücklich genannt sind Ersatzteile, Komponenten, Baugruppen, Software-Updates und Testequipment
• Krisenvorsorge und Hochlauffähigkeit, Schulung von Management und Schlüsselpersonal, Meldepflichten bei Vorfällen
• Offenlegung möglicher Doppelbuchungen von Kapazitäten gegenüber allen betroffenen Auftraggebern

Der Punkt zu Software-Updates und Weiterproduktion ist für die Softwarebeschaffung bemerkenswert. Er beschreibt im Kern das, was heute in Verträgen als Source-Code-Escrow oder Fortführungszusage geregelt wird. Für Konzessionen gilt Vergleichbares: Der Entwurf verlangt dort Regelungen zu Sicherheit, Resilienz und Kontinuität der Leistung über die gesamte Laufzeit, einschließlich Cybersicherheitsvorkehrungen.

European Preference: Herkunft wird zum kalkulierbaren Kriterium

Kapitel 5 kodifiziert, was der EuGH in den Entscheidungen Kolin (C-652/22) und Qingdao (C-266/22) angelegt hat. Wirtschaftsteilnehmer, Waren, Dienstleistungen und Bauleistungen aus Drittstaaten ohne einschlägige Abkommensbindung können sich nicht auf die Gleichbehandlungsgrundsätze des EU-Vergaberechts berufen. Der Entwurf führt dafür die Begriffe des „gedeckten“ Wirtschaftsteilnehmers und der „gedeckten“ Leistung ein, bestimmt nach dem WTO-Beschaffungsübereinkommen und den bilateralen Handelsabkommen der Union.

Welche Länder für ein konkretes Verfahren gedeckt sind, müssen Auftraggeber künftig nicht mehr selbst recherchieren. Die Kommission stellt nach Artikel 71 ein kostenfreies Online-Werkzeug bereit, das die Verpflichtungen der Union abbildet und Parameter wie Auftraggeber, Auftragsgegenstand und geschätzten Wert berücksichtigt. Der Entwurf verweist dafür auf das Portal Access2Markets.

Artikel 73 gibt den Auftraggebern ein abgestuftes Instrumentarium an die Hand. Sie können die Teilnahme auf Wirtschaftsteilnehmer aus der Union und aus gedeckten Ländern beschränken. Sie können einen Mindestanteil an Unions- oder gedeckter Herkunft verlangen, vollständig, anteilig oder für einzelne Komponenten. Sie können in der Wertung einen prozentualen Preisabschlag oder Zusatzpunkte vergeben. Und sie können Angebote zurückweisen, bei denen der Wert aus Union und gedeckten Ländern unter 50 Prozent des geschätzten Angebotswerts liegt. Alle diese Maßnahmen müssen vorab in der Bekanntmachung angekündigt und beziffert werden.

Für die IT-Beschaffung ist der Komponentenbezug der entscheidende Punkt. Herkunft lässt sich bei Hardware und Softwarebestandteilen nur belegen, wenn die Lieferkette bis auf Komponentenebene bekannt ist. Eine gepflegte Software Bill of Materials und ein aktuelles Lieferantenverzeichnis werden damit von der Sicherheits- zur Angebotsvoraussetzung.

Vergabeplattformen müssen im EWR beheimatet sein

Ein Detail in Teil V dürfte den Markt für Beschaffungssoftware spürbar bewegen. Erwägungsgrund 55 stuft eProcurement-Plattformen ausdrücklich als kritische Infrastruktur ein und benennt die Risiken, wenn sich Vergabedaten bei Plattformen unter Drittstaatskontrolle konzentrieren: unbefugter Zugriff auf sensible Vergabedaten, Beeinträchtigung von Integrität und Verfügbarkeit, Cyberangriffe und Spionage sowie die Auswertung von Beschaffungsinformationen zu strategischen Zwecken.

Artikel 131 zieht daraus konkrete Konsequenzen. Anbieter von eProcurement-Diensten müssen im Europäischen Wirtschaftsraum niedergelassen sein und von dort ansässigen natürlichen oder juristischen Personen gehalten und kontrolliert werden. Keine in einem Drittstaat ansässige Person darf unmittelbar oder mittelbar bestimmenden Einfluss ausüben. Sämtliche Daten aus Vergabeverfahren sind im EWR zu speichern. Die Mitgliedstaaten benennen zuständige Behörden für die Überprüfung und sehen Sanktionen vor, bis hin zum befristeten Verbot der Diensterbringung. Parallel baut die Kommission nach Artikel 132 eine eigene eProcurement-Plattform auf, die als Open-Source-Software bereitgestellt werden soll. Mitgliedstaaten können ihre Auftraggeber zu deren Nutzung verpflichten.

