KI im Secure Software Development Life Cycle (KISDL)

Bundesamt für Sicherheit in der Informationstechnik | Vergabekammern des Bundes beim Bundeskartellamt | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)Bonn, Nordrhein-WestfalenVeröffentlicht: 08. September 2026

Angebotsfrist: 24. September 2026

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) vergibt im offenen Verfahren eine Forschungs- und Entwicklungsdienstleistung zum Einsatz von Künstlicher Intelligenz (KI) im sicheren Software-Entwicklungslebenszyklus (SSDLC).

Gefordert sind eine Marktstudie zu KI-basierten Codeanalyse-Tools, Best Practices und ein Proof of Concept (Pflicht-Arbeitspakete). Optional können eine Aktualisierung der CC-Bewertungsmetrik, eine Guideline für Prüfstellen sowie eine Referenzarchitektur für die Open-Source-Plattform Open CoDE beauftragt werden.

Vertragslaufzeit: 8 Monate ab Zuschlag. Angebote sind elektronisch über die E-Vergabe-Plattform des Bundes (evergabe-online.de) bis zum 24.09.2026 um 10:00 Uhr MESZ einzureichen.

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert

Angebotsfrist: 24. September 2026

Termin / FristAUG2026 OKT DEZ FEB APR JUN AUG

Veröffentlichung24. Aug. 2026

Bieterfragen-Frist11. Sep. 2026

Angebotsfrist24. Sep. 2026

Angebotsöffnung24. Sep. 2026

Bindefrist24. Sep. – 24. Dez. 2026

Zuschlagca. 25. Dez. 2026

Vertragsbeginnca. 25. Dez. 2026

AP 2 Studie KI im SSDLCca. 25. Dez. 2026 – 25. Apr. 2027

Vertragslaufzeitca. 25. Dez. 2026 – 25. Aug. 2027

Auftaktbesprechungca. 22. Jan. 2027

AP 3 Best Practices und PoCca. 25. Feb. – 25. Apr. 2027

Zwischenworkshop (AP 4)ca. 25. Apr. 2027

AP 5 CC-Bewertungsmetrikca. 25. Mai – 25. Aug. 2027

AP 6 Guideline Prüfstellenca. 25. Mai – 25. Aug. 2027

AP 7 Referenzarchitektur Open CoDEca. 25. Mai – 25. Aug. 2027

Abschlussworkshop (AP 8)ca. 25. Aug. 2027

Vertragsendeca. 25. Aug. 2027

vor Angebotsabgabenach Angebotsabgabegeschätzt

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen

Richtwertmethode0 Kriterien

Erweiterte Richtwertmethode: Kennzahl = Leistungspunkte (LP) / Bewertungspreis. Schwankungsbereich von 10% um die höchste Kennzahl. Angebote unterhalb des Schwankungsbereichs werden ausgeschlossen. Bei verbleibenden Angeboten erhält das Angebot mit der höchsten Leistungspunktzahl den Zuschlag; bei identischer LP erhält das preislich günstigere Angebot den Zuschlag.

KI-Hinweis: Die Vergabeart (erweiterte Richtwertmethode) und das Bewertungsverfahren sind beschrieben, jedoch sind die konkreten Zuschlagskriterien (A- und B-Kriterien) mit Gewichtungsfaktoren laut Verweis in Kapitel 6.2.1.4 definiert, das im vorliegenden Auszug nicht enthalten ist.

Leistungsumfang

Aus den Vergabeunterlagen

Rahmenbedingungen für alle Arbeitspakete

Projektsprache: Deutsch; Ergebnisdokumente der AP 2, 3 und 5 zusätzlich auf Englisch; Code-Kommentare in EnglischBarrierefreie Dokumente (BITV 2.0, PDF/UA) für AP 2, 3, 5, 6 und 7Verschlüsselte Kommunikation mit dem BSI per OpenPGP oder S/MIMERegelmäßige Statusberichte: alle 14 Tage per E-Mail an den AuftraggeberErgebnisdokumente: als DOCX oder PDF, Metadaten-bereinigt, max. 4 sprachliche Fehler pro SeiteGeschlechtergerechte Sprache ohne Genderstern, Doppelpunkt oder UnterstrichKeine Beauftragung direkter Konkurrenten von KI-Tool-HerstellernRegelmäßige Arbeitstreffen (Videokonferenz) alle 2 Wochen während AP 2, 3, 5, 6 und 7Ergebnisprotokolle innerhalb von 3 Werktagen nach jeder BesprechungVertragslaufzeit: 8 Monate ab ZuschlagserteilungZahlungsmodalität: E-Rechnung gemäß ERechV; Rechnungsstellung max. 30 Kalendertage nach Meilensteineintritt; Zahlungsziel 30 Tage

