Rahmenvertrag über technische IT-Sicherheitsuntersuchungen (Penetrationstests) Referenznummer der Bekanntmachung: 22-0006246
Auftragsbekanntmachung
Dienstleistungen
Abschnitt I: Öffentlicher Auftraggeber
Postanschrift:[gelöscht]
Ort: Frankfurt am Main
NUTS-Code: DE712 Frankfurt am Main, Kreisfreie Stadt
Postleitzahl: 60329
Land: Deutschland
E-Mail: [gelöscht]
Internet-Adresse(n):
Hauptadresse: www.bundesbank.de
Abschnitt II: Gegenstand
Rahmenvertrag über technische IT-Sicherheitsuntersuchungen (Penetrationstests)
Der Auftragnehmer führt für die Deutsche Bundesbank über die Laufzeit des Rahmenvertrags hinweg technische IT-Sicherheitsuntersuchungen, insbesondere in Form von Penetrationstests und Security Assessments, selbstständig durch. Darüber hinaus agiert er als sachkundiger Ansprechpartner für die Klärung von Fragen des Auftraggebers im Zusammenhang von technischen IT-Sicherheitsuntersuchungen und wirkt aktiv bei notwendigen Aufgaben und Tätigkeiten der Vorbereitung, Durchführung sowie Nachbereitung von IT-Sicherheitsuntersuchungen mit. Die Durchführung der jeweiligen, technischen IT-Sicherheitsuntersuchungen orientiert sich dabei an gängigen Standards und etablierten Vorgehensweisen.
Die Deutsche Bundesbank (Auftraggeber) führt regelmäßig IT-Sicherheitsuntersuchungen durch. Dabei werden sowohl eigene IT-Systeme und -verfahren sicherheitstechnisch geprüft, als auch die bei externen Dienstleistern sowie im Eurosystem (beispielsweise TARGET2/TARGET2-Securities) betriebenen IT-Systeme und Verfahren. Die Durchführungsarten der IT-Sicherheitsuntersuchungen reichen von Schwachstellenscans bis hin zu vollständig simulierten Angriffssituationen in Form von "Red-Team Assessments".
Für die Beratung, Vorbereitung, Durchführung und Nachbereitung im Bereich von IT-Sicherheitsuntersuchungen möchte der Auftraggeber über einen EVB-IT Dienstvertrag auf ein hierfür spezialisiertes Unternehmen (Auftragnehmer) zurückgreifen.
Der Auftragnehmer muss in der Lage sein, über die gesamte Vertragslaufzeit hinweg, für den Auftraggeber IT-Sicherheitsuntersuchungen vorzubereiten, durchzuführen und nachzubereiten sowie dazugehörige Beratungsdienstleistungen zu erbringen.
Wesentliche Aspekte des Auftragsinhaltes sind damit insbesondere
a) die Beratung zu den Möglichkeiten und Beschränkungen von IT-Sicherheitsuntersuchungen, sowohl allgemein als auch auf spezifische Untersuchungsgegenstände bezogen, auf dem aktuellen Stand der Technologie und Forschung
b) die Beratung zu organisatorischen und technischen Rahmenbedingungen sowie zu erwartenden Aufwänden (technisch/personell) bei spezifischen IT-Sicherheitsuntersuchungen
c) die vollständige Vorbereitung einer spezifischen IT-Sicherheitsuntersuchung ab der ersten Kontaktaufnahme
d) die vollständige Durchführung einer spezifischen IT-Sicherheitsuntersuchung
e) die vollständige Nachbereitung einer spezifischen IT-Sicherheitsuntersuchung inkl. der Abschlussberichterstattung und -präsentation
f) die technische Beratung zu identifizierten IT-Sicherheitsschwachstellen
Abschnitt III: Rechtliche, wirtschaftliche, finanzielle und technische Angaben
a) Eigenerklärung (gem. Ziffer 5, Vordruck 11078 II) über die Eintragung im Handelsregister/Berufsregister mit Angabe der Registernummer, ggf. Kopie der Eintragung beifügen (in der Bundesrepublik Deutschland Handelsregister bzw. Handwerksrolle, bei ausländischen Bewerbern Unterlagen gemäß Artikel 58 der Richtlinie2014/24/EG)
b) Angaben zu Insolvenzverfahren und Liquidation (gem. Ziffer 6, Vordruck 11078 II)
c) Angaben, dass nachweislich keine schwere Verfehlung begangen wurde, die die Zuverlässigkeit als Bieter in Frage stellt (gem. Ziffer 8, Vordruck 11078 II)
d) Angaben zur Zahlung von Steuern, Abgaben und Beiträgen zur gesetzlichen Sozialversicherung (gem. Ziffer 9, Vordruck 11078 II)
e) Angaben zur Mitgliedschaft bei der Berufsgenossenschaft (gem. Ziffer 10, Vordruck 11078 II)
Die Vergabestelle behält sich vor, in Zweifelsfragen weitere Eignungsnachweise nachzufordern.
