Public procurement notice: Contract Notice
Published: 2018-07-04
Buyer: Deutsche Bundesbank, Beschaffungszentrum
Country: DE
Contract type: Services
Procedure: Open procedure
CPV classification: 72222100: Information systems strategic review services | 72225000: Systems quality assurance services
Submission deadline: 2018-08-02
Award criteria: The most economic tender

Technical requirements: Der Auftragnehmer muss über die Laufzeit des Rahmenvertrags hinweg für den Auftraggeber technische IT-Sicherheitsuntersuchungen, insbesondere in Form von Schwachstellenscans und Penetrationstests, selbstständig durchführen. Darüber hinaus muss er als sachkundiger Ansprechpartner für die Klärung von Fragen des Auftraggebers im Zusammenhang mit der Vorbereitung, Durchführung und Nachbereitung von technischen IT-Sicherheitsuntersuchungen agieren und aktiv bei den dabei notwendigen Aufgaben und Tätigkeiten mitwirken. Die Durchführung der jeweiligen, technischen IT-Sicherheitsuntersuchungen in Form von Penetrationstests muss sich dabei anhand der Grundsätze der Studie „Durchführungskonzept für Penetrationstests“ des Bundesamt für Sicherheit in der Informationstechnik (BSI) orientieren.
Der Auftragnehmer muss über 10 geeignete Berater/-innen verfügen, welche beim Auftraggeber zum Einsatz kommen können.
2) Der Auftragnehmer muss in der Lage sein, im Laufe eines Kalenderjahres, bzw. in einem Zeitraum von 12 Monaten Leistungen im Umfang von mindestens 150 Personentagen beim Auftraggeber erfüllen zu können. Dies muss mindestens per Eigenerklärung bestätigt werden.
Es soll nachvollziehbar dargelegt werden, über welche Maßnahmen sichergestellt wird, dass die Anforderungen des Auftraggebers erfüllt werden – bspw. durch Einsatz von Mitarbeiter/-innen mit
— nachgewiesenen Qualifikationen anhand einschlägiger und marktüblicher Zertifizierungen und Fortbildungen (bspw. GPEN, OSCP, etc.).
Der Auftragnehmer soll exemplarisch mindestens 3 Profile geeigneter Berater/-innen zur Verfügung stellen können.
Zu 2.: Eigenerklärung oder anderer geeigneter Nachweis, dass der Auftragnehmer in der Lage ist, im Laufe eines Kalenderjahres bzw. in einem Zeitraum von 12 Monaten Leistungen im Umfang von mindestens 150 Personentagen beim Auftraggeber erfüllen zu können.
Aufgrund der Leistungserbringung in einem sicherheitsrelevanten Bereich muss der Auftragnehmer dem Auftraggeber versichern, dass für die technischen IT-Sicherheitsuntersuchungen ausschließlich Personal eingesetzt wird, welches sich einer Sicherheitsüberprüfung nach § 8 SÜG unterzogen hat oder bereit ist sich dieser zu unterziehen.
Ein entsprechender Nachweis der erfolgten Sicherheitsüberprüfung muss unmittelbar nach Beauftragung des Auftragnehmers vom Auftragnehmer beim Auftraggeber erbracht werden. Liegt noch keine Sicherheitsüberprüfung nach § 8 SÜG für einzusetzendes Personal des Auftragnehmers vor, so muss die Bereitschaft zur Durchführung einer Sicherheitsüberprüfung vorliegen.
Der Auftraggeber behält sich im Falle einer negativen Sicherheitsüberprüfung vor, die betroffene Person des Auftragnehmers von der externen IT-Sicherheitsuntersuchung auszuschließen. Der Auftragnehmer muss die Leistungserbringung in diesem Fall weiterhin sicherstellen.
Beim Auftraggeber kommen eine Vielzahl an unterschiedlichen Technologien und Lösungen zum Einsatz. Der Auftragnehmer muss über ausreichend Sachverstand verfügen, die entsprechenden Technologien und Lösungen im Rahmen technischer IT-Sicherheitsuntersuchungen analysieren und bewerten zu können. Der Nachweis hierzu muss anhand in der Vergangenheit absolvierter technischer IT-Sicherheitsuntersuchungen sowie einer ausreichenden Anzahl und Qualität entsprechender Berater/-innen erbracht werden.
Zu 1: Für das einzusetzende Personal muss die Bereitschaft zur Durchführung einer Sicherheitsüberprüfung vorliegen;
Zu 2: Zum Nachweis seiner Qualifikation muss der Auftragnehmer mindestens 10 technische IT-Sicherheitsuntersuchungen innerhalb der letzten 12 Monate als Dienstleistung durchgeführt haben und dies mindestens per Eigenerklärung nachweisen. Die Untersuchungen sollen im Bereich der Financial Market Infrastructure (FMI), nach Möglichkeit im Bereich des ESZB, oder im behördlichen / öffentlichen Sektor, durchgeführt worden sein. Sie sollen eine der o.g. Technologien und Lösungen betroffen haben. Wenn möglich sollen dabei die jeweiligen Kunden und grobe Inhalte der Untersuchungen skizziert sein.
Die Teilnahme-/Vergabeunterlagen stehen auf der Vergabeplattform https://www.dtvp.de/ zum Download zur Verfügung.
Angebote sind über die Vergabeplattform im entsprechenden Projektraum über das Bietertool im Reiter „Angebote“ einzureichen.