1.1.
Beschaffer
Offizielle Bezeichnung: LEG gGmbH
Rechtsform des Erwerbers: Öffentliches Unternehmen
Tätigkeit des öffentlichen Auftraggebers: Gesundheit
Deutschland – Systemdienstleistungen und Unterstützungsdienste – Security Operations Center (SOC)
455207-2024 - Wettbewerb
Deutschland – Systemdienstleistungen und Unterstützungsdienste – Security Operations Center (SOC)
OJ S 146/2024 29/07/2024
Auftrags- oder Konzessionsbekanntmachung – Standardregelung
Dienstleistungen
1. Beschaffer
2. Verfahren
2.1.
Verfahren
Titel: Security Operations Center (SOC)
Beschreibung: Einführung und Betrieb eines Security Operations Center (SOC) inklusive einer SIEM-Plattform.
Kennung des Verfahrens: 2ed40692-036d-4e10-9d6e-8eefce7fe8c5
Interne Kennung: 2024-019
Verfahrensart: Verhandlungsverfahren mit vorheriger Veröffentlichung eines Aufrufs zum Wettbewerb/Verhandlungsverfahren
2.1.1.
Zweck
Art des Auftrags: Dienstleistungen
Haupteinstufung (cpv): 72250000 Systemdienstleistungen und Unterstützungsdienste
Zusätzliche Einstufung (cpv): 72316000 Datenanalyse
2.1.2.
Erfüllungsort
Land, Gliederung (NUTS): Steinburg (DEF0E)
Land: Deutschland
2.1.3.
Wert
Geschätzter Wert ohne MwSt.: 500 000,00 EUR
2.1.4.
Allgemeine Informationen
Rechtsgrundlage:
Richtlinie 2014/24/EU
vgv -
2.1.6.
Ausschlussgründe
Falsche Angaben, verweigerte Informationen, die nicht in der Lage sind, die erforderlichen Unterlagen vorzulegen, und haben vertrauliche Informationen über dieses Verfahren erhalten.: Täuschung oder unzulässige Beeinflussung des Vergabeverfahrens
Konkurs: Insolvenz
Der Zahlungsunfähigkeit vergleichbare Lage gemäß nationaler Rechtsvorschriften: Mit Insolvenz vergleichbares Verfahren
Korruption: Bestechlichkeit, Vorteilsgewährung und Bestechung
Vergleichsverfahren: Mit Insolvenz vergleichbares Verfahren
Beteiligung an einer kriminellen Vereinigung: Bildung krimineller Vereinigungen
Vereinbarungen mit anderen Wirtschaftsteilnehmern zur Verzerrung des Wettbewerbs: Wettbewerbsbeschränkende Vereinbarungen
Verstoß gegen umweltrechtliche Verpflichtungen: Verstöße gegen umweltrechtliche Verpflichtungen
Geldwäsche oder Terrorismusfinanzierung: Geldwäsche oder Terrorismusfinanzierung
Betrugsbekämpfung: Betrug oder Subventionsbetrug
Kinderarbeit und andere Formen des Menschenhandels: Menschenhandel, Zwangsprostitution, Zwangsarbeit oder Ausbeutung
Zahlungsunfähigkeit: Zahlungsunfähigkeit
Verstoß gegen arbeitsrechtliche Verpflichtungen: Verstöße gegen arbeitsrechtliche Verpflichtungen
Verwaltung der Vermögenswerte durch einen Insolvenzverwalter: Insolvenz
Rein innerstaatliche Ausschlussgründe: Rein nationale Ausschlussgründe
Interessenkonflikt aufgrund seiner Teilnahme an dem Vergabeverfahren: Interessenkonflikt
Direkte oder indirekte Beteiligung an der Vorbereitung des Vergabeverfahrens: Wettbewerbsverzerrung wegen Vorbefassung
Schwere Verfehlung im Rahmen der beruflichen Tätigkeit: Schwere Verfehlung
Vorzeitige Beendigung, Schadensersatz oder andere vergleichbare Sanktionen: Mangelhafte Erfüllung eines früheren öffentlichen Auftrags
Verstoß gegen sozialrechtliche Verpflichtungen: Verstöße gegen sozialrechtliche Verpflichtungen
Einstellung der gewerblichen Tätigkeit: Einstellung der beruflichen Tätigkeit
Terroristische Straftaten oder Straftaten im Zusammenhang mit terroristischen Aktivitäten: Bildung terroristischer Vereinigungen
5. Los
5.1.
