1. Beschaffer
1.1.
Beschaffer
Offizielle Bezeichnung: Ministerium für Heimat, Kommunales, Bau und Digitalisierung des Landes Nordrhein-Westfalen (MHKBD)
Rechtsform des Erwerbers: Regionale Gebietskörperschaft
Tätigkeit des öffentlichen Auftraggebers: Wohnungswesen und kommunale Einrichtungen
2. Verfahren
2.1.
Verfahren
Titel: Cybersicherheitsanalysen
Beschreibung: Am 30.10.2023 gab es einen Ransomware-Angriff auf die Südwestfalen-IT (SIT). Die SIT ist ein kommunales Rechenzentrum mit Sitz in Hemer und Siegen, das als Dienstleister insbesondere die IT für 72 Kommunen – darunter alle Kommunen in Südwestfalen – betreibt. Aufgrund dieser Tätigkeit waren neben der SIT selbst auch all diese Kommunen von dem Angriff betroffen. Die IT ist in 72 Kommunen mit 22.000 Arbeitsplätzen ausgefallen, darunter alle Kommunen im Hochsauerlandkreis, Märkischen Kreis, Kreis Olpe, Kreis Siegen-Wittgenstein, Kreis Soest (einschließlich dieser Kreise selbst) sowie mehrere Kommunen im Rheinisch-Bergischen Kreis und einige kommunale Unternehmen. Auch einige Städte im Ruhrgebiet und im südlichen Münsterland waren betroffen. Der Ransomware-Angriff zwang die kommunalen Einrichtungen dazu, einen Großteil ihrer IT-Systeme abzuschalten, was sich in erheblichem Maße einschränkend auf die Leistungsfähigkeit der Kommunen auswirkte. Mitunter beeinträchtigte der Angriff die Verwaltungsabläufe und verschiedene Bürgerdienste. Die kommunalen Einrichtungen waren teilweise nicht arbeitsfähig. Rathäuser blieben mehrheitlich geschlossen, Termine mit Bürgern mussten abgesagt werden. Der Angriff zeigte, dass akuter und dringlicher Handlungsbedarf im Themenfeld IT-Sicherheit besteht. Das Ministerium für Heimat, Kommunales, Bau und Digitalisierung des Landes Nordrhein-Westfalen (MHKBD) musste für die Kommunen deshalb dringend eine vom Land getragene Initiative anbieten, damit alle Kommunen eine Cybersicherheitsanalyse als Fremdbild auf ihre IT-Sicherheitssituation erhalten und in die Lage versetzt werden, Maßnahmen abzuleiten und diese zu priorisieren. Vor diesem Hintergrund fasste das MHKBD den Plan, den Kommunen für ein Jahr pauschal zu bepreisende Cybersicherheitsanalysen anzubieten. Um den Risiken für die IT-Sicherheit der Kommunen schnellstmöglich zu begegnen, vergab das MHKBD den entsprechenden Auftrag im Wege eines Verhandlungsverfahrens ohne Teilnahmewettbewerb direkt an die Bechtle AG (Bechtle). Ziel der von Bechtle zu konzipierenden Cybersicherheitsanalysen soll insbesondere sein, in den teilnehmenden Kommunen zu ermitteln, ob die bereits getroffenen Schutzvorkehrungen eine ausreichende Widerstandsfähigkeit gegen Cyberangriffe gewährleisten. Gleichzeitig sollen den Systembetreuern Hilfsmittel und Handlungsvorschläge an die Hand gegeben werden, um ein möglichst hohes Grundniveau an IT-Sicherheit zu erreichen und langfristig sicherzustellen.
Kennung des Verfahrens: 263e5759-aab1-426c-8f23-8e7d00a7a7e0
Interne Kennung: Cybersicherheitsanalysen
Verfahrensart: Verhandlungsverfahren ohne Aufruf zum Wettbewerb
2.1.1.
Zweck
Art des Auftrags: Dienstleistungen
Haupteinstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung
Zusätzliche Einstufung (cpv): 35120000 Überwachungs- und Sicherheitssysteme und -einrichtungen
2.1.2.
Erfüllungsort
Land, Gliederung (NUTS): Düsseldorf, Kreisfreie Stadt (DEA11)
Land: Deutschland
2.1.3.
Wert
Geschätzter Wert ohne MwSt.: 5 355 527,10 EUR
Höchstwert der Rahmenvereinbarung: 5 355 527,10 EUR
2.1.4.
Allgemeine Informationen
Rechtsgrundlage:
Richtlinie 2014/24/EU
vgv -
Anzuwendende grenzübergreifende Rechtsvorschrift:
5. Los
5.1.
