Public procurement notice: Contract Notice
Published: 2025-01-08
Buyer: Entwicklung der Zero Trust Architektur für die Telematikinfrastruktur
Region: DEA22
Contract type: Services
Procedure: Negotiated with prior call for competition
CPV classification: 72000000 | 72222000: Information systems strategic planning services | 72240000 | 72250000: System and support services
Submission deadline: 2025-01-22

Technical requirements: Zwingende bzw. fakultative Ausschlussgründe nach §§ 123 bis 126 GWB
Das Nachprüfungsverfahren ist in Kapitel 2 des 4. Teils des Gesetzes gegen Wettbewerbsbeschränkungen (GWB) geregelt.
Ein Nachprüfungsverfahren wird nach § 160 GWB nur auf Antrag bei der Vergabekammer eingeleitet. Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 GWB durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschrift ein Schaden entstanden ist oder zu entstehen droht.
Dieser Antrag ist unzulässig, soweit:
1) der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrages erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 GWB bleibt unberührt;
2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden;
3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden;
4) mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Dies gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrages nach § 135 Absatz 1 Nummer 2 GWB. § 134 Absatz 1 Satz 1 Satz 2 GWB bleibt unberührt.
Nach § 134 GWB (Informations- und Wartepflicht) wird der Auftraggeber Bieter bzw. Bewerber über den vorgesehenen Zuschlag informieren. Der Vertrag wird erst 15 Kalendertage (bei elektronischer Übermittlung oder per Fax: 10 Kalendertage) nach Absendung dieser Information geschlossen.
Gegenstand dieser Ausschreibung ist der Abschluss eines Vertrages für die Entwicklung, den Test, die Bereitstellung und Instandhaltung von Zero Trust Software Komponenten und notwendiger Testmittel für die Zero Trust Architektur der Telematikinfrastruktur, sowie einer Rahmenvereinbarung zur Weiterentwicklung dieser Komponenten und Beratungs- und Analyseleistungen.
Die Leistungen des Auftragnehmers können neben dem Haupterfüllungsort auch am Sitz des Auftragnehmers erbracht werden.
Der Auftraggeber ist berechtigt, die Laufzeit dieses Vertrages vor Ablauf der Erstlaufzeit durch einseitige schriftliche Erklärung um 1 (ein) Jahr zu verlängern. Diese Verlängerungsoption kann 2 (zwei) mal ausgeübt werden, somit auf eine Gesamtvertragslaufzeit - ab Abnahme der Projektphase - von  6 (sechs) Jahren.

Eligibility requirements: 1. Erklärung zum Umsatz in den letzten 3 Geschäftsjahren (2021 bis 2023) aufgeteilt nach Gesamtumsatz und Umsatz des Unternehmens mit Leistungen, die mit den ausgeschriebenen Leistungen vergleichbar sind. Ein Bestand des Unternehmens seit drei Jahren ist nicht Voraussetzung. Für Unternehmen, die weniger als drei Jahre bestehen, sind die Erklärungen jeweils nur bezogen auf die bislang abgeschlossenen Geschäftsjahre abzugeben.
Mindestanforderung: Der erwirtschaftete Umsatz mit Leistungen, die mit den ausgeschriebenen Leistungen vergleichbar sind, muss mindestens 2 Mio. EUR (netto) pro Jahr betragen.
2. Erklärung zum Bestehen einer Betriebshaftpflichtversicherung für Personen-, Sach- und Vermögensschäden. Die Deckungssumme muss in marktüblicher und für den Auftrag ausreichender Höhe sein. Sofern der Nachweis mit Teilnahmeantragsabgabe nicht geführt werden kann, reicht die Erklärung eines Versicherers aus, dass er zum Abschluss einer solchen Versicherung mit dem Bewerber im Falle der Auftragserteilung bereit ist.
- Angaben zum Nichtvorliegen von Ausschlussgründen nach §§ 123 ff. GWB, §124 GWB Absatz 1 Nr 1 bis 9,   § 21 AEntG, § 98c AufenthG § 19 MiLoG, § 21 SchwarzarbG.
- Angaben zum Nichtvorliegen von unionsrechtlichen Ausschlussgründen gem. Art. 5k der VO (EU) 2022/576 (RU-Sanktionen).