Los: LOT-0001
Titel: Security Operations Center (SOC)
Beschreibung: 1.Allgemeine Informationen zur Auftragsvergabe 1.1 Information zum Auftraggeber „Das Klinikum Itzehoe ist ein Krankenhaus der Schwerpunktversorgung, zudem ist es eines der größten Krankenhäuser in Schleswig-Holstein. Dazu zählen neben 15 Fachkliniken auch drei medizinische Versorgungszentren, ein ambulanter Pflegedienst, ein Seniorenzentrum, so-wie eine Gesundheits- und Krankenpflegeschule. Träger des Klinikum Itzehoe ist ein Zweck-verband bestehend aus dem Kreis Steinburg und der Stadt Itzehoe. Das Klinikum Itzehoe fungiert als Akademisches Lehrkrankenhaus der medizinischen Fakultäten der Universitäten Hamburg, Kiel und Lübeck. Neben dem ärztlichen Personal bildet das Klinikum Itzehoe auch Pflegepersonal und Physiotherapeuten aus. Im Klinikum Itzehoe arbeiten rund 2500 Mitarbeiter in verschiedenen Bereichen.“ Jährlich werden ca. 29 Tsd. vollstationäre Fälle und 50 Tsd. ambulante Fälle behandelt, das Umsatzvolumen beträgt ca. 180 Mio. Euro. 1.2 Beschreibung Auftragsgegenstand Das Klinikum Itzehoe möchte seine IT-Systeme weiter absichern und mittels eines Monitorings durch ein Security Operation Center in Form eines Managed Service („Managed SOC“) erweitern. Externe Analysten und Experten analysieren dabei Aktivitäten innerhalb der Systeme und Netze mit Hilfe u.a. der korrelierten Log-Dateien. Dies kann helfen, Cyber-Angriffe zu erkennen und zeitnah einzudämmen, bspw. bevor Angreifer Systeme kompromittieren. Die derzeitige Architektur der IT-Sicherheit beruht maßgeblich auf der Absicherung der Endgeräten auf Basis TrendMicro mit ApexOne, unterstützt durch TrendMicro DDI. Weitere Informationen zur derzeitigen IT-Infrastruktur und Architektur sind in der Anlage „Information zur IT-Infrastruktur“ detailliert beschrieben. Eine kurze Zusammenfassung der Bausteine: - Lizenzen: Die SIEM-Lösung wird durch den AN bereitgestellt und betrieben. Die Lizenzen bzw. Subscriptions sind vom AN anzubieten. Die SIEM-Lösung bleibt damit Eigentum des AN und befindet sich bis auf notwendige Kollektoren und Sensoren, welche ggf. AG Eigentum sind bzw. werden, in der Infrastruktur des AN (Cloud). - Anbindung Log-Quellen: der AN ist für die initiale Anbindung und Normalisierung der Log-Quellen, der Information aus der Endpointsicherheitslösung sowie relevanter Tools und Quellen an die SIEM-Lösung (Security Information and Event Management) zu-ständig. Der SOC-Partner hat dem AG in der Implementierungs-Phase die notwendigen bzw. präferierten Quellen zu nennen, um eine ausreichende Visibilität für qualifizierte Services zu erreichen. Die relevante Dokumentation und ein Betriebshandbuch sind Teil des Umfangs. - Betrieb der SIEM-Lösung: Der Betrieb der Lösung liegt vollständig beim AN. - Der AN bringt Regeln und Use-Cases in die SIEM-Lösung ein und übernimmt die Überwachung. Dazu gehören Regeln, um in den Daten Korrelationen zu bilden und da-raus Alarme auf einen potenziellen Angriff zu erzeugen. Die Überwachung und Analyse der Alarme sind Teil der Leistung des AN (weitere Detaillierung zu den SOC-Leistungen in Kapitel 2.3). - Protokollierung: Der AN setzt die SIEM-Lösung für