Kapitel 4
Sicherheit und Resilienz
Artikel 66
Sicherheitserwägungen bei der Vergabe öffentlicher AufträgeErsetzt: Erwägungsgrund 41 Richtlinie 2014/24/EU
1. Auftraggeber ergreifen zusätzlich zu den Maßnahmen, die gegebenenfalls aufgrund anderer Rechtsvorschriften der Union erforderlich oder vorgeschrieben sind, in jeder Phase des Vergabeverfahrens, von der Planung und Marktkonsultation bis zur Auftragsvergabe und -ausführung, geeignete Maßnahmen, um den Schutz der Sicherheitsinteressen und der öffentlichen Sicherheit der Union oder eines oder mehrerer Mitgliedstaaten bei allen öffentlichen Vergabeverfahren zu gewährleisten, bei denen festgestellt wurde, dass sie ein Risiko für die Sicherheit oder die öffentliche Sicherheit darstellen oder beinhalten. Dieses Kapitel lässt andere Anforderungen der einschlägigen Rechtsvorschriften der Union unberührt.
2. Die für einen bestimmten Auftrag relevanten Interessen der Union oder eines Mitgliedstaats in den Bereichen Sicherheit und öffentliche Sicherheit können unter anderem Folgendes umfassen:
a) Schutz kritischer Infrastrukturen und strategischer Infrastrukturen mit doppeltem Verwendungszweck, die von den Mitgliedstaaten gemäß [Artikel 33 der Verordnung über die militärische Mobilität] ermittelt wurden, insbesondere solcher, die sich in einem Korridor für die militärische Mobilität, kritischen Lieferketten, kritischen Technologien oder wesentlichen Diensten befinden, Resilienz gegenüber physischen, Cyber- oder hybriden Bedrohungen sowie Prävention und Schutz vor dem Risiko einer Störung, auch aufgrund schädlicher strategischer Abhängigkeiten von Lieferanten aus Drittländern,
b) Verhinderung von Spionage, Sabotage oder Technologieaustritt;
c) Krisenvorsorge, einschließlich Betriebskontinuität und Notfallplanung für Störungen im Falle von Naturkatastrophen oder geopolitischer Instabilität, Pandemien oder Cyberangriffen;
d) die Verhinderung anderer funktechnischer Störungen, einschließlich der staatlich kontrollierten Einflussnahme aus Drittländern und Drittländern;
e) die Cybersicherheit der Systeme, Netze und verarbeiteten Daten;
f) den Schutz von Verschlusssachen, sensiblen Daten, Forschungsergebnissen oder geistigem Eigentum vor unbefugtem Zugriff oder unbefugter Weitergabe;
g) Gewährleistung der öffentlichen Gesundheit, einschließlich krisenvorsorgender und autarker Gesundheitsdienste; oder
h) Widerstandsfähigkeit gegenüber klimabedingten Störungen.
3. Risiken für die Sicherheit oder die öffentliche Sicherheit bei einem öffentlichen Auftrag können sich insbesondere ergeben aus:
a) den Auftragsgegenstand, z. B.:
i) Sensibilität der an ihrer Umsetzung beteiligten oder zu entwickelnden Vermögenswerte;
ii) Zugang zu und Umgang mit sensiblen Daten;
iii) kritische Abhängigkeit oder Risiko einer kritischen Abhängigkeit von einer begrenzten Zahl von Lieferanten, Waren, Dienstleistungen oder Technologien aus Drittländern;
iv) Risiken im Zusammenhang mit dem Zugang zu kritischen Infrastrukturen, strategischen Infrastrukturen mit doppeltem Verwendungszweck, die von den Mitgliedstaaten gemäß [Artikel 33 der Verordnung über die militärische Mobilität] ermittelt wurden, Forschungseinrichtungen, IT-Systemen oder kritischen Materialien;
v) Dual-Use-Charakter der beschafften Technologien, Bauleistungen, Waren oder Dienstleistungen;
vi) die Art der damit verbundenen öffentlichen Interessen und die möglichen Folgen einer Fehlfunktion oder mangelhaften Leistung, z. B. Beeinträchtigung der öffentlichen Sicherheit, der nationalen Sicherheit, der wirtschaftlichen Stabilität, der Gesundheitssicherheit oder der Grundrechte;
b) die Merkmale der Wirtschaftsteilnehmer, wie z. B.:
i) Eigentums-, Kontroll- oder Finanzierungsstrukturen, die das Risiko einer ungebührlichen Einmischung oder Einflussnahme auf sie bergen;
ii) Sicherheitsbilanz, einschließlich früherer Verstöße, der Nichteinhaltung von Sicherheitsstandards oder des Ausschlusses von anderen Vergabeverfahren aus Sicherheitsgründen;
iii) Fähigkeit, die geltenden Anforderungen an die Sicherheitsüberprüfung, die Sicherheitsüberprüfung des Personals oder die Informationssicherheit zu erfüllen;
iv) Exposition gegenüber Rechtsvorschriften von Drittländern, die die Offenlegung sensibler Informationen oder Eingriffe in die Vertragserfüllung vorschreiben können.
