Public procurement notice: Contract Notice
Published: 2025-01-13
Buyer: 81313228 - Incident Response Support Service und Rahmenvertrag für Unterstützungsleistungen im Bereich Incident Response Management
Region: DEA22
Contract type: Services
Procedure: Open procedure
CPV classification: 72000000 | 72220000: Systems and technical consultancy services | 72250000: System and support services
Submission deadline: 2025-02-12
Award criteria: price

Technical requirements: Ein Nachprüfungsantrag ist gemäß § 160 Abs. 3 GWB unzulässig, soweit
1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt,
2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.
Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt.
Zur Unterstützung des Bereichs DIGITS wird ein Vertrag als Rahmenvertrag "Unterstützungsleistungen im Bereich Incident Response Management" sowie als Dienstleistungsvertrag über "Incident Response Support Service" abgeschlossen.
1. Eigenerklärung: Name des Unternehmens und Anschrift, Steuer ID, Eintragung ins Handelsregister oder gleichwertigem Register nach den Rechtsvorschriften des Herkunftslands
2. Keine Ausschlussgründe nach § 123, § 124 GWB, § 22 LkSG 
3. Erklärung der Bewerbergemeinschaft und/oder Erklärung Nachunternehmer (falls zutreffend)
Der Bieter verfügt über mindestens 3 Referenzen über die Ende-zu-Ende-Bearbeitung eines komplexen Incidents, der durch einen fortgeschrittenen Angreifer verursacht wurde, in den letzten 3 Jahren. 

Gewertet werden ausschließlich Referenzen mit folgenden Mindestanforderungen: 
- Die Referenz muss die Ende-zu-Ende-Bearbeitung eines komplexen Incidents umfassen, der durch einen fortgeschrittenen Angreifer verursacht wurde. 
o Unter Ende-zu-Ende Bearbeitung wird die Bearbeitung von der Annahme über die Erstbegutachtung, Analyse, Eindämmung, Behebung, Wiederherstellung bis zur Nachsorge verstanden.
o Als komplexe Incidents werden solche Incidents gewertet, die durch mehrstufige Angriffsvektoren, umfangreiche Auswirkungen sowie die Meldepflicht nach §8c BSIG oder EU-DSGVO Art. 33 gekennzeichnet sind.
o Unter einem fortgeschrittenen Angreifer werden staatlich geförderte Akteure oder andere hochorganisierte Gruppen verstanden (APTs).


Gewertet werden ausschließlich Referenzen, die in den letzten drei Jahren begonnen und/oder beendet wurden.


Der Bieter ist qualifizierter APT-Response Dienstleister im Sinne des § 3 BSIG oder verfügt über eine vergleichbare Qualifizierung durch eine entsprechende staatliche Institution.

Der Bieter verfügt über eine gültige ISO 27001-Zertifizierung.
Die GIZ fordert im gesetzlich vorgesehenen Rahmen den Bewerber oder Bieter auf, Unterlagen nachzureichen, zu vervollständigen oder zu korrigieren.

Eligibility requirements: 1. Eigenerklärung: Name des Unternehmens und Anschrift, Steuer ID, Eintragung ins Handelsregister oder gleichwertigem Register nach den Rechtsvorschriften des Herkunftslands
2. Keine Ausschlussgründe nach § 123, § 124 GWB, § 22 LkSG 
3. Erklärung der Bewerbergemeinschaft und/oder Erklärung Nachunternehmer (falls zutreffend)
Der Bieter verfügt über mindestens 3 Referenzen über die Ende-zu-Ende-Bearbeitung eines komplexen Incidents, der durch einen fortgeschrittenen Angreifer verursacht wurde, in den letzten 3 Jahren. 

Gewertet werden ausschließlich Referenzen mit folgenden Mindestanforderungen: 
- Die Referenz muss die Ende-zu-Ende-Bearbeitung eines komplexen Incidents umfassen, der durch einen fortgeschrittenen Angreifer verursacht wurde. 
o Unter Ende-zu-Ende Bearbeitung wird die Bearbeitung von der Annahme über die Erstbegutachtung, Analyse, Eindämmung, Behebung, Wiederherstellung bis zur Nachsorge verstanden.
o Als komplexe Incidents werden solche Incidents gewertet, die durch mehrstufige Angriffsvektoren, umfangreiche Auswirkungen sowie die Meldepflicht nach §8c BSIG oder EU-DSGVO Art. 33 gekennzeichnet sind.
o Unter einem fortgeschrittenen Angreifer werden staatlich geförderte Akteure oder andere hochorganisierte Gruppen verstanden (APTs).


Gewertet werden ausschließlich Referenzen, die in den letzten drei Jahren begonnen und/oder beendet wurden.


Der Bieter ist qualifizierter APT-Response Dienstleister im Sinne des § 3 BSIG oder verfügt über eine vergleichbare Qualifizierung durch eine entsprechende staatliche Institution.

Der Bieter verfügt über eine gültige ISO 27001-Zertifizierung.
Die GIZ fordert im gesetzlich vorgesehenen Rahmen den Bewerber oder Bieter auf, Unterlagen nachzureichen, zu vervollständigen oder zu korrigieren.
Die Ausführungsbedingungen ergeben sich aus der Auftragsbekanntmachung und den Vergabeunterlagen.
Preiskriterium für "Niedrigster Preis (ohne Kriterien)"
Ein Nachprüfungsantrag ist gemäß § 160 Abs. 3 GWB unzulässig, soweit
1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt,
2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.
Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt.
Die GIZ arbeitet als Bundesunternehmen weltweit mit Partnern für eine lebenswerte Zukunft. Sie bietet maßgeschneiderte, wirtschaftliche und wirksame Dienstleistungen für nachhaltige Entwicklung an. Aus den vielfältigen Tätigkeiten ergibt es sich, dass die GIZ global zehntausende IT-Assets in unterschiedlichsten Strukturen betreibt. Daraus wiederum folgt eine erhebliche Zahl von Angriffsvektoren für gezielte und ungezielte Operationen.? 

Derzeit werden IT-Sicherheitsereignisse und -vorfälle technisch durch das GIZ-eigene Cyber Security Operations Center (CSOC) gemanaged. Im Falle umfangreicherer Incidents kann es gefordert sein, externe Unterstützung zur unmittelbaren Gefahrenabwehr (Incident Response) sowie zur forensischen Nachsorge einzubeziehen. Zum Bezug solcher Unterstützungsleistungen soll mittels der vorliegenden Ausschreibung ein Rahmenvertrag geschlossen werden, der im Falle eines Incidents kurzfristigen Zugriff auf externe Spezialistinnen und Spezialisten ermöglicht.  

Für die in der dieser Leistungsbeschreibung enthaltenen Tätigkeiten ist für die Dienstleistungen für die ersten 2 Jahre eine Schätz- und Höchstmenge von 200 FKT vorgesehen. Für das optionale 3. Und 4. Jahr ist jeweils eine Schätz- und Höchstmenge von 100 FKT vorgesehen.