Projekt 1034: Technische Umsetzung einer SBOM für KI (SBOM4AI)

Bundesamt für Sicherheit in der Informationstechnik | Vergabekammer des Bundes beim BundeskartellamtBonn, Nordrhein-WestfalenVeröffentlicht: 30. August 2026

Angebotsfrist: 28. September 2026

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sucht einen Dienstleister für die technische Umsetzung einer Software Bill of Materials für KI-Systeme (SBOM4AI).

Das G7-Konzept „SBOM for AI – Minimum Elements" soll in eine praxistaugliche, automatisierte Lösung überführt werden, die idealerweise die bestehenden Formate SPDX oder CycloneDX erweitert – andernfalls ist ein eigenes Format zu entwickeln.

Kernleistungen:

Markt- und MachbarkeitsanalyseErstellung von Optionen/Workarounds und Stakeholder-AustauschErarbeitung einer importierbaren Kriterienliste (OSCAL)Technische Voranalysen und Prototypoptional: Integration in bestehendes SBOM-Format ODER Entwicklung eines neuen KI-SBOM-Formatsoptional: Test, Endabnahme und VeröffentlichungAbschlusspräsentation und -bericht

Die Projektlaufzeit beträgt maximal 18 Monate, das Vergabeverfahren ist offen, Zuschlagskriterium ist Qualität.

