Lieferung von X.509 Zertifikaten auf Chipkarten (QSCD)
Bekanntmachung vergebener Aufträge
Ergebnisse des Vergabeverfahrens
Lieferauftrag
Abschnitt I: Öffentlicher Auftraggeber
Postanschrift:[gelöscht]
Ort: Berlin
NUTS-Code: DE300 Berlin
Postleitzahl: 10969
Land: Deutschland
Kontaktstelle(n):[gelöscht]
E-Mail: [gelöscht]
Fax: [gelöscht]
Internet-Adresse(n):
Hauptadresse: http://www.bundesdruckerei.de
Abschnitt II: Gegenstand
Lieferung von X.509 Zertifikaten auf Chipkarten (QSCD)
Gegenstand der Ausschreibung sind X.509 Zertifikate auf Chipkarten (QSCD) für die Erzeugung von qualifizierten und fortgeschrittenen Signaturen, qualifizierten Siegeln, sowie für Clientauthentifizierung und Ver-/Entschlüsselung.
Die Chipkarten müssen über eine kontaktbehaftete Schnittstelle oder eine Dualinterface Schnittstelle verfügen. Je nach Anwendung elektronische und optische Personalisierung der Chipkarten mit qualifizierten Zertifikaten aus einer eIDAS konformen PKI und/oder Zertifikaten aus nicht qualifizierten kundenspezifischen PKIn. Bereitstellung eIDAS konformer Antrags-, Identifizierungs- und Ausgabeprozess für die qualifizierten Signatur- und Siegelkarten. Bereitstellung einer Schnittstelle für den automatischen Austausch von Personalisierungs-, Produktions-, und Zertifikatsdaten für nicht qualifizierte Zertifikate auf Chipkarten. Betrieb von kundenspezifischen CAs für die Erstellung der nicht qualifizierten Zertifikate und Bereitstellung dazugehöriger Sperrlisten und Betrieb eines OCSP-Services.
Lieferort: 10969 Berlin
Chipkarten:
- Lieferung von Chipkarten (QSCD nach Artikel 31(1) - (2) und 39(3) der eIDAS-Verordnung 910/2014) zur Erzeugung qualifizierter Signaturen, Siegeln, Clientauthentifizierung, Ver- und Entschlüsselung.
- Lieferung von Chipkarten mit nicht qualifizierten Zertifikaten aus kundenspezifischen CAs mit dem Betriebssystem StarCOS Advanced und CardOS 5.0.
Die Chipkarten müssen über eine kontaktbehaftete Schnittstelle oder eine Dualinterface Schnittstelle verfügen. Es müssen mindestens RSA-Schlüssel mit 2.048 und 3072 Bit sowie ECC-Schlüssel mit NIST-256-Bit unterstützt werden.
Die Chipkarten müssen mit einem Teil der Daten des Zertifikatsinhabers und der Zertifikatsgültigkeit optisch personalisiert werden. Die Bedruckung im Rahmen der optischen Personalisierung muss sowohl im Thermotransfer- und Thermosublimationsverfahren (z.B. Evolis-Druckwerke) möglich sein.
Nutzungsmöglichkeiten:
Die an die Enduser ausgegebenen Chipkarten mit qualifizierten Zertifikaten müssen mindestens durch folgende Softwarehersteller unterstützt werden:
1. Governikus GmbH & Co. KG,
2. SecCommerce Informationssysteme GmbH,
3. intarsys AG,
4. Nexus AB,
5. cv cryptovision GmbH,
6. secrypt GmbH,
Die mit den nicht qualifizierten Zertifikaten personalisierten Chipkarten müssen mindestens durch die Software Nexus Personal von Nexus AB und durch die Software SCinterface von crypotvision unterstützt werden.
Certification Authorities (CA):
Je nach Anwendung müssen die Chipkarten mit qualifizierten Zertifikaten aus einer eIDAS konformen CA (die CA muss als „granted“ in der EU-TRUST Liste aufgeführt sein) und/oder Zertifikaten aus einer nicht qualifizierten kundenspezifischen CA elektronisch personalisiert werden. Die Chipkarten müssen mit einem Teil der Daten des Zertifikatsinhabers und der Zertifikatsgültigkeit optisch personalisiert werden.
Validierung:
Für die kostenfreie Validierung der Zertifikate durch Dritte müssen folgende Verzeichnisdienste bereitgestellt werden: LDAP, OCSP und Sperrlisten.
Es muss eine Verifikation der mit den Chipkarten erzeugten qualifizierten Signaturen oder Siegeln in PDF-Dokumenten mit dem Adobe Acrobat Reader möglich sein.
Gesetzliche Vorgaben:
Es müssen die Anforderungen des deutschen Vertrauensdienstegesetz eingehalten werden. Die Vorsorge für die dauerhafte Prüfbarkeit der qualifizierten Zertifikate muss eingehalten werden.
