Fachliche Unterstützung Operative (OT) Security für sicherheitskritische Bahnsysteme Referenznummer der Bekanntmachung: 22FEA59167
Auftragsbekanntmachung – Sektoren
Dienstleistungen
Abschnitt I: Auftraggeber
Postanschrift:[gelöscht]
Ort: Berlin
NUTS-Code: DE30 Berlin
Postleitzahl: 10785
Land: Deutschland
Kontaktstelle(n):[gelöscht]
E-Mail: [gelöscht]
Telefon: [gelöscht]
Fax: [gelöscht]
Internet-Adresse(n):
Hauptadresse: http://www.deutschebahn.com/bieterportal
Postanschrift:[gelöscht]
Ort: Frankfurt am Main
NUTS-Code: DE712 Frankfurt am Main, Kreisfreie Stadt
Postleitzahl: 60329
Land: Deutschland
Kontaktstelle(n):[gelöscht]
E-Mail: [gelöscht]
Telefon: [gelöscht]
Fax: [gelöscht]
Internet-Adresse(n):
Hauptadresse: http://www.deutschebahn.com/bieterportal
Abschnitt II: Gegenstand
Fachliche Unterstützung Operative (OT) Security für sicherheitskritische Bahnsysteme
Rahmenverträge zu technischen Beratungsleistungen zur fachlichen Unterstützung in Bezug zur OT-Security der Telekommunikation, Disposition und Leit- und Sicherungstechnik sowie sonstige Technologien im Umfeld es operativen Bahnbetriebs in zwei Losen.
Los 1 - Technische Beratungsleistungen zu IT/OT-Security, Netzwerk und Überwachung
Los 2 - Technische Beratungsleistungen zu OT-Security im bahnbetrieblichen Umfeld
Technische Beratungsleistungen zu IT/OT-Security Netzwerk und Überwachung
Der Rahmenvertragspartner unterstützt den Auftraggeber in Bezug zur OT-Security der Telekommunikation, Disposition und Leit- und Sicherungstechnik sowie sonstige Technologien im Umfeld es operativen Bahnbetriebs.
Dieses Los fasst Leistungen zusammen, bei denen der Schwerpunkt der Beratungsleistung und der erforderlichen Skills im IT-/OT-Infrastrukturbereich liegt, wie z.B.:
- Definition von Netzwerk-Architekturen für Standard-Security-Komponenten
- Design und Implementierung von Security-Infrastrukturen wie z.B. Firewalls, VPN, PKI
- Analyse von Bedrohungsszenarien im Rail-OT-Umfeld
- Erarbeiten von Use-Cases und Implementieren der Detektionsfunktionen im SOC (SIEM)
Verlängerungsoption 2x um jeweils 12 Monate
Nach Abschluss des Teilnahmewettbewerbs werden für Los 1 maximal 10 der zur Erbringung der Leistung geeigneten und zuverlässigen Bieter zur Angebotsabgabe aufgefordert.
Hinsichtlich der Bewertung der Teilnahmeanträge zur Auswahl unter mehr als zehn geeigneten Bewerbern erfolgt eine Bewertung des qualitativen und quantitativen Erfüllungsgrades des jeweiligen Kriteriums (siehe auch die Ziffern III.1.1 bis einschl. III.1.3) .
Hierbei werden Ausschluss- und Bewertungskriterien eingesetzt. Bewerber, die Ausschlusskriterien (Mindestanforderungen) nicht erfüllen, werden nicht weiter berücksichtigt. Für die Bewertungskriterien ist jeweils angegeben, anhand welcher Maßstäbe Punkte erreicht werden können, welche Höchstpunktzahl je Kriterium zu erreichen ist und mit welchem Gewichtungsfaktor die je Kriterium erreichten Punkte in die Gesamtsumme der Punkte eingehen.
Als geeignet werden nur Bewerber angesehen, die mindestens 40% der gewichteten Gesamtpunktzahl erreicht haben.
Die genaue Ausgestaltung der einzelnen Wertungskriterien sowie die jeweiligen zu erzielenden Punkte sind den Ausschreibungsunterlagen zu entnehmen.
