Public procurement notice: Contract Notice
Published: 2025-05-05
Buyer: PD - Berater der öffentlichen Hand GmbH
Country: DE
Region: DEA22
Contract type: Services
Procedure: Negotiated with prior call for competition
CPV classification: 72000000 | 72310000: Data processing services | 72318000: Data transmission services | 72611000: Technical computer support services | 79710000: Security services
Submission deadline: 2025-06-02
Award criteria: price, quality

Technical requirements: Gegenstand der Ausschreibung ist der Abschluss eines Rahmenvertrages über Beratungs- und Entwicklungsleistungen (im folgenden Dienstleistungen) im Bereich IT-Sicherheit, Informationssicherheit und Datenschutz für Einrichtungen des öffentlichen Gesundheitsdienstes (ÖGD) in den Bundesländern Schleswig-Hollstein und Sachsen-Anhalt als Gesellschafter der PD - Berater der öffentlichen Hand GmbH.

Ausgeschrieben werden Dienstleistungen in den folgenden fünf Fachlosen:
- Los 1: Durchführung von Cyber-Sicherheits-Checks  
- Los 2: Durchführung von Penetrationstests für verschiedene Anwendungen und Einrichtungen des ÖGD sowohl auf Ebene des Landes als auch Ebene der Kommunen
- Los 3: Entwicklungsleistungen für eine digitale Sensibilisierungsmaßnahmen zur IT-Sicherheit und Datenschutz für Verwaltungsmitarbeitende
- Los 4: Durchführung von Schulungen und Sensibilisierungsmaßnahmen im Kontext IT-Sicherheit und Datenschutz 
- Los 5: Allgemeine Beratungsleistungen im Kontext der Informationssicherheit und des Datenschutzes, insb. für Strategie- und Konzeptentwicklungen sowie Unterstützungen bei der Vorbereitung von Informationssicherheitszertifizierungen und Audits
Eigenerklärung über das Nichtvorliegen von Ausschlussgründen nach §§ 123, 124 GWB
Eigenerklärung zu Artikel 5 k) der Verordnung (EU) 833/2014 über restriktive Maßnahmen angesichts der Handlungen Russlands, die die Lage in der Ukraine destabilisieren
Eigenerklärung zu arbeitsrechtlichen Pflichten und LkSG
Bestehen einer Berufs- oder Betriebshaftpflichtversicherung oder sofern derzeit keine Versicherung in erforderlicher Höhe geführt wird, Erklärung, dass eine solche Versicherung im Auftragsfall abgeschlossen wird, bei einem Versicherer, der im Gebiet der Mitgliedstaaten der Europäischen Union oder anderer Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum (EWR) niedergelassen ist Mindeststandard: Deckungssummen mind. 1 Mio. EUR für Personenschäden und mind. 1 Mio. EUR für Vermögens- und Sachschäden, jeweils mind. zweifach maximiert

