Public procurement notice: Contract Notice
Published: 2025-10-10
Buyer: ekom21 - Kommunales Gebietsrechenzentrum Hessen
Country: DE
Region: DE731
Contract type: Services
Procedure: Open procedure
CPV classification: 72000000 | 72222300: Information technology services
Submission deadline: 2025-11-10
Award criteria: quality, price

Technical requirements: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.
Die ekom21 - Kommunales Gebietsrechenzentrum Hessen ist eine Körperschaft des öffentlichen Rechts nach dem Hessischen Datenverarbeitungsverbundgesetz (DV-VerbundG). Sie ist zentraler IT-Dienstleister für die hessischen Kommunen und ihre Einrichtungen. Von den Standorten in Gießen, Darmstadt und Kassel versorgt sie Ihre Endkunden umfassend mit modernen Informations- und Kommunikationsdienstleistungen (IuK) aller Art.
Zu den rund 500 Mitgliedern in Hessen und weiteren Kunden bundesweit gehören ca. 29.000 Endanwender aus Kommunalverwaltungen und anderen öffentlichen Einrichtungen, wie z. B. Landkreise, Städte, Gemeinden, kommunale Eigenbetriebe, Zweckverbände, Anstalten, Krankenhäuser und Heime. Im staatlichen Bereich betreut die ekom21 zahlreiche Landesverbände, Ministerien und Regierungspräsidien. Insgesamt erbringt die ekom21 damit Services für sechs Millionen Bürger.
Das Aufgabenspektrum der ekom21 wächst und verändert sich kontinuierlich, womit eine stetige Zunahme der Mitarbeiterzahlen einhergeht. Aktuell beschäftigt die ekom21 rund 850 Mitarbeiter/innen.
Als gemeinsame Sicherheitsoffensive des Landes Hessen, der kommunalen Spitzenverbände Hessens und der ekom21 wurde das Kommunale Dienstleistungszentrum Cybersicherheit, kurz KDLZ-CS, 2016 ins Leben gerufen. Das KDLZ-CS stellt seine Dienstleistungen den hessischen Kommunen zur Verfügung. Das KDLZ-CS unterstützt Landkreise, Städte und Gemeinden auf Augenhöhe mit dem Ziel die Informationssicherheit im Land Hessen kontinuierlich zu verbessern. Hierfür sollen ein eLearning für Informationssicherheit sowie für Datenschutz und eine Phishing-Simulation angeboten werden.
Der Bieter verfügt über nachhaltige Umweltschutzmaßnahmen. Nachweis mittels Umweltschutz Management ISO 14001:2015 oder vergleichbar.
Der Bieter verfügt über ein ausgeprägtes Qualitätsmanagement (QMS). Nachweis mittels ISO 9001:2015 oder vergleichbar.
Erklärung zu geeigneten Referenzleistungen über früher ausgeführte Liefer- und Dienstleistungen die mit Bezug auf die ausgeschriebenen Leistungen Aufschluss über die technische und berufliche Leistungsfähigkeit geben [Eigenerklärung zu geeigneten Referenzen] mit. Zu jeder Referenz müssen mindestens folgende Angaben gemacht werden: — Kurzbezeichnung der Referenz, — vollständiger Name
einschließlich Postadresse und Kontaktdaten des Auftraggebers (=Referenzauftraggeber), —Auftragswert, — öffentlicher oder privater Auftraggeber, — Leistungszeitraum (Liefer- bzw.
Erbringungszeitpunkt), — termingerechter Projektabschluss, — Beschreibung des Leistungsanteils des Ausführenden am Referenzprojekt in Prozent, — Stellung des Ausführenden im Referenzprojekt (Alleinunternehmer, Generalunternehmer, Ressourcengeber, Mitglied einer Bietergemeinschaft, — Anzahl der für den Bewerber im
Rahmen des Projektes tätigen Personen. Aus der Beschreibung der Referenz muss klar erkennbar sein, welche Leistungen der Bewerber, was Mitglied einer Bewerbergemeinschaft oder ein Dritter, auf dessen technische und berufliche Leistungsfähigkeit abgestellt wird, selbst
durchgeführt hat. Die bloße untergeordnete Mitwirkung bzw. die Überwachung eines Referenzprojekts sind hierbei nicht ausreichend. Die vorzulegenden Referenzen müssen eindeutig demjenigen Unternehmen als Auftragnehmer/Durchführungsverantwortlichen zugeordnet werden können, der sie zum Nachweis seiner technischen und beruflichen
Leistungsfähigkeit mit dem Angebot vorlegt. Die Einreichung einer Bescheinigung des Referenzauftraggebers ist nicht erforderlich. Der Auftraggeber behält sich aber die Überprüfung der gemachten Angaben bei Referenzauftraggebern sowie eigene Ermittlungen vor, deren Ergebnisse Berücksichtigung im Rahmen der Eignungsprüfung berücksichtigt werden. Zu den geforderten Nachweisen werden für alle geforderten Erklärungen Erfassungsformulare zur Verfügung gestellt, die unter Beachtung der Ausfüllhinweise zu verwenden sind. Geforderte Eignungsnachweise (gem. §§ 122 ff. GWB, §§ 42 ff. VgV), die in
Form anerkannter Präqualifikationsnachweise (u. a. HPQR) vorliegen, werden zugelassen und anerkannt, wenn die Präqualifikationsnachweise in Form und Inhalt den geforderten Eignungsnachweisen entsprechen.

