Informationssicherheitsberatungsdienstleistungen 2022 Referenznummer der Bekanntmachung: ekom21-2022-0011
Auftragsbekanntmachung
Dienstleistungen
Abschnitt I: Öffentlicher Auftraggeber
Postanschrift:[gelöscht]
Ort: Gießen
NUTS-Code: DE72 Gießen
Postleitzahl: 35398
Land: Deutschland
Kontaktstelle(n):[gelöscht]
E-Mail: [gelöscht]
Fax: [gelöscht]
Internet-Adresse(n):
Hauptadresse: www.ekom21.de
Adresse des Beschafferprofils: www.ekom21.de
Postanschrift:[gelöscht]
Ort: Kassel
NUTS-Code: DE731 Kassel, Kreisfreie Stadt
Postleitzahl: 34134
Land: Deutschland
E-Mail: [gelöscht]
Fax: [gelöscht]
Internet-Adresse(n):
Hauptadresse: www.ekom21.de
Abschnitt II: Gegenstand
Informationssicherheitsberatungsdienstleistungen 2022
Die ekom21 - Kommunales Gebietsrechenzentrum Hessen ist eine Körperschaft des öffentlichen Rechts nach dem Hessischen Datenverarbeitungsverbundgesetz (DV-VerbundG). Sie ist zentraler IT-Dienstleister für die hessischen Kommunen und ihre Einrichtungen. Von den Standorten in Gießen, Darmstadt und Kassel versorgt sie Ihre Endkunden umfassend mit modernen Informations- und Kommunikationsdienstleistungen (IuK) aller Art.
Zu den rund 500 Mitgliedern in Hessen und weiteren Kunden bundesweit gehören ca. 29.000 Endanwender aus Kommunalverwaltungen und anderen öffentlichen Einrichtungen, wie z. B. Landkreise, Städte, Gemeinden, kommunale Eigenbetriebe, Zweckverbände, Anstalten, Krankenhäuser und Heime. Im staatlichen Bereich betreut die ekom21 zahlreiche Landesverbände, Ministerien und Regierungspräsidien. Insgesamt erbringt die ekom21 damit Services für sechs Millionen Bürger.
Das Aufgabenspektrum der ekom21 wächst und verändert sich kontinuierlich, womit eine stetige Zunahme der Mitarbeiterzahlen einhergeht. Aktuell beschäftigt die ekom21 rund 720 Mitarbeiter/innen.
Als gemeinsame Sicherheitsoffensive des Landes Hessen, der kommunalen Spitzenverbände Hessens und der ekom21 wurde das Kommunale Dienstleistungszentrum Cybersicherheit, kurz KDLZ-CS, 2016 ins Leben gerufen. Das KDLZ-CS stellt seine Dienstleistungen den hessischen Kommunen zur Verfügung. Das KDLZ-CS unterstützt Landkreise, Städte und Gemeinden auf Augenhöhe mit dem Ziel die Informationssicherheit im Land Hessen kontinuierlich zu verbessern.
Hessen
Ziel des Vergabeverfahrens ist der Abschluss einer Rahmenvereinbarung mit einem Wirtschaftsteilnehmer. Die Rahmenvereinbarung soll - ohne Begründung einer Abnahmeverpflichtung - den bedarfsgerechten Abruf von Informationssicherheitsberatungsdienstleistungen ermöglichen.
Bezugsberechtigte sind neben der ekom21 Verbandsmitglieder, die Landkreise, Städte, Gemeinden, Verwaltungsgemeinschaften und Zweckverbände im Bundesland Hessen und jeweils einschließlich ihrer rechtlich selbständigen und unselbständigen Einrichtungen und Zusammenschlüsse und anderen Formen der Zusammenarbeit.
Der Ausschreibungsgegenstand umfasst folgende Dienstleistungen:
• Beratung zum Thema Informationssicherheit nach BSI-Grundschutz und BSI-KritisV
• Durchführung von Bestandsaufnahmen beim Kunden
• Entwicklung und Präsentation von Maßnahmenempfehlungen
• Erstellung eines Berichts mit Maßnahmenempfehlungen
• Entwicklung, Präsentation und Dokumentation von Sicherheitskonzepten
• Durchführung von Audits
• Vorbereitung, Durchführung und Auswertung von Pentests (Hardware, Software, Netzwerke)
• regelmäßiger Austausch mit Projektleitung des KDLZ-CS
Die durchzuführenden Dienstleistungen ausschließlich von eigenen Mitarbeitenden des Auftragnehmers durchzuführen, der Einsatz von Nachunternehmern und/ oder externen Fachkräften ist nicht zulässig.
