"Die NSA-Affäre hat die öffentlichen Vergabeverfahren erreicht."
Rede in der Ratssitzung am 24.03.2015
Die NSA-Affäre hat in Deutschland auch die öffentlichen Vergabeverfahren erreicht. Über 20 Milliarden Euro investiert die öffentliche Hand in den Einkauf von Informationstechnologie und Telekommunikation. Damit gehören Bund, Land, Kommunen und öffentliche Träger zu den größten Auftraggebern am deutschen Markt. Der Bund und einige Länder schreiben aktuell vor, bei allen sicherheitsrelevanten öffentlichen Aufträgen von den Unternehmen eine Erklärung zu verlangen, dass sie nicht zur Herausgabe vertraulicher Daten an Dritte gesetzlich oder vertraglich verpflichtet sind, die sog. "No-Spy-Garantie".
Die "No-Spy-Klausel" zielt auf Unternehmen ab, die z.B. durch nationale gesetzliche Regelungen zu einer solchen Datenherausgabe gezwungen werden können. Sollte ein entsprechender Schutz vor Herausgabe von sicherheitsrelevanten Daten an Dritte nicht gewährleistet werden, werden keine Aufträge an diese IT-Unternehmen vergeben. Wenn ein Anbieter - auch nur fahrlässig - eine falsche Erklärung abgibt, führt das zum Ausschluss vom Vergabeverfahren oder im Falle des Vertragsschlusses zur fristlosen Kündigung des Auftrages mit der eventuellen Konsequenz, bei späteren Vergaben mangels Zuverlässigkeit nicht mehr berücksichtigt zu werden. Die Anbieter sollen das vor dem Auftrag verbindlich schriftlich bestätigen.
Die LINKE hatte bereits am 23.09.2013 im Ausschuss Allgemeine Verwaltung und Rechtsfragen im Zuge der NSA-Affäre eine Anfrage eingebracht. Unter anderem haben wir gefragt: "Welche Maßnahmen hält die Verwaltung für vorstellbar, um den bekannten Gefahren für die Datensicherheit und das Recht auf informationelle Selbstbestimmung zu begegnen und den Schutz von Daten in den entsprechenden Bereichen zu erhöhen?"
Die No-Spy-Klausel kann ein solches Werkzeug sein, die IT-Sicherheit in der Öffentlichen Verwaltung zu verbessern. Die Klausel kann sich zu einem wichtigen Mittel entwickeln, um die Sicherheit von Daten zu erhöhen. Welche juristischen Hürden dabei zu nehmen sind, sollte nun von der Verwaltung überprüft werden. Deshalb unterstützen wir den Prüfauftrag ausdrücklich!
Es ist ja heute schon so, dass bei Ausschreibungen die Regelungen des Vergaberechts des Landes NRW berücksichtigt werden müssen. Hierbei werden die notwendigen Erklärungen zur Zuverlässigkeit, zur Einhaltung der Regelungen des Tariftreue und Vergabegesetzes NRW (u.a. Mindestlohn, Kernarbeitsnorm, sozial Kriterien, Frauenförderung) eingeholt. Die danach erforderlichen Zuverlässigkeitskriterien müssen für jede konkrete Auftragsvergabe individuell festgelegt und ausgestaltet werden. Da kommt natürlich die Frage auf, weshalb die IT-Sicherheit nicht zu den Zuverlässigkeitskriterien gehört.
Die Wirkungsgrenze einer "No-Spy-Klausel" zeigt sich bei denjenigen Firmen, die durch ihren ausländischen Firmensitz auch den Rechtsvorschriften des jeweils ausländischen Staates unterstehen. Den Herausforderungen einer digitalisierten Gesellschaft kann daher nicht ausschließlich rechtlich begegnet werden. Es muss vielmehr ein fachübergreifendes Verständnis für Fragestellungen der IT-Sicherheit auf juristischer, organisatorischer, technologischer Ebene hergestellt und in den gesamtgesellschaftlichen Diskurs getragen werden.