Wenn Sie an öffentliche Auftraggeber in Deutschland oder Polen verkaufen, wird ISO 27001 regelmäßig genannt: 1.548 und 829 Bekanntmachungen in den letzten 365 Tagen, sieben von zehn aller Erwähnungen in Europa. Wenn Sie an öffentliche Auftraggeber in Frankreich, Spanien oder Italien verkaufen, wird sie selten genannt, in weniger als einer Bekanntmachung von tausend, obwohl diese drei mehr Bekanntmachungen veröffentlichen als Polen. Griechenland nennt sie in etwa 2 % von allem, was es kauft, der höchste Anteil aller Länder. Die Quelle ist TED, das Vergabeportal der EU, die Abfrage steht unten, und die Zahlen sind Erwähnungen, keine Anforderungen.

Dies setzt die Zählung fort, die ISO 27001 mit SOC 2 verglich und für Europa als Ganzes die Frage „welche Norm" beantwortete. Diese hier beantwortet „wo".

Die Tabelle

Volltext-Erwähnungen von ISO 27001 (alle drei Schreibweisen) in TED-Bekanntmachungen, veröffentlicht zwischen dem 3. September 2025 und dem 3. September 2026, nach dem Land des Auftraggebers. „Bekanntmachungen" ist alles, was die Auftraggeber dieses Landes im selben Zeitraum veröffentlicht haben, und „Anteil" ist das Erste als Prozentsatz des Zweiten. SOC 2 und NIS2 sind auf dieselbe Weise gezählt, für denselben Zeitraum.

Land des Auftraggebers Bekanntmachungen Mit ISO 27001 Anteil SOC 2 NIS2
Deutschland 166.430 1.548 0,93 % 48 89
Polen 127.606 829 0,65 % 19 149
Griechenland 10.255 211 2,06 % 1 4
Rumänien 45.630 116 0,25 % 0 28
Belgien 20.620 98 0,48 % 6 68
Ungarn 11.181 84 0,75 % 0 19
Bulgarien 30.859 71 0,23 % 0 1
Spanien 73.048 58 0,08 % 1 26
Slowenien 12.983 50 0,39 % 0 0
Niederlande 23.570 48 0,20 % 7 41
Italien 38.185 47 0,12 % 1 10
Frankreich 93.027 45 0,05 % 2 27
Norwegen 12.975 40 0,31 % 4 3
Slowakei 10.230 32 0,31 % 0 1
Tschechien 53.828 27 0,05 % 0 56
Finnland 16.011 25 0,16 % 0 5
Kroatien 17.664 23 0,13 % 11 23
Schweden 23.577 15 0,06 % 1 3
Dänemark 8.580 10 0,12 % 2 13
Lettland 19.578 9 0,05 % 0 0
Österreich 13.209 8 0,06 % 0 8
Irland 11.844 5 0,04 % 0 10
Luxemburg 2.961 4 0,14 % 0 1
Portugal 18.776 4 0,02 % 0 3
Zypern 2.298 3 0,13 % 0 0
Schweiz 12.162 3 0,02 % 0 0
Estland 8.042 1 0,01 % 0 3

Litauen, Malta, Island und Liechtenstein haben im Zeitraum Bekanntmachungen veröffentlicht, und keine nannte ISO 27001. Das Vereinigte Königreich hat 165 Bekanntmachungen auf TED veröffentlicht, von denen eine sie nannte; seit 2021 laufen britische Ausschreibungen über den eigenen Dienst Find a Tender, TED sagt also fast nichts über das Vereinigte Königreich.

Über alle zusammen: 3.415 Bekanntmachungen mit ISO 27001, von 906.049 veröffentlichten. Das sind 0,38 % der europäischen öffentlichen Beschaffung, ein kleiner Anteil am Ganzen und eine große absolute Zahl für eine einzelne Zertifizierung.

Drei Lesarten

Volumen sind Deutschland und Polen. Zusammen 2.377 der 3.415 Erwähnungen. Eine deutsche öffentliche Stelle nennt ISO 27001 in etwa einer Bekanntmachung von hundert, und sie veröffentlicht 166.000 Bekanntmachungen im Jahr, die absolute Zahl ist also unerreicht. Polens Anteil ist niedriger, aber sein Volumen ist das zweitgrößte in Europa. Wenn Ihre Kunden öffentliche Stellen in einem dieser Länder sind, ist das das Zertifikat, nach dem deren Beschaffung namentlich fragt, und ein Anbieter ohne es beantwortet eine Frage, statt ein Kästchen anzukreuzen.

Anteil sind Griechenland, dann Deutschland, Ungarn und Polen. Griechenland nennt ISO 27001 in einer Bekanntmachung von fünfzig, mehr als doppelt so häufig wie jedes andere Land. Deutschland folgt mit knapp unter eins von hundert, dann Ungarn und Polen. Für einen kleineren Markt ist der Anteil die nützlichere Zahl: Er sagt, wie wahrscheinlich eine bestimmte Ausschreibung die Frage aufwirft, unabhängig von der Größe des Marktes.

