Externe Informationssicherheitsbeauftragte / Externer Informationssicherheitsbeauftragter für die DAAD-Zentrale in Bonn, das DAAD Büro Berlin und das DAAD-Außennetzwerk Referenznummer der Bekanntmachung: 351/2021
Auftragsbekanntmachung
Dienstleistungen
Abschnitt I: Öffentlicher Auftraggeber
Ort: Bonn
NUTS-Code: DEA22 Bonn, Kreisfreie Stadt
Postleitzahl: 53175
Land: Deutschland
E-Mail: [gelöscht]
Internet-Adresse(n):
Hauptadresse: https://www.daad.de/
Abschnitt II: Gegenstand
Externe Informationssicherheitsbeauftragte / Externer Informationssicherheitsbeauftragter für die DAAD-Zentrale in Bonn, das DAAD Büro Berlin und das DAAD-Außennetzwerk
Auftragsgegenstand ist die Übernahme der Funktion bzw. der Aufgaben der/des IT-Sicherheitsbeauftragten im Sinne des geltenden BSI-Standards für IT-Grundschutz-Vorgehensweise (BSI Standard 200-2) für die DAAD-Zentrale in Bonn, das Büro Berlin sowie das Außennetzwerk des DAAD.
Hierfür wird ein/e IT-Sicherheitsbeauftragte/r sowie ein/e Penetrationstester/in benötigt.
Zu den Pflichten der/des IT-Sicherheitsbeauftragten zählen insbesondere der Aufbau, der Betrieb und die Weiterentwicklung eines IT-Sicherheitsmanagementsystems (ISMS) gemäß BSI-Standard „Managementsysteme für Informationssicherheit“ (BSI Standard 200-1).
Zu den Pflichten des Penetrationstesters gehören insbesondere die Koordination, Durchführung und Dokumentation von Penetrationstests zur Überprüfung des vorhandenen Sicherheitsniveaus von IT-Systemen und Anwendungen auf Basis der Vorgaben des BSI (IS-Penetrationstest).
In Anwendung seiner Fachkunde ist der Auftragnehmer im Rahmen der Erfüllung der Aufgaben der/des externen IT-Sicherheitsbeauftragten weisungsfrei. Die Tätigkeit des Auftragnehmers hat beratenden/empfehlenden Charakter.
Einzelheiten sind der Leistungsbeschreibung in Anlage A02 der Vergabeunterlagen zu entnehmen.
Bonn
Auftragsgegenstand ist die Übernahme der Funktion bzw. der Aufgaben der/des IT-Sicherheitsbeauftragten im Sinne des geltenden BSI-Standards für IT-Grundschutz-Vorgehensweise (BSI Standard 200-2) für die DAAD-Zentrale in Bonn, das Büro Berlin sowie das Außennetzwerk des DAAD.
Hierfür wird ein/e IT-Sicherheitsbeauftragte/r sowie ein/e Penetrationstester/in benötigt.
Zu den Pflichten der/des IT-Sicherheitsbeauftragten zählen insbesondere der Aufbau, der Betrieb und die Weiterentwicklung eines IT-Sicherheitsmanagementsystems (ISMS) gemäß BSI-Standard „Managementsysteme für Informationssicherheit“ (BSI Standard 200-1).
Zu den Pflichten des Penetrationstesters gehören insbesondere die Koordination, Durchführung und Dokumentation von Penetrationstests zur Überprüfung des vorhandenen Sicherheitsniveaus von IT-Systemen und Anwendungen auf Basis der Vorgaben des BSI (IS-Penetrationstest).
In Anwendung seiner Fachkunde ist der Auftragnehmer im Rahmen der Erfüllung der Aufgaben der/des externen IT-Sicherheitsbeauftragten weisungsfrei. Die Tätigkeit des Auftragnehmers hat beratenden/empfehlenden Charakter.
Einzelheiten sind der Leistungsbeschreibung in Anlage A02 der Vergabeunterlagen zu entnehmen.
Der Vertrag beginnt mit Bezuschlagung.
Die Lieferung/Leistung erfolgt/beginnt am 01.04.2022.
