Public procurement notice: Contract Notice
Published: 2025-04-08
Buyer: SIEM_SOC
Region: DEA22
Contract type: Services
Procedure: Negotiated with prior call for competition
CPV classification: 48730000: Security software package | 72000000 | 72222100: Information systems strategic review services
Submission deadline: 2025-04-22
Award criteria: price, quality

Technical requirements: Paragraph 134 GWB Informations- und Wartepflicht: (1) Öffentliche Auftraggeber haben die Bieter, deren Angebote nicht berücksichtigt werden sollen, über den Namen des Unternehmens, dessen Angebot angenommen werden soll, über die Gründe der vorgesehenen Nichtberücksichtigung Ihres Angebots und über den frühsten Zeitpunkt des Vertragsschlusses unverzüglich in Textform zu informieren. Dies gilt auch für Bewerber, denen keine Information über die Ablehnung ihrer Bewerbung zur Verfügung gestellt wurde, bevor die Mitteilung über die Zuschlagsentscheidung an die betroffenen Bieter ergangen ist. (2) Ein Vertrag darf erst 15 Kalendertage nach Absendung der Information nach Absatz 1 geschlossen werden. Wird die Information auf elektronischem Weg oder per Fax versendet, verkürzt sich die Frist auf zehn Kalendertage. Die Frist beginnt am Tag nach der Absendung der Information durch den Auftraggeber; auf den Tag des Zugangs beim betroffenen Bieter und Bewerber kommt es nicht an. (3) Die Informationspflicht entfällt in Fällen, in denen das Verhandlungsverfahren ohne Teilnahmewettbewerb wegen besonderer Dringlichkeit gerechtfertigt ist. ... Paragraph 160 GWB Einleitung, Antrag: (1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein. (2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach Paragraph 97 Absatz 6 durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht. (3) Der Antrag ist unzulässig, soweit 1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach Paragraph 134 Absatz 2 bleibt unberührt, 2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach Paragraph 135 Absatz 1 Nummer 2. Paragraph 134 Absatz 1 Satz 2 bleibt unberührt. Paragraph 135 Abs. 1 und 2 GWB Unwirksamkeit: (1) Ein öffentlicher Auftrag ist von Anfang an unwirksam, wenn der öffentliche Auftraggeber 1. gegen Paragraph 134 verstoßen hat oder 2. den Auftrag ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union vergeben hat, ohne dass dies aufgrund Gesetzes gestattet ist, und dieser Verstoß in einem Nachprüfungsverfahren festgestellt worden ist. (2) Die Unwirksamkeit nach Absatz 1 kann nur festgestellt werden, wenn sie im Nachprüfungsverfahren innerhalb von 30 Kalendertagen nach der Information der betroffenen Bieter und Bewerber durch den öffentlichen Auftraggeber über den Abschluss des Vertrags, jedoch nicht später als sechs Monate nach Vertragsschluss geltend gemacht worden ist. Hat der Auftraggeber die Auftragsvergabe im Amtsblatt der Europäischen Union bekannt gemacht, endet die Frist zur Geltendmachung der Unwirksamkeit 30 Kalendertage nach Veröffentlichung der Bekanntmachung der Auftragsvergabe im Amtsblatt der Europäischen Union. Paragraph 168 Abs. 2, S.1 GWB Entscheidung der Vergabekammer Ein wirksam erteilter Zuschlag kann nicht aufgehoben werden.
Bei einem Verhandlungsverfahren mit Teilnahmewettbewerb fordert der öffentliche Auftraggeber eine unbeschränkte Anzahl von Unternehmen im Rahmen eines Teilnahmewettbewerbs öffentlich  zur Abgabe von Teilnahmeanträgen auf. Jedes interessierte Unternehmen kann einen Teilnahmeantrag abgeben. Mit dem Teilnahmeantrag übermitteln die Unternehmen die vom öffentlichen Auftraggeber geforderten Informationen für die Prüfung ihrer Eignung. Nur diejenigen Unternehmen, die vom öffentlichen Auftraggeber nach Prüfung der übermittelten Informationen dazu aufgefordert werden, können ein Erstangebot einreichen. Der öffentliche Auftraggeber kann die Zahl geeigneter Bewerber, die zur Angebotsabgabe aufgefordert werden, gemäß § 51 VgV begrenzen.
Ausgeschrieben wird die Einführung und der Betrieb eines Managed Security Operations Centers (SOC) auf Basis eines vom Auftragnehmer zu liefernden und zu betreibenden Security Information and Event Management (SIEM) Systems für die AOK Sachsen-Anhalt.
