Public procurement notice: Contract Notice
Published: 2025-01-21
Buyer: Stadt Wuppertal
Country: DE
Region: DEA1A
Contract type: Services
Procedure: Restricted procedure
CPV classification: 48730000: Security software package | 75241000 | 79417000 | 80330000
Estimated value: 440000 EUR
Submission deadline: 2025-02-03
Award criteria: price, quality

Technical requirements: Es gelten die Ausschlussgründe nach § 57 VgV  und der Auftragsbekanntmachung.
Die Stadt Wuppertal sucht einen Zuverlässigen Dienstleister der beim Thema IT-Notfallmanagement mit seiner Expertise und verschiedenen Dienstleistungen unterstützt
Der Bieter ist durch das BSI zertifiziert und wird auf der Liste der Qualifizierten APT-Response Dienstleister des BSI geführt. Der Bieter verpflichtet sich, die Anforderungen der Zertifizierung für die Dauer des Vertragsverhältnisses zwischen der Stadt Wuppertal und ihm zu erfüllen. Ein Entfall der Zertifizierung oder das Löschen auf der benannten Liste, führt zu einem Sonderkündigungsrecht durch die Auftraggeberin. (A.1 Eigenerklärung). Dieser Nachweis ist mit dem Teilnahmeantrag vorzulegen
Der Bieter verfügt über eine Referenzliste, mit mindestens vier Angaben, in denen er IT-Notfallkonzepte erstellt und geübt hat/hatte und in denen er für die Dienstleistung der digitalen Forensik als Bereitschaft für mindestens 3 Jahre beauftragt ist/war. Weiter verfügt der Bieter über eine Referenzliste, in denen er mindestens vier mal als Dienstleister verschiedene aktive IT-Notfälle erfolgreich bearbeitet hat. Alle Angaben müssen über Netzwerke mit eigenem Rechenzentrum und mit mehr als 1000 Hosts verfügen. Diese Referenzen dürfen sich überschneiden. Die Referenzen dürfen nicht alter als 5 Jahre sein (A.2 Eigenerklärung). Die Referenzlisten dürfen nicht mit dem Hinweis auf die DSGVO anonymisiert dem Teilnehmerantrag beigefügt werden. 
Bewerbende haben sicherzustellen, dass die eingereichten Referenzlisten mit dem Referenzgeber abgestimmt sind und dementsprechend das Einverständnis zur Weitergabe von Kontaktdaten vorliegt. Dieser Nachweis und die Referenzlisten sind mit dem Teilnahmeantrag vorzulegen.
Der Bieter hat eine Vertretung in Deutschland. (A.3 Eigenerklärung)
Dieser Nachweis ist mit dem Teilnahmeantrag vorzulegen

Eligibility requirements: Der Bieter ist durch das BSI zertifiziert und wird auf der Liste der Qualifizierten APT-Response Dienstleister des BSI geführt. Der Bieter verpflichtet sich, die Anforderungen der Zertifizierung für die Dauer des Vertragsverhältnisses zwischen der Stadt Wuppertal und ihm zu erfüllen. Ein Entfall der Zertifizierung oder das Löschen auf der benannten Liste, führt zu einem Sonderkündigungsrecht durch die Auftraggeberin. (A.1 Eigenerklärung). Dieser Nachweis ist mit dem Teilnahmeantrag vorzulegen
Der Bieter verfügt über eine Referenzliste, mit mindestens vier Angaben, in denen er IT-Notfallkonzepte erstellt und geübt hat/hatte und in denen er für die Dienstleistung der digitalen Forensik als Bereitschaft für mindestens 3 Jahre beauftragt ist/war. Weiter verfügt der Bieter über eine Referenzliste, in denen er mindestens vier mal als Dienstleister verschiedene aktive IT-Notfälle erfolgreich bearbeitet hat. Alle Angaben müssen über Netzwerke mit eigenem Rechenzentrum und mit mehr als 1000 Hosts verfügen. Diese Referenzen dürfen sich überschneiden. Die Referenzen dürfen nicht alter als 5 Jahre sein (A.2 Eigenerklärung). Die Referenzlisten dürfen nicht mit dem Hinweis auf die DSGVO anonymisiert dem Teilnehmerantrag beigefügt werden. 
Bewerbende haben sicherzustellen, dass die eingereichten Referenzlisten mit dem Referenzgeber abgestimmt sind und dementsprechend das Einverständnis zur Weitergabe von Kontaktdaten vorliegt. Dieser Nachweis und die Referenzlisten sind mit dem Teilnahmeantrag vorzulegen.