4. Auftraggeber legen, soweit möglich, in den Einzelheiten der Auftragsvergabe in klarer, hinreichend detaillierter Weise geeignete Maßnahmen fest, die in einem angemessenen Verhältnis zu den in Absatz 3 genannten Risiken stehen und nichtdiskriminierend sind. Diese Maßnahmen können insbesondere durch folgende Maßnahmen umgesetzt werden:
a) Spezifikationen wie verbindliche Sicherheitsnormen, Zertifizierungen, Verpflichtungen zur Überprüfung oder Sicherheitsüberprüfung des Personals oder Anforderungen an das Risikomanagement und die Vertrauenswürdigkeit;
b) Zuschlagskriterien wie die Bewertung der Sicherheitsmanagementsysteme der Bieter, der Standards für die Einhaltung der Sicherheitsvorschriften, der Fähigkeiten zur Reaktion auf Sicherheitsvorfälle und der Sicherheit der Lieferkette;
c) Bedingungen für die Ausführung von Aufträgen, wie die Ermöglichung der Sicherheitsaufsicht über Lieferanten durch Audits, Inspektionen oder Dokumentenprüfungen und die Umsetzung von Abhilfemaßnahmen im Falle von Verstößen, einschließlich Bestimmungen über die Vergabe von Unteraufträgen, die Meldung von Änderungen der Eigentumsverhältnisse und den Schutz von Verschlusssachen oder sensiblen Informationen;
d) in begründeten Fällen Auswahlkriterien, z. B. Besitz einer Sicherheitsüberprüfung oder anderweitige Verpflichtung der Bieter, nachzuweisen, dass sie keine Risiken für die Sicherheit oder die öffentliche Sicherheit gemäß Absatz 3 Buchstabe b darstellen. Dies gilt unbeschadet des Artikels 26;
e) abweichend von Artikel 34 Absatz 2 nur diejenigen Wirtschaftsteilnehmer zur Abgabe eines Angebots im Rahmen des Verfahrens nach Artikel 34 auffordern, die spezifische objektive und nichtdiskriminierende sicherheitsbezogene Anforderungen erfüllen, sofern der Auftraggeber in der öffentlichen Zusammenfassung des Wettbewerbs für die betreffende Auftragsvergabe seine Absicht, dies zu tun, und die Sicherheitsanforderungen, die er anzuwenden beabsichtigt, bekundet hat.
Auftraggeber können in den Einzelheiten der Auftragsvergabe auch angeben, welche Sicherheitsmaßnahmen sie zu ergreifen beabsichtigen, wenn während des Vergabeverfahrens Risiken für die Sicherheit oder die öffentliche Sicherheit auftreten.
5. Auftraggeber schließen einen Wirtschaftsteilnehmer jederzeit während des Verfahrens von der Teilnahme an einem Vergabeverfahren aus, wenn der Wirtschaftsteilnehmer als Hochrisikolieferant gemäß der Verordnung (EU) XXXX/XXX [CSA2-Vorschlag] in Bezug auf die Bereitstellung von IKT-Komponenten oder -Komponenten, die IKT-Komponenten zur Verwendung in wichtigen IKT-Assets gemäß Artikel [...] der genannten Verordnung enthalten, ermittelt wurde.
6. Wenn es Hinweise darauf gibt, dass Unterschiede bei den Maßnahmen das Funktionieren des Binnenmarkts beeinträchtigen, wird der Kommission die Befugnis übertragen, gemäß Artikel 141 delegierte Rechtsakte zu erlassen, um diese Verordnung durch die Festlegung verbindlicher technischer Spezifikationen, Auswahlkriterien, Zuschlagskriterien oder Auftragsausführungsklauseln für bestimmte Kategorien von Waren, Dienstleistungen oder Bauleistungen zu ergänzen, wenn diese Elemente einem bestimmten spezifischen Sicherheits- und öffentlichen Sicherheitsinteresse der Union dienen.
