Netzwerküberwachungssystem und Security Information and Event Management (SIEM) Referenznummer der Bekanntmachung: 21FEI53425
Auftragsbekanntmachung – Sektoren
Lieferauftrag
Abschnitt I: Auftraggeber
Postanschrift:[gelöscht]
Ort: Frankfurt am Main
NUTS-Code: DE712 Frankfurt am Main, Kreisfreie Stadt
Postleitzahl: 60326
Land: Deutschland
Kontaktstelle(n):[gelöscht]
E-Mail: [gelöscht]
Telefon: [gelöscht]
Fax: [gelöscht]
Internet-Adresse(n):
Hauptadresse: http://www.deutschebahn.com/bieterportal
Postanschrift:[gelöscht]
Ort: Frankfurt am Main
NUTS-Code: DE712 Frankfurt am Main, Kreisfreie Stadt
Postleitzahl: 60326
Land: Deutschland
Kontaktstelle(n):[gelöscht]
E-Mail: [gelöscht]
Telefon: [gelöscht]
Fax: [gelöscht]
Internet-Adresse(n):
Hauptadresse: http://www.deutschebahn.com/bieterportal
Abschnitt II: Gegenstand
Netzwerküberwachungssystem und Security Information and Event Management (SIEM)
Die Betriebsführung der elektrischen Netze bei der DB Energie erfolgt auf einem hohen Qualitätsniveau mit sehr geringen Ausfallzeiten. Maßgeblich für das Erreichen dieser hohen Qualitätsstandards ist eine zuverlässige Datenanbindung und Automatisierungstechnik, welche fehlerfrei funktioniert. Die Risiken, dass diese Qualität nicht mehr geliefert werden kann, steigt mit zunehmendem Digitalisierungs- und Vernetzungsgrad, da die Systeme zunehmend an Komplexität gewinnen. Neben den Nutzen für die IT-Sicherheit ist dies der Hauptgrund, warum es erforderlich ist alle Netzwerkkomponenten und Endgeräte im Prozessnetzwerk der DB Energie zu überwachen. Zum einen werden Fehlparametrierungen frühzeitig gefunden und so Schäden bzw. Auswirkungen auf andere Infrastrukturen vermieden. Zum anderen können Angriffsversuche auf die Anlagentechnik schnell detektiert und die Angriffe unterbunden werden.
Um eine solche Detektion zu ermöglichen werden im Kern 2 Systeme benötigt. Zum einen ein SIEM-System (Security Information and Event Management) und zum anderen ein Netzwerk-Monitoring-System. Die Informationen beider Systeme laufen dann in einer zentralen Netzwerküberwachungs- und Service-Stelle (NUSS) zusammen.
Netzwerküberwachungssytem
Das ganzes Bundesgebiet
Das auszuschreibende Monitoring-System hat die Aufgabe den Netzwerkverkehr in den Prozessnetzwerken der DB Energie zu überwachen. Die Überwachung soll netzübergreifend, soweit zulässig, möglich sein. Es sollen Datenströme von Netzwerkkomponenten verschiedenster Hersteller und Typen verarbeitet werden können.
Die Datenerfassung mit Sensoren erfolgt dezentral in ca. 500 Standorten.
Das Erfassen des Netzwerkverkehres ist rein passiv (lesend) auszulegen. Hierfür werden an Netzwerkkomponenten Mirror-Ports zur Verfügung gestellt. Standorte an denen dies nicht möglich ist, sind TAP-Devices zu implementieren.
Das Monitoringsystem darf das Lastprofil der OT-Komponenten im Betrieb nicht beeinflussen.
Aus Sicherheitsgründen ist das zentrale Management „on-premise“, also auf einem Server unter Kontrolle der DB Energie, umzusetzen.
Der allgemeine Stand der Technik und die anerkannten Regeln der Technik insbesondere zur IT-Sicherheit (v.a. BDEW Whitepaper) sind zu wahren. Da die DB Energie zu einem KRITIS Unternehmen im Energie-Sektor gehört, ist die ISO/IEC 27001:2017 einzuhalten.
Des Weiteren ist das System in der Lage den Netzwerkverkehr zu analysieren und darin Unregelmäßigkeiten anhand einer Mustererkennung zu detektieren.
Die gesamten Meldungen sollen in einer zentralen Bedienoberfläche dargestellt und ausgewertet werden können, welche über mehrere Mandanten verfügt. Diese Mandanten sollen mit unterschiedlichen Berechtigungen unterschiedliche Analysen zur Verfügung stellen.
In der Bedienoberfläche sollen auch Meldungen von unterlagerten Monitoringsystemen (z. B. aus Subnetzen) aggregiert und verarbeitet werden.