Die geeigneten Bewerber mit dem besten, zweitbesten, drittbesten Ergebnis usw. werden zur Angebotsabgabe aufgefordert.
Vertraulichkeitsvereinbarung:
Für die Teilnahme an dieser Ausschreibung erhält der Bewerber als vertraulich gekennzeichnete Informationen (Anlage 1 zu C3.1 – Aufgabenstellung Los1) des Auftraggebers erst nach Übersendung der unterzeichneten Vertraulichkeitserklärung (Anlage B6) und nach Abschluss des Teilnahmewettbewerbs den ausgewählten, geeigneten und zuverlässigen Unternehmen zur Verfügung gestellt.
Technische Beratungsleistungen zu OT-Security im bahnbetrieblichen Umfeld
Dieses Los fasst Leistungen zusammen, bei denen der Schwerpunkt der Beratungsleistung in der Verbindung der bahnbetrieblichen Infrastruktur und Normenwelt mit den Anforderungen an IT-/OT-Security liegen, wie z.B.
- Durchführung von Bedrohungs- und Risikoanalysen auf Basis der im Bahnbereich re-levanten Normen, Gesetzen und Verordnungen
- Erstellung, Review sowie Pflege der Releases von Lastenheften, Planungsvorgaben und Pflichtenheften
- Sicherstellung der adäquaten Zertifizierung von einzusetzenden IT-Sicherheitskomponenten
- Erarbeitung realistischer Angriffsszenarien im Kontext der sicherheitskritischen Bahnsysteme (wie bspw. LST, GSM-R, ATO, TK) und Durchführung einer Risikoabwägung
- Unterstützung und Anleitung der Hersteller und Integratoren im Sinne der DB Netz AG in Normen, Regelwerken der DB und Standards im Bahnumfeld, sowie Sicherstellung der anteiligen Umsetzung dieser durch Hersteller und Integrator.
- Mitwirkung bzw. Unterstützung bei der Durchführung von DB Netz Freigaben oder EBA-Zulassungen
Verlängerungsoption 2x um jeweils 12 Monate
Nach Abschluss des Teilnahmewettbewerbs werden für Los 2 maximal 10 der zur Erbringung der Leistung geeigneten und zuverlässigen Bieter zur Angebotsabgabe aufgefordert.
Hinsichtlich der Bewertung der Teilnahmeanträge zur Auswahl unter mehr als zehn geeigneten Bewerbern erfolgt eine Bewertung des qualitativen und quantitativen Erfüllungsgrades des jeweiligen Kriteriums (siehe auch die Ziffern III.1.1 bis einschl. III.1.3) .
Hierbei werden Ausschluss- und Bewertungskriterien eingesetzt. Bewerber, die Ausschlusskriterien (Mindestanforderungen) nicht erfüllen, werden nicht weiter berücksichtigt. Für die Bewertungskriterien ist jeweils angegeben, anhand welcher Maßstäbe Punkte erreicht werden können, welche Höchstpunktzahl je Kriterium zu erreichen ist und mit welchem Gewichtungsfaktor die je Kriterium erreichten Punkte in die Gesamtsumme der Punkte eingehen.
Als geeignet werden nur Bewerber angesehen, die mindestens 40% der gewichteten Gesamtpunktzahl erreicht haben.
Die genaue Ausgestaltung der einzelnen Wertungskriterien sowie die jeweiligen zu erzielenden Punkte sind den Ausschreibungsunterlagen zu entnehmen.
Die geeigneten Bewerber mit dem besten, zweitbesten, drittbesten Ergebnis usw. werden zur Angebotsabgabe aufgefordert.
Vertraulichkeitsvereinbarung:
Für die Teilnahme an dieser Ausschreibung erhält der Bewerber als vertraulich gekennzeichnete Informationen (Anlage 1 zu C3.2 – Aufgabenstellung Los2) des Auftraggebers erst nach Übersendung der unterzeichneten Vertraulichkeitserklärung (Anlage B6) und nach Abschluss des Teilnahmewettbewerbs den ausgewählten, geeigneten und zuverlässigen Unternehmen zur Verfügung gestellt.
