Open Source Software hat viele Vorzüge. Damit sie aber erfolgreich und sicher genutzt werden kann und langfristig zur Verfügung steht, ist es wichtig, bei der Auswahl eines Anbieters auf bestimmte Nachhaltigkeitskriterien zu achten. Das vorliegende Positionspapier der Open Source Business Alliance formuliert die vier wichtigsten Kriterien und gibt Beschaffern insbesondere in der öffentlichen Verwaltung wichtige Impulse, wie sie im Rahmen von Ausschreibungen Anbieter auswählen, die den erfolgreichen Einsatz der jeweiligen Software sicherstellen können, weil sie zur nachhaltigen Weiterentwicklung und Pflege der entsprechenden Open Source Software beitragen.
Wenn nachhaltige Open-Source-Anbieter mit Dumpinganbietern konkurrieren
Bei Open Source Software gibt es aufgrund der Freiheiten, welche Open-Source-Softwarelizenzen gewähren, andere Entwicklungs- und Vertriebsmodelle als bei proprietärer Software. Während bei proprietärer Software der Hersteller an jeder verkauften Lizenz seiner Software partizipiert, auch wenn die Vergabe über einen anderen Anbieter erfolgt ist, ist das bei Open Source Software nicht zwingend der Fall: Hier werden üblicherweise statt der Softwarelizenz ergänzende Dienstleistungen ausgeschrieben, diese können auch von anderen Dienstleistern als dem eigentlichen Software-Hersteller angeboten werden.
Hierbei kommt es immer wieder vor, dass Anbieter mithilfe von Dumpingangeboten eine Ausschreibung gewinnen, da in öffentlichen Vergaben oft nach dem günstigsten Preis entschieden wird. Solche Anbieter kalkulieren in ihren Angeboten häufig keinen ausreichenden Support und keine ausreichenden Aufwände für Weiterentwicklung, Pflege oder Upstream-Veröffentlichung der Software ein. Wenn es dann zu Problemen kommt, sind solche Anbieter nicht in der Lage, angemessen zu unterstützen, Das kann zum Misserfolg der betreffenden Projekte führen, was auf den Ruf der gesamten Open-Source-Community zurückfällt. Zudem fließt in dieser Konstellation kein Geld an den eigentlichen Open-Source-Hersteller und dieser kann in der Folge nicht ausreichend in die Weiterentwicklung und Pflege der Open Source Software investieren.
IT-Sicherheit und Nachnutzungspotential von Open Source Software werden gefährdet
Ein Argument für den Einsatz von Open Source Software in der Verwaltungsdigitalisierung ist u.a. das Nachnutzungspotential, dass also eine Behörde die bereits entwickelte und bezahlte Software einer anderen Behörde weiterverwenden kann, wenn der entsprechende Quellcode auf einer öffentlich zugänglichen Plattform wie z.B. openCode veröffentlicht wird. Dieses Versprechen der Nachnutzung erfüllt sich aber nicht, wenn keine ausreichenden Mittel in die kontinuierliche Weiterentwicklung und Pflege der Software fließen und es für die Hersteller nicht mehr wirtschaftlich ist, überhaupt Open Source Software zu entwickeln. Das ist schlecht für die Auftraggeberseite, weil dann weniger qualitativ hochwertige und aktuell gehaltene Open Source Software am Markt zur Verfügung steht. Dadurch wird auch die IT-Sicherheit der entsprechenden Open-Source-Lösung in der öffentlichen Verwaltung gefährdet oder das Scheitern von IT-Projekten in Kauf genommen.
Kriterien für die nachhaltige Beschaffung von Open Source Software
Die Herausforderung für die öffentliche Verwaltung besteht also darin, die richtigen Anforderungen und Vergabekriterien zu entwickeln, damit eine Vergabestelle aus den Anbietern zuverlässig diejenigen auswählen kann, die nachhaltig sichere und qualitativ hochwertige Software und Dienstleistungen bieten.
Die Open Source Business Alliance schlägt in ihrem Positionspapier vier Kriterien vor:
- Beziehung zum Software-Hersteller / der Community: Besteht eine Geschäftsbeziehung zwischen dem Anbieter und dem Software-Hersteller bzw. der entsprechenden Community und inwieweit erfolgt im Rahmen des Auftrags eine Unterstützung durch diese?
- Sicherstellung der Upstream-Veröffentlichung vorgenommener Anpassungen und Patches: Wie trägt der Anbieter dafür Sorge, dass Änderungen an der Software auch wieder upstream für die Allgemeinheit verfügbar gemacht werden?
- Sicherstellung eines hoch qualitativen Third-Level-Supports: Inwiefern ist der Auftragnehmer in der Lage, qualitativen Third-Level-Support zu gewährleisten? Besitzt er hierfür die Expertise mit dem Quellcode des konkreten Produkts oder kann er die Unterstützung des Herstellers gewährleisten?
- Absicherung der Lieferkette durch Unterstützung von Basiskomponenten: Open Source Software besteht oft aus vielen unterschiedlichen Komponenten. Unterstützt der Anbieter Entwickler und Projekte der einzelnen Softwarekomponenten, die in seinem Produkt verbaut sind? Das wird auch im Zusammenhang mit dem Cyber Resilience Act unter dem Motto “Sicherheit in der Lieferkette” relevant.
Birgit Becker und Claus Wickinghoff, Sprecher der Working Group Beschaffung in der Open Source Business Alliance:
„Wenn die in der Verwaltung verwendete Open Source Software auch in mehreren Jahren noch gepflegt und weiterentwickelt werden soll, dann muss auch der eigentliche Hersteller der Software, der sich darum kümmert, an dem Geschäft beteiligt werden. Bei proprietärer Software ist das sowieso immer der Fall: Jede verkaufte Lizenz zahlt auch in die Kasse des Software-Herstellers ein.
Bei Ausschreibungen der öffentlichen Hand muss das wirtschaftlichste Angebot ausgewählt werden. Das wird meist mit dem billigsten Angebot gleichgesetzt und öffnet Dumpinganbietern Tür und Tor. Wenn diese Anbieter nur den eigenen Service einkalkulieren und die Software als kostenlos gegeben annehmen, weil die ja frei herunterladbar im Internet verfügbar ist, dann führt das mittelfristig dazu, dass es sich wirtschaftlich für niemanden mehr lohnt, in die Sicherheit und Pflege der genutzten Software zu investieren. Das fällt dann letztlich der öffentlichen Verwaltung auf die Füße, die ja qualitative Software nutzen möchte. Das billigste Angebot ist dann doch nicht das wirtschaftlichste gewesen.
Unsere Kriterien sollen die öffentliche Verwaltung bei der Entscheidung unterstützen, mit welchem Anbieter ein Projekt nachhaltig realisiert werden kann, so dass alle im Open-Source-Ökosystem davon profitieren und die Software langfristig sicher zur Verfügung steht.“
Das vollständige Positionspapier finden Sie hier als PDF zum Herunterladen und hier im Volltext.
This press release and the paper are also available in English. You can find the press release in English here and the paper as PDF for download here.
