Public procurement notice: Contract Notice
Published: 2017-08-30
Buyer: DB AG Konzernleitung (Bukr 10)
Country: DE
Contract type: Services
Procedure: Negotiated procedure
CPV classification: 72000000
Estimated value: 1 EUR
Submission deadline: 2017-09-25
Award criteria: The most economic tender

Technical requirements: Υπηρεσίες τεχνολογίας των πληροφοριών: παροχή συμβουλών, ανάπτυξη λογισμικού, Διαδίκτυο και υποστήριξη
Neben der Prävention werden Maßnahmen zur Detektion von und Reaktion auf solch gezielten Cyberangriffen zum Schutz der IT-gestützten Geschäftsprozesse immer wichtiger. In Cyberangriffen werden i.d.R. vorhandene Sicherheitslücken in IT-Systemen ausgenutzt, so dass die Deutsche Bahn systematisch sicherstellen muss, dass regelmäßig nach vorhandenen Schwachstellen gesucht wird, die dann zeitnah beseitigt werden müssen bevor diese durch Angreifer ausgenutzt werden können. Zusätzlich muss die Deutsche Bahn die Reaktionsfähig- und Analysemöglichkeiten bei erfolgreichen Cyberangriffen nachhaltig verbessern, um Schäden auf die Geschäftsprozesse zu vermeiden bzw. zu minimieren. Aus diesem Grund besteht der Bedarf nach der Beschaffung von Standardsicherheitsleistungen in mehreren Losen:
Zur technischen Verifizierung des IT-Sicherheitsniveaus und zur Identifikation von Schwachstellen in den IT-Systemen (Webapps, Anwendungen, Netze, Produkte, …) des DB-Konzerns müssen IT-Penetrationstests durchgeführt werden. Ziel dieser Untersuchungen ist es, technische Schwachstellen in den IT-Systemen zu finden, die potenziell bei Cyberangriffen zu Schäden bzw. negativen Auswirkungen auf die Geschäftsprozesse der DB haben können.
Bei Penetrationstests wird zur Überprüfung des Sicherheitsniveaus versucht, über Schwachstellen Systemzugriffe zu ermöglichen, die technisch eigentlich unterbunden sein sollten. Damit soll auch nachgewiesen werden, ob bzw. dass die umgesetzten Maßnahmen zur technischen Absicherung der IT-Systeme den erwarteten Schutz bieten.
Mittels Penetrationstests soll geprüft werden, ob für potentielle Angreifer Möglichkeiten bestehen, in Netzwerke oder IT-Systeme der DB einzudringen und sich unautorisiert Zugriffe zu verschaffen.
Diese Analysen werden im Vorfeld mit den jeweiligen Verantwortlichen, IT-Sicherheitsmanagern sowie IT-Dienstleistern der betreffenden Geschäftsfelder abgestimmt und die Durchführung begleitet.
Auch bei regelmäßiger Durchführung von Penetrationstests bzw. Schwachstellenscans ist eine fundierte Bewertung des tatsächlichen Sicherheitsniveaus von IT-Systemen bzw. von Unternehmen selbst nicht immer möglich. Es fehlen vielfach Aussagen zur Widerstandsfähigkeit gegen gezielte professionelle Cyberangriffe. Um hierzu fundierte Aussagen treffen zu können, ist die regelmäßige Durchführung sogenannter „Red Team Analysen“ notwendig. Hierbei werden hoch-spezialisierte Experten für eine befristete Zeit beauftragt gezielt in die vorhandenen IT-Systeme einzudringen, um die tatsächliche Verwundbarkeit gegenüber gezielten Cyberangriffen zu ermitteln. Der Fokus liegt auf der Demonstration/ dem Aufzeigen von Angriffsmöglichkeiten, der Identifikation und der Ausnutzung von Schwachstellen in IT-Systemen bei denen potenziell größere Implikationen auf das Business möglich sind.
Der genaue Betrachtungsgegenstand bzw. die relevanten IT-Systeme (potenziell geschäftliche Auswirkungen) werden vor der Beauftragung konkret festgelegt. Es wird ein gemeinsames Ziel definiert, welches unter Einhaltung bestimmter Rahmenbedingungen erreicht werden soll (z. B. Eindringen in Rechenzentrum, Erlangung von Administrationsberechtigungen in Datenbank xyz). Ein konkretes Ziel kann zum Beispiel sein, dass über Angriffe auf Netzbereiche der Deutschen Bahn versucht werden soll, in das interne Netzwerk einzudringen. Sollte dies gelingen, soll versucht werden dort möglichst weitreichende Berechtigungen zu erhalten. Auch kann der initiale Angriffsvektor so vorgegeben werden, dass eine vorherige Recherche bezüglich der über das Internet erreichbaren Infrastruktur der Deutschen Bahn erforderlich ist. Alternativ kann auch Ziel sein, dass Angriffe zum Beispiel auf bestimmte Einrichtungen (wie Bahnhöfe oder Betriebsstätten) erfolgen sollen.
Diese professionellen Angriffe erfolgen anonym, mit möglichst wenig Insiderwissen und mittels gängiger Angriffstechniken & Tools (analog wie bei wirklich gezielten Cyberangriffen). Bei diesen zeitlich befristet beauftragten Angriffen werden gezielt Einstiegspunkte und Angriffspfade identifiziert und versucht soweit als möglich in die IT-Systeme einzudringen, um an kritische Daten oder Werte zu gelangen (gemäß den vorherigen Vereinbarungen). Ein tatsächlicher Schaden darf da-bei nicht entstehen.
Der beauftragte Auftragnehmer muss möglichst unauffällig agieren und mögliche Schwachstellen sehr gezielt ausnutzen. Damit soll erreicht werden, dass ein reales Angriffsszenario möglichst realitätsnah simuliert wird.
Die beauftragten Angriffe sollen im Vorfeld den betreffenden IT-Dienstleistern/ Administratoren oder IT-Sicherheitsmanagern nicht bekannt gegeben werden, um eine realistische Ausgangssituation zu definieren. Es ist allerdings eine Abstimmung mit dem betreffenden (Top-)Management notwendig (Konzernvorstand, GF-Vorstand, Geschäftsführung).
Es sollen sowohl IT-Systeme aus der „klassischen“ IT als auch aus dem betriebsnahen bzw. fahrzeugrelevanten Umfeld analysiert werden können.
Im Rahmen der Beauftragung werden auch die Grenzen der Analyse festgelegt und es müssen negative Auswirkungen auf Systeme in unterschiedlichen Sicherheitszonen (über Sicherheitszonen hinaus) ausgeschlossen sein.
Das zu beauftragende Unternehmen soll diese Dienstleistungen im Rahmen von Beauftragungen zum einen als Unterstützung des DB Systel CSIRT erbringen, wenn die IT-Infrastruktur von DB Systel betroffen ist. Zum anderen soll der Auftragnehmer diese Dienstleistungen für Konzernbereiche der Deutschen Bahn mit IT-Infrastrukturen in Eigenbetriebsführung erbringen, so dass diese Bereiche auch mit Dienstleistungen zu Incident Response, IT-Forensik und Malwareanalyse versorgt werden können.
Der Auftragnehmer erbringt Leistungen im Bereich Incident Response. Wie bereits in den all-gemeinen Anforderungen dargestellt, soll hierzu eine Notfallrufnummer bereitgestellt werden, worüber der Dienstleister 24/7 aktiviert werden kann. Im Rahmen dieses Leistungspakets soll der Anbieter gemeldete Security Incidents verifizieren, koordinieren und lösen. In Abhängigkeit vom Incident und Absprachen mit dem Auftraggeber können über das reine Incident Handling hinausgehende Leistungen abgerufen werden.