Der Vertrag ist befristet. Er endet mit Ablauf des 31.03.2023.
Der Vertrag verlängert sich dreimal um jeweils ein weiteres Jahr, wenn er nicht von einem der Vertragspartner spätestens sechs Monate vor Vertragsende schriftlich gekündigt wird. Der Vertrag endet somit spätestens mit Ablauf des 31.03.2026.
Abschnitt III: Rechtliche, wirtschaftliche, finanzielle und technische Angaben
Firmenprofil (kurze Beschreibung des Unternehmens, Historie, Portfolio, Personalstruktur)
---
Nachweis der Eintragung in einem Berufs- oder Handelsregister oder vergleichbares Register
---
Erklärung über den Gesamtumsatz und den Umsatz in dem Tätigkeitsbereich des Auftrags innerhalb der letzten drei Geschäftsjahre, sofern entsprechende Angaben verfügbar sind.
---
Nachweis einer marktüblichen Berufs- oder Betriebshaftpflichtversicherung
---
Der Bieter muss innerhalb der letzten drei Geschäftsjahre einen Mindestjahresumsatz insgesamt und im ausgeschriebenen Tätigkeitsbereich erzielt haben.
Der durchschnittliche Jahresumsatz im o. g. Zeitraum gesamt beträgt mindestens 5.000.000 €.
Der durchschnittliche Jahresumsatz im o. g. Zeitraum im Tätigkeitsbereich beträgt mindestens 2.500.000 €.
Das Formular in Anlage A08 ist zu verwenden.
---
Folgende Schäden mit folgenden Mindestdeckungssummen müssen mindestens versichert sein:
Personenschäden: 1.000.000 €
Alle übrigen Schäden: 3.000.000 € (inkl. Vermögensschäden)
Die Versicherung muss Schäden umfassen, die durch die Handhabung von Daten, durch Soft- und Hardware entstehen können.
---
Nachweis einer gültigen Zertifizierung als IT-Sicherheitsdienstleister nach § 9 Abs. 2 BSIG in den Geltungsbereichen „IS-Revision und IS-Beratung“ sowie „IS-Penetrationstests“
---
Vorlage geeigneter Referenzen über früher ausgeführte Aufträge in Form einer Liste der in den letzten drei Jahren erbrachten wesentlichen Leistungen, mit Angabe des Werts, des Liefer- beziehungsweise Erbringungszeitpunkts sowie des öffentlichen oder privaten Auftraggebers. Das Formular in Anlage A09 ist hierfür zu verwenden.
---
Angabe der technischen Fachkräfte oder der technischen Stellen, die im Zusammenhang mit der Leistungserbringung eingesetzt werden sollen, unabhängig davon, ob diese dem Unternehmen angehören oder nicht, und zwar insbesondere derjenigen, die mit der Qualitätskontrolle beauftragt sind.
Mindestanforderung:
Ein/e (1) zertifizierte/r IT-Sicherheitsbeauftragte/r.
Hinweis: Bitte nehmen Sie den Kriterienkatalog in Anlage A01.1 zur Kenntnis.
---
Beschreibung Maßnahmen zur Qualitätssicherung des Unternehmens
---
Erklärung, aus der die durchschnittliche jährliche Beschäftigtenzahl des Unternehmens insgesamt sowie zusätzlich für den Leistungsbereich dieser Ausschreibung in den letzten drei Jahren ersichtlich ist. Das Formular Anlage A08 ist zu verwenden.
Mindestanforderung:
Mind. durchschnittlich fünf (5) Beschäftigte in den letzten drei Jahren.
---
Angabe, welche Teile des Auftrags das Unternehmen unter Umständen als Unteraufträge zu vergeben beabsichtigt (Nachunternehmerverzeichnis gemäß Anlage A10)
---
Es sind mindestens 3 geeignete Referenzen vorzulegen.