Das Monitoring-System muss für definierte Meldungen eine Schnittstelle zu einem überlagerten SIEM-System (Security Information and Event Management) zur Verfügung stellen.
Zwei der 3 folgenden Kriterien müssen für die Zulassung am Ausschreibungsverfahren erfüllt werden, welche über jeweils eine fertig gestellte Referenz nachgewiesen werden müssen.
— passives Netzwerküberwachungssystem auf 250 unterschiedliche Standorte verteilt,
— Systeminstallation bei anderen Energieversorger bzw. mit industriellen Steuernetzen, die auch unter die KRITIS-Verordnung fallen,
— Systeminstallation mit mindestens 450 000 Meldepunkten,
Zusätzlich sind folgende Kriterien zwingend zu erfüllen, um am Ausschreibungsverfahren zugelassen zu werden:
— Zertifizierung nach ISO 9001,
— Zertifizierung nach ISO 27001.
Folgende CPV-Codes sind zu beachten:
— 48000000-8 Softwarepaket und Informationssysteme,
— 48800000-6 Informationssysteme und Server,
— 48810000-9 Informationssysteme,
— 72000000-5 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung,
— 72210000-0 Programmierung von Softwarepaketen,
— 72212000-4 Programmierung von Anwendersoftware,
— 72212100-0 Entwicklung von branchenspezifischer Software.
Security Information and Event Management (SIEM)
Das ganze Bundesgebiet
Die Betriebsführung der elektrischen Netze bei der DB Energie erfolgt auf einem hohen Qualitätsniveau mit sehr geringen Ausfallzeiten. Maßgeblich für das Erreichen dieser hohen Qualitätsstandards ist eine zuverlässige Datenanbindung und Automatisierungstechnik, welche fehlerfrei funktioniert. Die Risiken, dass diese Qualität nicht mehr geliefert werden kann, steigt mit zunehmendem Digitalisierungs- und Vernetzungsgrad, da die Systeme zunehmend an Komplexität gewinnen.
Durch das SIEM System wird eine zentrale Instanz geschaffen, welches Ausfälle und abnormale Zustände der Hardware in den Netzwerken der DB Energie erfasst und behebt. So soll es möglich sein, frühzeitige Abweichungen zu erkennen und auch die Informationssicherheit zu erhöhen. Da evtl. Angriffe frühzeitig erkannt werden können. Es hilft den Sicherheitsteams dabei, Sicherheitsvorfälle zu identifizieren, und hilft ihnen, sich auf Warnungen von Netzwerkkomponenten zu konzentrieren, die von besonderer Bedeutung sind.
Die DB Energie hält mehrere Log-Server vor. Aus diesen verschiedenen Quellen kommen Meldungen /Log-Informationen, daher sind Import Module zu bilden. Diese Informationen müssen in zyklischen Abständen von den vorhandenen Log-Servern abgeholt werden oder die abgelegten Daten einspielen. Für die unterschiedlichen Imports muss eine Normierung auf ein einheitliches Datenmodel (Informationen von einem Event) geschehen. Im Kernsystem werden die Events bearbeitet. Als Ausgabe an weitere Systeme und den Benutzerkreis müssen Reports exportiert werden.
Aus Sicherheitsgründen ist das System „on-premise“, also auf Server unter Kontrolle der DB Energie, umzusetzen.
Es ist davon auszugehen, dass ca. 500 000 Meldepunkte verarbeitet werden müssen.
Der allgemeine Stand der Technik und die anerkannten Regeln der Technik insbesondere zur IT-Sicherheit sind zu wahren (v.a. BDEW Whitepaper). Da die DB Energie zu einem KRITIS Unternehmen im Energie-Sektor gehört, ist die ISO/IEC 27001:2017 einzuhalten. Durch das zukünftige IT-Sicherheitsgesetz 2.0 wird ein System der Angriffserkennung gefordert. Dies wird die DB Energie mit dem ausgeschriebenen SIEM-System umsetzen.
Zwei der 3 folgenden Kriterien müssen für die Zulassung am Ausschreibungsverfahren erfüllt werden, welche über jeweils eine fertig gestellte Referenz nachgewiesen werden müssen.
— Verarbeitung von 250 unterschiedlichen Log-Formaten verschiedener IT- und OT-Devices,
— Systeminstallation bei anderen Energieversorger bzw. mit industriellen Steuernetzen, die auch unter die KRITIS-Verordnung fallen,
— Systeminstallation mit mindestens 450.000 Meldepunkten.
Zusätzlich sind folgende Kriterien zwingend zu erfüllen, um am Ausschreibungsverfahren zugelassen zu werden:
— Zertifizierung nach ISO 9001,
— Nachweis über ein Informationssicherheitsmanagementsystem (ISMS).
