Vergaberecht : Digitale Souveränität muss beschafft werden

Seit dem 1. Juli 2026 ist das Vergabebeschleunigungsgesetz in Kraft. Bundestag und Bundesrat haben damit erstmals ausdrücklich verankert, dass öffentliche Auftraggeber digitale Souveränität als Zuschlagskriterium heranziehen und sogar als dauerhafte Vertragspflicht in Ausschreibungen festschreiben können. Das ist mehr als Symbolpolitik – es ist ein rechtlicher Hebel, den es in dieser Form vorher nicht gab. Doch ein Hebel wirkt nur, wenn ihn tatsächlich jemand benutzt.

Was das Gesetz neu erlaubt

Kern der Neuregelung ist § 128 Abs. 2 GWB: Vergabestellen können digitale Souveränität künftig nicht nur als Auswahlkriterium werten, sondern als Ausführungsbedingung in den Vertrag schreiben. Verstöße können zur Kündigung oder Vertragsstrafe führen. Ergänzt wird das durch eine im März 2026 zwischen dem Bundesministerium für Digitales und Staatsmodernisierung und dem Bitkom vereinbarte Neufassung der EVB-IT-Vertragsbedingungen, die Open Source erstmals zur Standardoption bei Softwareentwicklungsaufträgen macht und damit rechtliche Unsicherheiten beseitigt.

Auf europäischer Ebene zeichnet sich Ähnliches ab: Mit dem geplanten Public Procurement Act verhandelt die Kommission derzeit über eine grundlegende Reform des europäischen Vergaberechts. Erstmals sollen Vergaberegeln direkt für alle Mitgliedstaaten gelten und keine Richtlinien, die in nationales Recht umzusetzen sind. Auffällig am Inhalt: Der Umgang mit geistigem Eigentum und Ausschließlichkeitsrechten bei öffentlichen Aufträgen soll neu geregelt werden und geopolitische Risiken und Lieferketten werden nach Ermessen bewertet. Deutschland ist mit dem Vergabebeschleunigungsgesetz also nicht allein unterwegs, sondern Teil einer europaweiten Bewegung.

Die ernüchternde Bilanz

Was ist seit dem 1. Juli tatsächlich passiert? Vor allem: juristische Klarstellung statt Vergabepraxis. Ein Gutachten der Wissenschaftlichen Dienste des Bundestages vom 5. März 2026 bestätigt zwar, dass Vergabestellen Open Source explizit vorschreiben dürfen, wenn sie es sachlich begründen, bei vielen Vergabestellen herrscht jedoch nach wie vor Unsicherheit über die eigene Rechtslage. Von einer breiten Umsetzung in laufenden Ausschreibungen ist bislang wenig zu sehen. Und das, obwohl die auftragsbezogenen Gründe im Gutachten mit IT-Sicherheitsanforderungen, Interoperabilität und Weiterentwicklungsfähigkeit explizit subsumiert wurden.

Bislang gab es nur ein Vergabeverfahren, in dem Souveränität als Kriterium wirklich den Ausschlag gab: den Auftrag für die zentrale Verwaltungscloud des Bundes. Hier wog digitale Souveränität zwar schwerer als der Preis, allerdings hieß Souveränität in diesem Fall vor allem „deutscher beziehungsweise europäischer Großkonzern“ – nicht offener, portabler Quellcode oder die Möglichkeit, den Anbieter ohne Neuaufbau zu wechseln. Dies zeigt, wie dringend es ist, die Souveränitätsdimensionen des IT-Planungsrates verbindlich in Ausschreibungen anzuwenden, denn ansonsten wird „Souveränität“ zum Synonym für „einheimischer Anbieter“ und das strukturelle Lock-in-Problem bleibt bestehen. Dies ist umso dringlicher, als der EuGH bereits im vergangenen Jahr festgestellt hat, dass sich der öffentliche Auftraggeber zur Rechtfertigung des Rückgriffs auf das Verhandlungsverfahren ohne vorherige Veröffentlichung einer Bekanntmachung nicht auf den Schutz von Ausschließlichkeitsrechten berufen kann, wenn der Grund für diesen Schutz ihm zuzurechnen ist. (EuGH, Urt. v. 09.01.2025 – C‑578/23 – Česká republika – Generální finanční ředitelství). Kurz gesagt: Wer den Vendor-Lock-in einkauft, der muss hinterher auch mit den Migrationskosten und -risiken leben, kann aber nicht ohne Weiteres deswegen beim gewählten Anbieter bleiben.

Aus der Kann-Bestimmung muss die Regel werden

Das Vergabebeschleunigungsgesetz wie auch der EU-Procurement-Act öffnen eine Tür, durch die jedoch am Ende jemand gehen muss. Nicht, weil er oder sie digitale Souveränität schick oder modern findet, sondern weil digitale Souveränität zwingend notwendig ist, um Demokratie, staatliches Handeln und am Ende auch die Verteidigung unserer Werte und unseres Landes dauerhaft zu gewährleisten.

Der Gesetzgeber und das BMDS sollten deshalb jetzt nachlegen, anstatt abzuwarten. Erstens: Öffentlich einsehbarer Quellcode, dokumentierte Schnittstellen, mehrere unabhängige Wartungsanbieter müssen als eigenständiges, prüfbares Unterkriterium etabliert und festgeschrieben werden. Zweitens: Das Bundestags-Gutachten vom März muss von allen staatlichen Ebenen in eine verbindliche Handreichung für alle Vergabestellen übersetzt werden mit Musterformulierungen für „Open Source, oder gleichwertig“. Drittens: Das BMDS sollte hier die Federführung übernehmen und ein Jahr nach Inkrafttreten öffentlich Bilanz ziehen: Wie viele Ausschreibungen haben Souveränität tatsächlich als Zuschlagskriterium berücksichtigt und wie viele davon haben Offenheit konkret eingefordert, statt nur die Herkunft des Anbieters? Ohne dieses Monitoring bleibt das Gesetz ohne wesentliche Wirkung. Und Wirkung benötigen wir in Deutschland und Europa eher heute als morgen, um dauerhaft weiterhin in Freiheit und Demokratie leben zu können.

Daniel Zielke ist Vertriebsdirektor bei der Enterprise-Open-Source-Videokonferenzlösung openVisavid. Nach Stationen in Journalismus und Politik hat er sich auf das öffentliche Auftragswesen und die Digitalisierung der Verwaltung fokussiert und hat in verschiedenen Unternehmen der Open-Source-Wirtschaft und Verbänden zu diesem Thema gearbeitet.