Los: LOT-0001
Titel: Cybersicherheitsanalysen
Beschreibung: Am 30.10.2023 gab es einen Ransomware-Angriff auf die Südwestfalen-IT (SIT). Die SIT ist ein kommunales Rechenzentrum mit Sitz in Hemer und Siegen, das als Dienstleister insbesondere die IT für 72 Kommunen – darunter alle Kommunen in Südwestfalen – betreibt. Aufgrund dieser Tätigkeit waren neben der SIT selbst auch all diese Kommunen von dem Angriff betroffen. Die IT ist in 72 Kommunen mit 22.000 Arbeitsplätzen ausgefallen, darunter alle Kommunen im Hochsauerlandkreis, Märkischen Kreis, Kreis Olpe, Kreis Siegen-Wittgenstein, Kreis Soest (einschließlich dieser Kreise selbst) sowie mehrere Kommunen im Rheinisch-Bergischen Kreis und einige kommunale Unternehmen. Auch einige Städte im Ruhrgebiet und im südlichen Münsterland waren betroffen. Der Ransomware-Angriff zwang die kommunalen Einrichtungen dazu, einen Großteil ihrer IT-Systeme abzuschalten, was sich in erheblichem Maße einschränkend auf die Leistungsfähigkeit der Kommunen auswirkte. Mitunter beeinträchtigte der Angriff die Verwaltungsabläufe und verschiedene Bürgerdienste. Die kommunalen Einrichtungen waren teilweise nicht arbeitsfähig. Rathäuser blieben mehrheitlich geschlossen, Termine mit Bürgern mussten abgesagt werden. Der Angriff zeigte, dass akuter und dringlicher Handlungsbedarf im Themenfeld IT-Sicherheit besteht. Das Ministerium für Heimat, Kommunales, Bau und Digitalisierung des Landes Nordrhein-Westfalen (MHKBD) musste für die Kommunen deshalb dringend eine vom Land getragene Initiative anbieten, damit alle Kommunen eine Cybersicherheitsanalyse als Fremdbild auf ihre IT-Sicherheitssituation erhalten und in die Lage versetzt werden, Maßnahmen abzuleiten und diese zu priorisieren. Vor diesem Hintergrund fasste das MHKBD den Plan, den Kommunen für ein Jahr pauschal zu bepreisende Cybersicherheitsanalysen anzubieten. Um den Risiken für die IT-Sicherheit der Kommunen schnellstmöglich zu begegnen, vergab das MHKBD den entsprechenden Auftrag im Wege eines Verhandlungsverfahrens ohne Teilnahmewettbewerb direkt an die Bechtle AG (Bechtle). Ziel der von Bechtle zu konzipierenden Cybersicherheitsanalysen soll insbesondere sein, in den teilnehmenden Kommunen zu ermitteln, ob die bereits getroffenen Schutzvorkehrungen eine ausreichende Widerstandsfähigkeit gegen Cyberangriffe gewährleisten. Gleichzeitig sollen den Systembetreuern Hilfsmittel und Handlungsvorschläge an die Hand gegeben werden, um ein möglichst hohes Grundniveau an IT-Sicherheit zu erreichen und langfristig sicherzustellen.
Interne Kennung: Cybersicherheitsanalysen
5.1.1.
Zweck
Art des Auftrags: Dienstleistungen
Haupteinstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung
Zusätzliche Einstufung (cpv): 35120000 Überwachungs- und Sicherheitssysteme und -einrichtungen
Optionen:
Beschreibung der Optionen: Bei Bedarf: Zusätzliche IT-Dienstleistungen zur Umsetzung von weitergehenden dringlichen Maßnahmen zur Abwehr von Cyberangriffen im Umfang von bis zu 486.866 EUR (etwa 10 % des grundsätzlichen Auftragswertes).
5.1.2.
Erfüllungsort
Land, Gliederung (NUTS): Düsseldorf, Kreisfreie Stadt (DEA11)
Land: Deutschland
5.1.3.
Geschätzte Dauer
Laufzeit: 1 Jahr
5.1.5.
Wert
Geschätzter Wert ohne MwSt.: 5 355 527,10 EUR
Höchstwert der Rahmenvereinbarung: 5 355 527,10 EUR
5.1.6.
Allgemeine Informationen
Auftragsvergabeprojekt nicht aus EU-Mitteln finanziert
Die Beschaffung fällt unter das Übereinkommen über das öffentliche Beschaffungswesen
Informationen über frühere Bekanntmachungen:
Kennung der vorherigen Bekanntmachung: 34356-2024
5.1.7.
Strategische Auftragsvergabe
Ziel der strategischen Auftragsvergabe: Keine strategische Beschaffung
5.1.10.
Zuschlagskriterien
5.1.12.
