Public procurement notice: Contract Notice
Published: 2025-06-25
Buyer: Klinik IT eG
Country: DE
Region: DE212
Contract type: Services
Procedure: Negotiated with prior call for competition
CPV classification: 72220000: Systems and technical consultancy services
Submission deadline: 2025-07-24

Technical requirements: Ausschreibung einer Rahmenvereinbarung für den Aufbau und das Vorhalten einer Incident Response Hotline sowie Leistungen zur Analyse der Informationssicherheit von Krankenhäusern
Folgende Angaben/Nachweise/Erklärungen sind vom Bewerber bzw. der Bewerbergemeinschaft mit dem Teilnahmeantrag einzureichen: 
(1) Nachweis (Kopie der Versicherungspolice bzw. Bestätigung durch Versicherungsunternehmen) über eine gültige Betriebs- und Vermögensschadenhaftpflichtversicherung für Personen-, Sach- und Vermögensschäden  – im Zeitpunkt der Einreichung nicht älter als 12 Monate – von einem in der Europäischen Union zugelassenen Versicherungsunternehmen. Diese Versicherung muss nachfolgende Anforderungen erfüllen (Mindestanforderungen): 
(a) Deckungssumme von mindestens EUR 5,0 Mio. bei einer 2-fachen Maximierung pro Versicherungsjahr; 
(b) Erfassung von Personen-, Sach- und Vermögensschäden; 
(c) Nachhaftungsfrist von mindestens zwei Jahren im Fall der Liquidation des Versicherungsnehmers. 
Sofern eine Betriebs- und Vermögensschadenshaftpflichtversicherung die Mindestanforderungen nicht erfüllt, ist als 
Nachweis eine Eigenerklärung (Bestätigung durch Versicherungsunternehmer) vorzulegen, wonach sich der Bewerber bzw. die Bewerbergemeinschaft zum Abschluss bzw. Erweiterung einer Versicherung gemäß diesen Anforderungen im Falle der Auftragserteilung verpflichtet; 
(2) Erklärung über den Gesamtumsatz in Deutschland in EUR (netto) des Bewerbers in den Jahren 2022, 2023 und 2024 und Angaben zur Dauer des jeweiligen Geschäftsjahres (falls nicht mit Kalenderjahr identisch) sowie zum Beginn der Geschäftstätigkeit (bei Aufnahme der Geschäftstätigkeit nach 2022); 
(3) Erklärung über den Umsatz in Deutschland in EUR (netto) mit vergleichbaren Leistungen, d.h. mit Leistungen im Zusammenhang mit dem Aufbau und dem Vorhalten einer Incident Response Hotline sowie Leistungen zur Analyse der Informationssicherheit von Krankenhäusern, in den Jahren 2022, 2023 und 2024 und Angaben zur Dauer des jeweiligen Geschäftsjahres (falls nicht mit Kalenderjahr identisch) sowie zum Beginn der Geschäftstätigkeit (bei Aufnahme der Geschäftstätigkeit nach 2022).
Folgende Angaben/Nachweise/Erklärungen sind vom Bewerber bzw. der Bewerbergemeinschaft mit dem Teilnahmeantrag einzureichen: 

1. Der Bewerber (bzw. das Mitglied der Bewerbergemeinschaft) hat nach Maßgabe von § 46 Abs. 3 Nr. 2 VgV zuzusichern, dass er sich zur Bereitstellung von mindestens fünf für die projektspezifischen Leistungen entsprechend qualifizierten Fachkräften – zusätzlich zum vorgesehenen Hauptansprechpartner sowie den Projektleitern – als Kernteam zur Leistungserbringung für die Projektumsetzung im Falle der Auftragserteilung verpflichtet.

2.Der Bewerber (bzw. das Mitglied der Bewerbergemeinschaft) hat nach Maßgabe des § 46 Abs. 3 Nr. 2 VgV zuzusichern, dass 

•	ein Hauptansprechpartner für die Auftragsdurchführung (Geschäftsführer, Vorstand etc.),
•	ein Projekt- / Service Manager Notfallhotline
•	Projekt- / Teamleiter Incident Response Ressourcen und
•	Projekt- / Teamleiter Erfassung Systemverbünde und Netzwerkstrukturen

vorgesehen sind und diese Personen im Teilnahmeantrag (Bewerbung) namentlich zu benennen. Der Nachweis über die fachliche Qualifikation der einzelnen namentlich zu benennenden Personen wird dabei erbracht durch 

•	Vorlage eines Kurzlebenslaufs mit Ausbildungsnachweis,
•	Angabe zur Unternehmenszugehörigkeit sowie
•	Angaben zu einschlägiger Berufserfahrung in Jahren. 