Abschnitt III: Rechtliche, wirtschaftliche, finanzielle und technische Angaben
In beiden Losen werden zwei Arten von Kriterien abgefragt:
1. K.O.-Kriterien: Werden ein oder mehrere K.O.-Kriterien nicht erfüllt, dann führt dies zum Ausschluss des Bieters vom weiteren Verfahren.
2. Mischkriterien „K.O. + Bewertung“: Hierbei handelt es sich um Bewertungskriterien nach einem Punktesystem in Verbindung mit einer Mindestanforderung, welche der Bieter erfüllen muss. In den Eignungen 5 und 6 ist zusätzlich die Erreichung einer Mindestpunktzahl gegeben, andernfalls erfolgt „K.O.“ dieser Eignungen.
für Lose 1 und 2:
Bieter, die im Teilnahmewettbewerb nicht min. eine Bewertung von 40% der Mischkriterien „K.O. + Bewertung“ zur Eignung erreichen, werden vom weiteren Verfahren ausgeschlossen. Die Nicht-Erfüllung eines KO-Kriteriums führt ebenfalls zum Ausschluss.
Die detaillierten Beschreibungen der Kriterien, die zu erreichenden Gesamt- und Mindestpunktzahlen und detaillierten Rollenbeschreibungen finden sich in den Unterlagen des Teilnahmewettbewerbs (Anhang B1a - Eignungsmatrix - Los 1 bzw. Anhang B1b - Eignungsmatrix - Los 2 und deren jeweiligen Anlagen).
Eignung 1 (KO-Kriterium):
Vollständig ausgefüllte und unterschriebene „Bietereigenerklärung“ mit folgenden
Punkten 1 bis 16
1) Erklärung, dass kein Insolvenz- oder Sanierungsverfahren oder vergleichbares gesetzliches Verfahren eröffnet ist und die Eröffnung auch nicht beantragt oder mangels Masse abgelehnt worden ist.
2) Erklärung, dass sich der Bewerber nicht in Liquidation befindet.
3) Erklärung, ob berufliche Verfehlungen vorliegen, die im Gewerbezentralregister eingetragen sind. Darüber hinaus erklärt er, ob derzeit ein Verfahren anhängig ist, das zu einer solchen Eintragung führen kann.
4) Erklärung, dass das Gewerbe ordnungsgemäß angemeldet ist und – sofern nach Maßgabe der Vorschriften des HGB oder des jeweiligen Herkunftslandes eintragungspflichtig – im Handelsregister eingetragen ist.
5) Erklärung, dass das Unternehmen auf keiner Sanktionsliste aufgrund einer EU-Verordnung oder aufgrund sonstiger anwendbarer nationaler, europäischer oder internationaler Embargo- und Außenwirtschaftsvorschriften geführt wird und keinen sonstigen wirtschaftlichen Sanktionsmaßnahmen unterliegt sowie weitere Erklärungen im Zusammenhang mit restriktiven Maßnahmen angesichts der Handlungen Russlands in der Ukraine
6) Erklärung, dass das Unternehmen bei der Ausführung öffentlicher Aufträge nicht gegen geltende umwelt- sozial oder arbeitsrechtliche Verpflichtungen verstoßen hat
7) Erklärung, dass das Unternehmen seine Verpflichtung zur Zahlung von Steuer und Abgaben nach den Rechtsvorschriften des Staates, in dem er ansässig ist, oder nach den Rechtsvorschriften des Staates des Auftraggebers erfüllt hat.
8) Erklärung zur kartellrechtlichen Compliance und Korruptionsprävention
9) Erklärung, dass bei der Ausführung eines früheren Auftrags oder Konzessionsvertrags bei der Deutsche Bahn AG oder einem mit ihr gemäß §§ 15 ff. AktG verbundenen Unternehmen keine wesentliche Anforderung erheblich oder fortdauernd mangelhaft erfüllt wurde.
