Public procurement notice: Contract Notice
Published: 2025-12-16
Buyer: Managed Security Operations Center (MSOC)
Country: DE
Region: DEA22
Contract type: Services
Procedure: Negotiated with prior call for competition
CPV classification: 72000000
Submission deadline: 2026-01-30
Award criteria: price, quality

Technical requirements: Zur Wahrung der Fristen wird auf die §§ 160 ff. GWB verwiesen. Insbesondere weist die ILB darauf hin, dass der Nachprüfungsantrag gemäß § 160 Abs. 3 Satz 1 Nr. 4 GWB spätestens 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, zu stellen ist. Vergabeverstöße sind nach § 160 Abs. 3 Satz 1 Nr. 1 GWB vor Einreichen des Nachprüfungsantrags innerhalb von 10 Kalendertagen, nachdem der Bieter den Verstoß erkannt hat, beim Auftraggeber zu rügen. Vergabeverstöße, die aufgrund der Bekanntmachung erkennbar sind, sind gemäß § 160 Abs. 3 Satz 1 Nr. 2 GWB spätestens bis zum Ablauf der Angebotsfrist bei dem  Auftraggeber zu rügen.
Die Investitionsbank des Landes Brandenburg (ILB) ist als Finanzinstitut gemäß Artikel 19 des Digital Operation Resilience Act (DORA) verpflichtet, schwerwiegende IKT-bezogene Vorfälle der zuständigen Behörde zu melden.  Auftragsgegenstand ist eine Dienstleistung auf Basis einer vorhandenen technischen Plattform für ein Managed Security Operations Center nebst optional zusätzlichen Services wie Threat Hunting und Purple Teaming.   Die bestehende technische Plattform des AG XDR und SIEM (XDR - Extended Detection and Response und SIEM - Security Information and Event Management System) stellt die Grundlage dar, um Sicherheitsinformationen zu sammeln, zu korrelieren und bei Verstößen gegen Vorgaben zu alarmieren. Der Auftragnehmer muss seine Dienstleistungen kompatibel mit der bestehenden technischen Plattform der ILB mit XDR und SIEM erbringen.   Diese technische Plattform soll vom Auftragnehmer final konfiguriert und dann für den eigentlichen Managed Security Operations Center (MSOC) Service genutzt werden. Das schließt ein kontinuierliches 24x7-Security-Monitoring und zusätzliche Module, wie beschrieben in der Leistungsbeschreibung und den Bewertungskriterien zur Bereitstellung, mit ein.   Einzelheiten ergeben sich aus den Vergabeunterlagen.
Mit dem Angebot sollen die Bieter folgende Unterlagen zum Nachweis der technischen und beruflichen Leistungsfähigkeit vorlegen (bei Bietergemeinschaften von mindestens einem Mitglied):   Vorlage von mindestens drei Referenzen, also Liste der vom Bieter und ggf. von Nachunternehmern in den letzten 3 Jahren erbrachten Leistungen, die mit der zu vergebenden Leistung vergleichbar sind, unter Angabe des genauen Auftrags, der Auftragssumme, des Auftraggebers, der Leistungsart und Leistungszeiträume, Ansprechpartner beim Auftraggeber inkl. Kontaktdaten.   Vergleichbare Leistungen sind: Implementierung und Betrieb einer am Markt verfügbaren XDR-Lösung (inkl. SIEM) mit einem Managed SOC Service für juristische Personen, die nach dem Kreditwesengesetz (KWG), dem Wertpapierhandelsgesetz (WpHG) und/oder dem Versicherungsaufsichtsgesetz (VAG) der Aufsicht der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) unterliegen. Nachzuweisen sind mindestens drei vergleichbare Aufträge. Für den Fall, dass ein Bieter einzelne Unternehmen als Nachunternehmer einsetzen möchte, wird auf die Möglichkeit der Eignungsleihe und die in § 47 VgV genannten Voraussetzungen hingewiesen. Wenn und soweit sich der Bieter auf die Eignung eines anderen Unternehmens beruft, ist mit dem Angebot insbesondere eine Verpflichtungserklärung des anderen Unternehmens einzureichen, dass dieses seine Ressourcen und Kapazitäten dem Bieter im Auftragsfall zur Verfügung stellt. Bei der Eignungsprüfung werden Bietergemeinschaften als Ganzes betrachtet. Bieter sollen die auf der Vergabeplattform hinterlegten Vordrucke verwenden. Der Auftraggeber behält sich vor, Unterlagen im Rahmen des § 56 Abs. 2 VgV nachzufordern. Hierauf besteht kein Rechtsanspruch.
