Verständnisfrage Ausschreibung IT-Sicherheit

Guten Abend,

ich möchte mich auf diesem Weg mit einer Frage an die Community wenden, die ich mir persönlich nicht beantworten kann. Für mich hat das ganze einen juristischen Hintergrund auf dieser Ebene bin ich leider nicht sehr stark aufgestellt.

Zum Hintergrund:
Ich wurde dazu abgestellt, einen meiner Kunden im Energiesektor bei der Einführung eines EDR-Systems mit integriertem SIEM zu unterstützen. Grundlegend sind diese schon vorhanden, spielen wohl aber nicht optimal zusammen weshalb Alternativen gesucht werden. Die technischen Anforderungen sind aber nicht das Problem.

Aktuell befindet sich das Vorhaben in der Planungsphase in welcher konkrete technische Anforderungen und organisatorische Themen(Datenschutz, NDA, BSI-Vorgaben, EnWg etc) geklärt werden. Mit der Größe des mittelständischen Unternehmens und der Sparte Energie, kam jetzt die Frage auf, ob der Kunde dazu verpflichtet ist eine EU-weite Ausschreibung zu tätigen oder ob es bei Sicherheitssoftware eine Ausnahmeregelung gibt.
Das Budget dafür beträgt circa 150k/p.A. welches nach meinem Verständnis eine EU-Ausschreibung nötig machen würde.

Allerdings soll ja nicht jeder Dritte nachher wissen für welche Software sich der Kunde entschieden hat, was ja bei einer Ausschreibung der Fall wäre.

Wie sieht das die Community hier? Bevor ich mich da auf rechtswegen absichern muss, wäre es nett, wenn jemand eventuelle Erfahrungen teilen würde.
Ich bin für jede Meinung im Vorfeld dankbar.
Grüße