CPV 487 – Sicherheitssoftware

Was umfasst die CPV-Gruppe 487?

Die CPV-Gruppe 487 umfasst Softwareprodukte, die der Absicherung von IT-Systemen, Netzwerken und Daten dienen. Dazu zählen klassische Sicherheitslösungen wie Antivirensoftware, Host-basierte Firewalls und Verschlüsselungswerkzeuge ebenso wie moderne Cybersecurity-Produkte: Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR), Identity and Access Management (IAM) sowie Tools für das Schwachstellenmanagement.

Für öffentliche Auftraggeber hat Sicherheitssoftware eine besondere Bedeutung, da Behörden regelmäßige Ziele von Cyberangriffen sind und zugleich besonders schützenswerte Daten verarbeiten – von Sozialdaten bis hin zu Verschlusssachen. Die Anforderungen des BSI-Grundschutz-Kompendiums und die europäische NIS2-Richtlinie treiben Investitionen in Sicherheitssoftware weiter an. Beschaffungen umfassen häufig sowohl Lizenzen als auch Implementierungs- und Betriebsleistungen, wobei die softwareseitige Komponente unter CPV 487 fällt.

Eine vollständige Übersicht der CPV-Struktur bietet das offizielle CPV-Verzeichnis auf SIMAP.

Typische Leistungen in CPV 487

• Antivirensoftware und Anti-Malware-Lösungen (Enterprise-Lizenzen)
• Endpoint-Security und Endpoint-Detection-and-Response (EDR)
• Firewalls (Host-basiert und netzwerkseitig als Software-Komponente)
• Verschlüsselungssoftware für Datenträger, E-Mail und Kommunikation
• SIEM-Plattformen und Log-Management-Software
• Identity and Access Management (IAM) und Privileged Access Management (PAM)
• Schwachstellenscanner und Vulnerability-Management-Tools

Beispiele für Ausschreibungen mit CPV 487

• Enterprise-Endpoint-Security-Lizenzen für eine Bundesbehörde: Beschaffung von EDR-Lizenzen für 10.000 Endpunkte inklusive zentralem Management, Bedrohungsanalyse und Integration in bestehende SIEM-Infrastruktur – veröffentlicht auf TED (Tenders Electronic Daily).
• Verschlüsselungssoftware für mobile Datenträger einer Landesverwaltung: Beschaffung einer BSI-zugelassenen Festplattenverschlüsselungslösung für 8.000 Laptops und externe Datenträger inklusive zentralem Schlüsselmanagement – ausgeschrieben auf DTVP.
• SIEM-Plattform für ein kommunales Rechenzentrum: Einführung einer Security-Information-and-Event-Management-Lösung zur zentralen Überwachung von Log-Daten, Erkennung von Anomalien und Unterstützung bei der Incident-Response – veröffentlicht auf TED.

Für wen ist CPV 487 relevant?

Öffentliche Auftraggeber

Behörden aller Ebenen, Betreiber kritischer Infrastruktur (KRITIS) und öffentliche Unternehmen sind verpflichtet, angemessene technische und organisatorische Maßnahmen zum Schutz ihrer IT-Systeme zu treffen. Beschaffungen unter CPV 487 werden häufig durch BSI-Empfehlungen, Revisionen oder konkrete Sicherheitsvorfälle ausgelöst. Die Anforderungen aus der NIS2-Richtlinie erhöhen den Druck zur Investition in moderne Sicherheitstechnologien. Vergaberechtliche Grundlagen bietet das BMWK.

Unternehmen und Bieter

IT-Sicherheitsunternehmen und Cybersecurity-Spezialisten, die Sicherheitssoftwareprodukte lizenzieren oder in öffentlichen Umgebungen implementieren, finden unter CPV 487 regelmäßige Ausschreibungsmöglichkeiten. Entscheidend für den Erfolg sind BSI-Zulassungen oder -Empfehlungen für die angebotenen Produkte, Common-Criteria-Zertifizierungen sowie nachgewiesene Erfahrung in hochsicheren Verwaltungsumgebungen.

Wie hilft Bond bei CPV 487?

Tender Match

Mit tender.match erhalten IT-Sicherheitsunternehmen und Cybersecurity-Spezialisten automatisch alle relevanten Ausschreibungen mit CPV 487 direkt in ihr Dashboard. BOND indexiert Ausschreibungen aus über 1.000 Vergabeportalen in der EU – von TED über nationale Plattformen bis hin zu regionalen Vergabestellen. Statt täglich dutzende Portale manuell zu durchsuchen, werden passende IT-Sicherheitsausschreibungen nach Branche, Kompetenz, Region und Unternehmensprofil gefiltert und zugestellt. Eine automatisierte Gap-Analyse zeigt sofort, wo das Unternehmen die Anforderungen erfüllt und wo Lücken bestehen. So verpassen Unternehmen keine Frist mehr und können sich auf die Angebotserstellung konzentrieren.

Company Match

Für Unternehmen, die für Cybersicherheitsprojekte Zulieferer, Unterauftragnehmer oder Konsortialpartner suchen, bietet company.match einen direkten Zugang zu qualifizierten Firmen aus einer EU-weiten Datenbank mit über 28 Mio. Unternehmen. Besonders bei größeren IT-Sicherheitsausschreibungen, die ein einzelnes Unternehmen alleine nicht stemmen kann, identifiziert company.match automatisch passende Partner für Bietergemeinschaften und Teilleistungen – und erhöht so die Chancen auf den Zuschlag.

Häufige Fragen zu CPV 487

Wie unterscheidet sich CPV 487 von CPV 726 (IT-Sicherheitsdienstleistungen)? CPV 487 bezieht sich auf die Beschaffung von Sicherheitssoftwareprodukten und -lizenzen, während CPV 726 Sicherheitsdienstleistungen wie Penetrationstests, Sicherheitsaudits oder SOC-Betrieb abdeckt. Wenn ein Auftrag sowohl Software als auch Sicherheitsdienstleistungen umfasst, entscheidet der wirtschaftliche Schwerpunkt über den primären CPV-Code. Die VgV verpflichtet zur präzisen Zuordnung.

Müssen Sicherheitssoftware-Produkte für Behörden BSI-zugelassen sein? Das hängt vom Einsatzbereich ab. Für den Schutz von Verschlusssachen (VS-NfD und höher) sind BSI-zugelassene Produkte Pflicht. Für den allgemeinen Verwaltungsbetrieb empfiehlt das BSI geprüfte Produkte aus seinem IT-Grundschutz-Kompendium, ohne dass eine formale Zulassungspflicht besteht. Auftraggeber sollten BSI-Empfehlungen in der Leistungsbeschreibung berücksichtigen. Informationen bietet das BMWK.

Können Sicherheitssoftware-Lizenzen über eine Rahmenvereinbarung beschafft werden? Ja, Rahmenvereinbarungen sind ein geeignetes Instrument für die flexible und bedarfsgerechte Beschaffung von Sicherheitssoftwarelizenzen. Sie ermöglichen schnelle Abrufe ohne erneutes Vergabeverfahren und sind besonders bei Produkten sinnvoll, die regelmäßig aktualisiert oder erweitert werden. Details regelt die VgV sowie für unterschwellige Vergaben die UVgO.