Folgende CPV-Codes sind zu beachten:
— 48000000-8 Softwarepaket und Informationssysteme,
— 48800000-6 Informationssysteme und Server,
— 48810000-9 Informationssysteme,
— 72000000-5 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung,
— 72210000-0 Programmierung von Softwarepaketen,
— 72212000-4 Programmierung von Anwendersoftware,
— 72212100-0 Entwicklung von branchenspezifischer Software.
Abschnitt III: Rechtliche, wirtschaftliche, finanzielle und technische Angaben
Die dazu erforderlichen Formblätter sind auf dem unter I.3.) beschriebenen Weg abzurufen.
a) Angaben zum Unternehmen (Name, Rechtsform, Anschrift) und – im Falle einer Bewerbergemeinschaft – Erklärung zur Vertretungsberechtigung der Bewerbergemeinschaft und zur gesamtschuldnerischen Haftung.
b) Eigenerklärung, dass keine Ausschlussgründe nach §§ 123, 124 GWB und nach § 19 Mindestlohngesetz vorliegen.
c) Eigenerklärung über das Vorliegen von Eintragungen im Gewerbezentralregister für den Bewerber oder die Mitglieder einer Bewerbergemeinschaft sowie die jeweils geschäftsführenden natürlichen Personen.
d) Verpflichtungserklärungen der Nachunternehmer und ggf. deren Nachunternehmern. Die Nachunternehmer müssen sich entsprechend der vorgenannten Ziffern auch zu ihrer persönlichen Lage erklären.
e) Erklärung, dass die Geschäftssprache im Projekt, auch in allen Unterlagen und im Schriftverkehr deutsch ist, dass die Angebotsbearbeitung, die gesamte Vertragsabwicklung, Zeichnungen, Dokumentationen und die Bedienoberfläche des Systems sowie auch die weitere Betreuung über den gesamten Lebenszyklus des Systems in deutscher Sprache vorgenommen werden, dass der Projektleiter verhandlungssicher deutsch spricht, dass der Bewerber in der Lage ist, für die Abwicklung der Projekt-, Prüf- und Inbetriebsetzungsarbeiten deutsch sprechendes Personal einzusetzen.
Angabe von Gesamtumsatz der letzten 3 abgeschlossenen Geschäftsjahre sowie einzeln ausgewiesener Umsatz der beim Bieter in Frage kommenden Unternehmensbereichen.
Zwei der 3 folgenden Kriterien müssen für die Zulassung am Ausschreibungsverfahren erfüllt werden, welche über jeweils eine fertig gestellte Referenz nachgewiesen werden müssen.
— passives Netzwerküberwachungssystem auf 250 unterschiedliche Standorte verteilt,
— Systeminstallation bei anderen Energieversorger bzw. mit industriellen Steuernetzen, die auch unter die KRITIS-Verordnung fallen,
— Systeminstallation mit mindestens 450 000 Meldepunkten.
Zusätzlich sind folgende Kriterien zwingend zu erfüllen, um am Ausschreibungsverfahren zugelassen zu werden:
— Zertifizierung nach ISO 9001,
— Zertifizierung nach ISO 27001.
Alle Unterlagen zur Teilnahme müssen vollständig ausgefüllt und fristgerecht eingereicht werden.
Gem. § 51 Abs. 2 SektVO hat der Auftraggeber ein Entschließungsermessen dahingehend, ob und ggf. welche fehlenden Erklärungen und Nachweise, er nachfordert. Der Auftraggeber bindet sich hinsichtlich dieses Ermessens nicht vorab: Bewerber können nicht darauf vertrauen, dass sie Gelegenheit erhalten, fehlende Erklärungen und Nachweise nachzureichen.
Enthalten Bekanntmachung oder Ausschreibungsunterlagen Unklarheiten, Widersprüche oder verstoßen diese nach Auffassung des Bewerbers gegen geltendes Recht, so hat der Bewerber dem Auftraggeber unverzüglich schriftlich darauf hinzuweisen. Erfolgt dies nicht, ist der Bewerber mit diesen Einwendungen präkludiert.
Voraussetzung für den Erhalt der vollständigen Unterlagen für die Angebotserstellung ist die Vorlage der bestätigten Vertraulichkeitsvereinbarung, die mit den Formblättern den Bietern zur Verfügung gestellt wird. Die unterzeichnete Vertraulichkeitsvereinbarung ist dem Teilnahmeantrag beizufügen.
Die Bietergemeinschaft haftet gesamtschuldnerisch und benennt einen gemeinsamen bevollmächtigten Vertreter.
