Public procurement notice: Contract Notice
Published: 2023-09-15
Buyer: NRW.BANK AöR
Country: DE
Contract type: Supplies
Procedure: Open procedure
CPV classification: 48000000 | 48730000: Security software package
Submission deadline: 2023-10-12
Award criteria: The most economic tender

Technical requirements: Es wird eine Breach & Attack Simulation Tool (nachfolgend BAST) gesucht, mit welchem die NRW.BANK in der Lage ist, selbstständig und automatisiert Penetration Tests auf dedizierte IT-Infrastruktur Komponenten (nachfolgend IT-IS Komponenten genannt) zu simulieren. Auf diese IT-IS Komponenten werden die Agenten des BAST installiert. Die IT-IS Komponenten sollen nicht wirklich angegriffen werden, um die Funktionalität der Systeme nicht zu beeinträchtigen. Dies schließt auch die Nutzung von Angriffssoftware, bspw. Angriffe auf Basis von metasploits aus.
Geplant ist das im BAST initial ca. 3400 Assets (ca. 800 Server und ca. 2600 Clients) betrieben werden.
Der Vertrag beginnt mit Zuschlagserteilung und hat eine Grundlaufzeit von einem Jahr ab Golive. Er verlängert sich jeweils um ein weiteres Jahr, maximal auf insgesamt 4 Jahre, soweit er nicht mit einer Frist von sechs Monaten zum jeweiligen Laufzeitende von einer Partei gekündigt wird
(1) Nachweis der Eintragung in ein Berufs- oder Handelsregister oder Nachweis auf andere Weise über die erlaubte Berufsausübung. Bei ausländischen Bietern sind vergleichsweise Bescheinigungen vorzulegen. Der Nachweis darf nicht älter als 6 Monate sein.
(2) Eigenerklärung zur Umsetzung von Artikel 5k Absatz 1 der Verordnung (EU) Nr. 833/2014 in der Fassung des Art. 1 Ziff. 15 der Verordnung (EU) 2022/1269 des Rates vom 21. Juli 2022 (EU-Sanktionspaket) (Vordruck in den Vergabeunterlagen enthalten)
(3) Eigenerklärung zu Ausschlussgründen nach §§ 123 f. GWB (Vordruck in den Vergabeunterlagen enthalten)
(1) Eigenerklärung über den Umsatz im ausgeschriebenen und für das Unternehmen vorgesehenen Tätigkeitsbereich jeweils bezogen auf die letzten 3 abgeschlossenen Geschäftsjahre
Der Bieter hat in der Summe in den letzten 3 abgeschlossenen Geschäftsjahren einen Netto-Umsatz im ausgeschriebenen und für das Unternehmen vorgesehenen Tätigkeitsbereich  in Höhe von mind. 1,5 Mio. Euro nachzuweisen
(1) Eigenerklärung, dass der Cloudanbieter des BAST ein Unternehmen mit Rechenzentren in DE ist und das BAST in Deutschland gehostet wird.
(2) Nachweis der Informationssicherheit anhand vorliegender oder laufenden Zertifizierung nach ISO 27001 oder vergleichbar mit einem den Ausschreibungsgegenstand umfassenden Gültigkeitsbereich
(3) Der Bieter ist nach SOC2 zertifiziert. Das Zertifikat sowie der entsprechende Auditbericht sind der AG zu liefern.
(4) Benennung von zwei Referenzkunden für zwei erfolgreich in Betrieb genommene Projekte (zum Ablauf Angebotsfrist, bereits seit mind. 6 Monaten nach Go Live in Betrieb). Leistungsinhalt dieser Referenzprojekte: die Bereitstellung eines Breach & Attack Simulation Tool (BAST).
1) Der AG weist darauf hin, dass allein der Inhalt der vorliegenden europaweiten Veröffentlichung im Supplement zum Amtsblatt der EU maßgeblich ist, wenn die Bekanntmachung zusätzlich in weiteren Bekanntmachungsmedien veröffentlicht wird und der Bekanntmachungstext in diesen zusätzlichen Bekanntmachungen nicht vollständig, unrichtig, verändert oder mit weiteren Angaben wiedergegeben wird;
2) Die Vergabeunterlagen werden ausschließlich elektronisch auf dem Vergabeportal Vergabe.NRW zur Verfügung gestellt. Die Beantwortung von Fragen zum Verfahren sowie sämtliche Kommunikation zwischen den Beteiligten und der Vergabestelle erfolgt ausschließlich über das o. g. Vergabeportal. Beteiligte sind daher im eigenen Interesse gehalten, die dort für diese eingerichteten Postfächer regelmäßig auf neue Informationen der Vergabestelle zu kontrollieren;
3) Der AG hat für die Einreichung der Angebote Vordrucke erstellt. Diese sind für die Einreichung zu verwenden. Die Vordrucke sowie die weiteren Unterlagen zum Verfahren können über das o. g. Vergabeportal abgerufen werden;

Eligibility requirements: Mit dem Angebot sind einzureichen: (1) Nachweis der Eintragung in ein Berufs- oder Handelsregister oder Nachweis auf andere Weise über die erlaubte Berufsausübung. Bei ausländischen Bietern sind vergleichsweise Bescheinigungen vorzulegen. Der Nachweis darf nicht älter als 6 Monate sein. (2) Eigenerklärung zur Umsetzung von Artikel 5k Absatz 1 der Verordnung (EU) Nr. 833/2014 in der Fassung des Art. 1 Ziff. 15 der Verordnung (EU) 2022/1269 des Rates vom 21. Juli 2022 (EU-Sanktionspaket) (Vordruck in den Vergabeunterlagen enthalten) (3) Eigenerklärung zu Ausschlussgründen nach §§ 123 f. GWB (Vordruck in den Vergabeunterlagen enthalten)