1.1.
Beschaffer
Offizielle Bezeichnung: Bundesamt für Sicherheit in der Informationstechnik
Rechtsform des Erwerbers: Zentrale Regierungsbehörde
Tätigkeit des öffentlichen Auftraggebers: Allgemeine öffentliche Verwaltung
2.1.
Verfahren
Titel: Durchführung von Sicherheitsanalysen und Evaluierungen an Produkten und Services sowie an Standards und Test-spezifikationen aus den Bereichen Consumer und Public IoT (PraCyS)
Beschreibung: Mit diesem Rahmenvertrag sollen Aufgaben als Dienstleistung zur Gestaltung der Cybersicherheit in den Bereichen Consumer IoT und Public IoT sowie E-Mail-Diensten und allgemein dem digitalen Verbraucherschutz übernommen werden. Explizit ausgenommen sind hierbei regulierte IoT-Produkte aus dem Energiesektor (wie Mess- und Steuerungseinrichtungen gemäß MsbG und EnWG), Energiewendeanlagen (wie PV-Wechselrichter, Energiemanagementsysteme und Batteriespeicher), regulierte IoT-Produkte aus dem Gesundheitswesen und der Telematik-Infrastruktur, dem Bereich intelligenter Transportsysteme sowie industrieller Anwendungen. Die Ergebnisse dienen zur Verbesserung der Vollständigkeit, Testbarkeit und Anwendbarkeit von neuen Standards, die z.B. im Rahmen des CRA Anwendung finden werden. Überdies sollen Handlungsempfehlungen und Demonstratoren für die Cybersicherheitsprävention entwickelt werden mit dem Ziel, die Cyberresilienz von Staat, Wirtschaft und Gesellschaft zu stärken. Für unsere Standardisierungsarbeiten sind praxisorientierte Erkenntnisse von hoher Bedeutung. Hierfür müssen Schwachstellen von Produkten analysiert und bewertet, Standards und Testspezifikation anhand von konkreten Produkten auf deren Praxistauglichkeit evaluiert (Proof of Concept, PoC) und neue Technologien (z.B. Sicherheitsprotokolle) auf deren Anwendbarkeit untersucht werden, bevor diese in Standards eingebracht werden können. Bei Bekanntwerden von Schwachstellen in Produkten und Services aus den o. g. Bereichen werden bei Bedarf Ersteinschätzungen durchgeführt, Handlungsempfehlungen und begleitet Prozesse erstellt, die zur Schließung der Schwachstelle beitragen wie bspw. den CVD-Prozess. Abhängig von der Kritikalität und den Spezifika der vorliegenden Schwachstelle kann zu einer fachspezifischen Einschätzung z.B. ein praktisches Nachstellen der Schwachstelle oder eine Betroffenheitsprüfung erforderlich sein. Erkenntnisse aus der Entwicklung und Pflege der Standards, sowie Studien und Sicherheitsanalysen sind wichtiger Bestandteil der Präventionsarbeit des BSI zur Sensibilisierung und Stärkung der Cyberresilienz von Staat, Wirtschaft und Gesellschaft. Zur Prävention veröffentlicht das BSI darüber hinaus Handlungsempfehlungen, Testtools bzw. Prüfumgebungen und entwickelt Demonstratoren, z.B. für Messen, um verbreitete Schwachstellen praxisnah präsentieren zu können. Eine weitere wichtige Aufgabe des BSI ist der technische Verbraucherschutz. Im Rahmen von Sicherheitsuntersuchungen ausgewählter digitaler Verbraucherprodukte kann das BSI aktuelle IT-Sicherheitsrisiken am Markt identifizieren, um die gewonnenen Erkenntnisse für die Beratung, Information und Warnung von Verbraucherinnen und Verbrauchern zu nutzen.
Kennung des Verfahrens: 9f5ce50f-e067-4f30-9022-d76b2858af81
Interne Kennung: 22562
Verfahrensart: Offenes Verfahren
Das Verfahren wird beschleunigt: nein
2.1.1.