Der Bieter hat eine Vertretung in Deutschland. (A.3 Eigenerklärung)
Dieser Nachweis ist mit dem Teilnahmeantrag vorzulegen
Der Bieter verfügt über ein eigenes Rechenzentrum, das Rechenzentrum und der Bieter sind mindestens nach ISO 27001 zertifiziert. Alle Relevanten Unterlagen dürfen ausschließlich in diesem zertifizierten Verbund gespeichert und verarbeitet werden. (A.4; Eigenerklärung)
Dieser Nachweis ist mit dem Teilnahmeantrag vorzulegen.
-	abgeschlossenes Hochschulstudium der Informatik, Physik oder einen vergleichbaren technischen Abschluss mit Schwerpunkt IT-Forensik
-	zwei Trainer mit der Qualifikation im Security Professional Umfeld (z.B. CISSP (Certified Information Systems Security Professional)
-	zwei Trainer mit der Qualifikation im Bereich Information Security Management (Lehrgänge müssen nach ISO 27001 und ISO 27002 erfolgt sein)
Die Mitarbeitenden, welche für die Auftraggeberin eingesetzt werden, verfügen über mindestens vier Jahre Berufserfahrung und sind mindestens 12 Monate beim Bieter beschäftigt bzw. arbeiten seit mindestens 12 Monaten für diesen. Alle geforderten Positionen sind mit Vornamen und Name zu benennen. Weiterhin sind Qualifikationsnachweise zur Ausbildung im Bereich IT-Sicherheit, IT-Forensik und Sprachkenntnisse bei nicht-Muttersprachlern, der unmittelbar bei der Auftraggeberin eingesetzten Personen, hinzuzufügen (A.5; Eigenerklärung), zur Sicherung der Zuverlässigkeit ist das Konzept zur Personalgewinnung in der Wertungsmatrix darzustellen.
Der Bieter verfügt über mobil einsetzbare technische Ausstattung die dem derzeitigen Stand der Technik entsprechen und auch fortlaufend auf diesem Stand gehalten werden, gem. Handreichung dem Bundesverband IT-Sicherheit e.V. (Quelle abgerufen am 19.06.2024, https://www.teletrust.de/publikationen/broschueren/stand-der-technik/) die er in den Räumlichkeiten der Auftraggeberin nutzen kann, um die forensische Analyse des IT-Notfalls durchzuführen.
Etwaige Software zur Nachüberwachung eines Notfalls, muss durch den Bieter zur Nutzung der Auftraggeberin vorgehalten werden. Der Einsatz von Cloudprodukten/-Tools während eines IT-Notfalls, muss DSGVO-Konform erfolgen. Die eingesetzte Software muss auch den Anforderungen der DSGVO entsprechen. Der Auftragnehmer hat sicherzustellen, das die eingesetzte Software kompatibel zur System-/Serverumgebung der Auftraggeberin(A.6; Eigenerklärung).
-	24 X 7 telefonische Erreichbarkeit, mit einer Reaktionszeit von 2h (SLA wird im EVB-IT Dienstleistungsvertrag geregelt)
-	ISO27001-Zertifizierung des Auftragnehmers über den gesamten Vertragszeitraum
-	Sichere Aufbewahrungsmöglichkeit von Daten der Stadt (Keine Möglichkeit des Abfluss der Daten ins Internet, Zugriff nur möglich durch eingeschränktes Personal und Aufforderung durch den Auftraggeber) / Eigenes autarkes, abgeschlossenes, zugangsbeschränktes, DSGVO-konformes Rechenzentrum in Deutschland, über den gesamten Vertragszeitrum (angehlehnt an DIN EN 50600)
-	APT-Dienstleistung durch eigene Mitarbeitende oder Subunternehmer mit Kenntlichmachung inkl. Nachweisführung
-	BSI APT-Response zertifiziert über den gesamten Vertragszeitraum
-	vor Ort Verfügbarkeit inkl. Hardware innerhalb von spätestens 8h, nach Anforderung telefonisch durch die Auftraggeberin
-	Das vor Ort eingesetzte Personal muss Deutsch mindestens auf C2-Level beherrschen oder Muttersprachler. Entsprechende Nachweise müssen bei Nicht-Muttersprachlern auf Nachfrage der Auftraggeberin vorgelegt werden.