Public procurement notice: Contract Notice
Published: 2024-02-16
Region: DE300
Contract type: Services
Procedure: Negotiated with prior call for competition
CPV classification: 72000000 | 72254100: Systems testing services
Estimated value: 1 EUR
Submission deadline: 2024-03-05
Award criteria: price, quality

Technical requirements: Gegenstand der Vergabe ist je ein Rahmenvertrag über IT-Dienstleistungen mit maximal 3 Auftragnehmern pro Los bezüglich Penetrationstests für Los 1: "OT, Eingebettete Systeme und Hardware“, Los 2: "SAP", Los 3: 
"Mainframe", um Sicherheitslücken in IT-Systemen der deutschen Bahn aufzudecken.
Eignung 1 - Ausschlusskriterium: Vorlage der ausgefüllten und unterschriebenen Bietereigenerklärung:
1) Erklärung, dass kein Insolvenzverfahren oder kein vergleichbares gesetzliches Verfahren eröffnet ist und die Eröffnung auch nicht beantragt oder mangels Masse abgelehnt worden ist.
2) Erklärung, dass sich der Bewerber nicht in Liquidation befindet.
3) Erklärung, ob berufliche Verfehlungen vorliegen, die im Gewerbezentralregister eingetragen sind. Darüber hinaus erklärt er, ob derzeit ein Verfahren anhängig ist, das zu einer solchen Eintragung führen kann.
4) Erklärung, dass das Gewerbe ordnungsgemäß angemeldet ist und – sofern nach Maßgabe der Vorschriften des HGB oder des jeweiligen Herkunftslandes eintragungspflichtig – im Handelsregister eingetragen ist.
5) Erklärung zur Einhaltung von Sanktionen und Embargos
6) Erklärung, dass das Unternehmen bei der Ausführung öffentlicher Aufträge nicht gegen geltende umwelt- sozial oder arbeitsrechtliche Verpflichtungen verstoßen hat
7) Erklärung, dass das Unternehmen seine Verpflichtung zur Zahlung von Steuer und Abgaben nach den Rechtsvorschriften des Staates, in dem er ansässig ist, oder nach den Rechtsvorschriften des Staates des Auftraggebers erfüllt hat.
8) Erklärung zur kartellrechtlichen Compliance und Korruptionsprävention
9) Erklärung, dass bei der Ausführung eines früheren Auftrags oder Konzessionsvertrags bei der Deutsche Bahn AG oder einem mit ihr gemäß §§ 15 ff. AktG verbundenen Unternehmen keine wesentliche Anforderung erheblich oder fortdauernd mangelhaft erfüllt wurde.
10) Erklärung zu §§122-124 GWB
11) Erklärung zu Nicht-Beeinflussung eines Vergabeverfahrens
12) Erklärung zu schweren Verfehlungen
13) Erklärung zu Kenntnis über Verurteilungen/Geldbußen
14) Erklärung zum DB Verhaltenskodex für Geschäftspartner
15) Erklärung zu Tarifbestimmungen und Mindestlohn
16) Erklärung zu Verpflichtung von Nachunternehmern zur Einhaltung von Tarifbestimmungen
Eignung 2 - Ausschlusskriterium: Abgabe des ausgefüllten und unterzeichneten Dokuments „Lieferantenselbstauskunft“.
Der Bewerber hat das Dokument Lieferantenselbstauskunft soweit für ihn zutreffend vollständig auszufüllen und mit den Bewerbungsunterlagen einzureichen. Die mit der Lieferantenselbstauskunft abgefragten Informationen zur wirtschaftlichen und finanziellen Leistungsfähigkeit des Bewerbers enthalten keine Mindestanforderungen, die bei Nichterreichung automatisch zum Ausschluss des Bewerbers führen würden. Der Auftraggeber behält sich jedoch vor, Bewerber von der Vergabe auszuschließen, für die nach den angegeben Umsatzzahlen und sonstigen Informationen aus der Bieterselbstauskunft die Prognose gerechtfertigt ist, dass das Unternehmen nicht über die für die Ausführung des Auftrags notwendige finanzielle und wirtschaftliche Leistungsfähigkeit verfügt.
Eignung 3 - Ausschlusskriterium: Fristgerechtes Einreichen des Teilnahmeantrags.
Eignung 4 - Ausschlusskriterium - Datenschutz: Bitte stellen Sie die aufgeführten Bestätigungen unter Verwendung der den Vergabeunterlagen beiliegenden und referenzierten Antwortvorlage und die erforderlichen Nachweise zur Verfügung zu den folgenden Punkten: 
- Datenverarbeitung nach geltenden Datenschutzgesetzen
- Niedergelegte Datenschutzstandards / Datenschutzmanagementkonzept (Datenschutz-Compliance)
- Benennung eines Datenschutzbeauftragten (DSB)
- Verpflichtung auf den Datenschutz
- Abschluss eines Vertrages zur Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO
- Datenverarbeitung mit angemessenem Niveau in Drittländern
- Sicherheit der Datenverarbeitung

