Public procurement notice: Contract Notice
Published: 2025-07-23
Buyer: SWA_MS SOC_SIEM_TNW
Country: DE
Region: DEA22
Contract type: Services
Procedure: Negotiated with prior call for competition
CPV classification: 72000000 | 72220000: Systems and technical consultancy services
Estimated value: 4000000 EUR
Submission deadline: 2025-08-21
Award criteria: price, quality

Technical requirements: Wettbewerbsteilnehmern steht der vergaberechtliche Rechtsschutz gemäß den §§ 160 ff. GWB zur Verfügung. Ein Nachprüfungsverfahren ist nur auf Antrag zulässig. Antragsbefugt ist gemäß § 160 Abs. 2 GWB jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag hat und eine Verletzung in seinen Rechten nach § 97 Abs. 6 GWB durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht. Der Antrag ist gemäß § 160 Abs. 2 GWB unzulässig, soweit: 1) Der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Abs. 2 bleibt unberührt, 2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung gegenüber dem Auftraggeber gerügt werden, 3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 4) Mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Satz 1 Nr. 2. § 134 Abs. 1 Satz 2 GWB bleibt unberührt.
Im ersten Verfahrensabschnitt werden die Interessenten zur Abgabe eines Teilnahmeantrages aufgefordert. Im Anschluss daran prüft die Vergabestelle die Eignung der Bewerber anhand der eingereichten Nachweise. Sodann werden pro Los max. 4 Bewerber ausgewählt, die eingeladen werden, erste indikative Angebote einzureichen, über die dann verhandelt wird. Nach Abschluss der Verhandlungsphase erhalten alle Bieter, die ein indikatives Erstangebot eingereicht und an den Verhandlungen teilgenommen haben, die Aufforderung zur Einreichung der verbindlichen finalen Angebote, die nach Maßgabe der bekannt gegebenen Zuschlagskriterien bewertet werden.
Ausschreibung zum Abschluss eines Rahmenvertrages über den Betrieb eines Managed Security Service über den Betrieb eines Security Information and Event Management (SIEM) sowie ein Security Operation Center (SOC) als full-managed Service auf Basis einer Cloudlösung inkl. weiterer Dienstleistungen  Los 1: Corporate- und Office-IT (IT-Infrastruktur) Los 2: Operational Technologie (OT-Infrastruktur)
Unternehmensdarstellung (Name, Anschrift, Rechtsform, organisatorische Gliederung, Leistungsspektrum, Gründungsdatum, Niederlassungen), (Formblatt - Angaben zum Unternehmen (Versicherung/Umsatz)
Angabe der Eintragung in ein Handelsregister, alternativ eine Angabe nach Maßgabe der Rechtsvorschriften des Landes, in dem der Bewerber ansässig ist.

Eligibility requirements: Unternehmensdarstellung (Name, Anschrift, Rechtsform, organisatorische Gliederung, Leistungsspektrum, Gründungsdatum, Niederlassungen), (Formblatt - Angaben zum Unternehmen (Versicherung/Umsatz)
Angabe der Eintragung in ein Handelsregister, alternativ eine Angabe nach Maßgabe der Rechtsvorschriften des Landes, in dem der Bewerber ansässig ist.
Eigenerklärung über das Nichtvorliegen von Ausschlussgründen gemäß § 123 f. GWB (Formblatt - Erklärung zum Nichtvorliegen von Ausschlussgründen) - (Im Fall der Bildung einer Bewerbergemeinschaft für alle Mitglieder einzureichen!).
Einzureichen ist ein Nachweis einer Betriebshaftpflichtversicherung für Personen- sowie für Sach- und Vermögensschäden (inkl. Mietsachschäden) über mindestens 3 Mio. EUR, welche bei einem in der EU zugelassenen Versicherer abgeschlossen ist; es genügt die Erklärung über die Bereitschaft, im Zuschlagsfall eine entsprechende Versicherung abzuschließen sowie die Bestätigung eines Versicherungsunternehmens zum Abschluss einer entsprechenden Versicherung.
