IT-Sicherheitsberatung Referenznummer der Bekanntmachung: 2022CSC000003
Bekanntmachung vergebener Aufträge
Ergebnisse des Vergabeverfahrens
Dienstleistungen
Abschnitt I: Öffentlicher Auftraggeber
Postanschrift:[gelöscht]
Ort: München
NUTS-Code: DE212 München, Kreisfreie Stadt
Postleitzahl: 80333
Land: Deutschland
Kontaktstelle(n):[gelöscht]
E-Mail: [gelöscht]
Telefon: [gelöscht]
Fax: [gelöscht]
Internet-Adresse(n):
Hauptadresse: https://www.auftraege.bayern.de
Abschnitt II: Gegenstand
IT-Sicherheitsberatung
Das Bayerische Staatsministerium für Unterricht und Kultus benötigt Dienstleistungen aus dem Bereich IT- Sicherheit. Der Bedarf ist wie folgt in zwei Lose aufgeteilt.
• Los 1: IT-Security-Consulting ( ITSC)
Beratende Unterstützung bei der Entwicklung von Sicherheitskonzepten und der operativen Umsetzung und
Überwachung von Sicherheitsanforderungen:
o Cybersecurity
o IT-Sicherheit (ISO 27K)
o Datenschutz (DSGVO)
• Los 2: Sicherheits-Testing (nachfolgend SITE)
Durchführung von Sicherheitstests und Unterstützung bei der Umsetzung von notwendigen
Sicherheitsmaßnahmen
Rolle IT-Security-Consulting (Los 1):
bayernweit - ortsunabhängig; einzelne Besprechungen finden entweder vor Ort in München (Räumlichkeiten des Auftraggebers) oder per Telefon/ Videokonferenz statt
Los 1: IT-Security-Consulting (ITSC)
Das IT-Security-Consulting (ITSC) berät den Ressort-Sicherheitsbeauftragten des AG und steht bei Sachfragen beratend und operativ
zur Seite. Die Rolle ITSC beinhaltet u.a. folgende Aufgaben:
• Unterstützung bei der Beschreibung von Sicherheitsanforderungen bei der Erstellung von Vergabeunterlagen
in weiteren Digitalisierungsprojekten des StMUK in Zusammenarbeit mit dem Ressort-ISB
• Entwicklung von Sicherheitskonzepten gemäß BSI IT-Grundschutz
• Unterstützung bei Datenschutzfragen z.B. im Zshg. mit der DSGVO
• Unterstützung bei der Erstellung von Datenschutzkonzepten, Datenschutzfolgeabschätzung etc.
• Unterstützung des ISB bei der Durchführung des IT-Grundschutzchecks (Vorgaben an die Programmierung zur Sicherstellung der notwendigen Cyber-Security Levels)
• Entwicklung und Etablierung von sicherheitsrelevanten Prozessen gemäß BSI IT-Grundschutz
• Prüfung der Gesamtdokumentation der Lösungen auf die Einhaltung des BSI IT-Grundschutzes
• Durchführung von internen Audits
• Auditierung der Umsetzung von ISO-27K-Anforderungen durch beauftragte ext. Dienstleister in Zusammenarbeit mit dem CISO/IT-Sicherheitsbeauftragten
Der Vertrag kann einseitig durch den Auftraggeber um weitere 15 Monate verlängert werden. Die Verlängerung
erfolgt schriftlich und mindestens einen Kalendermonat vor Ende der Vertragsgrundlaufzeit gegenüber dem
Auftragnehmer. Zu den Konditionen: siehe EVB-IT Dienstleistungsvertrag Nr. 4.1.3 sowie dessen Anlage 1 (Kap. 4.2 der Leistungsbeschreibung).