a) Eigenerklärung (gem. Ziffer 1, Vordruck 11078 II) über den Umsatz der Waren/Leistungen in den letzten drei abgeschlossenen Geschäftsjahren (alternativ seit Bestehen), die mit der zu vergebenden Leistung vergleichbar sind, je Jahr.
b) Eigenerklärung (gem. Ziffer 7, Vordruck 11078 II) über eine ausreichende Betriebshaftpflichtversicherung für Sach- und Vermögensschäden. Die Deckungssumme je Schadensereignis beträgt mindestens für Sach- und Personenschäden jeweils [Betrag gelöscht] EUR je Schadensereignis und für Vermögensschäden jeweils [Betrag gelöscht] EUR je Schadensereignis. Die Gesamtleistung für alle Versicherungsfälle eines Jahres beträgt das Zweifache dieser Deckungssummen.
Die Vergabestelle behält sich vor, in Zweifelsfragen weitere Eignungsnachweise nachzufordern.
a) Der Bieter muss ausreichende Kenntnisse sowie Erfahrungen in dem ausgeschriebenen Aufgabenbereich vorweisen können. Der Nachweis ist anhand von 3 Referenzprojekten zu erbringen, die mit der zu vergebenden Leistung vergleichbar sind und im Zeitraum der Jahre 2020 bis 2023 erbracht wurden, vgl. Angaben in Nrn. 2 und 4, Vordruck 11078 II sowie Nrn. 1 bis 3 von C3_Eignungsmatrix).
Je Referenzprojekt:
- Bezeichnung des Referenzprojektes
- Angabe des Erbringungszeitraums,
- Angaben zur Vergleichbarkeit mit der zu vergebenden Leistung,
- Vergleichbarkeit des Volumens und der Dauer des Referenzprojektes sowie
- Angabe des Auftraggebers bzw. Empfängers der Leistung: Beschreibung des Auftraggebers (Branche, Herkunftsstaat). Soweit möglich, zusätzlich die folgenden Angaben:
- Name und Ort des Auftraggebers
- Ansprechpartner mit Kontaktdaten für eine mögliche Kontaktaufnahme.
Bitte beachten: Von der Angabe personenbezogener Daten ist abzusehen. Daher Funktion und Funktionsadresse bzw. -Postfach ausreichend.
b) Angaben zu Arbeitskräften gemäß Nr. 3, Vordruck 11078 II)
c) Eigenerklärung Kenntnisse und Erfahrungen gemäß Nr. 4 von C3_Eignungsmatrix
Der Bieter erklärt, für die Auftragserfüllung ausschließlich Beratungskräfte einzusetzen, die über hinreichende Kenntnisse und Erfahrungen zur Erbringung der Leistung gemäß der fachlichen und sprachlichen Anforderungen verfügen sowie die fachliche Qualifikation besitzen.
Insbesondere verpflichtet er sich, nur solche Beratungskräfte einzusetzen, die über die notwendigen Kenntnisse und Erfahrungen über die für den Auftraggeber zu untersuchenden Technologien und Verfahren (Untersuchungsgegenstände) verfügen.
Die Leistungserbringung kann und wird durch mehrere Beratungskräfte des Auftragnehmers erfolgen. Daher verpflichtet sich der Auftragnehmer, dass alle geforderten Aufgaben vollumfänglich und qualifiziert durch das eingesetzte Team erfüllt werden.
d) Eigenerklärung Kapazitäten gemäß Nr. 5 von C3_Eignungsmatrix
Der Bieter erklärt, dass er für die Erbringung der Leistungen während der gesamten Vertragslaufzeit ausreichend Kapazitäten (in Form von qualifizierten Beratungskräften) vorhält, um im Fall von Erkrankung, Austausch etc. (siehe Nr. 15.2 von C4 EVB-IT Dienstvertrag) die vereinbarte Leistung unterbrechungsfrei anbieten zu können.
