Public procurement notice: Additional Information
Published: 2016-06-22
Buyer: Bundesamt für Sicherheit in der Informationstechnik
Country: DE
Region: DEUTSCHLAND
Contract type: Services
Procedure: Open procedure
CPV classification: 72000000
Submission deadline: 2016-07-21
Award criteria: The most economic tender

Technical requirements: Angaben und Formalitäten, die erforderlich sind, um die Einhaltung der Auflagen zu überprüfen:
Gemäß den gesetzlichen Vorgaben darf die ausgeschriebene Leistung nur an einen geeigneten Bieter vergeben werden. Geeignet ist ein Bieter dann, wenn er die zur Auftragsdurchführung erforderliche Fachkunde und Leistungsfähigkeit besitzt und diese im Angebot hinreichend nachweisen kann. Im Angebot ist auf jedes der unten stehenden Eignungskriterien einzugehen. Die Beantwortung hat sofern nicht anders vorgesehene mit eigenen Worten zu erfolgen. Bei den Kriterien wird zwischen Ausschlusskriterien (A), Bewertungskriterien (B) und informellen Kriterien (I) unterschieden. Kriterien mit dem Präfix (A) sind Ausschlusskriterien, bei denen bereits die Nichterfüllung eines einzelnen Kriteriums zu Ausschluss des Angebots führt. Ein Ausschlusskriterium gilt als nicht erfüllt, wenn – es nicht beantwortet wurde, – ggf. definierte Mindestvoraussetzungen nicht erreicht wurden, – es mit „Nein“ beantwortet wurde (siehe unten), oder – die geforderten Dokumente nicht eingereicht wurden. Für jedes Bewertungskriterium (B) werden Punkte von 0-10 vergeben. Die Eignung eines Bieters ergibt sich aus der Summe der Punkte (ohne Gewichtung) im Abschnitt „Eignungskriterien“ der Leistungsbeschreibung. Diese Summe muss mindestens 65 % der maximal erreichbaren Punkte betragen, damit die Eignung festgestellt wird. Kriterien mit dem Präfix (I) sind informell und gehen nicht in die Bewertung ein. 2.1) (B) Nennen Sie sämtliche Projektbeteiligten sowie deren Rollenqualifikationen in Form von anonymisierten Personalprofilen. Nennen Sie in jedem der Personalprofile Referenzprojekte mit Bezug zu diesem Projekt. Ordnen Sie die Projektbeteiligten den Arbeitspaketen oder Teilaufgaben aus den Arbeitspaketen zu. Benennen Sie Projektleitung und stellvertretende Projektleitung. – 0 Punkte: Es werden nicht alle Projektbeteiligten inkl. Rollen benannt oder es werden nicht mehr als zwei aussagekräftige und im Projektkontext relevante Referenzprojekte genannt. – 5 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. – 10 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden mehrere aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. 2.2) (B) Erläutern Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Kenntnisse in systematischer Identifikation von Gefährdungen und Ausnutzung von Schwachstellen auf allen Ebenen des Softwarestacks in Multi-Tier-Systemen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z.B. als Dienstleister, etc.). 2.3) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung in der statischen und dynamischen Sicherheitsanalyse von komplexen Softwareprojekten einschließlich Penetrationstests. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. Durchführung von Sicherheitsanalysen als Dienstleistung). 2.4) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung im Zusammenhang mit der Sicherheitsanalyse von SAP R3-, SAP ERP- oder SAP ECC-Anwendungen und mit SAP HANA. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass Projekte oder eine entsprechende Dienstleistung in diesem Bereich durchgeführt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch entsprechende Projekte oder Dienstleistungen in diesem Bereich, z. B. durch Sicherheitsberatung für SAP-Systeme in Organisationen oder Unternehmen. 2.5) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihren Kenntnisstand bzw. Ihre Aktivitäten in der Analyse von Sicherheitsvorfällen in Industrieanwendungen und die Bandbreite an eingesetzten Methoden. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Befassung mit der Thematik in der Theorie, ohne Eigenerfahrung. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die aktive Teilnahme an Diskussionen in dem Bereich oder durch aktive Mitwirkung bei der Analyse von Vorfällen. Weiterhin wurde bezogen auf den Untersuchungsgegenstand eine erfolgreiche Schwachstellensuche und Exploitanalyse durchgeführt. 2.6) (B) Haben Sie (oder die genannten Projektbeteiligten) in den vergangenen zwei Jahren an Fachkonferenzen mit unmittelbarem IT-Sicherheitsbezug (z. B. Blackhat, Defcon, SyScan, CanSecWest) passiv oder aktiv teilgenommen? (Auszug oder Verweis als Beleg beifügen) – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Teilnahme an mindestens einer der genannten Hackerkonferenz im genannten Zeitraum. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur passiven durch aktive Teilnahme an mindestens einer der genannten Hackerkonferenzen in Form von eigenen Beiträgen. Es müssen mindestens 5 Punkte erreicht werden. 2.7) (B) Benennen Sie Projekte, in denen Sie sich mit sicherheitsrelevantem Code für marktgängige Systemsoftware, Virtualisierungsumgebungen oder Cloud Computing Komponenten (IaaS, SaaS) befasst haben. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung von Programmcode in diesem Kontext und/oder praktische Erfahrungen (z.B. Aufsetzen von gehärteten Systemen, Analyse von Treibern und Protokollen, Einrichtung und Konfiguration von Anwendungen und Diensten). 2.8) (I) Geben Sie Ihre Erfahrungen der Zusammenarbeit mit Software-Herstellern bei sicherheitstechnischen Problemstellungen an. 2.9) (B) Beschreiben Sie Ihre Erfahrung und Kenntnisse hinsichtlich Netzwerkarchitekturen und Netzwerk- und Systemprotokollen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Lösungen und/oder praktische Erfahrungen. 2.10) (B) Beschreiben Sie Ihre Erfahrungen, Kenntnisse und Sachverstand bezüglich vergangenen, aktuellen und zukünftigen Exploit-Typen (vorzugsweise für Netzwerke, Betriebssysteme, Datenbanken und Anwendungssoftware). – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die erfolgreiche Eigenentwicklung von Exploits in der Vergangenheit und zum aktuellen Zeitpunkt. 2.11) (B) Erfahrungen bei verständlichen, praxisgerechte Referenzpublikationen – 0 Punkte: Es liegen keine bis zwei Referenzpublikationen vor, die zudem nicht verständlich und praxisgerecht sind. – 5 Punkte: Es liegen nur zwei bis vier Referenzpublikationen von einem der Projektbeteiligten vor. Diese sind verständlich und praxisgerecht. – 10 Punkte: Mehrere Projektbeteiligte haben verständliche, praxisgerechte Referenzpublikationen veröffentlicht. 2.12) (I) Benennen Sie adäquate Alternativen bei fehlenden Kompetenzen. 3.1) (A) Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung Ihrer Organisation bei. 3.2) (I) Fügen Sie die Kontaktstellen im Zusammenhang mit dem Angebot, insbesondere Namen, E-Mail-Adressen und telefonische Erreichbarkeiten der für die Durchführung des Projekts vorgesehenen Mitarbeiter an. 3.3) (A) Bestätigen Sie, dass Sie die eingeplanten Projektbeteiligten auch tatsächlich im vorgesehenen Umfang für das Projekt einsetzen. Insbesondere die Weitergabe von Projektteilen an Unterauftragnehmer, die inklusive der von Ihnen durchzuführenden und genau benannten Leistungen nicht im Angebot aufgeführt sind, ist nicht zulässig. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.4) (A) Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdeckt. Bitte nur mit „Ja“ oder „Nein“ beantworten.
Gemäß den gesetzlichen Vorgaben darf die ausgeschriebene Leistung nur an einen geeigneten Bieter vergeben werden. Geeignet ist ein Bieter dann, wenn er die zur Auftragsdurchführung erforderliche Fachkunde und Leistungsfähigkeit besitzt und diese im Angebot hinreichend nachweisen kann. Im Angebot ist auf jedes der unten stehenden Eignungskriterien einzugehen. Die Beantwortung hat sofern nicht anders vorgesehene mit eigenen Worten zu erfolgen. Bei den Kriterien wird zwischen Ausschlusskriterien (A), Bewertungskriterien (B) und informellen Kriterien (I) unterschieden. Kriterien mit dem Präfix (A) sind Ausschlusskriterien, bei denen bereits die Nichterfüllung eines einzelnen Kriteriums zu Ausschluss des Angebots führt. Ein Ausschlusskriterium gilt als nicht erfüllt, wenn – es nicht beantwortet wurde, – ggf. definierte Mindestvoraussetzungen nicht erreicht wurden, – es mit „Nein“ beantwortet wurde (siehe unten), oder – die geforderten Dokumente nicht eingereicht wurden. Für jedes Bewertungskriterium (B) werden Punkte von 0-10 vergeben. Die Eignung eines Bieters ergibt sich aus der Summe der Punkte (ohne Gewichtung) im Abschnitt „Eignungskriterien“ der Leistungsbeschreibung. Diese Summe muss mindestens 65 % der maximal erreichbaren Punkte betragen, damit die Eignung festgestellt wird. Kriterien mit dem Präfix (I) sind informell und gehen nicht in die Bewertung ein. 2.1) (B) Nennen Sie sämtliche Projektbeteiligten sowie deren Rollenqualifikationen in Form von anonymisierten Personalprofilen. Nennen Sie in jedem der Personalprofile Referenzprojekte mit Bezug zu diesem Projekt. Ordnen Sie die Projektbeteiligten den Arbeitspaketen oder Teilaufgaben aus den Arbeitspaketen zu. Benennen Sie Projektleitung und stellvertretende Projektleitung. – 0 Punkte: Es werden nicht alle Projektbeteiligten inkl. Rollen benannt oder es werden nicht mehr als zwei aussagekräftige und im Projektkontext relevante Referenzprojekte genannt. – 5 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. – 10 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden mehrere aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. 2.2) (B) Erläutern Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Kenntnisse in systematischer Identifikation von Gefährdungen und Ausnutzung von Schwachstellen auf allen Ebenen des Softwarestacks in Multi-Tier-Systemen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. als Dienstleister, etc.). 2.3) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung in der statischen und dynamischen Sicherheitsanalyse von komplexen Softwareprojekten einschließlich Penetrationstests. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. Durchführung von Sicherheitsanalysen als Dienstleistung). 2.4) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung im Zusammenhang mit der Sicherheitsanalyse von SAP R3-, SAP ERP- oder SAP ECC-Anwendungen und mit SAP HANA. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass Projekte oder eine entsprechende Dienstleistung in diesem Bereich durchgeführt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch entsprechende Projekte oder Dienstleistungen in diesem Bereich, z. B. durch Sicherheitsberatung für SAP-Systeme in Organisationen oder Unternehmen. 2.5) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihren Kenntnisstand bzw. Ihre Aktivitäten in der Analyse von Sicherheitsvorfällen in Industrieanwendungen und die Bandbreite an eingesetzten Methoden. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Befassung mit der Thematik in der Theorie, ohne Eigenerfahrung. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die aktive Teilnahme an Diskussionen in dem Bereich oder durch aktive Mitwirkung bei der Analyse von Vorfällen. Weiterhin wurde bezogen auf den Untersuchungsgegenstand eine erfolgreiche Schwachstellensuche und Exploitanalyse durchgeführt. 