- Angaben zur Eintragung im Handelsregister.
- Angaben zum Nichtvorliegen von Eintragungen im Wettbewerbsregister bzw. vergleichbarer Register aus dem Sitzland des Unternehmens (sofern Sitz nicht in Deutschland).
- Bewerbergemeinschaften haften gesamtschuldnerisch für die Erfüllung der angebotenen Leistungen und haben in den Teilnahmeanträgen sämtliche Mitglieder der Bewerbergemeinschaft zu benennen sowie eines ihrer Mitglieder als bevollmächtigten Vertreter für das Vergabeverfahren, den Abschluss und die Durchführung des Vertrages zu bezeichnen (Bewerbergemeinschaftserklärung (Anlage-04)).
- Der Bewerber hat Art und Umfang der Leistungen anzugeben, die er an Unterauftragnehmer übertragen will. Er kann die Unterauftragnehmer bereits mit der Abgabe des Teilnahmeantrags benennen. Sofern der Bewerber von der Eignungsleihe gem. § 47 VgV Gebrauch macht, hat er die Unternehmen, deren Eignung er sich bedient, bereits mit der Abgabe des Teilnahmeantrags zu benennen. In diesem Fall hat er zudem eine entsprechende Verpflichtungserklärung einzureichen, aus der hervorgeht, dass ihm die Kapazitäten der Unternehmen tatsächlich zur Verfügung stehen (Verpflichtungserklärung Unteraufträge (Anlage-05)).
- Für den Fall der Bildung einer Bewerbergemeinschaft und für den Fall des Einsatzes von Eignungsleihgebern muss durch jedes Mitglied der Bewerbergemeinschaft bzw. durch jeden Eignungsleihgeber ein entsprechend ausgefülltes Teilnahmeantragsformular (Anlage-03) eingereicht werden.
1. Erklärung zu widerstreitenden Interessen bei der Auftragsdurchführung. Zweifel an der Neutralität des Bieters (d.h. des potentiellen Auftragnehmers) bei der Ausführung des Auftrags gehen zu seinen Lasten und können gem. § 46 Abs. 2 VgV zur Verneinung seiner beruflichen Leistungsfähigkeit und zum Ausschluss aufgrund fehlender Eignung führen. 
2. Erklärung über den Bestand an Mitarbeitern in den Geschäftsjahren 2021 bis 2023 durchschnittlich jährlich beschäftigten Mitarbeitern. Ein Bestand des Unternehmens seit drei Jahren ist nicht Voraussetzung. Für Unternehmen, die weniger als drei Jahre bestehen, sind die Erklärungen jeweils nur bezogen auf die bislang abgeschlossenen Geschäftsjahre abzugeben.
Mindestanforderung: 
Die durchschnittliche jährliche Beschäftigtenzahl an 
- Product Owner / Projektleiter (Software) muss jeweils mindestens 3 Mitarbeiter,
- Senior Softwarearchitekten muss jeweils mindestens 3 Mitarbeiter,
- Senior Softwareentwickler (Mobile) muss jeweils mindestens 3 Mitarbeiter,
- Senior Softwareentwickler (Desktop) muss jeweils mindestens 3 Mitarbeiter,
- Senior Softwareentwickler (Backend) muss jeweils mindestens 12 Mitarbeiter,
- Senior Testexperten (Software) muss jeweils mindestens 8 Mitarbeiter
- Senior Sicherheitsexperten muss jeweils mindestens 3 Mitarbeiter,
betragen. 
Senior Experten sind Mitarbeiter mit mindestens 5 Jahren Berufserfahrung im benannten Bereich.
3. Referenzprojekte:Es sind unternehmensbezogene Referenzprojekte für nach ihrer Art und ihrem Umfang mit der ausgeschriebenen Leistung vergleichbare Leistungen aus den letzten 3 Jahren anzugeben. 