Als ausreichend wird ein Bestand an Beratungskräften angesehen, welcher einer Kapazität von mindestens fünf (5) Personen in Vollzeit entspricht. Als qualifiziert wird eine Beratungskraft angesehen, sofern sie die fachlichen und sprachlichen Anforderungen erfüllen kann und die fachliche Qualifikation besitzt.
e) Eigenerklärung Einwilligung Verpflichtungserklärung Nutzung IT-Ressourcen gemäß Nr. 6 von C3_Eignungsmatrix
Der Bieter erklärt, dass für die Erbringung der Leistungen nur Personen eingesetzt werden, welche einwilligen - sofern dies für die Erbringung der Leistungen erforderlich ist und IT-Ressourcen des Auftraggebers genutzt werden - eine entsprechende Verpflichtungserklärung zur Nutzung der IT-Ressourcen des Auftraggebers (siehe D2_Verpflichtungserklärung Nutzung IT-Ressourcen bzw. Vordruck 11059-2) zu unterschreiben.
f) Eigenerklärung Einwilligung ZVÜ / SÜG gemäß Nr. 7 von C3_Eignungsmatrix
Der Bieter erklärt, dass für die Erbringung der Leistungen nur Beratungskräfte eingesetzt werden, welche einwilligen - sofern dies für die Erbringung der Leistungen erforderlich ist - eine Eigenerklärung zur Sicherheits- und Zuverlässigkeitsüberprüfung (siehe D3_Eigenerklärung ZVÜ-SÜG bzw. Vordruck 11080) zu unterschreiben.
g) Eigenerklärung gemäß Vordruck 11029 c:
Im Falle des Einsatzes von Unterauftragnehmern ist die Teilleistung anzugeben, welche durch Unterauftragnehmer durchgeführt wird. (Die Verpflichtung gemäß Vordruck 11029 d ist auf gesondertes Verlangen der Vergabestelle nachzuweisen.)
h) Eigenerklärung gemäß Vordruck 11031:
Im Falle einer Bieter-/Arbeitsgemeinschaft sind alle die Leistungen gesamtschuldnerisch ausführenden Mitglieder sowie der bevollmächtigte Vertreter der Arbeitsgemeinschaft zu benennen.
i) optional: Eigenerklärung (gemäß Nr. 4, Vordruck 11078 II): Allgemeine Informationen über das Unternehmen (z. B. Firmenbroschüre, Zertifikate, etc.)
Die Vergabestelle behält sich vor, im Zweifelsfall weitere Eignungsnachweise zu fordern.
Abschnitt IV: Verfahren
Abschnitt VI: Weitere Angaben
1. Die Beantwortung von Fragen zum Vergabeverfahren sowie sämtliche Kommunikation zwischen Bieter und Vergabestelle erfolgen ausschließlich über das Modul "Kommunikation" der
Vergabeplattform. Die Interessenten sind daher verpflichtet, regelmäßig im Postfach auf der Vergabeplattform nachzusehen, ob Nachrichten eingegangen sind.
2. Etwaige Fragen zu Vergabeunterlagen von interessierten Unternehmen müssen rechtzeitig bis spätestens 02.03.2023 eingehen. Danach eingehende Anfragen können aus Gründen der Gleichbehandlung grundsätzlich nicht mehr beantwortet werden.
3. Angebote sind über die Vergabeplattform im entsprechenden Projektraum über den Reiter "Angebote" einzureichen.
4. Nach Ablauf der Angebotsfrist eingehende Angebote werden nicht zur Wertung zugelassen.
5. Unvollständige Angebote können von der Wertung ausgeschlossen werden.
6. Fehlende Erklärungen und Nachweise, die auch nach Anforderung durch die Vergabestelle nicht fristgerecht nachgereicht werden, führen zum Ausschluss am Verfahren.
7. Dem Bieter ist bewusst, dass der Öffentliche Auftraggeber unter Berücksichtigung des Grundsatzes der Verhältnismäßigkeit ein Unternehmen zu jedem Zeitpunkt des Vergabeverfahrens von der Teilnahme an einem Vergabeverfahren aufgrund § 124 GWB ausschließen kann.
Bekanntmachungs-ID: CXP4Y636LBB
Postanschrift:[gelöscht]
Ort: Bonn
Postleitzahl: 53123
Land: Deutschland
Es gilt eine Frist von 15 Kalendertagen gemäß § 160 Abs. 3 Satz 1 Nr. 4 GWB.
Postanschrift:[gelöscht]
Ort: Frankfurt am Main
Postleitzahl: 60431
Land: Deutschland
Fax: [gelöscht]7
Internet-Adresse: www.bundesbank.de