2.6) (B) Haben Sie (oder die genannten Projektbeteiligten) in den vergangenen zwei Jahren an Fachkonferenzen mit unmittelbarem IT-Sicherheitsbezug (z. B. Blackhat, Defcon, SyScan, CanSecWest) passiv oder aktiv teilgenommen? (Auszug oder Verweis als Beleg beifügen) – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Teilnahme an mindestens einer der genannten Hackerkonferenz im genannten Zeitraum. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur passiven durch aktive Teilnahme an mindestens einer der genannten Hackerkonferenzen in Form von eigenen Beiträgen. Es müssen mindestens 5 Punkte erreicht werden. 2.7) (B) Benennen Sie Projekte, in denen Sie sich mit sicherheitsrelevantem Code für marktgängige Systemsoftware, Virtualisierungsumgebungen oder Cloud Computing Komponenten (IaaS, SaaS) befasst haben. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung von Programmcode in diesem Kontext und/oder praktische Erfahrungen (z.B. Aufsetzen von gehärteten Systemen, Analyse von Treibern und Protokollen, Einrichtung und Konfiguration von Anwendungen und Diensten). 2.8) (I) Geben Sie Ihre Erfahrungen der Zusammenarbeit mit Software-Herstellern bei sicherheitstechnischen Problemstellungen an. 2.9) (B) Beschreiben Sie Ihre Erfahrung und Kenntnisse hinsichtlich Netzwerkarchitekturen und Netzwerk- und Systemprotokollen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Lösungen und/oder praktische Erfahrungen. 2.10) (B) Beschreiben Sie Ihre Erfahrungen, Kenntnisse und Sachverstand bezüglich vergangenen, aktuellen und zukünftigen Exploit-Typen (vorzugsweise für Netzwerke, Betriebssysteme, Datenbanken und Anwendungssoftware). – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die erfolgreiche Eigenentwicklung von Exploits in der Vergangenheit und zum aktuellen Zeitpunkt. 2.11) (B) Erfahrungen bei verständlichen, praxisgerechte Referenzpublikationen – 0 Punkte: Es liegen keine bis zwei Referenzpublikationen vor, die zudem nicht verständlich und praxisgerecht sind. – 5 Punkte: Es liegen nur zwei bis vier Referenzpublikationen von einem der Projektbeteiligten vor. Diese sind verständlich und praxisgerecht. – 10 Punkte: Mehrere Projektbeteiligte haben verständliche, praxisgerechte Referenzpublikationen veröffentlicht. 2.12) (I) Benennen Sie adäquate Alternativen bei fehlenden Kompetenzen. 3.1) (A) Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung Ihrer Organisation bei. 3.2) (I) Fügen Sie die Kontaktstellen im Zusammenhang mit dem Angebot, insbesondere Namen, E-Mail-Adressen und telefonische Erreichbarkeiten der für die Durchführung des Projekts vorgesehenen Mitarbeiter an. 3.3) (A) Bestätigen Sie, dass Sie die eingeplanten Projektbeteiligten auch tatsächlich im vorgesehenen Umfang für das Projekt einsetzen. Insbesondere die Weitergabe von Projektteilen an Unterauftragnehmer, die inklusive der von Ihnen durchzuführenden und genau benannten Leistungen nicht im Angebot aufgeführt sind, ist nicht zulässig. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.4) (A) Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdeckt. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.5) (A) Bestätigen Sie, dass weder Sie noch Ihre Partner im Fall einer Bietergemeinschaft noch ggf. Unterauftragnehmer durch die angebotene Leistung in einen Interessenskonflikt gelangen, z. B. durch Verpflichtungen gegenüber oder Kooperation mit SAP oder durch wirtschaftliche Abhängigkeit von genannten Leistungsanbietern, und dass alle Beteiligten daher bei der Analyse unvoreingenommen vorgehen. Bestätigen Sie, dass für alle in Ihrem Angebot genannten Mitarbeiter keine wirtschaftlichen Abhängigkeiten gegenüber SAP oder einem SAP vertraglich verpflichteten Dritten bestehen. Ziel ist ein unvoreingenommenes Untersuchungsergebnis, bei dem Neutralität und Unvoreingenommenheit des Untersuchenden nachgewiesen werden kann. Sollte ein Konflikt bestehen, stellen Sie dar, wie sie ihn auflösen wollen. Das Angebot kann in diesem Fall nur berücksichtigt werden, wenn der beschriebene Lösungsansatz vom BSI als ausreichend beurteilt wird. Ansonsten bitte nur mit „Ja“ oder „Nein“ antworten.
Angaben und Formalitäten, die erforderlich sind, um die Einhaltung der Auflagen zu überprüfen:
Gemäß den gesetzlichen Vorgaben darf die ausgeschriebene Leistung nur an einen geeigneten Bieter vergeben werden. Geeignet ist ein Bieter dann, wenn er die zur Auftragsdurchführung erforderliche Fachkunde und Leistungsfähigkeit besitzt und diese im Angebot hinreichend nachweisen kann. Im Angebot ist auf jedes der unten stehenden Eignungskriterien einzugehen. Die Beantwortung hat sofern nicht anders vorgesehene mit eigenen Worten zu erfolgen. Bei den Kriterien wird zwischen Ausschlusskriterien (A), Bewertungskriterien (B) und informellen Kriterien (I) unterschieden. Kriterien mit dem Präfix (A) sind Ausschlusskriterien, bei denen bereits die Nichterfüllung eines einzelnen Kriteriums zu Ausschluss des Angebots führt. Ein Ausschlusskriterium gilt als nicht erfüllt, wenn – es nicht beantwortet wurde, – ggf. definierte Mindestvoraussetzungen nicht erreicht wurden, – es mit „Nein“ beantwortet wurde (siehe unten), oder – die geforderten Dokumente nicht eingereicht wurden. Für jedes Bewertungskriterium (B) werden Punkte von 0-10 vergeben. Die Eignung eines Bieters ergibt sich aus der Summe der Punkte (ohne Gewichtung) im Abschnitt „Eignungskriterien“ der Leistungsbeschreibung. Diese Summe muss mindestens 65 % der maximal erreichbaren Punkte betragen, damit die Eignung festgestellt wird. Kriterien mit dem Präfix (I) sind informell und gehen nicht in die Bewertung ein. 2.1) (B) Nennen Sie sämtliche Projektbeteiligten sowie deren Rollenqualifikationen in Form von anonymisierten Personalprofilen. Nennen Sie in jedem der Personalprofile Referenzprojekte mit Bezug zu diesem Projekt. Ordnen Sie die Projektbeteiligten den Arbeitspaketen oder Teilaufgaben aus den Arbeitspaketen zu. Benennen Sie Projektleitung und stellvertretende Projektleitung. – 0 Punkte: Es werden nicht alle Projektbeteiligten inkl. Rollen benannt oder es werden nicht mehr als zwei aussagekräftige und im Projektkontext relevante Referenzprojekte genannt. – 5 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. – 10 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden mehrere aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. 2.2) (B) Erläutern Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Kenntnisse in systematischer Identifikation von Gefährdungen und Ausnutzung von Schwachstellen auf allen Ebenen des Softwarestacks in Multi-Tier-Systemen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z.B. als Dienstleister, etc.). 2.3) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung in der statischen und dynamischen Sicherheitsanalyse von komplexen Softwareprojekten einschließlich Penetrationstests. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. Durchführung von Sicherheitsanalysen als Dienstleistung). 2.4) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung im Zusammenhang mit der Sicherheitsanalyse von SAP R3-, SAP ERP- oder SAP ECC-Anwendungen und mit SAP HANA. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass Projekte oder eine entsprechende Dienstleistung in diesem Bereich durchgeführt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch entsprechende Projekte oder Dienstleistungen in diesem Bereich, z. B. durch Sicherheitsberatung für SAP-Systeme in Organisationen oder Unternehmen. 2.5) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihren Kenntnisstand bzw. Ihre Aktivitäten in der Analyse von Sicherheitsvorfällen in Industrieanwendungen und die Bandbreite an eingesetzten Methoden. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Befassung mit der Thematik in der Theorie, ohne Eigenerfahrung. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die aktive Teilnahme an Diskussionen in dem Bereich oder durch aktive Mitwirkung bei der Analyse von Vorfällen. Weiterhin wurde bezogen auf den Untersuchungsgegenstand eine erfolgreiche Schwachstellensuche und Exploitanalyse durchgeführt. 2.6) (B) Haben Sie (oder die genannten Projektbeteiligten) in den vergangenen zwei Jahren an Fachkonferenzen mit unmittelbarem IT-Sicherheitsbezug (z. B. Blackhat, Defcon, SyScan, CanSecWest) passiv oder aktiv teilgenommen? (Auszug oder Verweis als Beleg beifügen) – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Teilnahme an mindestens einer der genannten Hackerkonferenz im genannten Zeitraum. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur passiven durch aktive Teilnahme an mindestens einer der genannten Hackerkonferenzen in Form von eigenen Beiträgen. Es müssen mindestens 5 Punkte erreicht werden. 2.7) (B) Benennen Sie Projekte, in denen Sie sich mit sicherheitsrelevantem Code für marktgängige Systemsoftware, Virtualisierungsumgebungen oder Cloud Computing Komponenten (IaaS, SaaS) befasst haben. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung von Programmcode in diesem Kontext und/oder praktische Erfahrungen (z.B. Aufsetzen von gehärteten Systemen, Analyse von Treibern und Protokollen, Einrichtung und Konfiguration von Anwendungen und Diensten). 2.8) (I) Geben Sie Ihre Erfahrungen der Zusammenarbeit mit Software-Herstellern bei sicherheitstechnischen Problemstellungen an. 2.9) (B) Beschreiben Sie Ihre Erfahrung und Kenntnisse hinsichtlich Netzwerkarchitekturen und Netzwerk- und Systemprotokollen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Lösungen und/oder praktische Erfahrungen. 2.10) (B) Beschreiben Sie Ihre Erfahrungen, Kenntnisse und Sachverstand bezüglich vergangenen, aktuellen und zukünftigen Exploit-Typen (vorzugsweise für Netzwerke, Betriebssysteme, Datenbanken und Anwendungssoftware). – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die erfolgreiche Eigenentwicklung von Exploits in der Vergangenheit und zum aktuellen Zeitpunkt. 2.11) (B) Erfahrungen bei verständlichen, praxisgerechte Referenzpublikationen – 0 Punkte: Es liegen keine bis zwei Referenzpublikationen vor, die zudem nicht verständlich und praxisgerecht sind. – 5 Punkte: Es liegen nur zwei bis vier Referenzpublikationen von einem der Projektbeteiligten vor. Diese sind verständlich und praxisgerecht. – 10 Punkte: Mehrere Projektbeteiligte haben verständliche, praxisgerechte Referenzpublikationen veröffentlicht. 2.12) (I) Benennen Sie adäquate Alternativen bei fehlenden Kompetenzen. 3.1) (A) Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung Ihrer Organisation bei. 3.2) (I) Fügen Sie die Kontaktstellen im Zusammenhang mit dem Angebot, insbesondere Namen, E-Mail-Adressen und telefonische Erreichbarkeiten der für die Durchführung des Projekts vorgesehenen Mitarbeiter an. 3.3) (A) Bestätigen Sie, dass Sie die eingeplanten Projektbeteiligten auch tatsächlich im vorgesehenen Umfang für das Projekt einsetzen. Insbesondere die Weitergabe von Projektteilen an Unterauftragnehmer, die inklusive der von Ihnen durchzuführenden und genau benannten Leistungen nicht im Angebot aufgeführt sind, ist nicht zulässig. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.4) (A) Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdeckt. Bitte nur mit „Ja“ oder „Nein“ beantworten.