Der Bieter erklärt sich damit einverstanden, dass die maximale Reaktionszeit des AN auf Alarme der Priorität "P1 - kritisch" rund um die Uhr (24/7) maximal eine Stunde beträgt, mit einer initialen Antwortzeit von zwei Stunden.  Kritische Alarme betreffen einen potentiell schwerwiegenden Sicherheitsvorfall. Als "schwerwiegend" wird ein IKT-bezogener Vorfall mit potenziell weitreichenden negativen  Auswirkungen auf die Schutzziele von Netz- und Informationssystemen, die kritische  Funktionen oder Geschäftsprozesse der ILB unterstützen, oder auf die Fähigkeit der ILB,  aufsichtsrechtliche Anforderungen zu erfüllen, bezeichnet. Hierzu zählen auch Datenverluste, die besonders schutzwürdige Daten im Sinne der DSGVO (Art. 9) betreffen.   Die Reaktionszeit beginnt mit der automatischen Erstellung eines Alarms oder durch eine Anfrage seitens des AG z.B. über das Ticketsystem oder die 24/7-Hotline. Sie umfasst eine qualifizierte Bewertung des Incidents durch einen MSOC-Analysten sowie die Einleitung geeigneter Maßnahmen einschließlich der Benachrichtigung des AG innerhalb der ersten Stunde über die im Onboarding definierten Meldewege.
Der Bieter sichert zu, dass er sich und etwaige Subunternehmer vertraglich verpflichtet, dass personenbezogene Daten ausschließlich und vollständig innerhalb der Europäischen Union verarbeitet und gespeichert werden und alle Datenverarbeitungsvorgänge DSGVO-konform sind.

Eligibility requirements: Mit dem Angebot sollen die Bieter folgende Unterlagen zum Nachweis der technischen und beruflichen Leistungsfähigkeit vorlegen (bei Bietergemeinschaften von mindestens einem Mitglied):   Vorlage von mindestens drei Referenzen, also Liste der vom Bieter und ggf. von Nachunternehmern in den letzten 3 Jahren erbrachten Leistungen, die mit der zu vergebenden Leistung vergleichbar sind, unter Angabe des genauen Auftrags, der Auftragssumme, des Auftraggebers, der Leistungsart und Leistungszeiträume, Ansprechpartner beim Auftraggeber inkl. Kontaktdaten.   Vergleichbare Leistungen sind: Implementierung und Betrieb einer am Markt verfügbaren XDR-Lösung (inkl. SIEM) mit einem Managed SOC Service für juristische Personen, die nach dem Kreditwesengesetz (KWG), dem Wertpapierhandelsgesetz (WpHG) und/oder dem Versicherungsaufsichtsgesetz (VAG) der Aufsicht der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) unterliegen. Nachzuweisen sind mindestens drei vergleichbare Aufträge. Für den Fall, dass ein Bieter einzelne Unternehmen als Nachunternehmer einsetzen möchte, wird auf die Möglichkeit der Eignungsleihe und die in § 47 VgV genannten Voraussetzungen hingewiesen. Wenn und soweit sich der Bieter auf die Eignung eines anderen Unternehmens beruft, ist mit dem Angebot insbesondere eine Verpflichtungserklärung des anderen Unternehmens einzureichen, dass dieses seine Ressourcen und Kapazitäten dem Bieter im Auftragsfall zur Verfügung stellt. Bei der Eignungsprüfung werden Bietergemeinschaften als Ganzes betrachtet. Bieter sollen die auf der Vergabeplattform hinterlegten Vordrucke verwenden. Der Auftraggeber behält sich vor, Unterlagen im Rahmen des § 56 Abs. 2 VgV nachzufordern. Hierauf besteht kein Rechtsanspruch.