Wer Beschaffungsprozesse über Plattformen abwickelt, sollte Eigentümerstruktur, Kontrollverhältnisse und Speicherorte seines Anbieters kennen. Die Frage „Wo liegen die Daten und wer kontrolliert den Betreiber?“ wird im Entwurf von einer Governance-Frage zu einer Zulassungsvoraussetzung.

Digitales Ökosystem: Once-Only, elektronische Eignungsprüfung, Datenräume

Den größten Anteil an den erwarteten Einsparungen hat laut Folgenabschätzung nicht die Verfahrensvereinfachung, sondern die Digitalisierung. Der Entwurf verbindet nationale eProcurement-Systeme über ein Interoperabilitätsnetz, harmonisierte semantische Standards und gemeinsame Spezifikationen. Kernstück ist ein elektronischer Eignungsdienst auf Basis eines digitalen Unternehmensnachweises, der das Once-Only-Prinzip umsetzt. Nachweise werden strukturiert aus nationalen und Unionsdatenbanken abgerufen, statt in jedem Verfahren erneut beigebracht zu werden. Die Plattformen sollen dabei die künftigen European Business Wallets unterstützen.

Daneben entstehen nationale Vergabedatenräume und ein Datenraum auf Unionsebene, in dem Verfahrens- und Vertragsdaten über den gesamten Lebenszyklus zusammenlaufen. Als Zweck nennt die Kommission ausdrücklich die Aufdeckung von Betrug, Absprachen und Interessenkonflikten, als Werkzeug verweist der Entwurf auf das Risikoanalyseinstrument Arachne+. Wo Eignungsprüfungen auf personenbezogenen Daten beruhen, sollen nach Erwägungsgrund 15 Zugriffsbeschränkungen greifen. Betroffene sollen das Ergebnis vor der Weitergabe an den Auftraggeber einsehen können.

Für IT-Organisationen im öffentlichen Sektor ist das ein Integrationsprojekt mit mehrjährigem Vorlauf. Schnittstellen zu Fachverfahren, die Datenqualität in den Bestandssystemen und ein belastbares Stammdatenmanagement entscheiden darüber, ob die versprochene Entlastung ankommt.

Bestes Preis-Leistungs-Verhältnis statt niedrigster Preis

Zuschläge sollen künftig im Regelfall nach dem besten Preis-Leistungs-Verhältnis erteilt werden. Der Entwurf sieht dafür eine Mindestgewichtung von 30 Prozent für Qualitätskriterien vor, bei arbeitsintensiven Aufträgen 50 Prozent, wobei dort soziale Aspekte einen wesentlichen Teil ausmachen sollen. Abweichen ist möglich, wenn die Qualität bereits über Spezifikationen oder Ausführungsbedingungen gesichert ist. Die Kommission beschreibt diesen Mechanismus in der Folgenabschätzung als „comply or explain“. Als zulässige Qualitätskriterien nennt Erwägungsgrund 42 ausdrücklich auch Sicherheits- und Resilienzaspekte sowie Lebenszykluskosten.

Damit werden Eigenschaften bewertbar, die bei reinen Preiszuschlägen bislang schwer unterzubringen waren: Patch-Geschwindigkeit, Supportzeiträume, Incident-Response-Fähigkeit, Architektur ohne Anbieterbindung. Begleitend verlangt the Entwurf Verfahrenssicherungen bei der Bewertung, etwa die Trennung von Preis- und Qualitätsprüfung und das Vier-Augen-Prinzip.

Das neue Innovationsverfahren schafft zusätzlich eine Schiene für Lösungen, die es noch nicht gibt. Auftraggeber beschreiben eine gesellschaftliche Herausforderung statt einer fertigen Spezifikation, lassen Vorschläge testen und validieren und können die entstandene Lösung anschließend direkt beim selben Anbieter beschaffen. Die Rechte am dabei entstehenden geistigen Eigentum verbleiben nach Artikel 64 grundsätzlich beim Wirtschaftsteilnehmer, sofern keine überwiegenden Gründe des öffentlichen Interesses entgegenstehen. Genannt werden die Vermeidung technologischer Lock-ins und der Schutz kritischer Infrastruktur. Für KI-Projekte im öffentlichen Sektor, bei denen Modelle, Trainingsdaten und Werkzeuge selten sauber trennbar sind, ist diese Klarstellung praktisch bedeutsam.