Über die Regelaufzeit der Rahmenvereinbarung (vgl. Abschnitt II.2.7) der Bekanntmachung) veranschlagt der Auftraggeber eine Abnahmemenge von ca. 150 Personentage im Jahr für Senior Berater und ca. 40 Personentage im Jahr für Junior Berater. Der veranschlagte Gesamtwert basiert auf den Erfahrungen der letzten Jahre einschließlich geschätzter Mehrbedarfe.
Näheres ist den Vergabeunterlagen zu entnehmen.
Der AG kann vom AN trotz formaler Beendigung der Rahmenvereinbarung verlangen, dass dieser seine Leistungen gemäß der Rahmenvereinbarung für eine bis zu zwölf (12) monatige Übergangszeit ganz oder in Teilen weiter erbringt (Fortsetzungsoption). Die Option ist gegenüber dem AN mindestens in Textform zu erklären und hat die beabsichtigte Übergangszeit anzugeben. Während des Übergangszeitraums gelten die Bestimmungen der Rahmenvereinbarung einschließlich der Regelungen zur Vergütung fort.
Die Rahmenvereinbarung enthält Regelungen,
— die Angaben zu Art, Umfang und Voraussetzungen möglicher Auftragsänderungen enthalten, insbesondere einem einseitigen Erweiterungsrecht als Mehrbedarf bis zu 20 % des veranschlagten Gesamtwerts,
— die dem Auftraggeber ein ordentliches Kündigungsrecht zum Ende eines jedes Kalenderjahres,
— zur Verlängerung der Rahmenvereinbarung (Fortsetzungsoption); vgl. dazu auch Abschnitt II.2.7) der Bekanntmachung.
Näheres ist den Vergabeunterlagen zu entnehmen.
Abschnitt III: Rechtliche, wirtschaftliche, finanzielle und technische Angaben
1. Eigenerklärung des Unternehmens über die Befähigung und Erlaubnis zur Berufsausübung (§ 44 VgV),
2. Eigenerklärung des Unternehmens zu Ausschlussgründen (insbes. zu §§ 123, 124 GWB), den besonderen Auftragsbedingungen sowie den Abschlusserklärungen.
Zu den geforderten Nachweisen werden für alle geforderten Erklärungen Erfassungsformulare zur Verfügung gestellt, die unter Beachtung der Ausfüllhinweise zu verwenden sind.
Geforderte Eignungsnachweise (gem. §§ 122 ff. GWB, §§ 42 ff. VgV), die in Form anerkannter Präqualifikationsnachweise (u. a. HPQR) vorliegen, werden zugelassen und anerkannt, wenn die Präqualifikationsnachweise in Form und Inhalt den geforderten Eignungsnachweisen entsprechen.
1. Eigenerklärung zum Unternehmen mit aussagekräftiger Darstellung des Unternehmens insbesondere im Hinblick auf den ausgeschriebenen Auftrag (Kenndaten und Kennzahlen, aktuelle Geschäftsbereiche,Tätigkeitsfelder und Marktpositionierung etc.).
2. Erklärung des Unternehmens, dass für den Fall des Zuschlags eine Berufs- oder Betriebshaftpflichtversicherung mit den aufgestellten Mindeststandards für die
Dauer der Vertragslaufzeit abgeschlossen wird bzw. - falls bereits vorhanden - eine solche besteht und für die Dauer der Auftragsausführung aufrechterhalten wird.
3. Erklärung über den Gesamtumsatz des Unternehmens sowie den Umsatz im Tätigkeitsbereich des ausgeschriebenen Auftrags, jeweils bezogen auf die letzten
3 Geschäftsjahre.
Zu den geforderten Nachweisen werden für alle geforderten Erklärungen Erfassungsformulare zur Verfügung gestellt, die unter Beachtung der Ausfüllhinweise zu verwenden sind.
Geforderte Eignungsnachweise (gem. §§ 122 ff. GWB, §§ 42 ff. VgV), die in Form anerkannter Präqualifikationsnachweise (u. a. HPQR) vorliegen, werden zugelassen und anerkannt, wenn die Präqualifikationsnachweise in Form und Inhalt den geforderten Eignungsnachweisen entsprechen.
Zu III.1.2.1) Aufgrund der mitgeteilten Informationen (Kenndaten und Kennzahlen, aktuelle Geschäftsbereiche,Tätigkeitsfelder und Marktpositionierung etc.) darf kein Anlass zu Zweifeln bestehen, dass das Unternehmen in der Lage ist, den ausgeschriebenen Auftrag ordnungsgemäß ausführen zu können.