Eigenerklärung über die Gesamtumsätze der letzten drei Geschäftsjahre und der Umsätze der letzten drei Geschäftsjahre, die mit der ausgeschriebenen Leistung vergleichbar sind
a) Eigenerklärung darüber, dass der Bewerber in der Lage ist, die jeweils angebotene Leistung in einer Umgebung zu hosten, die eine Zertifizierung nach DIN ISO/IEC 27001:2022 in Bezug auf das gesamte Unternehmen oder eine gleichwertige Bescheinigung, wie etwa die Zertifizierung gem. BSI Grundschutz oder vergleichbare Zertifizierungen von akkreditierten Stellen in anderen Mitgliedstaaten aufweist (zugleich Mindestanforderung).  b) Eigenerklärung darüber, dass der Bewerber in der Lage ist, die jeweils angebotene Leistung in einer Umgebung zu hosten, die eine nach DIN ISO/IEC 27017: aufweist (die Zertifizierung eines Mitglieds einer Bewerbergemeinschaft genügt, wenn das zertifizierte Mitglied das Rechenzentrum betreibt, in dem die anzubietende Lösung gehostet wird) (Mindestanforderung).  c) Darstellung zur Unternehmensorganisation und der Unternehmensprozesse, die eine hinreichende Systemqualität sicherstellt, alternativ kann eine Zertifizierung des Unternehmens nach DIN ISO 9001 oder eine gleichwertige Bescheinigung von akkreditierten Stellen in anderen Mitgliedstaaten eingereicht werden
d)  Referenzliste über vergleichbare und abgeschlossene Leistungen der letzten drei (3) Jahre. Vergleichbar sind Leistungen über den Betrieb eines Security Operations Center (SOC) inklusive eines Security Information and Event Management (SIEM) mit einer Ereignisrate von mindestens 800 Events per Second (EPS) mit einem 24/7-Support in allen drei Support-Level-Klassen (1/2/3) umfassen. Als abgeschlossen gelten Referenzprojekte, deren Implementierung abgeschlossen ist und die SIEM-/SOC-Lösung seit mindestens zwölf (12) Monaten produktiv betrieben wird. Anzugeben sind: - Projektinhalt mit Angaben zu Zeitdauer und Charakteristik, Projektziel, insbesondere zu Implementierung und Dauer des Betriebs von SOC, - Auftraggeber inkl. Ansprechpartner und Telefonnummer, - Leistungszeitraum, - Kurzbeschreibung der durchgeführten Dienstleistungen, insbesondere Angabe zum erbrachten Support/Service und zu dem betreuten SIEM-Tool.  Mindestanforderung:   Nachweis über mindestens zwei vergleichbare und abgeschlossene Referenzprojekte der letzten drei Jahre, davon mindestens eine vergleichbare Referenz, die für einen Akteur, der eine kritische Infrastruktur betreibt, erbracht wurde. Vergleichbar sind Leistungen über den Betrieb eines Security Operations Center (SOC) inklusive eines Security Information and Event Management (SIEM) mit einer Ereignisrate von mindestens 800 Events per Second (EPS) mit einem 24/7/365-Support in allen drei Support-Level-Klassen (1/2/3) umfassen. Als abgeschlossen gelten Referenzprojekte, deren Implementierung abgeschlossen ist und die SIEM-/SOC-Lösung seit mindestens zwölf (12) Monaten produktiv betrieben wird.
Nachweis über mindestens zwei vergleichbare und abgeschlossene Referenzprojekte der letzten drei Jahre, davon mindestens eine vergleichbare Referenz, die für einen Akteur, der eine kritische Infrastruktur betreibt, erbracht wurde. Vergleichbar sind Leistungen über den Betrieb eines Security Operations Center (SOC) inklusive eines Security Information and Event Management (SIEM) mit einer Ereignisrate von mindestens 800 Events per Second (EPS) mit einem 24/7/365-Support in allen drei Support-Level-Klassen (1/2/3) umfassen. Als abgeschlossen gelten Referenzprojekte, deren Implementierung abgeschlossen ist und die SIEM-/SOC-Lösung seit mindestens zwölf (12) Monaten produktiv betrieben wird.  Anzugeben sind: - Projektinhalt mit Angaben zu Zeitdauer und Charakteristik, Projektziel, insbesondere zu Implementierung und Dauer des Betriebs von SOC, - Auftraggeber inkl. Ansprechpartner und Telefonnummer, - Leistungszeitraum, - Kurzbeschreibung der durchgeführten Dienstleistungen, insbesondere Angabe zum erbrachten Support/Service und zu dem betreuten SIEM-Tool.
