Cyberversicherung Referenznummer der Bekanntmachung: 2022/S 141-404573
Bekanntmachung vergebener Aufträge
Ergebnisse des Vergabeverfahrens
Dienstleistungen
Abschnitt I: Öffentlicher Auftraggeber
Ort: Frankfurt am Main
NUTS-Code: DE712 Frankfurt am Main, Kreisfreie Stadt
Land: Deutschland
Kontaktstelle(n):[gelöscht]
E-Mail: [gelöscht]
Internet-Adresse(n):
Hauptadresse: www.bahn-bkk.de
Abschnitt II: Gegenstand
Cyberversicherung
Gegenstand des Vertrages ist der Abschluss einer Cyber-Versicherung. Diese muss Haftpflichtansprüche, Eigenschäden, Verfahrensrechtsschutz, Cyber-Erpressung, Aufwendungen für Incident-Management-Experten einschließlich Sofortreaktionen und Krisenprävention nach den spezifischen Risikoverhältnissen einer Gesetzlichen Krankenversicherung mit Ihren besonders sensiblen (z.B. Gesundheits-)Daten absichern.
Der Versicherungsschutz muss für alle Standorte der BAHN-BKK in Deutschland gelten.
Die BAHN-BKK hat einen Cyber-Versicherungsvertrag mit der Allianz Global Corporate & Specialities (AGCS) abgeschlossen.
Dieser ist zwischen dem GKV-Spitzenverband und der Allianz speziell auf die Bedürfnisse von Krankenkassen ausgehandelt worden. Dieser Vertrag hat im Vergleich zu anderen Cyber-Versicherungsverträgen in Bezug auf die GKV spezifische Besonderheiten:
1. Für Haftpflichtansprüche und behördliche Verfahren gilt das Anspruchserhebungsprinzip (claims made). Maßgeblich ist, dass sie innerhalb der Versicherungsperiode oder in der vereinbarten Nachhaftungsfrist erstmalig geltend gemacht oder eingeleitet werden. Für Eigenschäden wird für Versicherungsfälle und/oder Schäden Versicherungsschutz geboten, die in der versicherten Periode festgestellt werden (Feststellungsprinzip) oder wenn in dieser Zeit ein versicherter Sachschaden entstanden ist.
2. Versichert sind insbesondere folgende Haftpflichtansprüche:
a. Ansprüche gegen Versicherte (versicherte Person und/oder versicherte Gesellschaft) wegen einer Informationssicherheitsverletzung (Datenschutz-, Vertraulichkeits- oder Netzwerksicherheitsverletzung wie z.B. die Infektion, Übermittlung von Schadstoffsoftware, DoS-Attacken) oder rechtswidriger digitaler Kommunikation.
b. Versicherungsschutz besteht auch für die Freistellung von externen Dienstleistern, sofern ihnen der Versicherte zur Freistellung verpflichtet ist und für Vertragsstrafen wegen der Verletzung von PCI-Datensicherheitsstandards, die durch einen E-Payment-Service-Providergeltend gemacht werden.
Versichert sind insbesondere folgende Eigenschäden:
c. BU-Schäden aufgrund von Netzwerksicherheitsverletzungen (Eindringen in Computersystem und unberechtigte/r Nutzung/Zugang oder unautorisierte Veränderung, Zerstörung, Löschung, Übertragung, Kopierung von Daten oder Beanspruchung der Ressourcen des Computersystems), fehlerhafter Bedienung,
unvorhergesehener technischer Probleme, Verfügung einer Datenschutzbehörde oder der Erfüllung einer gesetzlichen Verpflichtung aufgrund einer Datenschutz- oder Vertraulichkeitsverletzung; zu den erstattungspflichtigen fortlaufenden Kosten gehören auch Fälle des Annahmeverzugs im Hinblick auf bestehende Arbeitsverhältnisse (§ 615 BGB);
d. Wiederherstellungskosten für Informationssicherheitsverletzungen, fehlerhafte Bedienung oder unvorhergesehene technische Probleme einschließlich interner Kosten der GKV (z.B. Arbeitskosten, Overheadkosten);
e. Sachschaden an der IT-Hardware infolge einer Netzwerksicherheitsverletzung;
f. Systemverbesserung nach Netzwerksicherheitsverletzung;
g. Vermögensschaden infolge einer Netzwerksicherheitsverletzung ohne Mitwirkung eines Versicherten durch rechtsgrundlose Geldüberweisung oder irrtümliche und rechtsgrundlose Bezahlung durch Versicherte.
3. Versicherungsschutz für Verfahrensrechtsschutz besteht insbesondere für:
a. Abwehrkosten wegen eines behördlichen Verfahrens aufgrund einer Informationssicherheitsverletzung;
b. Abwehrkosten für eine interne Untersuchung wegen einer Datenschutz- oder Vertraulichkeitsverletzung, wenn diese von der Datenschutzbehörde verlangt wurde oder zur Vorbereitung oder im Anschluss einer Selbstanzeige geboten ist.
c. Hinterlegung von Geld in einem Consumer Regress Fund zur Entschädigung von Verbraucheransprüchen;
d. Geldbußen (Ordnungswidrigkeiten) wegen einer nicht vorsätzlichen Datenschutzverletzung soweit kein gesetzliches oder behördliches Versicherungsverbot besteht oder „ordre public“ ihm entgegen steht.
4. Versicherungsschutz für Cyber-Erpressung
5. Versicherungsschutz für Aufwendung von Incident-Management-Experten.
6. Versicherungsschutz für Sofortreaktion und Cyber-Krisenprävention.
7. Kein Ausschluss von Versicherungsfällen und/oder Schäden aufgrund von oder im Zusammenhang mit
Terrorakten.
Abschnitt IV: Verfahren
Abschnitt V: Auftragsvergabe
Cyber-Versicherung
Ort: München
NUTS-Code: DE Deutschland
Land: Deutschland
Abschnitt VI: Weitere Angaben
Ort: Bonn
Postleitzahl: 53123
Land: Deutschland
Angaben zu den Fristen für die Einlegung von Rechtsbehelfen:
§ 135 GWB
„(1) Ein öffentlicher Auftrag ist von Anfang an unwirksam, wenn der öffentliche Auftraggeber
1. gegen § 134 GWB verstoßen hat oder
2. den Auftrag ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Unionvergeben hat, ohne dass dies aufgrund Gesetzes gestattet ist, und dieser Verstoß in einem Nachprüfungsverfahren festgestellt worden ist.
(2) ...
(3) Die Unwirksamkeit nach Absatz 1 Nummer 2 tritt nicht ein, wenn
1. der öffentliche Auftraggeber der Ansicht ist, dass die Auftragsvergabe ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union zulässig ist,
2. der öffentliche Auftraggeber eine Bekanntmachung im Amtsblatt der Europäischen Union veröffentlicht hat, mit der er die Absicht bekundet, den Vertrag abzuschließen, und
3. der Vertrag nicht vor Ablauf einer Frist von mindestens 10 Kalendertagen, gerechnet ab dem Tag nach der Veröffentlichung dieser Bekanntmachung, abgeschlossen wurde.
Die Bekanntmachung nach Satz 1 Nummer 2 muss den Namen und die Kontaktdaten des öffentlichen Auftraggebers, die Beschreibung des Vertragsgegenstands, die Begründung der Entscheidung des Auftraggebers, den Auftrag ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union zu vergeben, und den Namen und die Kontaktdaten des Unternehmens, das den Zuschlag erhalten soll, umfassen.“
§ 168 GWB
„(2) Ein wirksam erteilter Zuschlag kann nicht aufgehoben werden. ...“.