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert

Angebotsfrist: 28. September 2026

Termin / FristAUG2026 NOV FEB MAI AUG NOV FEB MAI

Veröffentlichung28. Aug. 2026

Bieterfragen-Fristca. 16. Sep. 2026

Veröffentlichung der Bieterantwortenca. 22. Sep. 2026

Angebotsfrist28. Sep. 2026

Angebotsöffnung28. Sep. 2026

Angebotsgültigkeitca. 28. Sep. – 28. Dez. 2026

Vertragsbeginnca. 28. Dez. 2026

Vertragslaufzeitca. 28. Dez. 2026 – 27. Juni 2028

AP 2 Marktanalyseca. 1. Jan. – 28. Feb. 2027

AP 1 Auftaktworkshop und Feinkonzeptca. 25. Jan. 2027

AP 3 Machbarkeitsanalyseca. 1. Feb. – 30. Apr. 2027

AP 4 Optionen und Workaroundsca. 1. Feb. – 31. Mai 2027

Aktualisierter Meilensteinplanca. 8. Feb. 2027

AP 5 Stakeholder-Austauschca. 1. Mai – 30. Juni 2027

AP 6 Importierbare Kriterienlisteca. 1. Juni – 31. Juli 2027

AP 7 Technische Voranalysen und Prototypca. 1. Juli – 31. Okt. 2027

AP 8 Stakeholder-Abstimmung (optional)ca. 1. Okt. 2027 – 29. Feb. 2028

AP 9 Integration Kriterienliste (optional)ca. 1. Okt. 2027 – 29. Feb. 2028

AP 10 Neues SBOM-Format (optional)ca. 1. Okt. 2027 – 29. Feb. 2028

AP 11 Testen und Evaluieren (optional)ca. 1. Feb. – 31. März 2028

AP 12 Endabnahme (optional)ca. 1. März – 30. Apr. 2028

AP 13 Veröffentlichung der Lösung (optional)ca. 1. Apr. – 31. Mai 2028

AP 14 Abschlusspräsentation und Abschlussberichtca. 1. Mai – 30. Juni 2028

Abgabe Abschlussbericht und Präsentationsunterlagenca. 17. Mai 2028

vor Angebotsabgabenach Angebotsabgabegeschätzt

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen

Richtwertmethode8 Kriterien

KG1: Inhaltliche Auseinandersetzung mit der Leistung
Kriteriengruppe mit 6 Kriterien zur inhaltlichen Auseinandersetzung. Summe LPmax = 24, LPmin = 6. Besteht aus A-Kriterien (Ausschlusskriterien) und B-Kriterien (Bewertungskriterien).
KG2: Projektorganisation und Kosten
Kriteriengruppe mit A-Kriterien zu Projektorganisation und Kosten. Keine B-Kriterien (keine Bewertungspunkte). (Aspekte: Personalprofile und Rollen, Kalkulation der Festpreise, Kalkulation der maximalen Obergrenzen, Zahlungs- und Meilensteinplan)
KG4: Nachhaltige Auseinandersetzung mit der Leistung
Kriteriengruppe mit B-Kriterium zur Nachhaltigkeit. LPmax = 4, LPmin = 1, GF = 1.

Erweiterte Richtwertmethode: 1. Schritt: Kennzahl = Leistungspunkte (LP) / Bewertungspreis für jedes Angebot. 2. Schritt: Schwankungsbereich von 10% um die höchste Kennzahl; Angebote unterhalb des Schwankungsbereichs werden nicht berücksichtigt. 3. Schritt: Zuschlag auf das Angebot mit der höchsten Leistungspunktzahl; bei identischer LP-Zahl auf das preislich günstigere Angebot. LP = Summe der Bewertungspunkte (0-4 BP) multipliziert mit Gewichtungsfaktor (GF) je B-Kriterium.

KI-Hinweis: Alle Zuschlagskriterien mit Gewichtungsfaktoren (GF) und Bewertungsskala (0-4 BP) sind in Kapitel 6.2.1.4 der Leistungsbeschreibung vollständig dokumentiert. Die Vergabeart ist die erweiterte Richtwertmethode gemäß Kapitel 5.2.3, bei der der Preis nicht als eigenes gewichtetes Kriterium erscheint, sondern über den Bewertungspreis in die Kennzahl LP/Bewertungspreis einfließt.

Leistungsumfang

Aus den Vergabeunterlagen

Hintergrund & Zielsetzung

Aufbauend auf dem G7-Konzept „SBOM for AI – Minimum Elements" soll eine automatisierte Lösung zur Erstellung einer SBOM für KI entwickelt werden. Die Lösung soll idealerweise in die bestehenden SBOM-Formate SPDX oder CycloneDX integriert werden; ist dies nicht möglich, ist ein eigenes SBOM-Format für KI zu entwickeln. Die Lösung wird anschließend allen Interessenträgern zur Verfügung gestellt, um einen Beitrag zur Cybersicherheit von KI-Systemen zu leisten und Transparenzlücken in der KI-Lieferkette zu schließen.

Arbeitspakete im Überblick (verbindlich & optional)

Verbindliche Arbeitspakete:

AP 1 Auftaktworkshop und Feinkonzept (Festpreis)AP 2 Marktanalyse (Aufwand, max. 6 PT)AP 3 Machbarkeitsanalyse (Aufwand, max. 13 PT)AP 4 Erstellung von Optionen und ggf. Workarounds (Aufwand, max. 8 PT)AP 5 Austausch mit Stakeholdern der als geeignet identifizierten Ansätze (Aufwand, max. 6 PT)AP 6 Erstellen einer importierbaren Kriterienliste im OSCAL-Format (Aufwand, max. 6 PT)AP 7 Technische Voranalysen und Prototyp zur Belegung der Machbarkeit (Aufwand, max. 50 PT)AP 14 Abschlusspräsentation und Abschlussbericht (Festpreis)

Optionale Arbeitspakete (müssen angeboten werden, können aber abgewählt werden):

AP 8 Abstimmung mit Stakeholdern – nur wenn Integration in bestehendes Format angestrebt (max. 20 PT)AP 9 Integration der Kriterienliste in bestehendes SBOM-Format – nur wenn Integration möglich (max. 93 PT)AP 10 Entwicklung eines neuen Formats für SBOM für KI – nur wenn Integration nicht möglich (max. 113 PT)AP 11 Testen und Evaluieren der erarbeiteten Lösung (max. 13 PT)AP 12 Endabnahme der erarbeiteten Lösung inkl. Dokumentation (Festpreis)AP 13 Veröffentlichung der erarbeiteten Lösung (Festpreis)

