Public procurement notice: Voluntary Ex Ante Transparency Notice
Published: 2024-06-19
Region: DE300
Contract type: Supplies
Procedure: Negotiated without a prior call for competition
CPV classification: 48730000: Security software package
Submission deadline: 2027-06-30
Award criteria: price
EU fund: eu-funds

Technical requirements: Die Elisabeth Vinzenz Verbund GmbH in 12105 Berlin, Alarichstraße 12-17, beabsichtigt die Erweiterung der seit 2022 vorhandenen zentralen Fudo - Privileged Access Management Lösung (PAM) um die lokalen Standorte.
Nach § 160 GWB gelten nachfolgende Vorgaben und Fristen für
Rechtsbehelfe: (1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein. (2) Antragsbefugt ist
jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung
in seinen Rechten nach § 97 Absatz 6 GWB durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei
ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden
entstanden ist oder zu entstehen droht. (3) Der Antrag ist unzulässig, soweit 1. der Antragsteller den geltend
gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber
dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134
Absatz 2 GWB bleibt unberührt, 2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung
erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder
zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 3. Verstöße gegen Vergabevorschriften, die
erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur
Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 4. mehr als 15 Kalendertage nach Eingang der
Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Satz 1 gilt nicht bei einem Antrag
auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt. Hinsichtlich der Fristen wird insbesondere auf die für ExAnteBekanntmachungen relevante ZehnTagesFrist
gemäß § 135 Abs. 3 GWB verwiesen. Eine Rüge gegenüber dem Auftraggeber ist nicht ausreichend.
Die Elisabeth Vinzenz Verbund GmbH in 12105 Berlin, Alarichstraße 12-17 beabsichtigt die Erweiterung der seit 2022 vorhandenen zentralen Fudo - Privileged Access Management Lösung (PAM) um die lokalen Standorte. 
PAM ist eine Lösung, die den (Fern-)zugriff von administrativen Konten auf Kritische Server, Netzwerkkomponenten usw. regulieren soll. Dabei können administrative Konten interne sowie externe MitarbeiterInnen sein. Nachdem täglich hunderte dieser Zugriffe erfolgen (innerhalb der Kliniken, zwischen den Kliniken, von extern usw.) soll zu Zwecken der Skalierbarkeit, (Ausfall-Sicherheit) und Usability ein einheitliches System eingesetzt werden. 
Nachdem am Headquarter in Berlin die Fudo PAM bereits eingeführt wurde – um den Zugriff der externen Dienstleister auf sämtliche Kliniksysteme im Verbund abzubilden - wird nun im Verbund eine Erweiterung der lokalen Standorte umgesetzt, um eine DSGVO und NIS2 konforme Zero-trust-Strategie auch für interne Administratoren umzusetzen. 
Unabhängig davon, dass Fudo PAM den individuellen Gegebenheiten der Kliniken entspricht, muss nun im Verbund exakt diese PAM-Lösung erweitert werden:
•	Die Standorte müssen im Rahmen eines Multi-Master-Cluster standortübergreifend mit dem Hauptstandort verheiratet werden. 
•	Dabei müssen Appliances trotz räumlich/örtlicher Trennung miteinander kommunizieren 
•	Verschiedene PAM-Hersteller im Cluster-Verbund einzusetzen ist technisch nicht möglich und widerspräche den Zero-Trust-Vorgaben, die umgesetzt werden sollen
	Es muss eine einheitliche Administrationsoberfläche aus EVV-Perspektive und Anwender/Admin.-Perspektive aufgebaut werden 
	Alle User müssen einen einheitlichen Zugangspunkt erhalten 
	Die Systeme sollen sich gegenseitig schützen und eine Ausfallsicherheit gewährleisten
	Die aufgezeichneten Sitzungen sollen zwischen den Systemen repliziert werden
	Die Performance der Systeme (Latenzen, Durchsatz usw.) sollen optimiert werden, indem die gleichzeitigen Verbindungen mit Hilfe eines Load-Balancers auf die Maschinen im Rahmen des Multi-Master-Clusters verteilt werden. 
•	Zukünftige Security Lösungen, beispielsweise SIEM werden die Ereignisse und Logs aus der PAM-Lösung verarbeiten, um weitere sicherheitsrelevante Ereignisse zu unterbinden. Der Einsatz verschiedener PAM-Lösungen würde dazu führen, dass die Logs nicht in einer einheitlichen Sprache verarbeitet werden. Somit entsteht mit dem Einsatz verschiedener PAM-Lösungen eine Pfadabhängigkeit, die zu nicht-abbildbaren Konzepten und/oder Kostenexplosionen führen wird.
Die Module sind integraler Bestandteil der bereits vorhandenen Lösung und können somit nur im Rahmen einer Erweiterung realisiert werden.
Der Einsatz einer Drittlösung ist, wie beschrieben, aufgrund der tiefen Integration in die bestehende Umgebung nicht möglich. Ein Austausch der bereits vorhandenen Fudo PAM-Lösung ist aus wirtschaftlichen Gründen nicht darstellbar.
Die Erweiterung wird an folgenden Standorten des Elisabeths Vinzenz Verbundes eingesetzt:
o	Elisabeth Krankenhaus, 34117 Kassel, Weingartenstraße 7
o	Franziskus-Krankenhaus Berlin, 10787 Berlin, Budapester Str. 15-19
o	Krankenhaus St. Martini, 37115 Duderstadt, Göttinger Str. 34
o	St. Elisabeth-Krankenhaus Salzgitter, 38259 Salzgitter, Liebenhaller Str. 20
o	St. Joseph Krankenhaus Berlin-Tempelhof GmbH, 12101 Berlin, Wüsthoffstraße 15
o	Vinzenzkrankenhaus Hannover gGmbH, 30559 Hannover, Lange-Feld-Str. 31
o	St.Bernward Krankenhaus, 31134 Hildesheim, Treibestr. 9