Public procurement notice: Contract Award Notice
Published: 2024-07-18
Buyer: Landwirtschaftliche Rentenbank
Country: DE
Region: DE712
Contract type: Services
Procedure: Open procedure
CPV classification: 72200000
Award criteria: price

Technical requirements: Abschluss einer Rahmenvereinbarung mit mehreren Vertragspartnern für Beratungsdienstleistungen im Bereich IT-Sicherheit
Für die Einleitung eines Nachprüfungsverfahrens vor der Vergabekammer gelten u. a. die §§ 160 f. GWB. Diese haben folgenden Wortlaut: "§ 160 Einleitung, Antrag (1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein. (2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist dar-zulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht. (3) Der Antrag ist unzulässig, soweit 1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt, 2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt. § 161 Form, Inhalt (1) Der Antrag ist schriftlich bei der Vergabekammer einzureichen und unverzüglich zu begründen. Er soll ein bestimmtes Begehren enthalten. Ein Antragsteller ohne Wohnsitz oder gewöhnlichen Aufenthalt, Sitz oder Geschäftsleitung im Geltungsbe-reich dieses Gesetzes hat einen Empfangsbevollmächtigten im Geltungsbereich dieses Gesetzes zu benennen. (2) Die Begründung muss die Bezeichnung des Antragsgegners, eine Beschreibung der behaupteten Rechtsverletzung mit Sachverhaltsdarstellung und die Bezeichnung der verfügbaren Beweismittel enthalten sowie darlegen, dass die Rüge gegenüber dem Auftraggeber erfolgt ist; sie soll, soweit bekannt, die sonstigen Beteiligten benennen." Ferner wird auf die Frist gemäß § 135 Abs. 2 GWB hingewiesen. Hiernach kann die Unwirksamkeit eines öffentlichen Auftrags wegen eines Verstoßes gegen § 134 GWB (Informations- und Wartepflicht) oder wegen einer Vergabe ohne vorheriger Veröffentlichung einer Bekanntmachung im Amtsblatt der EU nur in einem Nachprüfungsverfahren festgestellt werden, wenn sie im Nachprüfungsverfahren innerhalb von 30 Kalendertagen nach der Information der betroffenen Bieter und Bewerber durch den öffentlichen Auftraggeber über den Abschluss des Vertrags, jedoch nicht später als sechs Monate nach Vertragsschluss geltend gemacht worden ist. Hat der Auftraggeber die Auftragsvergabe im Amtsblatt der EU bekannt gemacht, endet die Frist zur Geltendmachung der Unwirksamkeit 30 Kalendertage nach Veröffentlichung der Bekanntmachung der Auftragsvergabe im Amtsblatt der EU.
Die Rentenbank passt ihre IT-Sicherheitsarchitektur kontinuierlich und risikobasiert an die aktuelle Bedrohungslage an. Die Vorhaben sind in der „Roadmap IT-Sicherheit“ gebündelt. Diese hat die wesentlichen Ziele die IT-Sicherheitsarchitektur zu implementieren, aktuelle regulatorische Anforderungen der IT-Compliance umzusetzen sowie Maßnahmen aus Prüfungsvorhaben umzusetzen. Die Umsetzung der dazu erforderlichen Maßnahmen erfolgt schrittweise unter Beachtung von Risikogesichtspunkten. Um diese Ziele erreichen zu können, benötigt die Rentenbank externe Beratungsdienstleistungen.

Die Implementierung der IT-Sicherheitsarchitektur führt zu einer weitreichenden Änderung in vielen IT-Bereichen, insbesondere
•	dem Berechtigungsmanagement,
•	dem Security Monitoring und Security Incident Management,
•	der Netzwerksicherheit und der operativen IT-Sicherheit,
•	dem Asset-Management,
•	der Thread Intelligence & dem Vulnerability Management,
•	der Anwendungssicherheit.

Die Rentenbank überprüft und erweitert kontinuierlich die IT-Sicherheitsarchitektur, um flexibel und nachhaltig auf geänderte Bedrohungslagen und Vorgaben zu reagieren. Im Jahr 2022 wurde die Rentenbank IT einer Prüfung nach § 44 KWG unterzogen. Mit Blick auf die verfolgte Zielsetzung bildet daher die Umsetzung der gegenüber der Aufsicht zugesagten Maßnahmen einen wesentlichen Schwerpunkt. 

Hierzu benötigt die Rentenbank Unterstützungs- und Beratungsleistungen zu einzelnen Themenstellungen im Bereich der Roadmap IT-Sicherheit im Zuge von Einzelmaßnahmen oder Projekten.