Die Projektleiter müssen jeweils über mindestens acht Jahre einschlägige und branchenspezifische Berufserfahrung, d.h. Digitalisierung im Gesundheitsbereich oder in Sektoren mit vergleichbaren Anforderungen verfügen.
Folgende Angaben/Nachweise/Erklärungen sind vom Bewerber bzw. der Bewerbergemeinschaft mit dem Teilnahmeantrag einzureichen:
Der Bewerber (bzw. das Mitglied der Bewerbergemeinschaft) erklärt nach Maßgabe von § 46 Abs. 3 Nr. 3 VgV, dass er beim Bundesamt für Sicherheit in der Informationstechnik (BSI) als APT-Response-Dienstleister (https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Dienstleister_APT-Response-Liste.html) gelistet ist.
Folgende Angaben/Nachweise/Erklärungen sind vom Bewerber bzw. der Bewerbergemeinschaft mit dem Teilnahmeantrag einzureichen:
1. Der Bewerber (bzw. das Mitglied der Bewerbergemeinschaft) erklärt nach Maßgabe von § 46 Abs. 3 Nr. 3 VgV, dass der Nachweis zum Betrieb eines Informationssicherheitsmanagementsystems (DIN ISO 27001 oder vergleichbar) besteht (Mindestanforderung).

2. Der Bewerber (bzw. das Mitglied der Bewerbergemeinschaft) erklärt nach Maßgabe von § 46 Abs. 3 Nr. 3 VgV, dass der Nachweis zum Betrieb eines Qualitätsmanagementsystems (DIN ISO 9001 oder vergleichbar) besteht (Mindestanforderung).

Eligibility requirements: Folgende Angaben/Nachweise/Erklärungen sind vom Bewerber bzw. der Bewerbergemeinschaft mit dem Teilnahmeantrag einzureichen: 
(1) Nachweis (Kopie der Versicherungspolice bzw. Bestätigung durch Versicherungsunternehmen) über eine gültige Betriebs- und Vermögensschadenhaftpflichtversicherung für Personen-, Sach- und Vermögensschäden  – im Zeitpunkt der Einreichung nicht älter als 12 Monate – von einem in der Europäischen Union zugelassenen Versicherungsunternehmen. Diese Versicherung muss nachfolgende Anforderungen erfüllen (Mindestanforderungen): 
(a) Deckungssumme von mindestens EUR 5,0 Mio. bei einer 2-fachen Maximierung pro Versicherungsjahr; 
(b) Erfassung von Personen-, Sach- und Vermögensschäden; 
(c) Nachhaftungsfrist von mindestens zwei Jahren im Fall der Liquidation des Versicherungsnehmers. 
Sofern eine Betriebs- und Vermögensschadenshaftpflichtversicherung die Mindestanforderungen nicht erfüllt, ist als 
Nachweis eine Eigenerklärung (Bestätigung durch Versicherungsunternehmer) vorzulegen, wonach sich der Bewerber bzw. die Bewerbergemeinschaft zum Abschluss bzw. Erweiterung einer Versicherung gemäß diesen Anforderungen im Falle der Auftragserteilung verpflichtet; 
(2) Erklärung über den Gesamtumsatz in Deutschland in EUR (netto) des Bewerbers in den Jahren 2022, 2023 und 2024 und Angaben zur Dauer des jeweiligen Geschäftsjahres (falls nicht mit Kalenderjahr identisch) sowie zum Beginn der Geschäftstätigkeit (bei Aufnahme der Geschäftstätigkeit nach 2022); 
(3) Erklärung über den Umsatz in Deutschland in EUR (netto) mit vergleichbaren Leistungen, d.h. mit Leistungen im Zusammenhang mit dem Aufbau und dem Vorhalten einer Incident Response Hotline sowie Leistungen zur Analyse der Informationssicherheit von Krankenhäusern, in den Jahren 2022, 2023 und 2024 und Angaben zur Dauer des jeweiligen Geschäftsjahres (falls nicht mit Kalenderjahr identisch) sowie zum Beginn der Geschäftstätigkeit (bei Aufnahme der Geschäftstätigkeit nach 2022).
Folgende Angaben/Nachweise/Erklärungen sind vom Bewerber bzw. der Bewerbergemeinschaft mit dem Teilnahmeantrag einzureichen: 