Die Datenhaltung und Bearbeitung hat ausschließlich SGB X und DSGVO-konform innerhalb der EU, innerhalb des europäischen Wirtschaftsraums oder in der Schweiz (Standort des Rechenzentrums) stattzufinden.. Der Standort (physische Sitz) der Analysten des SOC-Services  hat ebenfalls SGB X und DSGVO-konform innerhalb der EU, innerhalb des europäischen Wirtschaftsraums oder in der Schweiz zu liegen. Das Analystenteam des Anbieters unterstützt in deutscher Sprache. Der Kontaktpunkt ist deutschsprachig (mind. C2-Niveau).
Mindestanforderung: Einfacher Ausdruck aus dem Berufs- oder Handelsregister (bei Ende der Teilnahmefrist nicht älter als sechs Monate); ausländische Bewerber haben einen entsprechenden Ausdruck/Auszug aus dem Berufs- oder Handelsregister nach Maßgabe der Rechtsvorschriften des Staates, in dem sie ansässig sind, vorzulegen.

Eligibility requirements: Mindestanforderung: Einfacher Ausdruck aus dem Berufs- oder Handelsregister (bei Ende der Teilnahmefrist nicht älter als sechs Monate); ausländische Bewerber haben einen entsprechenden Ausdruck/Auszug aus dem Berufs- oder Handelsregister nach Maßgabe der Rechtsvorschriften des Staates, in dem sie ansässig sind, vorzulegen.
Umsatz in den letzten 2 Jahren. Mindestanforderung (A-Kriterium) ist ein durchschnittlicher Umsatz im Bereich MDR/SOC-Dienstleistungen in Höhe von jeweils 2.000.000 EUR netto in den letzten 2 Jahren.
Mindestanforderung: Es sind 2 Referenzen von Kunden im Sektor Gesundheit, in dem der jeweilige Referenzgeber dem Anwendungsbereich des Anhangs 5 der BSI-KritisV unterfällt, einzureichen. Gefordert ist zugleich die abgeschlossene Einführung und die vollumfängliche Produktivsetzung eines  MDR bzw. Managed-SOC innerhalb der letzten 3 Jahre, ausgehend vom Ende der Teilnahmefrist.  Es können maximal 3 weitere Referenzen hergereicht werden.  (Zusatzreferenzen) Auf Anlage 2 - Referenzen wird verwiesen.
Mindestanforderungen: Beim Einsatz von Cloud-Lösungen bzw. bei Bereitstellung Cloud basierter Dienste ist ein C5 Testat nachzuweisen. Außerdem sind aktuelle gültige Zertifizierungen nach ISO 27001/27002 oder BSI Grundschutz mit entsprechendem Testat vorzulegen.
Mindestanforderung: Der Anbieter/Bewerber verfügt über mindestens 10 MDR/SOC-Analysten.
Mindestanforderung: Die Auftraggeberin fordert im Auftragsfall eine Betriebshaftpflichtversicherung mit jeweils folgenden Deckungssummen: Sachschäden je Schadensereignis mindestens 1,00 Mio. EUR, Personenschäden je Schadensereignis mindestens 1,00 Mio. EUR daraus resultierende Vermögensschäden, inklusive der Verletzung von Datenschutzbestimmungen, je Schadensereignis mindestens 2,50 Mio. EUR.
Die Datenhaltung und Bearbeitung hat ausschließlich SGB X und DSGVO-konform innerhalb der EU, des EWR oder der Schweiz (Standort des Rechenzentrums) stattzufinden. Um sicherzustellen,  dass der im Rahmen dieses Vergabeverfahrens auszuwählende Vertragspartner die ausschreibungsgegenständlichen Leistungen während der gesamten Vertragslaufzeit in Übereinstimmung  mit § 80 Abs. 2 SGB X, Art. 44 ff DSGVO umsetzt, hat sich die Auftraggeberin dazu entschieden, die Ausschreibung nur an Unternehmen zu richten und zu vergeben, die die erforderlichen Rechenzentrumleistungen -inklusive der Cloud-Infrastruktur -sowie die SOC-Dienstleistungen nur an Standorten in der EU, dem EWR oder der Schweiz erbringen.
Ob die Auftraggeberin von der Möglichkeit zur Nachforderung nach § 56 Abs. 2 VgV Gebrauch machen wird, wird nach Ablauf der Angebots- bzw. Teilnahmefrist entschieden werden. Ein Anspruch auf Einräumung einer Nachreichungsmöglichkeit besteht nicht.
Über die einzureichenden Unterlagen / Erklärungen / Nachweise zur wirtschaftlichen und finanziellen sowie technischen und beruflichen Leistungsfähigkeit hinaus, bedarf es der Vorlage von: - Erklärung zur Einhaltung der Vorgaben des MiLoG; - Eigenerklärung zum Nichtvorliegen von Ausschlussgründen nach Artikel 5k der EU-Verordnung 2022/576;
Näheres regeln die Vergabeunterlagen, welche in der 2. Phase des Vergabeverfahrens an die zur Angebotsabgabe aufgeforderten Unternehmen übermittelt werden.