Rahmenvertrag Jährliche Penetrationstest Referenznummer der Bekanntmachung: EK-L_A-2021-0167
Bekanntmachung vergebener Aufträge
Ergebnisse des Vergabeverfahrens
Dienstleistungen
Abschnitt I: Öffentlicher Auftraggeber
Nationale Identifikationsnummer: DE136630247
Postanschrift:[gelöscht]
Ort: Berlin
NUTS-Code: DE300 Berlin
Postleitzahl: 10709
Land: Deutschland
Kontaktstelle(n):[gelöscht]
E-Mail: [gelöscht]
Fax: [gelöscht]
Internet-Adresse(n):
Hauptadresse: www.bwb.de
Adresse des Beschafferprofils: www.bwb.de
Abschnitt II: Gegenstand
Rahmenvertrag Jährliche Penetrationstest
Rahmenvertrag für jährliche Penetrationstest
Kategorie 1 - Jährliche Penetrationstests
Berliner Wasserbetriebe - Alle Standorte
Jährliche Penetration der von außen erreichbaren IT-Services Alle von außen (aus dem Internet) erreichbaren IT-Services (Anwendungen, Webseiten, etc. der Berliner Wasserbetriebe ) müssen auf der Grundlage der Arbeitsanweisung "IT-Sicherheitsrichtlinie Penetrationstests" jährlich wiederkehrend penetriert werden. Derzeit umfasst dies 30-35 IT-Services. Anwendungen / Webseiten aus dieser Kategorie sollen entsprechend des IS-Penetrationstest nach Vorgabe des BSI in moderater Weise und dem OWASP Testing Guide (Version 4.2) penetriert sowie aufgedeckte Schwachstellen oder Risiken dokumentiert werden. Leistungsumfang maximal 400 Tage
Es ist beabsichtigt einen Rahmenvertrag mit mindestens drei Bietern, maximal mit vier Bietern abzuschließen.
Das Ziel des Abschlusses der Rahmenvereinbarung mit mehreren Bietern besteht im Wesentlichen darin, auf diejenigen Bieter im Einzelfall zugreifen zu können, die hinsichtlich der konkreten zu erbringenden Abrufleistung den wirtschaftlichsten
Leistungserbringungsansatz haben. Um dies zu ermitteln, geht der Auftraggeber wie folgt vor:
Der Auftraggeber konsultiert die Rahmenvertragsbeteiligten und schildert diesen den notwendigen Handlungsbedarf.
Gleichzeitig legt der Auftraggeber fest, inwieweit der Auftraggeber in preislicher
Hinsicht den Unternehmen die Möglichkeit eines Abschlags auf die angebotenen Preise der Abrufleistung einräumt.
Die Ermittlung des wirtschaftlichsten Angebotes erfolgt wie folgt:
70% Preis
Die Bewertung des Preises erfolgt nach folgender Formel:
Das niedrigste eingereichte Gesamtangebot (inkl. eventuellem Abschlag) erhält 100 Punkte
Ergebnis Kriterium Preis = niedrigste eingereichte Angebotssumme geteilt durch eingereichte Angebotssumme Bieter x 100 x Gewichtung (hier 70)
15% Reaktionszeit (Beginn der Leistung)
Die Bewertung der Reaktionszeit erfolgt nach folgender Formel
Die kürzeste Reaktionszeit (der Bieter der im Angebot den frühestens Beginn angegeben hat) erhält 100 Punkte. Die Wertung für die höheren Reaktionszeiten erfolgt anhand der Formel:
kürzeste angebotene Reaktionszeit x 100 / Reaktionszeit Bieter x Gewichtung (hier 15)
15% Leistungsdauer in Werktagen (ab Beginn der Leistung bis zum vollständigen Abschluss - Übergabe Management-Summary, Findings (PDF und Excel-Tabel) sowie abschließender Auswertungstermin/Liefertermin).
Die Bewertung der Leistungsdauer in Werktagen erfolgt nach folgender Formel
Die kürzeste Leistungsdauer in Werktagen erhält 100 Punkte. Die Wertung für die nachfolgenden Angaben zur Leistungsdauer in Werktag erfolgt anhand der Formel:
kürzeste Leistungsdauer in Werktagen x 100 / Leistungsdauer in Werktagen Bieter x Gewichtung (hier 15)
Der Bieter mit der höchsten Gesamtpunktzahl erhält den Zuschlag im entsprechenden Miniwettbewerb.
Voraussetzung für die Zuschlagserteilung im Miniwettbewerb:
Um ein hohes Maß an Sicherheit zu gewährleisten, die Objektivität zu erhalten und um eine Betriebsblindheit zu verhindern, ist es notwendig, dass das ausführende Unternehmen immer einen frischen Blick auf die Anwendungen hat. So soll zwischen der Penetration, ein und desselben IT-Services durch ein Penetrationsunternehmen ein Zeitraum von einem Jahr liegen. D.h. dass der Rahmenvertragsbeteiligte dementsprechend nicht zur Angebotsabgabe im Folgejahr aufgefordert wird (Aussetzung für 1 Jahr).
