Public procurement notice: Contract Notice
Published: 2025-11-03
Buyer: Vergabeverfahren zum Abschluss einer Rahmenvereinbarung zur Beauftragung eines Informationssicherheitsbeauftragten
Country: DE
Region: DEA22
Contract type: Services
Procedure: Open procedure
CPV classification: 72000000 | 79400000 | 79410000 | 79420000
Estimated value: 370000 EUR
Submission deadline: 2025-12-01
Award criteria: price, quality

Technical requirements: Hinsichtlich der Fristen zur Einlegung von Rechtsbehelfen wird auf § 160 Abs. 3 des Gesetzes gegen Wettbewerbsbeschränkungen (GWB) verwiesen. § 160 GWB lautet wie folgt: (1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein. (2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Abs. 6 durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht. (3) Der Antrag ist unzulässig, soweit: 1) der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt, 2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 4) mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrages nach § 135 Abs. 1 Nr. 2. § 134 Abs. 1 Satz 2 bleibt unberührt.
Als Dienstleister für die Bundeswehr unterliegt die BwFPS besonderen Sicherheitsanforderungen.  Derzeit wird ein Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001 auf Basis von IT-Grundschutz auf- und ausgebaut. Zurzeit werden die Aufgaben des Informationssicherheitsbeauftragten (ISB) durch den Bereichsleiter IT temporär und kommissarisch übernommen.  Zielsetzung ist die Übertragung der Aufgaben des ISB an einen externen Dienstleister. Hierzu gehören die in Ziffer der Leistungsbeschreibung näher aufgeführten Aufgaben.
Die Leistungserbringung erfolgt in Teilen remote und vor Ort in der Zentrale des Auftraggebers in Siegburg (Am Tum 42, 53721 Siegburg), siehe Ziffer 5.1 der Leistungsbeschreibung.
Nachweis des Bestehens einer Betriebshaftpflichtversicherung: Zum Nachweis der wirtschaftlichen und finanziellen Leistungsfähigkeit wird eine Betriebshaftpflichtversicherung mit den folgenden Mindestversicherungssummen gefordert. - Deckung für Personen- und Sachschäden pro Versicherungsfall und -jahr: 10 Mio. EUR - Deckung für Vermögensschäden pro Versicherungsfall und -jahr: 10 Mio. EUR
Nachweis von Referenzen: Zum Nachweis der technischen und beruflichen Leistungsfähigkeit werden 2 Referenzen über erbrachte Leistungen im Bereich Informationssicherheitsmanagement bei einem Auftraggeber im Verteidigungsumfeld (z.B. Verteidigungsunternehmen, militärische Einrichtungen oder KRITIS-Betreiber), welche mit dem Vergabegegenstand vergleichbar sind, aus den letzten drei Jahren gefordert. Es gilt folgende Mindestanforderung:  Vorlage von zwei vergleichbaren Referenzen aus den letzten drei Jahren über erbrachte Leistungen im Bereich Informationssicherheitsmanagement bei einem Auftraggeber im Verteidigungsumfeld (z.B. Verteidigungsunternehmen, militärische Einrichtungen oder KRITIS-Betreiber) mit den folgenden Schwerpunkten: - Mitarbeit bei der Entwicklung und Betrieb eines Informationssicherheitsmanagement (ISMS) - Aktive Begleitung einer Auditierung nach ISO /IEC 27001  - Erfahrung in der Erstellung von Richtlinien und Vorgaben

Eligibility requirements: Nachweis des Bestehens einer Betriebshaftpflichtversicherung: Zum Nachweis der wirtschaftlichen und finanziellen Leistungsfähigkeit wird eine Betriebshaftpflichtversicherung mit den folgenden Mindestversicherungssummen gefordert. - Deckung für Personen- und Sachschäden pro Versicherungsfall und -jahr: 10 Mio. EUR - Deckung für Vermögensschäden pro Versicherungsfall und -jahr: 10 Mio. EUR