1. Der Bewerber (bzw. das Mitglied der Bewerbergemeinschaft) hat nach Maßgabe von § 46 Abs. 3 Nr. 2 VgV zuzusichern, dass er sich zur Bereitstellung von mindestens fünf für die projektspezifischen Leistungen entsprechend qualifizierten Fachkräften – zusätzlich zum vorgesehenen Hauptansprechpartner sowie den Projektleitern – als Kernteam zur Leistungserbringung für die Projektumsetzung im Falle der Auftragserteilung verpflichtet.

2.Der Bewerber (bzw. das Mitglied der Bewerbergemeinschaft) hat nach Maßgabe des § 46 Abs. 3 Nr. 2 VgV zuzusichern, dass 

•	ein Hauptansprechpartner für die Auftragsdurchführung (Geschäftsführer, Vorstand etc.),
•	ein Projekt- / Service Manager Notfallhotline
•	Projekt- / Teamleiter Incident Response Ressourcen und
•	Projekt- / Teamleiter Erfassung Systemverbünde und Netzwerkstrukturen

vorgesehen sind und diese Personen im Teilnahmeantrag (Bewerbung) namentlich zu benennen. Der Nachweis über die fachliche Qualifikation der einzelnen namentlich zu benennenden Personen wird dabei erbracht durch 

•	Vorlage eines Kurzlebenslaufs mit Ausbildungsnachweis,
•	Angabe zur Unternehmenszugehörigkeit sowie
•	Angaben zu einschlägiger Berufserfahrung in Jahren. 

Die Projektleiter müssen jeweils über mindestens acht Jahre einschlägige und branchenspezifische Berufserfahrung, d.h. Digitalisierung im Gesundheitsbereich oder in Sektoren mit vergleichbaren Anforderungen verfügen.
Folgende Angaben/Nachweise/Erklärungen sind vom Bewerber bzw. der Bewerbergemeinschaft mit dem Teilnahmeantrag einzureichen:
Der Bewerber (bzw. das Mitglied der Bewerbergemeinschaft) erklärt nach Maßgabe von § 46 Abs. 3 Nr. 3 VgV, dass er beim Bundesamt für Sicherheit in der Informationstechnik (BSI) als APT-Response-Dienstleister (https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Dienstleister_APT-Response-Liste.html) gelistet ist.
Folgende Angaben/Nachweise/Erklärungen sind vom Bewerber bzw. der Bewerbergemeinschaft mit dem Teilnahmeantrag einzureichen:
1. Der Bewerber (bzw. das Mitglied der Bewerbergemeinschaft) erklärt nach Maßgabe von § 46 Abs. 3 Nr. 3 VgV, dass der Nachweis zum Betrieb eines Informationssicherheitsmanagementsystems (DIN ISO 27001 oder vergleichbar) besteht (Mindestanforderung).

2. Der Bewerber (bzw. das Mitglied der Bewerbergemeinschaft) erklärt nach Maßgabe von § 46 Abs. 3 Nr. 3 VgV, dass der Nachweis zum Betrieb eines Qualitätsmanagementsystems (DIN ISO 9001 oder vergleichbar) besteht (Mindestanforderung).
Erklärung über durchschnittliche jährliche Beschäftigtenzahl (2022, 2023 und 2024)
Folgende Angaben/Nachweise/Erklärungen sind vom Bewerber bzw. der Bewerbergemeinschaft mit dem Teilnahmeantrag einzureichen: 1. Der Bewerber bzw. die Bewerbergemeinschaft muss gemäß § 46 Abs. 3 Nr. 1 VgV zu-dem mindestens drei geeignete abgeschlossene Referenzprojekte nachweisen, die mit den zu vergebenden Leistungen nach der Aufgabenstellung (Art, Umfang, Komplexität des Auftrags) vergleichbar sind.

