Einleitung und Kontext
Eine professionelle IT-Beschaffung und damit verknüpfte Instrumente zur Qualitätskontrolle und Ausgabensteuerung sind ein wichtiger Baustein bei der Verwaltungsdigitalisierung auf Bundesebene. Denn in der Regel entwickelt die Bundesverwaltung IT-Dienste und -Lösungen nicht selbst, sondern kauft diese am Markt ein oder beauftragt ihre Entwicklung und Betrieb. Für die IT-Beschaffung und damit verknüpftes IT-Controlling existieren bereits zahlreiche Standards und Handreichungen. In diesem Papier wollen wir einen Überblick über die wichtigsten Dokumente geben.
Die ergänzenden Vertragsbedingungen für die Beschaffung von IT-Leistungen (EVB-IT) schaffen bereits eine Basis für standardisierte Verträge in der IT-Beschaffung des Bundes. Dieses Papier baut auf dem bestehenden Vertragswerk der EVB-IT und den geltenden IT-Standards und Richtlinien der EU und des Bundesamts für Sicherheit in der Informationstechnik (BSI) auf und zeigt, wie welche relevanten IT-Kennzahlen und -Kriterien über kritische Dimensionen, von Sicherheit, zur Funktionalität, bis hin zur Betriebsführung und Kosten- und Nutzungseffizienz damit verknüpft werden könnten. Die Bewertung der KPIs ist in der Regel nur über eine Erhebung der hierfür relevanten Informationen bei den IT-Dienstleistern möglich und müsste im Vertragsmanagement bei der Beauftragung entsprechend berücksichtigt werden. Mit einem hier skizzierten Prozess zur Erhebung der notwendigen Informationen für das Beschaffungscontrolling und einer kontinuierlichen Prüfung (des Lieferanten-Monitoring) können Risiken, insbesondere im Bereich der Cyber-Sicherheit und der physischen Sicherheit, vermieden werden. Grundlage für einen solchen Prozess bieten Konzepte aus dem Beschaffungscontrolling und Vertragsmanagement, die in der Wirtschaft bereits umgesetzt werden.
Definitionen: IT-Ausgaben nach EVB-IT
IT-Ausgaben lassen sich laut der EVB-IT[1] wie folgt kategorisieren:
| Vertragsgegenstand | Anmerkung |
| Kauf von Hardware | nicht in diesem Papier betrachtet |
| Instandhaltung von Hardware | nicht in diesem Papier betrachtet |
| Kauf von Standardsoftware, bei Bedarf mit Pflegeleistung | vorgeschlagene Kriterien & Prozess sind anwendbar |
| Miete von Standardsoftware | vorgeschlagene Kriterien & Prozess sind anwendbar |
| Beschaffung von IT- Dienstleistungen, z.B. Beratungsleistungen, Benutzerunterstützung, Hotline | vorgeschlagene Kriterien & Prozess sind anwendbar, wenn die IT-Dienstleistungen sich auf die Schaffung neuer oder Erneuerung von IT-Systemen oder Software beziehen |
| Pflege von Standardsoftware | vorgeschlagene Kriterien & Prozess sind anwendbar, wenn der Lieferant der Standardsoftware auch die Pflege übernimmt, ansonsten nur Anwendung auf den Miet- oder Kaufvertrag |
| Cloudleistungen, insbesondere IaaS, PaaS und SaaS | vorgeschlagene Kriterien & Prozess sind anwendbar |
| Erstellung von IT-Systemen aus einer oder mehreren Systemkomponenten (Standardsoftware und/oder Hardware, ggf. Individualsoftware) einschließlich weiterer Leistungen zur Herbeiführung der Betriebsbereitschaft, wobei letztere und/oder die Erstellung der Individualsoftware den Schwerpunkt der Leistung darstellen, z.B. weil sie mehr als 15% – 20% des Auftragswertes ausmachen | vorgeschlagene Kriterien & Prozess sind anwendbar |
| Erstellung von Individualsoftware, Anpassung von Software auf Quellcodeebene oder durch Customizing auf Softwareleistungen reduzierter, gekürzter EVB-IT Systemvertrag | vorgeschlagene Kriterien & Prozess sind anwendbar |
| Kauf von IT-Systemen aus einer oder mehreren Systemkomponenten (Standardsoftware und/oder Hardware) einschließlich weiterer Leistungen zur Herbeiführung der Betriebsbereitschaft, ohne dass diese Leistungen den Schwerpunkt bilden | vorgeschlagene Kriterien & Prozess sind anwendbar |
| Serviceleistungen rund um ein IT-System oder für Individualsoftware, die über den Regelungsumfang zum Service in den EVB-IT Systemverträgen hinausgehen | vorgeschlagene Kriterien & Prozess sind anwendbar |
Grundsätzlich lassen sich diese Vertragsformen in drei Kategorien zusammenfassen, welche die Grundlage für die Entwicklung der vorgeschlagenen Kriterien bilden.
