Cyber-Security · Auswahl & Beschaffung

Security-Ausschreibungen

Security-Leistungen auszuschreiben ist die Königsdisziplin der IT-Vergabe: Der Markt ist herstellergetrieben, die Qualität steckt in Details wie Reaktionszeiten und Detection-Fähigkeiten, und produktneutral formulieren muss es trotzdem sein. Wir haben Ausschreibungen für EDR, XDR, MDR, SIEM, SOC, BCM und MFA fachlich geleitet und bringen diese Erfahrung in Ihr Verfahren.

Für allgemeine IT-Vergaben siehe unsere IT-Ausschreibungsunterstützung; hier geht es um die Security-Tiefe. Teil unseres Cyber-Security-Portfolios.

100.000+

reale Vergabeunterlagen im Vergabe-Archiv als Fundus

20+

Muster-LVs von EDR bis SOC als erprobter Startpunkt

A/B

Kriterien-Systematik für belastbare Wertung

Ausschreibung anfragen →

Warum Security-Vergaben so oft schiefgehen

Das Muster kennen wir aus vielen Verfahren: Das Leistungsverzeichnis ist aus Hersteller-Datenblättern zusammengesetzt und damit heimlich produktspezifisch; die Wertung misst Feature-Listen statt Detection-Qualität; und der Vertrag schweigt zu dem, was im Betrieb zählt: Reaktionszeiten, Eskalationswege, Exit-Regelungen. Das Ergebnis sind Rügen, unvergleichbare Angebote oder ein Zuschlag, den man drei Jahre bereut.

Security-Vergaben brauchen beides gleichzeitig: vergaberechtliche Sauberkeit (produktneutral, transparente Kriterien, dokumentiert) und fachliche Tiefe (Use Cases, MITRE-ATT&CK-Abdeckung, SLA-Struktur, Datenhaltung). Fehlt eine Seite, scheitert das Verfahren an der anderen.

Unser Fundament dafür: über 20 erprobte Muster-LVs von EDR bis SOC, das Vergabe-Archiv mit mehr als 100.000 realen Vergabeunterlagen und die fachliche Leitung realer Security-Verfahren auf Auftraggeber- wie Plattformseite.

Die Bausteine einer sauberen Security-Vergabe

Leistungsverzeichnis
Produktneutral und prüfbar, auf Basis unserer Muster-LVs und echter Referenzverfahren aus dem Archiv, statt Datenblatt-Collagen.

Wertungsmatrix
A- und B-Kriterien, die Qualität messen: Use-Case-Abdeckung, Reaktionszeiten, Betriebsmodell, Team-Qualifikation, gewichtet und begründet.

Verfahren & Lose
Offenes Verfahren, Verhandlungsverfahren oder Rahmenvereinbarung, plus die Losfrage: Wir begründen die Wahl so, dass sie hält.

EVB-IT & Vertrag
Der passende Vertragstyp mit den Security-Spezifika: SLAs, Mitwirkungspflichten, Datenhaltung, Auditrechte, Exit.

Teststellung im Verfahren
Wo sinnvoll, verankern wir Teststellung oder PoC sauber in den Vergabeunterlagen, siehe unsere PoC-Begleitung.

Dokumentation
Vergabevermerk-taugliche Begründungen von der Markterkundung bis zur Zuschlagsentscheidung, die Versicherung gegen Nachprüfungen.

Unser Vorgehen: 4 Phasen bis zum Zuschlag

Bedarf & Marktbild

Anforderungen aus Workshops statt Datenblättern; wo das Marktbild fehlt, startet die Security-Markterkundung nach §28 VgV vorweg.

Unterlagen

Leistungsverzeichnis, Wertungsmatrix, Eignungskriterien und Vertragsentwurf entstehen aus unseren Muster-LVs und Referenzverfahren, zugeschnitten statt zusammenkopiert.

Verfahren

Veröffentlichung, Bieterfragen, gegebenenfalls Verhandlungsrunden oder Teststellung: Wir moderieren fachlich und halten die Dokumentation nach.