Eligibility requirements: 2. Erklärung, dass: a) über sein Vermögen kein Insolvenz- oder Sanierungsverfahren oder vergleichbares gesetzliches Verfahren eröffnet ist und die Eröffnung auch nicht beantragt oder mangels Masse abgelehnt worden ist. 3. Erklärung, dass: b) er sich nicht in Liquidation befindet. 4. Erklärung, dass: c) er seiner Verpflichtung zur Zahlung von Steuer und Abgaben nach den Rechtsvorschriften des Staates, in dem er ansässig ist, oder nach den Rechtsvorschriften des Staates des Auftraggebers erfüllt hat. 5. Erklärung, dass: d) keine beruflichen Verfehlungen vorliegen, die im Gewerbezentralregister eingetragen sind. Darüber hinaus erklärt er, ob derzeit kein Verfahren anhängig ist, das zu einer solchen Eintragung führen kann. 6. Erklärung, dass: e) er in Bezug auf die Vergabe keine unzulässige wettbewerbsbeschränkende Abrede getroffen hat. 7. Erklärung, dass: f) kein Fall des § 123 Abs. 1 – 3 GWB vorliegt. 8. Der Bewerber versichert, dass er sein Gewerbe ordnungsgemäß angemeldet hat und – sofern nach Maßgabe der Vorschriften des HGB eintragungspflichtig – im Handelsregister eingetragen ist. Als Nachweis ist die Kopie eines aktuellen Handelsregisterauszugs (nicht älter als 6 Monate) oder ein gleichwertiges Dokument über die Eintragung im Berufs- oder Handelsregister seines Heimatlandes in deutscher Sprache (ggf. beglaubigte Übersetzung) vorzulegen. 9. Bescheinigung der Mitgliedschaft in der Berufsgenossenschaft, soweit im Herkunftsland eine Eintragspflicht besteht. 10. Der Bewerber versichert, dass seine Mitarbeiter, Dienstleister und Subunternehmer keine Verstöße gegen das BDSG begangen haben. 11. Fristgerechtes Einreichen des Teilnahmeantrages.

Award value: 1