Public procurement notice: Contract Notice
Published: 2025-10-03
Buyer: Dienstleistungen für das Kompetenzzentrum Cloud
Country: DE
Region: DEA22
Contract type: Services
Procedure: Open procedure
CPV classification: 72000000 | 75110000
Submission deadline: 2025-11-04

Technical requirements: Siehe Bewerbungsbedingungen und Anlage 1.x zum Vertrag - Ergänzende Vereinbarungen je Los
Genaue Angaben zu den Fristen für die Einlegung von Rechtsbehelfen:

1) Etwaige Vergabeverstöße muss der Bewerber/Bieter gemäß § 160 Abs. 3 Nr. 1 GWB innerhalb von 10 Kalendertagen nach Kenntnisnahme rügen.

2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, sind nach §160 Abs. 3 Nr. 2 GWB spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Abgabe der Bewerbung oder der Angebote gegenüber dem Auftraggeber zu rügen.

3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, sind nach § 160 Abs. 3 Nr. 3 GWB spätestens bis zum Ablauf der Frist zur Bewerbungs- oder Angebotsabgabe gegenüber dem Auftraggeber zu rügen.

4) Ein Vergabenachprüfungsantrag ist nach § 160 Abs. 3 Nr. 4 GWB innerhalb von 15 Kalendertagen nach der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, bei der Vergabekammer einzureichen.
Gegenstand der ausgeschriebenen Rahmenvereinbarungen sind Dienstleistungen in den Bereichen DevSecOps, Consulting und Architektur Cloud sowie Softwareentwicklung Cloud.
Gemäß Allgemeine Angaben (Mit dem Angebot; Mittels Eigenerklärung):
Gemäß Angebotsblatt Unternehmen (Mit dem Angebot; Mittels Eigenerklärung): Personelle Sicherheit

Eligibility requirements: Gemäß Allgemeine Angaben (Mit dem Angebot; Mittels Eigenerklärung):
Gemäß Angebotsblatt Unternehmen (Mit dem Angebot; Mittels Eigenerklärung): Personelle Sicherheit
Haftpflichtversicherung (Mit dem Angebot; Mittels Dritterklärung):
Handelsregister (Mit dem Angebot; Mittels Eigenerklärung):
Gemäß Angebotsblatt Unternehmen (Mit dem Angebot; Mittels Eigenerklärung):
Es wird darauf hingewiesen, dass die Nachlieferung bzw. Aufklärung innerhalb der gesetzten Frist vorzunehmen ist und der Teilnahmeantrag / das Angebot gemäß § 57 VgV ausgeschlossen werden könnte, wenn die Nachlieferung bzw. Aufklärung nicht innerhalb der Frist erfolgt, verweigert wird oder unzureichend ist.
- Eigenerklärung, dass keine rechtskräftigen Verurteilungen der in § 123 GWB aufgezählten Straftaten vorliegen. (A) - Eigenerklärung, dass keine Verstöße der in § 124 GWB aufgezählten fakultativen Ausschlussgründe vorliegen. (A) - Eigenerklärung, dass keine fakultativen Ausschlussgründe nach § 42 Abs. 1 VgV i. V. m. § 124 GWB vorliegen. (A) - Angabe, von Name und Hauptsitz seines Unternehmens. (A) - Angabe, ob der Bieter gemäß der KMU-Definition der Europäischen Kommission (EU-Empfehlung 2003/361) zur Gruppe der Kleinstunternehmen, kleinen oder mittleren Unternehmen (KMU) gehört. (A) - Angabe der nationale Identifikationsnummer an. (A) - Angabe, ob das Unternehmen börsennotiert ist. (A) - Angabe der Staatsangehörigkeit(en) des/der Eigentümer*in bzw. der Eigentümer*innen an. (A Eigenerklärung, ob beabsichtigt wird Unterauftragnehmer einzusetzen. (A) siehe Bewerbungsbedingungen und Anlage 1 zum Vertrag - Ergänzende Vereinbarungen
Genaue Angaben zu den Fristen für die Einlegung von Rechtsbehelfen:

1) Etwaige Vergabeverstöße muss der Bewerber/Bieter gemäß § 160 Abs. 3 Nr. 1 GWB innerhalb von 10 Kalendertagen nach Kenntnisnahme rügen.