Steuerungslogik: Bei negativem Ergebnis von AP 3, 5 oder 7 wird AP 10 beauftragt statt AP 8+9. Kann der Aufwand für AP 10 nicht in Ressourcen gebracht werden, wird das Projekt abgebrochen (dann entfallen AP 11-13). AP 14 bleibt unberührt.

Zeitplan & Meilensteine

Die Projektlaufzeit beträgt maximal 18 Kalendermonate ab Auftragserteilung. Geplante Eckpunkte:

Auftaktworkshop (AP 1): spätestens 4 Kalenderwochen nach AuftragserteilungAP 2 Marktanalyse: Monat 1-2AP 3 Machbarkeitsanalyse: Monat 2-4AP 4 Optionen/Workarounds: Monat 2-5AP 5 Stakeholder-Austausch: Monat 5-6AP 6 Kriterienliste: Monat 6-7AP 7 Voranalysen/Prototyp: Monat 7-10AP 8-10 (optional): Monat 10-14AP 11 (optional): Monat 14-15AP 12 (optional): Monat 15-16AP 13 (optional): Monat 16-17AP 14 Abschlusspräsentation/-bericht: Monat 17-18Aktualisierter Meilensteinplan: spätestens 6 Kalenderwochen nach AuftragserteilungAbschlusspräsentation: max. halbtägig virtuell, Präsentationsunterlagen und Abschlussbericht mind. 2 Wochen vorab auf KollaborationsplattformAbschlussbericht: ca. 5 Seiten (BundesSans Regular, 11pt, 1,25-facher Zeilenabstand)

Rahmenbedingungen für alle Arbeitspakete

Projektsprache: Deutsch – Ergebnisdokumente auf EnglischKollaborationsplattform: BSCW Social des ITZBundAuftaktworkshop: in Präsenz in SaarbrückenAbschlusspräsentation: virtuellArbeitstreffen: regelmäßig virtuell (mind. 1 pro AP)Barrierefreiheit: alle Ergebnisdokumente barrierefrei (BITV 2.0)Projektorganisation: Referat T26 des BSITagessatzbasis: 8 Stunden = 1 Personentag; max. 10 Stunden/Person/Tag abrechenbar

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Gesetzliche Mindestanforderungen (Ausschlusskriterien)

Keine Ausschlussgründe nach §§ 123, 124 GWB (Eigenerklärung bei Abgabe)Eigenerklärung zu Artikel 5k VO (EU) 833/2014 (Russland-Sanktionen) – muss mit „JA" beantwortet werdenKein Interessenskonflikt (z. B. Verpflichtung gegenüber oder Kooperation mit einem Hersteller eines untersuchten Formats); andernfalls ist ein Lösungsansatz darzulegenFachkundigkeit und Leistungsfähigkeit gemäß § 122 Abs. 1 GWB, § 31 Abs. 1 UVgO

Fachliche Eignung – Referenzen

Referenzen Gruppe 1 – SBOM/OSCAL/KI (mind. 3): Erfahrungsbereiche SBOM-Formate, OSCAL-Konzepte, SBOM-Implementierung, Markt-/Machbarkeitsanalyse, PrototypingReferenzen Gruppe 2 – KI-Sicherheit/Internationale Zusammenarbeit (mind. 3): Erfahrungsbereiche KI-Lieferkettensicherheit, KI-VO/CRA, wissenschaftliche Publikationen, internationale StakeholderPro Referenz max. 2 DIN-A4-Seiten (Auftraggeber inkl. Fachbereich, Auftragsgegenstand, Umfang, Dauer, Auftragsvolumen); eine Referenz darf mehrere Bereiche abdecken