Für die Auswahl entscheidend ist zu 60 % die nachgewiesene Kompetenz und Erfahrung anhand der Vergleichbarkeit eingereichten Referenzen über die mit der ausgeschriebenen Leistung vergleichbar erbrachten Leistungen nach Maßgabe der nachfolgend definierten Anforderungen.  Die Vergabestelle beschränkt die Zahl der einreichbaren Referenzen auf sechs (6) Referenzen pro Bewerber/Bewerbergemeinschaft. Jede der eingereichten Referenz wird anhand des nachstehenden Punktesystems wie folgt bewertet: 15 Punkte bei Vorliegen folgender Voraussetzungen: (1) Referenz über  1.1. Konzeption, Integration und Betrieb einer SIEM-Lösung mit mindestens 1000 EPS im Produktivbetrieb. 1.2. Bereitstellung als hochverfügbare Lösung (? 99,9 % Verfügbarkeit) 1.3. 24/7/365-Überwachung durch ein SOC mit vollständiger Abdeckung der Supportklassen (1/2/3) 1.4. Umsetzung oder Nutzung eines anerkannten Frameworks zur Angriffserkennung, z. B. MITRE Adversarial Tactics, Techniques, and Common Knowledge Framework (MITRE ATT&CK(R)), Lockheed Martin Cyber Kill Chain(R)) 1.5. Einsatz von Incident Response-Mechanismen sowie automatisierten Abläufen im Sinne eines SOAR-Ansatzes (Security Orchestration, Automation and Response) oder vergleichbare Interventionsmöglichkeiten 1.6. Durchführung forensischer Analysen im Rahmen von Sicherheitsvorfällen (in der Referenzbeschreibung darzustellen 1.7. Die Referenz muss sich auf einen Auftraggeber im Bereich Energiewirtschaft und/oder im Bereich kritischer Infrastruktur (KRITIS) beziehen 1.8. Die Abnahme/Produktivsetzung liegt mindestens 12 Monate zurück 1.9. Die Lösung befindet sich nachweislich im aktiven Betrieb durch den MSSP (Managed Security Service Provider)  13 Punkte: 2.1. Konzeption, Integration und Betrieb einer SIEM-Lösung mit mindestens 1000 EPS im Produktivbetrieb. 2.2. Bereitstellung als hochverfügbare Lösung (? 99,9 % Verfügbarkeit) 2.3. 24/7/365-Überwachung durch ein SOC mit vollständiger Abdeckung der Supportklassen (1/2/3) 2.4. Umsetzung oder Nutzung eines anerkannten Frameworks zur Angriffserkennung, z. B. MITRE Adversarial Tactics, Techniques, and Common Knowledge Framework (MITRE ATT&CK(R)), Lockheed Martin Cyber Kill Chain(R)) 2.5. Einsatz von Incident Response-Mechanismen sowie automatisierte Abläufe im Sinne eines SOAR-Ansatzes (Security Orchestration, Automation and Response) oder vergleichbare Interventionsmöglichkeiten 2.6. Durchführung forensischer Analysen im Rahmen von Sicherheitsvorfällen (in der Referenzbeschreibung darzustellen 2.7. Die Referenz muss sich auf einen Auftraggeber im Bereich Energiewirtschaft und/oder im Bereich kritischer Infrastruktur (KRITIS) beziehen 2.8. Die Abnahme/Produktivsetzung liegt mindestens 12 Monate zurück 2.9. Die Lösung befindet sich nachweislich im aktiven Betrieb durch den MSSP (Managed Security Service Provider)  11 Punkte 3.1. Konzeption, Integration und Betrieb einer SIEM-Lösung mit mindestens 800 EPS im Produktivbetrieb. 3.2. Bereitstellung als hochverfügbare Lösung (? 98,5 % Verfügbarkeit) 3.3. 24/7/365-Überwachung durch ein SOC mit vollständiger Abdeckung der Supportklassen (1/2/3) 3.4. Umsetzung oder Nutzung eines anerkannten Frameworks zur Angriffserkennung, z. B. MITRE Adversarial Tactics, Techniques, and Common Knowledge Framework (MITRE ATT&CK(R)), Lockheed Martin Cyber Kill Chain(R)) 3.5. Einsatz von Incident Response-Mechanismen oder vergleichbare Interventionsmöglichkeiten 3.6. Durchführung forensischer Analysen im Rahmen von Sicherheitsvorfällen (in der Referenzbeschreibung darzustellen 3.7. Die Referenz muss sich auf einen vergleichbaren Auftraggeber im Bereich Energiewirtschaft und/oder kritische Infrastruktur (KRITIS) beziehen 3.8. Die Abnahme/Produktivsetzung liegt mindestens 12 Monate zurück 3.9. Die Lösung befindet sich nachweislich im aktiven Betrieb durch den MSSP (Managed Security Service Provider)  8 Punkte 4.1. Konzeption, Integration und Betrieb einer SIEM-Lösung mit mindestens 800 EPS im Produktivbetrieb. 