Beratung und Unterstützung im Bereich des BSI-Grundschutzes für die EU-Zahlstelle im StMELF Referenznummer der Bekanntmachung: 2022SQ000003
Auftragsbekanntmachung
Dienstleistungen
Abschnitt I: Öffentlicher Auftraggeber
Postanschrift:[gelöscht]
Ort: München
NUTS-Code: DE212 München, Kreisfreie Stadt
Postleitzahl: 80539
Land: Deutschland
Kontaktstelle(n):[gelöscht]
E-Mail: [gelöscht]
Telefon: +49 8921820
Internet-Adresse(n):
Hauptadresse: http://www.stmelf.bayern.de/
Adresse des Beschafferprofils: http://www.stmelf.bayern.de/
Abschnitt II: Gegenstand
Beratung und Unterstützung im Bereich des BSI-Grundschutzes für die EU-Zahlstelle im StMELF
Die Zahlstelle ist aufgrund von EU-Vorgaben im Bereich der Informationssicherheit gemäß BSI-Grundschutz zu zertifizieren. Für die Beratung und Umsetzung der Maßnahmen im Zusammenhang mit der Zertifizierung ist externe Beratung und Unterstützung notwendig.
Im Rahmen der Ausschreibung wird ein externer Dienstleister gesucht, der den Auftraggeber beim Betrieb eines ISMS nach ISO27001 auf Basis des IT-Grundschutz des BSI unterstützt. Folgende Leistungsbereiche stellen die Schwerpunkte dar:
• Projektmanagement, Kontrolle des Projektfortschrittes
• Beratung des Managements, Weiterentwicklung bestehender ISMS-Prozesse
• Operative Unterstützung des ISB
• Operative Unterstützung der Bausteinzuständigen bei ITGS-Check
• Erstellung und Fortschreibung von IT-Sicherheitsrichtlinien
• Qualitätssicherung und Revision von Leistungsergebnissen
• Beratung und weitere Tätigkeiten zur Unterstützung der Umsetzung und Dokumentation von Maßnahmen des BSI Grundschutzkompen-diums
• Durchführung von bzw. Unterstützung bei internen ISMS-Audits
• Durchführung von Penetrationstests
• sowie optional: Durchführung von Schulungen oder Sensibilisierungen im Be-reich IT-Grundschutz nach BSI
Der Auftraggeber hat zudem die Option, den Vertrag einmalig, um nochmals drei Jahre zu verlängern.
Abschnitt III: Rechtliche, wirtschaftliche, finanzielle und technische Angaben
Bitte reichen Sie einen Nachweis über die Eintragung im Berufs- oder Handelsregister oder andere geeignete Mittel, die die erlaubte Berufsausübung nachweisen, je nach Rechtsvorschrift des Staates, in dem der Bieter niedergelassen ist, ein (Eignungskriterium: Befähigung und Erlaubnis zur Berufsausübung).
Bietergemeinschaften haben diesen Nachweis für jedes Mitglied einzeln einzureichen, indem sie im Arbeitsschritt „Eigene Anlagen“ zum Angebot hochgeladen werden.
Bitte beachten Sie, dass der Auszug nicht älter als 6 Monate sein darf, gerechnet ab dem Tag der Veröffentlichung der Bekanntmachung.
Eigenerklärung des Bieters über den Nettoumsatz im Tätigkeitsbereich des Auftrags (Informationssicherheit / Cybersecurity), bezogen auf die letzten drei abgeschlossenen Geschäftsjahre.
Bei einer Bietergemeinschaft sind die Nettoumsätze im Tätigkeitsbereich jedes Mitglieds der Bietergemeinschaft, bezogen auf die letzten drei abgeschlossenen Geschäftsjahre einzeln aufgegliedert und zusammengerechnet anzugeben.
Der Auftraggeber ist daran interessiert, dass die Bieter über die erforderlichen wirtschaftlichen und finanziellen Kapazitäten für die Ausführung des Auftrags verfügen. Aus diesem Grund wird ein Mindestjahresumsatz von 1.500.000 € Gesamtjahresumsatz im Umfeld der Sparte Informationssicherheit / Cybersecurity (Tätigkeitsbereich des Auftrags) des Bieters gefordert.
Referenzen:
Zum Nachweis der für die Auftragsausführung erforderlichen technischen und beruflichen Leistungsfähigkeit sind nachfolgend näher bezeichnete geeignete Referenzen des Bieters über den Aufbau oder Betrieb eines ISMS nach ISO 27001 auf Basis IT-Grundschutz aus den letzten fünf Jahren, mit Angabe des Werts, des Erbringungszeitraums, sowie des öffentlichen oder privaten Auftraggebers anzugeben.
Technische Fachkräfte / Projektrollen:
Bitte erstellen Sie, für die jeweilige Projektrolle, eine Datei „technischen Fachkräfte / Projektrollen ....“, aus der die für die Leistungserbringung vorgesehenen technischen Fachkräfte oder technischen Stellen hervorgehen, unabhängig davon, ob diese dem Unternehmen angehören oder nicht.