Der Bieter erklärt sich damit einverstanden, dass die maximale Reaktionszeit des AN auf Alarme der Priorität "P1 - kritisch" rund um die Uhr (24/7) maximal eine Stunde beträgt, mit einer initialen Antwortzeit von zwei Stunden.  Kritische Alarme betreffen einen potentiell schwerwiegenden Sicherheitsvorfall. Als "schwerwiegend" wird ein IKT-bezogener Vorfall mit potenziell weitreichenden negativen  Auswirkungen auf die Schutzziele von Netz- und Informationssystemen, die kritische  Funktionen oder Geschäftsprozesse der ILB unterstützen, oder auf die Fähigkeit der ILB,  aufsichtsrechtliche Anforderungen zu erfüllen, bezeichnet. Hierzu zählen auch Datenverluste, die besonders schutzwürdige Daten im Sinne der DSGVO (Art. 9) betreffen.   Die Reaktionszeit beginnt mit der automatischen Erstellung eines Alarms oder durch eine Anfrage seitens des AG z.B. über das Ticketsystem oder die 24/7-Hotline. Sie umfasst eine qualifizierte Bewertung des Incidents durch einen MSOC-Analysten sowie die Einleitung geeigneter Maßnahmen einschließlich der Benachrichtigung des AG innerhalb der ersten Stunde über die im Onboarding definierten Meldewege.
Der Bieter sichert zu, dass er sich und etwaige Subunternehmer vertraglich verpflichtet, dass personenbezogene Daten ausschließlich und vollständig innerhalb der Europäischen Union verarbeitet und gespeichert werden und alle Datenverarbeitungsvorgänge DSGVO-konform sind.
1. Der Bieter erkärt, dass er als AN den MSOC-Dienst vollständig und nahtlos auf der aus CrowdStrike Falcon XDR und CrowdStrike Next-Gen SIEM bestehenden Plattform des Auftraggebers erbringt, einschließlich: Überwachung und Analyse über CrowdStrike Falcon XDR, Nutzung des CrowdStrike NG SIEM zur Korrelation und Regelverarbeitung, Erstellung und Pflege von Detection Rules sowie Incident Response Workflows innerhalb der Plattform. Der AG gewährt dem AN Zugriff auf diese Plattform für die Laufzeit des Vertrages.   2. Der Bieter erklärt, dass sein MSOC-Betrieb mit der bereitgestellten CrowdStrike -Umgebung kompatibel ist.
Der Sitz der Gesellschaft des Bieters und gegebenenfalls von Subunternehmern ist und bleibt während der gesamten Vertragslaufzeit innerhalb der Europäischen Union (EU).
Der Bieter erklärt, dass er als AN über die gesamte Vertragslaufzeit sämtliche Leistungen innerhalb der EU erbringen wird.
Der Bieter erklärt, dass er über die gesamte Vertragslaufzeit ausschließlich einen deutschsprachigen MSOC Service Delivery Manager einsetzen wird, der über ein Sprachniveau entsprechend dem Level C2 nach dem Gemeinsamen Europäischen Referenzrahmen verfügt.
Der Bieter erklärt, dass er als AN über die gesamte Vertragslaufzeit ausschließlich Mitarbeiter im Analysteam einsetzen wird, die in der englischen oder deutschen Sprache über ein Sprachniveau entsprechend dem Level C1 oder höher nach dem Gemeinsamen Europäischen Referenzrahmen verfügen.
Der Bieter erklärt, dass er als AN über die gesamte Vertragslaufzeit ausschließlich einen Incident Manager einsetzen wird, der in der deutschen Sprache über ein Sprachniveau entsprechend dem Level C1 oder höher nach dem Gemeinsamen Europäischen Referenzrahmen verfügt.
"Co-Managed Betriebsmodell  1. Der Bieter erklärt, als AN über die gesamte Vertragslaufzeit zu gewährleisten, dass der AG jederzeit vollumfänglichen Zugriff auf die Plattform (CrowdStrike) hat. Dies umfasst insbesondere: Zugriff auf alle relevanten Dashboards, Einsicht in den aktuellen Bearbeitungsstatus sicherheitsrelevanter Ereignisse (Incidents), Zugriff auf definierte Berichte (z.B. offene Incidents, Eskalationsstatus, Bearbeitungszeiten).  2. Der Bieter erklärt, als AN zu gewährleisten, dass der AG im Sinne eines Co-Managed-Modells gemeinsam mit dem AN Erkennungsregeln und Use Cases erstellen, anpassen und verwalten kann. Die Zusammenarbeit erfolgt auf Basis dokumentierter Prozesse zur Regelentwicklung und -pflege.  3. Der Bieter erklärt, dass er als AN den AG über die gesamte Vertragslaufzeit im Rahmen des Managed Service bei der Weiterentwicklung, Optimierung und Migration von Use-Cases unterstützt."

Winner: Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)