10) Erklärung zu §§122-124 GWB
11) Erklärung zu Nicht-Beeinflussung eines Vergabeverfahrens
12) Erklärung zu schweren Verfehlungen
13) Erklärung zu Kenntnis über Verurteilungen/Geldbußen
14) Erklärung zum DB Verhaltenskodex für Geschäftspartner
15) Erklärung zu Tarifbestimmungen und Mindestlohn
16) Erklärung zu Verpflichtung von Nachunternehmern zur Einhaltung von Tarifbestimmungen
für Lose 1 UND 2:
Eignung 2 (KO-Kriterium):
Der Bewerber hat das Dokument Lieferantenselbstauskunft soweit für ihn zutreffend vollständig auszufüllen und mit den Bewerbungsunterlagen einzureichen. Die mit der Lieferantenselbstauskunft abgefragten Informationen zur wirtschaftlichen und finanziellen Leistungsfähigkeit des Bewerbers enthalten keine Mindestanforderungen, die bei Nichterreichung automatisch zum Ausschluss des Bewerbers führen würden. Der Auftraggeber behält sich jedoch vor, Bewerber von der Vergabe auszuschließen, für die nach den angegeben Umsatzzahlen und sonstigen Informationen aus der Bieterselbstauskunft die Prognose gerechtfertigt ist, dass das Unternehmen nicht über die für die Ausführung des Auftrags notwendige finanzielle und wirtschaftliche Leistungsfähigkeit verfügt.
für Lose 1 UND 2:
Eignung 3 (KO-Kriterium):
Fristgereichte Einreichung des Teilnahmeantrages
für Lose 1 UND 2:
Eignung 4 (KO-Kriterium)
Die Vertraulichkeitserklärung wurde vollständig ausgefüllt und unterzeichnet dem Teilnahmeantrag beigefügt.
für Lose 1 UND 2:
Eignung 5 (K.O. + Bewertungskriterium)
Referenzen Projekterfahrung mit KRITIS-Bezug.
Der Bewerber weist seine Erfahrungen in Beratungsprojekten mit KRITIS-Bezug anhand von max. 3 Referenzen nach.
Hierbei ist eine Mindestpunkterreichung notwendig, andernfalls erfolgt K.O.
Zu den folgenden Eignungskriterien (6 bis 9) wird Bezug auf einzelne Rollen in den jeweiligen Losen genommen, welche hier auszugsweise dargestellt werden:
Rolleneigenschaften Los1:
1.) Technischer Berater IT-/OT-Security Schwerpunkt SIEM:
- Erarbeitung realistischer Angriffsszenarien/Bedrohungsanalysen im Kontext sicherheitskritischer Bahnsysteme
- Erarbeitung von SIEM Use-Cases und Integration dieser in ein Security Operations Center (SOC)
- Umsetzung von SOC-Architekturen
2.) Technischer Berater IT-/OT-Security Schwerpunkt Netzwerkarchitektur:
- Beteiligung an der Erstellung von Bedrohungsanalysen
- Definition von Vorgaben zur Entwicklung und Aufbau von IT-Security Systemen
- Erstellung von Testkonzepten für IT/OT-Security Komponenten im Kontext des Gesamtsystems
3.) Technischer Berater IT-/OT-Security, Schwerpunkt Systemarchitektur:
- Umsetzung der Erkenntnisse aus Bedrohungsanalyse in geeign. Architekturkonzepte
- Definition von Vorgaben zur Entwicklung und Bau von IT-Sec. Systemen
- Konzeption, Planung u. Umsetzung von SOC Architekturen
Rolleneigenschaften Los 2:
1.) Technischer Berater OT im Rail-Umfeld
- Durchführung. v. Bedrohungs- und Risikoanalysen auf Basis IEC 62443 bzw. interner Vorgaben
- Erstellen und Überarbeiten von IT-Sicherheitskonzepten und Architekturen für OT-Security
- Erstellung, Review sowie Pflege der Releases von Lastenheften, Planungsvorgaben und Pflichtenheften
- Sicherstellung der adäquaten Sicherheits-Zertifizierung von einzusetzenden Komponenten
- Mitwirkung bzw. Unterstützung bei der Durchführung von DB Netz Freigaben oder EBA-Zulassungen
Los 1:
Eignung 6 (K.O. + Bewertungskriterium)
Referenzen Projekterfahrung in IT-/OT-Security Projekten mit Rollenbezug
Der Bewerber weist seine Erfahrungen in Beratungsprojekten mit Rollenbezug gemäß der Anlage 1 zu B1a – Rollenbeschreibungen Los 1 nach.