Zeitplan, Wechselwirkungen und offene Punkte

Der Public Procurement Act ist ein Vorschlag. Er durchläuft das ordentliche Gesetzgebungsverfahren in Parlament und Rat, und die Erfahrung mit Vorhaben dieser Größe spricht für eine mehrjährige Verhandlung. Nach dem Entwurf soll die Verordnung zudem erst zwei Jahre nach Inkrafttreten gelten, damit die Mitgliedstaaten das digitale Ökosystem und die Datenräume aufbauen können.

In Deutschland trifft der Vorschlag auf eine gerade erst reformierte Rechtslage. Das Vergabebeschleunigungsgesetz ist laut mehreren Fachpublikationen zum 1. Juli 2026 in Kraft getreten. Es hat unter anderem die Direktauftragsgrenze des Bundes auf 50.000 Euro angehoben und Nachweispflichten vereinfacht. Eine unmittelbar geltende EU-Verordnung würde die nationalen Umsetzungsspielräume oberhalb der Schwellenwerte deutlich verengen.

Parallel laufen weitere Vorhaben mit Beschaffungsbezug, die der Entwurf selbst benennt: der Cybersecurity Act 2, ein Cloud and AI Development Act, ein Industrial Accelerator Act und ein Chips Act 2.0. Die Kommission weist in der Begründung darauf hin, dass die Kohärenzwirkung des Public Procurement Act nur eintritt, wenn sich diese Initiativen am horizontalen Rahmen ausrichten, besonders bei den Herkunftsregeln. Wie die Vorhaben zueinander finden, ist derzeit offen.

Was sich jetzt schon vorbereiten lässt

Auch wenn der Text noch verhandelt wird, ist die Richtung deutlich. Die meisten Vorarbeiten zahlen unabhängig vom Verfahrensausgang auf bestehende Pflichten aus NIS-2, CRA und CER ein.

Für öffentliche Auftraggeber

• Bestandsaufnahme, welche IT-Beschaffungen Sicherheitsrelevanz im Sinne von Artikel 66 hätten und welche Kriterien dafür heute schon in den Vergabeunterlagen stehen
• Prüfen, ob die eingesetzte Vergabeplattform die Anforderungen an Niederlassung, Kontrolle und Datenhaltung im EWR erfüllen würde
• Bei Einstufung als kritische Einrichtung: Risikobewertung nach CER-Richtlinie und Vertragsklauseln zur Versorgungssicherheit zusammenführen
• Qualitätskriterien für IT-Vergaben definieren, die über Preis und Referenzen hinausgehen: Patch- und Supportzusagen, Incident Response, Exit-Fähigkeit

Für Anbieter und Bieter

• CRA-Konformität und Schwachstellenmanagement so dokumentieren, dass die Nachweise in Vergabeverfahren direkt verwendbar sind
• Software Bill of Materials und Lieferantenverzeichnis auf Komponentenebene pflegen, als Grundlage für Herkunftsnachweise und für die Risikobewertung nach Artikel 66
• Eigene Eigentums- und Kontrollstrukturen sowie die der wesentlichen Unterauftragnehmer sauber darstellen können
• Versorgungssicherheit belegbar machen: Mehrquellenstrategie, Bevorratung, BCM- und Wiederanlaufpläne, Fortführungszusagen für Updates und Ersatzteile
• Übergabe- und Exit-Prozesse dokumentieren, damit Artikel 67 im Ernstfall keine improvisierte Übung wird

Fazit

Der Public Procurement Act verschiebt die Perspektive auf öffentliche IT-Beschaffung. Die Frage ist nicht mehr nur, was eine Lösung kostet, sondern wer sie liefert, woher ihre Bestandteile stammen und wie belastbar sie im Störungsfall ist. Diese Fragen lassen sich schrittweise beantworten, und den meisten Organisationen stehen sie ohnehin ins Haus.

Unterstützung durch enthus

enthus unterstützt öffentliche Auftraggeber und IT-Anbieter dabei, Sicherheits-, Resilienz- und Herkunftsanforderungen in Beschaffung und Verträgen umzusetzen. Dazu gehören die Bestandsaufnahme sicherheitsrelevanter IT-Beschaffungen, belastbare Nachweise zu Lieferkette und Schwachstellenmanagement sowie Konzepte für Business Continuity, Exit-Fähigkeit und souveräne Plattformen.

Sprechen Sie uns an, wir prüfen mit Ihnen, wo Ihre IT-Beschaffung und Ihre Nachweise heute gegenüber dem Public Procurement Act stehen.

Jetzt Kontakt aufnehmen →

← Alle Beiträge