Bedingungen für die Auftragsvergabe
Informationen über die Überprüfungsfristen: Die Einlegung von Rechtsbehelfen richtet sich nach den Vorschriften der §§ 155 ff. des Gesetzes gegen Wettbewerbsbeschränkungen (GWB). Zur Wahrung der Fristen wird auf die §§ 160 ff. GWB verwiesen. Es wird ferner darauf hingewiesen, dass der Auftraggeber vor dem Vertragsschluss eine Bekanntmachung im Sinne von § 135 Abs. 3 GWB veröffentlicht hat. Bei Vorliegen der Voraussetzungen von § 135 Abs. 3 GWB tritt keine Unwirksamkeit nach § 135 Abs. 1 Nr. 2 GWB ein.
5.1.15.
Techniken
Rahmenvereinbarung: Rahmenvereinbarung ohne erneuten Aufruf zum Wettbewerb
Zusätzlich erfasste Erwerber: Alle Kommunen in Nordrhein-Westfalen.
Informationen über das dynamische Beschaffungssystem: Kein dynamisches Beschaffungssystem
5.1.16.
Weitere Informationen, Schlichtung und Nachprüfung
Überprüfungsstelle: Vergabekammer Rheinland
Organisation, die den Auftrag unterzeichnet: Ministerium für Heimat, Kommunales, Bau und Digitalisierung des Landes Nordrhein-Westfalen (MHKBD)
6. Ergebnisse
Wert aller in dieser Bekanntmachung vergebenen Verträge: 5 355 527,10 EUR
Höchstwert der Rahmenvereinbarungen in diesem Verfahren: 5 355 527,10 EUR
Direktvergabe:
Begründung der Direktvergabe: Dringende Gründe im Zusammenhang mit für den Beschaffer unvorhersehbaren Ereignissen
Sonstige Begründung: Ein Verhandlungsverfahren ohne Teilnahmewettbewerb gemäß § 14 Abs. 4 Nr. 3 VgV war zulässig, da angesichts des Ransomware-Angriffs auf die Südwestfalen-IT (SIT) eine äußerste Dringlichkeit vorlag und vorliegt. Für das Ministerium für Heimat, Kommunales, Bau und Digitalisierung des Landes Nordrhein-Westfalen (MHKBD) war es aus äußerst dringlichen und zwingenden Gründen nicht möglich, die Mindestfristen für die wettbewerblichen Verfahren einzuhalten. Denn angesichts des Ransomware-Angriffs auf die SIT ist deutlich, dass die Daseinsvorsorge der kommunalen Einrichtungen sowie Leib und Leben der Allgemeinheit akut gefährdet sind. Infolge des Ransomware-Angriffs waren Notruf-Instrumente außer Betrieb gesetzt (NORA-App) und existenziell wichtige finanzielle Transaktionen (u. a. Bürgergeld) zeitweise nicht möglich. Die entsprechenden IT-Sicherheitsvorrichtungen der Kommunen müssen deshalb schnellstmöglich überprüft und gestärkt werden. Da es sich bei der vergebenen Leistung um eine Maßnahme der Gefahrenabwehr handelt, die die Daseinsvorsorge sicherstellen soll, sind die Vorhersehbarkeit und die Zurechenbarkeit der Umstände, die zur Dringlichkeit führen, unerheblich. Ungeachtet dessen waren diese Umstände für das MHKBD allerdings ohnehin weder vorhersehbar noch sind sie dem Verhalten des MHKBD zurechenbar. Bei einem Angriff solchen Ausmaßes handelt es sich nicht um eine wiederkehrende Gefahr, die das MHKBD in Betracht zu ziehen hatte. Vielmehr beruht der Angriff auf externen strafrechtlich relevanten Einflüssen einer Hackergruppe. Hierbei handelt es sich um ein Ereignis, das mit dem üblichen wirtschaftlichen sowie sozialen Leben nicht in Zusammenhang steht und mit dem das MHKBD nicht zu rechnen hatte. Das MHKBD hielt die negativen Auswirkungen auf den Wettbewerb so gering wie möglich, indem die Direktvergabe nur erste Maßnahmen im Sinne einer Interimslösung umfasst und damit hinsichtlich Umfang und Dauer auf das erforderliche Maß beschränkt ist. Der Abrufzeitraum beträgt ein Jahr. Sollte sich herausstellen, dass der Abrufzeitraum verlängert werden muss, wird das MHKBD den Auftrag europaweit ausschreiben und damit in den Wettbewerb stellen. Das MHKBD durfte den Auftrag ausnahmsweise auch direkt an Bechtle vergeben, da das MHKBD die IT-Dienstleistungen von Bechtle bereits kennt und sie als für seine Zwecke geeignet bewertet hatte. Insbesondere verfügt Bechtle über jahrelange einschlägige Erfahrungen auf dem Gebiet der Cybersicherheitsanalyse. Bechtle führte entsprechende Analysen bereits erfolgreich mit 185 Kommunen des Landes Niedersachsen durch. Zudem ist Bechtle aufgrund ihrer Unternehmensgröße personell in der Lage, solche zeitkritischen Großprojekte schnellstmöglich effizient umzusetzen.
