Managed IT-/OT-Security Services und Angriffserkennungssysteme (SIEM/SOC) Referenznummer der Bekanntmachung: 2022-016-EU - Bekanntmachung
Auftragsbekanntmachung – Sektoren
Dienstleistungen
Abschnitt I: Auftraggeber
Postanschrift:[gelöscht]
Ort: Düsseldorf
NUTS-Code: DEA11 Düsseldorf, Kreisfreie Stadt
Postleitzahl: 40233
Land: Deutschland
Kontaktstelle(n):[gelöscht]
E-Mail: [gelöscht]
Internet-Adresse(n):
Hauptadresse: www.swd-ag.de
Abschnitt II: Gegenstand
Managed IT-/OT-Security Services und Angriffserkennungssysteme (SIEM/SOC)
Der Auftraggeber (AG), die Stadtwerke Düsseldorf AG, sind Betreiber von kritischen Infrastrukturen in der Energie- und Wasserversorgung, sowie der Entsorgung und haben daher ein Informationssicherheitsmanagementsystem (ISMS) nach ISO/IEC 27001 (nativ) in der Unternehmensgruppe implementiert. Auf Basis dieses ISMS wurden der Betrieb des Strom- und Gasnetzes sowie die zentralen IKT-Services zertifiziert. Als Betreiber kritischer Infrastrukturen unterliegt der AG dem IT-SiG 2.0 und ist somit nach §8a (1a) u.a. verpflichtet, Systeme zur Angriffserkennung auf die IT/OT-Infrastruktur des AGs zu verwenden, sowie die Aufgaben in Bezug auf das Melde- und Informationsportal des BSIs (BSI-Meldestelle / BSI-Kontaktstelle) wahrzunehmen.
Der AG setzt verschiedene Operational Technology (OT)-Architekturen in den Bereichen der Wasserversorgung, der Stromerzeugung, in Verteilnetzen (Strom, Wasser, Fernwärme) sowie in der thermischen Entsorgung ein. Hier kommen unterschiedliche Arten von Leittechnik wie z. B. Prozessleittechnik, Fernwirktechnik sowie Netzleittechnik zum Einsatz.
Der AG beabsichtigt die Beschaffung von Managed Security Services zur Angriffserkennung (SIEM/SOC) in IT-/OT Infrastrukturen inkl. erforderlicher, begleitender Beratungstätigkeiten. Die Managed Security Services sind in einer Ramp-up Phase final und detailliert zu konzipieren und anschließend umzusetzen und zu betreiben. Dazu gehören auch die Aufgaben der BSI-Meldestelle / -Kontaktstelle
Stadtwerke Düsseldorf AG Höherweg 100 40233 Düsseldorf
Der AG beabsichtigt die Beschaffung von Managed Security Services zur Angriffserkennung (SIEM/SOC) in IT-/OT Infrastrukturen, wie
- Implementierung von Systemen zur Angriffserkennung entsprechend den Anforderungen in §8a (1a) IT-SiG 2.0,
- Betrieb der Angriffserkennungssysteme (inkl. einer zentralen SIEM-Plattform) in der Infrastruktur des AG als Full Managed Security Service,
- Erkennen von Schwachstellen in der IT/OT-Infrastruktur des AG,
- Durchführen eines Use Case Managements inkl. der Weiterentwicklung der Use Cases,
- Durchführen eines 24/7 Security Incident Management (Detection, Analysis und Unterstützung bei Response) und
- 24/7 Übernahme von Aufgaben der BSI-Meldestelle / BSI-Kontaktstelle,
sowie die Beschaffung der erforderlichen, begleitenden Beratungsleistungen, wie
- Durchführen von Forensikleistungen bei auftretenden Security Incidents,
- Durchführen von Cybersecurity Awareness Maßnahmen zur zukünftigen Sensibilisierung vor auftretenden Security Incidents, und
- Durchführen von Beratungs- und Unterstützungsleistungen zur Verbesserung der Cybersecurity in IT-/OT-Infrastrukturen nach aufgetretenen Security Incidents.
Im Zuge der Erbringung der obigen Leistungen ist vom AN auch ein übergreifendes Projektmanagement zu erbringen.
