1.1.
Beschaffer
Offizielle Bezeichnung: UNIVERSITÄTSMEDIZIN der Johannes Gutenberg-Universität Mainz
Rechtsform des Erwerbers: Von einer regionalen Gebietskörperschaft kontrollierte Einrichtung des öffentlichen Rechts
Tätigkeit des öffentlichen Auftraggebers: Gesundheit
2.1.
Verfahren
Titel: Rahmenvertrag Beratung InfoSec
Beschreibung: Die Universitätsmedizin Mainz (UM Mainz) zählt zu den führenden Einrichtungen Deutschlands und verbindet Spitzenmedizin, Forschung und Lehre in enger Zusammenarbeit mit der Johannes Gutenberg-Universität Mainz. Als Supramaximalversorger übernimmt sie eine zentrale Rolle in der stationären und ambulanten Versorgung sowie in der medizinischen Forschung und Ausbildung. Zur UM Mainz gehören 60 Kliniken, Institute & Abteilungen, 320.000 Patienten pro Jahr (stationär & ambulant) und 8.700 Mitarbeitende. Die fortschreitende Digitalisierung von elektronischen Patientenakten über vernetzte klinische IT bis hin zu medizintechnischen OT-Systemen, eröffnet große Chancen für eine moderne, effiziente und vernetzte Gesundheitsversorgung. Gleichzeitig steigen die regulatorischen Anforderungen an die Informationssicherheit durch beispielsweise NIS2 und KRITIS-Dachgesetz, insbesondere für versorgungskritische Infrastrukturen wie die UM Mainz. Die UM Mainz ist als Betreiber kritischer Infrastrukturen verpflichtet, ein hohes Schutzniveau in der Informationssicherheit sicherzustellen. Neben der technischen Einführung eines Systems zur Angriffserkennung und einer zentralen Protokollierung sind zusätzliche organisatorische, beratende und operative Unterstützungsleistungen erforderlich. Die UM Mainz beabsichtigt daher deshalb im Rahmen eines mehrjährigen Rahmenvertrags einen erfahrenen Auftragnehmer zu beauftragen, der die UM Mainz bei der ganzheitlichen Umsetzung, Weiterentwicklung und Verstetigung von Informationssicherheitsmaßnahmen unterstützt. Zudem soll die UM Mainz zukunftssicher aufgestellt werden, um die aufkommenden regulatorischen Anforderungen zu bewältigen. Die zu beschaffenden Unterstützungsleistungen gliedern sich in die nachfolgenden Leistungsbereiche: - Informationssicherheit - Business Continuity Management - IT-Beratung - Projektmanagement - Datenschutz
Kennung des Verfahrens: 8af2cf9a-c5da-443c-b3b6-862b4a508f2a
Interne Kennung: GBE-2025-0920
Verfahrensart: Offenes Verfahren
Das Verfahren wird beschleunigt: nein
Zentrale Elemente des Verfahrens: Abschluss einer Rahmenvereinbarung - Rahmenvereinbarung mit einem einzigen Wirtschaftsteilnehmer
2.1.1.
Zweck
Art des Auftrags: Dienstleistungen
Haupteinstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung
Zusätzliche Einstufung (cpv): 79000000 Dienstleistungen für Unternehmen: Recht, Marketing, Consulting, Einstellungen, Druck und Sicherheit
2.1.2.
Erfüllungsort
Postanschrift: Langenbeckstrasse 1
Stadt: Mainz
Postleitzahl: 55131
Land, Gliederung (NUTS): Mainz, Kreisfreie Stadt (DEB35)
Land: Deutschland
2.1.4.
Allgemeine Informationen
Zusätzliche Informationen: #Bekanntmachungs-ID: CXPDYD8YNAM#
Rechtsgrundlage:
Richtlinie 2014/24/EU
vgv -
2.1.6.