Mit dieser Ausschreibung werden die dafür erforderlichen Beratungsleistungen für folgende Themen vergeben:
•	die kontinuierliche Erweiterung und Anpassung der Zielarchitektur an die aktuelle Sicherheitslage,
•	Ausbau des Security Monitoring und Security Incident Management, z.B. Evaluierung einer EDR-Lösung (Endpoint Detection and Response) mit Ausbau zu Host Isolation sowie Evaluierung des Einsatz eines SOAR-Systems (Security Orchestration, Automation and Response),
•	kontinuierliche Erweiterung des Identity & Access Management, z.B. Digitale Anbindung aller Anwendungen an das Active Directory/ Omada Identity und Ausbau SSO,
•	Erweiterung des Asset Management, z.B. Etablierung eines umfassenden Asset-Management inkl. Asset Bewertung, Asset-Beziehungen und Integration des Asset Managements in wesentliche Bereiche der IT-Sicherheitsarchitektur (IAM, Netzwerk, SIEM, Endpoint Protection, Schwachstellenscan),
•	kontinuierliche Erweiterung der Netzwerksicherheit, z.B. die Umsetzung einer dynamischen Netzwerksegmentierungsstrategie sowie der Zielarchitektur IDS/IPS,
•	die Umsetzung der Zielarchitektur Schwachstellenmanagement, z.B. Erweiterung der Automatisierung im Schwachstellenmanagement, 
•	Unterstützungsleistungen bei der Sicherstellung der IT-Compliance (z.B. Abarbeitung von Feststellungen aus der IT44-Prüfung),
•	das Projektmanagement auf Programm- und Projektebene sowie begleitendes Test-, Anforderungs- und Qualitäts-Management.

Die Beratungsleistungen sind Teil des Transformationsprozesses der Rentenbank hin zu einer zukunftsfähigen und tragfähigen IT-Architektur. Ziel ist die Schaffung von ausreichender Flexibilität für die Umsetzung der zu erwartenden Geschäftsanforderungen sowie der aufsichtsrechtlichen bzw. gesetzlichen Anforderungen.
 
Dazu werden insbesondere folgende Beratungsleistungen benötigt, die im Rahmen von Einzelbeauftragungen abgerufen werden sollen:

•	Los 1: Weiterentwicklung und Architektur – IT-Beratungsleistungen und Fachberater im IT-Sicherheitsumfeld:
o	Implementierungsberater/Senior-Implementierungsberater für alle beschriebenen Bereiche der IT-Sicherheit
o	Architekt/Senior Architekt
o	Schnittstellen-Entwickler
o	Fachberater
o	Senior Fachberater

•	Los   2:  ITB (IT Betrieb)-Unterstützung – IT-Beratungsleistungen im IT-Sicherheitsumfeld:
o	Providermanagement
o	Benutzer-Administration im Projektkontext
o	Datenbank-Administration / Applikationsbetrieb Windows / Linux im Projektkontext

•	Los 3: Projektleitung, PMO und Querschnittsfunktionen – Berater im IT-Sicherheitsumfeld:
o	Projektleitung
o	Projektunterstützung (PMO)
o	Test- und Releasemanagement
o	Ressourcenmanagement

Zur Beschaffung der benötigten Beratungsleistungen soll eine Rahmenvereinbarung mit mindestens drei und höchstens zwölf Unternehmen je Los abgeschlossen werden. Auf Basis dieser Rahmenvereinbarung wird die Rentenbank ihren Bedarf an Beratungsdienstleistungen durch Abschluss zeitlich befristeter Einzelaufträge decken. Die Einzelaufträge werden im Wettbewerb zwischen den Rahmenvereinbarungspartnern gemäß § 21 Abs. 4 und 5 VgV vergeben. 

Die Einzelheiten der zu erbringenden Leistung ergeben sich aus dieser Leistungsbeschreibung, die im Zuschlagsfall Bestandteil der Rahmenvereinbarung wird, und den Einzelaufträgen, die nach Abschluss der Rahmenvereinbarung erteilt werden.

Die Rahmenvereinbarung hat eine Laufzeit von 24 Monaten. Die Laufzeit kann durch die Rentenbank zweimal um jeweils 12 Monate verlängert werden.

Die Rahmenvereinbarung wird für jedes Los individuell geschlossen.
Die Laufzeit des Vertrages kann durch die Rentenbank zweimal um jeweils 12 Monate verlängert werden.
Los 1: Weiterentwicklung und Architektur – IT-Beratungsleistungen und Fachberater im IT-Sicherheitsumfeld


Winner: Advisori FTC GmbH
Number of bids: 28