See the notice on TED website
1. Beschaffer
1.1.
Beschaffer
Offizielle Bezeichnung: Common Codes GmbH
Rechtsform des Erwerbers: Von einer zentralen Regierungsbehörde kontrolliertes öffentliches Unternehmen
Tätigkeit des öffentlichen Auftraggebers: Wirtschaftliche Angelegenheiten
2. Verfahren
2.1.
Verfahren
Titel: Rahmenvertrag "Sicherheitsprüfung der EUDI-Wallet"
Beschreibung: Die Common Codes GmbH ("Auftraggeberin" / "AG") ist im Auftrag des Bundesministeriums für Digitalisierung und Staatsmodernisierung für die Entwicklung und Einführung der nationalen EUDI-Wallet verantwortlich. Für die Inbetriebnahme der Anwendung am 2. Januar 2027 (Go-Live-Termin) ist eine Gesamt-Sicherheitseinschätzung der vier Sicherheitsverfahren (BSZ I & II, Vertrauensniveaueinschätzung und Sicherheitseinschätzung gemäß Kriterienkatalog) notwendig. Die Sicherheitsprüfung der staatlichen deutschen EUDI-Wallet der ersten Ausbaustufe ("First Stage") umfasst also insbesondere folgende Verfahren: (1) die Beschleunigte Sicherheitszertifizierung (BSZ)I und II, (2) die Risikobewertung nach BSI TR-03107 sowie (3) die Konformitätsbewertung nach BSI TR-03189, und erfolgt unter Einbindung des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Die Leistungen müssen daher von einer vom BSI anerkannten BSZ-Prüfstelle erbracht werden. Die vorliegende Bekanntmachung betrifft die Interimsbeauftragung der oben genannten Zertifizierungen und Bewertungen bis zum genannten Go-Live-Termin. Die entsprechenden prozessbezogenen, technischen und methodischen Sicherheitsanforderungen sowie die Bewertungsverfahren werden vom BSI fortlaufend weiterentwickelt und konkretisiert, mit dem Ziel, eine einheitliche und neutrale Sicherheitsbewertung unterschiedlicher EUDI-Wallet-Lösungen in Deutschland zu ermöglichen. Eine wesentliche Besonderheit und Herausforderung des Projekts besteht darin, dass sich sowohl das Prüfobjekt als auch alle drei relevanten Prüf- und Bewertungsverfahren noch in Entwicklung bzw. Weiterentwicklung befinden. Dies führt zu zusätzlichen Iterationen zwischen Produktentwicklung, Sicherheitskonzeption, Risikobewertung, Zertifizierung und Konformitätsbewertung. Insbesondere die fortlaufende Konkretisierung der Anforderungen und Prozesse nach TR-03107 und TR-03189 verursacht einen erheblichen zusätzlichen Aufwand, dessen Umfang bei Beginn der Sicherheitsbewertung nicht vollständig vorhersehbar war. Gleichzeitig besteht aufgrund des vorgesehenen Produktivstarts Anfang 2027 ein erheblicher zeitlicher Handlungsdruck. Vor diesem Hintergrund benötigt die AG Sicherheitsprüfungsleistungen von einem Auftragnehmer, die/der folgende Anforderung(en) zu erfüllen hat: - BSZ-Akkreditierung: Sie bildet die Grundlage für eine effiziente Einarbeitung in die bestehenden Prozesse, Prüfverfahren und etablierten Abläufe, insbesondere zu den relevanten Verordnungen, der allgemeinen Architektur sowie den einschlägigen Standardisierungsprozessen Diese sind erforderlich, um die bestehenden Anforderungen an die nationale EUDI-Wallet und Zusammenhänge schnell zu erfassen und fachlich fundiert in die laufenden Arbeiten einsteigen zu können. - Vorkenntnisse im BSZ-EUDI-Kontext: Insbesondere zu den relevanten Verordnungen, der allgemeinen Architektur sowie den einschlägigen Standardisierungsprozessen. Fundierte Vorkenntnisse sind erforderlich, um die bestehenden Anforderungen und Zusammenhänge schnell und zutreffend zu erfassen. - Kenntnisse der Implementierung der Sicherheitsarchitektur der nationalen EUDI Wallet: Erforderlich ist projektspezifisches Wissen, das insbesondere ein umfassendes Verständnis des Gesamtsystems der nationalen EUDI-Wallet sowie detaillierte Kenntnisse über die konkrete Umsetzung der Sicherheitsarchitektur beinhaltet. Nur auf dieser Grundlage können bestehende Sicherheitsmechanismen, Abhängigkeiten und Implementierungsentscheidungen bei einer durch das BSI geführten Bewertung angemessen und zeitnah begleitet werden, - Kenntnisse der TR-03189 Umsetzung in der nationalen EUDI-Wallet: Erforderlich ist projektspezifisches Wissen, das neben der Kenntnis der relevanten Spezifikationen und Prüfmethodik insbesondere ein Verständnis des aktuellen Umsetzungsstands sowie des erreichten Konformitätsgrades beinhaltet; dieses Wissen ist notwendig, um die laufenden BSI-Prüfungen und Bewertungen im konkreten Projektkontext sachgerecht und zeitnah durchführen und einordnen zu können.