Ausschlussgründe
Quellen der Ausschlussgründe: Bekanntmachung, Auftragsunterlagen
Verstoß gegen die in den rein innerstaatlichen Ausschlussgründen verankerten Verpflichtungen:
Beteiligung an einer kriminellen Vereinigung:
Terroristische Straftaten oder Straftaten im Zusammenhang mit terroristischen Aktivitäten:
Geldwäsche oder Terrorismusfinanzierung:
Betrug:
Korruption:
Kinderarbeit und andere Formen des Menschenhandels:
Verstoß gegen die Verpflichtung zur Entrichtung von Steuern:
Verstoß gegen die Verpflichtung zur Entrichtung von Sozialversicherungsbeiträgen:
Verstoß gegen umweltrechtliche Verpflichtungen:
Verstoß gegen sozialrechtliche Verpflichtungen:
Verstoß gegen arbeitsrechtliche Verpflichtungen:
Zahlungsunfähigkeit:
Verwaltung der Vermögenswerte durch einen Insolvenzverwalter:
Einstellung der gewerblichen Tätigkeit:
Der Zahlungsunfähigkeit vergleichbare Lage gemäß nationaler Rechtsvorschriften:
Schwerwiegendes berufliches Fehlverhalten:
Vereinbarungen mit anderen Wirtschaftsteilnehmern zur Verzerrung des Wettbewerbs:
Interessenkonflikt aufgrund seiner Teilnahme an dem Vergabeverfahren:
Direkte oder indirekte Beteiligung an der Vorbereitung des Vergabeverfahrens:
Vorzeitige Beendigung, Schadensersatz oder andere vergleichbare Sanktionen:
Täuschung, Zurückhaltung von Informationen, Unfähigkeit zur Vorlage erforderlicher Unterlagen oder Erlangung vertraulicher Informationen zu dem Verfahren:
5.1.
Los: LOT-0001
Titel: Rahmenvertrag Beratung InfoSec
Beschreibung: Die Universitätsmedizin Mainz (UM Mainz) zählt zu den führenden Einrichtungen Deutschlands und verbindet Spitzenmedizin, Forschung und Lehre in enger Zusammenarbeit mit der Johannes Gutenberg-Universität Mainz. Als Supramaximalversorger übernimmt sie eine zentrale Rolle in der stationären und ambulanten Versorgung sowie in der medizinischen Forschung und Ausbildung. Zur UM Mainz gehören 60 Kliniken, Institute & Abteilungen, 320.000 Patienten pro Jahr (stationär & ambulant) und 8.700 Mitarbeitende. Die fortschreitende Digitalisierung von elektronischen Patientenakten über vernetzte klinische IT bis hin zu medizintechnischen OT-Systemen, eröffnet große Chancen für eine moderne, effiziente und vernetzte Gesundheitsversorgung. Gleichzeitig steigen die regulatorischen Anforderungen an die Informationssicherheit durch beispielsweise NIS2 und KRITIS-Dachgesetz, insbesondere für versorgungskritische Infrastrukturen wie die UM Mainz. Die UM Mainz ist als Betreiber kritischer Infrastrukturen verpflichtet, ein hohes Schutzniveau in der Informationssicherheit sicherzustellen. Neben der technischen Einführung eines Systems zur Angriffserkennung und einer zentralen Protokollierung sind zusätzliche organisatorische, beratende und operative Unterstützungsleistungen erforderlich. Die UM Mainz beabsichtigt daher deshalb im Rahmen eines mehrjährigen Rahmenvertrags einen erfahrenen Auftragnehmer zu beauftragen, der die UM Mainz bei der ganzheitlichen Umsetzung, Weiterentwicklung und Verstetigung von Informationssicherheitsmaßnahmen unterstützt. Zudem soll die UM Mainz zukunftssicher aufgestellt werden, um die aufkommenden regulatorischen Anforderungen zu bewältigen. Die zu beschaffenden Unterstützungsleistungen gliedern sich in die nachfolgenden Leistungsbereiche: - Informationssicherheit - Business Continuity Management - IT-Beratung - Projektmanagement - Datenschutz
Interne Kennung: GBE-2025-0920
5.1.1.