Eine Referenz ist vergleichbar, wenn
- wesentliche Software-Entwicklungsleistungen unter Anwendung eines sicheren Entwicklungsprozesses durchgeführt wurden,
- sie Zero-Trust-Prinzipien ODER eine vergleichbare IT-Sicherheitsarchitektur umfasst und
- eine der folgenden Leistungen erbracht wurden:
 >Client-Software für Nutzer im mobilen (Android oder iOS) ODER
 >stationären (Windows oder MacOS oder Linux) Umfeld entwickelt wurde ODER
 > eine Backend-Software für eine moderne Umgebung (Kubernetes oder vergleichbar) erfolgte.
Ein Referenzprojekt gilt als in den letzten 3 Jahren erbracht, wenn die Leistungen in den letzten 3 Jahren zu einem großen Anteil (mindestens 50%) erbracht oder insgesamt erfolgreich abgeschlossen wurden. Entscheidend für die Berechnung des Jahreszeitraumes ist der Ablauf der Teilnahmefrist.
Mindestanforderungen:
- Es müssen mindestens zwei Referenzprojekte aus den letzten 3 Jahren nachgewiesen werden, die mit der ausgeschriebenen Leistung vergleichbar sind
- Auftragsvolumen: Mindestauftragswert 500.000 EUR (netto)
- Es müssen in Summe aus allen Referenzprojekten mindestens folgende spezifische Mindestanforderungen erfüllt sein (mehrere Mindestanforderungen können auch in einem Referenzprojekt erfüllt sein, sofern die Mindestanzahl von zwei vorgelegten Referenzprojekten dennoch erreicht wird):
 >Mindestens eines der Referenzprojekte muss die Entwicklung von Backend-Software für eine moderne Umgebung (Kubernetes oder vergleichbar) im produktiven Umfeld beinhalten
 >Mindestens eines der Referenzprojekte muss eine mobile Client-Software-Entwicklung im produktiven Umfeld für iOS oder Android beinhalten
 >Mindestens eines der Referenzprojekte muss eine stationäre Client-Software-Entwicklung für Windows oder MacOS oder Linux beinhaltet
Der Auftraggeber wird im Rahmen der geplanten Reduzierung der Bewerberan-zahl gem. § 51 VgV max. 3 Referenzprojekte auf Grundlage der nachstehend angegebenen Kriterien bewerten. Kann ein Referenzprojekt, z.B. aufgrund zwingender Vorgaben oder fehlender Angaben, nicht gewertet werden, geht das zu Lasten des Bewerbers. Im Falle der Bewerbung als Bewerbergemeinschaft, werden ebenfalls ausschließlich maximal 3 Referenzobjekte der Bewerbergemeinschaft gewertet. Die Bewerbergemeinschaft muss die zu wertenden Referenzobjekte benennen. Selbiges gilt im Falle der Eignungsleihe sinngemäß.
Sofern Teilnahmeanträge/Angebote unvollständig eingegangen sind, behält sich der Auftraggeber vor, fehlende, unvollständige oder fehlerhafte Unterlagen - soweit zulässig - nachzufordern. Fehlende, unvollständige oder fehlerhafte Unterlagen führen gleichwohl zum Ausschluss des Teilnahmeantrags/Angebotes, wenn nach pflichtgemäßer Ausübung des Ermessens von einer Nachforderung abgesehen wird.
Sofern Angebotspreise im Verhältnis zu der zu erbringenden Leistung ungewöhnlich niedrig erscheinen, verlangt der Auftraggeber von den betroffenen Bietern Aufklärung und die Plausibilisierung der Angebotspreise. Gleiches gilt, wenn die Teilnahmeanträge/Angebote widersprüchliche Angaben enthalten.
Der Bewerber hat sowohl die Fachkräfte, die im Zusammenhang mit der Leistungserbringung eingesetzt werden sollen, verbindlich zu benennen, als auch ihre Erfahrungen verbindlich darzustellen. Es müssen im Rahmen der Angebotsabgabe mindestens 1 Senior Product Owner / Projektleiter (Software), 1 Senior Softwarearchitekt, 1  Senior Softwareentwickler (Mobile), 1 Senior Softwareentwickler (Desktop), 1 Senior Testexperte (Software) und 1 Senior Sicherheitsexperte (Software) verbindlich angegeben werden, die zur Leistungserbringung eingesetzt werden und die jeweils mindestens 5 Jahre Berufserfahrung (gerechnet ab Ablauf der Angebotsfrist) im jeweiligen Bereich aufweisen müssen.