Kennung des Verfahrens: fc3241b5-b6e8-457a-a676-603ee5a43432
Interne Kennung: EINCC-205
Verfahrensart: Verhandlungsverfahren ohne Aufruf zum Wettbewerb
Zentrale Elemente des Verfahrens: Es handelt sich vorliegend um eine Bekanntmachung im Sinne des § 135 Abs. 2 GWB.
2.1.1.
Zweck
Art des Auftrags: Dienstleistungen
Haupteinstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung
2.1.2.
Erfüllungsort
Beliebiger Ort
2.1.4.
Allgemeine Informationen
Zusätzliche Informationen: #Bekanntmachungs-ID: CXP4D9LM80P# Es handelt sich um eine Bekanntmachung im Sinne des § 135 Abs. 2 GWB. Die Angabe des Schätz- bzw. Höchstwertes würde den berechtigten geschäftlichen Interessen des Unternehmens (der TÜV Informationstechnik GmbH Unternehmensgruppe TÜV NORD) schaden, da es sich um Betriebs- und Geschäftsgeheimnisse handelt. Aus diesem Grund wurde unter Angaben zur Rahmenvereinbarung "entfällt" bzw. "Keine Rahmenvereinbarung" angegeben, obgleich es sich um eine Rahmenvereinbarung handelt.
Rechtsgrundlage:
Richtlinie 2014/24/EU
vgv -
5. Los
5.1.
Los: LOT-0001
Titel: Rahmenvertrag "Sicherheitsprüfung der EUDI-Wallet"
Beschreibung: Die Common Codes GmbH ("Auftraggeberin" / "AG") ist im Auftrag des Bundesministeriums für Digitalisierung und Staatsmodernisierung für die Entwicklung und Einführung der nationalen EUDI-Wallet verantwortlich. Für die Inbetriebnahme der Anwendung am 2. Januar 2027 (Go-Live-Termin) ist eine Gesamt-Sicherheitseinschätzung der vier Sicherheitsverfahren (BSZ I & II, Vertrauensniveaueinschätzung und Sicherheitseinschätzung gemäß Kriterienkatalog) notwendig. Die Sicherheitsprüfung der staatlichen deutschen EUDI-Wallet der ersten Ausbaustufe ("First Stage") umfasst also insbesondere folgende Verfahren: (1) die Beschleunigte Sicherheitszertifizierung (BSZ)I und II, (2) die Risikobewertung nach BSI TR-03107 sowie (3) die Konformitätsbewertung nach BSI TR-03189, und erfolgt unter Einbindung des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Die Leistungen müssen daher von einer vom BSI anerkannten BSZ-Prüfstelle erbracht werden. Die vorliegende Bekanntmachung betrifft die Interimsbeauftragung der oben genannten Zertifizierungen und Bewertungen bis zum genannten Go-Live-Termin. Die entsprechenden prozessbezogenen, technischen und methodischen Sicherheitsanforderungen sowie die Bewertungsverfahren werden vom BSI fortlaufend weiterentwickelt und konkretisiert, mit dem Ziel, eine einheitliche und neutrale Sicherheitsbewertung unterschiedlicher EUDI-Wallet-Lösungen in Deutschland zu ermöglichen. Eine wesentliche Besonderheit und Herausforderung des Projekts besteht darin, dass sich sowohl das Prüfobjekt als auch alle drei relevanten Prüf- und Bewertungsverfahren noch in Entwicklung bzw. Weiterentwicklung befinden. Dies führt zu zusätzlichen Iterationen zwischen Produktentwicklung, Sicherheitskonzeption, Risikobewertung, Zertifizierung und Konformitätsbewertung. Insbesondere die fortlaufende Konkretisierung der Anforderungen und Prozesse nach TR-03107 und TR-03189 verursacht einen erheblichen zusätzlichen Aufwand, dessen Umfang bei Beginn der Sicherheitsbewertung nicht vollständig vorhersehbar