Referenzen sind geeignet, wenn die zu Grunde liegenden Projekte hinsichtlich der fachlichen und technischen Leistungsfähigkeit im Wesentlichen ähnliche Anforderungen an die Bewerber gestellt haben wie die ausgeschriebene Leistung. Dies wird bei der vorliegenden Ausschreibung insbesondere bei Erfahrungen mit einem vergleichbaren Aufbau, Betrieb und Weiterentwicklung eines IT-Sicherheitsmanagementsystems (ISMS) im Bereich der öffentlichen Verwaltung angenommen.
---
1. Erstellung von individuellen IT-Sicherheitsleitlinien nach Vorgaben vom BSI (200-1 und 200-2)
2. Erstellung und Fortschreibung von Sicherheitskonzepten nach Vorgaben vom BSI (200-2 und 200-3) anhand einer Softwareunterstützung.
3. Begleitung von Projekten und Maßnahmen mit IT-Bezug, die die Einführung neuer und Änderung bestehender IT-Anwendungen und IT-Systeme (Änderungen an der IT-Architektur) im Hinblick auf die Auswirkung auf die IT-Sicherheit haben.
4. Softwaregestützte Erstellung von Sicherheitskonzepten nach Vorgaben des BSI (200-2 und 200-3) für Teilverbünde im Geltungsbereich.
5. Planung, Durchführung und Dokumentation von Penetrationstests nach Vorgaben des BSI (IS-Penetrationstest)
6. Begleitung eines Zertifizierungsverfahrens nach ISO 27001 auf Basis von IT-Grundschutz.
Alle Bereiche 1. bis 6. müssen durch Referenzen belegt werden (Mindestanforderung), wobei eine Referenz zur Abdeckung mehrerer Bereiche herangezogen werden darf.
Mindestens eine Referenz muss ein Auftragsvolumen von mindestens [Betrag gelöscht] EUR vorweisen.
---
Angabe der technischen Fachkräfte: mind. ein/e (1) zertifizierte/r IT-Sicherheitsbeauftragte/r.
---
Beschäftigtenzahl des Unternehmens: Mind. durchschnittlich fünf (5) Beschäftigte in den letzten drei Jahren.
---
Ausgefüllte Eigenerklärung nach §§ 123, 124 GWB und § 19 Abs. 1 MiLoG, Anlage A07
Abschnitt IV: Verfahren
Bonn
Abschnitt VI: Weitere Angaben
Postanschrift:[gelöscht]
Ort: Bonn
Postleitzahl: 53123
Land: Deutschland
E-Mail: [gelöscht]
Telefon: [gelöscht]
Fax: [gelöscht]
Internet-Adresse: http://www.bundeskartellamt.de/SharedDocs/Kontaktdaten/DE/Vergabekammern.html?nn=3590536
Belehrung zu den Rechtsbehelfsfristen
Ein Nachprüfungsantrag ist unzulässig, soweit mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind (§ 160 Abs. 3 Satz 1 Nr. 4 GWB).
Ein Nachprüfungsantrag ist zudem unzulässig, wenn der Zuschlag erfolgt ist, bevor die Vergabekammer den Auftraggeber über den Antrag auf Nachprüfung informiert hat (§§ 168 Abs. 2 Satz 1, 169 Abs. 1 GWB). Die Zuschlagserteilung erfolgt 10 Kalendertage nach Absendung der beabsichtigten Zuschlagserteilung an die unterlegenen Bieter gem. § 134 Abs. 2 GWB. Die Frist beginnt am Tag nach der Absendung der Information durch den Auftraggeber; auf den Tag des Zugangs beim betroffenen Bieter kommt es nicht an.
Die Zulässigkeit eines Nachprüfungsantrags setzt ferner voraus, dass die geltend gemachten Vergabeverstöße 10 Kalendertage nach Kenntnis gegenüber dem Auftraggeber gerügt wurden (§ 160 Abs. 3 Satz 1 Nr. 1 GWB). Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, müssen spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden (§ 160 Abs. 3 Satz 1 Nr. 2 GWB). Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, müssen spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden (§ 160 Abs. 3 Satz 1 Nr. 3 GWB).
Auf die prozessualen Vorschriften der §§ 160 ff. GWB wird außerdem hingewiesen.