Die kurze Antwort
Seit dem 1. Juli 2026 dürfen öffentliche Auftraggeber in Deutschland digitale Souveränität, Cybersicherheit und Versorgungssicherheit ausdrücklich als Kriterien in IT-Vergaben werten. Grundlage ist das Gesetz zur Beschleunigung der Vergabe öffentlicher Aufträge (Vergabebeschleunigungsgesetz). Neu ist nicht nur, dass diese Aspekte beim Zuschlag zählen dürfen — sie können auch als vertragliche Ausführungsbedingung über die gesamte Laufzeit festgeschrieben und durchgesetzt werden.
Für Software-Anbieter verschiebt das den Maßstab: Datenstandort, offene Schnittstellen, Interoperabilität und ein realistisches Exit-Konzept sind keine Kür mehr, sondern werden zum bewertbaren Auswahlfaktor. Wer Kunden in einen einzigen, nicht austauschbaren Anbieter einbindet, riskiert im öffentlichen Sektor künftig Punktabzug — und der Maßstab strahlt auf private Einkäufer aus.
Was das Gesetz geändert hat
Am 1. Juli 2026 ist das Gesetz zur Beschleunigung der Vergabe öffentlicher Aufträge in Kraft getreten. Der Titel legt den Schwerpunkt auf schnellere Verfahren, doch für den IT-Einkauf ist eine andere Änderung folgenreicher: Öffentliche Stellen dürfen digitale Souveränität, Cybersicherheit und Versorgungssicherheit nun ausdrücklich in ihre Vergaben einbauen. Bis dahin war rechtlich umstritten, ob und wie stark eine Behörde etwa den Datenstandort oder die Herkunft eines Anbieters gewichten darf, ohne gegen das vergaberechtliche Diskriminierungsverbot zu verstoßen.
Zwei Ansatzpunkte sind dabei entscheidend. Zum einen können die Kriterien in die Zuschlagsentscheidung einfließen — ein souveräner, interoperabler Aufbau bringt im Angebotsvergleich messbare Punkte. Zum anderen lassen sie sich als vertragliche Ausführungsbedingung festschreiben, die während der gesamten Laufzeit gilt und deren Verletzung sanktioniert werden kann, bis hin zur Kündigung. Anbieter, die eine maßgeschneiderte Lösung für die öffentliche Hand bauen, verkaufen damit nicht mehr nur Funktionen, sondern auch eine belegbare Zusage zu Datenhoheit und Wechselbarkeit.
Was „digitale Souveränität" konkret meint
Der Begriff klingt politisch, meint aber sehr konkrete technische Eigenschaften. In der Gesetzesbegründung und in der Vergabepraxis geht es vor allem um vier Dinge: die Kontrollierbarkeit der Datenverarbeitung (wer kann unter welchem Recht auf Daten zugreifen?), den Datenstandort (Verarbeitung und Speicherung in Deutschland oder der EU), offene, interoperable Schnittstellen statt proprietärer Formate — und die daraus folgende Wechselbarkeit: ein realistischer Exit ohne Datenverlust und ohne monatelanges Neubauen.
Damit die Bewertung nicht bei Absichtserklärungen bleibt, gibt es Prüfmaßstäbe. Das BSI hat im April 2026 den überarbeiteten Cloud-Sicherheitsstandard C5:2026 veröffentlicht und ihn mit dem neuen Katalog C3A („Criteria enabling Cloud Computing Autonomy") ergänzt. Während C5 fragt, wie sicher ein Cloud-Dienst ist, prüft C3A, wie autonom er sich betreiben lässt — also genau die Souveränitätsdimension, die im Vergaberecht jetzt zählt. Für Teams heißt das: Aussagen zu Datenhoheit und Portabilität sollten sich an diesen Katalogen ausrichten, weil öffentliche Auftraggeber sie zunehmend als Referenz heranziehen.
Was das für DACH-Teams bedeutet
Die unmittelbar Betroffenen sind Anbieter, die an die öffentliche Hand liefern oder es vorhaben. Für sie wird Souveränität zum Teil der Ausschreibungsantwort — mit realen Punkten und mit vertraglichen Pflichten, die nach dem Zuschlag weiterlaufen. Der praktische Effekt zeigt sich bereits: Berichten zufolge hat Mecklenburg-Vorpommern rund 5.000 Arbeitsplätze von Microsoft SharePoint auf Nextcloud umgestellt und weitere Zehntausende angekündigt; Bosch Mobility nutzt seit dem 4. Juli 2026 Cloud-Dienste des deutschen Anbieters StackIT. Solche Wechsel sind teuer und langsam, wenn die Systeme nicht auf Portabilität ausgelegt sind — und günstig, wenn sie es sind.
Wichtig ist die Grenze der Regel: Formal bindet das Vergaberecht nur öffentliche Auftraggeber. Doch die Kriterien überschneiden sich stark mit Pflichten, die private Unternehmen ohnehin treffen — etwa die Lieferkettensicherheit aus Datenschutz, NIS-2 und DORA. Ein Einkäufer in einer regulierten Branche, der seinen eigenen Nachweispflichten genügen muss, verlangt dieselben Eigenschaften wie eine Behörde. Souveränitätsfähigkeit wird damit breit zum Wettbewerbsfaktor, nicht zum Nischenthema für Behördengeschäft.
