Public procurement notice: Contract Notice
Published: 2020-10-30
Buyer: ekom21 – Kommunales Gebietsrechenzentrum Hessen
Country: DE
Contract type: Services
Procedure: Open procedure
CPV classification: 72225000: Systems quality assurance services
Submission deadline: 2020-11-30
Award criteria: The most economic tender

Technical requirements: Zur technischen Verifizierung des IT-Sicherheitsniveaus und zur Identifikation von Schwachstellen in den IT-Systemen (Webapps, Anwendungen, Netze, Produkte, …) der ekom21 müssen IT-Penetrationstests durchgeführt werden. Ziel dieser Untersuchungen ist es, technische Schwachstellen in den IT-Systemen zu finden, die potenziell bei Cyberangriffen zu Schäden bzw. negativen Auswirkungen auf die Geschäftsprozesse der ekom21 haben können.
Bei Penetrationstests wird zur Überprüfung des Sicherheitsniveaus versucht, über Schwachstellen Systemzugriffe zu ermöglichen, die technisch eigentlich unterbunden sein sollten. Damit soll auch nachgewiesen werden, ob bzw. dass die umgesetzten Maßnahmen zur technischen Absicherung der IT-Systeme den erwarteten Schutz bieten.
Mittels Penetrationstests soll geprüft werden, ob die Zielanwendung gegenüber einem potentiellen Angreifer verwundbar ist und Möglichkeiten bestehen die Zielanwendung zu manipulieren oder in das System einzudringen.
Diese Analysen werden im Vorfeld mit den jeweiligen Verantwortlichen, IT-Sicherheitsmanagern sowie IT-Dienstleistern der betreffenden Verfahren abgestimmt und die Durchführung begleitet.
Weltweit nehmen die Cyberangriffe zu. Auch die ekom21 – KGRZ Hessen (im Folgenden: ekom21) kann sich diesem Trend nicht entziehen und steht hier zunehmend im Fokus von gezielten Cyberangriffen. Neben der Prävention werden Maßnahmen zur Detektion von und Reaktion auf solch gezielten Cyberangriffen zum Schutz der IT-gestützten Geschäftsprozesse immer wichtiger.
Bei Cyberangriffen werden i.d.R. vorhandene Sicherheitslücken in IT-Systemen ausgenutzt, so dass die ekom21 systematisch sicherstellen muss, dass regelmäßig nach vorhandenen Schwachstellen gesucht wird, die dann zeitnah beseitigt werden müssen, bevor diese durch Angreifer ausgenutzt werden können.
Zusätzlich muss die ekom21 die Reaktionsfähigkeiten und Analysemöglichkeiten bei erfolgreichen Cyberangriffen nachhaltig verbessern, um Schäden auf die Geschäftsprozesse zu vermeiden bzw. zu minimieren.
Aus diesem Grund besteht der Bedarf nach Sicherheitsdienstleistungen wie der Durchführung von Penetrationstests in den folgenden Leistungsfeldern
Die durchzuführenden Tests sind ausschließlich von eigenen Mitarbeitern des Auftragnehmers durchzuführen, der Einsatz von Subdienstleistern und/ oder externen Fachkräften ist nicht zulässig.
Die Qualifikation der Mitarbeiter (Pentester) ist entsprechend des Erfassungsblatt_Mitarbeiterqualität.xlsx zu dokumentieren.
Im Rahmen der Durchführung ist nicht gewünscht, durch verdeckte Arbeit oder Täuschung der Mitarbeiter Arbeitsfehler zu provozieren oder auf solchen Wegen Informationen zu erhalten (kein Social Engineering).
Die Penetrationstests erfolgen i.d.R. über das Internet bzw. einem vom Auftraggeber bereitgestellten VPN Anschluss oder am Standort des Bestellers in enger Abstimmung mit Vertretern des jeweiligen Geschäftsfeldes/Servicecenters). Fallweise kann die Präsenz der Tester vor Ort (Standorte des Unternehmens in Kassel, Gießen und Darmstadt) sein, z. B. für das Modul WLAN.
Der Auftraggeber gibt eine Schätzung der Durchführungsdauer des Penetrationstests bei der Anfrage an den Auftragnehmer ab. Damit sollte es möglich sein innerhalb von 5 Arbeitstagen ein Angebot abzugeben. Der geschätzte Zeitraum für die Durchführung darf im späteren Penetrationstest bei Bedarf auch unter- bzw. überschritten werden. Der Durchführungszeitraum muss, wenn vom Auftraggeber kein Zeitrahmen angegeben wurde, innerhalb der nächsten 4 Wochen liegen.
Die Ergebnisse der Tests müssen jeweils in einem deutschsprachigen Abschlussbericht erläutert und bewertet werden. Es ist immer eine detaillierte Beschreibung, inkl. relevanter technischer Parameter notwendig. Bei der Analyse sind die gefundenen Schwachstellen mit einem CVSS-Vektor zu bewerten. Die Ergebnisse reiner Vulnerability Scans müssen als solche gekennzeichnet sein. Automatisiert gefundene Schwachstellen sollten verifiziert werden. Dabei muss angegeben werden wie dies erfolgt ist. Sollte eine Verifizierung in Einzelfällen nicht möglich sein, muss dies explizit angegeben werden. Zu den beschriebenen Schwachstellen sollen die möglichen Angriffsvektoren ebenso wie die Ausnutzbarkeit beschrieben sein. Nähere Anforderungen zur Dokumentation sind in Abschnitt 6 definiert.
Darüber hinaus sind bei Bedarf Abschlusspräsentationen für technische und fachliche Spezialisten und Vertreter des Managements jeweils vor Ort durchzuführen. Die Kommunikation erfolgt in deutscher Sprache.

Eligibility requirements: 1) Eigenerklärung des Unternehmens, über die Befähigung und Erlaubnis zur Berufsausübung (§ 44 VgV)[Eigenerklärung Befähigung und Erlaubnis zur Berufsausübung], 2) Eigenerklärung des Unternehmens zu Ausschlussgründen (insbes. zu §§ 123, 124 GWB), gemäß dem Gemeinsamen Runderlass über den „Ausschluss von Bewerbern und Bieter wegen schwerer Verfehlungen, die ihre Zuverlässigkeit in Frage stellen“ in der Fassung vom 12.12.2017 (StAnz. 1/2018 S. 15 ff.), den besonderenAuftragsbedingungen sowie den Abschlusserklärungen [Eigenerklärung zu Ausschlussgründen]. Zu den geforderten Nachweisen werden für alle geforderten Erklärungen Erfassungsformulare zur Verfügung gestellt, die unter Beachtung der Ausfüllhinweise zwingend zu verwenden sind. Geforderte Eignungsnachweise (gem. §§ 122 ff. GWB, §§ 42 ff. VgV), die in Form anerkannter Präqualifikationsnachweise (u. a. HPQR) vorliegen, werden zugelassen und anerkannt, wenn die Präqualifikationsnachweise in Form und Inhalt den geforderten Eignungsnachweisen entsprechen. Die weiteren Einzelheiten zu den Bedingungen und Anforderungen sind den Vergabeunterlagen zu entnehmen.