Nachweis von Referenzen: Zum Nachweis der technischen und beruflichen Leistungsfähigkeit werden 2 Referenzen über erbrachte Leistungen im Bereich Informationssicherheitsmanagement bei einem Auftraggeber im Verteidigungsumfeld (z.B. Verteidigungsunternehmen, militärische Einrichtungen oder KRITIS-Betreiber), welche mit dem Vergabegegenstand vergleichbar sind, aus den letzten drei Jahren gefordert. Es gilt folgende Mindestanforderung:  Vorlage von zwei vergleichbaren Referenzen aus den letzten drei Jahren über erbrachte Leistungen im Bereich Informationssicherheitsmanagement bei einem Auftraggeber im Verteidigungsumfeld (z.B. Verteidigungsunternehmen, militärische Einrichtungen oder KRITIS-Betreiber) mit den folgenden Schwerpunkten: - Mitarbeit bei der Entwicklung und Betrieb eines Informationssicherheitsmanagement (ISMS) - Aktive Begleitung einer Auditierung nach ISO /IEC 27001  - Erfahrung in der Erstellung von Richtlinien und Vorgaben
Nachweis über die Qualifikation des eingesetzten Personals: Für die Erfüllung der Leistungen ist für den Auftraggeber ständig und dauerhaft ein externer Informationssicherheitsbeauftragter zuständig.  An den Informationssicherheitsbeauftragten wird folgende Mindestanforderung gestellt: Vertiefte Kenntnisse der ISO 27001 und des BSI-Grundschutzes, nachzuweisen durch Zertifizierung als   - ISO/IEC 27001 Lead Implementer / Lead Auditor oder  - BSI IT-Grundschutz-Praktiker oder - Certified Information Systems Security Professional (CISSP)
Der Auftraggeber behält sich vor, bei Angebotsabgabe nicht beiliegende bzw. den Anforderungen formal bzw. inhaltlich nicht genügende Dokumente, Nachweise, Angaben und Erklärungen unter Fristsetzung nachzufordern. Ein Anspruch der Bieter auf Nachforderung besteht nicht.
siehe Vergabeunterlagen
Das Angebot mit dem niedrigsten Preis pro Stunde  pauschal remote gemäß Anlage Preisblatt erhält die maximale Punktzahl  (15 Punkte). Die weiteren Angebote erhalten Punkte nach der folgender  Formel: (niedrigster Preis pro Stunde pauschal remote / angebotener Preis  pro Stunde pauschal remote) * 15 Punkte
Das Angebot mit dem Preis pro Stunde pauschal vor Ort  gemäß Anlage Preisblatt erhält die maximale Punktzahl (15 Punkte). Die  weiteren Angebote erhalten Punkte nach der folgender Formel: (niedrigster  Preis pro Stunde pauschal vor Ort / angebotener Preis pro Stunde pauschal  vor Ort) * 15 Punkte
Angebote von Bietern, deren einzusetzender  Informationssicherheitsbeauftragter über Berufserfahrung in den Bereichen  Informationssicherheitsmanagement, Datenschutz, Risikomanagement und  Notfallmanagement verfügt werden wie folgt bewertet: Der einzusetzende  Informationssicherheitsbeauftragte hat in Summe < 3 Jahre = 0 Punkte; 3 -  5 Jahre = 5 Punkte; 6 - 7 Jahre = 10 Punkte; ; > 7 Jahre = 20 Punkte  Berufserfahrung in den Bereichen Informationssicherheitsmanagement,  Datenschutz, Risikomanagement und Notfallmanagement.
Angebote von Bietern, deren einzusetzender Informationssicherheitsbeauftragter über Berufserfahrung im Informationssicherheitsmanagement für Auftraggeber im Verteidigungsumfeld (z.B. Verteidigungsunternehmen, militärische Einrichtungen oder KRITIS-Betreiber) verfügt, werden wie folgt bewertet: Der einzusetzende Informationssicherheitsbeauftragte hat in Summe < 2 Jahre = 0 Punkte; 2 - 3 Jahre = 2 Punkte; 4 - 7 Jahre = 5 Punkte; > 7 Jahre = 10 Punkte Berufserfahrung im Informationssicherheitsmanagement für Auftraggeber im Verteidigungsumfeld (z.B. Verteidigungsunternehmen, militärische Einrichtungen oder KRITIS-Betreiber). Punkte Berufserfahrung im behördlichen  Informationssicherheitsmanagement für öffentliche Auftraggeber im  Verteidigungsumfeld
Angebote von Bietern, deren einzusetzender  Informationssicherheitsbeauftragter über Praxiserfahrung mit  Arbeitsmethoden und Prozessen in hybriden IT-Ökosystemen verfügt  werden wie folgt bewertet: Der einzuesetzende  Informationssicherheitsbeauftragte hat in den letzten 3 Jahren in Summe an  0 Maßnahmen = 0 Punkte; 1 Maßnahme = 2 Punkte; 2 - 3 Maßnahmen = 5  Punkte; > 3 Maßnahmen = 10 Punkte (Fortbildungen, Schulungen und  Seminaren) im Bereich Arbeitsmethoden und Prozessen in hybriden IT- Ökosystemen teilgenommen.