Pflicht-Arbeitspakete

AP 1 – Auftaktbesprechung und Feinkonzept (Festpreis)

Virtuelle Auftaktbesprechung (max. 0,5 Arbeitstag, max. 4 Personen AN) spätestens 4 Wochen nach AuftragserteilungEtablierung der KommunikationswegeBesprechungsprotokoll und ggf. aktualisierter Meilensteinplan innerhalb 1 Woche

AP 2 – Studie zu KI im SSDLC (Aufwand, Obergrenze 130 PT + max. 25.000 € Lizenzkosten netto)

Umfassende Studie (30–45 Seiten, deutsch und englisch)Marktübersicht über Tools und Toolklassen, ForschungsstandsanalyseMulti-Criteria-Analyse mit BewertungskriterienPraktische Untersuchung anhand von TestfällenVorauswahl der vielversprechendsten Tools (max. 3 pro Toolklasse)Dual-Use-AnalyseAbschluss: 4 Monate nach Projektstart

AP 3 – Best Practices und Proof of Concept (Aufwand, Obergrenze 50 PT)

Best Practices (5–15 Seiten) für die sichere und zielführende Nutzung von KI-Tools im SSDLCPoC als Framework mit Anforderungskatalog (~1 Seite)DokumentationAbschluss: 4 Monate nach Projektstart

AP 4 – Zwischenworkshop (Festpreis)

Präsentation der Ergebnisse aus AP 2 und AP 3 als PowerPoint (max. 4 Stunden)Präsentationsfolien 5 Werktage vorab einreichenBesprechungsprotokoll innerhalb 1 WocheTermin: 4 Monate nach Projektstart

Optionale Arbeitspakete

AP 5 – Aktualisierung CC-Bewertungsmetrik (Aufwand, Obergrenze 66 PT)

Untersuchung des Einflusses von KI auf die AVA-Bepunktung (CEM:2022 Anhang B)Empirische Untersuchungen mit/ohne KI-EinsatzSchriftliche Empfehlungen für die AVA-Tabelle5 bis 8 Monate nach Projektstart

AP 6 – Guideline KI-Tools in Prüfstellen (Aufwand, Obergrenze 60 PT)

Guideline für Einsatz von KI-Tools in Prüfstellen und bei Herstellern (Horizont 2–3 Jahre)Abdeckung von Toolklassen, Kosten, Voraussetzungen und SchwachstellenkategorienVerständlich für Hersteller formuliert5 bis 8 Monate nach Projektstart

AP 7 – Referenzarchitektur Open CoDE (Aufwand, Obergrenze 50 PT)

Referenzarchitektur (mind. 5 Seiten) für die Integration von KI-Tools in Open CoDEVorauswahl geeigneter ToolsKostenschätzung (einmalig und wiederkehrend)Berücksichtigung von Open Weight Models (digitale Souveränität)5 bis 8 Monate nach Projektstart

AP 8 – Abschlussworkshop (Festpreis)

Halbtägige Abschlusspräsentation vor FachpublikumFoliensatz (MS PowerPoint) mindestens 10 Werktage vorabAbschlussbericht (~5 Seiten)Termin: 8 Monate nach Projektstart

Beauftragung optionaler Arbeitspakete

Optionale AP können nur vom BSI beauftragt werdenVorlaufzeit: mindestens 2 Wochen vor geplantem StartDer Auftragnehmer kann sich vertraglich nicht auf die Beauftragung berufen

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Zwingende Eignungsanforderungen (Ausschlusskriterien)

Referenzen, Personalanforderungen und Zuschlagskriterien sind in der Leistungsbeschreibung detailliert definiert; Mindeststandards sind als Ausschlusskriterien formuliert. Alle Anforderungen gelten für das gesamte Projekt (keine Losaufteilung).

Eigenerklärung Art. 5k VO (EU) 833/2014 (EU-Sanktionen gegen Russland): Bestätigung mit 'JA'. 'NEIN' führt zum Ausschluss.Erklärung Interessenskonflikt: Bestätigung 'JA'; bei 'NEIN' Erläuterung und Lösungsansatz; das BSI entscheidet über Berücksichtigung.Mindestens 2 Referenzen, die alle vier Pflicht-Erfahrungsbereiche abdecken (KI-Tool-Integration, IT-Sicherheit, wissenschaftliches Publizieren, innovativer SSDLC-Pilotbetrieb).Mindestens 1 Referenz für Marktanalyse/-bewertung (letzte 3 Jahre) im Bereich IT-Sicherheit oder KI.Technische Ausrüstung: Fähigkeit, die Leistung mit der geforderten technischen Ausrüstung zu erbringen, insbesondere Hardware für KI-Tools mit hohem VRAM-Bedarf.