Aus dem Erfassungsformular müssen sich folgende Mindestanforderungen ergeben:
-Anzahl bereits durchgeführter Informationssicherheitsberatungs-projekte in den letzten zwei Jahren (mind. 500 Projekte)
-Anzahl bereits durchgeführter Pentest-Projekte in den letzten zwei Jahren (mind. 200 Projekte)
-Anzahl der aktuellen Kunden aus dem Feld kritischer Infrastrukturen aufgeschlüsselt nach Sektoren (mind. 150 Kunde sektorenübergreifend)
Zu III.1.2.2) - Eigenerklärung zur Berufs- oder Betriebshaftpflichtversicherung:
Gefordert ist eine marktübliche Berufs- oder Betriebshaftpflichtversicherung bei einem in der Europäischen Union zugelassenen Versicherer durch die je Schadensfall Versicherungsschutz in Höhe von mindestens jeweils:
— [Betrag gelöscht] EUR für Personenschäden und
— [Betrag gelöscht] EUR für Sachschäden und
— [Betrag gelöscht] EUR für Vermögensschäden.
Die sonstigen Bedingungen des Versicherungsschutzes müssen den allgemeinen Bedingungen innerhalb des Großkunden- und Konzerngeschäfts der in der Europäischen Union zugelassenen Versicherer entsprechen. Die Haftpflichtversicherung muss für die gesamte Dauer der späteren Vertragsausführung aufrechterhalten werden.
Bescheinigungen über die Versicherung, z. B. in Form der Versicherungspolice oder einer schriftlichen Bestätigung der Versicherung, dürfen nicht älter als sechs Monate sein. Soweit sich aus der Versicherungspolice oder der schriftlichen Bestätigung der Versicherung erkennen lässt, dass der Bieter über eine gültige und ungekündigte Berufs- oder Betriebshaftpflichtversicherung, die die geforderten Mindeststandards erfüllt, verfügt, dürfen diese Dokumente älter als sechs Monate sein. Bescheinigungen in anderer als deutscher Sprache müssen in einer Übersetzung in das Deutsche vorgelegt werden. Der Bewerber steht für die Richtigkeit der Übersetzung ein. Werden diese Bedingungen nicht erfüllt, führt dies zwingend zum Ausschluss aus dem Vergabeverfahren.
Technische und berufliche Leistungsfähigkeit
Auflistung und kurze Beschreibung der Eignungskriterien:
1. Eigenerklärung aus der die durchschnittliche jährliche Anzahl der fest angestellten Beschäftigten des Unternehmens in den letzten 3 Jahren ersichtlich ist [Eigenerklärung zur Personenkennzahlen].
2. Erklärung zu geeigneten Referenzleistungen über früher ausgeführte Liefer- und Dienstleistungen die mit Bezug auf die ausgeschriebenen Leistungen Aufschluss über die technische und berufliche Leistungsfähigkeit geben [Eigenerklärung Referenzleistungen] mit. Zu jeder Referenz müssen mindestens folgende Angaben gemacht werden:
— Kurzbezeichnung der Referenz,
— vollständiger Name einschließlich Postadresse und Kontaktdaten des Auftraggebers (=Referenzauftraggeber),
— Auftragswert,
— öffentlicher oder privater Auftraggeber,
— Leistungszeitraum (Liefer- bzw. Erbringungszeitpunkt),
— termingerechter Projektabschluss,
— Beschreibung des Leistungsanteils des Ausführenden am Referenzprojekt in Prozent,
— Stellung des Ausführenden im Referenzprojekt (Alleinunternehmer, Generalunternehmer, Ressourcengeber, Mitglied einer Bietergemeinschaft,
— Anzahl der für den Bewerber im Rahmen des Projektes tätigen Personen.
Aus der Beschreibung der Referenz muss klar erkennbar sein, welche Leistungen der Bewerber, was Mitglied einer Bewerbergemeinschaft oder ein Dritter, auf dessen technische und berufliche Leistungsfähigkeit abgestellt wird, selbst durchgeführt hat. Die bloße untergeordnete Mitwirkung bzw. die Überwachung eines Referenzprojekts sind hierbei nicht ausreichend. Die vorzulegenden Referenzen müssen eindeutig demjenigen Unternehmen als Auftragnehmer/Durchführungsverantwortlichen zugeordnet werden können, der sie zum Nachweis seiner technischen und beruflichen Leistungsfähigkeit mit dem Angebot vorlegt.