Zweck
Art des Auftrags: Dienstleistungen
Haupteinstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung
Zusätzliche Einstufung (cpv): 79000000 Dienstleistungen für Unternehmen: Recht, Marketing, Consulting, Einstellungen, Druck und Sicherheit
5.1.2.
Erfüllungsort
Postanschrift: Langenbeckstrasse 1
Stadt: Mainz
Postleitzahl: 55131
Land, Gliederung (NUTS): Mainz, Kreisfreie Stadt (DEB35)
Land: Deutschland
5.1.3.
Geschätzte Dauer
Laufzeit: 4 Jahre
5.1.4.
Verlängerung
Maximale Verlängerungen: 2
Weitere Informationen zur Verlängerung: Die Laufzeit des Vertrags beträgt vier Jahre ab Zuschlagserteilung zuzüglich einer Verlängerungsoption um insgesamt zwei Mal zwölf Monate.
5.1.6.
Allgemeine Informationen
Vorbehaltene Teilnahme:
Teilnahme ist nicht vorbehalten.
Die Namen und beruflichen Qualifikationen des zur Auftragsausführung eingesetzten Personals sind anzugeben: Erforderlich für das Angebot
Auftragsvergabeprojekt nicht aus EU-Mitteln finanziert
Die Beschaffung fällt unter das Übereinkommen über das öffentliche Beschaffungswesen: nein
Diese Auftragsvergabe ist auch für kleine und mittlere Unternehmen (KMU) geeignet: nein
5.1.7.
Strategische Auftragsvergabe
Ziel der strategischen Auftragsvergabe: Keine strategische Beschaffung
5.1.9.
Eignungskriterien
Quellen der Auswahlkriterien: Bekanntmachung
Kriterium: Berufliche Risikohaftpflichtversicherung
Beschreibung des Auswahlkriteriums: Der Auftragnehmer muss das Bestehen einer Haftpflichtversicherung mit einer Deckungssumme von mindestens 10 Mio. Euro pro Schadensfall nachweisen können.
Kriterium: Relevante Bildungs- und Berufsqualifikationen
Beschreibung des Auswahlkriteriums: Der Auftragnehmer muss mindestens fünf erfahrene KRITIS-Nachweisprüfer:innen im Team nachweisen.
Kriterium: Referenzen zu bestimmten Dienstleistungen
Beschreibung des Auswahlkriteriums: Der Auftragnehmer muss als BSI-gelisteter IT-Sicherheitsdienstleister und geeignete prüfende Stelle (oder gleichwertig) anerkannt sein.
Kriterium: Referenzen zu bestimmten Arbeiten
Beschreibung des Auswahlkriteriums: Der Auftragnehmer muss mindestens fünf Referenzprojekte aus den letzten fünf Jahren nachweisen, die für den Abruf der Leistungen aus dem Rahmenvertrag relevant sind. Davon müssen mindestens zwei Projekte für Universitätskliniken oder Klinikverbünde mit mehr als 600 Betten im Bereich IT/Informationssicherheit sein. Außerdem müssen davon mindestens zwei Referenzprojekte Rahmenverträge vergleichbarer Größe, Struktur und Umfang betreffen, um Erfahrung mit mindestens dreijährigen Abrufleistungen nachzuweisen. Fachliche Schwerpunkte der Projektreferenzen: - Mindestens drei Projekte mit Fokus auf ISMS / BCMS (z. B. Aufbau, Auditierung, Weiterentwicklung von Managementsystemen) - Mindestens drei Projekte mit technischer Sicherheitsausrichtung (z. B. Penetrationstests, Netzwerksicherheit, SOC/SIEM) - Mindestens zwei Projekte im Bereich Auditierungen (z. B. KRITIS-Nachweisprüfungen, interne Audits, Auditvorbereitung nach ISO 27001/BSI-Grundschutz oder BSI 200-4)
Kriterium: Maßnahmen zur Sicherstellung der Qualität
Beschreibung des Auswahlkriteriums: Der Auftragnehmer muss sicherstellen, dass qualifiziertes Personal innerhalb von fünf Werktagen für geplante Unterstützungsleistungen verfügbar ist. Bei sicherheitskritischen Vorfällen muss eine Reaktionsfähigkeit am gleichen Tag sichergestellt werden.