Wertung & Zuschlag

Angebote normieren, technisch prüfen, Wertung durchführen und die Zuschlagsempfehlung nachprüfungsfest dokumentieren, inklusive Vorbereitung der Vertragsgespräche.

Typische Fehler in Security-Vergaben

1.Das Datenblatt-LV: Anforderungen aus Hersteller-Prospekten sind heimlich produktspezifisch, die Rüge kommt verlässlich.
2.Feature-Zählen statt Qualität messen: 200 Ja/Nein-Kriterien belohnen den besten Formularausfüller, nicht die beste Detection.
3.SLAs vergessen: Ohne Reaktionszeiten, Eskalationswege und Pönalen im Vertrag ist der schönste SOC-Zuschlag im Betrieb wertlos.
4.Eignung und Wertung vermischt: Referenzen gehören zur Eignung, Qualität in die Zuschlagskriterien, wer das mischt, riskiert das Verfahren.
5.Kein Exit gedacht: Datenrückgabe, Übergangsbetrieb und Mitwirkung beim Wechsel müssen vor dem Zuschlag im Vertrag stehen, danach ist es zu spät.
6.Die Wertung ist nicht nachvollziehbar dokumentiert: Bei Security-Themen mit wenigen Bietern ist die Nachprüfungswahrscheinlichkeit hoch, der Vermerk entscheidet.

Für wen wir Security-Vergaben führen

Kommunen & Behörden

Vom Landkreis bis zur Landesbehörde: Wir kennen VgV und UVgO aus hunderten Verfahren, liefern vergabevermerk-taugliche Begründungen und sprechen die Sprache von Vergabestelle und Rechnungsprüfung.

KRITIS & Krankenkassen

Security-Beschaffungen unter NIS2- und branchenspezifischen Pflichten: Anforderungskataloge, die Aufsicht und Auditoren überzeugen, aus Verfahren im Gesundheits- und Versorgungsumfeld.

Private Auftraggeber

Auch ohne Vergaberecht lohnt die Systematik: strukturierte RFPs mit Wertungsmatrix statt Bauchgefühl, verhandelt aus unserer Marktkenntnis heraus.

Warum IT-LV für Ihre Security-Vergabe

Wir vereinen die beiden Kompetenzen, die diese Verfahren brauchen: Vergabe-Handwerk aus hunderten Verfahren (inklusive Zertifizierter VergabePraktiker) und Security-Tiefe aus realen Vorfällen und geleiteten Security-Ausschreibungen. Unsere Muster-LVs und das Vergabe-Archiv machen aus dem leeren Blatt einen erprobten Startpunkt.

Und wir bleiben bis zum Ende: Von der Markterkundung über die Unterlagen bis zur nachprüfungsfesten Zuschlagsdokumentation, ein Ansprechpartner, wo sich der Erfolg messen lässt, gerne erfolgsbasiert vergütet.

So sieht ein typisches Projekt aus

Ein EU-weites Security-Verfahren vom Kick-off bis zum Zuschlag, realistisch geplant:

Woche 1-3

Bedarfsworkshops und Anforderungskatalog; falls nötig vorgeschaltete Markterkundung nach §28 VgV mit RFI und Preisindikationen.

Woche 4-6

Vergabeunterlagen: Leistungsverzeichnis aus Muster-LV-Basis, Wertungsmatrix mit A/B-Kriterien, Eignungsanforderungen, EVB-IT-Vertragsentwurf.

Woche 7-12

Verfahren läuft: Veröffentlichung, Bieterfragen, Angebotsfrist; bei Verhandlungsverfahren die Gesprächsrunden, fachlich moderiert und dokumentiert.

Woche 13-16

Wertung, gegebenenfalls Teststellung der Finalisten, Zuschlagsempfehlung mit vollständiger Dokumentation und Begleitung bis zur Vertragsunterschrift.

Top 10 statt 100+: unser Anbieter-Netzwerk

Wer den Markt kennt, schreibt bessere Unterlagen: realistische Anforderungen, passende Lose, erreichbare SLAs.