Die Einreichung einer Bescheinigung des Referenzauftraggebers ist nicht erforderlich. Der Auftraggeber behält sich aber die Überprüfung der gemachten Angaben bei Referenzauftraggebern sowie eigene Ermittlungen vor, deren Ergebnisse Berücksichtigung im Rahmen der Eignungsprüfung berücksichtigt werden.
Zu den geforderten Nachweisen werden für alle geforderten Erklärungen Erfassungsformulare zur Verfügung gestellt, die unter Beachtung der Ausfüllhinweise zu verwenden sind.
Geforderte Eignungsnachweise (gem. §§ 122 ff. GWB, §§ 42 ff. VgV), die in Form anerkannter Präqualifikationsnachweise (u. a. HPQR) vorliegen, werden zugelassen und anerkannt, wenn die Präqualifikationsnachweise in Form und Inhalt den geforderten Eignungsnachweisen entsprechen.
3. Eigenerklärung zum Datenschutz und zur IT-Security aus der ersichtlich ist, welche Maßnahmen zum Datenschutz und zur IT-Security im Unternehmen für den ausschreibungsrelevanten Bereich angewendet werden [Erfassungsformular - Erklärung zu Datenschutz und IT-Security].
Die weiteren Einzelheiten zu den Bedingungen und Anforderungen sind den Vergabeunterlagen zu entnehmen.
Zu III.1.3.1) - Eigenerklärung Gesamtbeschäftigtenzahl:
Gefordert sind je anzugebenden Jahr mindestens 1000 festangestellt Beschäftigte, davon mindestens 25 Berater, die für das die Thematik Informationssicherheit fest angestellt sind, sowie die Eigenerklärung des Bewerbers zu ausreichenden Deutschkenntnissen beim Projekt- und Fachpersonal, das in Kontakt mit dem Auftraggeber tritt.
Zu III.1.3.2) - Eigenerklärung Referenzleistungen:
Es sind mindestens 3 Referenzleistungen einzureichen. Diese müssen dem Auftragsgegenstand in Bezug auf die genannten Bereiche nahekommen oder ähneln. Das Ende des Leistungszeitraums darf nicht vor dem 1.1.2018 liegen.
Es wird darauf hingewiesen, dass die Bieter, die erforderlichen Verpflichtungserklärungen zur Tariftreue und zum Mindestentgelt nach dem Hessischen Vergabe- und Tariftreuegesetz (HVTG) vom 12.07.2021, (GVBl. S.338) mit dem Angebot einzureichen haben. Die Verpflichtungserklärung bezieht sich nicht auf Beschäftigte, die bei einem Bieter im EU-Ausland beschäftigt sind und die Leistung im EU-Ausland erbringen.
Zu den geforderten Nachweisen werden für alle geforderten Erklärungen Erfassungsformulare zur Verfügung gestellt, die unter Beachtung der Ausfüllhinweise zu verwenden sind.
Abschnitt IV: Verfahren
Der Auftraggeber behält sich vor, die Rahmenvereinbarung für bis zu zwölf (12) Monate nach ihrem formalen Ende zu verlängern, um einen geordneten Übergang auf einen Nachfolgedienstleister sicherzustellen. Während des Übergangszeitraums gelten die Vertragsbestimmungen einschließlich der Regelungen zur Vergütung fort.
entfällt
Abschnitt VI: Weitere Angaben
1. Bieterfragen können längstens bis zum 20.10.2022, 10.00 Uhr, gestellt werden.
2. Alle in der Bekanntmachung oder in der Vergabeunterlage geforderten Unterlagen (Nachweise, Erklärungen und sonstige Dokumente) müssen — soweit bei dem betreffenden Nachweis nicht ausdrücklich anders angegeben — fristgerecht und in der vorgegebenen Form — z. B. unter Verwendung der Erfassungsformulare — mit dem Angebot eingereicht werden.
3. Zusätzlich zu den in der Vergabebekanntmachung getroffenen Vorgaben gelten die für dieses Vergabeverfahren aufgestellten Bewerbungsbedingungen, die Teil der elektronisch bereitgestellten Vergabeunterlagen sind.
4. Näheres ist den Vergabeunterlagen zu entnehmen.
Postanschrift:[gelöscht]
Ort: Darmstadt
Postleitzahl: 64295
Land: Deutschland
Telefon: [gelöscht]
Fax: [gelöscht]
Hinsichtlich der Fristen zur Einlegung von Rechtsbehelfen wird auf § 160 Abs. 3 des Gesetzes gegen Wettbewerbsbeschränkungen (GWB) verwiesen.
§ 160 Einleitung, Antrag
(1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein.
(2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht.
(3) Der Antrag ist unzulässig, soweit:
1) der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt,
2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
4) mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt.