Public procurement notice: Contract Award Notice
Published: 2025-10-24
Buyer: Landeskrankenhaus Andernach - Aufbau und Betrieb eines Security Operations Center (SOC)
Country: DE
Region: DEA22
Contract type: Services
Procedure: Negotiated with prior call for competition
CPV classification: 72000000 | 72222000: Information systems strategic planning services | 72222100: Information systems strategic review services | 72225000: Systems quality assurance services | 72246000
Estimated value:  EUR
Award criteria: price, quality

Technical requirements: Gemäß § 160 Abs. 3 GWB ist ein Nachprüfungsantrag unzulässig, soweit  - der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt, - Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,  - Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden und - mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt.
Landeskrankenhaus Andernach - Aufbau und Betrieb eines Security Operations Center (SOC)  Anlass der Beschaffung Das Landeskrankenhaus (Anstalt des öffentlichen Rechts, nachfolgend auch AöR) ist der größte Krankenhausträger im psychiatrisch-psychotherapeutischen und neurologischen Bereich in Rheinland-Pfalz. Zur Trägerorganisation gehören insgesamt sieben große Standorte und weitere kleinere Krankenhäuser.   Über die letzten Jahre hat das LKH stetig in den Stand der Technik bzgl. IT- und Cybersicherheit (u.a. § 8a IT-Sicherheitsgesetz) und in die IT-Infrastruktur investiert, um den Mitarbeitern digitales Arbeiten zum Wohl der zu versorgenden Patienten zu ermöglichen. Die Einführung eines Security Operation Centers (SOC) ist ein wichtiger Baustein zur Reduzierung von Cyber-Risiken und Gewährleistung der Betriebssicherheit der IT-Systeme des Auftraggebers. Durch den Einsatz eines SOC soll u.a. genauer bestimmt werden, welche Aktivitäten im Netzwerk passieren, welche Events auftreten und auf welche Ressourcen zugegriffen wird. Um diese Aufgabe leisten zu können, integriert, überwacht und analysiert das SOC alle sicherheitsrelevanten Systeme wie Unternehmensnetzwerke, Server, Arbeitsplatzrechner oder Internetservices. Unter anderem werden die Log-Dateien der einzelnen Systeme gesammelt, analysiert und nach Auffälligkeiten untersucht. Neben der reinen Analyse der verschiedenen Systeme und Log-Dateien sind das Alarmieren und sehr zeitnahe Ergreifen von Maßnahmen zum Schutz von Daten und Anwendungen zentrale Aufgabe des Security Information Centers - an 24 Stunden am Tag.
Gesamtpreis, bestehend aus: - Preis für die im Preisblatt genannten Pflichtkomponenten ("Pauschalpreise") (40 %) - Preis für die im Preisblatt genannten optionalen Komponenten (5 %) - Preis für die (optionalen) Stundensätze nach Maßgabe des Preisblattes (15 %)
Güte und Qualität des Einführungs- und Betriebskonzepts
Teile des Leistungsumfangs  a) SOC Leistungsumfang Teil 1: Security Event Management (EM) Im Rahmen des Security Event Managements werden Events gespeichert, korreliert und bewertet. Verdächtige Events, welche auf eine Gefahr hindeuten, werden dem Auftraggeber gemeldet. Der Prozessablauf wird hierzu im Security Event Management Ablaufplan festgelegt. Die entsprechenden Quell-Systeme werden vom Auftraggeber definiert. Die Events werden dann innerhalb der Security-Appliance gesammelt und an das zentrale Event Management System beim Auftragnehmer zur Analyse weitergeleitet. Innerhalb der Event Management Plattform beim Auftragnehmer werden die Security Events entgegengenommen und technisch mittels verschiedener Threat-Intelligence-Quellen klassifiziert und nach Möglichkeit mit Informationen angereichert. Die Security Analysten des Auftragnehmers analysieren und bewerten die Events.   b) SOC Leistungsumfang Teil 2: Incident Response Incident Response ist die schnelle Reaktion auf Sicherheitsvorfälle, die die Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der Daten gefährden. Grundlage sind die Indikatoren einer Kompromittierung, die darauf hindeuten, dass die Sicherheitsziele verletzt wurden. Dies umfasst insbesondere:  - Analyse des Umfangs des Angriffs und der aktiven Zugangskanäle - Nach Möglichkeit Aussperrung des Angreifers - Beobachtung neuer Angriffsversuche und Ursachenanalyse - Nach Möglichkeit Säuberung manipulierter Systeme  - Nennung technischer Empfehlungen für die Verhinderung erneuter Vorfälle  Der Auftragnehmer hat bei einem Sicherheitsvorfall jeweils einen Incident Response Ablaufplan zu erstellen, der den Prozessablauf im Sicherheitsfall näher beschreibt und dokumentiert. Ferner ist im Rahmen des Incident Response Ablaufplans eine Risikoeinschätzung der betroffenen Systeme durchzuführen und es hat zeitnah eine erste Meldung an den Auftraggeber zu erfolgen.  