Public procurement notice: Contract Notice
Published: 2024-06-20
Region: DE254
Contract type: Services
Procedure: Negotiated with prior call for competition
CPV classification: 48000000 | 72000000 | 72260000: Software-related services
Submission deadline: 2024-07-23
Award criteria: price, quality
EU fund: eu-funds

Technical requirements: Gemäß § 123, 124 GWB, § 57, 42 Abs. 1 VgV und § 16 VOB/A
Einführung und Betrieb eines Managed Security Operation Center (managed SOC) für die Stadt Nürnberg
https://bieterzugang.deutsche-evergabe.de/evergabe.bieter/api/external/subproject/4c79eb57-e824-4025-a199-87f0aba0151f/suitabilitycriteria

1. Aktuelle Kopie des Nachweises (nicht älter als 12 Monate, bezogen auf die Angebotsfrist) des Eintrags in das Handelsregister bzw. des Eintrags in das Verzeichnis der zulassungsfreien Handwerksgewerbe oder eine Kopie des Nachweises über die Eintragung in das Berufs- und/oder Handelsregister nach Maßgabe der Rechtsvorschriften des Staates der Europäischen Union, in dem das Unternehmen niedergelassen ist. 2. Eigenerklärung, dass die in § 123 GWB genannten Ausschlussgründe nicht zutreffen (rechtskräftige Verurteilung oder rechtskräftige Festsetzung einer Geldbuße bezüglich der aufgeführten Tatbestände; ggf. Nachweis zur Heilung nach § 125 GWB). 3. Eigenerklärung, dass die in § 124 GWB genannten Ausschlussgründe nichtzutreffen (ggf. Nachweis zur Heilung nach § 125 GWB). 4. Erklärung nachdem Arbeitnehmerentsendegesetz (AEntG), Mindestlohngesetz (MiLoG) und Schwarzarbeitsbekämpfungsgesetz (SchwarzArbG). 5. Eigenerklärung, dass die gewerberechtlichen Voraussetzungen für die Ausführung der angebotenen Leistung erfüllt sind. 6. Ich/wir erklären verbindlich (ggf. zugleich in Vertretung für die lt. Teilnahmeantrag / Angebot Vertretenen auch für diese): A. Der / die Bewerber / Bieter gehört / gehören nicht zu den in Artikel 5 k) Absatz 1 der Verordnung (EU) Nr. 833/2014 in der Fassung des Art. 1 Ziff. 23 der Verordnung (EU) 2022/576 des Rates vom 8. April 2022 über restriktive Maßnahmen angesichts der Handlungen Russlands, die die Lage in der Ukraine destabilisieren, genannten Personen oder Unternehmen, die einen Bezug zu Russland im Sinne der Vorschrift aufweisen, a) durch die russische Staatsangehörigkeit des Bewerbers/Bieters oder die Niederlassung des Bewerbers/Bieters in Russland, b) durch die Beteiligung einer natürlichen Person oder eines Unternehmens, auf die eines der Kriterien nach Buchstabe a zutrifft, am Bewerber/Bieter über das Halten von Anteilen im Umfang von mehr als 50%, c) durch das Handeln der Bewerber/Bieter im Namen oder auf Anweisung von Personen oder Unternehmen, auf die die Kriterien der Buchstaben a und/oder b zutrifft. B. Die am Auftrag als Unterauftragnehmer, Lieferanten oder Unternehmen, deren Kapazitäten im Zusammenhang mit der Erbringung des Eignungsnachweises in Anspruch genommen werden, beteiligten Unternehmen, auf die mehr als 10 % des Auftragswerts entfällt, gehören ebenfalls nicht zu dem in der Vorschrift genannten Personenkreis mit einem Bezug zu Russland im Sinne der Vorschrift. C. Es wird bestätigt und sichergestellt, dass auch während der Vertragslaufzeit keine als Unterauftragnehmer, Lieferanten oder Unternehmen, deren Kapazitäten im Zusammenhang mit der Erbringung des Eignungsnachweises in Anspruch genommen werden, beteiligten Unternehmen eingesetzt werden, auf die mehr als 10 % des Auftragswerts entfällt.
https://bieterzugang.deutsche-evergabe.de/evergabe.bieter/api/external/subproject/4c79eb57-e824-4025-a199-87f0aba0151f/suitabilitycriteria

1. Eigenerklärung, dass ein Insolvenzverfahren oder ein vergleichbares gesetzlich geregeltes Verfahren weder beantragt noch eröffnet wurde, ein Antrag auf Eröffnung nicht mangels Masse abgelehnt wurde und sich das Unternehmen nicht in Liquidation befindet. 2. Eigenerklärung Verpflichtung zur Zahlung von Steuern und Abgaben sowie der Beiträge zur gesetzlichen Sozialversicherung (Kranken-, Renten- und Arbeitslosenversicherung) einschließlich der Unfallversicherung. 3. Nachweis (Kopie der Versicherungspolice) über eine bestehende Betriebshaftpflichtversicherung mit folgenden Mindestdeckungssummen: 1.000.000 EUR; Sofern die Versicherungssummen derzeit nicht ausreichend sind, muss dem Angebot eine Erklärung beigelegt werden, dass sie bei Auftragserteilung angepasst werden.