Software
Sowohl die Erstellung von Individualsoftware, der Kauf oder die Miete von Standardsoftware als auch die Miete von Software-Diensten (Software-as-a-Service und Platform-as-a-Service) fallen alle unter die Kategorie „Software“, denn das eingekaufte Produkt ist in allen Fällen ein Software-Produkt.
IT-Infrastruktur
Bei der Beschaffung von Cloud Dienstleistungen kann auch IT-Infrastruktur im Rahmen eines Mietvertrags eingekauft werden (Infrastructure-as-a-Service, IaaS). Die Miete von IT-Infrastruktur unterscheidet sich zum Kauf von Hardware in dem Sinne, dass nicht physische Kapazität gemietet wird, sondern lediglich eine bestimmte Menge an Rechen-, Speicher- und Übertragungskapazität.
Wird eine Software gemietet, z.B. im Rahmen von Software-as-a-Service-Angeboten, so ist die IT-Infrastruktur in den meisten Fällen Teil des Produkts, weshalb die Kriterien und Fragestellung für IT-Infrastruktur auch in der Software-Kategorie, je nach Vertragsgegenstand, optional hinzugefügt werden können.
Dienstleistungen
Dienstleistungen sind dann relevant, wenn es sich um Pflegeleistungen durch den Software-Hersteller (z.B. Anpassungen/„Customizing“ der Software) oder um Beratungsleistungen oder Rahmenverträge handelt, bei denen eine neue Software hergestellt wird oder die Betriebsführung einer bestehenden Software durch externe Dienstleistung übernommen wird („Managed Services“).
Prozess für das Beschaffungscontrolling
Bei der Beschaffung von IT-Systemen und Dienstleistungen ist eine kritische Prüfung der Funktionalität, Sicherheit und Betriebsführung erforderlich. Angriffe auf IT-Systeme nehmen kontinuierlich zu. Das BSI stuft die Risiken als hoch ein.[2] Die Kosten für die Bundes-IT steigen gleichermaßen.[3] Zudem sinkt, auch durch den zunehmenden Einsatz von KI-basierter Code-Generierung, die Qualität von Software.[4] Diese Trends zeigen deutlich, dass bei der IT-Beschaffung die Kennzahlen zu erheben und klare Kriterien dafür anzuwenden wichtiger werden. Denn die Erhebung der Kennzahlen schafft einen Anreiz für Lieferanten die IT-Systeme zu verbessern und gleichzeitig die notwendigen Informationen für ein effektives Vertragsmanagement.
Bei der Entwicklung der dafür notwendigen Prozesse kann auf die bestehende Praxis aus der Wirtschaft aufgebaut werden: das Beschaffungscontrolling. Die Zielsetzung eines effektiven Beschaffungscontrollings[5] umfasst in der Regel drei Elemente:
- Beschaffungskosten reduzieren
- Beschaffungsqualität erhöhen
- Beschaffungsrisiko verringern
Im Sinne des Beschaffungscontrollings, einer Aufgabe, die Teil der IT-Beschaffung ist, muss im ersten Schritt die Informationsversorgung sichergestellt werden[6]. Zweitens hat das Beschaffungscontrolling eine Kontroll- und Steuerungsfunktion. Dafür bietet sich die Etablierung von drei bekannten Mechanismen an: (1) ein Kennzahlensystem[7], (2) „Total Cost of Ownership“-Bewertung[8] und (3) eine Lieferantenbewertung[9]. So aufgesetzt, ergänzt das Beschaffungscontrolling die bestehende Planungsfunktion der einkaufenden Organisation des Bundes. Auf Basis der Zielstellungen des Beschaffungscontrollings ergibt sich folgende Prozessarchitektur:
- Erfassung und Planung der Ausgaben (ITRWEB 2.0 / IT-PLUTO, Informationsversorgung)
- Informationsbeschaffung: Zustellung eines digitalen Fragebogens an den Zulieferer (Informationsversorgung)
- Bewertung der vorgelegten Information des Zulieferers und der zu beschaffenden
IT-Sache mit (a) Kriterienkatalog (b) Kennzahlensystem und (c) TCO-Methode oder Lieferantenbewertung (Kontrolle und Steuerung) - Erfassung der Informationen und Bewertungen, B. über ITR4Web Platform
- Jährliche Erneuerung und Auswertung der Informationen zu den Kennzahlen und zu den Kriterien; Monitoring (Informationsversorgung und Kontrolle)
Offen bleibt die Frage, ob das Beschaffungscontrolling die Verantwortung für die Bewertung der jährlichen Berichterstattung durch die Lieferanten übernehmen kann („Contract Management“) oder ob dafür zusätzliche Ressourcen oder Werkzeuge (z.B. eine KI-gestützte Bewertung der jährlichen Kennzahlen) geschaffen werden müssen. Die Bewertung der Kennzahlen erfordert Kompetenzen im Bereich der IT-Steuerung, welche in den einkaufenden Organisationen möglicherweise nicht vorhanden sind.