Der Auftraggeber hat das einseitige, dreimalige Recht den Auftrag um jeweils 12 Monate zu verlängern.
Abschnitt III: Rechtliche, wirtschaftliche, finanzielle und technische Angaben
1) Aktueller Nachweis über die Eintragung in ein Handels- oder Berufsregister des Sitzes oder Wohnsitzes des Bewerbers (bei ausländischen Bewerbern gleichwertige Bescheinigung einer Behörde des Heimatlandes nebst amtlich anerkannter Übersetzung)
2) Organigramm der Unternehmensstruktur
3) Bestätigung durch Eigenerklärung zur Verwendung der deutschen Sprache gem. Vorlage, hinterlegt auf der Plattform der DTVP (siehe Ziffer I.3)
4) aktuelle Unbedenklichkeitsbescheinigung der Berufsgenossenschaften
5) aktuelle Unbedenklichkeitsbescheinigung der Sozialversicherung
6) aktuelle Unbedenklichkeitsbescheinigung der Finanzämter
7a-c) Angabe der Umsatzzahlen des Unternehmens in den letzten drei Geschäftsjahren (2019, 2020, 2021), woraus hervorgeht, dass das Unternehmen einen Vertrag dieser Größenordnung abwickeln kann
8a-c) Angabe der Anzahl der Beschäftigten des Unternehmens in den letzten 3 Geschäftsjahren (2019, 2020, 2021)
9) Bestätigung durch Eigenerklärung, dass sich der Bewerber nicht in einem Insolvenz- oder Vergleichsverfahren befindet, die Eröffnung nicht beantragt wurde und der Antrag auch nicht mangels Masse abgelehnt wurde
10) Bonitätsnachweis einer anerkannten Wirtschaftsauskunftei (z.B. Creditreform, D&B) mit einem Rating von max. 250 (Creditreform) oder mind. 75 (D&B) gemessen am deutschen Markt
11) Nachweis einer Haftpflichtversicherung mit Nennung der Höhe der Deckungssumme
12) Bestätigung durch Eigenerklärung, dass keine Ausschlussgründe im Sinne des §123 und des § 124 GWB vorliegen
13) Abgabe Vertraulichkeitserklärung entsprechend Formular "Eigenerklärung vertrauliche Behandlung Informationen.pdf"
14) Abgabe der Eigenerklärung gemäß Art. 5k der Verordnung (EU) 2022/576
Unvollständige Unterlagen oder Angaben können zum Ausschluss vom Verfahren führen.
Der AG behält sich vor, die Qualität des Bewerbers in einem Qualifizierungsverfahren zu prüfen.
15) Der Bieter sichert zu in Form einer Eigenerklärung, dass sämtliche Daten des AG, welche durch die im Rahmen dieser Vergabe erbrachten Leistungen erstellt, erfasst, geändert, gespeichert oder anderweitig verarbeitet werden, den Rechtsraum der Bundesrepublik Deutschland nicht verlassen. Die Zusicherung muss sich auch auf etwaige Nachunternehmer erstrecken.
16) Projektreferenzen für Managed Security Services bei Betreibern kritischer Infrastruktur nach BSI-Gesetz zum Nachweis der technischen und beruflichen Leistungsfähigkeit. Der Bieter hat 3 in Inhalt und Umfang vergleichbare Projektreferenzen für die zu erbringenden Managed Security Services über ausgeführte Aufträge in Form erbrachten Leistungen vorzulegen. Die Zeiträume für diese Projektreferenzen sind aus den Jahren 2019 bis heute.
Jede Projektreferenz muss dabei mindestens die folgenden Angaben enthalten:
- Kunde (optional neutrale Beschreibung des Kunden)
- kundenseitiger Ansprechpartner (sofern möglich)
- Branche
- Angabe der gesamten Projektlaufzeit
- Angabe des gesamten Auftragswertes der im Projekt seit 2019 erbrachten Leistungen
- Darstellung des Inhalts der seit 2019 im Projekt erbrachten Leistungen inkl. der wesentlichen Projektziele, sowie der zur Leistungserbringung eingesetzten Technologien (unter der Berücksichtigung der Inhalte gemäß II.2.4)
- Darstellung, inwieweit die Leistungen in einer integrierten IT/OT-Umgebung erbracht wurden
Unvollständige Unterlagen oder Angaben können zum Ausschluss vom Verfahren führen.