Das Nachprüfungsverfahren ist in Kapitel 2 des 4. Teils des Gesetzes gegen Wettbewerbsbeschränkungen (GWB) geregelt.
Ein Nachprüfungsverfahren wird nach § 160 GWB nur auf Antrag bei der Vergabekammer eingeleitet. Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 GWB durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschrift ein Schaden entstanden ist oder zu entstehen droht.
Dieser Antrag ist unzulässig, soweit:
1) der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrages erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 GWB bleibt unberührt;
2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden;
3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden;
4) mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Dies gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrages nach § 135 Absatz 1 Nummer 2 GWB. § 134 Absatz 1 Satz 1 Satz 2 GWB bleibt unberührt.
Nach § 134 GWB (Informations- und Wartepflicht) wird der Auftraggeber Bieter bzw. Bewerber über den vorgesehenen Zuschlag informieren. Der Vertrag wird erst 15 Kalendertage (bei elektronischer Übermittlung oder per Fax: 10 Kalendertage) nach Absendung dieser Information geschlossen.
Die erste Umsetzungsstufe von Zero Trust adressiert die Fachanwendung Versichertenstammdatenmanagement (VSDM) 2.0, die gem. § 291a Absatz 4 i.V.m. § 291b Absatz 2 Satz 3 SGB V am 01.01.2026 eingeführt werden soll. Hierbei liegt der stationäre Zugang zur TI für Leistungserbringerinstitutionen (LEI) im Fokus (Windows, macOS, Linux). VSDM 2.0 und der hierfür benötigte PoPP-Service (Proof of Patient Presence) verstehen sich als Anwendung bzw. Dienst der TI 2.0 und werden über das Internet angesprochen. Die dafür benötigte neue Sicherheitsarchitektur wird über Zero Trust bereitgestellt. Der
Auftragnehmer entwickelt dazu die Zero Trust Komponenten. Da zur Einführung von Zero Trust noch keine digitalen Identitäten für LEI verfügbar sein werden, wird bei der Einführung von Zero Trust zur Authentisierung der LEI auf die vorhandenen Identitäten über die SMC-B oder SM-B zurückgegriffen. Der Zugriff auf diese Identitäten erfolgt über den Konnektor, das TI-Gateway oder den Highspeed-Konnektor (HSK). Die Zero Trust Komponenten beinhalten bereits die Attestierungsfunktion mittels Trusted Platform Modul (TPM) für Primärsysteme.

In der zweiten Umsetzungsstufe werden die Zero Trust Komponenten für den mobilen Zugang zur TI für Versicherte erweitert. Hierbei kann aufgrund der vorhandenen Mechanismen der gängigen Smartphone Plattformen (iOS, Android) unmittelbar eine Geräteattestierung und eine sichere Ablage von kryptographischen Schlüsseln umgesetzt werden. Für die Authentisierung der Versicherten werden die vorhandenen sektoralen Identity Provider (IDP) der Krankenversicherungen eingesetzt. Diese Umsetzungsstufe adressiert insbesondere TI-Anwendungen mit einer mobilen Anwendung für Versicherte, wie z. B. die neue zukünftige TI- Anwendung E-Rechnung. Zusätzlich wird für Versicherte ein stationärer Zugang (Desktop-Client) mit Attestierungsfunktion (TPM) unterstützt.

Weiterentwicklungsleistungen für die Zero Trust Architektur der Telematikinfrastruktur können im Anschluss der Entwicklung der zwei Umsetzungsstufen über eine Rahmenvereinbarung abgerufen werden. Ziel ist es hierbei die Zero Trust Architektur vollständig für die TI 2.0 und ihre TI-Anwendungen einzuführen und hierbei weitere in Zukunft verfügbare TI 2.0 Plattform-Anteile zu integrieren. Der Höchstwert der Rahmenvereinbarung (auflösende Bedingung für die Rahmenvereinbarung) beträgt 12.000.000 EUR. Einzelabrufe stehen dabei vollständig im Ermessen des Auftraggebers, eine Abrufverpflichtung besteht nicht.