war. Gleichzeitig besteht aufgrund des vorgesehenen Produktivstarts Anfang 2027 ein erheblicher zeitlicher Handlungsdruck. Vor diesem Hintergrund benötigt die AG Sicherheitsprüfungsleistungen von einem Auftragnehmer, die/der folgende Anforderung(en) zu erfüllen hat: - BSZ-Akkreditierung: Sie bildet die Grundlage für eine effiziente Einarbeitung in die bestehenden Prozesse, Prüfverfahren und etablierten Abläufe, insbesondere zu den relevanten Verordnungen, der allgemeinen Architektur sowie den einschlägigen Standardisierungsprozessen Diese sind erforderlich, um die bestehenden Anforderungen an die nationale EUDI-Wallet und Zusammenhänge schnell zu erfassen und fachlich fundiert in die laufenden Arbeiten einsteigen zu können. - Vorkenntnisse im BSZ-EUDI-Kontext: Insbesondere zu den relevanten Verordnungen, der allgemeinen Architektur sowie den einschlägigen Standardisierungsprozessen. Fundierte Vorkenntnisse sind erforderlich, um die bestehenden Anforderungen und Zusammenhänge schnell und zutreffend zu erfassen. - Kenntnisse der Implementierung der Sicherheitsarchitektur der nationalen EUDI Wallet: Erforderlich ist projektspezifisches Wissen, das insbesondere ein umfassendes Verständnis des Gesamtsystems der nationalen EUDI-Wallet sowie detaillierte Kenntnisse über die konkrete Umsetzung der Sicherheitsarchitektur beinhaltet. Nur auf dieser Grundlage können bestehende Sicherheitsmechanismen, Abhängigkeiten und Implementierungsentscheidungen bei einer durch das BSI geführten Bewertung angemessen und zeitnah begleitet werden, - Kenntnisse der TR-03189 Umsetzung in der nationalen EUDI-Wallet: Erforderlich ist projektspezifisches Wissen, das neben der Kenntnis der relevanten Spezifikationen und Prüfmethodik insbesondere ein Verständnis des aktuellen Umsetzungsstands sowie des erreichten Konformitätsgrades beinhaltet; dieses Wissen ist notwendig, um die laufenden BSI-Prüfungen und Bewertungen im konkreten Projektkontext sachgerecht und zeitnah durchführen und einordnen zu können.
Interne Kennung: EINCC-205
5.1.1.
Zweck
Art des Auftrags: Dienstleistungen
Haupteinstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung
5.1.2.
Erfüllungsort
Beliebiger Ort
5.1.3.
Geschätzte Dauer
Laufzeit: 4 Monate
5.1.6.
Allgemeine Informationen
Auftragsvergabeprojekt nicht aus EU-Mitteln finanziert
Die Beschaffung fällt unter das Übereinkommen über das öffentliche Beschaffungswesen: ja
Zusätzliche Informationen: Es handelt sich um eine Rahmenvereinbarung. Die Veröffentlichung des Höchst- und Schätzwertes würde den berechtigten geschäftlichen Interessen eines Unternehmens (TÜV Informationstechnik GmbH Unternehmensgruppe TÜV NORD) schaden, da es sich um Betriebs- und Geschäftsgeheimnisse handelt.
5.1.7.
Strategische Auftragsvergabe
Ziel der strategischen Auftragsvergabe: Keine strategische Beschaffung
5.1.10.
Zuschlagskriterien
Kriterium:
Art: Kosten
Bezeichnung: Kosten
Beschreibung: Das Angebot ist wirtschaftlich.
Beschreibung der anzuwendenden Methode, wenn die Gewichtung nicht durch Kriterien ausgedrückt werden kann: Es handelt sich um eine Vergabe nach § 14 Abs. 4 Nr. 2 und Nr. 3 VgV. Das Angebot ist wirtschaftlich.