Gemäß den gesetzlichen Vorgaben darf die ausgeschriebene Leistung nur an einen geeigneten Bieter vergeben werden. Geeignet ist ein Bieter dann, wenn er die zur Auftragsdurchführung erforderliche Fachkunde und Leistungsfähigkeit besitzt und diese im Angebot hinreichend nachweisen kann. Im Angebot ist auf jedes der unten stehenden Eignungskriterien einzugehen. Die Beantwortung hat sofern nicht anders vorgesehene mit eigenen Worten zu erfolgen. Bei den Kriterien wird zwischen Ausschlusskriterien (A), Bewertungskriterien (B) und informellen Kriterien (I) unterschieden. Kriterien mit dem Präfix (A) sind Ausschlusskriterien, bei denen bereits die Nichterfüllung eines einzelnen Kriteriums zu Ausschluss des Angebots führt. Ein Ausschlusskriterium gilt als nicht erfüllt, wenn – es nicht beantwortet wurde, – ggf. definierte Mindestvoraussetzungen nicht erreicht wurden, – es mit „Nein“ beantwortet wurde (siehe unten), oder – die geforderten Dokumente nicht eingereicht wurden. Für jedes Bewertungskriterium (B) werden Punkte von 0-10 vergeben. Die Eignung eines Bieters ergibt sich aus der Summe der Punkte (ohne Gewichtung) im Abschnitt „Eignungskriterien“ der Leistungsbeschreibung. Diese Summe muss mindestens 65 % der maximal erreichbaren Punkte betragen, damit die Eignung festgestellt wird. Kriterien mit dem Präfix (I) sind informell und gehen nicht in die Bewertung ein. 2.1) (B) Nennen Sie sämtliche Projektbeteiligten sowie deren Rollenqualifikationen in Form von anonymisierten Personalprofilen. Nennen Sie in jedem der Personalprofile Referenzprojekte mit Bezug zu diesem Projekt. Ordnen Sie die Projektbeteiligten den Arbeitspaketen oder Teilaufgaben aus den Arbeitspaketen zu. Benennen Sie Projektleitung und stellvertretende Projektleitung. – 0 Punkte: Es werden nicht alle Projektbeteiligten inkl. Rollen benannt oder es werden nicht mehr als zwei aussagekräftige und im Projektkontext relevante Referenzprojekte genannt. – 5 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. – 10 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden mehrere aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. 2.2) (B) Erläutern Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Kenntnisse in systematischer Identifikation von Gefährdungen und Ausnutzung von Schwachstellen auf allen Ebenen des Softwarestacks in Multi-Tier-Systemen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. als Dienstleister, etc.). 2.3) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung in der statischen und dynamischen Sicherheitsanalyse von komplexen Softwareprojekten einschließlich Penetrationstests. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. Durchführung von Sicherheitsanalysen als Dienstleistung). 2.4) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung im Zusammenhang mit der Sicherheitsanalyse von SAP R3-, SAP ERP- oder SAP ECC-Anwendungen und mit SAP HANA. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass Projekte oder eine entsprechende Dienstleistung in diesem Bereich durchgeführt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch entsprechende Projekte oder Dienstleistungen in diesem Bereich, z. B. durch Sicherheitsberatung für SAP-Systeme in Organisationen oder Unternehmen. 2.5) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihren Kenntnisstand bzw. Ihre Aktivitäten in der Analyse von Sicherheitsvorfällen in Industrieanwendungen und die Bandbreite an eingesetzten Methoden. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Befassung mit der Thematik in der Theorie, ohne Eigenerfahrung. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die aktive Teilnahme an Diskussionen in dem Bereich oder durch aktive Mitwirkung bei der Analyse von Vorfällen. Weiterhin wurde bezogen auf den Untersuchungsgegenstand eine erfolgreiche Schwachstellensuche und Exploitanalyse durchgeführt. 2.6) (B) Haben Sie (oder die genannten Projektbeteiligten) in den vergangenen zwei Jahren an Fachkonferenzen mit unmittelbarem IT-Sicherheitsbezug (z. B. Blackhat, Defcon, SyScan, CanSecWest) passiv oder aktiv teilgenommen? (Auszug oder Verweis als Beleg beifügen) – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Teilnahme an mindestens einer der genannten Hackerkonferenz im genannten Zeitraum. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur passiven durch aktive Teilnahme an mindestens einer der genannten Hackerkonferenzen in Form von eigenen Beiträgen. Es müssen mindestens 5 Punkte erreicht werden. 2.7) (B) Benennen Sie Projekte, in denen Sie sich mit sicherheitsrelevantem Code für marktgängige Systemsoftware, Virtualisierungsumgebungen oder Cloud Computing Komponenten (IaaS, SaaS) befasst haben. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung von Programmcode in diesem Kontext und/oder praktische Erfahrungen (z.B. Aufsetzen von gehärteten Systemen, Analyse von Treibern und Protokollen, Einrichtung und Konfiguration von Anwendungen und Diensten). 2.8) (I) Geben Sie Ihre Erfahrungen der Zusammenarbeit mit Software-Herstellern bei sicherheitstechnischen Problemstellungen an. 2.9) (B) Beschreiben Sie Ihre Erfahrung und Kenntnisse hinsichtlich Netzwerkarchitekturen und Netzwerk- und Systemprotokollen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Lösungen und/oder praktische Erfahrungen. 2.10) (B) Beschreiben Sie Ihre Erfahrungen, Kenntnisse und Sachverstand bezüglich vergangenen, aktuellen und zukünftigen Exploit-Typen (vorzugsweise für Netzwerke, Betriebssysteme, Datenbanken und Anwendungssoftware). – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die erfolgreiche Eigenentwicklung von Exploits in der Vergangenheit und zum aktuellen Zeitpunkt. 2.11) (B) Erfahrungen bei verständlichen, praxisgerechte Referenzpublikationen – 0 Punkte: Es liegen keine bis zwei Referenzpublikationen vor, die zudem nicht verständlich und praxisgerecht sind. – 5 Punkte: Es liegen nur zwei bis vier Referenzpublikationen von einem der Projektbeteiligten vor. Diese sind verständlich und praxisgerecht. – 10 Punkte: Mehrere Projektbeteiligte haben verständliche, praxisgerechte Referenzpublikationen veröffentlicht. 2.12) (I) Benennen Sie adäquate Alternativen bei fehlenden Kompetenzen. 3.1) (A) Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung Ihrer Organisation bei. 3.2) (I) Fügen Sie die Kontaktstellen im Zusammenhang mit dem Angebot, insbesondere Namen, E-Mail-Adressen und telefonische Erreichbarkeiten der für die Durchführung des Projekts vorgesehenen Mitarbeiter an. 3.3) (A) Bestätigen Sie, dass Sie die eingeplanten Projektbeteiligten auch tatsächlich im vorgesehenen Umfang für das Projekt einsetzen. Insbesondere die Weitergabe von Projektteilen an Unterauftragnehmer, die inklusive der von Ihnen durchzuführenden und genau benannten Leistungen nicht im Angebot aufgeführt sind, ist nicht zulässig. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.4) (A) Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdeckt. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.5) (A) Bestätigen Sie, dass weder Sie noch Ihre Partner im Fall einer Bietergemeinschaft noch ggf. Unterauftragnehmer durch die angebotene Leistung in einen Interessenskonflikt gelangen, z. B. durch Verpflichtungen gegenüber oder Kooperation mit SAP oder durch wirtschaftliche Abhängigkeit von genannten Leistungsanbietern, und dass alle Beteiligten daher bei der Analyse unvoreingenommen vorgehen. Bestätigen Sie, dass für alle in Ihrem Angebot genannten Mitarbeiter keine wirtschaftlichen Abhängigkeiten gegenüber SAP oder einem SAP vertraglich verpflichteten Dritten bestehen. Ziel ist ein unvoreingenommenes Untersuchungsergebnis, bei dem Neutralität und Unvoreingenommenheit des Untersuchenden nachgewiesen werden kann. Sollte ein Konflikt bestehen, stellen Sie dar, wie sie ihn auflösen wollen. Das Angebot kann in diesem Fall nur berücksichtigt werden, wenn der beschriebene Lösungsansatz vom BSI als ausreichend beurteilt wird. Ansonsten bitte nur mit „Ja“ oder „Nein“ antworten.
Angaben und Formalitäten, die erforderlich sind, um die Einhaltung der Auflagen zu überprüfen:
Gemäß den gesetzlichen Vorgaben darf die ausgeschriebene Leistung nur an einen geeigneten Bieter vergeben werden. Geeignet ist ein Bieter dann, wenn er die zur Auftragsdurchführung erforderliche Fachkunde und Leistungsfähigkeit besitzt und diese im Angebot hinreichend nachweisen kann. Im Angebot ist auf jedes der unten stehenden Eignungskriterien einzugehen. Die Beantwortung hat sofern nicht anders vorgesehene mit eigenen Worten zu erfolgen. Bei den Kriterien wird zwischen Ausschlusskriterien (A), Bewertungskriterien (B) und informellen Kriterien (I) unterschieden. Kriterien mit dem Präfix (A) sind Ausschlusskriterien, bei denen bereits die Nichterfüllung eines einzelnen Kriteriums zu Ausschluss des Angebots führt. Ein Ausschlusskriterium gilt als nicht erfüllt, wenn – es nicht beantwortet wurde, – ggf. definierte Mindestvoraussetzungen nicht erreicht wurden, – es mit „Nein“ beantwortet wurde (siehe unten), oder – die geforderten Dokumente nicht eingereicht wurden. Für jedes Bewertungskriterium (B) werden Punkte von 0-10 vergeben. Die Eignung eines Bieters ergibt sich aus der Summe der Punkte (ohne Gewichtung) im Abschnitt „Eignungskriterien“ der Leistungsbeschreibung. Diese Summe muss mindestens 65 % der maximal erreichbaren Punkte betragen, damit die Eignung festgestellt wird. Kriterien mit dem Präfix (I) sind informell und gehen nicht in die Bewertung ein. 2.1) (B) Nennen Sie sämtliche Projektbeteiligten sowie deren Rollenqualifikationen in Form von anonymisierten Personalprofilen. Nennen Sie in jedem der Personalprofile Referenzprojekte mit Bezug zu diesem Projekt. Ordnen Sie die Projektbeteiligten den Arbeitspaketen oder Teilaufgaben aus den Arbeitspaketen zu. Benennen Sie Projektleitung und stellvertretende Projektleitung. – 0 Punkte: Es werden nicht alle Projektbeteiligten inkl. Rollen benannt oder es werden nicht mehr als zwei aussagekräftige und im Projektkontext relevante Referenzprojekte genannt. – 5 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. – 10 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden mehrere aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. 2.2) (B) Erläutern Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Kenntnisse in systematischer Identifikation von Gefährdungen und Ausnutzung von Schwachstellen auf allen Ebenen des Softwarestacks in Multi-Tier-Systemen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z.B. als Dienstleister, etc.). 2.3) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung in der statischen und dynamischen Sicherheitsanalyse von komplexen Softwareprojekten einschließlich Penetrationstests. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. Durchführung von Sicherheitsanalysen als Dienstleistung). 2.4) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung im Zusammenhang mit der Sicherheitsanalyse von SAP R3-, SAP ERP- oder SAP ECC-Anwendungen und mit SAP HANA. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass Projekte oder eine entsprechende Dienstleistung in diesem Bereich durchgeführt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch entsprechende Projekte oder Dienstleistungen in diesem Bereich, z. B. durch Sicherheitsberatung für SAP-Systeme in Organisationen oder Unternehmen. 2.5) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihren Kenntnisstand bzw. Ihre Aktivitäten in der Analyse von Sicherheitsvorfällen in Industrieanwendungen und die Bandbreite an eingesetzten Methoden. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Befassung mit der Thematik in der Theorie, ohne Eigenerfahrung. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die aktive Teilnahme an Diskussionen in dem Bereich oder durch aktive Mitwirkung bei der Analyse von Vorfällen. Weiterhin wurde bezogen auf den Untersuchungsgegenstand eine erfolgreiche Schwachstellensuche und Exploitanalyse durchgeführt. 2.6) (B) Haben Sie (oder die genannten Projektbeteiligten) in den vergangenen zwei Jahren an Fachkonferenzen mit unmittelbarem IT-Sicherheitsbezug (z. B. Blackhat, Defcon, SyScan, CanSecWest) passiv oder aktiv teilgenommen? (Auszug oder Verweis als Beleg beifügen) – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Teilnahme an mindestens einer der genannten Hackerkonferenz im genannten Zeitraum. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur passiven durch aktive Teilnahme an mindestens einer der genannten Hackerkonferenzen in Form von eigenen Beiträgen. Es müssen mindestens 5 Punkte erreicht werden. 2.7) (B) Benennen Sie Projekte, in denen Sie sich mit sicherheitsrelevantem Code für marktgängige Systemsoftware, Virtualisierungsumgebungen oder Cloud Computing Komponenten (IaaS, SaaS) befasst haben. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung von Programmcode in diesem Kontext und/oder praktische Erfahrungen (z.B. Aufsetzen von gehärteten Systemen, Analyse von Treibern und Protokollen, Einrichtung und Konfiguration von Anwendungen und Diensten). 2.8) (I) Geben Sie Ihre Erfahrungen der Zusammenarbeit mit Software-Herstellern bei sicherheitstechnischen Problemstellungen an. 2.9) (B) Beschreiben Sie Ihre Erfahrung und Kenntnisse hinsichtlich Netzwerkarchitekturen und Netzwerk- und Systemprotokollen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Lösungen und/oder praktische Erfahrungen. 2.10) (B) Beschreiben Sie Ihre Erfahrungen, Kenntnisse und Sachverstand bezüglich vergangenen, aktuellen und zukünftigen Exploit-Typen (vorzugsweise für Netzwerke, Betriebssysteme, Datenbanken und Anwendungssoftware). – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die erfolgreiche Eigenentwicklung von Exploits in der Vergangenheit und zum aktuellen Zeitpunkt. 2.11) (B) Erfahrungen bei verständlichen, praxisgerechte Referenzpublikationen – 0 Punkte: Es liegen keine bis zwei Referenzpublikationen vor, die zudem nicht verständlich und praxisgerecht sind. – 5 Punkte: Es liegen nur zwei bis vier Referenzpublikationen von einem der Projektbeteiligten vor. Diese sind verständlich und praxisgerecht. – 10 Punkte: Mehrere Projektbeteiligte haben verständliche, praxisgerechte Referenzpublikationen veröffentlicht. 2.12) (I) Benennen Sie adäquate Alternativen bei fehlenden Kompetenzen. 3.1) (A) Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung Ihrer Organisation bei. 3.2) (I) Fügen Sie die Kontaktstellen im Zusammenhang mit dem Angebot, insbesondere Namen, E-Mail-Adressen und telefonische Erreichbarkeiten der für die Durchführung des Projekts vorgesehenen Mitarbeiter an. 3.3) (A) Bestätigen Sie, dass Sie die eingeplanten Projektbeteiligten auch tatsächlich im vorgesehenen Umfang für das Projekt einsetzen. Insbesondere die Weitergabe von Projektteilen an Unterauftragnehmer, die inklusive der von Ihnen durchzuführenden und genau benannten Leistungen nicht im Angebot aufgeführt sind, ist nicht zulässig. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.4) (A) Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdeckt. Bitte nur mit „Ja“ oder „Nein“ beantworten.