Es muss ein eIDAS konformer Antrags-, Identifizierungs- und Ausgabeprozess für die Chipkarten mit qualifizierten Zertifikaten bereitgestellt werden.
Schnittstelle:
Die Antragsstellung durch den Endnutzer für qualifizierte Signatur- und Siegelkarten soll in einem zugangsgeschützten Bereich erfolgen, in dem der Nutzer den Antragsstatus verfolgen kann.
Für Chipkarten mit nicht qualifizierten Zertifikaten, muss eine Schnittstelle für den automatischen Austausch von Personalisierungs-, Produktions- und Zertifikatsdaten bereitgestellt werden.
Identifizierung:
Es muss mindestens PostIdent, NotarIdent, BehödenIdent und die Identifizierungsmöglichkeit der Zertifikatsinhaber durch vertraglich autorisierte Personen aus der Organisation der Enduser (extIdent) bereitgestellt werden.
Lieferung:
Die Lieferung der Chipkarten erfolgt entweder persönlich an einen autorisierten Vertreter des Auftraggebers oder per Einschreiben direkt an den Enduser.
Die Lieferzeiten nach Eingang der vollständigen Antragsdaten für Chipkarten mit qualifizierten Zertifikaten darf einen Zeitraum von <14 Werktagen nicht überschreiten. Die Lieferzeiten nach Eingang der Antragsdaten für Chipkarten mit nicht qualifizierten Zertifikaten die automatisch übertragen werden, darf einen Zeitraum von <5 Werktagen nicht überschreiten.
Support:
Es muss eine deutschsprachige Hotline und ein E-Mail Support für Endkunden und extIdent-Stellen von Mo.-Fr. zwischen 8.00 und 18.00 Uhr bereitgestellt werden.
Abschnitt IV: Verfahren
Abschnitt V: Auftragsvergabe
Ort: Berlin
NUTS-Code: DE30 Berlin
Land: Deutschland
Abschnitt VI: Weitere Angaben
Der unter Ziffer II.1.7) angegebene (maximale) Auftragswert wird aufgrund § 39 Abs. 6 Nr. 3 GWB in dieser Bekanntmachung über den vergebenen Auftrag nicht genannt. Der in den Abschnitten II.1.7) und V.2.4 angegebene Wert sollte daher missachtet werden.
Postanschrift:[gelöscht]
Ort: Bonn
Postleitzahl: 53123
Land: Deutschland
E-Mail: [gelöscht]
Telefon: [gelöscht]
Fax: [gelöscht]
Internet-Adresse: www.bundeskartellamt.de
Das deutsche Vergaberecht regelt die Frist für die Einlegung von Rechtsbehelfen in § 160 Abs. 3 GWB.
Dort heißt es:
„Der Antrag ist unzulässig, soweit:
1) der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt,
2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
4) mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind“.
Der Auftraggeber weist ferner ausdrücklich auf § 135 GWB hin. Dort heißt es:
„(1) Ein öffentlicher Auftrag ist von Anfang an unwirksam, wenn der öffentliche Auftraggeber:
1) gegen § 134 verstoßen hat oder,
2) den Auftrag ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union vergeben hat, ohne dass dies aufgrund Gesetzes gestattet ist, und dieser Verstoß in einem Nachprüfungsverfahren festgestellt worden ist.
(2) Die Unwirksamkeit nach Absatz 1 kann nur festgestellt werden, wenn sie im Nachprüfungsverfahren innerhalb von 30 Kalendertagen nach der Information der betroffenen Bieter und Bewerber durch den öffentlichen Auftraggeber über den Abschluss des Vertrags, jedoch nicht später als 6 Monate nach Vertragsschluss geltend gemacht worden ist. Hat der Auftraggeber die Auftragsvergabe im Amtsblatt der Europäischen Union bekannt gemacht, endet die Frist zur Geltendmachung der Unwirksamkeit 30 Kalendertage nach Veröffentlichung der Bekanntmachung der Auftragsvergabe im Amtsblatt der Europäischen Union.
(3) Die Unwirksamkeit nach Absatz 1 Nummer 2 tritt nicht ein, wenn:
1) der öffentliche Auftraggeber der Ansicht ist, dass die Auftragsvergabe ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union zulässig ist,
2) der öffentliche Auftraggeber eine Bekanntmachung im Amtsblatt der Europäischen Union veröffentlicht hat, mit der er die Absicht bekundet, den Vertrag abzuschließen und,
3) der Vertrag nicht vor Ablauf einer Frist von mindestens 10 Kalendertagen, gerechnet ab dem Tag nach der Veröffentlichung dieser Bekanntmachung, abgeschlossen wurde.
Die Bekanntmachung nach Satz 1 Nummer 2 muss den Namen und die Kontaktdaten des öffentlichen Auftraggebers, die Beschreibung des Vertragsgegenstands, die Begründung der Entscheidung des Auftraggebers, den Auftrag ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union zu vergeben, und den Namen und die Kontaktdaten des Unternehmens, das den Zuschlag erhalten soll, umfassen.“