Public procurement notice: Contract Notice
Published: 2024-09-30
Buyer: ITSG - Informationstechnische Servicestelle der Gesetzlichen Krankenversicherung GmbH
Country: DE
Region: DE713
Contract type: Services
Procedure: Open procedure
CPV classification: 72210000: Software programming services
Submission deadline: 2024-11-07
Award criteria: quality, price

Technical requirements: Abschluss eines Vertrages über die Einführung und den Betrieb eines Security Operation Centers (SOC) inklusive einer SIEM-Plattform
1) Der Bieter hat einen aktuellen Handelsregisterauszug (nicht älter als drei Monate - bezogen auf das Ende der Angebotsfrist) bzw. bei ausländischen Bietern einen gleichwertigen Nachweis des Herkunftslandes in Kopie einzureichen.
2) Der Bieter hat eine Eigenerklärung über das Nichtvorliegen von Ausschlussgründen gemäß §§ 123 und 124 GWB, auch bezüglich des Lieferkettensorgfaltspflichtengesetzes, mittels des bereitgestellten Formblattes abzugeben.
3) Der Bieter hat eine Erklärung zu Verbindungen mit Russland gemäß der "Verordnung (EU) 2022/576 des Rates vom 8. April 2022 zur Änderung der Verordnung (EU) Nr. 833/2014 über restriktive Maßnahmen angesichts der Handlungen Russlands, die die Lage in der Ukraine destabilisieren" mittels des
bereitgestellten Formblattes abzugeben.
1) Der Bieter hat mittels des bereitgestellten Formblattes "Bieterkurzpräsentation" Angaben zu machen 
• zur Gesamtzahl der beim Bieter zum Zeitpunkt der Angebotsabgabe beschäftigen Mitarbeiter
• zum Gesamtumsatz des Bieters aus den letzten drei abgelaufen Geschäftsjahren
• zum Umsatz des Bieters bezogen auf den Gegenstand seines Angebots aus den letzten drei abgelaufenen Geschäftsjahren
Mindestanforderung: Die angegebenen Jahresumsätze mit vergleichbaren Leistungen müssen jeweils ein Mindestvolumen von 1 Mio. EUR pro Jahr (brutto) aufweisen. Eine Nichterfüllung führt zum Ausschaluss

2) Der Bieter hat einen Nachweis über den Abschluss einer Betriebshaftpflichtversicherung des Bieters/der Bietergemeinschaft für Personen- und Sachschäden, inkl. einer Kopie der Versicherungspolice, einzureichen.
Mindestanforderung: Die Deckungssumme der Betriebshaftpflichtversicherung muss für Personen- und Sachschäden in Höhe von zwei Millionen Euro sowie für Vermögensschäden in Höhe von fünfhunderttausend Euro, bestehen.
1) Der Bieter hat mittels des bereitgestellten Formblattes Bieterkurzpräsentation Angaben zu machen über 
• die Anzahl der Mitarbeitenden als SOC-Analysten im Unternehmen bezogen auf den Ausschreibungsgegenstand.
Mindestanforderung: Es müssen mindestens 20 Vollzeitarbeitskräfte bezogen auf den Ausschreibungsgegenstand, d.h. SOC-Analysten, fest angestellt sein. Eine Nichterfüllung führt zum Ausschluss.
• den Nachweis der Erfüllung sicherheitstechnischer Anforderungen.
Es gelten die folgenden Mindestanforderungen:
- Der Bieter muss ein Informationssicherheits-Managementsystem nach DIN EN ISO 27001 oder ein vergleichbares Informationssicherheits-Managementsystem durch Einreichung eines Zertifikates in Kopie oder Beschreibung des vergleichbaren Informationssicherheits-Managementsystem nachweisen (jeweils als Anlage beizufügen).
- Falls nach der von dem Bieter angebotenen technischen Lösung Daten aus den Systemen bzw. der IT-Infrastruktur des Auftraggebers entnommen und in der (Public oder Private) Cloud des Bieters/Auftragnehmers verarbeitet werden, muss der Bieter die Erfüllung des BSI C5-Kriterienkataloges durch Einreichung eines BSI C5-Zertifikat in Kopie oder einer Eigenerklärung nachweisen, welche die Einhaltung der Kriterien des BSI C5-Kriterienkataloges (https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/C5_AktuelleVersion/C5_AktuelleVersion_node.html) bestätigt.

2) Der Bieter hat unter Verwendung des Formblattes Übersicht_Referenzen mindestens vier Referenzprojekte einzureichen. Es gelten die folgenden Mindestanforderungen:
• Die Referenzprojekte müssen in den letzten drei Jahren vor Ablauf der Angebotsfrist erbracht worden sein. Maßgeblich hierfür ist, dass zwischen dem Referenzauftraggeber und dem Bieter in diesem Zeitraum ein wirksamer Vertrag bestanden hat und auch tatsächlich Leistungen erbracht wurden.
• Die Referenzprojekte müssen mit den hier vergebenen Leistungen (siehe 04_Anlage 1_Leistungsbeschreibung) hinsichtlich Art, Umfang und Komplexität vergleichbar sein, d.h. die Referenzprojekten müssen einen tragfähigen Rückschluss auf die Leistungsfähigkeit des Bieters für die ausgeschriebene Leistung eröffnen. Dies ist der Fall, wenn mit den Referenzprojekten Kenntnisse über die Einführung und den Betrieb eines Managed Security Operations Center inklusive einer SIEM- Plattform sowie dessen kontinuierliche Überwachung nachgewiesen werden. 
• Mindestens eine der Referenzen, bei der die SIEM-Lösung in der Infrastruktur des Kunden (AG) betrieben wird ("Co-Managed") und der SOC-Partner (AN) für Use-Cases und Monitoring zuständig ist, muss enthalten sein. Eine Nichterfüllung führt zum Ausschluss. 
• Mindestens zwei der Referenzen müssen Leistungen für einen Referenzauftraggeber aus dem Bereich Versicherung, Krankenversicherung oder kritische Infrastruktur enthalten.
Die Vergabestelle weist rein vorsorglich ausdrücklich auf die Rügeobliegenheiten der Unternehmer/Bewerber/Bieter sowie die Präklusionsregelungen gem. § 160 III Satz 1 Nr. 1 - 4 GWB bzgl. der Behauptung von Verstößen gegen die Bestimmungen
über das Vergabeverfahren hin. Ein Antrag auf Nachprüfung ist
danach unzulässig, soweit:
1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat, der Ablauf der Frist
nach § 134 Absatz 2 bleibt unberührt, 2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum
Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 4. mehr als 15
Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrages nach § 135 Absatz 1 Nummer 2,
§ 134 Absatz 1 Satz 2 bleibt unberührt.
Für die Einlegung von Rechtsbehelfen gelten u. a. die §§ 134,
135, 155 ff. des Gesetzes gegen Wettbewerbsbeschränkungen
(GWB).


Winner: ITSG - Informationstechnische Servicestelle der Gesetzlichen Krankenversicherung GmbH