Gemäß den gesetzlichen Vorgaben darf die ausgeschriebene Leistung nur an einen geeigneten Bieter vergeben werden. Geeignet ist ein Bieter dann, wenn er die zur Auftragsdurchführung erforderliche Fachkunde und Leistungsfähigkeit besitzt und diese im Angebot hinreichend nachweisen kann. Im Angebot ist auf jedes der unten stehenden Eignungskriterien einzugehen. Die Beantwortung hat sofern nicht anders vorgesehene mit eigenen Worten zu erfolgen. Bei den Kriterien wird zwischen Ausschlusskriterien (A), Bewertungskriterien (B) und informellen Kriterien (I) unterschieden. Kriterien mit dem Präfix (A) sind Ausschlusskriterien, bei denen bereits die Nichterfüllung eines einzelnen Kriteriums zu Ausschluss des Angebots führt. Ein Ausschlusskriterium gilt als nicht erfüllt, wenn – es nicht beantwortet wurde, – ggf. definierte Mindestvoraussetzungen nicht erreicht wurden, – es mit „Nein“ beantwortet wurde (siehe unten), oder – die geforderten Dokumente nicht eingereicht wurden. Für jedes Bewertungskriterium (B) werden Punkte von 0-10 vergeben. Die Eignung eines Bieters ergibt sich aus der Summe der Punkte (ohne Gewichtung) im Abschnitt „Eignungskriterien“ der Leistungsbeschreibung. Diese Summe muss mindestens 65 % der maximal erreichbaren Punkte betragen, damit die Eignung festgestellt wird. Kriterien mit dem Präfix (I) sind informell und gehen nicht in die Bewertung ein. 2.1) (B) Nennen Sie sämtliche Projektbeteiligten sowie deren Rollenqualifikationen in Form von anonymisierten Personalprofilen. Nennen Sie in jedem der Personalprofile Referenzprojekte mit Bezug zu diesem Projekt. Ordnen Sie die Projektbeteiligten den Arbeitspaketen oder Teilaufgaben aus den Arbeitspaketen zu. Benennen Sie Projektleitung und stellvertretende Projektleitung. – 0 Punkte: Es werden nicht alle Projektbeteiligten inkl. Rollen benannt oder es werden nicht mehr als zwei aussagekräftige und im Projektkontext relevante Referenzprojekte genannt. – 5 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. – 10 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden mehrere aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. 2.2) (B) Erläutern Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Kenntnisse in systematischer Identifikation von Gefährdungen und Ausnutzung von Schwachstellen auf allen Ebenen des Softwarestacks in Multi-Tier-Systemen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. als Dienstleister, etc.). 2.3) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung in der statischen und dynamischen Sicherheitsanalyse von komplexen Softwareprojekten einschließlich Penetrationstests. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. Durchführung von Sicherheitsanalysen als Dienstleistung). 2.4) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung im Zusammenhang mit der Sicherheitsanalyse von SAP R3-, SAP ERP- oder SAP ECC-Anwendungen und mit SAP HANA. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass Projekte oder eine entsprechende Dienstleistung in diesem Bereich durchgeführt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch entsprechende Projekte oder Dienstleistungen in diesem Bereich, z. B. durch Sicherheitsberatung für SAP-Systeme in Organisationen oder Unternehmen. 2.5) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihren Kenntnisstand bzw. Ihre Aktivitäten in der Analyse von Sicherheitsvorfällen in Industrieanwendungen und die Bandbreite an eingesetzten Methoden. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Befassung mit der Thematik in der Theorie, ohne Eigenerfahrung. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die aktive Teilnahme an Diskussionen in dem Bereich oder durch aktive Mitwirkung bei der Analyse von Vorfällen. Weiterhin wurde bezogen auf den Untersuchungsgegenstand eine erfolgreiche Schwachstellensuche und Exploitanalyse durchgeführt. 2.6) (B) Haben Sie (oder die genannten Projektbeteiligten) in den vergangenen zwei Jahren an Fachkonferenzen mit unmittelbarem IT-Sicherheitsbezug (z. B. Blackhat, Defcon, SyScan, CanSecWest) passiv oder aktiv teilgenommen? (Auszug oder Verweis als Beleg beifügen) – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Teilnahme an mindestens einer der genannten Hackerkonferenz im genannten Zeitraum. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur passiven durch aktive Teilnahme an mindestens einer der genannten Hackerkonferenzen in Form von eigenen Beiträgen. Es müssen mindestens 5 Punkte erreicht werden. 2.7) (B) Benennen Sie Projekte, in denen Sie sich mit sicherheitsrelevantem Code für marktgängige Systemsoftware, Virtualisierungsumgebungen oder Cloud Computing Komponenten (IaaS, SaaS) befasst haben. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung von Programmcode in diesem Kontext und/oder praktische Erfahrungen (z.B. Aufsetzen von gehärteten Systemen, Analyse von Treibern und Protokollen, Einrichtung und Konfiguration von Anwendungen und Diensten). 2.8) (I) Geben Sie Ihre Erfahrungen der Zusammenarbeit mit Software-Herstellern bei sicherheitstechnischen Problemstellungen an. 2.9) (B) Beschreiben Sie Ihre Erfahrung und Kenntnisse hinsichtlich Netzwerkarchitekturen und Netzwerk- und Systemprotokollen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Lösungen und/oder praktische Erfahrungen. 2.10) (B) Beschreiben Sie Ihre Erfahrungen, Kenntnisse und Sachverstand bezüglich vergangenen, aktuellen und zukünftigen Exploit-Typen (vorzugsweise für Netzwerke, Betriebssysteme, Datenbanken und Anwendungssoftware). – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die erfolgreiche Eigenentwicklung von Exploits in der Vergangenheit und zum aktuellen Zeitpunkt. 2.11) (B) Erfahrungen bei verständlichen, praxisgerechte Referenzpublikationen – 0 Punkte: Es liegen keine bis zwei Referenzpublikationen vor, die zudem nicht verständlich und praxisgerecht sind. – 5 Punkte: Es liegen nur zwei bis vier Referenzpublikationen von einem der Projektbeteiligten vor. Diese sind verständlich und praxisgerecht. – 10 Punkte: Mehrere Projektbeteiligte haben verständliche, praxisgerechte Referenzpublikationen veröffentlicht. 2.12) (I) Benennen Sie adäquate Alternativen bei fehlenden Kompetenzen. 3.1) (A) Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung Ihrer Organisation bei. 3.2) (I) Fügen Sie die Kontaktstellen im Zusammenhang mit dem Angebot, insbesondere Namen, E-Mail-Adressen und telefonische Erreichbarkeiten der für die Durchführung des Projekts vorgesehenen Mitarbeiter an. 3.3) (A) Bestätigen Sie, dass Sie die eingeplanten Projektbeteiligten auch tatsächlich im vorgesehenen Umfang für das Projekt einsetzen. Insbesondere die Weitergabe von Projektteilen an Unterauftragnehmer, die inklusive der von Ihnen durchzuführenden und genau benannten Leistungen nicht im Angebot aufgeführt sind, ist nicht zulässig. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.4) (A) Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdeckt. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.5) (A) Bestätigen Sie, dass weder Sie noch Ihre Partner im Fall einer Bietergemeinschaft noch ggf. Unterauftragnehmer durch die angebotene Leistung in einen Interessenskonflikt gelangen, z. B. durch Verpflichtungen gegenüber oder Kooperation mit SAP oder durch wirtschaftliche Abhängigkeit von genannten Leistungsanbietern, und dass alle Beteiligten daher bei der Analyse unvoreingenommen vorgehen. Bestätigen Sie, dass für alle in Ihrem Angebot genannten Mitarbeiter keine wirtschaftlichen Abhängigkeiten gegenüber SAP oder einem SAP vertraglich verpflichteten Dritten bestehen. Ziel ist ein unvoreingenommenes Untersuchungsergebnis, bei dem Neutralität und Unvoreingenommenheit des Untersuchenden nachgewiesen werden kann. Sollte ein Konflikt bestehen, stellen Sie dar, wie sie ihn auflösen wollen. Das Angebot kann in diesem Fall nur berücksichtigt werden, wenn der beschriebene Lösungsansatz vom BSI als ausreichend beurteilt wird. Ansonsten bitte nur mit „Ja“ oder „Nein“ antworten.