Technisch ist die gute Nachricht, dass Souveränität und saubere Ingenieurarbeit dasselbe verlangen. Offene Standards, containerisierte Workloads und Infrastructure as Code machen einen Anbieterwechsel überhaupt erst durchführbar; klar geregelter Datenstandort, Protokollierung und Zugriffskontrollen liefern die Nachweise, die eine Ausschreibung sehen will. Wer eine ältere, eng an einen einzelnen Anbieter gebundene Plattform betreibt, für den wird die Entkopplung — Schnittstellen öffnen, Daten portabel machen, den Exit üben — zur konkreten Modernisierungsaufgabe.
Was Sie jetzt tun sollten
Ob Sie an die öffentliche Hand liefern oder sich nur auf strengere private Einkäufer vorbereiten — die Schritte sind dieselben:
- Bestimmen Sie Ihren Datenstandort. Halten Sie fest, wo Daten verarbeitet und gespeichert werden und wer unter welchem Recht Zugriff hat. Das ist die erste Frage jeder souveränitätsbezogenen Prüfung.
- Öffnen Sie Ihre Schnittstellen. Setzen Sie auf offene Standards und dokumentierte APIs statt auf proprietäre Formate. Interoperabilität ist die technische Grundlage jeder Wechselbarkeit.
- Schreiben Sie ein Exit-Konzept — und testen Sie es. Ein Wechselpfad, der nur auf dem Papier existiert, überzeugt niemanden. Üben Sie den Export von Daten und Konfiguration mindestens einmal ganz durch.
- Richten Sie Architektur an C5:2026 und C3A aus. Nutzen Sie die BSI-Kataloge als Checkliste, damit Ihre Aussagen zu Sicherheit und Autonomie an anerkannten Maßstäben hängen, nicht an eigenen Formulierungen.
- Machen Sie die Nachweise belegbar. Protokolle, Zugriffskonzepte und ein gepflegtes Systemverzeichnis sind das, wonach nach dem Zuschlag gefragt wird. Ein Modernisierungsschritt lohnt sich dort, wo Altlasten die Wechselbarkeit blockieren.
Nichts davon ist Rechtsberatung, und die genaue Ausgestaltung hängt von der einzelnen Ausschreibung, Ihrer Branche und Ihren Systemen ab. Das Signal ist aber eindeutig: In öffentlichen IT-Vergaben ist digitale Souveränität von einem politischen Anspruch zu einem messbaren Kriterium geworden. Im Vorteil sind die Teams, die Datenhoheit und Wechselbarkeit von Anfang an in die Architektur schreiben — statt sie unter Zeitdruck einer laufenden Ausschreibung nachzurüsten.
Häufig gestellte Fragen
Was ändert das Vergabebeschleunigungsgesetz für öffentliche IT-Aufträge?
Das Gesetz zur Beschleunigung der Vergabe öffentlicher Aufträge ist am 1. Juli 2026 in Kraft getreten. Neben schnelleren Verfahren erlaubt es öffentlichen Auftraggebern, digitale Souveränität, Cybersicherheit und Versorgungssicherheit ausdrücklich als Kriterien in IT-Vergaben zu verankern — beim Zuschlag und als vertragliche Ausführungsbedingung während der Laufzeit.
Seit wann gilt digitale Souveränität als Zuschlagskriterium?
Seit dem 1. Juli 2026. Zuvor war rechtlich umstritten, ob und wie stark öffentliche Stellen digitale Souveränität gewichten dürfen, ohne gegen das vergaberechtliche Diskriminierungsverbot zu verstoßen. Das neue Gesetz schafft dafür eine ausdrückliche Grundlage.
Was bedeutet digitale Souveränität bei der IT-Vergabe konkret?
Vor allem interoperable und offene IT-Systeme, die Kontrollierbarkeit der Datenverarbeitung, Anforderungen an die Datenlokalisierung und personelle Sicherheitsaspekte. Praktisch entscheiden Datenstandort, offene Schnittstellen und tragfähige Exit-Konzepte über die Auswahl von Cloud- und SaaS-Anbietern. Die BSI-Kataloge C5:2026 und C3A liefern Bewertungsmaßstäbe.
Betrifft das nur Behörden oder auch private DACH-Unternehmen?
Formal bindet das Vergaberecht nur öffentliche Auftraggeber. In der Praxis strahlt der Maßstab aber auf den privaten Markt aus: Wer an die öffentliche Hand liefert, muss Souveränität nachweisen können, und private Einkäufer übernehmen die Kriterien zunehmend — verstärkt durch überlappende Pflichten aus NIS-2 und DORA zur Lieferkettensicherheit.
Wie machen Software-Teams ihre Systeme souveränitätsfähig?
Entscheidend sind Portabilität und Nachweisbarkeit: offene Standards und Schnittstellen statt proprietärer Bindung, containerisierte Workloads und Infrastructure as Code für den Anbieterwechsel, ein dokumentiertes und getestetes Exit-Konzept, klar geregelter Datenstandort sowie Protokollierung und Zugriffskontrollen. Diese Eigenschaften müssen zur Ausschreibung belegbar sein, nicht nur behauptet.
Quellen
Börse Express (dpa-AFX) — Cloud-Sicherheit: Neue Regeln für öffentliche Aufträge ab Juli, 5. Juli 2026
cosinex Blog — Vergabebeschleunigungsgesetz und digitale Souveränität in der öffentlichen Beschaffung, 21. Mai 2026
Vergabeblog — BSI veröffentlicht C3A: neuer Maßstab für digitale Souveränität in der Cloud-Beschaffung
BSI — Sicheres Cloud-Computing: BSI veröffentlicht C5:2026, 7. April 2026