5.1.15.
Techniken
Rahmenvereinbarung:
Keine Rahmenvereinbarung
Informationen über das dynamische Beschaffungssystem:
Kein dynamisches Beschaffungssystem
5.1.16.
Weitere Informationen, Schlichtung und Nachprüfung
Überprüfungsstelle: Vergabekammer des Bundes
Informationen über die Überprüfungsfristen: Es wird auf § 135 Abs. 1 und Abs. 2 und Abs. 4 GWB verwiesen, insbesondere auch auf Abs. 2 im Hinblick auf die Frist im Fall einer Bekanntmachung, der wie folgt lautet: "(1) Ein öffentlicher Auftrag ist von Anfang an unwirksam, wenn der öffentliche Auftraggeber 1.gegen § 134 verstoßen hat oder 2.den Auftrag ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union vergeben hat, ohne dass dies aufgrund Gesetzes gestattet ist, und dieser Verstoß in einem Nachprüfungsverfahren festgestellt worden ist. (2) Die Unwirksamkeit nach Absatz 1 kann nur festgestellt werden, wenn sie im Nachprüfungsverfahren innerhalb von 30 Kalendertagen nach der Information der betroffenen Bieter und Bewerber durch den öffentlichen Auftraggeber über den Abschluss des Vertrags einschließlich einer Zusammenfassung der einschlägigen Gründe entsprechend § 134 Absatz 1 Satz 1 unter Berücksichtigung von Absatz 3 Satz 2,, jedoch nicht später als sechs Monate nach Vertragsschluss geltend gemacht worden ist. Hat der Auftraggeber die Auftragsvergabe im Amtsblatt der Europäischen Union bekannt gemacht, endet die Frist zur Geltendmachung der Unwirksamkeit 30 Kalendertage nach Veröffentlichung der Bekanntmachung der Auftragsvergabe im Amtsblatt der Europäischen Union, sofern in der Bekanntmachung die Angaben entsprechend Absatz 3 Satz 2 enthalten sind. Nach Ablauf der Fristen in den Sätzen 1 und 2 ist ein Antrag nach § 160, mit welchem die Feststellung der Unwirksamkeit nach Absatz 1 begehrt wird, unstatthaft. 4) Abweichend von Absatz 1 kann ein Vertrag als nicht von Anfang an unwirksam erachtet werden, wenn nach Prüfung aller maßgeblichen Gesichtspunkte zwingende Gründe des Allgemeininteresses dies ausnahmsweise rechtfertigen. In diesem Fall hat die Vergabekammer oder das Beschwerdegericht eine Geldsanktion gegen den Auftraggeber zu verhängen oder die Verkürzung der Laufzeit des Vertrags auszusprechen. Derartige alternative Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein." Ferner wird auf § 160 GWB verwiesen, der wie folgt lautet: "(1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein. (2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 durch Nichtbeachtung von Vergabevorschriften geltend macht. Ein Unternehmen ist nicht antragsbefugt, soweit es sich auf die Unwirksamkeit einer Rechtsverordnung nach § 5 des Bundestariftreuegesetzes beruft, wenn die Unwirksamkeit dieser Rechtsverordnung nicht durch rechtskräftigen Beschluss nach § 98 Absatz 4 Satz 1 des Arbeitsgerichtsgesetzes festgestellt ist. Das Unternehmen hat darzulegen, dass ihm durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht. (3) Der Antrag ist unzulässig, soweit 1.der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt, 2.Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 3.Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 4.mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind, 5.ein offensichtlicher Missbrauch des Antrags- oder Beschwerderechts gemäß § 180 Absatz 2 vorliegt. Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt."
Organisation, die zusätzliche Informationen über das Vergabeverfahren bereitstellt: Common Codes GmbH
6. Ergebnisse
Wert aller in dieser Bekanntmachung vergebenen Verträge: Nicht veröffentlicht
Begründungscode: Geschäftliche Interessen eines Wirtschaftsteilnehmers
Begründung für eine spätere Veröffentlichung: Die Veröffentlichung des Auftragswerts würden den berechtigten geschäftlichen Interessen eines Unternehmens (TÜV Informationstechnik GmbH Unternehmensgruppe TÜV NORD) schaden. Da aus technischen Gründen ein Wert unter "Wert aller im Rahmen dieses Verfahrens vergebenen Aufträge ohne MwSt." anzugeben ist, wurde "1,00" EUR eingetragen.