die Zwecke der Protokollierung und möglichen notwendigen forensischen Analyse auf. Die Daten-Retention erfolgt ausschließlich in der SIEM-Lösung, eine Speicherdauer von 12 Monaten ist geplant. - Reaktion: Die im Leistungsumfang geforderte und vom AG freigegebene Reaktion bei einem Sicherheitsvorfall durch den AN auf den Systemen des AG wird in der Implementierungsphase abgestimmt. Der AG verfügt über eine telefonische Bereitschaft. Eine direkte aktive Reaktion durch den SOC-Partner bspw. auf Endgeräte ist erforderlich (weitere Detaillierung in Kapitel 2.3). Im Falle eines kritischen Vorfalls stellt der AN ad-hoc Ressourcen (Incident Response Team) zur Eindämmung, Bewältigung und Aufbereitung des Vorfalls bereit. 1.3 Technische und organisatorische Rahmenbedingungen Als Einrichtung im Gesundheitswesen und der damit verbundenen Verarbeitung besonders sensibler personenbezogener Informationen und Gesundheitsinformationen der Patienten ist der Schutzbedarf des Klinikum Itzehoe besonders hoch und die Absicherung kritisch. Infrastruktur und Architektur: Die Absicherung der Endpoints läuft derzeit mit TrendMicro Apex One, unterstützt durch TrendMicro DDI. Das Mengengerüst für das Angebot ist der Anlage „Information zur IT-Infrastruktur“ zu entnehmen. Protokollierung: Derzeit werden Security-Daten inkl. Logs an unterschiedlichen Orten separat abgelegt. Daher gibt es Stand heute keine zentrale Datenerhebung bzw. keinen Security Data-Lake. Verfügbarkeit der IT: Das Security-Team des AG hat eine 7x24h Rufbereitschaft eingerichtet, um vom AN im Zuge des Managed Security Operations Center bei kritischen Vorfällen kontaktiert werden zu kön-nen. Datenaustausch Der Datenaustausch zwischen dem Auftraggeber und dem Auftragnehmer muss generell auf die Verwendung vertraulicher und technologisch sicherer Kommunikations- und Datenkanäle beschränkt sein. Für den Datenaustausch abseits der E-Mail-Kommunikation (beispielsweise sicherheitsrele-vante Dokumente, Programme, etc.) muss der Auftragnehmer eine Datenaustauschplattform zur Verfügung stellen. Sonstige Anforderungen Für die Erbringung des Leistungsumfangs muss der Auftragnehmer grundsätzlich in der Lage sein, die notwendigen Werkzeuge (Soft- und Hardware) - inkl. etwaig notwendiger Lizenzen oder anderer Rahmenbedingungen - in vollem Umfang eigenständig zur Verfügung zu stellen und uneingeschränkt beim Auftraggeber nutzen zu können (außer Windows-Lizenzen, VMWa-re-Umgebung wird von dem Klinikum Itzehoe zur Verfügung gestellt).
Interne Kennung: 0001
5.1.1.
Zweck
Art des Auftrags: Dienstleistungen
Haupteinstufung (cpv): 72250000 Systemdienstleistungen und Unterstützungsdienste
5.1.2.
Erfüllungsort
Land, Gliederung (NUTS): Steinburg (DEF0E)
Land: Deutschland
5.1.3.
Geschätzte Dauer
Laufzeit: 36 Monate
5.1.4.
Verlängerung
Der Erwerber behält sich das Recht vor, zusätzliche Käufe vom Auftragnehmer zu tätigen, wie hier beschrieben: im Preisblatt (Bewertungsmatrix - T3) sind folgende Verlängerungsoptionen anzugeben -Verlängerung des Vertrages um 1 weiteres Jahr (4 Jahre) -Verlängerung des Vertrages um 2 weitere Jahre (5 Jahre) -Verlängerung des Vertrages um 3 weitere Jahre (6 Jahre)
5.1.5.