Folgende Anforderungen müssen mindestens von jeweils einem Referenzprojekt erfüllt werden (Mindestanforderungen):
(1)	Aufbau und Betrieb einer Incident Response Hotline samt Unterstützungsleistun-gen 
(2) 	Erhebung und Dokumentation von IT-Infrastrukturen
(3)	Erarbeitung von IT-Notfallplänen
(4)	Auftraggeber ist eine öffentliche, kirchliche oder freigemeinnützige Einrichtung, die ein stationärer Krankenhausbetrieb ist und eine eigene IT-Infrastruktur betreibt.
Die vom Bewerber bzw. der Bewerbergemeinschaft benannten jeweiligen Referenzen müssen aktuell sein, d.h. die Leistungen müssen im Zeitraum vom 31. Mai 2019 bis 1. Juni 2025 oder aktueller durch Inbetriebnahme erfolgreich abgeschlossen worden sein. Referenzen, die nicht den vorstehenden Anforderungen entsprechen, werden aus Gründen der Gleichbehandlung nicht gewertet; 2. Erklärung über die Vergabe von Unteraufträgen und Vorlage einer Verpflichtungserklärung des als UA vorgesehenen Unternehmens.
Der Bewerber bzw. die Bewerbergemeinschaft verpflichtet sich für den Fall der Zuschlagserteilung zur Einhaltung der einschlägigen gesetzlichen Bestimmungen.
Der Preis ist nicht das einzige Zuschlagskriterium; alle Kriterien sind in den Vergabeunterlagen aufgeführt
(1) Etwaige Vergabeverstöße muss der Bewerber/Bieter gemäß § 160 Abs. 3 Nr. 1 GWB innerhalb von 10 Tagen nach Kenntnisnahme rügen.
(2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, sind nach § 160 Abs. 3 Nr. 2 GWB spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Abgabe der Bewerbung oder der Angebote gegenüber dem Auftraggeber zu rügen.
(3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, sind nach § 160 Abs. 3 Nr. 3 GWB spätestens bis zum Ablauf der Frist zur Bewerbungs- oder Angebotsabgabe gegenüber dem Auftraggeber zu rügen.
(4) Ein Vergabenachprüfungsantrag ist nach § 160 Abs. 3 Nr. 4 GWB innerhalb von 15 Kalendertagen nach der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, bei der Vergabekammer einzureichen.
1. Der Auftraggeber ist ein sog. Shared Service Center und wurde im Mai 2023 als Genossenschaft gegründet, um richtungsweisende Digitalisierungsprojekte voranzutreiben, die einzelne Krankenhausträger und deren Einrichtungen allein nicht bewältigen können. Dabei übernimmt der Auftraggeber regelmäßig die konzeptionelle Vorbereitung und operative Durchführung von Vergabeverfahrens sowie der Begleitung der Projektrealisierung mitsamt der Projektkoordination und dem -management („PMO“). Daneben schreibt der Auftraggeber auch selbst Leistungen als Auftraggeber aus.

2. Hintergründe
Krankenhäuser sehen sich einer steigenden Bedrohung aus dem Cyberraum gegenüber. Ebenso nehmen die regulatorischen Anforderungen an die Absicherung und Resilienz der IT-Strukturen von Krankenhäusern zu. Gleichzeitig ist es in hochspezialisierten Fachgebieten wie der IT-Sicherheit schwer, eine ausreichende Anzahl an qualifizierten Fachkräften zu gewinnen und zu finanzieren, die nötig wäre, um IT-Sicherheits- und IT-Notfallmanagementkompetenz an jedem Krankenhausstandort vorzuhalten. 
Der Auftraggeber hat sich zum Ziel gesetzt, diese Herausforderungen anzugehen und durch Bündelung von Bedarfen und Verbundausschreibungen Technologie und Services zu beschaffen und zentral zu steuern und zur Verfügung zu stellen. 
Die vorliegende Ausschreibung ist ein erster Schritt zum Aufbau einer gemeinsamen Sicherheitsstruktur der Krankenhäuser, die zukünftig um weitere technische und organisatorische Maßnahmen ergänzt wird. 
Durch die Erhebung der Systemverbünde und Netzwerkstrukturen soll Transparenz über die zu schützenden Strukturen auf hohem Level geschaffen werden und durch die Einrichtung einer zentralen Kontakt- und Beratungsstelle soll erste grundlegende Unterstützung bei Cyber-Vorfällen verfügbar gemacht werden, während der weitere Ausbau der gemeinsamen Sicherheitsstrukturen vorangetrieben wird.