Direktvergabe:
Begründung der Direktvergabe: Der Auftrag kann nur von einem bestimmten Wirtschaftsteilnehmer ausgeführt werden, da aus technischen Gründen kein Wettbewerb vorhanden ist
Sonstige Begründung: Begründung für eine Vergabe nach § 14 Abs. 4 Nr. 2 b) VgV: Für die Erbringung der beschriebenen Leistung wurden die relevanten Marktteilnehmer im Rahmen der Markterkundung geprüft. Relevant sind all jene Unternehmen, die das BSI auf seiner Webseite als zugelassene BSZ-Prüfstellen listet. Die geeigneten Unternehmen wurden dahingehend geprüft, ob sie die für die Leistungserbringung erforderlichen fachlichen und formalen Voraussetzungen erfüllen. Geprüft wurden insbesondere das Vorliegen einer BSZ-Akkreditierung, einschlägige Vorkenntnisse im BSZ-EUDI-Kontext, Kenntnisse der Implementierung der Sicherheitsarchitektur der nationalen EUDI-Wallet sowie Kenntnisse der TR-03189- Umsetzung in der nationalen EUDI-Wallet, Kompetenzen entlang der gesamten Wertschöpfungskette - von Halbleitern über HSMs, Softwareimplementierung und mobile Sicherheit bis hin zu Penetrationstests und Auditierungen auf Managementebene -, eine Akkreditierung nach DIN EN ISO/IEC 17025 sowie eine bereits abgeschlossene technische Einarbeitung in die genannten Themenfelder. Die Prüfung hat ergeben, dass von den betrachteten Marktteilnehmern derzeit lediglich TÜV IT sämtliche der vorgenannten Kriterien vollumfänglich erfüllt. Dem Umstand, dass die TÜVIT spezifische Fachkenntnisse, die andere Unternehmen derzeit nicht haben, sich aber nach einer entsprechenden Zeit aneignen können, wird dadurch Rechnung getragen, dass der Auftrag als Interimsauftrag vergeben wird. Die AG wird entsprechende Leistungen in einem europaweiten Vergabeverfahren für die Erbringung von weiteren Sicherheitsprüfungsleistungen europaweit ausschreiben. Die technische Alleinstellung besteht zum Zeitpunkt der Interimsbeauftragung, da die genannten Sicherheitsverfahren noch nicht vollständig veröffentlicht sind. Nach dem Go-Live wird sie nach heutigem Kenntnisstand der AG jedoch entfallen, da die Fertigstellung und Veröffentlichung der Unterlagen zur genannten Sicherheitsverfahren noch nicht vollständig abgeschlossen sind, die entsprechenden Bewertungen durch das BSI jedoch bereits parallel dazu erfolgen.
Direktvergabe:
Begründung der Direktvergabe: Dringende Gründe im Zusammenhang mit für den Beschaffer unvorhersehbaren Ereignissen
Sonstige Begründung: Begründung für eine Vergabe nach § 14 Abs. 4 Nr. 3 VgV: Die äußerst dringlichen, zwingenden Gründe für die Interimsbeauftragung der IT-sicherheitsbezogenen Prüf-, Bewertungs- und Begutachtungsleistungen lauten: 1. Erfüllung der europarechtlich vorgesehenen Bereitstellungspflicht im Hinblick auf die EUDI-Wallet Die nationale EUDI-Wallet ist gemäß den Vorgaben der eIDAS-Verordnung fristgerecht - voll funktionsfähig und unter Einhaltung aller geltenden IT-Sicherheitsstandards und -anforderungen - bis zum 2. Januar 2027 bereitzustellen. Die beschriebenen IT-sicherheitsbezogenen Prüf-, Bewertungs- und Begutachtungsleistungen sind erforderlich, um die Einhaltung dieser Standards nachzuweisen und die fristgerechte Inbetriebnahme sicherzustellen. 