Abschnitt IV: Verfahren
Abschnitt VI: Weitere Angaben
1. Für die Teilnahmeanträge mit den geforderten Erklärungen und Nachweise sind die Formblätter zu verwenden, die wie unter I.3 beschrieben verfügbar sind.
2. Die für das Verhandlungsverfahren ausgewählten Bewerber werden gesondert zur Angebotsabgabe aufgefordert.
3. Voraussetzung für den Erhalt der vollständigen Unterlagen für die Angebotserstellung ist die Vorlage der bestätigten Vertraulichkeitsvereinbarung, die mit den Formblättern den Bietern zur Verfügung gestellt wird. Die unterzeichnete Vertraulichkeitsvereinbarung ist dem Teilnahmeantrag beizufügen.
4. Für die Ausarbeitung der Bewerbungsunterlagen sowie des Angebotes erfolgt keine Kostenerstattung.
5. Mitglieder von Bewerbergemeinschaften haben grundsätzlich alle Erklärungen/Nachweise für jedes Mitglied abzugeben. Nicht deutschsprachige Nachweise müssen als beglaubigte Übersetzung in Deutsch vorgelegt werden (geforderter Mindeststandard).
6. Mehrfachbewerbungen sind nicht zulässig. Eine Mehrfachbewerbung ist auch eine Bewerbung unterschiedlicher Niederlassungen eines Büros. Mehrfachbewerbungen von Mitgliedern einer Bewerbergemeinschaft bzw. unterschiedlicher Niederlassungen eines Büros haben das Ausscheiden aller Mitglieder der Bewerbergemeinschaft zur Folge.
7. Es erfolgt keine Rückgabe der Bewerbungs- und Angebotsunterlagen.
8. Bewerber haben die Vergabeunterlagen unverzüglich auf Vollständigkeit der Unterlagen sowie auf Unklarheiten zu überprüfen. Enthalten Bekanntmachung oder Ausschreibungsunterlagen Unklarheiten, Widersprüche oder verstoßen diese nach Auffassung des Bewerbers gegen geltendes Recht, so hat der Bewerber den AG unverzüglich schriftlich darauf hinzuweisen. Erfolgt dies nicht, ist der Bewerber mit diesen Einwendungen präkludiert.
9. Bewerber haben Verstöße gegen Vergabevorschriften zu rügen. Es gelten die Bestimmungen in § 160 Abs. 3 GWB. Soweit ihrer Rüge nicht abgeholfen wird, sind sie insbesondere verpflichtet, innerhalb von 15 Kalendertagen nach Eingang dieser Mitteilung einen Nachprüfungsantrag bei der zuständigen Vergabekammer einzureichen. Ansonsten ist der Antrag gemäß § 160 Abs. 3 GWB unzulässig.
10. Die Vergabestelle behält sich vor, Rückfragen, die nicht bis spätestens 10 Werktage vor Ablauf der Abgabefrist eingegangen sind, nicht zu beantworten.
11. Anfragen zu Inhalten der Verdingungsunterlagen und zum Verfahren sind während des Verfahrens ausschließlich schriftlich per Mail an die genannte Kontaktstelle zu richten. Anfragen von verfahrensrechtlicher und inhaltlicher Relevanz werden anonymisiert, die Frage und die Antworten anschließend an alle Bewerber übermittelt. Es gelten hierbei die von den Bewerbern im Teilnahmeantrag genannten Zustelladressen (E-Mail).
Postanschrift:[gelöscht]
Ort: Bonn
Postleitzahl: 53123
Land: Deutschland
Ein Nachprüfungsantrag ist unzulässig, soweit mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind (§ 160 Abs. 3, Satz 1, Nr. 4 GWB). Ein Nachprüfungsantrag ist zudem unzulässig, soweit der Antrag erst nach Zuschlagserteilung zugestellt wird (§ 168 Abs. 2, Satz 1 GWB). Die Zuschlagserteilung ist möglich 10 Tage nach Absendung der Bekanntgabe der Vergabeentscheidung per Fax oder auf elektronischem Weg bzw. 15 Tage nach Absendung der Bekanntgabe der Vergabeentscheidung per Post (§ 134 Abs. 2 GWB). Die Zulässigkeit eines Nachprüfungsantrags setzt ferner voraus, dass die geltend gemachten Vergabeverstöße innerhalb von 10 Kalendertagen nach Kenntnis bzw. – soweit die Vergabeverstöße aus der Bekanntmachung oder den Vergabeunterlagen erkennbar sind – bis zum Ablauf der Teilnahme- bzw. Angebotsfrist gerügt wurden (§ 160 Abs. 3, Satz 1, Nr. 1 bis 3 GWB). Des Weiteren wird auf die in § 135 Abs. 2 GWB genannten Fristen verwiesen.