Wert
Geschätzter Wert ohne MwSt.: 500 000,00 EUR
5.1.6.
Allgemeine Informationen
Die Namen und beruflichen Qualifikationen des zur Auftragsausführung eingesetzten Personals sind anzugeben: Nicht erforderlich
Auftragsvergabeprojekt ganz oder teilweise aus EU-Mitteln finanziert
Die Beschaffung fällt unter das Übereinkommen über das öffentliche Beschaffungswesen: nein
5.1.7.
Strategische Auftragsvergabe
Ziel der strategischen Auftragsvergabe: Keine strategische Beschaffung
5.1.9.
Eignungskriterien
Kriterium:
Art: Eignung zur Berufsausübung
Beschreibung: -KO-Kriterium: Angabe zur Mitgliedschaft bei der Berufsgenossenschaft. -KO-Kriterium: Angabe, dass keine schweren Verfehlungen begangen wurden, die die Zuverlässigkeit in Frage stellt. -KO-Kriterium: Angaben zur Eintragung im Berufs- und/oder Handelsregister. (Im Zeitpunkt des Ablaufs der Teilnahmefrist nicht älter als 6 Monate) -KO-Kriterium: Eigenerklärung darüber, dass für das Unternehmen kein Eintrag im Wettbewerbsregister erfolgt ist bzw. unmittelbar bevorsteht, der eine Zuschlagserklärung in Frage stellt. -KO-Kriterium: Der Leistungserbringer betreibt ein ISMS nach ISO27001.
Anwendung dieses Kriteriums: Verwendet
Anhand der Kriterien werden die Bewerber ausgewählt, die zur zweiten Phase des Verfahrens eingeladen werden sollen
Kriterium:
Art: Wirtschaftliche und finanzielle Leistungsfähigkeit
Beschreibung: -Umsatz des Leistungserbringers in den letzten drei Geschäftsjahren. -Angaben, dass die Verpflichtung zur Zahlung von Steuern, Abgaben und Beiträge zur gesetzl. Sozialversicherung erfüllt sind. -Angaben, ob ein Insolvenzverfahren besteht o. ob das Unternehmen sich in Liquidation befindet. -Nachweis einer Betriebshaftpflicht in Höhe von 5 Mio. EUR p. a. SACHSCHÄDEN. (Bescheinigung des Versicherungsgebers oder Bescheinigung eines Versicherungsgebers) -Nachweis einer Betriebshaftpflicht in Höhe von 0,5 Mio. EUR p. a. PERSONENSCHÄDEN. (Bescheinigung des Versicherungsgebers oder Bescheinigung eines Versicherungsgebers) -Unternehmensbeschreibung gegliedert nach: a) Geschäftsstruktur b) Gründungsjahr c) Hauptgeschäftsbereich d) Hauptsitz e) Anzahl Mitarbeiter gesamt -KO-Kriterium: BAS-Zertifikat (Berechtigung nach § 21 Absatz 5 Satz 1 Krankenhausstrukturfonds-Verordnung (KHSFV)) eines wesentlichen an der Beschaffung oder Umsetzung beteiligten Mitarbeiters des Anbieter ist gegeben und beizufügen.