Kriterium: Referenzen zu bestimmten Arbeiten
Beschreibung des Auswahlkriteriums: Der Auftragnehmer muss eine mindestens zehnjährige Geschäftstätigkeit im Bereich IT-/ Cyber Security Beratung nachweisen.
Kriterium: Durchschnittlicher Jahresumsatz
Beschreibung des Auswahlkriteriums: Der Auftragnehmer muss in den letzten drei Jahren einen durchschnittlichen Netto-Jahresumsatz von mind. 9 Mio. EUR im Bereich IT-/Cyber Security Beratung im Gesundheitswesen erlöst haben.
Kriterium: Andere wirtschaftliche oder finanzielle Anforderungen
Beschreibung des Auswahlkriteriums: Der Auftragnehmer muss mindestens 30 Cyber-Security-Expert:innen in Deutschland beschäftigen, davon mind. 10 FTE pro Jahr im Gesundheitswesen.
Kriterium: Relevante Bildungs- und Berufsqualifikationen
Beschreibung des Auswahlkriteriums: Der Auftragnehmer muss alle im folgenden genannte relevante Profile durch sein Personal abdecken können: - Gesamtverantwortung/Projektleitung - PMO (Unterstützung innerhalb des Projekts) - Cyber Security Beratung - Fachexperten: o BCMS o SOC/SIEM o Pentesting o Produktsicherheit/OT o Gesundheitswesen o Datenschutz
5.1.10.
Zuschlagskriterien
Kriterium:
Art: Preis
Bezeichnung: 30 Punkte
Beschreibung: Preis mit einem Anteil von 30%
Kategorie des Festwert-Zuschlagskriteriums: Fester Wert (insgesamt)
Zuschlagskriterium — Zahl: 30,00
Kriterium:
Art: Qualität
Bezeichnung: Fachkonzepte
Beschreibung: Konzepte mit einem Anteil von 70%
Kategorie des Festwert-Zuschlagskriteriums: Fester Wert (insgesamt)
Zuschlagskriterium — Zahl: 70,00
5.1.11.
Auftragsunterlagen
Sprachen, in denen die Auftragsunterlagen offiziell verfügbar sind: Deutsch
Frist für die Anforderung zusätzlicher Informationen: 03/03/2026 23:59:59 (UTC+01:00) Mitteleuropäische Zeit, Westeuropäische Sommerzeit
Ad-hoc-Kommunikationskanal:
Name: Sollten sich bei der Angebotserstellung Rückfragen ergeben, so sind diese über die Vergabeplattform "Vergabemarktplatz Rheinland-Pfalz" über die Funktion "Kommunikation" an die Vergabestelle zu richten. Telefonische Auskünfte werden nicht erteilt. Ausschließlicher Kontaktpartner der Bieter für Fragen zum Vergabeverfahren und Auftragsinhalt ist der Geschäftsbereich Einkauf und Materialwirtschaft
5.1.12.
Bedingungen für die Auftragsvergabe
Bedingungen für die Einreichung:
Elektronische Einreichung: Erforderlich
Sprachen, in denen Angebote oder Teilnahmeanträge eingereicht werden können: Deutsch
Elektronischer Katalog: Nicht zulässig
Varianten: Nicht zulässig
Die Bieter können mehrere Angebote einreichen: Nicht zulässig
Frist für den Eingang der Angebote: 10/03/2026 10:00:00 (UTC+01:00) Mitteleuropäische Zeit, Westeuropäische Sommerzeit
Dauer, während der das Angebot gültig bleiben muss: 30 Tage
Informationen, die nach Ablauf der Einreichungsfrist ergänzt werden können:
Nach Ermessen des Käufers können einige fehlenden Bieterunterlagen nach Fristablauf nachgereicht werden.