Mindestanforderung:
Der Bieter muss bereits mindestens 100 Projekte erfolgreich abgeschlossen haben.
Es sind mindestens drei Referenzleistungen einzureichen. Jeweils eine Referenz in den Bereichen Incident Response, SOC SIEM, Managed Firewall Service. Das Ende des Leistungszeitraums darf nicht vor dem 01.01.2022 liegen.

Eligibility requirements: Der Bieter verfügt über nachhaltige Umweltschutzmaßnahmen. Nachweis mittels Umweltschutz Management ISO 14001:2015 oder vergleichbar.
Der Bieter verfügt über ein ausgeprägtes Qualitätsmanagement (QMS). Nachweis mittels ISO 9001:2015 oder vergleichbar.
Erklärung zu geeigneten Referenzleistungen über früher ausgeführte Liefer- und Dienstleistungen die mit Bezug auf die ausgeschriebenen Leistungen Aufschluss über die technische und berufliche Leistungsfähigkeit geben [Eigenerklärung zu geeigneten Referenzen] mit. Zu jeder Referenz müssen mindestens folgende Angaben gemacht werden: — Kurzbezeichnung der Referenz, — vollständiger Name
einschließlich Postadresse und Kontaktdaten des Auftraggebers (=Referenzauftraggeber), —Auftragswert, — öffentlicher oder privater Auftraggeber, — Leistungszeitraum (Liefer- bzw.
Erbringungszeitpunkt), — termingerechter Projektabschluss, — Beschreibung des Leistungsanteils des Ausführenden am Referenzprojekt in Prozent, — Stellung des Ausführenden im Referenzprojekt (Alleinunternehmer, Generalunternehmer, Ressourcengeber, Mitglied einer Bietergemeinschaft, — Anzahl der für den Bewerber im
Rahmen des Projektes tätigen Personen. Aus der Beschreibung der Referenz muss klar erkennbar sein, welche Leistungen der Bewerber, was Mitglied einer Bewerbergemeinschaft oder ein Dritter, auf dessen technische und berufliche Leistungsfähigkeit abgestellt wird, selbst
durchgeführt hat. Die bloße untergeordnete Mitwirkung bzw. die Überwachung eines Referenzprojekts sind hierbei nicht ausreichend. Die vorzulegenden Referenzen müssen eindeutig demjenigen Unternehmen als Auftragnehmer/Durchführungsverantwortlichen zugeordnet werden können, der sie zum Nachweis seiner technischen und beruflichen
Leistungsfähigkeit mit dem Angebot vorlegt. Die Einreichung einer Bescheinigung des Referenzauftraggebers ist nicht erforderlich. Der Auftraggeber behält sich aber die Überprüfung der gemachten Angaben bei Referenzauftraggebern sowie eigene Ermittlungen vor, deren Ergebnisse Berücksichtigung im Rahmen der Eignungsprüfung berücksichtigt werden. Zu den geforderten Nachweisen werden für alle geforderten Erklärungen Erfassungsformulare zur Verfügung gestellt, die unter Beachtung der Ausfüllhinweise zu verwenden sind. Geforderte Eignungsnachweise (gem. §§ 122 ff. GWB, §§ 42 ff. VgV), die in
Form anerkannter Präqualifikationsnachweise (u. a. HPQR) vorliegen, werden zugelassen und anerkannt, wenn die Präqualifikationsnachweise in Form und Inhalt den geforderten Eignungsnachweisen entsprechen.