2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, sind nach §160 Abs. 3 Nr. 2 GWB spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Abgabe der Bewerbung oder der Angebote gegenüber dem Auftraggeber zu rügen.

3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, sind nach § 160 Abs. 3 Nr. 3 GWB spätestens bis zum Ablauf der Frist zur Bewerbungs- oder Angebotsabgabe gegenüber dem Auftraggeber zu rügen.

4) Ein Vergabenachprüfungsantrag ist nach § 160 Abs. 3 Nr. 4 GWB innerhalb von 15 Kalendertagen nach der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, bei der Vergabekammer einzureichen.
Los 1 bezieht sich auf die Implementierung und das Management von DevSecOps-Prozessen für die StackIT:X und StackIT Public Cloud Plattformen. Der Dienstleistende soll umfassende Leistungen erbringen, die die Integration von Sicherheitsmaßnahmen in die Entwicklungs- und Betriebsprozesse sicherstellen.

2.1 Implementierung von DevSecOps-Prozessen
Der Auftragnehmende soll bei der Optimierung der DevSecOps-Prozesse unterstützen.
    - Prozessintegration: Entwicklung und Integration von DevSecOps-Prozessen, um die Zusammenarbeit zwischen Entwicklungs-, Sicherheits- und Betriebsteams zu fördern.
    - Automatisierung: Nutzung von Automatisierungswerkzeugen zur kontinuierlichen Integration und Bereitstellung (CI/CD) sowie zur Sicherheitsprüfung.
    - Toolchain Management: Auswahl, Konfiguration und Verwaltung einer geeigneten DevSecOps-Toolchain für die StackIT:X und StackIT Public-Cloud-Plattformen.
2.2 Sicherheitsintegration
    - Sicherheitsanforderungen: Definition und Implementierung von Sicherheitsanforderungen in den Entwicklungs- und Betriebsprozessen.
    - Sicherheitstests: Automatisierung von Sicherheitsprüfungen, einschließlich statischer und dynamischer Codeanalyse (SAST/DAST), Schwachstellenscans und Penetrationstests mit den von der BITBW zur Verfügung gestellten Tools z. B. SonarCube etc.
2.3 Überwachung und Auditierung
    - Monitoring: Nutzung und Konfiguration von Überwachungssystemen zur Erkennung von Sicherheitsvorfällen und Anomalien in Echtzeit.
    - Compliance und Auditierung: Durchführung regelmäßiger Sicherheitsaudits und Erstellung von Berichten zur Bewertung der Sicherheitslage und zur Einhaltung von Compliance-Vorgaben bzgl. der DevOps-Umgebung.
    - Log-Management: Nutzung und Konfiguration von zentralisierten Logging-Lösungen zur Nachverfolgung und Analyse von sicherheitsrelevanten Ereignissen.
2.4 Schulung und Wissensvermittlung
    - Schulungsprogramme: Entwicklung und Durchführung von Schulungsprogrammen für Entwicklungs-, Sicherheits- und Betriebsteams zur Förderung des DevSecOps-Mindsets.
    - Dokumentation: Erstellung und Pflege umfassender digitaler Dokumentationen der DevSecOps-Prozesse und -Richtlinien.
    - Best Practices: Vermittlung von Best Practices und kontinuierlicher Verbesserung der Sicherheitsprozesse.
Die Auftraggeberin behält sich vor, den Vertrag im jeweiligen Los zweimal um jeweils ein (1) Jahr zu verlängern (optionale Vertragszeiträume). 
Die Mindestvertragslaufzeit im jeweiligen Los verlängert sich automatisch um ein weiteres Jahr, sofern nicht drei Monate vor Ablauf der Vertragslaufzeit eine Kündigung durch die Auftraggeberin erfolgt. Für den zweiten optionalen Verlängerungszeitraum im jeweiligen Los gilt selbiges.