6.1.
Ergebnis, Los-– Kennung: LOT-0001
Es wurde mindestens ein Gewinner ermittelt.
Rahmenvereinbarung:
Höchstwert der Rahmenvereinbarung: 5 355 527,10 EUR
Neu geschätzter Wert der Rahmenvereinbarung: 5 355 527,10 EUR
6.1.2.
Informationen über die Gewinner
Wettbewerbsgewinner:
Offizielle Bezeichnung: Bechtle AG
Angebot:
Kennung des Loses oder der Gruppe von Losen: LOT-0001
Wert des Ergebnisses: 5 355 527,10 EUR
Wert der Vergabe von Unteraufträgen ist bekannt: nein
Prozentanteil der Vergabe von Unteraufträgen ist bekannt: nein
Informationen zum Auftrag:
Kennung des Auftrags:
Titel: Cybersicherheitsanalysen
Datum des Vertragsabschlusses: 30/01/2024
Der Auftrag wird als Teil einer Rahmenvereinbarung vergeben: nein
Organisation, die den Auftrag unterzeichnet: Ministerium für Heimat, Kommunales, Bau und Digitalisierung des Landes Nordrhein-Westfalen (MHKBD)
6.1.4.
Statistische Informationen:
Eingegangene Angebote oder Teilnahmeanträge:
Art der eingegangenen Einreichungen: Angebote
Anzahl der eingegangenen Angebote oder Teilnahmeanträge: 1
Bandbreite der Angebote:
Wert des niedrigsten zulässigen Angebots: 5 355 527,10 EUR
Wert des höchsten zulässigen Angebots: 5 355 527,10 EUR
8. Organisationen
8.1.
ORG-0001
Offizielle Bezeichnung: Ministerium für Heimat, Kommunales, Bau und Digitalisierung des Landes Nordrhein-Westfalen (MHKBD)
Registrierungsnummer: 05111-08001-06
Postanschrift: Jürgensplatz 1
Stadt: Düsseldorf
Postleitzahl: 40219
Land, Gliederung (NUTS): Düsseldorf, Kreisfreie Stadt (DEA11)
Land: Deutschland
Telefon: 0211-8618-50
Rollen dieser Organisation:
Beschaffer
Organisation, die den Auftrag unterzeichnet
8.1.
ORG-0002
Offizielle Bezeichnung: Vergabekammer Rheinland
Registrierungsnummer: 05315-03002-81
Postanschrift: Zeughausstraße 2-10
Stadt: Köln
Postleitzahl: 50667
Land, Gliederung (NUTS): Köln, Kreisfreie Stadt (DEA23)
Land: Deutschland
Telefon: +49 221 147-3045
Rollen dieser Organisation:
Überprüfungsstelle
8.1.
ORG-0003
Offizielle Bezeichnung: Bechtle AG
Größe des Wirtschaftsteilnehmers: large
Registrierungsnummer: DE143849458
Stadt: Neckarsulm
Postleitzahl: 74172
Land, Gliederung (NUTS): Heilbronn, Landkreis (DE118)
Land: Deutschland
Telefon: +49 7132 9810
Rollen dieser Organisation:
Bieter
Wirtschaftlicher Eigentümer:
Staatsangehörigkeit des Eigentümers: DEU
Gewinner dieser Lose: LOT-0001
Der Gewinner ist auf einem geregelten Markt notiert
8.1.
ORG-0004
Offizielle Bezeichnung: Beschaffungsamt des BMI
Registrierungsnummer: 994-DOEVD-83
Stadt: Bonn
Postleitzahl: 53119
Land, Gliederung (NUTS): Bonn, Kreisfreie Stadt (DEA22)
Land: Deutschland
Telefon: +49228996100
Rollen dieser Organisation:
TED eSender
11. Informationen zur Bekanntmachung
11.1.
Informationen zur Bekanntmachung
Kennung/Fassung der Bekanntmachung: 069d3636-6368-4180-b496-a007085cdf0b - 01
Formulartyp: Ergebnis
Art der Bekanntmachung: Bekanntmachung vergebener Aufträge oder Zuschlagsbekanntmachung – Standardregelung
Datum der Übermittlung der Bekanntmachung: 23/02/2024 00:00:00 (UTC+1)
Sprachen, in denen diese Bekanntmachung offiziell verfügbar ist: Deutsch
11.2.
Informationen zur Veröffentlichung
Veröffentlichungsnummer der Bekanntmachung: 119998-2024
ABl. S – Nummer der Ausgabe: 41/2024
Datum der Veröffentlichung: 27/02/2024