Public procurement notice: Contract Notice
Published: 2024-09-30
Region: DE712
Contract type: Supplies
Procedure: Negotiated with prior call for competition
CPV classification: 48731000: File-security software package
Submission deadline: 2024-10-28
Award criteria: price, quality

Technical requirements: Gemäß §§ 123, 124 GWB, § 42 Abs. 1 UVgO bzw. § 16 VOB/A
Gegenstand der Vergabe ist ein Auftrag über die Beschaffung einer Softwarelösung, um veraltete Versionen von Microsoft Windows zuverlässig gegen Malware zu schützen. Die Lösung soll auf Maschinen und Systemen der Produktion (Operative Technologie, „OT“) eingesetzt werden und produktionsnahe IT-Systeme zusätzlich absichern.
Angaben und Formalitäten, die erforderlich sind, um die Einhaltung der Auflagen zu überprüfen:
Alle Unterlagen, Erklärungen und Nachweise sind gemeinsam mit dem Teilnahmeantrag einzureichen. Ein diesbezüglicher Verweis auf frühere Bewerbungen ist nicht zulässig und führt zum Ausschluss. Die Unterlagen sind möglichst gemäß der, in der Bekanntmachung verwendeten Ordnungsnummern zu reihen und zu benennen.

Bei den nachfolgenden Eignungsnachweisen Nr. 1-19 handelt es sich um zwingende Anforderungen. Gibt der Bieter die geforderten Erklärungen, Dokumente und Bescheinigungen gar nicht, unvollständig oder nicht bedingungsgemäß ab, so führt dies zum Ausschluss vom weiteren Vergabeverfahren (KO-Kriterien).
Erklärungen 
1.)	Erklärung, dass kein Insolvenz- oder Sanierungsverfahren oder vergleichbares gesetzliches Verfahren eröffnet ist und die Eröffnung auch nicht beantragt oder mangels Masse abgelehnt worden ist.
2.)	Erklärung, dass sich der Bewerber nicht in Liquidation befindet.
3.)	Erklärung, ob berufliche Verfehlungen vorliegen, die im Gewerbezentralregister eingetragen sind. Darüber hinaus erklärt er, ob derzeit ein Verfahren anhängig ist, das zu einer solchen Eintragung führen kann.
4.)	Erklärung, dass das Gewerbe ordnungsgemäß angemeldet ist und – sofern nach Maßgabe der Vorschriften des HGB oder des jeweiligen Herkunftslandes eintragungspflichtig – im Handelsregister eingetragen ist.
5.)	Erklärung zur Sanktionsliste, Embargo- und Außenwirtschaftsvorschriften und EU-Blocking Verordnung.
6.)	Erklärung, dass das Unternehmen bei der Ausführung öffentlicher Aufträge nicht gegen geltende umwelt- sozial oder arbeitsrechtliche Verpflichtungen verstoßen hat
7.)	Erklärung, dass das Unternehmen seine Verpflichtung zur Zahlung von Steuer und Abgaben nach den Rechtsvorschriften des Staates, in dem er ansässig ist, oder nach den Rechtsvorschriften des Staates des Auftraggebers erfüllt hat.
8.)	Erklärung zur kartellrechtlichen Compliance und Korruptionsprävention
9.)	Erklärung, dass bei der Ausführung eines früheren Auftrags oder Konzessionsvertrags bei der Deutsche Bahn AG oder einem mit ihr gemäß §§ 15 ff. AktG verbundenen Unternehmen keine wesentliche Anforderung erheblich oder fortdauernd mangelhaft erfüllt wurde.
10.)	Erklärung zu §§122-124 GWB
11.)	Erklärung zu Nicht-Beeinflussung eines Vergabeverfahrens
12.)	Erklärung zu schweren Verfehlungen
13.)	Erklärung zu Kenntnis über Verurteilungen/Geldbußen
14.)	Erklärung zum DB Verhaltenskodex für Geschäftspartner
15.)	Erklärung zu Tarifbestimmungen und Mindestlohn
16.)	Erklärung zu Verpflichtung von Nachunternehmern zur Einhaltung von Tarifbestimmungen

