Anforderungen der Informationssicherheit, neue Pflichten, praktische Auswirkungen und konkrete Handlungsempfehlungen

Das Inkrafttreten des NIS2-Umsetzungsgesetzes im Dezember 2025 kann öffentliche Auftraggeber vor große Umsetzungsherausforderungen stellen. Informationssicherheit ist für die dem Anwendungsbereich unterfallenden öffentlichen Auftraggeber verpflichtend. Der Fokus des Gesetzes liegt auf umfangreicheren, verbindlichen und europaweit einheitlichen Vorgaben samt Verantwortung auf Management-Ebene.

Nächster Termin:

Montag, 09.03.2026: 10:00 Uhr – 12:00 Uhr

Carla Kripke, Senior Associate Public Procurement, Deloitte Legal Rechtsanwaltsgesellschaft mbH, Hamburg

Tarik Karrakchou, Director Beratung öffentliche Beschaffung, BearingPoint GmbH

Matthias Hinrichs, Position: Manager, BearingPoint, Informationssicherheit Public Sektor

„NIS2“ – Was bedeutet das für öffentliche Auftraggeber

Seminarinhalte

Die aktuellen „NIS 2“ Anforderungen haben eine lange Historie. Mittlerweile ist das deutsche Umsetzungsgesetz – NIS2UmsuCG – am 6. Dezember 2025 in Kraft getreten. Zudem hat die EU-Kommission einen Vorschlag zu Änderungen der dieser zugrundeliegenden NIS 2-Richtlinie zusammen mit einer Überarbeitung des Cybersecurity Acts veröffentlicht.

Spätestens jetzt dürfte „NIS2“ daher auf der prioritären Umsetzungsagenda vieler öffentlicher Auftraggeber stehen und die Herausforderung mitbringen, die umfassenden und teils auslegungsbedürftigen rechtlichen und technischen resp. organisatorischen Anforderungen vollständig und nachweisbar in der Institution zu implementieren.

Dies betrifft sowohl die Absicherung von eigener Infrastruktur und Geschäftsprozesse als auch die Gestaltung von Lieferketten und IT-Beschaffungsvorhaben sowie die Einhaltung nunmehr geltender Meldepflichten bei Sicherheitsvorfällen direkt an das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Nach einer kurzen Herleitung sowie Darstellung des aktuellen Stands rechtlicher Implikationen durch die EU, wird auf den konkreten Anwendungsbereich für öffentliche Auftraggeber und die daraus resultierenden technischen und organisatorischen Anforderungen eingegangen. Zudem werden konkrete Handlungsmöglichkeiten für eine „NIS 2“-konforme Änderung resp. Neugestaltung von Unternehmensprozessen aufgezeigt.

Abschließend werden die Implikationen von „NIS 2“ auf Beschaffungen, insb. „Outsourcing Vorhaben“ beleuchten und mögliche Informationssicherheitsmaßnahmen für Verantwortliche dargestellt. Über das gesamte Seminar werden zudem praxisnahe Ansätze zum Umgang mit Meldepflichten diskutiert.

Agenda

Einleitung

Rechtlicher Rahmen und Einordnung
- Status Quo („NIS 1“, „NIS 2“, Vorschlag der EU-Kommission)
- NIS 2 Umsetzungsgesetz / BSIG
- Eröffnung des Anwendungsbereichs für öffentliche Auftraggeber (§§ 28, 29 BSIG)

Die Pflichten öffentlicher Auftraggeber nach „NIS 2“

Registrierungspflichten
Risikomanagement und Organisationspflichten
Cyber-Sicherheit: Angriffserkennung, Incident Response und Lieferkettensicherheit
Meldepflichten bei IT-Sicherheitsvorfällen (BSI)
Dokumentations- und Nachweisanforderungen
Rolle der Leitungsebene und Verantwortlichkeiten

NIS 2 und öffentliche Beschaffung

Auswirkungen auf Vergabekonzeption, Vergabe- und Vertragsunterlagen
Anforderungen an IT-Dienstleister
Kontrollpflichten und Governance extern vergebener Leistungen

Technische & organisatorische Anforderungen:

Die „Top“ Sicherheitsmaßnahmen nach Artikel 21 und deren Umsetzung in der Praxis
Allgemeine Anforderungen der Informationssicherheit (ISO27001, BSI IT-Grundschutz) mit Bezug zur Beschaffung
Besonderheit: Die Umsetzungsmöglichkeiten/-pflichten bei öffentlichen Ausschreibungen.

Meldewesen & Aufsicht:

Audits, Zertifikate, SLAs – was kann und muss ich wann, wie verlangen oder durchführen?
Was muss wann an das BSI gemeldet werden? (Fristen und Formate).
Befugnisse der Aufsichtsbehörden.

Praxis-Fahrplan (How-to):

Die ersten Schritte: Analyse und Priorisierung.
Quick Wins zur „NIS 2“ Compliance
Checkliste zur Umsetzung

Zielgruppe

Das Seminar richtet sich an Mitarbeitende öffentlicher Auftraggeber, die an der Beschaffung, dem Betrieb oder der rechtlichen Steuerung von IZ-Leistungen beteiligt sind und für die Umsetzung von „NIS 2“ Anforderungen verantwortlich sind oder Entscheidungen vorbereiten.