Zusätzliche Informationen: In den Fällen des § 56 Abs. 2 und 3 VgV behält er sich vor, die fehlenden, unvollständigen oder ggf. fehlerhaften Unterlagen nachzufordern.
Informationen über die öffentliche Angebotsöffnung:
Eröffnungstermin: 10/03/2026 10:01:00 (UTC+01:00) Mitteleuropäische Zeit, Westeuropäische Sommerzeit
Ort des Eröffnungstermins: Die Angebotsöffnung erfolgt elektronisch.
Eröffnungstermin — Beschreibung: Es sind keine Bieter zugelassen
Auftragsbedingungen:
Die Auftragsausführung muss im Rahmen von Programmen für geschützte Beschäftigungsverhältnisse erfolgen: Nein
Bedingungen für die Ausführung des Auftrags: - Einhaltung der Vorgaben der §§ 2a - 5 des Landesgesetzes zur Gewährleistung von Tariftreue und Mindestentgelt bei öffentlichen Auftragsvergaben (LTTG) Rheinland-Pfalz - Mitarbeiter die in der Universitätsmedizin eingesetzt werden müssen über die gesetzlich erforderlichen Impfnachweise nachweisen (z.Z. Masern - Einhaltung der geltenden Gesetze, Vorschriften und Richtlinien, die in Bezug auf die Ausschreibung Anwendung finden, in jeweils neuester Fassung Bieter verfügt über das nötige Fachpersonal, um die übertragenen Arbeiten sach- und fachgerecht auszuführen. Er bestätigt, dass mindestens ein Mitarbeiter eines jeweils eingesetzten Teams die deutsche Sprache in Wort und Schrift beherrscht. Einhaltung der Arbeitsschutzvereinbarung Verpflichtung zur Vertraulichkeit und Verschwiegenheit
Elektronische Rechnungsstellung: Erforderlich
Aufträge werden elektronisch erteilt: ja
Zahlungen werden elektronisch geleistet: ja
5.1.15.
Techniken
Rahmenvereinbarung:
Rahmenvereinbarung ohne erneuten Aufruf zum Wettbewerb
Höchstzahl der Teilnehmer: 1
Informationen über das dynamische Beschaffungssystem:
Kein dynamisches Beschaffungssystem
Elektronische Auktion: nein
5.1.16.
Weitere Informationen, Schlichtung und Nachprüfung
Überprüfungsstelle: Vergabekammer Rheinland-Pfalz beim Ministerium für Wirtschaft, Verkehr, Landwirtschaft und Weinbau,
Informationen über die Überprüfungsfristen: Einlegung von Rechtsbehelfen Genaue Angaben zu den Fristen für die Einlegung von Rechtsbehelfen Das Vergabeverfahren unterliegt den Vorschriften über das Nachprüfungsverfahren vor der Vergabekammer und dem Vergabesenat (§§ 155 ff. GWB). Nach § 160 Abs. 3 GWB ist ein etwaiger Nachprüfungsantrag unzulässig, soweit: 1) der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat, wobei der Ablauf der Frist nach § 134 Abs. 2 GWB unberührt bleibt, 2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung genannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 4) mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Die vorgenannten Rügeobliegenheiten gelten nicht für einen Antrag auf Feststellung der Unwirksamkeit des Vertrages nach § 135 Abs. 1 Nr. 2 GWB wegen unzulässiger Vergabe ohne vorherige Veröffentlichung einer Bekanntmachung (wie der vorliegenden) im Amtsblatt der EU. Der Auftraggeber ist zur Absendung einer Bieterinformation spätestens 10 Tage vor Zuschlagserteilung verpflichtet (§134 GWB). Nach Zuschlagserteilung (Vertragsschluss) ist ein Nachprüfungsantrag nicht mehr zulässig. Ausgenommen sind Anträge auf Feststellung einer Unwirksamkeit des Vertrages nach § 135 Abs. 1 GWB, also wegen Verletzung der vorgenannten Pflicht zur Bieterinformation und Einhaltung der Wartefrist gem. § 134 GWB oder wegen unzulässiger Vergabe ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der EU. Solche Anträge auf Feststellung der Unwirksamkeit des Vertrages sind nach § 135 Abs. 3 GWB nur innerhalb von 30 Kalendertagen nach der Information der betroffenen Bieter und Bewerber durch den öffentlichen Auftraggeber über den Abschluss des Vertrags zulässig, jedoch nicht später als 6 Monate nach Vertragsschluss. Hat der Auftraggeber die Auftragsvergabe im Amtsblatt der Europäischen Union bekannt gemacht, endet die Frist zur Geltendmachung der Unwirksamkeit 30 Kalendertage nach Veröffentlichung der Bekanntmachung dieser Vergabe im Amtsblatt der Europäischen Union.