Etablierte Mechanismen zur IT-Steuerung
Mit einem Kennzahlensystem[10] kann durch den vorgeschlagenen Prozess nicht nur die Kontrollfunktion, sondern auch die Steuerungsfunktion wahrgenommen werden. Mit den gewonnenen Daten aus der Ermittlung der Beschaffungskennzahlen sollen Zielkonflikte gelöst, sowie Abweichungen, Chancen und Risiken erkannt werden. Weiter können damit Ergebnisse gemessen und Rationalisierungspotenziale erschlossen werden. Das System dient als Orientierungsrahmen und erleichtert zudem die Beurteilung der Zielerreichung.
Ein Kennzahlensystem für IT-Beschaffung des Bundes gibt es nach unseren Recherchen bisher nicht und findet sich daher als Vorschlag in diesem Papier. Das Kennzahlensystem muss sowohl regulatorische Rahmenbedingungen erfassen (NIS2, DORA, EU Cybersecurity Act, EU Cyber Resilience Act, DSGVO), sicherheitsrelevanten Anforderungen folgen (BSI) und die Umsetzung von Rahmenbedingungen prüfen (Deutschland-Stack, OZG-Rahmenarchitektur, IT-Architekturrichtlinie des Bundes, Blauer Engel) und sollte dabei auf etablierten Standards aufbauen (ISO/IEC 27000-Reihe, 25000-Reihe, 20000-Reihe, 38500-Reihe, ISO/IEC 12207). Zudem gibt es praxisorientierte Rahmenwerke aus der Wirtschaft, die bei der Schaffung von Kennzahlen hilfreich sein können (ITIL 4, TOGAF 10, COBIT 2019, sowie die Prinzipien der FinOps Stiftung). Auf Basis des Kennzahlen- und Kriterienkatalogs kann in der Folge eine Lieferantenbewertung durchgeführt werden.
Total Cost of Ownership (TCO) dient der kompletten Erfassung der entstehenden Kosten durch die Beschaffung eines IT-Systems. Durch TCO soll die einseitige Konzentration auf die Anschaffungskosten verhindert und die Kosten für den eigentlichen Beschaffungsprozess, die Wartung, Instandhaltung und Entsorgung ebenfalls in die Betrachtung miteinbezogen werden. Ziel dieses Konzepts ist es, die Lieferantenwahl und -beurteilung zu optimieren[11]. Das Äquivalent zu dieser Methode aus der Wirtschaft ist im Kontext der Bundesverwaltung die WiBe Methode (5.0) für die Durchführung von Wirtschaftlichkeitsbetrachtungen in der Bundesverwaltung, insbesondere beim Einsatz der IT[12].
Wird die Beschaffung durch eine Vertragsmanagement-Funktion erweitert, ist es sinnvoll, dass in diesem Rahmen jährliche Monitoringberichte von den Lieferanten zu den Kennzahlen eingefordert und von der einkaufenden Stelle überprüft werden. Aus Erfahrungen von Einkaufsorganisationen in ganz Europa ist das Vertragsmanagement die zentrale Aufgabe für langlaufende IT-Verträge. Die notwendige Kompetenz für die Bewertung der Kennzahlen und erbrachten Leistungen fehlt in vielen Einkaufsorganisationen und kann durch zusätzliche Ressourcen oder digitale Werkzeuge geschaffen werden.
Vorschlag zum Kriterienkatalog & Kennzahlsystem
| Dimension | Relevanz | Kernfrage |
| Softwaresicherheit | Cybersicherheit der IT-Systeme des Bundes |
Ist das IT-System nach EU & BSI Anforderungen gesichert und werden Sicherheitsaspekte im Betrieb kontinuierlich überwacht? |
| Physische Sicherheit |
Sicherung der IT-Systeme in Krisensituationen |
Ist der physische Standort des IT-Systems bekannt, sind entsprechende physische Sicherheitsmaßnahmen nach BSI umgesetzt und kann der Standort in Krisensituationen geschützt werden? |
| Funktionalität | Konsolidierung von IT-Systemen, Nutzung geteilter Infrastruktur, Standards und Dienste (z.B. Deutschland-Stack) |
Kann die geforderte Funktion durch bestehende IT-Systeme abgedeckt werden? Werden für die Erfüllung die Standards und Dienste des Deutschland-Stacks genutzt? |
| Betrieb | Governance und Prozessfähigkeit für den Betrieb | Wird der Betrieb sichergestellt und werden standardisierte und regelkonforme Prozesse genutzt? |
| Finanzen | Betriebskosten, Schaffungskosten, Wirtschaftlichkeit, Kosten-Nutzen | Entsprechen die IT-Systemkosten dem Nutzen? („Total Cost of Ownership“) |
| Nachhaltigkeit | Umweltmanagement, Effizienz und Klimaziele | Werden bei der Schaffung und dem Betrieb der IT-Systeme die notwendigen Maßnahmen ergriffen, um Klimaziele einzuhalten? |