Frankreich, Spanien und Italien sind die Überraschung, und es ist wahrscheinlich ein Benennungseffekt und kein Fehlen von Sicherheitsanforderungen. Frankreich hat 93.000 Bekanntmachungen veröffentlicht und ISO 27001 in 45 genannt. Spanien 73.000 und 58. Italien 38.000 und 47. Alle drei haben nationale Schemata, auf die öffentliche Auftraggeber stattdessen verweisen können: Frankreich hat SecNumCloud und die ANSSI-Qualifizierungen, Spanien das Esquema Nacional de Seguridad, Italien die Cloud-Qualifizierung der ACN. Eine französische Ausschreibung, die SecNumCloud verlangt, fragt nach Sicherheitsgewähr, ohne je „ISO 27001" zu schreiben, und diese Zählung kann das nicht sehen. Die ehrliche Lesart ist also nicht „französischen öffentlichen Auftraggebern ist Sicherheit egal", sondern „französische öffentliche Auftraggeber nennen ihr eigenes Schema", und ein Anbieter, der dort verkauft, sollte erwarten, dass das nationale zuerst zur Sprache kommt.

Was NIS2 hinzufügt

NIS2-Erwähnungen folgen einer anderen Geografie. Polen führt mit 149, dann Deutschland 89, Belgien 68, Tschechien 56 und die Niederlande 41. Tschechien nennt NIS2 doppelt so oft wie ISO 27001 und Belgien fast so oft, was zum Zeitplan passt: Belgien hat die Richtlinie unter den Ersten umgesetzt, 2024, Tschechiens neues Cybersicherheitsgesetz folgte 2025, und die Sprache der Beschaffung folgt dem nationalen Recht. Wo die NIS2-Zahl eines Landes steigt und seine ISO-27001-Zahl flach bleibt, ist die praktische Frage für einen Anbieter, ob ein Managementsystem beides beantwortet, und genau dafür gibt es die NIS2-Zuordnung.

SOC 2 fehlt fast überall. Deutschlands 48 sind das Meiste, was ein Land erreicht, und vierundzwanzig der zweiunddreißig Länder haben null oder eins. Nichts in der europäischen öffentlichen Beschaffung erwartet einen SOC-2-Bericht.

Was die Zahlen sind und was nicht

Sie sind Zählungen von Bekanntmachungen, in denen die Zeichenfolge irgendwo vorkommt, aus welchem Grund auch immer. Ein Auftraggeber, der seine eigene Zertifizierung beschreibt, zählt genauso wie einer, der die eines Lieferanten verlangt. Der Vergleich zwischen Ländern hält, weil die Methode für jedes dieselbe ist, aber die absolute Zahl überzeichnet, wie viele Ausschreibungen das Zertifikat zur Bedingung machen.

„Land des Auftraggebers" ist, wo die Vergabestelle sitzt, nicht, wo die Arbeit geleistet wird. Ein deutsches Ministerium, das Software von einem niederländischen Anbieter kauft, ist eine deutsche Bekanntmachung.

TED führt Ausschreibungen oberhalb der EU-Schwellenwerte. Einkauf unterhalb der Schwellen bleibt auf nationalen Portalen, und für kleinere Länder ist das der größte Teil. Die Anteile oben beschreiben nur den Ausschnitt oberhalb der Schwellen.

Der Zeitraum sind 365 Tage bis zum Tag der Beobachtung, und der Stand ist datiert. Wiederholen Sie es nächsten Monat, und jede Zahl bewegt sich ein wenig.

Was das bedeutet, wenn Sie über die Zertifizierung entscheiden

Wenn die Käufer, die Sie wollen, öffentliche Stellen in Deutschland, Polen, Griechenland, Belgien oder Ungarn sind, ist die Frage vom Markt entschieden: Sie nennen ISO 27001 hundertfach, und die Kosten des Weges dorthin sind durch ISO/IEC 27006 festgelegt und im Voraus bekannt. Sind sie in Frankreich, Spanien oder Italien, fragen Sie, auf welches nationale Schema die Ausschreibung verweist, und erwarten Sie, dass ISO 27001 dafür das nützliche Fundament ist und nicht das Genannte. Sind es private Unternehmen irgendwo, beschreibt diese Zählung sie nicht, ihre Sicherheitsfragebögen tun es: Diese aus dem Managementsystem zu beantworten ist, wo sich das Zertifikat zwischen den Audits bezahlt macht.

Dieselbe Zählung für ISO 9001, mit den Bekanntmachungen, die beide Normen nennen, ist das Gegenstück.

Wiederholen Sie es selbst

Der Endpunkt ist api.ted.europa.eu/v3/notices/search. Er nimmt eine Expertenabfrage entgegen und braucht keine Zugangsdaten. Für Deutschland:

(FT~"ISO 27001" OR FT~"ISO/IEC 27001" OR FT~"ISO27001")
  AND buyer-country=DEU
  AND publication-date>=20250903

Lesen Sie totalNoticeCount aus der Antwort, dann lassen Sie die erste Klausel weg, um den Nenner zu erhalten. Die Ländercodes sind ISO 3166-1 alpha-3. Unser Skript, scripts/ted-by-country.mjs, tut genau das für 32 Länder und liegt offen; weichen Ihre Zahlen von unseren ab, sind Ihre die aktuelleren.