Der Bieter gibt die Eigenerklärungen der Ziffern 1-16 mittels des vollständig ausgefüllten und unterzeichneten Dokuments „Bietereigenerklärung“ ab. Dieses Dokument ist den Vergabeunterlagen beigefügt.
17. Vorlage eines Handelsregisterauszuges nicht älter als 12 Monate
18. Fristgerechtes Einreichen des Teilnahmeantrages
Bei den nachfolgenden Eignungsnachweisen Nr. 19 - 22 handelt es sich um zwingende Anforderungen. Gibt der Bewerber die geforderten Dokumente, Erklärungen und Nachweise gar nicht, unvollständig oder nicht bedingungsgemäß ab, so führt dies zum Ausschluss vom weiteren Vergabeverfahren (KO-Kriterien)
19. Abgabe des vollständig ausgefüllten Dokuments "Lieferantenselbstauskunft“ 
20. Abgabe der unterschriebenen Unterlagen Anhang B8 Vertraulichkeitserklärung
21. Abgabe einer Eigenerklärung: Zu dem Bewerber oder die von ihm vertriebenen Produkten, welche in den Anwendungsbereich dieser Ausschreibung fallen, gibt oder gab es keine behördlichen Warnungen (bspw. des Bundesamtes für Sicherheit in der Informationstechnik (BSI) nach §7 BSI-Gesetz) im Zusammenhang mit IT-Sicherheit. Dies gilt auch für etwaige Nachunternehmer des Bewerbers.
22. Einreichung der ausgefüllten Unterlagen Anhang B6 Bietereigenerklärung Datenschutz
Aufgrund einer Zeichenbeschränkung ist die vollständige Darlegung der Eignungskriterien durch den Auftraggeber nicht möglich. Genaue Details zu den Eignungskriterien, deren Bewertung und die zu verwendenden Antwortformate finden Sie in den Vergabeunterlagen – insbesondere in Anhang B1 Eignungsmatrix und Anhang A Bewerbungsbedingungen. 
Bei den nachfolgenden Eignungsnachweisen Nr. 23 - 24 handelt es sich um zwingende Anforderungen. Gibt der Bewerber die geforderten Dokumente, Erklärungen und Nachweise gar nicht, unvollständig oder nicht bedingungsgemäß ab, so führt dies zum Ausschluss vom weiteren Vergabeverfahren.
23.) Der Bewerber verfügt über ein Informationssicherheits-Managementsystems (ISMS) gemäß ISO 27001:2013 oder neuer. Entsprechende Prozesse und Standards sind vorhanden, dokumentiert und implementiert. 
Der Bewerber weist das Vorhandensein des Informationssicherheits-Managementsystems (ISMS) gemäß ISO 27001:2013 oder neuer durch Vorlage des Zertifikats oder durch eine Beschreibung der implementierten, mindestens gleichwertigen Prozesse und Standards nach. 

24.) Der Bewerber verfügt über ein Qualitäts-Managementsystems (QMS) gemäß ISO 9001. Entsprechende Prozesse und Standards sind vorhanden, dokumentiert und implementiert. Der Bewerber weist das Vorhandensein eines durch Dritte (bspw. Zertifizierungsstelle) zertifizierten Qualitäts-Managementsystems (QMS) gemäß ISO 9001 oder neuer durch Vorlage des Zertifikats nach.

