Public procurement notice: Contract Notice
Published: 2025-06-10
Buyer: civillent GmbH - Vergabeverfahren zur Beauftragung von Penetrationtests für Zweckverbandsmitglieder
Country: DE
Region: DEA22
Contract type: Services
Procedure: Open procedure
CPV classification: 72260000: Software-related services
Submission deadline: 2025-06-18
Award criteria: quality

Technical requirements: Es gelten die Bestimmungen des Gesetzes gegen Wettbewerbsbeschränkungen (GWB). Hinsichtlich der Einleitung von Nachprüfungsverfahren wird auf § 160 GWB verwiesen. Dieser lautet: (1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein. (2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht. (3) Der Antrag ist unzulässig, soweit 1. Der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; 2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Hinsichtlich der Information nicht berücksichtigter Bieter und Bewerber gelten die §§ 134, 135 GWB. Insbesondere gilt: Bieter deren Angebote für den Zuschlag nicht berücksichtigt werden sollen, werden vor dem Zuschlag gemäß § 134 GWB darüber informiert. Das gilt auch für Bewerber, denen keine Information über die Ablehnung ihrer Bewerbung zur Verfügung gestellt wurde, bevor die Mitteilung über die Zuschlagsentscheidung an die betroffenen Bieter ergangen ist. Ein Vertrag darf erst 15 Kalendertage nach Absendung dieser Information durch den Auftraggeber geschlossen werden; bei Übermittlung per Telefax oder auf elektronischem Wege beträgt diese Frist 10 Kalendertage.
Gegenstand des Vergabeverfahrens sind IT-Sicherheits-Dienstleistungen in Form von Penetrationstests und technischen Audits.
Eigenerklärung, ob das Unternehmen aktuell in das Berufs- oder Handelsregister nach Maßgabe der Rechtsvorschriften des Staates, in welchem das Unternehmen ansässig ist, eingetragen ist
Eigenerklärung über den Gesamtumsatz und den Umsatz mit vergleichbaren Dienstleistungen im Bereich Penetrationtests in den vergangenen drei abgeschlossenen Geschäftsjahren
Eigenerklärung, aus der die durchschnittliche jährliche Beschäftigtenzahl des Unternehmens, ausgehend von den letzten drei abgeschlossenen Geschäftsjahren hervorgeht.

Eligibility requirements: Eigenerklärung, ob das Unternehmen aktuell in das Berufs- oder Handelsregister nach Maßgabe der Rechtsvorschriften des Staates, in welchem das Unternehmen ansässig ist, eingetragen ist
Eigenerklärung über den Gesamtumsatz und den Umsatz mit vergleichbaren Dienstleistungen im Bereich Penetrationtests in den vergangenen drei abgeschlossenen Geschäftsjahren
Eigenerklärung, aus der die durchschnittliche jährliche Beschäftigtenzahl des Unternehmens, ausgehend von den letzten drei abgeschlossenen Geschäftsjahren hervorgeht.
Der Bieter muss nachweisen, dass er über eine anerkannte Sicherheitszertifizierung verfügt, wie beispielsweise die ISO/IEC 27001 für Informationssicherheits-Managementsysteme oder eine vergleichbare Zertifizierung. Die Vorlage eines einschlägigen Zertifikats ist zwingend.
Der Bieter muss nachweisen, dass er vergleichbare Leistungen im Bereich Penetrationtests für öffentliche Auftraggeber in mindestens zwei Referenzprojekten in den letzten drei Jahren (gerechnet ab dem Datum der Angebotsabgabe) erbracht hat. Der Bieter hat dies durch die Vorlage von Referenzbeschreibungen nachzuweisen, die jeweils die Bezeichnung des Auftrags, die Beschreibung des Leistungsumfangs, den öffentlichen Auftraggeber inkl. Ansprechperson, den Zeitraum der Leistungserbringung sowie das Volumen der Leistungserbringung in EUR netto für den gesamten Leistungszeitraum umfassen.
Der/die vom Bieter jeweils für die Auftragsausführung vorgesehene hauptverantwortliche Penetrationstester/in verfügt über ein entsprechendes Zertifikat z.B.  Penetrationstester (zertifiziert durch BSI), ITSec Penetration Tester oder hat ein Studium der IT-Sicherheit oder einen vergleichbaren Studiengang (bspw. Informatik) erfolgreich abgeschlossen. Die Vorlage eines entsprechenden Zertifikats oder eines entsprechenden Hochschulzeugnisses als Nachweis ist zwingend. Bitte fügen Sie diese als Anlage zum Kriterienkatalog bei. Der Nachweis muss sich auf den/die vom Bieter im Zeitpunkt der Angebotsabgabe für die Auftragsausführung vorgesehene/n hauptverantwortliche/n Penetrationstester/in beziehen.
Der/die vom Bieter jeweils eingesetzte hauptverantwortliche Penetrationstester/in hat vergleichbare Leistungen im Bereich Penetrationtests für öffentliche Auftraggeber in mindestens zwei Referenzprojekten in den letzten drei Jahren (gerechnet ab dem Datum der Angebotsabgabe) erbracht. Der Bieter hat dies durch die Vorlage von Referenzbeschreibungen nachzuweisen, die jeweils die Bezeichnung des Auftrags, den Namen des/der hauptverantwortlichen Penetrationtester/in, die Beschreibung des persönlichen Leistungsumfangs, den öffentlichen Auftraggeber inkl. Ansprechperson, den Zeitraum der Leistungserbringung sowie das Volumen der Leistungserbringung in EUR netto für den gesamten Leistungszeitraum umfassen.
Alle vom Bieter eingesetzten Personen beherrschen die deutsche Sprache in Wort und  Schrift (mind. Niveau C1).
Der Bieter sichert zu, im Bedarfsfall Personal für die Auftragsausführung einzusetzen, das einer Sicherheitsüberprüfung nach LSÜG BW oder einer vergleichbaren Sicherheitsüberprüfung unterzogen wurde. Das vom Bieter für die Auftragsausführung vorgesehene Personal stimmt zu diesem Zwecke für den Bedarfsfall einer Sicherheitsüberprüfung nach LSÜG oder einer vergleichbaren Sicherheitsüberprüfung zu oder verfügt im Zeitpunkt der Angebotsabgabe bereits über eine Sicherheitsüberprüfung.
Der Bieter sichert zu, dass eine Haftpflichtversicherung mit einer Deckungssumme in Höhe von mind. 5 Mio. EUR für Personen- und Sachschäden sowie 500.000 EUR für Vermögensschäden besteht bzw., dass im Auftragsfalle eine entsprechende Versicherung abgeschlossen wird.

Winner: Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)