Anwendung dieses Kriteriums: Verwendet
Anhand der Kriterien werden die Bewerber ausgewählt, die zur zweiten Phase des Verfahrens eingeladen werden sollen
Kriterium:
Art: Technische und berufliche Leistungsfähigkeit
Beschreibung: -KO-Kriterium: Die Datenhaltung und Bearbeitung finden ausschließlich und DSGVO-konform innerhalb der EU / DACH-Region (Rechenzentrum) statt. -KO-Kriterium: Die Kommunikationssprache während des normalen Betriebes ist Deutsch. -KO-Kriterium: Das Analystenteam des Anbieters unterstützt in deutscher Sprache, der Kontaktpunkt im Krisenfall ist deutschsprachig (mind. C2-Niveau) und der angebotene SLA ist für den deutschsprachigen Kontakt gültig. -KO-Kriterium: Der Standort (physische Sitz) der Analysten des SOC-Services liegt in Deutschland. -KO-Kriterium: Es sind mindestens 3 Referenzkunden im Bereich Krankenhäuser / Kliniken einzureichen. -Der Anbieter verfügt über mindestens 10 MDR/SOC-Analysten. -Eigenerklärung zur VERORDNUNG (EU) 2022/576 DES RATES vom 8. April 2022 zur Änderung der Verordnung (EU) Nr. 833/2014 über restriktive Maßnahmen angesichts der Handlungen Russlands, die die Lage in der Ukraine destabilisieren (Art. 5k EU-VO Nr. 833/2014)
Anwendung dieses Kriteriums: Verwendet
Anhand der Kriterien werden die Bewerber ausgewählt, die zur zweiten Phase des Verfahrens eingeladen werden sollen
Informationen über die zweite Phase eines zweiphasigen Verfahrens:
Mindestzahl der zur zweiten Phase des Verfahrens einzuladenden Bewerber: 3
Höchstzahl der zur zweiten Phase des Verfahrens einzuladenden Bewerber: 3
Das Verfahren wird in mehreren aufeinanderfolgenden Phasen durchgeführt. In jeder Phase können einige Teilnehmer ausgeschlossen werden
Der Erwerber behält sich das Recht vor, den Auftrag aufgrund der ursprünglichen Angebote ohne weitere Verhandlungen zu vergeben
5.1.10.
Zuschlagskriterien
Kriterium:
Art: Qualität
Bezeichnung: Qualität (Erreichte Punktzahl in Anlage Bewertungsmatrix - T0)
Beschreibung: Qualität (Erreichte Punktzahl in Anlage Bewertungsmatrix - T0)
Gewichtung (Punkte, genau): 40
Kriterium:
Art: Qualität
Bezeichnung: Bewertung der Bieterpräsentation (Nutzerbewertung)
Beschreibung: Bewertung der Bieterpräsentation (Nutzerbewertung)
Gewichtung (Punkte, genau): 15
Kriterium:
Art: Qualität
Bezeichnung: Bewertung Referenzhausbesuch (Nutzerbewertung)
Beschreibung: Bewertung Referenzhausbesuch (Nutzerbewertung)
Gewichtung (Punkte, genau): 15
Kriterium:
Art: Kosten
Bezeichnung: Bewertung der Investitions- u. lfd. Kosten zuzüglich Dienstleistungen für 3 Jahre (Preis)
Beschreibung: Bewertung der Investitions- u. lfd. Kosten zuzüglich Dienstleistungen für 3 Jahre (Preis)
Gewichtung (Punkte, genau): 30
5.1.11.
Auftragsunterlagen
Sprachen, in denen die Auftragsunterlagen offiziell verfügbar sind: Deutsch
Internetadresse der Auftragsunterlagen: http://www.deutsche-evergabe.de/dashboards/dashboard_off/2ed40692-036d-4e10-9d6e-8eefce7fe8c5
5.1.12.
Bedingungen für die Auftragsvergabe
Verfahrensbedingungen:
Voraussichtliches Datum der Absendung der Aufforderungen zur Angebotseinreichung: 03/09/2024
Bedingungen für die Einreichung:
Elektronische Einreichung: Erforderlich
Adresse für die Einreichung: http://www.deutsche-evergabe.de/dashboards/dashboard_off/2ed40692-036d-4e10-9d6e-8eefce7fe8c5
Sprachen, in denen Angebote oder Teilnahmeanträge eingereicht werden können: Deutsch
Elektronischer Katalog: Nicht zulässig
Varianten: Nicht zulässig
Die Bieter können mehrere Angebote einreichen: Nicht zulässig
Frist für den Eingang der Teilnahmeanträge: 26/08/2024 09:00:00 (UTC)
Frist, bis zu der das Angebot gültig sein muss: 278 $name_timeperiod.DAYS_PLURAL_deu
Informationen, die nach Ablauf der Einreichungsfrist ergänzt werden können:
Fehlende Bieterunterlagen können nicht nach Fristablauf nachgereicht werden.