3. Zielsetzung
Die Mitgliedsunternehmen der Klinik IT eG wollen ihre Fähigkeiten zur Reaktion auf Cyber-Incidents steigern, indem eine zentrale Hotline für erste Unterstützungsleistungen und damit in Zusammenhang stehende weitere Dienstleistungen verfügbar gemacht werden. Bei Auftreten eines Cyber-Incidents soll es den teilnehmenden Krankenhäusern möglich sein, über eine zentrale Rufnummer eine Hotline zu erreichen, die während der ersten Schritte in der Einschätzung und Bewältigung des Vorfalls unterstützt und dabei fachmännischen Rat geben kann. Sollte das Krankenhaus für die Bewältigung weitere Fachressourcen benötigen, sollen diese über die Incident Response Hotline angefordert werden können zu vorab vereinbarten Konditionen. 
Damit die Krankenhäuser bei einem Vorfall qualifiziert unterstützt werden können, sind im Vorfeld Informationen zu den jeweiligen Systemverbünde und Netzstrukturen der Krankenhäuser zu erheben und Ablaufpläne für das IT-Notfallmanagement zu erarbeiten. 
Durch diese Bestandteile soll die Reaktionsfähigkeit auf Cyber-Angriffe der über die KIG zusammengeschlossenen Krankenhäuser gesteigert werden.

4. Fördermittel
Der Auftraggeber hat für die Umsetzung des Projekts Fördermittel aus dem sog. Digitalisierungsbudget des Freistaats Bayern erhalten.

5. Gegenstand des Vergabeverfahrens

Mit dem gegenständlichen Beschaffungsvorhaben wird die Rahmenvereinbarung für für den Aufbau und das Vorhalten einer Incident Response Hotline sowie Leistungen zur Analyse der Informationssicherheit von Krankenhäusern ausgeschrieben.
Dabei ist zwischen Grundleistungen (lit. a)) und anlassbezogenen Leistungen (lit. b)) wie folgt zu unterscheiden:

a) Grundleistungen

Zu den wesentlichen Grundleistungen, die vom Auftragnehmer zu erbringen sind, zählen u.a.:

•	Einrichtung und Betrieb einer Hotline für telefonische Incident-Unterstützung;
•	Erfassung von Systemverbünden und Netzstrukturen der Krankenhäuser, sowie
•	Erarbeitung von IT-Notfallplänen.

Eine detaillierte Beschreibung der Leistungsanforderungen ist hierbei der Leistungsbeschreibung (Anlage 1 des Teils E der Vergabeunterlagen („Angebotsunterlagen (Rahmenvereinbarung nebst Anlagen)“) zu entnehmen.

Der Abruf der Grundleistungen erfolgt jeweils durch Beauftragung des Auftragnehmers durch den Auftraggeber anhand einer vorhabenspezifischen Projektierung im Wege eines Einzelabrufs. Der Auftraggeber hat das Recht, die beim Auftragnehmer abgerufenen Leistungen an die weiteren Krankenhäuser, welche genossenschaftliche Mitglieder des Auftraggebers sind, gegen Entgelt weiterzureichen, die dann unmittelbar Empfänger der Leistungen des Auftragnehmers werden („Service-Distributor-Modell“). Eine Liste der derzeitigen genossenschaftlichen Mitglieder des Auftraggebers ist den Vergabeunterlagen informatorisch beigefügt.

Der Abruf der Grundleistungen durch den Auftraggeber aus der Rahmenvereinbarung ist im Umfang auf einen Wert von maximal EUR 2,0 Mio. (netto) (Höchstabnahme) begrenzt.

b. Anlassbezogene Leistungen

Daneben hat der Auftragnehmer auch anlassbezogene Leistungen zu erbringen. Hierzu zählt die Bereitstellung von Icident Response Ressourcen nach Maßgabe von Ziffer 3.4 der Leistungsbeschreibung (Anlage 1 des Teils E der Vergabeunterlagen („Angebotsunterlagen (Rahmenvereinbarung nebst Anlagen)“).

Der Abruf der anlassbezogenen Leistungen erfolgt jeweils durch Beauftragung des Auftragnehmers anhand einer vorhabenspezifischen Projektierung im Wege eines Einzelabrufs. 

Der Abruf der anlassbezogenen Leistungen aus der Rahmenvereinbarung ist im Umfang auf einen Wert von maximal EUR 2,0 Mio. (netto) (Höchstabnahme) begrenzt.

6. Hinsichtlich der weiteren Leistungsinhalte wird im Übrigen insbesondere auf die Vorgaben der Leistungsbeschreibung (Anlage 1 des Teil E) verwiesen.

Winner: Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)