Anforderungen an Projektleitung und Personal

Mindestanforderungen an die Qualifikation der eingesetzten Personen:

Projektleitung (PL)

Mindestens 1 Referenz als Leitung eines vergleichbaren KI-ForschungsprojektsMaster oder Diplom in Mathematik, Informatik, Natur- oder Ingenieurwissenschaften

Stellvertretende Projektleitung

Mindestens 1 Referenz als (stellv.) Leitung eines vergleichbaren ForschungsprojektsMaster oder Diplom in Mathematik, Informatik, Natur- oder Ingenieurwissenschaften

Teamqualifikation (mindestens 1 Person je Anforderung; verschiedene Personen möglich)

Erfahrung in mindestens 2 KI-ForschungsprojektenFachexpertise im Bereich SSDLCErfahrung in KI-Tool-Entwicklung und/oder -NutzungRelevante Programmierkenntnisse und FrameworksWissenschaftliche Dokumentenerstellung: mindestens 3 Publikationen im Bereich KI/Cybersicherheit, idealerweise mindestens 1 auf einer Tier-1-KonferenzWissen in Produktevaluierung

Alle Personen

Mindestens Bachelor in Mathematik, Informatik, Natur- oder Ingenieurwissenschaften ODER mindestens 5 Jahre einschlägige Berufserfahrung

Referenzprojekte

mind. 2 ReferenzenZeitraum: nicht spezifiziertVolumen: nicht spezifiziert

Mindestens 2 geeignete Referenzen, die alle 4 Pflicht-Erfahrungsbereiche abdecken (Integration KI-basierter Tools, IT-Sicherheit, wissenschaftliches Arbeiten/Publizieren, innovativer Test-/Pilotbetrieb im SSDLC). Eine Referenz darf mehrere Bereiche abdecken.

Detaillierte Darstellung des Auftragsgegenstands, Umfang/betroffener Erfahrungsbereich, Dauer, Auftragsvolumen; max. 2 DIN-A4-Seiten (Calibri 11pt). Keine Referenzschreiben nötig.

mind. 1 ReferenzenZeitraum: letzte 3 JahreVolumen: nicht spezifiziert

Mindestens 1 Referenzprojekt zu Marktanalyse/-bewertung im Bereich IT-Sicherheit oder KI aus den letzten 3 Jahren, mit Produktübersicht, Definition von Bewertungskriterien und objektivem Produktvergleich.

Max. 1 DIN-A4-Seite (ohne Anhang). Keine Referenzschreiben nötig.

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.

Wettbewerb & Angebotsprognose

Erwartete Konkurrenz auf Basis vergleichbarer Vergaben

1–3Angebote erwartet

Median vergleichbarer Vergaben: rund 2 Angebote

Geringe Konkurrenz

Wahrscheinliche Bieterzahl

1–3 · 46%4–10 · 39%11+ · 15%

Checkliste zur AngebotsabgabeKonkrete Schritte laut Vergabeunterlagen0 von 28 erledigt

Teilnahme & Formalien

Pflicht-Anlagen zum Angebot

Eignungsnachweise

Qualitative Zuschlagskriterien (KG 1)

Quantitative Zuschlagskriterien (KG 2)

Verlauf dieser Vergabe

2 Bekanntmachungen

08.09.2026Ausschreibungauf dieser Seite
24.08.2026Ausschreibung

Mit TendiGo

Finden Sie weitere passende Ausschreibungen und prüfen Sie mit KI, ob Ihr Unternehmen die Anforderungen erfüllt.

Diese Ausschreibung mit KI prüfen

Zur Original-Ausschreibung ↗

Auf einen Blick

Auftraggeber

Bundesamt für Sicherheit in der Informationstechnik | Vergabekammern des Bundes beim Bundeskartellamt | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)

Anschrift

53133 Bonn

Ort

53133 Bonn

Kategorie

Nordrhein-Westfalen

Veröffentlicht

08. September 2026

Angebotsfrist

24. September 2026

Auftraggeber-Website

www.bsi.bund.de/DE/Home/home_node.html ↗