Kategorie 2 Adhoc-Untersuchung einzelner IT-Services
Berliner Wasserbetriebe - Alle Standorte
Unterjährige Penetration der einem Major-Change unterzogenen oder neu einzuführenden Services oder Webseiten der Berliner Wasserbetriebe. Im Laufe eines Jahres werden neue IT-Services (Anwendungen, Webseiten, etc.) eingeführt oder erfahren ein Major Update, manche sogar wiederkehrend (mehrmals im Jahr). Die BWB bewegen sich hier in einer Größenordnung von 10-15 IT-Services pro Jahr. Diese müssen vor der Produktivsetzung penetriert werden. Dies geschieht auf der Grundlage der Arbeitsanweisung "IT-Sicherheitsrichtlinie Penetrationstests". Damit sämtliche Tests des Produktivsetzungsprozesses so effizient wie möglich für das Unternehmen gestaltet werden, bedingt dies auch eine unkomplizierte Beauftragung eines Penetrationstests, unter Nennung und kurzer Beschreibung des IT-Services. Anwendungen aus dieser Kategorie sollen entsprechend des IS-Penetrationstest nach Vorgabe des BSI in moderater Weise sowie dem OWASP Testing Guide (in der aktuellen Version, derzeit 4.2) sowie dem OWASP ASVS (in der aktuellen Version ). Der entsprechende Penetrationslevel ist abhängig von der IT-Kritikalität der Anwendung und der Daten die darin verarbeitet werden und wird bei der Beauftragung angegeben) penetriert und aufgedeckte Schwachstellen oder Risiken dokumentiert werden. Leistungsumfang maximal 450 Tage
Es ist beabsichtigt einen Rahmenvertrag mit mindestens drei Bietern, maximal mit vier Bietern abzuschließen.
Das Ziel des Abschlusses der Rahmenvereinbarung mit mehreren Bietern besteht im Wesentlichen darin, auf diejenigen Bieter im Einzelfall zugreifen zu können, die hinsichtlich der konkreten zu erbringenden Abrufleistung den wirtschaftlichsten
Leistungserbringungsansatz haben. Um dies zu ermitteln, geht der Auftraggeber wie folgt vor:
Der Auftraggeber konsultiert die Rahmenvertragsbeteiligten und schildert diesen den notwendigen Handlungsbedarf.
Gleichzeitig legt der Auftraggeber fest, inwieweit der Auftraggeber in preislicher
Hinsicht den Unternehmen die Möglichkeit eines Abschlags auf die angebotenen Preise der Abrufleistung einräumt.
Die Ermittlung des wirtschaftlichsten Angebotes erfolgt wie folgt:
70% Preis
Die Bewertung des Preises erfolgt nach folgender Formel:
Das niedrigste eingereichte Gesamtangebot (inkl. eventuellem Abschlag) erhält 100 Punkte
Ergebnis Kriterium Preis = niedrigste eingereichte Angebotssumme geteilt durch eingereichte Angebotssumme Bieter x 100 x Gewichtung (hier 70)
15% Reaktionszeit (Beginn der Leistung)
Die Bewertung der Reaktionszeit erfolgt nach folgender Formel
Die kürzeste Reaktionszeit (der Bieter der im Angebot den frühestens Beginn angegeben hat) erhält 100 Punkte. Die Wertung für die höheren Reaktionszeiten erfolgt anhand der Formel:
kürzeste angebotene Reaktionszeit x 100 / Reaktionszeit Bieter x Gewichtung (hier 15)
15% Leistungsdauer in Werktagen (ab Beginn der Leistung bis zum vollständigen Abschluss - Übergabe Management-Summary, Findings (PDF und Excel-Tabel) sowie abschließender Auswertungstermin/Liefertermin).
Die Bewertung der Leistungsdauer in Werktagen erfolgt nach folgender Formel
Die kürzeste Leistungsdauer in Werktagen erhält 100 Punkte. Die Wertung für die nachfolgenden Angaben zur Leistungsdauer in Werktag erfolgt anhand der Formel:
kürzeste Leistungsdauer in Werktagen x 100 / Leistungsdauer in Werktagen Bieter x Gewichtung (hier 15)
Der Bieter mit der höchsten Gesamtpunktzahl erhält den Zuschlag im entsprechenden Miniwettbewerb.
Voraussetzung für die Zuschlagserteilung im Miniwettbewerb:
Um ein hohes Maß an Sicherheit zu gewährleisten, die Objektivität zu erhalten und um eine Betriebsblindheit zu verhindern, ist es notwendig, dass das ausführende Unternehmen immer einen frischen Blick auf die Anwendungen hat. So soll zwischen der Penetration, ein und desselben IT-Services durch ein Penetrationsunternehmen ein Zeitraum von einem Jahr liegen. D.h. dass der Rahmenvertragsbeteiligte dementsprechend nicht zur Angebotsabgabe im Folgejahr aufgefordert wird (Aussetzung für 1 Jahr).
Abschnitt IV: Verfahren
Abschnitt V: Auftragsvergabe
Kategorie 1 - Jährliche Penetrationstests
Abschnitt V: Auftragsvergabe
Kategorie 2 Adhoc-Untersuchung einzelner IT-Services
Abschnitt VI: Weitere Angaben
Postanschrift:[gelöscht]
Ort: Berlin
Postleitzahl: 10825
Land: Deutschland
E-Mail: [gelöscht]
Telefon: [gelöscht]
Fax: [gelöscht]
Postanschrift:[gelöscht]
Ort: Berlin
Postleitzahl: 10825
Land: Deutschland
E-Mail: [gelöscht]
Telefon: [gelöscht]
Fax: [gelöscht]
Internet-Adresse: https://www.berlin.de/sen/wirtschaft/wirtschaft-und-technologie/wirtschaftsrecht/vergabekammer/
Postanschrift:[gelöscht]
Ort: Berlin
Postleitzahl: 10825
Land: Deutschland
E-Mail: [gelöscht]
Telefon: [gelöscht]
Fax: [gelöscht]
Internet-Adresse: https://www.berlin.de/sen/wirtschaft/wirtschaft-und-technologie/wirtschaftsrecht/vergabekammer/