2. Gewährleistung der Sicherheit und Verfügbarkeit staatlicher Kernleistungen im digitalen Bereich Die nationale EUDI-Wallet bündelt zentrale hoheitliche Funktionen, die für die Bürgerinnen und Bürger von elementarer Bedeutung sind - insbesondere für den Identitätsnachweis und die Ausweisfunktion. Die zusätzlichen Nachweise gegenüber dem BSI sind Voraussetzung dafür, dass die Inbetriebnahme der nationalen EUDI-Wallet zum vorgesehenen Zeitpunkt freigegeben werden kann. 3. Schutz vor Cyberangriffen Durch die aktuell verschärfte Gefährdungs- und Bedrohungslage ist mit weiteren und großflächigen Versuchen zu rechnen, die staatliche IT-Infrastruktur u.a. auch die EUDI-Wallet zu beeinträchtigen. Der Schutz der staatlichen IT-Infrastruktur insbesondere in sensiblen Bereichen erfordert ein noch höheres Schutzniveau, das entsprechend auch durch erforderliche Prüfungen und Zertifizierungen nachgewiesen wird. Unvorhersehbarkeit der äußerst dringlichen, zwingenden Gründe Der zusätzliche Prüf-, Bewertungs- und Begutachtungsbedarf resultiert aus der besonderen Dynamik des Projekts: Sicherheitsanforderungen für die Einführung der nationale EUDI-Wallet wurden im Projektverlauf durch weitergehende Nachweisanforderungen des BSI für die Freigabe der Inbetriebnahme konkretisiert und erweitert. Diese Entwicklung spiegelt die Notwendigkeit wider, im laufenden Projekt flexibel auf neue sicherheitstechnologische Erkenntnisse sowie aktuelle politische und gesellschaftliche Rahmenbedingungen wie eine verschärfte Gefährdungs- und Bedrohungslage reagieren zu können. Die Festlegung des jeweils geltenden Prüf- und Bewertungsrahmens obliegt dem BSI; Umfang und Zeitpunkt entsprechender Anpassungen waren im Vorfeld nicht vorhersehbar. Auch die Durchführung eines beschleunigten offenen Verfahrens wäre zeitlich nicht mehr umsetzbar gewesen, um die Sicherheitsprüfungen bis Ende des Jahres abschließen zu können. Denn neben der Durchführung eines solchen Vergabeverfahrens müsste ein entsprechendes anderes Unternehmen sich zunächst mit der Implementierung der Sicherheitsarchitektur der nationalen EUDI Wallet Kenntnisse über die TR-03189 und deren Umsetzung in der nationalen EUDI-Wallet umfassend einarbeiten. Dem Verhältnismäßigkeitsgrundsatz entsprechend, wird die AG die weiteren Sicherheitsprüfungsleistungen, die im Jahr 2027 ff. anfallen, im Wege eines europaweiten Vergabeverfahren vergeben. Die Dringlichkeit besteht maßgeblich zum Zeitpunkt der Interimsbeauftragung, da die genannten Sicherheitszertifizierungen und -bewertungen, sowie die Gesamt-Sicherheitseinschätzung durch das BSI bis zum Go-Live erfolgen muss. Nach dem Go-Live werden nach heutigem Kenntnisstand der AG vergleichbare Leistungen anfallen, die Einarbeitung einer anderen Prüfstelle in die Sicherheitsarchitektur der nationalen EUDI-Wallet dürfte auch dann noch zwei bis drei Monate dauern, jedoch ist zu erwarten, dass dann keine Dringlichkeit mehr vorliegt, weil dann kein fester Termin für den Go-Live besteht.
6.1.
Ergebnis, Los-– Kennung: LOT-0001
Status der Preisträgerauswahl: Es wurde mindestens ein Gewinner ermittelt.
6.1.2.