Organisation, die zusätzliche Informationen über das Vergabeverfahren bereitstellt: UNIVERSITÄTSMEDIZIN der Johannes Gutenberg-Universität Mainz
Organisation, die Teilnahmeanträge entgegennimmt: UNIVERSITÄTSMEDIZIN der Johannes Gutenberg-Universität Mainz
8.1.
ORG-0001
Offizielle Bezeichnung: UNIVERSITÄTSMEDIZIN der Johannes Gutenberg-Universität Mainz
Registrierungsnummer: 07-0001801100000-05
Postanschrift: Langenbeckstrasse 1
Stadt: Mainz
Postleitzahl: 55131
Land, Gliederung (NUTS): Mainz, Kreisfreie Stadt (DEB35)
Land: Deutschland
Kontaktperson: Geschäftsbereich Einkauf
Telefon: +49 6131-17-5997
Rollen dieser Organisation:
Beschaffer
Organisation, die zusätzliche Informationen über das Vergabeverfahren bereitstellt
Organisation, die Teilnahmeanträge entgegennimmt
8.1.
ORG-0002
Offizielle Bezeichnung: Vergabekammer Rheinland-Pfalz beim Ministerium für Wirtschaft, Verkehr, Landwirtschaft und Weinbau,
Registrierungsnummer: 07-0001801100000-05
Postanschrift: Stiftstraße 9
Stadt: Mainz
Postleitzahl: 55116
Land, Gliederung (NUTS): Mainz, Kreisfreie Stadt (DEB35)
Land: Deutschland
Telefon: +49 613116-2234
Rollen dieser Organisation:
Überprüfungsstelle
8.1.
ORG-0003
Offizielle Bezeichnung: Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)
Registrierungsnummer: 0204:994-DOEVD-83
Stadt: Bonn
Postleitzahl: 53119
Land, Gliederung (NUTS): Bonn, Kreisfreie Stadt (DEA22)
Land: Deutschland
Telefon: +49228996100
Rollen dieser Organisation:
TED eSender
Kennung/Fassung der Bekanntmachung: fae42705-9c4e-4deb-99b7-1cab37a0e4e5 - 01
Formulartyp: Wettbewerb
Art der Bekanntmachung: Auftrags- oder Konzessionsbekanntmachung – Standardregelung
Unterart der Bekanntmachung: 16
Datum der Übermittlung der Bekanntmachung: 05/02/2026 08:00:00 (UTC+01:00) Mitteleuropäische Zeit, Westeuropäische Sommerzeit
Sprachen, in denen diese Bekanntmachung offiziell verfügbar ist: Deutsch
Veröffentlichungsnummer der Bekanntmachung: 88187-2026
ABl. S – Nummer der Ausgabe: 26/2026
Datum der Veröffentlichung: 06/02/2026