Chapter 4
Security and resilience
Article 66
Security considerations in public procurementReplaces: Recital 41 Directive 2014/24/EU
1. Public buyers shall take appropriate measures, in addition to measures required or imposed by virtue of other Union legislation, where relevant, at any stage of the procurement procedure, from planning and market consultation to contract award and execution, to ensure the protection of the security and public safety interests of the Union or one or more Member States for any public procurement procedure identified as presenting or including a risk for security or public safety. This Chapter is without prejudice to other requirements under relevant Union legislation.
2. Security and public safety interests of the Union or a Member State relevant for a given contract may include, but are not limited to, the following:
(a) protection of critical infrastructure, strategic dual-use infrastructure, identified by Member States in accordance with [Article 33 of the Military Mobility Regulation], especially for those located on a military mobility corridor, critical supply chains, critical technologies or essential services, resilience against physical, cyber, or hybrid threats, and prevention across and protection against risks of any disruption including due to harmful strategic dependencies on third-country suppliers,
(b) prevention of espionage, sabotage or technology leakage;
(c) crisis preparedness, including business continuity and contingency planning for disruptions in case of natural disasters or geopolitical instability, pandemics or cyberattacks;
(d) the prevention of other harmful interference, including third-country and third-country state-controlled influence;
(e) the cybersecurity of systems, networks, and data processed;
(f) the protection of classified information, sensitive data, research, or intellectual property from unauthorised access or transfer;
(g) ensuring public health, including crisis-prepared and self-sufficient health services; or
(h) resilience to climate-related disruptions.
3. Risks for security or public safety in a public contract may arise in particular from:
(a) the subject-matter of the contract, such as:
(i) sensitivity of the assets involved or to be developed in its implementation;
(ii) access to and handling of sensitive data;
(iii) critical dependency or risk of critical dependency on a limited number of third-country suppliers, goods, services or technologies;
(iv) risks associated with access to critical infrastructure, strategic dual-use infrastructure identified by Member States in accordance with [Article 33 of the Military Mobility Regulation], research facilities, IT systems, or critical materials;
(v) dual-use nature of the technologies, works, goods or services procured;
(vi) the nature of the public interests attached to it and the potential consequences of a malfunction or malperformance, such as harm to public safety, national security, economic stability, health security or fundamental rights;
(b) the characteristics of economic operators, such as:
(i) ownership, control, or financing structure bearing risks of undue interference or influence over it;
(ii) security track record, including past breaches, non-compliance with security standards, or exclusion from other procurement procedures on security grounds;
(iii) capacity to meet applicable security clearance, personnel vetting, or information security requirements;
(iv) exposure to third-country legislation that may compel disclosure of sensitive information or interference with contract performance.
4. Public buyers shall, to the extent possible specify in the procurement detail in a clear, sufficiently detailed manner appropriate measures that are proportionate to the risks referred to in paragraph 3 and non-discriminatory. Such measures may be implemented, in particular through:
(a) specifications, such as mandatory security standards, certifications, personnel vetting or security clearance obligations, or risk management and assurance requirements;
(b) award criteria, such as evaluating bidders’ security management systems, security compliance standards, incident response capabilities, supply chain security;
(c) conditions for the performance of contracts, such as enabling security oversight of suppliers through audits, inspections, or documentation reviews and implementation of corrective measures in case of breaches, including provisions on subcontracting, ownership change notification, and the protection of classified or sensitive information;
(d) selection criteria, where justified, such as possessing security clearances or otherwise requiring bidders to establish that they do not present risks for security or public safety pursuant to point (b) of paragraph 3. This shall be without prejudice to Article 26;
(e) by derogation from Article 34(2), invite to submit a tender in the procedure referred to in Article 34 only those economic operators who meet specific objective and non-discriminatory security-related requirements, provided that the public buyer has indicated its intention to do so, and the security-related requirements it intends to apply, in the public summary of competition for the procurement in question.
Public buyers may also indicate in the procurement detail which security measures they intend to implement where risks for security or public safety arise during the procurement procedure.
5. Public buyers shall at any time during the procedure exclude an economic operator from participation in a procurement procedure where the operator has been identified as a high-risk supplier pursuant to Regulation (EU) XXXX/XXX [CSA2 proposal] in relation to the provision of ICT components or components that include ICT components to be used in key ICT assets as identified in accordance with Article […] of that Regulation.
6. Where there is evidence that disparities in measures affect the functioning of the internal market, the Commission is empowered to adopt delegated acts in accordance with Article 141 in order to supplement this Regulation by establishing mandatory technical specifications, selection criteria, award criteria or contract performance clauses, for specific categories of goods, services or works where such elements address an identified specific security and public safety interest of the Union.