Rolle Sicherheits-Testing (Los 2):
bayernweit - ortsunabhängig; einzelne Besprechungen finden entweder vor Ort in München (Räumlichkeiten des Auftraggebers) oder per Telefon/ Videokonferenz statt
Los 2: Aufgaben Sicherheits-Testing (SITE)
Das SITE führt Sicherheitstests für vom AG verantwortete IT-Services durch. Die Rolle SITE beinhaltet u.a. folgende Aufgaben:
• Prüfung der IT-Sicherheit (Cyber Security) von Anwendungen und Software-Diensten (Penetrationstests, Greytest, Whitetest von Webanwendungen und mobile Applikationen verschiedener Betriebssysteme (insb. iOS, Android, Windows, MacOS))
• Unterstützung bei Abnahmetests
• Analyse und Bewertung von Sicherheitslücken der Lösungen mit IT-forensischen Methoden
• Beratung der Softwareentwickler bei der Behebung der Sicherheitslücken
• Beratung der Softwareentwickler bei der Behebung von Sicherheitsschwachstellen im Rahmen von PEN-Tests (=Außensicht) durch Einblicke in die Software-Architektur (=Innensicht)
Der Vertrag kann einseitig durch den Auftraggeber um weitere 15 Monate verlängert werden. Die Verlängerung
erfolgt schriftlich und mindestens einen Kalendermonat vor Ende der Vertragsgrundlaufzeit gegenüber dem
Auftragnehmer. Zu den Konditionen: siehe EVB-IT Dienstleistungsvertrag Nr. 4.1.3 sowie dessen Anlage 1 (Kap. 4.2 der Leistungsbeschreibung).
Abschnitt IV: Verfahren
Abschnitt V: Auftragsvergabe
Rolle IT-Security-Consulting (Los 1):
Ort: München
NUTS-Code: DE212 München, Kreisfreie Stadt
Land: Deutschland
Abschnitt V: Auftragsvergabe
Rolle Sicherheits-Testing (Los 2):
Ort: München
NUTS-Code: DE212 München, Kreisfreie Stadt
Land: Deutschland
Abschnitt VI: Weitere Angaben
Der angegebene Gesamtwert der Beschaffung bzw. der Wert des Auftrages/Loses entspricht nicht dem
tatsächlichen Wert der Beschaffung bzw. des Auftrages/Loses. Diese Wert wird gemäß Art. 50 Abs. 4 der
Richtlinie 2014/24/EU des Europäischen Parlaments und des Rates und § 39 Abs. 6 VgV nicht veröffentlicht,
da er unter anderem den geschäftlichen Interessen des erfolgreichen Bieters schadet und den lauteren
Wettbewerb zwischen den Unternehmen - insbesondere im Hinblick auf künftig vergleichbare Aufträge -
beeinträchtigen würde.
Postanschrift:[gelöscht]
Ort: München
Postleitzahl: 80538
Land: Deutschland
E-Mail: [gelöscht]
Telefon: [gelöscht]
Fax: [gelöscht]
Auf die bei Einreichung eines Nachprüfungsantrags bei der zuständigen Vergabekammer einzuhaltenden Fristen und Zulässigkeitsvoraussetzungen wird ausdrücklich hingewiesen. Der Bewerber/Bieter hat etwaige Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung oder den Vergabeunterlagen erkennbar sind, spätestens bis zum Ablauf der in dieser Bekanntmachung unter IV.2.2 genannten Frist gegenüber der Auftraggeberin (bei der oben unter I.1 benannten Kontaktstelle) zu rügen (§ 160 Abs. 3 S. 1 Nr. 2 und 3 GWB). Etwaige sonstige Verstöße gegen Vergabevorschriften haben Bewerber/Bieter innerhalb einer Frist von 10 Kalendertagen nach Kenntnisnahme gegenüber der Auftraggeberin (bei der oben unter I.1 benannten Kontaktstelle) zu rügen (§ 160 Abs. 3 S. 1 Nr. 1 GWB). Hilft die Auftraggeberin dem gerügten Verstoß gegen Vergabevorschriften nicht ab, kann der Bewerber/Bieter innerhalb einer Frist von 15 Kalendertagen nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, einen Antrag auf Einleitung eines vergaberechtlichen Nachprüfungsverfahrens stellen (§ 160 Abs. 3 S. 1 Nr. 4 GWB). Bei Nichteinhaltung der vorgenannten Fristen ist der Bewerber/Bieter mit seiner Rüge präkludiert und ein etwaiger darauf gestützter Nachprüfungsantrag unzulässig.
Für einen Antrag auf Feststellung der Unwirksamkeit nach § 135 GWB gelten die in § 135 Abs. 2 GWB
genannten Fristen. Danach endet die Frist zur Geltendmachung der Unwirksamkeit nach § 135 GWB 30
Kalendertage nach Veröffentlichung der Bekanntmachung der Auftragsvergabe im Amtsblatt der Europäischen
Union.