Eignung 5 - Ausschlusskriterium/Bewertungskriterium (Erfüllungsgrade: „K.O.“ bzw. 100%/50%/0% mit Gewichtung 16%): Der Bewerber weist im Bereich OT-Pentesting seine Projekterfahrung nach, welche im Kalenderjahr 2022 bis aktuell stattgefunden haben. Hierbei stellt der Bewerber in der Anlage "Pentest Projektreferenz zur Eignungsmatrix" die Projektreferenzen dar und tätigt zusätzliche Angaben zu:
- Projektbezeichnung / -Titel
- Einsatzzeitraum und 
- Erläuterung über die Inhalte des Auftrages (Kunde und Branche, Anzahl Personentage, Aufgabenbeschreibung)
- Eingesetzte Tools
Die Unternehmensgröße der genannten Referenz-Kunden muss jeweils mindestens 1000 Mitarbeiter betragen.
Bitte begrenzen Sie die Anzahl der zur Verfügung gestellten Referenzen auf max. 10, dabei darf eine Referenz eine DIN A4 Seite nicht überschreiten.

Eignung 6 - Ausschlusskriterium/Bewertungskriterium (Erfüllungsgrade: „K.O.“ bzw. 100%/50%/0% mit Gewichtung 16%):
Der Bewerber weist im Bereich OT-Pentesting mit der hardwarenahen Untersuchung von Industrial Devices und eingebettete Systeme seine Projekterfahrung nach, welche im Kalenderjahr 2022 bis aktuell stattgefunden haben. 
Hierbei stellt der Bewerber in der Anlage "Projektreferenz zur Eignungsmatrix" die Projektreferenzen dar und tätigt zusätzliche Angaben zu:
- Projektbezeichnung, 
- Einsatzzeitraum und 
- Erläuterung über die Inhalte des Auftrages (Kunde oder Branche, Anzahl Personentage, Aufgabenbeschreibung)
- Eingesetzte Tools 
Bitte begrenzen Sie die Anzahl der zur Verfügung gestellten Referenzen auf max. 10, dabei darf eine Referenz eine DIN A4 Seite nicht überschreiten.

Eignung 7 - Ausschlusskriterium - Für Hardwaretests besitzt der Bewerber ein geeignetes Labor mit eigener Laborausstattung

Eignung 8 - Ausschlusskriterium/Bewertungskriterium (Erfüllungsgrade: „K.O.“ bzw. 100%/50%/0% mit Gewichtung 26%) Der Bewerber erklärt, dass er über mindestens 5 Pentester mit folgenden Merkmalen verfügt: 
- Berufserfahrung im Bereich OT-Pentesting (Modul 8) mindestens 3 Jahre (Anzahl Jahre pro MA)
- Zertifizierung (mindestens über eine der nachfolgenden Sicherheits-Zertifizierungen verfügen: OSCP, OSEP, OSCE, OSCE3, OSED, OSEE, GPEN oder GPENX)

Eignung 9 - Bewertungskriterium (100%/50%/0% mit Gewichtung 21%)
Der Bewerber erklärt, dass er über mindestens 3 Pentester mit folgenden Merkmalen verfügt:
- Berufserfahrung im Bereich OT-Pentesting (Modul 8) mindestens 3 Jahre (Anzahl Jahre pro MA)
- Zertifizierung (mindestens über zwei der nachfolgenden Sicherheits-Zertifizierungen verfügen: OSCP, OSEP, OSCE, OSCE3, OSED, OSEE, GPEN oder GPENX)

Eignung 10 - Bewertungskriterium (100%/50%/0% mit Gewichtung 21%)
Durch Auflistung von durch Mitarbeitern des Unternehmens identifizierte Schwachstellen (CVE-Nummer) und deren Kritikalität (CVSS-Vektor) weist der Bewerber nach, dass er über die Expertise verfügt, bisher unbekannte Schwachstellen (Zero Day Vulnerabilities) in Softwareprodukten zu identifizieren, nachzuweisen und auszunutzen. Es werden hierzu mindestens 3 CVEs erwartet, die nicht älter als zwei Jahre ab Veröffentlichung dieser Ausschreibung sein dürfen.
Gemäß § 56 Abs. 2 VgV, § 51 Abs. 2 SektVO,  § 16a Abs. 1 VOB/A-EU. Mögliche Hinweise des Auftraggebers in den Vergabeunterlagen sind zu beachten.
Der Auftragnehmer hat bei der Rechnungstellung die Vorgaben der Deutsche Bahn AG zur Rechnungsstellung zu beachten, die im Lieferantenportal zu finden sind:
https://lieferanten.deutschebahn.com/lieferanten/Bestandslieferanten/Rechnungsstellung Der Auftragnehmer informiert sich regelmäßig über etwaige Änderungen dieser Vorgaben.