Zudem hat der Auftragnehmer im Zuge der Incident Response einen Vor-Ort-Support wie folgt sicherzustellen:  - Im Falle von Incidents der Kritikalität Critical oder High, bei denen eine Vor-Ort-Präsenz zur schnellen Eingrenzung, Behebung oder zur Durchführung von forensischen Sicherungsmaßnahmen erforderlich ist, verpflichtet sich der Auftragnehmer, innerhalb von maximal drei Stunden nach entsprechender Anforderung durch den Auftraggeber qualifiziertes Personal vor Ort am zentralen Rechenzentrums-Standort Andernach bereitzustellen. - Die Notwendigkeit des Vor-Ort-Einsatzes wird im jeweiligen Incident-Fall in Abstimmung zwischen dem Incident Response Team des Auftragnehmers und dem benannten Ansprechpartner des Auftraggebers entschieden. - Der Auftragnehmer stellt sicher, dass hierfür eine einsatzbereite und verfügbare Ressourcenplanung vorhanden ist und dass die Anfahrtszeiten und logistischen Rahmenbedingungen im Voraus mit dem Auftraggeber abgestimmt sind.  c) SOC Leistungsumfang Teil 3: Cyber Security Assessment Ein Cyber Security Assessment ist ein zentrales Element einer proaktiven Cyber-Sicherheitsstrategie und liefert einen klaren Überblick über den aktuellen Sicherheitsstatus, sowie eine fundierte Entscheidungsgrundlage für künftige Investitionen in die IT-Sicherheit. Zu den Aufgaben des Auftragnehmers zählen hierbei insbesondere:  - Mindestens ein jährliches Security-Assessment  - Dokumentation von Handlungsempfehlungen  d) SOC Leistungsumfang Teil 4: Service Manager Der Auftragnehmer stellt für die Dauer der Leistungserbringung einen Service Manager bereit. Dieser führt mindestens zweimal pro Kalenderjahr einen Betriebsreview des Security Operations Center (SOC) gemeinsam mit dem Auftraggeber durch und präsentiert:  - den aktuellen Status des SOC-Betriebs, - eine Auswertung anhand definierter Kennzahlen (KPIs), - Erkenntnisse aus dem laufenden Betrieb, insbesondere zu identifizierten Bedrohungen und Vorfällen, - eine Bewertung der Servicequalität und Reaktionszeiten, - eine Übersicht zu Trendanalysen und Entwicklungen im Bereich Cyber Security.  Auf Basis der im Betriebsreview vorgestellten Erkenntnisse und im Dialog mit dem Auftraggeber definiert der Service Manager konkrete Maßnahmen zur Optimierung des SOC-Betriebs. Der Service Manager dokumentiert die vereinbarten Maßnahmen einschließlich Verantwortlichkeiten und Umsetzungsfristen. Die Umsetzung der Maßnahmen wird im jeweils folgenden Review-Termin nachverfolgt und bewertet. Die durch den Service Manager erarbeiteten Berichte und vereinbarten Maßnahmen werden dem Auftraggeber in geeigneter schriftlicher Form zur Verfügung gestellt (z. B. in Form einer Management Summary).  e) SOC Leistungsumfang Teil 5: Schwachstellenmanagement Ziel ist die kontinuierliche Identifikation und Bewertung von technischen Schwachstellen innerhalb der definierten IT-Umgebung des Auftraggebers. Das Schwachstellenmanagement dient der frühzeitigen Erkennung von Risiken und bildet die Grundlage für priorisierte Maßnahmen zur Risikominimierung. Der Auftragnehmer verpflichtet sich zur Durchführung von mindestens einem vollständigen Schwachstellenscan pro Monat. Der Bericht enthält mindestens folgende Informationen:  - eine priorisierte Übersicht der 10 kritischsten Schwachstellen (Top 10), - deren jeweilige Kritikalität (z. B. CVSS-Score), - betroffene Systeme/Assets, - eine Entwicklung der Schwachstellenhistorie (sofern relevant), - Abstimmung von Handlungsempfehlungen, - Monatliche Abstimmungsgespräche bzw. -workshops mit dem Auftraggeber zur Bewertung der ermittelten Schwachstellen, - Priorisierung der Behebung, - Definition von konkreten Handlungsempfehlungen für die kritischen Schwachstellen.  Schwachstellenscans müssen in enger Abstimmung mit dem Auftraggeber durchgeführt werden. Es sind keine Beeinträchtigungen des Produktivbetriebs während der Scans zulässig.  Im Übrigen siehe Vergabeunterlagen, insbesondere Leistungsverzeichnis.


Winner: Landeskrankenhaus AöR
Number of bids: 1