Zusätzliche Informationen: Bitte beachten: Um einen eventuellen Ausschluss des Angebotes zu vermeiden, legen Sie bitte die geforderten Nachweise und Erklärungen dem Angebot unbedingt vollständig bei.
Auftragsbedingungen:
Die Auftragsausführung muss im Rahmen von Programmen für geschützte Beschäftigungsverhältnisse erfolgen: Nein
Elektronische Rechnungsstellung: Nicht zulässig
Aufträge werden elektronisch erteilt: nein
Zahlungen werden elektronisch geleistet: nein
Informationen über die Überprüfungsfristen: (1) Etwaige Vergabeverstöße muss der Bewerber/Bieter gemäß § 160 Abs. 3 Nr. 1 GWB innerhalb von 10 Tagen nach Kenntnisnahme rügen. (2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, sind nach § 160 Abs. 3 Nr. 2 GWB spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Abgabe der Bewerbung oder der Angebote gegenüber dem Auftraggeber zu rügen. (3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, sind nach § 160 Abs. 3 Nr. 3 GWB spätestens bis zum Ablauf der Frist zur Bewerbungs- oder Angebotsabgabe gegenüber dem Auftraggeber zu rügen. (4) Ein Vergabenachprüfungsantrag ist nach § 160 Abs. 3 Nr. 4 GWB innerhalb von 15 Kalendertagen nach der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, bei der Vergabekammer einzureichen.
5.1.15.
Techniken
Rahmenvereinbarung: Keine Rahmenvereinbarung
Informationen über das dynamische Beschaffungssystem: Kein dynamisches Beschaffungssystem
5.1.16.
Weitere Informationen, Schlichtung und Nachprüfung
Überprüfungsstelle: LEG GmbH
Organisation, die zusätzliche Informationen über das Vergabeverfahren bereitstellt: LEG gGmbH
Organisation, die Teilnahmeanträge entgegennimmt: LEG gGmbH
TED eSender: Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)
8. Organisationen
8.1.
ORG-0001
Offizielle Bezeichnung: LEG gGmbH
Registrierungsnummer: 11513
Postanschrift: Rudolf-Diesel-Str.10
Stadt: Buxtehude
Postleitzahl: 21614
Land, Gliederung (NUTS): Stade (DE939)
Land: Deutschland
Telefon: +49 4141972457
Rollen dieser Organisation:
Beschaffer
Organisation, die zusätzliche Informationen über das Vergabeverfahren bereitstellt
Organisation, die Teilnahmeanträge entgegennimmt
8.1.
ORG-0002
Offizielle Bezeichnung: LEG GmbH
Registrierungsnummer: fbd895cc-c47d-4d9b-8100-767871ffbd2f
Postanschrift: Rudolf-Diesel-Str.10
Stadt: Buxtehude
Postleitzahl: 21614
Land, Gliederung (NUTS): Stade (DE939)
Land: Deutschland
Telefon: +49 4141972457
Rollen dieser Organisation:
Überprüfungsstelle
8.1.
ORG-0003
Offizielle Bezeichnung: Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)
Registrierungsnummer: 0204:994-DOEVD-83
Stadt: Bonn
Postleitzahl: 53119
Land, Gliederung (NUTS): Bonn, Kreisfreie Stadt (DEA22)
Land: Deutschland
Telefon: +49228996100
Rollen dieser Organisation:
TED eSender
11. Informationen zur Bekanntmachung
11.1.
Informationen zur Bekanntmachung
Kennung/Fassung der Bekanntmachung: 2ed40692-036d-4e10-9d6e-8eefce7fe8c5 - 01
Formulartyp: Wettbewerb
Art der Bekanntmachung: Auftrags- oder Konzessionsbekanntmachung – Standardregelung
Unterart der Bekanntmachung: 16
Datum der Übermittlung der Bekanntmachung: 26/07/2024 08:27:00 (UTC)
Sprachen, in denen diese Bekanntmachung offiziell verfügbar ist: Deutsch
11.2.
Informationen zur Veröffentlichung
Veröffentlichungsnummer der Bekanntmachung: 455207-2024
ABl. S – Nummer der Ausgabe: 146/2024
Datum der Veröffentlichung: 29/07/2024