Hierbei ist eine Mindestpunkterreichung notwendig, andernfalls erfolgt K.O.
Los 2:
Eignung 6 (K.O. + Bewertungskriterium)
Referenzen Projekterfahrung in OT-Security Projekten mit Rollenbezug
Der Bewerber weist seine Erfahrungen in Beratungsprojekten mit Rollenbezug gemäß der Anlage 1 zu B1b – Rollenbeschreibungen Los 2 nach .
Hierbei ist eine Mindestpunkterreichung notwendig, andernfalls erfolgt K.O.
Los 1:
Eignung 7 (K.O. + Bewertungskriterium)
Personalkapazität Technischer Berater IT/OT-Security – Schwerpunkt SIEM
Der Bewerber gibt an, wie viele o.g. Berater gemäß der Anlage 1 zu B1a – Rollenbeschreibungen Los 1 zu seinem „festen Personalstamm“ zählen.
Hierbei ist eine Mindestpunkterreichung notwendig, andernfalls erfolgt K.O.
Los 2:
Eignung 7 (K.O. + Bewertungskriterium)
Personalkapazität Technischer Berater OT-Security im Railumfeld
Der Bewerber gibt an, wie viele o.g. Berater gemäß der Anlage 1 zu B1b – Rollenbeschreibungen Los 2 zu seinem „festen Personalstamm“ zählen.
Hierbei ist eine Mindestpunkterreichung notwendig, andernfalls erfolgt K.O.
Los 1:
Eignung 8 (K.O. + Bewertungskriterium)
Personalkapazität Technischer Berater IT/OT-Security – Schwerpunkt Netzwerkarchitektur
Der Bewerber gibt an, wie viele o.g. Berater gemäß der Anlage 1 zu B1a – Rollenbeschreibungen Los 1 zu seinem „festen Personalstamm“ zählen.
Hierbei ist eine Mindestpunkterreichung notwendig, andernfalls erfolgt K.O.
Los 1:
Eignung 9 (K.O. + Bewertungskriterium)
Personalkapazität Technischer Berater IT/OT-Security – Schwerpunkt Systemarchitektur
Der Bewerber gibt an, wie viele o.g. Berater gemäß der Anlage 1 zu B1a – Rollenbeschreibungen Los 1 zu seinem „festen Personalstamm“ zählen.
Hierbei ist eine Mindestpunkterreichung notwendig, andernfalls erfolgt K.O.
Die fällige Vergütung ist 21 Kalendertage unter Abzug von 3 % Skonto oder 30 Tage netto nach Eingang der prüffähigen Rechnung bei der Rechnungsempfangsstelle des Auftraggebers zu zahlen.
Abschnitt IV: Verfahren
Abschnitt VI: Weitere Angaben
1. Die Vergabe läuft über das Vergabeportal der Deutsche(n) Bahn AG (http://www.deutschebahn.com/bieterportal). Dort finden Sie sämtliche Dokumente. Zur Abgabe eines Teilnahmeantrags und eventuell eines Angebots ist die Registrierung unter Angabe der Vergabenummer (Hinweis auf EU –Vergabe) im Vergabeportal der Deutsche(n) Bahn AG notwendig. Für technischen oder methodischen Fragen zum Vergabeportal der Deutsche(n) Bahn AG steht die Bieterhotline [gelöscht]) Mo.-Fr. in der Zeit von 8 bis 16 Uhr zur Verfügung.
2. Soweit der Bewerber bzgl. einzelner Bereiche, für die er ggf. im späteren Verlauf ein Angebot abgeben möchte, nicht über die dazu erforderliche Leistungsfähigkeit und/oder Fachkunde verfügt, kann er sich gemäß § 47 Abs. 1SektVO auf andere Unternehmen berufen. Bewerber, die sich zum Nachweis ihrer Eignung gem. § 47 Abs. 1 SektVO auf die Kapazitäten anderer Unternehmen (Nachunternehmer) stützen, müssen diese Drittunternehmen im Teilnahmeantrag verbindlich benennen und durch eine entsprechende Verpflichtungserklärung des Drittunternehmens nachweisen, dass ihnen im Falle der Zuschlagserteilung die Mittel zur Verfügung stehen, die für die Erfüllung des Auftrags erforderlich sind.