Die Datei ist, zusammen mit den notwendigen geforderten gültigen BSI-Zertifikaten, als Anlage zum Angebot im Arbeitsschritt „Eigene Anlagen“ hochzuladen.
Die für die jeweilige Projektrolle:
* Projektleitung
* Berater
* interner Auditor
* Pentester
geforderten BSI-Zertifikate sind für die vorgesehenen technischen Fachkräften, sowie deren Vertretung vorzulegen.
Referenzen:
Mindestanforderung an die Referenzen sind:
* mindestens vier geeignete Referenzen aus den letzten fünf Jahren.
* Dauer: mindestens drei Jahre je Projekt
* Tätigkeit: Aufbau oder Betrieb eines ISMS nach ISO 27001 (Native oder IT-Grundschutz)
* Bei Aufbau: das Zertifikat wurde erlangt
* Bei Betrieb: Zertifizierung wurde aufrecht erhalten
* Umfang: Mindestens 30 Projekttage pro Jahr
Technische Fachkräfte / Projektrollen:
Projektrolle Projektleitung:
Mindestanforderung an die geplante Projektleitung und deren Vertretung:
folgende gültigen nach BSI zertifizierte Qualifikationsnachweise sind jeweils vorzulegen:
* Zertifizierter IT-Grundschutz-Berater
* Zertifizierter IS-Revisions- und Beratungsexperte
* Zertifizierter ISO 27001-Auditor für Audits auf der Basis von IT-Grundschutz
* Zertifikat Auditor besteht seit mindestens 5 Jahren
* hat in den letzten 5 Jahren mindestens 30% einer Vollzeit-AK in Projekten zum Aufbau oder Betrieb eines ISMS nach ISO27001 nach IT-GS geleistet
Projektrolle Berater:
Mindestanforderung an das für die Projektrolle Berater vorgesehene Personal:
folgende gültigen nach BSI zertifizierte Qualifikationsnachweise sind jeweils vorzulegen:
* Zertifizierter IT-Grundschutz-Berater
* Zertifizierter IS-Revisions- und Beratungsexperte
* Zertifizierter ISO 27001-Auditor für Audits auf der Basis von IT-Grundschutz
* Zertifikat Auditor besteht seit mindestens 5 Jahren
* hat in den letzten 5 Jahren mindestens 30% einer Vollzeit-AK in Projekten zum Aufbau oder Betrieb eines ISMS nach ISO27001 nach IT-GS geleistet
Projektrolle interner Auditor:
Mindestanforderung an das für die Projektrolle Interner Auditor vorgesehene Personal:
folgende gültigen nach BSI zertifizierte Qualifikationsnachweise sind jeweils vorzulegen:
* Zertifizierter IT-Grundschutz-Praktiker
* Nachweisbare Audit-Erfahrung nach ISO27001: Mindestens 20 PT in den letzten 2 Jahren.
Projektrolle Penetrationstester:
Mindestanforderung an das für die Projektrolle Penetrationstester vorgesehene Personal:
folgende gültigen nach BSI zertifizierte Qualifikationsnachweise sind jeweils vorzulegen:
* Zertifizierter IS-Penetrationstester.
siehe Vergabeunterlagen
Abschnitt IV: Verfahren
Abschnitt VI: Weitere Angaben
Die Bewerber haben eine Eigenerklärung zum Nichtvorliegen von zwingenden und fakultativen Ausschlussgründen gem. §§ 123 und 124 GWB sowie ggf. zur Selbstreinigung gem. § 125 GWB und eine Eigenerklärung russische Unternehmen sowie eine Schutzerklärung bzgl. Scientology
mit dem Angebot einzureichen.
Postanschrift:[gelöscht]
Ort: Ansbach
Postleitzahl: 91522
Land: Deutschland
E-Mail: [gelöscht]
Telefon: [gelöscht]
Fax: [gelöscht]
Genaue Angaben zu den Fristen für die Einlegung von Rechtsbehelfen:
1) Ein Nachprüfungsantrag ist unzulässig, § 160 Abs. 3 S. 1 GWB, soweit:
- der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des
Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10
Kalendertagen gerügt hat,
- Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis
zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber
dem Auftraggeber gerügt werden,
- Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis
zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
oder
- mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu
wollen, vergangen sind.
2) Eine Unwirksamkeit nach § 135 Abs. 1 GWB kann nur festgestellt werden, wenn sie im
Nachprüfungsverfahren innerhalb von 30 Kalendertagen nach der Information der betroffenen Bieter und
Bewerber durch den öffentlichen Auftraggeber über den Abschluss des Vertrags, jedoch nicht später als 6
Monate nach Vertragsschluss geltend gemacht worden ist. Hat der Auftraggeber die Auftragsvergabe im
Amtsblatt der Europäischen Union bekannt gemacht, endet die Frist zur Geltendmachung der Unwirksamkeit 30
Kalendertage nach Veröffentlichung der Bekanntmachung der Auftragsvergabe im Amtsblatt der Europäischen
Union