Public procurement notice: Contract Award Notice
Published: 2025-12-15
Buyer: ekom21 - Kommunales Gebietsrechenzentrum Hessen
Country: DE
Region: DE731
Contract type: Services
Procedure: Open procedure
CPV classification: 72000000 | 72222300: Information technology services
Award criteria: quality, price

Technical requirements: Die ekom21 - Kommunales Gebietsrechenzentrum Hessen ist eine Körperschaft des öffentlichen Rechts nach dem Hessischen Datenverarbeitungsverbundgesetz (DV-VerbundG). Sie ist zentraler IT-Dienstleister für die hessischen Kommunen und ihre Einrichtungen. Von den Standorten in Gießen, Darmstadt und Kassel versorgt sie Ihre Endkunden umfassend mit modernen Informations- und Kommunikationsdienstleistungen (IuK) aller Art.
Zu den rund 500 Mitgliedern in Hessen und weiteren Kunden bundesweit gehören ca. 29.000 Endanwender aus Kommunalverwaltungen und anderen öffentlichen Einrichtungen, wie z. B. Landkreise, Städte, Gemeinden, kommunale Eigenbetriebe, Zweckverbände, Anstalten, Krankenhäuser und Heime. Im staatlichen Bereich betreut die ekom21 zahlreiche Landesverbände, Ministerien und Regierungspräsidien. Insgesamt erbringt die ekom21 damit Services für sechs Millionen Bürger.
Das Aufgabenspektrum der ekom21 wächst und verändert sich kontinuierlich, womit eine stetige Zunahme der Mitarbeiterzahlen einhergeht. Aktuell beschäftigt die ekom21 rund 850 Mitarbeiter/innen.
Als gemeinsame Sicherheitsoffensive des Landes Hessen, der kommunalen Spitzenverbände Hessens und der ekom21 wurde das Kommunale Dienstleistungszentrum Cybersicherheit, kurz KDLZ-CS, 2016 ins Leben gerufen. Das KDLZ-CS stellt seine Dienstleistungen den hessischen Kommunen zur Verfügung. Das KDLZ-CS unterstützt Landkreise, Städte und Gemeinden auf Augenhöhe mit dem Ziel die Informationssicherheit im Land Hessen kontinuierlich zu verbessern. Hierfür sollen ein eLearning für Informationssicherheit sowie für Datenschutz und eine Phishing-Simulation angeboten werden.
Hinsichtlich der Fristen zur Einlegung von Rechtsbehelfen wird auf § 160 Abs. 3 des Gesetzes gegen Wettbewerbsbeschränkungen (GWB) verwiesen. § 160 Einleitung, Antrag (1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein.  (2) Antragsbefugt ist jedes Unternehmen, das ein
Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen
Rechten nach § 97 Absatz 6 durch Nichtbeachtung von Vergabevorschriften geltend macht.
Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der
Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht. (3) Der Antrag ist
unzulässig, soweit: 1) der Antragsteller den geltend gemachten Verstoß gegen
Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem
Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist
nach § 134 Absatz 2 bleibt unberührt, 2) Verstöße gegen Vergabevorschriften, die aufgrund
der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der
Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem
Auftraggeber gerügt werden, 3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung
oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 4) mehr als 15
Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu
wollen, vergangen sind. Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit
des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt.
Ziel des Vergabeverfahrens ist der Abschluss einer Rahmenvereinbarung mit einem Wirtschaftsteilnehmer. Die Rahmenvereinbarung soll - ohne Begründung einer Abnahmeverpflichtung - den bedarfsgerechten Abruf von Informationssicherheitsleistungen ermöglichen.
Der Ausschreibungsgegenstand umfasst folgende Dienstleistungen:
• Beratung zum Thema Informationssicherheit nach BSI-Grundschutz und BSI-KritisV
• Durchführung von Bestandsaufnahmen beim Kunden
• Entwicklung und Präsentation von Maßnahmenempfehlungen
• Erstellung eines Berichts mit Maßnahmenempfehlungen
• Entwicklung, Präsentation und Dokumentation von Sicherheitskonzepten
• Durchführung von Audits
• Vorbereitung, Durchführung und Auswertung von Pentests (Hardware, Software, Netzwerke)
• regelmäßiger Austausch mit Projektleitung des KDLZ-CS
Die durchzuführenden Dienstleistungen ausschließlich von eigenen Mitarbeitenden des Auftragnehmers durchzuführen, der Einsatz von Nachunternehmern und/ oder externen Fachkräften ist nicht zulässig.
Der Ausschreibungsgegenstand umfasst insbesondere folgende Leistungen:
• Beratungsdienstleistungen für Informationssicherheit
• eLearnings zu den Themen Informationssicherheit und Datenschutz
• Phishing-Simulationen
• Incident Response Service
• Managed Services zu den Bereichen Firewall, SOC und SIEM
• Identity und Access Management (IAM)
• Digitales Signieren

Die durchzuführenden Dienstleistungen ausschließlich von eigenen Mitarbeitenden des Auftragnehmers durchzuführen, der Einsatz von Nachunternehmern und/ oder externen Fachkräften ist nicht zulässig.

Über die Laufzeit der Rahmenvereinbarung veranschlagt der Auftraggeber eine Höchstwert von 25 Mio. € (netto). Der veranschlagte Gesamtwert basiert auf den Erfahrungen der letzten Jahre einschließlich geschätzter Mehrbedarfe.
Näheres ist den Vergabeunterlagen zu entnehmen.


Winner: Deutsche Telekom Security GmbH
Number of bids: 1