Zweck
Art des Auftrags: Dienstleistungen
Haupteinstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung
Zusätzliche Einstufung (cpv): 72820000 Computerprüfung, 72254100 Systemprüfung
2.1.2.
Erfüllungsort
Land, Gliederung (NUTS): Bonn, Kreisfreie Stadt (DEA22)
Land: Deutschland
2.1.4.
Allgemeine Informationen
Zusätzliche Informationen: Die Kommunikation findet ausschließlich über die eVerabeplattform statt.
Rechtsgrundlage:
Richtlinie 2014/24/EU
vgv -
5.1.
Los: LOT-0000
Titel: Durchführung von Sicherheitsanalysen und Evaluierungen an Produkten und Services sowie an Standards und Testspezifikationen aus den Bereichen Consumer und Public IoT (PraCyS)
Beschreibung: Mit diesem Rahmenvertrag sollen Aufgaben als Dienstleistung zur Gestaltung der Cybersicherheit in den Bereichen Consumer IoT und Public IoT sowie E-Mail-Diensten und allgemein dem digitalen Verbraucherschutz übernommen werden. Explizit ausgenommen sind hierbei regulierte IoT-Produkte aus dem Energiesektor (wie Mess- und Steuerungseinrichtungen gemäß MsbG und EnWG), Energiewendeanlagen (wie PV-Wechselrichter, Energiemanagementsysteme und Batteriespeicher), regulierte IoT-Produkte aus dem Gesundheitswesen und der Telematik-Infrastruktur, dem Bereich intelligenter Transportsysteme sowie industrieller Anwendungen. Die Ergebnisse dienen zur Verbesserung der Vollständigkeit, Testbarkeit und Anwendbarkeit von neuen Standards, die z.B. im Rahmen des CRA Anwendung finden werden. Überdies sollen Handlungsempfehlungen und Demonstratoren für die Cybersicherheitsprävention entwickelt werden mit dem Ziel, die Cyberresilienz von Staat, Wirtschaft und Gesellschaft zu stärken. Für unsere Standardisierungsarbeiten sind praxisorientierte Erkenntnisse von hoher Bedeutung. Hierfür müssen Schwachstellen von Produkten analysiert und bewertet, Standards und Testspezifikation anhand von konkreten Produkten auf deren Praxistauglichkeit evaluiert (Proof of Concept, PoC) und neue Technologien (z.B. Sicherheitsprotokolle) auf deren Anwendbarkeit untersucht werden, bevor diese in Standards eingebracht werden können. Bei Bekanntwerden von Schwachstellen in Produkten und Services aus den o. g. Bereichen werden bei Bedarf Ersteinschätzungen durchgeführt, Handlungsempfehlungen und begleitet Prozesse erstellt, die zur Schließung der Schwachstelle beitragen wie bspw. den CVD-Prozess. Abhängig von der Kritikalität und den Spezifika der vorliegenden Schwachstelle kann zu einer fachspezifischen Einschätzung z.B. ein praktisches Nachstellen der Schwachstelle oder eine Betroffenheitsprüfung erforderlich sein. Erkenntnisse aus der Entwicklung und Pflege der Standards, sowie Studien und Sicherheitsanalysen sind wichtiger Bestandteil der Präventionsarbeit des BSI zur Sensibilisierung und Stärkung der Cyberresilienz von Staat, Wirtschaft und Gesellschaft. Zur Prävention veröffentlicht das BSI darüber hinaus Handlungsempfehlungen, Testtools bzw. Prüfumgebungen und entwickelt Demonstratoren, z.B. für Messen, um verbreitete Schwachstellen praxisnah präsentieren zu können. Eine weitere wichtige Aufgabe des BSI ist der technische Verbraucherschutz. Im Rahmen von Sicherheitsuntersuchungen ausgewählter digitaler Verbraucherprodukte kann das BSI aktuelle IT-Sicherheitsrisiken am Markt identifizieren, um die gewonnenen Erkenntnisse für die Beratung, Information und Warnung von Verbraucherinnen und Verbrauchern zu nutzen.