A1: Darstellung des Bewerbers (Leistungsspektrum und Kerngeschäft des Unternehmens) und der Unternehmensorganisation (Hauptsitz, ggf. Niederlassungen, Struktur/Aufbau) sowie – falls zutreffend – ausführliche Darstellung der Konzernverbundenheit/-angehörigkeit mit anderen Unternehmen. 
A2: Das Unternehmen sichert zu, das es ist in der Lage ist, Mitarbeiter zur Verfügung zu stellen, die die deutsche Sprache in Wort und Schrift fließend beherrschen, (mindestens C1-Level entsprechend des Gemeinsamen Europäischen Referenzrahmens für Sprachen), diese im Rahmen der Leistungserbringung anwenden und in sämtlichen, den Auftraggeber zur Verfügung zu stellenden Dokumenten verwenden.  In einzelnen Ausnahmefällen ist nach vorheriger Zustimmung des Auftraggebers Englisch als Dokumentensprache zugelassen. 

B1: Sofern Sie eine Bewerber- bzw. Bietergemeinschaft bilden oder Unterauftragnehmer einsetzen, sind zusätzlich die in Abschnitt A, Anlage TWB_Mindesanforderungen dieses Fragebogens geforderten Nachweise, Angaben und Erklärungen von jedem Bieter der Bietergemeinschaft/Unterauftragnehmer einzureichen.  
B2: Detaillierte Darstellung der vorgesehenen Tätigkeiten des beteiligten Unternehmens (Mitglied der Bewerbergemeinschaft oder Unterauftragnehmer) im Projekt 
B3: Folgende Dienste werden von dem Bieter selbst (ohne Unterauftragnehmer) erbracht. Bei Bietergemeinschaften werden diese Dienste von einem Bieter (dieser stellt auch den Service-Manager) erbracht, insbesondere:
- Überwachung der AG-Infrastruktur mit einer SIEM-Lösung (oder vergleichbarer Lösung)
- Überwachung der AG-Client-Infrastruktur mit einr EDR/XDR-Lösung (oder vergleichbar)
- Betrieb eines Schwachstellenmanagement-Systems und Scannen auf Schwachstellen bei der AG
- Kommunikation (i.E. Melden von Verdachts- und Sicherheitsvorfällen an die AG) 
B4: Verhältnis der vom Bieter selbst erbrachten Leistung zu der von Unterauftragnehmern
https://bieterzugang.deutsche-evergabe.de/evergabe.bieter/api/external/subproject/4c79eb57-e824-4025-a199-87f0aba0151f/suitabilitycriteria