Informationen über die Gewinner
Wettbewerbsgewinner:
Offizielle Bezeichnung: TÜV Informationstechnik GmbH Unternehmensgruppe TÜV NORD
Angebot:
Kennung des Angebots: EINCC-205
Kennung des Loses oder der Gruppe von Losen: LOT-0001
Wert des Angebots: Nicht veröffentlicht
Begründungscode: Geschäftliche Interessen eines Wirtschaftsteilnehmers
Begründung für eine spätere Veröffentlichung: Der Wert des bezuschlagten Angebotes wurde nicht veröffentlicht, da diese Angabe berechtigten geschäftlichen Interessen des Auftragnehmers schädigen würde, weil es sich hierbei um Betriebs- oder Geschäftsgeheimnisse des Auftragnehmers handelt. Aus technischen Gründen wurde unter Wert des bezuschlagten Angebots ohne MwSt. "1,00 EUR" angegeben,
Bei dem Angebot handelt es sich um eine Variante: Nicht veröffentlicht
Begründungscode: Geschäftliche Interessen eines Wirtschaftsteilnehmers
Begründung für eine spätere Veröffentlichung: Der Wert des bezuschlagten Angebotes wurde nicht veröffentlicht, da diese Angabe berechtigten geschäftlichen Interessen des Auftragnehmers schädigen würde, weil es sich hierbei um Betriebs- oder Geschäftsgeheimnisse des Auftragnehmers handelt. Aus technischen Gründen wurde unter Wert des bezuschlagten Angebots ohne MwSt. "1,00 EUR" angegeben,
Vergabe von Unteraufträgen: Nein
Informationen zum Auftrag:
Kennung des Auftrags: EINCC-205
Titel: Rahmenvertrag "Sicherheitsprüfung der EUDI-Wallet"
Datum der Auswahl des Gewinners: 11/08/2026
Datum des Vertragsabschlusses: 28/08/2026
6.1.4.
Statistische Informationen
Eingegangene Angebote oder Teilnahmeanträge:
Art der eingegangenen Einreichungen: Angebote
Anzahl der eingegangenen Angebote oder Teilnahmeanträge: 1
8. Organisationen
8.1.
ORG-0001
Offizielle Bezeichnung: Common Codes GmbH
Registrierungsnummer: HRB 288219 B
Postanschrift: Zionskirchstraße 73a
Stadt: Berlin
Postleitzahl: 10119
Land, Gliederung (NUTS): Berlin (DE300)
Land: Deutschland
Kontaktperson: Friedrich Graf von Westphalen & Partner mbB Rechtsanwälte
Telefon: +49697191890-12
Rollen dieser Organisation:
Beschaffer
Organisation, die zusätzliche Informationen über das Vergabeverfahren bereitstellt
8.1.
ORG-0002
Offizielle Bezeichnung: Vergabekammer des Bundes
Registrierungsnummer: t:022894990
Postanschrift: Kaiser-Friedrich-Straße 16
Stadt: Bonn
Postleitzahl: 53113
Land, Gliederung (NUTS): Bonn, Kreisfreie Stadt (DEA22)
Land: Deutschland
Rollen dieser Organisation:
Überprüfungsstelle
8.1.
ORG-0003
Offizielle Bezeichnung: TÜV Informationstechnik GmbH Unternehmensgruppe TÜV NORD
Größe des Wirtschaftsteilnehmers: Großunternehmen
Registrierungsnummer: HRB 11687
Postanschrift: Am TÜV 1
Stadt: Essen
Postleitzahl: 45307
Land, Gliederung (NUTS): Essen, Kreisfreie Stadt (DEA13)
Land: Deutschland
Rollen dieser Organisation:
Bieter
Gewinner dieser Lose: LOT-0001
8.1.
ORG-0004
Offizielle Bezeichnung: Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)
Registrierungsnummer: 0204:994-DOEVD-83
Stadt: Bonn
Postleitzahl: 53119
Land, Gliederung (NUTS): Bonn, Kreisfreie Stadt (DEA22)
Land: Deutschland
Telefon: +49228996100
Rollen dieser Organisation:
TED eSender
Informationen zur Bekanntmachung
Kennung/Fassung der Bekanntmachung: ca7850c5-ea16-4703-912d-9e56f6af8e03 - 01
Formulartyp: Ergebnis
Art der Bekanntmachung: Bekanntmachung vergebener Aufträge oder Zuschlagsbekanntmachung – Standardregelung
Unterart der Bekanntmachung: 29
Datum der Übermittlung der Bekanntmachung: 28/08/2026 14:54:37 (UTC+02:00) Osteuropäische Zeit, Mitteleuropäische Sommerzeit
Sprachen, in denen diese Bekanntmachung offiziell verfügbar ist: Deutsch
Veröffentlichungsnummer der Bekanntmachung: 598756-2026
ABl. S – Nummer der Ausgabe: 167/2026
Datum der Veröffentlichung: 31/08/2026