BSI-Mindeststandard als Vertragsgrundlage: Was nun?

Mindeststandards des BSI sind kein neues Instrument. Das Bundesamt legt damit fest, welches Sicherheitsniveau die Bundesverwaltung in bestimmten Themenfeldern mindestens einhalten muss – etwa bei der Nutzung externer Cloud-Dienste, bei Protokollierung und Detektion, bei Web-Browsern, bei Transport Layer Security, beim Mobile Device Management oder bei Videokonferenzdiensten. Verbindlich sind sie für Bundesbehörden und die öffentlichen IT-Dienstleister des Bundes. Mit dem NIS-2-Umsetzungsgesetz, das am 6. Dezember 2025 in Kraft getreten ist, wurde das BSI-Gesetz neu gefasst; die Rechtsgrundlage findet sich seither in § 44 Abs. 1 Satz 1 BSIG.

Neu ist etwas anderes: Diese Standards wandern in die Beschaffung. Sie erscheinen in Leistungsbeschreibungen, in EVB-IT-Verträgen, in Rahmenvereinbarungen und in Zuwendungsbescheiden. Damit verlassen sie den verwaltungsinternen Raum. Aus einer Vorgabe an die Behörde wird eine vertragliche Leistungspflicht des Auftragnehmers – samt Nachweispflichten, Prüfrechten und, im Zweifel, Kündigungs- und Haftungsfolgen.

Betroffen sind längst nicht mehr nur klassische IT-Dienstleister. Wer Fachanwendungen betreibt, Planungsdaten hostet, Managed Services erbringt, Gebäudeleittechnik anbindet oder Projektplattformen für öffentliche Auftraggeber bereitstellt, findet die Klausel heute regelmäßig in seinen Unterlagen.

Mindeststandards sind für den Betrieb einer Behörde geschrieben, nicht für ein Vertragsverhältnis zwischen zwei Parteien. Sie beschreiben Rollen, Prozesse und Entscheidungen, die sich nicht eins zu eins auf einen Werk- oder Dienstvertrag abbilden lassen. Ein Teil der Anforderungen richtet sich systematisch an den Auftraggeber – etwa die Festlegung des Schutzbedarfs oder die Entscheidung über den Einsatz eines Dienstes.

Wer trotzdem pauschal die „Einhaltung der einschlägigen Mindeststandards des BSI" zusichert, übernimmt damit auch Pflichten, die er weder steuern noch erfüllen kann.

Die Fallstricke ähneln sich in nahezu allen Verfahren:

• Pauschalzusage ohne Abgrenzung, wer welche Anforderung verantwortet

• dynamische Verweise „in der jeweils geltenden Fassung" ohne Regelung für Versionswechsel

• keine vereinbarte Nachweisform – Erfüllung ist behauptet, aber nicht belegbar

• Vermischung mit ISO 27001 oder BSI-Grundschutz, ohne die Unterschiede zu benennen

• Anforderungen werden nicht an Nachunternehmer und Subdienstleister durchgereicht

• Fristen, die den tatsächlichen Umsetzungsaufwand ignorieren

Das Ergebnis ist selten ein Sicherheitsvorfall. Es ist ein Streit über Zuständigkeiten – meist genau dann, wenn ein Audit ansteht oder ein Vorfall aufzuarbeiten ist.

Der konstruktive Weg besteht nicht darin, die Klausel zu verhandeln, bis sie inhaltsleer ist. Er besteht darin, sie zu übersetzen: von einer allgemeinen Verweisung in eine konkrete, nachvollziehbare Aufgabenverteilung.

Praktisch bedeutet das, jede einzelne Anforderung des relevanten Mindeststandards einer Verantwortung zuzuordnen – Auftraggeber, Auftragnehmer oder gemeinsam –, sie mit einer Nachweisform zu versehen und sie auf eine konkrete Version mit Datum zu beziehen. Was heute in vielen Projekten als Anlage zum Vertrag entsteht, ist im Kern eine Verantwortungsmatrix. Sie kostet einmalig Aufwand und erspart über die Vertragslaufzeit einen erheblichen Teil der Abstimmung.

Der Aufwand lohnt auch aus einem zweiten Grund: Mindeststandards sind gut dokumentiert, prüfbar und wiederverwendbar. Wer sie einmal sauber auf die eigenen Leistungen abgebildet hat, verfügt über ein belastbares Zielbild – das sich in weiteren Vergabeverfahren erneut einsetzen lässt und auch außerhalb des Bundes ein überzeugendes Sicherheitsniveau beschreibt.

Der Verweis auf einen BSI-Mindeststandard ist kein Formalismus, sondern eine inhaltliche Verpflichtung mit erheblicher Tragweite. Wer sie ungeprüft unterschreibt, verlagert ein unklares Risiko in die Vertragslaufzeit. Wer sie übersetzt – in konkrete Anforderungen, klare Verantwortlichkeiten und belegbare Nachweise –, gewinnt doppelt: Rechtssicherheit im laufenden Projekt und ein Sicherheitsniveau, das im nächsten Vergabeverfahren zum Argument wird.