Fachliche Eignung – Ausrüstung & Qualitätsmanagement

Technische Ausrüstung: Kurzübersicht, anhand derer das BSI die Leistungsfähigkeit beurteiltQualitätsmanagement: etabliertes, dokumentiertes QM mit Darstellung und ggf. Zertifizierungen

Mindestqualifikationen Personal

Projektleitung (PL): zertifiziertes PM (IPMA Level C oder PMP o. ä.); Leitung mind. 1 Projekts mit Schwerpunkt KI-Systeme; mind. 3 Jahre Berufserfahrung im europäischen KI-Recht (KI-VO, CRA)Marktanalyse-Personal: mind. 3 erfolgreiche Marktanalysen; mind. 3 Jahre Berufserfahrung IT-Sicherheit (KI-Lieferkettensicherheit)Entwickler/in: Hochschulabschluss Informatik o. ä.; praktische Erfahrung mit SPDX/CycloneDX; praktische Erfahrung mit OSCAL; aktive Teilnahme mind. 1 Fachkonferenz mit eigenem Vortragsbeitrag innerhalb der letzten 3 JahreMind. 1 Person mit Teamqualifikation: Whitepaper/wissenschaftliche Arbeit mit Projektbezug (letzte 5 Jahre, auf Englisch); erweiterte Kenntnisse barrierefreie Web-Inhalte/PDFs; Erfahrung projektbegleitendes QMAlle Teammitglieder (inkl. PL): verhandlungssicheres Englisch; mind. Bachelor in mathematisch-/informatisch-/natur-/ingenieurwissenschaftlichem Bereich oder mind. 3 Jahre einschlägige Berufserfahrung

Verfahrens- und Rahmenbedingungen

Verfahrensart: offenes VerfahrenZuschlagskriterium: QualitätGeeignet für KMU: jaNachforderung von Unterlagen: gemäß § 56 VgV zulässigBieterkonstellation: Einzelbieter, Bietergemeinschaft oder mit Unterauftragnehmern möglich; entsprechende Erklärungen sind beizufügenElektronische Rechnungsstellung: XRechnung über Rechnungseingangsplattform des Bundes; 30-Tage-Rechnungsfrist nach MeilensteinerreichungDirektauftrag: kein Direktauftrag an Konkurrenten der untersuchten HerstellerAngebotsgültigkeit: 3 Monate nach Ablauf der Angebotsfrist

Referenzprojekte

mindestens 3 ReferenzenZeitraum: nicht spezifiziertVolumen: nicht spezifiziert

Referenzen Gruppe 1 – SBOM/OSCAL/KI: Entwicklung und Anwendung von SBOM-Formaten; Erstellung von Konzepten im OSCAL-Format; Implementierung von Kriterien in gängige SBOM-Formate; Umsetzung einer Markt- und Machbarkeitsanalyse; Prototyping

Je Referenz max. 2 DIN-A4-Seiten: Auftraggeber inkl. Fachbereich, detaillierte Darstellung Auftragsgegenstand/Tätigkeit, Umfang/betroffener Erfahrungsbereich, Dauer, Auftragsvolumen. Keine Referenzschreiben erforderlich. Eine Referenz darf mehrere Bereiche abdecken.

mindestens 3 ReferenzenZeitraum: nicht spezifiziertVolumen: nicht spezifiziert

Referenzen Gruppe 2 – KI-Sicherheit/Internationale Zusammenarbeit: IT-Sicherheit/Lieferkettensicherheit von KI-Systemen; Anforderungen KI-VO und CRA; wissenschaftliche Publikationen im KI-Bereich; Erfahrung im Austausch mit internationalen Stakeholdern

Je Referenz max. 2 DIN-A4-Seiten mit Auftraggeber, Fachbereich, Darstellung Auftragsgegenstand, Umfang, Dauer, Auftragsvolumen.

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.