Angaben und Formalitäten, die erforderlich sind, um die Einhaltung der Auflagen zu überprüfen:
Gemäß den gesetzlichen Vorgaben darf die ausgeschriebene Leistung nur an einen geeigneten Bieter vergeben werden. Geeignet ist ein Bieter dann, wenn er die zur Auftragsdurchführung erforderliche Fachkunde und Leistungsfähigkeit besitzt und diese im Angebot hinreichend nachweisen kann. Im Angebot ist auf jedes der unten stehenden Eignungskriterien einzugehen. Die Beantwortung hat sofern nicht anders vorgesehene mit eigenen Worten zu erfolgen. Bei den Kriterien wird zwischen Ausschlusskriterien (A), Bewertungskriterien (B) und informellen Kriterien (I) unterschieden. Kriterien mit dem Präfix (A) sind Ausschlusskriterien, bei denen bereits die Nichterfüllung eines einzelnen Kriteriums zu Ausschluss des Angebots führt. Ein Ausschlusskriterium gilt als nicht erfüllt, wenn – es nicht beantwortet wurde, – ggf. definierte Mindestvoraussetzungen nicht erreicht wurden, – es mit „Nein“ beantwortet wurde (siehe unten), oder – die geforderten Dokumente nicht eingereicht wurden. Für jedes Bewertungskriterium (B) werden Punkte von 0-10 vergeben. Die Eignung eines Bieters ergibt sich aus der Summe der Punkte (ohne Gewichtung) im Abschnitt „Eignungskriterien“ der Leistungsbeschreibung. Diese Summe muss mindestens 65 % der maximal erreichbaren Punkte betragen, damit die Eignung festgestellt wird. Kriterien mit dem Präfix (I) sind informell und gehen nicht in die Bewertung ein. 2.1) (B) Nennen Sie sämtliche Projektbeteiligten sowie deren Rollenqualifikationen in Form von anonymisierten Personalprofilen. Nennen Sie in jedem der Personalprofile Referenzprojekte mit Bezug zu diesem Projekt. Ordnen Sie die Projektbeteiligten den Arbeitspaketen oder Teilaufgaben aus den Arbeitspaketen zu. Benennen Sie Projektleitung und stellvertretende Projektleitung. – 0 Punkte: Es werden nicht alle Projektbeteiligten inkl. Rollen benannt oder es werden nicht mehr als zwei aussagekräftige und im Projektkontext relevante Referenzprojekte genannt. – 5 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. – 10 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden mehrere aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. 2.2) (B) Erläutern Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Kenntnisse in systematischer Identifikation von Gefährdungen und Ausnutzung von Schwachstellen auf allen Ebenen des Softwarestacks in Multi-Tier-Systemen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z.B. als Dienstleister, etc.). 2.3) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung in der statischen und dynamischen Sicherheitsanalyse von komplexen Softwareprojekten einschließlich Penetrationstests. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. Durchführung von Sicherheitsanalysen als Dienstleistung). 2.4) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung im Zusammenhang mit der Sicherheitsanalyse von SAP R3-, SAP ERP- oder SAP ECC-Anwendungen und mit SAP HANA. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass Projekte oder eine entsprechende Dienstleistung in diesem Bereich durchgeführt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch entsprechende Projekte oder Dienstleistungen in diesem Bereich, z. B. durch Sicherheitsberatung für SAP-Systeme in Organisationen oder Unternehmen. 2.5) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihren Kenntnisstand bzw. Ihre Aktivitäten in der Analyse von Sicherheitsvorfällen in Industrieanwendungen und die Bandbreite an eingesetzten Methoden. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Befassung mit der Thematik in der Theorie, ohne Eigenerfahrung. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die aktive Teilnahme an Diskussionen in dem Bereich oder durch aktive Mitwirkung bei der Analyse von Vorfällen. Weiterhin wurde bezogen auf den Untersuchungsgegenstand eine erfolgreiche Schwachstellensuche und Exploitanalyse durchgeführt. 2.6) (B) Haben Sie (oder die genannten Projektbeteiligten) in den vergangenen zwei Jahren an Fachkonferenzen mit unmittelbarem IT-Sicherheitsbezug (z. B. Blackhat, Defcon, SyScan, CanSecWest) passiv oder aktiv teilgenommen? (Auszug oder Verweis als Beleg beifügen) – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Teilnahme an mindestens einer der genannten Hackerkonferenz im genannten Zeitraum. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur passiven durch aktive Teilnahme an mindestens einer der genannten Hackerkonferenzen in Form von eigenen Beiträgen. Es müssen mindestens 5 Punkte erreicht werden. 2.7) (B) Benennen Sie Projekte, in denen Sie sich mit sicherheitsrelevantem Code für marktgängige Systemsoftware, Virtualisierungsumgebungen oder Cloud Computing Komponenten (IaaS, SaaS) befasst haben. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung von Programmcode in diesem Kontext und/oder praktische Erfahrungen (z.B. Aufsetzen von gehärteten Systemen, Analyse von Treibern und Protokollen, Einrichtung und Konfiguration von Anwendungen und Diensten). 2.8) (I) Geben Sie Ihre Erfahrungen der Zusammenarbeit mit Software-Herstellern bei sicherheitstechnischen Problemstellungen an. 2.9) (B) Beschreiben Sie Ihre Erfahrung und Kenntnisse hinsichtlich Netzwerkarchitekturen und Netzwerk- und Systemprotokollen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Lösungen und/oder praktische Erfahrungen. 2.10) (B) Beschreiben Sie Ihre Erfahrungen, Kenntnisse und Sachverstand bezüglich vergangenen, aktuellen und zukünftigen Exploit-Typen (vorzugsweise für Netzwerke, Betriebssysteme, Datenbanken und Anwendungssoftware). – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die erfolgreiche Eigenentwicklung von Exploits in der Vergangenheit und zum aktuellen Zeitpunkt. 2.11) (B) Erfahrungen bei verständlichen, praxisgerechte Referenzpublikationen – 0 Punkte: Es liegen keine bis zwei Referenzpublikationen vor, die zudem nicht verständlich und praxisgerecht sind. – 5 Punkte: Es liegen nur zwei bis vier Referenzpublikationen von einem der Projektbeteiligten vor. Diese sind verständlich und praxisgerecht. – 10 Punkte: Mehrere Projektbeteiligte haben verständliche, praxisgerechte Referenzpublikationen veröffentlicht. 2.12) (I) Benennen Sie adäquate Alternativen bei fehlenden Kompetenzen. 3.1) (A) Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung Ihrer Organisation bei. 3.2) (I) Fügen Sie die Kontaktstellen im Zusammenhang mit dem Angebot, insbesondere Namen, E-Mail-Adressen und telefonische Erreichbarkeiten der für die Durchführung des Projekts vorgesehenen Mitarbeiter an. 3.3) (A) Bestätigen Sie, dass Sie die eingeplanten Projektbeteiligten auch tatsächlich im vorgesehenen Umfang für das Projekt einsetzen. Insbesondere die Weitergabe von Projektteilen an Unterauftragnehmer, die inklusive der von Ihnen durchzuführenden und genau benannten Leistungen nicht im Angebot aufgeführt sind, ist nicht zulässig. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.4) (A) Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdeckt. Bitte nur mit „Ja“ oder „Nein“ beantworten.
Gemäß den gesetzlichen Vorgaben darf die ausgeschriebene Leistung nur an einen geeigneten Bieter vergeben werden. Geeignet ist ein Bieter dann, wenn er die zur Auftragsdurchführung erforderliche Fachkunde und Leistungsfähigkeit besitzt und diese im Angebot hinreichend nachweisen kann. Im Angebot ist auf jedes der unten stehenden Eignungskriterien einzugehen. Die Beantwortung hat sofern nicht anders vorgesehene mit eigenen Worten zu erfolgen. Bei den Kriterien wird zwischen Ausschlusskriterien (A), Bewertungskriterien (B) und informellen Kriterien (I) unterschieden. Kriterien mit dem Präfix (A) sind Ausschlusskriterien, bei denen bereits die Nichterfüllung eines einzelnen Kriteriums zu Ausschluss des Angebots führt. Ein Ausschlusskriterium gilt als nicht erfüllt, wenn – es nicht beantwortet wurde, – ggf. definierte Mindestvoraussetzungen nicht erreicht wurden, – es mit „Nein“ beantwortet wurde (siehe unten), oder – die geforderten Dokumente nicht eingereicht wurden. Für jedes Bewertungskriterium (B) werden Punkte von 0-10 vergeben. Die Eignung eines Bieters ergibt sich aus der Summe der Punkte (ohne Gewichtung) im Abschnitt „Eignungskriterien“ der Leistungsbeschreibung. Diese Summe muss mindestens 65 % der maximal erreichbaren Punkte betragen, damit die Eignung festgestellt wird. Kriterien mit dem Präfix (I) sind informell und gehen nicht in die Bewertung ein. 2.1) (B) Nennen Sie sämtliche Projektbeteiligten sowie deren Rollenqualifikationen in Form von anonymisierten Personalprofilen. Nennen Sie in jedem der Personalprofile Referenzprojekte mit Bezug zu diesem Projekt. Ordnen Sie die Projektbeteiligten den Arbeitspaketen oder Teilaufgaben aus den Arbeitspaketen zu. Benennen Sie Projektleitung und stellvertretende Projektleitung. – 0 Punkte: Es werden nicht alle Projektbeteiligten inkl. Rollen benannt oder es werden nicht mehr als zwei aussagekräftige und im Projektkontext relevante Referenzprojekte genannt. – 5 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. – 10 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden mehrere aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. 2.2) (B) Erläutern Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Kenntnisse in systematischer Identifikation von Gefährdungen und Ausnutzung von Schwachstellen auf allen Ebenen des Softwarestacks in Multi-Tier-Systemen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. als Dienstleister, etc.). 2.3) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung in der statischen und dynamischen Sicherheitsanalyse von komplexen Softwareprojekten einschließlich Penetrationstests. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. Durchführung von Sicherheitsanalysen als Dienstleistung). 2.4) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung im Zusammenhang mit der Sicherheitsanalyse von SAP R3-, SAP ERP- oder SAP ECC-Anwendungen und mit SAP HANA. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass Projekte oder eine entsprechende Dienstleistung in diesem Bereich durchgeführt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch entsprechende Projekte oder Dienstleistungen in diesem Bereich, z. B. durch Sicherheitsberatung für SAP-Systeme in Organisationen oder Unternehmen. 2.5) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihren Kenntnisstand bzw. Ihre Aktivitäten in der Analyse von Sicherheitsvorfällen in Industrieanwendungen und die Bandbreite an eingesetzten Methoden. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Befassung mit der Thematik in der Theorie, ohne Eigenerfahrung. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die aktive Teilnahme an Diskussionen in dem Bereich oder durch aktive Mitwirkung bei der Analyse von Vorfällen. Weiterhin wurde bezogen auf den Untersuchungsgegenstand eine erfolgreiche Schwachstellensuche und Exploitanalyse durchgeführt. 