Eligibility requirements: Eigenerklärung über das Nichtvorliegen von Ausschlussgründen nach §§ 123, 124 GWB
Eigenerklärung zu Artikel 5 k) der Verordnung (EU) 833/2014 über restriktive Maßnahmen angesichts der Handlungen Russlands, die die Lage in der Ukraine destabilisieren
Eigenerklärung zu arbeitsrechtlichen Pflichten und LkSG
Bestehen einer Berufs- oder Betriebshaftpflichtversicherung oder sofern derzeit keine Versicherung in erforderlicher Höhe geführt wird, Erklärung, dass eine solche Versicherung im Auftragsfall abgeschlossen wird, bei einem Versicherer, der im Gebiet der Mitgliedstaaten der Europäischen Union oder anderer Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum (EWR) niedergelassen ist Mindeststandard: Deckungssummen mind. 1 Mio. EUR für Personenschäden und mind. 1 Mio. EUR für Vermögens- und Sachschäden, jeweils mind. zweifach maximiert
Erklärung über den Umsatz im Tätigkeitsbereich des Auftrags in den letzten drei Geschäftsjahren. Dies sind Leistungen im Bereich der branchenspezifischen Software- und Schnittstellenentwicklung im Gesundheitswesen Mindeststandard Los 1: Umsatz durchschnittlich mind. 800.000 EUR netto p.a.
Mindeststandard Los 2: Umsatz durchschnittlich mind. 120.000 EUR netto p.a.
Mindeststandard Los 3: Umsatz durchschnittlich mind. 380.000 EUR netto p.a.
Mindeststandard Los 4: Umsatz durchschnittlich mind. 480.000 EUR netto p.a.
Mindeststandard Los 5: Umsatz durchschnittlich mind. 480.000 EUR netto p.a.
Der Bewerber weist seine technische und berufliche Leistungsfähigkeit durch die Angabe von Referenzprojekten über in den letzten drei Jahren, ausgehend von der Teilnahmeantragsfrist, erbrachten vergleichbaren Leistungen nach. Als geeignete Referenzen gelten Cyber-Sicherheits-Checks, die im Bereich der öffentlichen Verwaltung oder bei öffentlichen bzw. nicht öffentlichen Einrichtungen des Gesundheitswesens, realisiert wurden. Es sind mit dem Teilnahmeantrag mindestens drei Referenzen nachzuweisen.
vgl. §§ 56 VgV
Berichtsexemplar
Für die Nachprüfung dieses Vergabeverfahrens ist gemäß § 159 Abs. 1 Nr. 1 GWB die:

Vergabekammer des Landes Berlin      
Martin-Luther-Str. 105                               
10825 Berlin                                             
Telefon: +49 30 9013-8316                      
Telefax: +49 30 9013-7613                     
E-Mail: vergabekammer@senweb.berlin.de

zuständig.

§ 160 GWB lautet:
„(1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein.
(2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht.
(3) Der Antrag ist unzulässig, soweit
1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt, 
2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkenn-bar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.
Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt.“
Als Grundlage zur Identifizierung, Ableitung und Umsetzung geeigneter technischer, organisatorischer, personeller und infrastruktureller Sicherheitsmaßnahmen zur Prävention, Detektion und Reaktion bei IT-Angriffen verweist die Förderrichtlinie des PÖGD explizit auf den BSI IT-Grundschutz. Dieser liefert Anleitungen, Empfehlungen und Maßnahmen für Behörden, die sich mit der Absicherung ihrer Daten, Systeme und Informationen befassen müssen. Für den öffentlichen Gesundheitsdienst existiert noch kein explizites Grundschutz Profil. Als Orientierungshilfe kann jedoch das Grundschutz-Profil „Basis-Absicherung Kommunalverwaltung“ dienen. Dieses IT-Grundschutz-Profil basiert auf dem BSI-Standard 200-2 "IT-Grundschutz-Methodik" und definiert die Mindestsicherheitsmaßnahmen, die auf Ebene der Kommunalverwaltung, hier konkret der Gesundheitsämter, umzusetzen sind, um ein angemessenes Schutzniveau zu erreichen. Formale Audits gemäß gängiger Zertifizierungsstandards wie DIN ISO 27001 sind jedoch häufig zu komplex für einzelne Kommunen und deren Gesundheitsämter. Um die IT-Sicherheit in den Gesundheitsämtern wirksam zu steigern sollen Prüfungen gemäß Leitfaden Cyber-Sicherheits-Checks (Version 2, ISACA Germany Chapter) durchgeführt werden. Ebenfalls sollen die Dimensionen IT-Sicherheit und Software, Interoperabilität, Daten Subdimension Datenschutz des PÖGD Reifegradmodells bewertet werden. Ausgehend von den Prüfungen sollen den Einrichtungen Handlungsempfehlungen gegeben werden und sowohl individuell als auch übergreifend Berichte zu den Ergebnissen erstellt werden.

Winner: Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)