Der Auftraggeber behält sich vor, im Laufe des Vergabeverfahrens eine Aktualisierung der Verpflichtungserklärungen zu verlangen.
Der Auftraggeber überprüft auch bei den benannten Drittunternehmen, ob Ausschlusskriterien nach §§ 123, 124GWB vorliegen und behält sich vor, die Vorlage von weiteren Eignungsnachweisen zu fordern.
Für Nachunternehmer, die nicht zum Eignungsnachweis nach §. 47 Abs. 1SektVO benannt wurden, gilt folgendes:
Der Auftraggeber behält sich vor, im Laufe des Vergabeverfahrens die Vorlage von Eignungsnachweisen für diese Nachunternehmer zu fordern.
Im Falle eines Austauschs solcher Nachunternehmer behält sich der AG eine erneute Prüfung der Eignung vor.
3. Der Bewerber ist zur vertraulichen Behandlung der gesamten Vergabeunterlagen verpflichtet und hat seine Mitarbeiter sowie sonstige mit der Prüfung/Bearbeitung der Vergabeunterlagen betraute Dritte entsprechend zur Vertraulichkeit zu verpflichten.
4. Corona-Virus: Der Auftraggeber behält sich vor, wegen möglicher Undurchführbarkeit der hier ausgeschriebenen Leistungen wegen Einschränkungen aufgrund der Corona-Pandemie den Zuschlag nicht zu erteilen/das Vergabeverfahren aufzuheben bzw. einzustellen. Hinweis des Auftraggebers: Angebote müssen weiterhin verbindlich sein und Vergabeunterlagen entsprechen. Von den Vergabeunterlagen abweichende Angebote oder Angebote mit Vorbehalten, z.B. bei Terminen, müssen ausgeschlossen werden.
Von entsprechenden Erklärungen bitten wir daher abzusehen.
5. Wir weisen darauf hin, dass die VO (EU) 2022/576 zur Änderung der VO (EU) Nr. 833/2014 Anwendung findet und Unternehmen, die den Sanktionsmaßnahmen in Art. 5k der VO (EU) 2022/576 unterfallen, aus dem Vergabeverfahren ausgeschlossen werden.
7. Der Auftraggeber behält sich vor, strukturierte Angebotsverhandlungen (virtuelle Verhandlungsverfahren) durchzuführen. Die Vergabestelle wird dem Bieterkreis hierzu rechtzeitig nähere Informationen zur Verfügung stellen. Grundsätzliche Informationen zum Ablauf strukturierter Angebotsverhandlungen können darüber hinaus dem Basiskommunikationspapier (Anhang B8) entnommen werden.
8. Aus den zu schließenden Rahmenvereinbarungen abrufberechtigt ist die Deutsche Bahn AG und die mit ihr verbundenen Konzernunternehmen.
Postanschrift:[gelöscht]
Ort: Bonn
Postleitzahl: 53123
Land: Deutschland
Ein Nachprüfungsantrag ist unzulässig, soweit mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind (§ 160 Abs. 3, Satz 1, Nr. 4 GWB). Ein Nachprüfungsantrag ist zudem unzulässig, soweit der Antrag erst nach Zuschlagserteilung zugestellt wird (§ 168 Abs. 2, Satz 1 GWB). Die Zuschlagserteilung ist möglich 10 Tage nach Absendung der Bekanntgabe der Vergabeentscheidung per Fax oder auf elektronischem Weg bzw. 15 Tage nach Absendung der Bekanntgabe der Vergabeentscheidung per Post (§ 134 Abs. 2 GWB). Die Zulässigkeit eines Nachprüfungsantrags setzt ferner voraus, dass die geltend gemachten Vergabeverstöße innerhalb von 10 Kalendertagen nach Kenntnis bzw. – soweit die Vergabeverstöße aus der Bekanntmachung oder den Vergabeunterlagen erkennbar sind – bis zum Ablauf der Teilnahme- bzw. Angebotsfrist gerügt wurden (§ 160 Abs. 3, Satz 1, Nr. 1 bis 3 GWB). Des Weiteren wird auf die in § 135 Abs. 2 GWB genannten Fristen verwiesen.