Der AG behält sich vor, die Qualität des Bewerbers in einem Qualifizierungsverfahren zu prüfen.
Mit dieser Veröffentlichung werden interessierte Bieter dazu aufgefordert, Ihre Interessensbekundungen innerhalb der in dieser Bekanntmachung gesetzten Frist über das genannte e-Vergabe-Portal einzureichen.
Zur Interessensbekundung müssen alle unter dem Punkt "Teilnahmebedingungen" aufgeführten Unterlagen vollständig eingereicht werden.
Im Sinne der Gleichbehandlung aller Bieter, gilt dieses Verfahren auch für Bewerber, die bereits an einem anderen Präqualifizierungsverfahren des AG teilgenommen haben, die bereits Geschäftsbeziehungen mit dem AG unterhalten, auf den einschlägigen Märkten einen hohen Bekanntheitsgrad besitzen oder mit Ihrer Bewerbung bereits begleitende Unterlagen vorgelegt haben.
Anhand der eingereichten Unterlagen und unter Berücksichtigung von Abschnitt II.2.9 werden qualifizierte Bewerber identifiziert und damit der Bieterkreis festgelegt. Im Anschluss werden die Ausschreibungsunterlagen mit einer Angebotsabgabefrist an die qualifizierten Bieter versendet.
Unvollständige Unterlagen können zum Ausschluss der Bewerbung vom Verfahren führen. Verspätet eingegangene Bewerbungen führen zum Ausschluss der Bewerbung.
Unvollständige Unterlagen oder Angaben können zum Ausschluss vom Verfahren führen.
Der AG behält sich vor, die Qualität des Bewerbers in einem Qualifizierungsverfahren zu prüfen.
Bietergemeinschaften werden nur zugelassen, wenn
- eine verbindliche Erklärung zur Gründung einer Arbeitsgemeinschaft im Falle der Auf-tragserteilung,
- Benennung aller Mitglieder der Arbeitsgemeinschaft,
- Benennung der bevollmächtigten Personen,
- Benennung der Aufgabenverteilung innerhalb der Arbeitsgemeinschaft und
- eine verbindliche Erklärung der gesamtschuldnerischen Haftung aller Mitglieder der Ar-beitsgemeinschaft vorgelegt und - jedes Mitglied der Arbeitsgemeinschaft die Teilnahmebe-dingungen gem. Punkt III.1.1) Befähigung zur Berufsausübung einschließlich Auflagen hin-sichtlich der Eintragung in einem Berufs- oder Handelsregister und III.1.2) Wirtschaftliche und finanzielle Leistungsfähigkeit erfüllt.
Abschnitt IV: Verfahren
Abschnitt VI: Weitere Angaben
Bei dem AG handelt es sich um ein Unternehmen mit kritischer Infrastruktur in Sinne der Ver-ordnung zur Bestimmung kritischer Infrastrukturen nach dem BSI-Gesetz (BSI-Kritisverordnung - BSI-KritisV). Zum Schutz der Vertraulichkeit der Informationen im Rahmen des Vergabeverfahrens werden daher nur den präqualifizierten Bietern die Vergabeunterla-gen nach der Bewertung der Teilnahmeanträge elektronisch zugesandt.
Bekanntmachungs-ID: CXP4Y0ZR88D
Postanschrift:[gelöscht]
Ort: Köln
Postleitzahl: 50667
Land: Deutschland
Fax: [gelöscht]
Gemäß § 160 Abs. 3 GWB ist ein Antrag auf Einleitung eines Nachprüfungsverfahrens unzu-lässig, soweit:
1. Der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einrei-chen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Abs. 2 bleibt un-berührt,
2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegen-über dem Auftraggeber gerügt werden,
4. Mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.
5. Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrages nach § 135 Abs. 1Nummer 2 GWB. § 134 Absatz 1, Satz 2 GWB bleibt unberührt.