Worauf italienische öffentliche Auftraggeber bei Cloud-Ausschreibungen wirklich achten

Italienische öffentliche Auftraggeber sprechen weniger über „Souveränität“, als das Marketing dazu suggeriert. Was in Cloud-Ausschreibungen der Zentralverwaltung tatsächlich auftaucht – einschließlich der Rahmenvereinbarung von Consip für Cloud-Anwendungsdienste, ID 2860, veröffentlicht im Dezember 2025 für die Pubbliche Amministrazioni Centrali –, ist ein Bündel konkreter, überprüfbarer Anforderungen statt eines Slogans.

Die Qualifizierungshürde, die immer wieder auftaucht

In den jüngeren Cloud-Rahmenvereinbarungen von Consip taucht regelmäßig die Anforderung auf, dass Dienste von Italiens nationaler Cybersicherheitsagentur ACN mindestens mit Qualifizierungsstufe 1 qualifiziert sein müssen, üblicherweise als QC1 für Cloud-Dienste mit regulären Daten oder als AI1 für die entsprechende Infrastrukturstufe bezeichnet. Die von ACN veröffentlichten Kriterien für Stufe 1 verlangen eine selbstbescheinigte Konformität mit dem Qualitätsmanagement nach ISO 9001 sowie Sicherheits-, Leistungs-, Skalierbarkeits-, Interoperabilitäts- und Portabilitätsmerkmale, die in der Regelung für Cloud-Dienste der öffentlichen Verwaltung festgelegt sind. Das ist eine konkrete, prüfbare Qualifizierung und kein Synonym für „konform“.

Datenstandort und Exit-Regelungen zählen mehr als das Label

Zwei weitere Hürden treten in dieser Ausschreibungsklasse immer wieder auf: wo Daten und Backups physisch liegen – üblicherweise innerhalb der EU oder des EWR – und wie ein Anbieter dies belegt, sowie vertragliche Regelungen für die Beendigung der Zusammenarbeit, ohne den Zugriff auf Daten zu verlieren oder prohibitiv hohe Ausstiegskosten tragen zu müssen. Die Marketingbehauptung eines Anbieters, eine „Cloud sovrano“ zu sein, ersetzt keine dieser beiden Anforderungen.

Was zu prüfen ist, bevor ein Slogan als Antwort durchgeht

Bevor ein Angebot Formulierungen wie „Sovereign Cloud“ wiederholt oder eine Zertifizierung anführt, als sei sie selbsterklärend, lauten die entscheidenden Fragen: Deckt die Qualifizierung tatsächlich die ACN-Stufe ab, die diese spezifische Ausschreibung verlangt? Sind die Belege zu Datenstandort und Notfallwiederherstellung aktuell? Und was sagt der Vertrag zu Exit-Regelungen und Zeitrahmen? Vor dem Verlassen auf eine Zusammenfassung ist stets die aktuelle Ausschreibungsdokumentation auf Consips eigener Website zu prüfen – Vergabeunterlagen werden durch Klärungsrunden geändert, und ein älterer Stand kann bis zum Abgabetermin überholt sein.

Quellen: Consip — ID 2860, ACN — Anforderungen an die QC1-Qualifizierung.