Mindestanforderung:
Der Bieter muss bereits mindestens 100 Projekte erfolgreich abgeschlossen haben.
Es sind mindestens drei Referenzleistungen einzureichen. Jeweils eine Referenz in den Bereichen Incident Response, SOC SIEM, Managed Firewall Service. Das Ende des Leistungszeitraums darf nicht vor dem 01.01.2022 liegen.
Erfahrung in der Überprüfung von IT-Sicherheitsprodukten bzw. Hard- & Software nachweisen. Nachweis mittels akkreditierter CC / ITSEC Prüfstellen des BSI.
Erfahrung in Penetrationstests von IT-Systemen nachweisen. Nachweis mittels Zertifizierung "IS-Penetrationstestdienstleister" des BSI.
Erfahrung in Revision von IT-Systemen nachweisen. Nachweis mittels Zertifizierung "Dienstleister für IS-Revision/Beratung" des BSI.
Erfahrung in der Vorfallbearbeitung nachweisen. Nachweis mittels Zertifizierung "Zertifizierter IT-Sicherheitsdienstleister in dem Geltungsbereich Vorfallbearbeitung" des BSI.
Umfassende KRITIS-Erfahrung. Nachweis mittels eigener langjähriger KRITIS- Zugehörigkeit.
Fähigkeiten im Bereich der Spionageabwehr. Nachweis mittels BSI Anerkennung IT-Sicherheitsdienstleister im Bereich Lauschabwehr.
Fähigkeiten zur nachhaltigen Sicherung der Geschäftstätigkeit nachweisen. Nachweis mittels Zertifikat ISO 22301 Business Continuity Management (BCM) oder vergleichbar.
Der Bieter verfügt über ein Datenschutzmanagement. Nachweis mittels Zertifikat ISO 27701 Datenschutz Management (PIMS) oder vergleichbar.
Der Bieter verfügt über einen nachhaltigen Arbeits- und Gesundheitsschutz. Nachweis mittels ISO 45001:2018 oder vergleichbar.
Der Bieter verfügt über ein systematisches Servicemanagement. Nachweis mittels ISO/IEC 20000-1 oder vergleichbar.
Eigenerklärung aus der die durchschnittliche jährliche Anzahl der fest
angestellten Beschäftigten des Unternehmens in den letzten drei Jahren ersichtlich ist [Eigenerklärung zur Personenkennzahlen].
Mindestanforderung: Gefordert sind mindestens 500 Beschäftigte und davon mindestens 40 Berater für Informationssicherheit (Fachkräfte).
Organisatorische Absicherung durch ein Informationssicherheitsmanagementsystem (ISMS). Nachweis mittels ISO 27001:2022 oder vergleichbar.
Erklärung des Unternehmens, dass für den Fall des Zuschlags eine Berufs- oder Betriebshaftpflichtversicherung mit den aufgestellten Mindeststandards für die Dauer der Vertragslaufzeit abgeschlossen wird bzw. - falls bereits vorhanden - eine solche besteht und für die Dauer der
Auftragsausführung aufrechterhalten wird [Eigenerklärung zur Berufs- oder Betriebshaftpflichtversicherung].
Erforderlicher Mindestversicherungsschutz von 1,5 Mio. Euro für Personen- und Sachschäden und 1 Mio. Euro für Vermögensschäden jeweils bei zumindest doppelter Jahreshöchstleistung.
Eigenerklärung zum Unternehmen mit aussagekräftiger Darstellung des
Unternehmens insbesondere im Hinblick auf den ausgeschriebenen Auftrag (Kenndaten und Kennzahlen, aktuelle Geschäftsbereiche, Tätigkeitsfelder und Marktpositionierung etc.) [Eigenerklärung zum Unternehmen].
Erklärung über den Gesamtumsatz des Unternehmens sowie den Umsatz im Tätigkeitsbereich des ausgeschriebenen Auftrags, jeweils bezogen auf die letzten drei Geschäftsjahre [Eigenerklärung zum Umsatz].
Erforderlich ist ein Umsatz pro Kalenderjahr im Tätigkeitsbereich des Ausschreibungsgegenstands in den letzten drei Jahren von mindestens: 10 Mio. Euro (netto).
Erklärung des Unternehmens, zur Befähigung und Erlaubnis zur
Berufsausübung nach § 44 VgV [Eigenerklärung Befähigung und Erlaubnis zur Berufsausübung]. Nachweis der Eintragung im Berufs- oder Handelsregister, ggf. eidesstattliche Erklärung oder vergleichbare Bescheinigung einer Behörde des Mitgliedsstaates, in dem der Bewerber ansässig ist (Vorlage Kopie). Gewerbean- und ggf. -ummeldung, wenn keine Eintragungspflicht im Handels- bzw. Berufsregister besteht (Vorlage
Kopie).

Winner: ekom21 - Kommunales Gebietsrechenzentrum Hessen