Marktkenntnis aus Erfahrung

Aus fachlich geleiteten Ausschreibungen, hunderten Anbietergesprächen und eigenen Marktstudien wissen wir, wer in welchem Feld wirklich liefert. Dieses Wissen halten wir aktuell, mit jedem Projekt und jedem Anbietergespräch.

Kuratierte Shortlist statt Marktschlacht

Aus Ausschreibungen und Anbietergesprächen wissen wir, was der Security-Markt liefern kann und zu welchen Konditionen: Das fließt in Anforderungen und Kostenschätzung ein, und bei Marktansprachen starten Sie mit den Top-Kandidaten statt 100+ Anbietern.

Freie Anbieterwahl, sauber dokumentiert

Wir sind an keinen festen Partner gebunden und fragen bei Bedarf jeden Anbieter am Markt an: gemeinsam mit Ihnen, nicht als Vermittler dazwischen. Wir sitzen zusammen in den Anbietergesprächen, Sie entscheiden, und jede Empfehlung ist in einer nachvollziehbaren Wertungsmatrix begründet, die auch Gremien, Rechnungsprüfung und Vergabekammern überzeugt.

Häufige Fragen zu Security-Ausschreibungen

Kann man Security-Leistungen überhaupt produktneutral ausschreiben?

Ja, über Fähigkeiten statt Features: Was muss erkannt, wie schnell reagiert, welche Use Cases abgedeckt werden? Unsere Muster-LVs zeigen, wie das für EDR bis SOC funktioniert, produktneutral und trotzdem trennscharf.

Welche Wertungskriterien haben sich bewährt?

Eine A/B-Systematik: A-Kriterien als Ausschluss-Mindestanforderungen, B-Kriterien gewichtet für Qualität, etwa Use-Case-Abdeckung, Reaktionszeiten, Betriebs- und Eskalationskonzept, Team-Qualifikation. Preis und Qualität sauber getrennt, Gewichtung begründet.

Können wir direkt mit einem Ihrer Muster-LVs starten?

Ja, das ist ihr Zweck: Die Muster-LVs liefern Struktur, Positionen und Bewertungslogik; im Projekt schneiden wir sie auf Ihren Bedarf zu. Das spart typischerweise mehrere Wochen gegenüber dem leeren Blatt.

Offenes Verfahren oder Verhandlungsverfahren?

Bei komplexen Security-Diensten (SOC, MDR) spricht oft viel für das Verhandlungsverfahren mit Teilnahmewettbewerb: Es erlaubt Präzisierung im Dialog. Die Wahl muss aber begründet werden, und genau diese Begründung liefern wir mit.

Ist eine Teststellung im Verfahren zulässig?

Ja, wenn sie in den Unterlagen angekündigt, für alle gleich und in der Wertung transparent verankert ist. Wie ein sauberer PoC aussieht, beschreibt unsere PoC-Begleitung.

Welcher EVB-IT-Vertragstyp passt für Security-Dienste?

Je nach Leistung: Service- oder Cloud-Verträge für SOC/MDR, Kauf/Überlassung plus Pflege für Plattformen, oft in Kombination. Entscheidend sind die Security-Ergänzungen: SLAs, Datenhaltung, Auditrechte, Exit, die wir aus realen Verträgen mitbringen.

Was ist mit der Direktvergabe unterhalb der Schwellenwerte?

Unterhalb der Wertgrenzen geht vieles schneller, aber auch dort gilt: dokumentierte Vergleichsangebote und saubere Begründung. Die aktuellen Grenzen erklärt unser Insights-Ratgeber zur Direktvergabe.

Was kostet die Begleitung?

Je nach Umfang vom Unterlagen-Paket zum Festpreis bis zur Vollbegleitung des Verfahrens. Nach dem kostenlosen Erstgespräch erhalten Sie ein klares Angebot, und durch die Muster-LV-Basis sind wir schneller und günstiger als das leere Blatt.

Wie hängt das mit der Markterkundung zusammen?

Ideal ist die Kette: Markterkundung für das Marktbild, daraus Anforderungskatalog und realistische Kostenschätzung, dann das Verfahren. Wer beides bei uns macht, verliert an der Schnittstelle nichts.