2.6) (B) Haben Sie (oder die genannten Projektbeteiligten) in den vergangenen zwei Jahren an Fachkonferenzen mit unmittelbarem IT-Sicherheitsbezug (z. B. Blackhat, Defcon, SyScan, CanSecWest) passiv oder aktiv teilgenommen? (Auszug oder Verweis als Beleg beifügen) – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Teilnahme an mindestens einer der genannten Hackerkonferenz im genannten Zeitraum. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur passiven durch aktive Teilnahme an mindestens einer der genannten Hackerkonferenzen in Form von eigenen Beiträgen. Es müssen mindestens 5 Punkte erreicht werden. 2.7) (B) Benennen Sie Projekte, in denen Sie sich mit sicherheitsrelevantem Code für marktgängige Systemsoftware, Virtualisierungsumgebungen oder Cloud Computing Komponenten (IaaS, SaaS) befasst haben. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung von Programmcode in diesem Kontext und/oder praktische Erfahrungen (z.B. Aufsetzen von gehärteten Systemen, Analyse von Treibern und Protokollen, Einrichtung und Konfiguration von Anwendungen und Diensten). 2.8) (I) Geben Sie Ihre Erfahrungen der Zusammenarbeit mit Software-Herstellern bei sicherheitstechnischen Problemstellungen an. 2.9) (B) Beschreiben Sie Ihre Erfahrung und Kenntnisse hinsichtlich Netzwerkarchitekturen und Netzwerk- und Systemprotokollen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Lösungen und/oder praktische Erfahrungen. 2.10) (B) Beschreiben Sie Ihre Erfahrungen, Kenntnisse und Sachverstand bezüglich vergangenen, aktuellen und zukünftigen Exploit-Typen (vorzugsweise für Netzwerke, Betriebssysteme, Datenbanken und Anwendungssoftware). – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die erfolgreiche Eigenentwicklung von Exploits in der Vergangenheit und zum aktuellen Zeitpunkt. 2.11) (B) Erfahrungen bei verständlichen, praxisgerechte Referenzpublikationen – 0 Punkte: Es liegen keine bis zwei Referenzpublikationen vor, die zudem nicht verständlich und praxisgerecht sind. – 5 Punkte: Es liegen nur zwei bis vier Referenzpublikationen von einem der Projektbeteiligten vor. Diese sind verständlich und praxisgerecht. – 10 Punkte: Mehrere Projektbeteiligte haben verständliche, praxisgerechte Referenzpublikationen veröffentlicht. 2.12) (I) Benennen Sie adäquate Alternativen bei fehlenden Kompetenzen. 3.1) (A) Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung Ihrer Organisation bei. 3.2) (I) Fügen Sie die Kontaktstellen im Zusammenhang mit dem Angebot, insbesondere Namen, E-Mail-Adressen und telefonische Erreichbarkeiten der für die Durchführung des Projekts vorgesehenen Mitarbeiter an. 3.3) (A) Bestätigen Sie, dass Sie die eingeplanten Projektbeteiligten auch tatsächlich im vorgesehenen Umfang für das Projekt einsetzen. Insbesondere die Weitergabe von Projektteilen an Unterauftragnehmer, die inklusive der von Ihnen durchzuführenden und genau benannten Leistungen nicht im Angebot aufgeführt sind, ist nicht zulässig. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.4) (A) Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdeckt. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.5) (A) Bestätigen Sie, dass weder Sie noch Ihre Partner im Fall einer Bietergemeinschaft noch ggf. Unterauftragnehmer durch die angebotene Leistung in einen Interessenskonflikt gelangen, z. B. durch Verpflichtungen gegenüber oder Kooperation mit SAP oder durch wirtschaftliche Abhängigkeit von genannten Leistungsanbietern, und dass alle Beteiligten daher bei der Analyse unvoreingenommen vorgehen. Bestätigen Sie, dass für alle in Ihrem Angebot genannten Mitarbeiter keine wirtschaftlichen Abhängigkeiten gegenüber SAP oder einem SAP vertraglich verpflichteten Dritten bestehen. Ziel ist ein unvoreingenommenes Untersuchungsergebnis, bei dem Neutralität und Unvoreingenommenheit des Untersuchenden nachgewiesen werden kann. Sollte ein Konflikt bestehen, stellen Sie dar, wie sie ihn auflösen wollen. Das Angebot kann in diesem Fall nur berücksichtigt werden, wenn der beschriebene Lösungsansatz vom BSI als ausreichend beurteilt wird. Ansonsten bitte nur mit „Ja“ oder „Nein“ antworten.
Angaben und Formalitäten, die erforderlich sind, um die Einhaltung der Auflagen zu überprüfen:
Gemäß den gesetzlichen Vorgaben darf die ausgeschriebene Leistung nur an einen geeigneten Bieter vergeben werden. Geeignet ist ein Bieter dann, wenn er die zur Auftragsdurchführung erforderliche Fachkunde und Leistungsfähigkeit besitzt und diese im Angebot hinreichend nachweisen kann. Im Angebot ist auf jedes der unten stehenden Eignungskriterien einzugehen. Die Beantwortung hat sofern nicht anders vorgesehene mit eigenen Worten zu erfolgen. Bei den Kriterien wird zwischen Ausschlusskriterien (A), Bewertungskriterien (B) und informellen Kriterien (I) unterschieden. Kriterien mit dem Präfix (A) sind Ausschlusskriterien, bei denen bereits die Nichterfüllung eines einzelnen Kriteriums zu Ausschluss des Angebots führt. Ein Ausschlusskriterium gilt als nicht erfüllt, wenn – es nicht beantwortet wurde, – ggf. definierte Mindestvoraussetzungen nicht erreicht wurden, – es mit „Nein“ beantwortet wurde (siehe unten), oder – die geforderten Dokumente nicht eingereicht wurden. Für jedes Bewertungskriterium (B) werden Punkte von 0-10 vergeben. Die Eignung eines Bieters ergibt sich aus der Summe der Punkte (ohne Gewichtung) im Abschnitt „Eignungskriterien“ der Leistungsbeschreibung. Diese Summe muss mindestens 65 % der maximal erreichbaren Punkte betragen, damit die Eignung festgestellt wird. Kriterien mit dem Präfix (I) sind informell und gehen nicht in die Bewertung ein. 2.1) (B) Nennen Sie sämtliche Projektbeteiligten sowie deren Rollenqualifikationen in Form von anonymisierten Personalprofilen. Nennen Sie in jedem der Personalprofile Referenzprojekte mit Bezug zu diesem Projekt. Ordnen Sie die Projektbeteiligten den Arbeitspaketen oder Teilaufgaben aus den Arbeitspaketen zu. Benennen Sie Projektleitung und stellvertretende Projektleitung. – 0 Punkte: Es werden nicht alle Projektbeteiligten inkl. Rollen benannt oder es werden nicht mehr als zwei aussagekräftige und im Projektkontext relevante Referenzprojekte genannt. – 5 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. – 10 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden mehrere aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. 2.2) (B) Erläutern Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Kenntnisse in systematischer Identifikation von Gefährdungen und Ausnutzung von Schwachstellen auf allen Ebenen des Softwarestacks in Multi-Tier-Systemen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z.B. als Dienstleister, etc.). 2.3) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung in der statischen und dynamischen Sicherheitsanalyse von komplexen Softwareprojekten einschließlich Penetrationstests. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. Durchführung von Sicherheitsanalysen als Dienstleistung). 2.4) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung im Zusammenhang mit der Sicherheitsanalyse von SAP R3-, SAP ERP- oder SAP ECC-Anwendungen und mit SAP HANA. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass Projekte oder eine entsprechende Dienstleistung in diesem Bereich durchgeführt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch entsprechende Projekte oder Dienstleistungen in diesem Bereich, z. B. durch Sicherheitsberatung für SAP-Systeme in Organisationen oder Unternehmen. 2.5) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihren Kenntnisstand bzw. Ihre Aktivitäten in der Analyse von Sicherheitsvorfällen in Industrieanwendungen und die Bandbreite an eingesetzten Methoden. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Befassung mit der Thematik in der Theorie, ohne Eigenerfahrung. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die aktive Teilnahme an Diskussionen in dem Bereich oder durch aktive Mitwirkung bei der Analyse von Vorfällen. Weiterhin wurde bezogen auf den Untersuchungsgegenstand eine erfolgreiche Schwachstellensuche und Exploitanalyse durchgeführt. 2.6) (B) Haben Sie (oder die genannten Projektbeteiligten) in den vergangenen zwei Jahren an Fachkonferenzen mit unmittelbarem IT-Sicherheitsbezug (z. B. Blackhat, Defcon, SyScan, CanSecWest) passiv oder aktiv teilgenommen? (Auszug oder Verweis als Beleg beifügen) – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Teilnahme an mindestens einer der genannten Hackerkonferenz im genannten Zeitraum. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur passiven durch aktive Teilnahme an mindestens einer der genannten Hackerkonferenzen in Form von eigenen Beiträgen. Es müssen mindestens 5 Punkte erreicht werden. 2.7) (B) Benennen Sie Projekte, in denen Sie sich mit sicherheitsrelevantem Code für marktgängige Systemsoftware, Virtualisierungsumgebungen oder Cloud Computing Komponenten (IaaS, SaaS) befasst haben. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung von Programmcode in diesem Kontext und/oder praktische Erfahrungen (z.B. Aufsetzen von gehärteten Systemen, Analyse von Treibern und Protokollen, Einrichtung und Konfiguration von Anwendungen und Diensten). 2.8) (I) Geben Sie Ihre Erfahrungen der Zusammenarbeit mit Software-Herstellern bei sicherheitstechnischen Problemstellungen an. 2.9) (B) Beschreiben Sie Ihre Erfahrung und Kenntnisse hinsichtlich Netzwerkarchitekturen und Netzwerk- und Systemprotokollen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Lösungen und/oder praktische Erfahrungen. 2.10) (B) Beschreiben Sie Ihre Erfahrungen, Kenntnisse und Sachverstand bezüglich vergangenen, aktuellen und zukünftigen Exploit-Typen (vorzugsweise für Netzwerke, Betriebssysteme, Datenbanken und Anwendungssoftware). – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die erfolgreiche Eigenentwicklung von Exploits in der Vergangenheit und zum aktuellen Zeitpunkt. 2.11) (B) Erfahrungen bei verständlichen, praxisgerechte Referenzpublikationen – 0 Punkte: Es liegen keine bis zwei Referenzpublikationen vor, die zudem nicht verständlich und praxisgerecht sind. – 5 Punkte: Es liegen nur zwei bis vier Referenzpublikationen von einem der Projektbeteiligten vor. Diese sind verständlich und praxisgerecht. – 10 Punkte: Mehrere Projektbeteiligte haben verständliche, praxisgerechte Referenzpublikationen veröffentlicht. 2.12) (I) Benennen Sie adäquate Alternativen bei fehlenden Kompetenzen. 3.1) (A) Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung Ihrer Organisation bei. 3.2) (I) Fügen Sie die Kontaktstellen im Zusammenhang mit dem Angebot, insbesondere Namen, E-Mail-Adressen und telefonische Erreichbarkeiten der für die Durchführung des Projekts vorgesehenen Mitarbeiter an. 3.3) (A) Bestätigen Sie, dass Sie die eingeplanten Projektbeteiligten auch tatsächlich im vorgesehenen Umfang für das Projekt einsetzen. Insbesondere die Weitergabe von Projektteilen an Unterauftragnehmer, die inklusive der von Ihnen durchzuführenden und genau benannten Leistungen nicht im Angebot aufgeführt sind, ist nicht zulässig. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.4) (A) Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdeckt. Bitte nur mit „Ja“ oder „Nein“ beantworten.