C1: Darlegung von Leistungsfähigkeit und Flexibilität des SOC-Dienstleisters (inkl. evtl. Unterauftragnehmer oder Mitglieder der Bietergemeinschaft) mit folgenden Angaben:
- Service-Umfang inkl. Abstufungen, aktueller Kundenzahl und -größe im SOC, Anzahl der durchschnittlich betreuten Use Cases, Scan-Ziele o.ä., 
- Angabe der durchschnittlichen Mitarbeiterzahl, die für die ausgeschriebene Leistung in den letzten drei Jahren bereitgestellt wurden
- Darlegung, welche SOC-Services seit wann erbracht werden. Die SOC-Services bzgl. SIEM und EDR/XDR müssen seit mindestens 3 Jahren dauerhaft erbracht werden,
- Darlegung der für die SOC-Services genutzten SOC-Tools (SIEM, EDR/XDR, SOAR, Schwachstellenmanagement) unter Angabe
- wie lange die SOC Tools bereits eingesetzt werden. 
C2: Angabe des vorgesehenen Service Managers / Projektleiters, der für die Dauer des Projekts ein fester Ansprechpartner in allen Projektbelangen für den AG ist (Vorlage Personalprofil) 
C3: Nachweis per Zertifikat, dass ein ausreichend qualifizierter Zugang zum Hersteller-Support besteht,
 - für den Hersteller der vorgesehenen SIEM-Lösung
 - für den Hersteller der vorgesehenen EDR/XDR-Lösung
 - für den Hersteller des vorgesehenen Schwachstellen-Scanners
Hinweis: Falls in der Vergabephase ein vorgesehenes SOC-Tool gewechselt wird, muss hierfür der Hersteller-Zugang und Mitarbeiter-Zertifkate ebenfalls nachgewiesen werden. 
C4: Nachweis der Zertifizierung nach ISO 27001 oder ISO 27001 auf Basis von BSI IT-Grundschutz mit einem den Ausschreibungsgegenstand umfassenden Gültigkeitsbereich 
C5: Der AN erklärt sich grundsätzlich bereit, für Nachweise eine Auditierung durch den AG zu unterstützen. Hierunter fallen sowohl die mögliche Einsichtnahme von relevanten Dokumentationen des ISMS (z.B. die Anwendbarkeitserklärung für ein ISMS nach ISO 27001, Sicherheitskonzepte, Technische und Organisatorische Maßnahmen sowie eine mögliche Begehung relevanter Örtlichkeiten). 
C6: Soweit der AN Clouddienste zur Verarbeitung von sicherheitsrelevanten Daten der AG einsetzt, erfüllt der Cloud-Dienstleister die Kriterien des C5-Kriterienkataloges des BSI einschließlich der Zusatzkriterien und kann dies nachweisen, beispielsweise durch ein Testat. 
C7: Mindestens zwei erfolgreiche Projekte für die Erbringung von SOC Services mittels der vorgesehenen SIEM-Lösung (oder vergleichbar), werden als Referenz gemäß Formular Projektreferenz beigelegt. Die referenzierten Projekte haben einen signifikanten Umsetzungsgrad und eine Laufzeit von mindestens einem Jahr. Mindestens bei einem Projekt kann eine Rückfrage bei dem jeweilgen AG realisiert werden. 
C8: Mindestens zwei erfolgreich abgeschlossene Projekte für die Erbringung von SOC Services mittels der vorgesehenen EDR/XDR-Lösung (oder vergleichbar), werden gemäß Formular Projektreferenz vorgelegt. Die referenzierten Projekte haben einen signifikanten Umsetzungsgrad und eine Laufzeit von mindestens einem Jahr. Mindestens bei einem Projekt kann eine Rückfrage bei dem jeweilgen AG realisiert werden. 
C9: Mindestens zwei erfolgreich abgeschlossene Projekte für die Erbringung von   Services für Vulnerability Scanning & Management mittels des vorgesehenen Schwachstellen-Scanners werden gemäß Formular Projektreferenz vorgelegt. Die referenzierten Projekte haben einen signifikanten Umsetzungsgrad und eine Laufzeit von mindestens einem Jahr. Mindestens bei einem Projekt kann eine Rückfrage bei dem jeweilgen AG realisiert werden. C10: Bewertung zusätzlicher Referenzen für die Erbringung von SOC-Services mit der vorgesehenen SIEM-Lösung gemäß Kriterium C7 
C11: Bewertung zusätzlicher Referenzen für die Erbringung von SOC-Services mittels DER/XDR-Lösung gemäß Kriterium C8 
C12: Bewertung zusätzlicher Referenzen für die Erbringung von Services für Vulnerability Scanning gemäß Kriterium C9
C13: Bewertung mindestens einer der angegebenen Referenzen in Bezug auf die für den vorgesehenen SOC-Service vorgesehenen Werkzeuge (z.B. SIEM, EDR/XDR, Schwachstellenmanagement-System). Bitte für jedes eingesetzte Werkzeug eine Referenz und das verwendete Werkzeug nennen.  
C14: Angabe der Anzahl technischen Fachkräfte für die geplanten Rollen (Analysten-Level etc.), die im Zusammenhang mit der Leistungserbringung für SOC-Services vorgesehen werden (Formblatt Personalprofil). Das Personal sollte
 - nachhaltig / per Zertifikat für die vorgesehenen Lösungen geschult sein und 
 - insgesamt die erforderlichen Skill-Level für alle vorgesehenen Tätigkeiten aufweisen.   
 C15: Nachvollziehbare Darlegung wie die Services miteinander interagieren, organisatorisch und technisch sowie Darlegung, wie die Interaktion üblicherweise und für Incident Response mit den Kunden erfolgt 
 C16: Nachweis der Zertifizierung nach ISO/IEC 9001 mit einem den Ausschreibungsgegenstand umfassenden Gültigkeitsbereich 
 C17: Nachweis der Zertifizierung nach ISO/IEC 20000 mit einem den Ausschreibungsgegenstand umfassenden Gültigkeitsbereich


Winner: Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)