4.2. Bereitstellung als hochverfügbare Lösung (? 98,5 % Verfügbarkeit) 4.3. 24/7/365-Überwachung durch ein SOC mit vollständiger Abdeckung der Supportklassen (1/2/3) 4.4. Umsetzung oder Nutzung eines anerkannten Frameworks zur Angriffserkennung, z. B. MITRE Adversarial Tactics, Techniques, and Common Knowledge Framework (MITRE ATT&CK(R)), Lockheed Martin Cyber Kill Chain(R)) 4.5. Einsatz von Incident Response-Mechanismen oder vergleichbare Interventionsmöglichkeiten 4.6. Durchführung forensischer Analysen im Rahmen von Sicherheitsvorfällen (in der Referenzbeschreibung darzustellen 4.7. Die Abnahme/Produktivsetzung liegt mindestens 12 Monate zurück 4.8. Die Lösung befindet sich nachweislich im aktiven Betrieb durch den MSSP (Managed Security Service Provider)  5 Punkte:  5.1. Konzeption, Integration und Betrieb einer SIEM-Lösung mit mindestens 800 EPS im Produktivbetrieb. 5.2. Bereitstellung als hochverfügbare Lösung (? 98,5 % Verfügbarkeit) 5.3. 24/7/365-Überwachung durch ein SOC mit vollständiger Abdeckung der Supportklassen (1/2/3) 5.4. Umsetzung oder Nutzung eines anerkannten Frameworks zur Angriffserkennung, z. B. MITRE Adversarial Tactics, Techniques, and Common Knowledge Framework (MITRE ATT&CK(R)), Lockheed Martin Cyber Kill Chain(R)) 5.5. Die Abnahme/Produktivsetzung liegt mindestens 12 Monate zurück 5.6. Die Lösung befindet sich nachweislich im aktiven Betrieb durch den MSSP (Managed Security Service Provider)
Bestandteil der Vergabeunterlagen ist das Formblatt - Erklärung zur Kundenzufriedenheit, das von dem jeweiligen Auftraggeber einer eingereichten Referenz auszufüllen ist. Es dürfen nur ausgefüllte Formblätter von Auftraggebern zu eingereichten vergleichbaren und abgeschlossenen Referenzprojekten eingereicht werden. Gewertet wird jeweils nur der Grad der nachgewiesenen Zufriedenheit über vergleichbare Referenzprojekte.  Die durch einen Auftraggeber abgegebene ausgefüllte Erklärung zur Kundenzufriedenheit wird wie folgt bewertet:   Ein Bewerber erhält für jeden sehr zufriedenen Referenzkunden über vergleichbare Referenzleistungen in Bezug auf die erbrachte Gesamtleistung, die einen verbindlichen Fertigstellungstermin umfasste, pro ausgefülltem Formblatt 15 Punkte.   Ein Bewerber erhält für jeden sehr zufriedenen Referenzkunden über vergleichbare Referenzleistungen in Bezug auf die erbrachte Gesamtleistung pro ausgefülltem Formblatt 12 Punkte.   Ein Bewerber erhält für jeden zufriedenen Referenzkunden über vergleichbare Referenzleistungen in Bezug auf die erbrachte Gesamtleistung, die einen verbindlichen Fertigstellungstermin umfasste, pro ausgefülltem Formblatt 8 Punkte.   Ein Bewerber erhält für jeden zufriedenen Referenzkunden über vergleichbare Referenzleistungen in Bezug auf die erbrachte Gesamtleistung pro ausgefülltem Formblatt 6 Punkte.   Ein Bewerber erhält für jeden teilweise zufriedenen Referenzkunden über vergleichbare Referenzleistungen in Bezug auf die erbrachte Gesamtleistung, die einen verbindlichen Fertigstellungstermin umfasste, pro ausgefülltem Formblatt 4 Punkte.   Ein Bewerber erhält für jeden teilweise zufriedenen Referenzkunden über vergleichbare Referenzleistungen in Bezug auf die erbrachte Gesamtleistung pro ausgefülltem Formblatt 2 Punkte.   Die erreichten Punkte werden mit dem o.g. Gewichtungsfaktor (50 %) multipliziert.  Die sechs (6) Bewerber mit den insgesamt höchsten Punktzahlen (Summe aus "Kompetenz und Erfahrung" und "Grad der Kundenzufriedenheit") werden zur Angebotsabgabe ausgewählt.  Sollten mehrere Bewerber die gleiche Punktzahl erhalten, behält sich die ÜSTRA vor, die abschließende Auswahl und Reduzierung des Bieterkreises durch Losverfahren herbeizuführen.