Gemäß den gesetzlichen Vorgaben darf die ausgeschriebene Leistung nur an einen geeigneten Bieter vergeben werden. Geeignet ist ein Bieter dann, wenn er die zur Auftragsdurchführung erforderliche Fachkunde und Leistungsfähigkeit besitzt und diese im Angebot hinreichend nachweisen kann. Im Angebot ist auf jedes der unten stehenden Eignungskriterien einzugehen. Die Beantwortung hat sofern nicht anders vorgesehene mit eigenen Worten zu erfolgen. Bei den Kriterien wird zwischen Ausschlusskriterien (A), Bewertungskriterien (B) und informellen Kriterien (I) unterschieden. Kriterien mit dem Präfix (A) sind Ausschlusskriterien, bei denen bereits die Nichterfüllung eines einzelnen Kriteriums zu Ausschluss des Angebots führt. Ein Ausschlusskriterium gilt als nicht erfüllt, wenn – es nicht beantwortet wurde, – ggf. definierte Mindestvoraussetzungen nicht erreicht wurden, – es mit „Nein“ beantwortet wurde (siehe unten), oder – die geforderten Dokumente nicht eingereicht wurden. Für jedes Bewertungskriterium (B) werden Punkte von 0-10 vergeben. Die Eignung eines Bieters ergibt sich aus der Summe der Punkte (ohne Gewichtung) im Abschnitt „Eignungskriterien“ der Leistungsbeschreibung. Diese Summe muss mindestens 65 % der maximal erreichbaren Punkte betragen, damit die Eignung festgestellt wird. Kriterien mit dem Präfix (I) sind informell und gehen nicht in die Bewertung ein. 2.1) (B) Nennen Sie sämtliche Projektbeteiligten sowie deren Rollenqualifikationen in Form von anonymisierten Personalprofilen. Nennen Sie in jedem der Personalprofile Referenzprojekte mit Bezug zu diesem Projekt. Ordnen Sie die Projektbeteiligten den Arbeitspaketen oder Teilaufgaben aus den Arbeitspaketen zu. Benennen Sie Projektleitung und stellvertretende Projektleitung. – 0 Punkte: Es werden nicht alle Projektbeteiligten inkl. Rollen benannt oder es werden nicht mehr als zwei aussagekräftige und im Projektkontext relevante Referenzprojekte genannt. – 5 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. – 10 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden mehrere aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. 2.2) (B) Erläutern Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Kenntnisse in systematischer Identifikation von Gefährdungen und Ausnutzung von Schwachstellen auf allen Ebenen des Softwarestacks in Multi-Tier-Systemen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. als Dienstleister, etc.). 2.3) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung in der statischen und dynamischen Sicherheitsanalyse von komplexen Softwareprojekten einschließlich Penetrationstests. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. Durchführung von Sicherheitsanalysen als Dienstleistung). 2.4) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung im Zusammenhang mit der Sicherheitsanalyse von SAP R3-, SAP ERP- oder SAP ECC-Anwendungen und mit SAP HANA. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass Projekte oder eine entsprechende Dienstleistung in diesem Bereich durchgeführt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch entsprechende Projekte oder Dienstleistungen in diesem Bereich, z. B. durch Sicherheitsberatung für SAP-Systeme in Organisationen oder Unternehmen. 2.5) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihren Kenntnisstand bzw. Ihre Aktivitäten in der Analyse von Sicherheitsvorfällen in Industrieanwendungen und die Bandbreite an eingesetzten Methoden. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Befassung mit der Thematik in der Theorie, ohne Eigenerfahrung. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die aktive Teilnahme an Diskussionen in dem Bereich oder durch aktive Mitwirkung bei der Analyse von Vorfällen. Weiterhin wurde bezogen auf den Untersuchungsgegenstand eine erfolgreiche Schwachstellensuche und Exploitanalyse durchgeführt. 2.6) (B) Haben Sie (oder die genannten Projektbeteiligten) in den vergangenen zwei Jahren an Fachkonferenzen mit unmittelbarem IT-Sicherheitsbezug (z. B. Blackhat, Defcon, SyScan, CanSecWest) passiv oder aktiv teilgenommen? (Auszug oder Verweis als Beleg beifügen) – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Teilnahme an mindestens einer der genannten Hackerkonferenz im genannten Zeitraum. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur passiven durch aktive Teilnahme an mindestens einer der genannten Hackerkonferenzen in Form von eigenen Beiträgen. Es müssen mindestens 5 Punkte erreicht werden. 2.7) (B) Benennen Sie Projekte, in denen Sie sich mit sicherheitsrelevantem Code für marktgängige Systemsoftware, Virtualisierungsumgebungen oder Cloud Computing Komponenten (IaaS, SaaS) befasst haben. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung von Programmcode in diesem Kontext und/oder praktische Erfahrungen (z.B. Aufsetzen von gehärteten Systemen, Analyse von Treibern und Protokollen, Einrichtung und Konfiguration von Anwendungen und Diensten). 2.8) (I) Geben Sie Ihre Erfahrungen der Zusammenarbeit mit Software-Herstellern bei sicherheitstechnischen Problemstellungen an. 2.9) (B) Beschreiben Sie Ihre Erfahrung und Kenntnisse hinsichtlich Netzwerkarchitekturen und Netzwerk- und Systemprotokollen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Lösungen und/oder praktische Erfahrungen. 2.10) (B) Beschreiben Sie Ihre Erfahrungen, Kenntnisse und Sachverstand bezüglich vergangenen, aktuellen und zukünftigen Exploit-Typen (vorzugsweise für Netzwerke, Betriebssysteme, Datenbanken und Anwendungssoftware). – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die erfolgreiche Eigenentwicklung von Exploits in der Vergangenheit und zum aktuellen Zeitpunkt. 2.11) (B) Erfahrungen bei verständlichen, praxisgerechte Referenzpublikationen – 0 Punkte: Es liegen keine bis zwei Referenzpublikationen vor, die zudem nicht verständlich und praxisgerecht sind. – 5 Punkte: Es liegen nur zwei bis vier Referenzpublikationen von einem der Projektbeteiligten vor. Diese sind verständlich und praxisgerecht. – 10 Punkte: Mehrere Projektbeteiligte haben verständliche, praxisgerechte Referenzpublikationen veröffentlicht. 2.12) (I) Benennen Sie adäquate Alternativen bei fehlenden Kompetenzen. 3.1) (A) Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung Ihrer Organisation bei. 3.2) (I) Fügen Sie die Kontaktstellen im Zusammenhang mit dem Angebot, insbesondere Namen, E-Mail-Adressen und telefonische Erreichbarkeiten der für die Durchführung des Projekts vorgesehenen Mitarbeiter an. 3.3) (A) Bestätigen Sie, dass Sie die eingeplanten Projektbeteiligten auch tatsächlich im vorgesehenen Umfang für das Projekt einsetzen. Insbesondere die Weitergabe von Projektteilen an Unterauftragnehmer, die inklusive der von Ihnen durchzuführenden und genau benannten Leistungen nicht im Angebot aufgeführt sind, ist nicht zulässig. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.4) (A) Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdeckt. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.5) (A) Bestätigen Sie, dass weder Sie noch Ihre Partner im Fall einer Bietergemeinschaft noch ggf. Unterauftragnehmer durch die angebotene Leistung in einen Interessenskonflikt gelangen, z. B. durch Verpflichtungen gegenüber oder Kooperation mit SAP oder durch wirtschaftliche Abhängigkeit von genannten Leistungsanbietern, und dass alle Beteiligten daher bei der Analyse unvoreingenommen vorgehen. Bestätigen Sie, dass für alle in Ihrem Angebot genannten Mitarbeiter keine wirtschaftlichen Abhängigkeiten gegenüber SAP oder einem SAP vertraglich verpflichteten Dritten bestehen. Ziel ist ein unvoreingenommenes Untersuchungsergebnis, bei dem Neutralität und Unvoreingenommenheit des Untersuchenden nachgewiesen werden kann. Sollte ein Konflikt bestehen, stellen Sie dar, wie sie ihn auflösen wollen. Das Angebot kann in diesem Fall nur berücksichtigt werden, wenn der beschriebene Lösungsansatz vom BSI als ausreichend beurteilt wird. Ansonsten bitte nur mit „Ja“ oder „Nein“ antworten.
DE-Bonn: Services de technologies de l'information, conseil, développement de logiciels, internet et appui
Angaben und Formalitäten, die erforderlich sind, um die Einhaltung der Auflagen zu überprüfen:
Gemäß den gesetzlichen Vorgaben darf die ausgeschriebene Leistung nur an einen geeigneten Bieter vergeben werden. Geeignet ist ein Bieter dann, wenn er die zur Auftragsdurchführung erforderliche Fachkunde und Leistungsfähigkeit besitzt und diese im Angebot hinreichend nachweisen kann. Im Angebot ist auf jedes der unten stehenden Eignungskriterien einzugehen. Die Beantwortung hat sofern nicht anders vorgesehene mit eigenen Worten zu erfolgen. Bei den Kriterien wird zwischen Ausschlusskriterien (A), Bewertungskriterien (B) und informellen Kriterien (I) unterschieden. Kriterien mit dem Präfix (A) sind Ausschlusskriterien, bei denen bereits die Nichterfüllung eines einzelnen Kriteriums zu Ausschluss des Angebots führt. Ein Ausschlusskriterium gilt als nicht erfüllt, wenn – es nicht beantwortet wurde, – ggf. definierte Mindestvoraussetzungen nicht erreicht wurden, – es mit „Nein“ beantwortet wurde (siehe unten), oder – die geforderten Dokumente nicht eingereicht wurden. Für jedes Bewertungskriterium (B) werden Punkte von 0-10 vergeben. Die Eignung eines Bieters ergibt sich aus der Summe der Punkte (ohne Gewichtung) im Abschnitt „Eignungskriterien“ der Leistungsbeschreibung. Diese Summe muss mindestens 65 % der maximal erreichbaren Punkte betragen, damit die Eignung festgestellt wird. Kriterien mit dem Präfix (I) sind informell und gehen nicht in die Bewertung ein. 2.1) (B) Nennen Sie sämtliche Projektbeteiligten sowie deren Rollenqualifikationen in Form von anonymisierten Personalprofilen. Nennen Sie in jedem der Personalprofile Referenzprojekte mit Bezug zu diesem Projekt. Ordnen Sie die Projektbeteiligten den Arbeitspaketen oder Teilaufgaben aus den Arbeitspaketen zu. Benennen Sie Projektleitung und stellvertretende Projektleitung. – 0 Punkte: Es werden nicht alle Projektbeteiligten inkl. Rollen benannt oder es werden nicht mehr als zwei aussagekräftige und im Projektkontext relevante Referenzprojekte genannt. – 5 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. – 10 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden mehrere aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. 2.2) (B) Erläutern Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Kenntnisse in systematischer Identifikation von Gefährdungen und Ausnutzung von Schwachstellen auf allen Ebenen des Softwarestacks in Multi-Tier-Systemen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z.B. als Dienstleister, etc.). 2.3) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung in der statischen und dynamischen Sicherheitsanalyse von komplexen Softwareprojekten einschließlich Penetrationstests. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. Durchführung von Sicherheitsanalysen als Dienstleistung). 2.4) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung im Zusammenhang mit der Sicherheitsanalyse von SAP R3-, SAP ERP- oder SAP ECC-Anwendungen und mit SAP HANA. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass Projekte oder eine entsprechende Dienstleistung in diesem Bereich durchgeführt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch entsprechende Projekte oder Dienstleistungen in diesem Bereich, z. B. durch Sicherheitsberatung für SAP-Systeme in Organisationen oder Unternehmen. 2.5) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihren Kenntnisstand bzw. Ihre Aktivitäten in der Analyse von Sicherheitsvorfällen in Industrieanwendungen und die Bandbreite an eingesetzten Methoden. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Befassung mit der Thematik in der Theorie, ohne Eigenerfahrung. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die aktive Teilnahme an Diskussionen in dem Bereich oder durch aktive Mitwirkung bei der Analyse von Vorfällen. Weiterhin wurde bezogen auf den Untersuchungsgegenstand eine erfolgreiche Schwachstellensuche und Exploitanalyse durchgeführt. 2.6) (B) Haben Sie (oder die genannten Projektbeteiligten) in den vergangenen zwei Jahren an Fachkonferenzen mit unmittelbarem IT-Sicherheitsbezug (z. B. Blackhat, Defcon, SyScan, CanSecWest) passiv oder aktiv teilgenommen? (Auszug oder Verweis als Beleg beifügen) – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Teilnahme an mindestens einer der genannten Hackerkonferenz im genannten Zeitraum. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur passiven durch aktive Teilnahme an mindestens einer der genannten Hackerkonferenzen in Form von eigenen Beiträgen. Es müssen mindestens 5 Punkte erreicht werden. 2.7) (B) Benennen Sie Projekte, in denen Sie sich mit sicherheitsrelevantem Code für marktgängige Systemsoftware, Virtualisierungsumgebungen oder Cloud Computing Komponenten (IaaS, SaaS) befasst haben. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung von Programmcode in diesem Kontext und/oder praktische Erfahrungen (z.B. Aufsetzen von gehärteten Systemen, Analyse von Treibern und Protokollen, Einrichtung und Konfiguration von Anwendungen und Diensten). 2.8) (I) Geben Sie Ihre Erfahrungen der Zusammenarbeit mit Software-Herstellern bei sicherheitstechnischen Problemstellungen an. 2.9) (B) Beschreiben Sie Ihre Erfahrung und Kenntnisse hinsichtlich Netzwerkarchitekturen und Netzwerk- und Systemprotokollen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Lösungen und/oder praktische Erfahrungen. 2.10) (B) Beschreiben Sie Ihre Erfahrungen, Kenntnisse und Sachverstand bezüglich vergangenen, aktuellen und zukünftigen Exploit-Typen (vorzugsweise für Netzwerke, Betriebssysteme, Datenbanken und Anwendungssoftware). – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die erfolgreiche Eigenentwicklung von Exploits in der Vergangenheit und zum aktuellen Zeitpunkt. 2.11) (B) Erfahrungen bei verständlichen, praxisgerechte Referenzpublikationen – 0 Punkte: Es liegen keine bis zwei Referenzpublikationen vor, die zudem nicht verständlich und praxisgerecht sind. – 5 Punkte: Es liegen nur zwei bis vier Referenzpublikationen von einem der Projektbeteiligten vor. Diese sind verständlich und praxisgerecht. – 10 Punkte: Mehrere Projektbeteiligte haben verständliche, praxisgerechte Referenzpublikationen veröffentlicht. 2.12) (I) Benennen Sie adäquate Alternativen bei fehlenden Kompetenzen. 3.1) (A) Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung Ihrer Organisation bei. 3.2) (I) Fügen Sie die Kontaktstellen im Zusammenhang mit dem Angebot, insbesondere Namen, E-Mail-Adressen und telefonische Erreichbarkeiten der für die Durchführung des Projekts vorgesehenen Mitarbeiter an. 3.3) (A) Bestätigen Sie, dass Sie die eingeplanten Projektbeteiligten auch tatsächlich im vorgesehenen Umfang für das Projekt einsetzen. Insbesondere die Weitergabe von Projektteilen an Unterauftragnehmer, die inklusive der von Ihnen durchzuführenden und genau benannten Leistungen nicht im Angebot aufgeführt sind, ist nicht zulässig. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.4) (A) Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdeckt. Bitte nur mit „Ja“ oder „Nein“ beantworten.