Interne Kennung: 22562
5.1.1.
Zweck
Art des Auftrags: Dienstleistungen
Haupteinstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung
Zusätzliche Einstufung (cpv): 72820000 Computerprüfung, 72254100 Systemprüfung
Optionen:
Beschreibung der Optionen: Die verbindliche Vertragslaufzeit von zwei Jahren (24 Monaten) kann auf Wunsch des AG zweimalig optional um jeweils ein Jahr (12 Monate) auf eine maximale Gesamtlaufzeit von vier Jahren (48 Monate) verlängert werden. Eine Verpflichtung des AG, von diesen Verlängerungsoptionen Gebrauch zu machen, besteht nicht.
5.1.2.
Erfüllungsort
Land, Gliederung (NUTS): Bonn, Kreisfreie Stadt (DEA22)
Land: Deutschland
5.1.3.
Geschätzte Dauer
Laufzeit: 48 Monate
5.1.4.
Verlängerung
Maximale Verlängerungen: 2
5.1.6.
Allgemeine Informationen
Auftragsvergabeprojekt nicht aus EU-Mitteln finanziert
Die Beschaffung fällt unter das Übereinkommen über das öffentliche Beschaffungswesen: ja
Zusätzliche Informationen: Der AG schätzt den Gesamtbedarf der Arbeitspakete 2 bis 9 auf 300 Personentage pro Jahr zuzüglich der Auftaktbesprechung (AP 1), einem Reisekostenkontingent (siehe Kapitel 3.2.3 der Leistungsbeschreibung) sowie einem Materialkostenkontingent (siehe Kapitel 3.2.4) für die gesamte Vertragslaufzeit. Der Gesamtbedarf eines Jahres verteilt sich hierbei ungleich auf die jeweiligen Arbeitspakete und Jahre. Die genannten Schätzungen stellen keine Mindestabnahmemenge dar. Der Bedarfsträger ist zum Abruf von Leistungen nicht verpflichtet. Der AG kann für die Gesamtlaufzeit des Vertrags (inkl. aller optionalen Verlängerungsoptionen) maximal 450 PT (Schätzmenge + 50%) pro Jahr über die Gesamtlaufzeit für die Leistungen aus den Arbeitspaketen 2 bis 9 abrufen. Die Höchstmenge der Rahmenvereinbarung setzt sich aus der Auftragssumme von 450 PT, der Auftaktbesprechung (AP 1), einem Reisekostenkontingent (siehe Kapitel 3.2.3) sowie einem Materialkostenkontingent (siehe Kapitel 3.2.4) zusammen. Sobald diese Höchstmenge ausgeschöpft wird, endet die Rahmenvereinbarung automatisch. Dies erfolgt ungeachtet der möglicherweise noch übrigen Rahmenvertragslaufzeit.
5.1.7.
Strategische Auftragsvergabe
Ziel der strategischen Auftragsvergabe: Verringerung der Auswirkungen auf die Umwelt
Beschreibung: Der AG berücksichtigt bei der Leistungserbringung Nachhaltigkeitsanforderungen in dem er bspw. Dienstreisen reduziert, nachhaltige Energienutzung anwendet, Besprechungen über elektronische Videokonferenzsysteme abhält, Papiereinsparungsmaßnahmen vornimmt und sofern möglich Müll bzw. Elektroschrott bestmöglich vermeidet.
Konzept zur Verringerung der Umweltauswirkungen: Vermeidung und Verminderung der Umweltverschmutzung
5.1.10.
Zuschlagskriterien
Kriterium:
Art: Preis
Beschreibung: Für die Ermittlung der Wirtschaftlichkeit eines Angebotes wendet das BSI die „erweiterten Richtwertmethode“ über die Faktoren „Bewertungspreis“ (siehe Kapitel 5.2.1 der Leistungsbeschreibung) und „Leistung“ (siehe Kapitel 5.2.2 der Leistungsbeschreibung) an.