BEWERTUNGSKRITERIEN MIT MINDESTANFORDERUNG
Bei dem nachfolgenden Eignungskriterium (Nr. 25 handelt es sich um ein Bewertungskriterium mit Mindestanforderung. Wenn die Mindestanforderung von einem Bieter nicht erfüllt wird, führt dies zum Ausschluss vom Vergabeverfahren. Sofern mehr als 3 Teilnehmer die voranstehenden Ausschlusskriterien (Nr. 1-24) sowie die Mindestanforderungen in des Eignungskriteriums (Nr. 25) erfüllen, erfolgt die Auswahl der für die Angebotsphase zugelassenen Anbieter auf Grundlage der Bewertungskriterien Nr. 25 –29. Nachstehend werden ausschließlich die Mindestanforderungen genannt. Die genaue Bewertung ist abhängig vom Zielerreichungsgrad auf Basis des Bewertungsschemas, das der Anlage „Eignungsmatrix“ entnommen werden kann. Gibt der Bieter die geforderten Angaben, Dokumente und Erklärungen unvollständig oder nicht bedingungsgemäß ab, so führt dies unter Umständen zur Herabsetzung der Bewertung bzw. zum Ausschluss vom Vergabeverfahren.

25.) Referenzen Malwareschutz für Legacy Windows Betriebssysteme (Win7 und älter) idealerweise eingesetzt auf maschinentechnischen Anlagen (OT) - Allgemein:

Bitte stellen Sie mindestens eine Ihrer Top-Referenzen der vergangenen 4 Jahre (=Leistung muss zwischen 01.10.2020 und aktuellem Datum erbracht worden sein) zu folgendem Thema zur Verfügung:
Bereitstellung einer Malwareschutz-Lösung für einen Kunden in einem mit dem Ausschreibungsgegenstand vergleichbaren Leistungsinhalt bzw. Leistungsumfang (vgl. Abschnitt 2.1 der Bekanntmachung) 
 Mindestanforderung: 

- Leistungszeitraum beträgt mindestens 12 Monate innerhalb der vergangenen 4 Jahre (=Leistung muss zwischen 01.10.2020 und aktuellem Datum erbracht worden sein). Die Leistungserbringung der Referenz kann vorher begonnen haben und auch noch laufen.
- Der Bewerber war selbst an der Bereitstellung der Leistung beteiligt.
- In der Referenz wird die Lösung auf mindestens 1.000 Endgeräten (Legacy Windows, Version 7 und älter) aus dem Produktionsumfeld (OT-nahe IT, IT-nahe OT oder OT) eingesetzt.
- In der Referenz erfolgt die Malware-Erkennung primär durch ein signaturbasiertes Verfahren.

BEWERTUNGSKRITERIEN OHNE MINDESTANFORDERUNG
26.)  Referenzen Malwareschutz für Legacy Windows Betriebssysteme (Win7 und älter) idealerweise eingesetzt auf maschinentechnischen Anlagen (OT) - Europa-spezifisch:

Bitte stellen Sie mindestens eine Ihrer Top-Referenzen der vergangenen 4 Jahre (=Leistung muss zwischen 01.10.2020 und aktuellem Datum erbracht worden sein) zu folgendem Thema zur Verfügung:
Bereitstellung einer Malwareschutz-Lösung für einen Kunden in einem mit dem Ausschreibungsgegenstand vergleichbaren Leistungsinhalt bzw. Leistungsumfang (vgl. Abschnitt 2.1 der Bekanntmachung) 
 
27.) Referenz KRITIS:
Bitte legen Sie dar, wie Sie das Bestehen von KRITIS-Audits (§8a BSIG) beim Auftraggeber unterstützen können. 

28.) Leistungsfähigkeit Software-Dienstleistungen 
Bitte weisen Sie nach, dass ihr Unternehmen in der Lage dazu ist, auf kurzfristige Software-Anpassungswünsche des Auftraggeber zu reagieren. 

Legen Sie dar, wie Software-Dienstleistungen (von einem zentralen Management-Service und/oder dem Agenten, der zum Schutz eines Endpunkts installiert wird) auf Kundenwunsch innerhalb der letzten 24 Monate anforderungs- und termingerecht implementiert wurden.

29.) Patch Management
Bitte beschreiben Sie wie Sie Ihr Patch Management im Fall einer kritischen Schwachstelle (bspw. Log4J) organisieren.