Gemäß den gesetzlichen Vorgaben darf die ausgeschriebene Leistung nur an einen geeigneten Bieter vergeben werden. Geeignet ist ein Bieter dann, wenn er die zur Auftragsdurchführung erforderliche Fachkunde und Leistungsfähigkeit besitzt und diese im Angebot hinreichend nachweisen kann. Im Angebot ist auf jedes der unten stehenden Eignungskriterien einzugehen. Die Beantwortung hat sofern nicht anders vorgesehene mit eigenen Worten zu erfolgen. Bei den Kriterien wird zwischen Ausschlusskriterien (A), Bewertungskriterien (B) und informellen Kriterien (I) unterschieden. Kriterien mit dem Präfix (A) sind Ausschlusskriterien, bei denen bereits die Nichterfüllung eines einzelnen Kriteriums zu Ausschluss des Angebots führt. Ein Ausschlusskriterium gilt als nicht erfüllt, wenn – es nicht beantwortet wurde, – ggf. definierte Mindestvoraussetzungen nicht erreicht wurden, – es mit „Nein“ beantwortet wurde (siehe unten), oder – die geforderten Dokumente nicht eingereicht wurden. Für jedes Bewertungskriterium (B) werden Punkte von 0-10 vergeben. Die Eignung eines Bieters ergibt sich aus der Summe der Punkte (ohne Gewichtung) im Abschnitt „Eignungskriterien“ der Leistungsbeschreibung. Diese Summe muss mindestens 65 % der maximal erreichbaren Punkte betragen, damit die Eignung festgestellt wird. Kriterien mit dem Präfix (I) sind informell und gehen nicht in die Bewertung ein. 2.1) (B) Nennen Sie sämtliche Projektbeteiligten sowie deren Rollenqualifikationen in Form von anonymisierten Personalprofilen. Nennen Sie in jedem der Personalprofile Referenzprojekte mit Bezug zu diesem Projekt. Ordnen Sie die Projektbeteiligten den Arbeitspaketen oder Teilaufgaben aus den Arbeitspaketen zu. Benennen Sie Projektleitung und stellvertretende Projektleitung. – 0 Punkte: Es werden nicht alle Projektbeteiligten inkl. Rollen benannt oder es werden nicht mehr als zwei aussagekräftige und im Projektkontext relevante Referenzprojekte genannt. – 5 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. – 10 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden mehrere aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. 2.2) (B) Erläutern Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Kenntnisse in systematischer Identifikation von Gefährdungen und Ausnutzung von Schwachstellen auf allen Ebenen des Softwarestacks in Multi-Tier-Systemen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. als Dienstleister, etc.). 2.3) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung in der statischen und dynamischen Sicherheitsanalyse von komplexen Softwareprojekten einschließlich Penetrationstests. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. Durchführung von Sicherheitsanalysen als Dienstleistung). 2.4) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihre Erfahrung im Zusammenhang mit der Sicherheitsanalyse von SAP R3-, SAP ERP- oder SAP ECC-Anwendungen und mit SAP HANA. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass Projekte oder eine entsprechende Dienstleistung in diesem Bereich durchgeführt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch entsprechende Projekte oder Dienstleistungen in diesem Bereich, z. B. durch Sicherheitsberatung für SAP-Systeme in Organisationen oder Unternehmen. 2.5) (B) Beschreiben Sie anhand der Personalprofile (und ggf. mit entsprechenden Publikationen – auch als Auszug – als Beleg) Ihren Kenntnisstand bzw. Ihre Aktivitäten in der Analyse von Sicherheitsvorfällen in Industrieanwendungen und die Bandbreite an eingesetzten Methoden. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Befassung mit der Thematik in der Theorie, ohne Eigenerfahrung. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die aktive Teilnahme an Diskussionen in dem Bereich oder durch aktive Mitwirkung bei der Analyse von Vorfällen. Weiterhin wurde bezogen auf den Untersuchungsgegenstand eine erfolgreiche Schwachstellensuche und Exploitanalyse durchgeführt. 2.6) (B) Haben Sie (oder die genannten Projektbeteiligten) in den vergangenen zwei Jahren an Fachkonferenzen mit unmittelbarem IT-Sicherheitsbezug (z. B. Blackhat, Defcon, SyScan, CanSecWest) passiv oder aktiv teilgenommen? (Auszug oder Verweis als Beleg beifügen) – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der passiven Teilnahme an mindestens einer der genannten Hackerkonferenz im genannten Zeitraum. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur passiven durch aktive Teilnahme an mindestens einer der genannten Hackerkonferenzen in Form von eigenen Beiträgen. Es müssen mindestens 5 Punkte erreicht werden. 2.7) (B) Benennen Sie Projekte, in denen Sie sich mit sicherheitsrelevantem Code für marktgängige Systemsoftware, Virtualisierungsumgebungen oder Cloud Computing Komponenten (IaaS, SaaS) befasst haben. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung von Programmcode in diesem Kontext und/oder praktische Erfahrungen (z.B. Aufsetzen von gehärteten Systemen, Analyse von Treibern und Protokollen, Einrichtung und Konfiguration von Anwendungen und Diensten). 2.8) (I) Geben Sie Ihre Erfahrungen der Zusammenarbeit mit Software-Herstellern bei sicherheitstechnischen Problemstellungen an. 2.9) (B) Beschreiben Sie Ihre Erfahrung und Kenntnisse hinsichtlich Netzwerkarchitekturen und Netzwerk- und Systemprotokollen. – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Lösungen und/oder praktische Erfahrungen. 2.10) (B) Beschreiben Sie Ihre Erfahrungen, Kenntnisse und Sachverstand bezüglich vergangenen, aktuellen und zukünftigen Exploit-Typen (vorzugsweise für Netzwerke, Betriebssysteme, Datenbanken und Anwendungssoftware). – 0 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. – 5 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt wurden. – 10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die erfolgreiche Eigenentwicklung von Exploits in der Vergangenheit und zum aktuellen Zeitpunkt. 2.11) (B) Erfahrungen bei verständlichen, praxisgerechte Referenzpublikationen – 0 Punkte: Es liegen keine bis zwei Referenzpublikationen vor, die zudem nicht verständlich und praxisgerecht sind. – 5 Punkte: Es liegen nur zwei bis vier Referenzpublikationen von einem der Projektbeteiligten vor. Diese sind verständlich und praxisgerecht. – 10 Punkte: Mehrere Projektbeteiligte haben verständliche, praxisgerechte Referenzpublikationen veröffentlicht. 2.12) (I) Benennen Sie adäquate Alternativen bei fehlenden Kompetenzen. 3.1) (A) Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung Ihrer Organisation bei. 3.2) (I) Fügen Sie die Kontaktstellen im Zusammenhang mit dem Angebot, insbesondere Namen, E-Mail-Adressen und telefonische Erreichbarkeiten der für die Durchführung des Projekts vorgesehenen Mitarbeiter an. 3.3) (A) Bestätigen Sie, dass Sie die eingeplanten Projektbeteiligten auch tatsächlich im vorgesehenen Umfang für das Projekt einsetzen. Insbesondere die Weitergabe von Projektteilen an Unterauftragnehmer, die inklusive der von Ihnen durchzuführenden und genau benannten Leistungen nicht im Angebot aufgeführt sind, ist nicht zulässig. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.4) (A) Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdeckt. Bitte nur mit „Ja“ oder „Nein“ beantworten. 3.5) (A) Bestätigen Sie, dass weder Sie noch Ihre Partner im Fall einer Bietergemeinschaft noch ggf. Unterauftragnehmer durch die angebotene Leistung in einen Interessenskonflikt gelangen, z. B. durch Verpflichtungen gegenüber oder Kooperation mit SAP oder durch wirtschaftliche Abhängigkeit von genannten Leistungsanbietern, und dass alle Beteiligten daher bei der Analyse unvoreingenommen vorgehen. Bestätigen Sie, dass für alle in Ihrem Angebot genannten Mitarbeiter keine wirtschaftlichen Abhängigkeiten gegenüber SAP oder einem SAP vertraglich verpflichteten Dritten bestehen. Ziel ist ein unvoreingenommenes Untersuchungsergebnis, bei dem Neutralität und Unvoreingenommenheit des Untersuchenden nachgewiesen werden kann. Sollte ein Konflikt bestehen, stellen Sie dar, wie sie ihn auflösen wollen. Das Angebot kann in diesem Fall nur berücksichtigt werden, wenn der beschriebene Lösungsansatz vom BSI als ausreichend beurteilt wird. Ansonsten bitte nur mit „Ja“ oder „Nein“ antworten.
DE-Βόννη: Υπηρεσίες τεχνολογίας των πληροφοριών: παροχή συμβουλών, ανάπτυξη λογισμικού, Διαδίκτυο και υποστήριξη
Υπηρεσίες τεχνολογίας των πληροφοριών: παροχή συμβουλών, ανάπτυξη λογισμικού, Διαδίκτυο και υποστήριξη