Beschreibung der anzuwendenden Methode, wenn die Gewichtung nicht durch Kriterien ausgedrückt werden kann: Der Preis ist nicht das einzige Zuschlagskriterium; alle Kriterien sind nur in den Beschaffungsunterlagen aufgeführt. Für die Ermittlung der Wirtschaftlichkeit eines Angebotes wendet das BSI die „erweiterten Richtwertmethode“ über die Faktoren „Bewertungspreis“ und „Leistung“ an. Näheres regeln die Beschaffungsunterlagen.
5.1.15.
Techniken
Rahmenvereinbarung:
Rahmenvereinbarung ohne erneuten Aufruf zum Wettbewerb
Informationen über das dynamische Beschaffungssystem:
Kein dynamisches Beschaffungssystem
5.1.16.
Weitere Informationen, Schlichtung und Nachprüfung
Überprüfungsstelle: Vergabekammern des Bundes beim Bundeskartellamt
Informationen über die Überprüfungsfristen: Ein Nachprüfungsantrag ist unzulässig, soweit mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind (§ 160 Abs. 3 Satz 1 Nr. 4 GWB). Ein Nachprüfungsantrag ist zudem unzulässig, wenn der Zuschlag erfolgt ist, bevor die Vergabekammer den Auftraggeber über den Antrag auf Nachprüfung informiert hat (§§ 168 Abs. 2 Satz 1, 169 Abs. 1 GWB). Die Zuschlagserteilung erfolgt 10 Kalendertage nach Aufforderungsschreiben und Bewerbungsbedingungen Seite 10 von 11 Absendung der beabsichtigten Zuschlagserteilung an die unterlegenen Bieter gem. § 134 Abs. 2 GWB. Die Frist beginnt am Tag nach der Absendung der Information durch den Auftraggeber; auf den Tag des Zugangs beim betroffenen Bieter kommt es nicht an. Die Zulässigkeit eines Nachprüfungsantrags setzt ferner voraus, dass die geltend gemachten Vergabeverstöße 10 Kalendertage nach Kenntnis gegenüber dem Auftraggeber gerügt wurden (§ 160 Abs. 3 Satz 1 Nr. 1 GWB). Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, müssen spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden (§ 160 Abs. 3 Satz 1 Nr. 2 GWB). Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, müssen spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden (§ 160 Abs. 3 Satz 1 Nr. 3 GWB). Auf die prozessualen Vorschriften der §§ 160 ff. GWB wird außerdem hingewiesen. Die Unwirksamkeit des öffentlichen Auftrags wegen eines Verstoßes gegen § 134 GWB kann gemäß § 135 Abs. 2 S. 1 GWB i.V.m. § 135 Abs. 1 Nr. 1 GWB nur festgestellt werden, wenn sie im Nachprüfungsverfahren innerhalb von 30 Kalendertagen nach der Information der betroffenen Bieter und Bewerber durch den öffentlichen Auftraggeber über den Abschluss des Vertrags, jedoch nicht später als 6 Monate nach Vertragsschluss geltend gemacht worden ist. Hat der Auftraggeber die Auftragsvergabe im Amtsblatt der Europäischen Union bekannt gemacht, endet die Frist zur Geltendmachung der Unwirksamkeit 30 Kalendertage nach Veröffentlichung der Bekanntmachung der Auftragsvergabe im Amtsblatt der Europäischen Union.
Organisation, die den Auftrag unterzeichnet: Bundesamt für Sicherheit in der Informationstechnik
Höchstwert der Rahmenvereinbarungen in dieser Bekanntmachung: 452 232,00 EUR
6.1.
Ergebnis, Los-– Kennung: LOT-0000
Status der Preisträgerauswahl: Es wurde mindestens ein Gewinner ermittelt.
