Public procurement notice: Contract Notice
Published: 2025-03-28
Buyer: Vergabeverfahren zum Abschluss einer Rahmenvereinbarung für Penetrations- und Schwachstellentests
Region: DEA22
Contract type: Services
Procedure: Restricted procedure
CPV classification: 72000000 | 72150000 | 72220000: Systems and technical consultancy services | 72222100: Information systems strategic review services | 72222300: Information technology services
Estimated value: 500000 EUR
Submission deadline: 2025-04-14
Award criteria: price, quality

Technical requirements: Eigenerklärung zu Ausschlussgründen gemäß § 123 GWB;  Eigenerklärung zu Ausschlussgründen gemäß § 124 GWB
Hinsichtlich der Fristen zur Einlegung von Rechtsbehelfen wird auf § 160 Abs. 3 des Gesetzes gegen Wettbewerbsbeschränkungen (GWB) verwiesen. § 160 GWB lautet wie folgt: (1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein. (2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Abs. 6 durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht. (3) Der Antrag ist unzulässig, soweit: 1) der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt, 2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 4) mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrages nach § 135 Abs. 1 Nr. 2. § 134 Abs. 1 Satz 2 bleibt unberührt.
Gegenstand des Vergabeverfahrens ist der Abschluss einer Rahmenvereinbarung für die bedarfsgerechte Durchführung von regelmäßigen Penetrations- und Schwachstellen-Tests sowie Audits inklusive Dokumentation und Reporting, die verschiedene Teilsysteme des Informationsverbundes der BwFPS betreffen.
Die Leistungen sind vorwiegend remote zu erbringen oder - nach Absprache mit dem Auftraggeber - beim Hauptsitz des Auftraggebers in Siegburg (Am Turm 42, 53721 Siegburg) sowie nach Absprache im Rechenzentrum in Aachen oder an weiteren Standorten innerhalb Deutschlands.
Zum Nachweis der wirtschaftlichen und finanziellen Leistungsfähigkeit wird eine Betriebshaftpflichtversicherung mit den folgenden Mindestversicherungssummen gefordert. - Deckung für Personen- und Sachschäden pro Versicherungsfall und -jahr: 5 Mio. EUR - Deckung für Vermögensschäden pro Versicherungsfall und -jahr: 3 Mio. EUR

Eligibility requirements: Zum Nachweis der wirtschaftlichen und finanziellen Leistungsfähigkeit wird eine Betriebshaftpflichtversicherung mit den folgenden Mindestversicherungssummen gefordert. - Deckung für Personen- und Sachschäden pro Versicherungsfall und -jahr: 5 Mio. EUR - Deckung für Vermögensschäden pro Versicherungsfall und -jahr: 3 Mio. EUR
Zum Nachweis der technischen und beruflichen Leistungsfähigkeit wird ein bestehendes Informationssicherheitsmanagementsystems nach ISO/IEC 27001 oder ISO/IEC 27001 nach IT-Grundschutz oder vergleichbar gefordert.  Die Vergleichbarkeit ist durch den Bewerber nachzuweisen.
Zum Nachweis der technischen und beruflichen Leistungsfähigkeit wird gefordert, dass alle Mitglieder des Kernteams keinem auf der Staatenliste genannten Staat angehören.
Zum Nachweis der technischen und beruflichen Leistungsfähigkeit wird gefordert, dass alle Mitglieder des Kernteams mindestens über ein abgeschlossenes Studium im Bereich Cybersecurity ODER über ein(e) abgeschlossene(s) Ausbildung/Studium im Bereich/Spezialisierung Informatik in Kombination mit einem der nachfolgenden Zertifikate verfügen: Offensive Security Certified Professional (OSCP, auch bekannt als OffSec Certified Professional oder OCP) ODER Global Information Assurance Certification (GPEN-Zertifikat) ODER GIAC Web Application Penetration Tester Zertifikat (GWAPT-Zertifikat) ODER Certified Ethical Hacker Zertifikat (CEH-Zertifikat) ODER ein vergleichbares Zertifikat (die Vergleichbarkeit ist durch den Bewerber nachzuweisen)
Mindestanforderung an jedes Mitglied des Kernteams: zwei Jahre Berufserfahrung in der Bewertung von identifizierten Schwachstellen nach CVSS-Version 3.1 und 4.0 inklusive Base Score, Temporal Score & Environmental Score
Mindestanforderung an jedes Mitglied des Kernteams: drei Jahre relevante Berufserfahrung in Cybersecurity Projekten als Penetrationstester oder in einer vergleichbaren Position bei der Durchführung von Schwachstellentests oder Security-Audits mit Benennung drei vergleichbarer Projekte mit jeweils mindestens 60 Personentagen und einer Unternehmensgröße des Referenzgebers von mindestens 200 Mitarbeitern //  Projekte gelten als vergleichbar, wenn die erbrachte Leistung diesem Ausschreibungsgegenstand in Art und Umfang so weit ähneln, dass ein tragfähiger Rückschluss auf die Leistungsfähigkeit des Mitglieds des Kernteams eröffnet wird.
Mindestanforderung an den Projektleiter: drei Jahre relevante Berufserfahrung als Projektleiter mit Benennung drei vergleichbarer Projekte //  Projekte gelten als vergleichbar, wenn die erbrachte Leistung diesem Ausschreibungsgegenstand in Art und Umfang so weit ähnelt, dass ein tragfähiger Rückschluss auf die Leistungsfähigkeit des Projektleiters eröffnet wird.
Zum Nachweis der wirtschaftlichen und finanziellen Leistungsfähigkeit wird eine Geschäftstätigkeit im Bereich Pentesting von mindestens drei Jahren gefordert.  Sollte ein Bewerber mehr als drei Jahre in dem Bereich Pentesting tätig sein, wird dies wie folgt bewertet: 4 - 5 Jahre: 8 Punkte // 6 - 8 Jahre: 16 Punkte // ab 9 Jahre: 25 Punkte
Zum Nachweis der technischen und beruflichen Leistungsfähigkeit wird eine jährliche durchschnittliche Beschäftigtenzahl von mindestens 10 Mitarbeiter gefordert.  Sollte ein Bewerber mehr als jährlich durchschnittlich 10 Mitarbeiter beschäftigten, wird dies wie folgt bewertet: 11 - 24 Mitarbeiter: 3 Punkte // 25 - 49 Mitarbeiter: 7 Punkte // ab 50 Mitarbeiter: 10 Punkte
Zum Nachweis der technischen und beruflichen Leistungsfähigkeit müssen vom Bewerber mindestens 8 Penetrationstests in ähnlicher Größe (mindestens 100 Personentage) in den letzten drei Jahren durchgeführt worden sein.  Sollte ein Bewerber mehr als 8 Penetrationsprojekte in ähnlicher Größe durchgeführt haben, wird dies wie folgt bewertet: 9 - 19 Projekte: 8 Punkte // 20 - 44 Projekte: 16 Punkte // ab 45 Projekte: 25 Punkte