Rahmenvereinbarung:
Höchstwert der Rahmenvereinbarung: 452 232,00 EUR
Neu geschätzter Wert der Rahmenvereinbarung: 301 488,00 EUR
6.1.2.
Informationen über die Gewinner
Wettbewerbsgewinner:
Offizielle Bezeichnung: OpenSource Security GmbH
Angebot:
Kennung des Angebots: 1
Kennung des Loses oder der Gruppe von Losen: LOT-0000
Das Angebot wurde in die Rangfolge eingeordnet: ja
Rangfolge des Angebots: 1
Bei dem Angebot handelt es sich um eine Variante: nein
Vergabe von Unteraufträgen: Nein
Informationen zum Auftrag:
Kennung des Auftrags: 1
Datum der Auswahl des Gewinners: 25/09/2026
Datum des Vertragsabschlusses: 25/09/2026
Der Auftrag wird als Teil einer Rahmenvereinbarung vergeben: nein
Organisation, die den Auftrag unterzeichnet: Bundesamt für Sicherheit in der Informationstechnik
6.1.4.
Statistische Informationen
Eingegangene Angebote oder Teilnahmeanträge:
Art der eingegangenen Einreichungen: Angebote auf elektronischem Wege eingereicht
Anzahl der eingegangenen Angebote oder Teilnahmeanträge: 7
8.1.
ORG-0000
Offizielle Bezeichnung: Bundesamt für Sicherheit in der Informationstechnik
Registrierungsnummer: 991-07335-68
Stadt: Bonn
Postleitzahl: 53133
Land, Gliederung (NUTS): Bonn, Kreisfreie Stadt (DEA22)
Land: Deutschland
Telefon: 000
Rollen dieser Organisation:
Beschaffer
Organisation, die den Auftrag unterzeichnet
8.1.
ORG-0001
Offizielle Bezeichnung: Vergabekammern des Bundes beim Bundeskartellamt
Registrierungsnummer: 022894990
Stadt: Bonn
Postleitzahl: 53113
Land, Gliederung (NUTS): Bonn, Kreisfreie Stadt (DEA22)
Land: Deutschland
Telefon: +49 228 94990
Fax: +49 228 9499163
Rollen dieser Organisation:
Überprüfungsstelle
8.1.
ORG-0002
Offizielle Bezeichnung: OpenSource Security GmbH
Größe des Wirtschaftsteilnehmers: Kleines Unternehmen
Registrierungsnummer: DE815773501
Stadt: Steinfurt
Postleitzahl: 48565
Land, Gliederung (NUTS): Steinfurt (DEA37)
Land: Deutschland
Telefon: 000
Rollen dieser Organisation:
Bieter
Gewinner dieser Lose: LOT-0000
8.1.
ORG-0003
Offizielle Bezeichnung: Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)
Registrierungsnummer: 0204:994-DOEVD-83
Stadt: Bonn
Postleitzahl: 53119
Land, Gliederung (NUTS): Bonn, Kreisfreie Stadt (DEA22)
Land: Deutschland
Telefon: +49228996100
Rollen dieser Organisation:
TED eSender
Kennung/Fassung der Bekanntmachung: 86d423e4-2188-48fd-96fa-55dd4184b9ad - 01
Formulartyp: Ergebnis
Art der Bekanntmachung: Bekanntmachung vergebener Aufträge oder Zuschlagsbekanntmachung – Standardregelung
Unterart der Bekanntmachung: 29
Datum der Übermittlung der Bekanntmachung: 13/10/2026 16:46:29 (UTC+02:00) Osteuropäische Zeit, Mitteleuropäische Sommerzeit
Sprachen, in denen diese Bekanntmachung offiziell verfügbar ist: Deutsch
Veröffentlichungsnummer der Bekanntmachung: 712507-2026
ABl. S – Nummer der Ausgabe: 200/2026
Datum der Veröffentlichung: 15/10/2026