Public procurement notice: Contract Notice
Published: 2025-12-19
Buyer: Einführung IAM-Identity and Access Management
Country: DE
Region: DEA22
Contract type: Services
Procedure: Negotiated with prior call for competition
CPV classification: 48000000 | 72000000 | 72268000: Software supply services
Estimated value: 9761500 EUR
Submission deadline: 2026-02-03

Technical requirements: Vorliegen eines gesetzlich normierten Ausschlussgrunds:  Mit dem Teilnahmeantrag/Angebot  ist als Beleg für das Nichtvorliegen von Ausschlussgründen folgende Erklärung einzureichen: Eigenerklärung zum Nichtvorliegen von Ausschlussgründen gemäß §§ 123, 124 GWB sowie § 22 LkSG (Vorlage siehe Anlage TWB 9)
Bewerber/Bieter haben einen Anspruch auf Einhaltung der bieterschützenden Bestimmun-gen über das Vergabeverfahren gegenüber dem Auftraggeber. Erkennt ein am Auftrag interessiertes Unternehmen eine Verletzung seiner Rechte durch Nichtbeachtung von Vergabevorschriften, ist der Verstoß innerhalb von 10 Kalendertagen gegenüber der Vergabestelle zu rügen (§ 160 Abs. 3 Nr. 1 Gesetz gegen Wettbewerbsbeschränkungen (GWB)). Verstöße, die aufgrund der Bekanntmachung erkennbar sind, müssen spätestens bis zu der in der Bekanntmachung genannten Frist zur Bewerbung (Abgabe Teilnahmeantrag) gegenüber der Vergabestelle gerügt werden (§ 160 Abs. 3 Nr. 2 GWB).  Verstöße, die aufgrund von weiteren im Rahmen des Teilnahmewettbewerbs zugänglich gemachten Unterlagen erkennbar sind, müssen spätestens bis zum Ablauf der Bewerbungsfrist, Verstöße, die aufgrund der Vergabeunterlagen für die Angebotsphase erkennbar sind, bis zum Ablauf der Angebotsfrist gegenüber der Vergabestelle gerügt werden (§ 160 Abs. 3 Nr. 3 GWB). Teilt die Vergabestelle dem Bewerber/Bieter mit, seiner Rüge nicht abhelfen zu wollen, so kann der Bewerber/Bieter nur innerhalb von 15 Kalendertagen nach Eingang die-ser Rügeerwiderung einen Nachprüfungsantrag bei der Vergabekammer stellen (§ 160 Abs. 3 Nr. 4 GWB). Bieter, deren Angebote für den Zuschlag nicht berücksichtigt werden sollen, werden vor dem Zuschlag gemäß § 134 Abs. 1 GWB darüber informiert. Ein Vertrag darf erst 15 Kalendertage (bzw. bei elektronischer Übermittlung 10 Kalendertage) nach Absendung dieser Information durch den Auftraggeber geschlossen werden. Diese Frist beginnt am Tag nach Absendung der Information durch die Vergabestelle. Die Unwirksamkeit gemäß § 135 Abs. 1 GWB kann nur festgestellt werden, wenn sie im Nachprüfungsverfahren innerhalb von 30 Kalendertagen ab Kenntnis des Verstoßes, jedoch nicht später als sechs Monate nach Vertragsschluss geltend gemacht worden ist. Hat der Auftraggeber die Auftragsvergabe im Amtsblatt der Europäischen Union bekannt gemacht, endet die Frist zur Geltendmachung der Unwirksamkeit 30 Kalendertage nach Veröffentlichung der Bekanntmachung der Auftragsvergabe im Amtsblatt der Europäischen Union.
Gegenstand der Ausschreibung ist das bestehende IDM-Tool durch ein modernes, leistungsstärkeres und risikoärmeres Identity- und Access-Management-System zu ersetzen. Die Leistungen umfassen insbesondere die Bereitstellung, Einführung und Pflege des neuen Systems.
Der Bewerber muss einen Mindestumsatz von jeweils 15.000.000,00 EUR in den letzten drei abgeschlossenen Geschäftsjahren nachweisen.
Nachweis einer Berufs- oder Betriebshaftpflichtversicherung mit Deckungssummen von mindestens 5 Mio. EUR für Personen- und Sachschäden sowie 3 Mio. EUR für Vermögensschäden. Die Ersatzleistung muss mind. 2-fach maximiert pro Jahr zur Verfügung stehen.

Eligibility requirements: Der Bewerber muss einen Mindestumsatz von jeweils 15.000.000,00 EUR in den letzten drei abgeschlossenen Geschäftsjahren nachweisen.
Nachweis einer Berufs- oder Betriebshaftpflichtversicherung mit Deckungssummen von mindestens 5 Mio. EUR für Personen- und Sachschäden sowie 3 Mio. EUR für Vermögensschäden. Die Ersatzleistung muss mind. 2-fach maximiert pro Jahr zur Verfügung stehen.
Der Bewerber muss in den letzten drei abgeschlossenen Geschäftsjahren jeweils mindestens 50 fest angestellte Mitarbeiter beschäftigt haben.  Bei Inanspruchnahme von Kapazitäten anderer Unternehmen (Eignungsleihe) sind zusätzlich vorzulegen:   Liste der für die Eignungsleihe herangezogenen Unterauftragnehmer (Anlage TWB 6)  Verpflichtungserklärung anderer Unternehmen (Anlage TWB 7)
Vorlage eines gültigen Zertifikats nach ISO 27001 für das Informationssicherheitsmanagement
Für die Eignungsprüfung hat der Bewerber mindestens zwei erfolgreich durchgeführte Referenzprojekte zu benennen, die in den letzten 5 Jahren in den Produktivbetrieb überführt wurden; bei Einreichung von mehr als zwei Referenzen werden nur die beiden mit der höchsten Punktzahl gewertet (insgesamt max. 1350 Punkte, max. 675 Punkte pro Referenz).  Mindestanforderungen / Ausschlusskriterien (A) Alle nachfolgenden Kriterien müssen zwingend erfüllt sein. Nichterfüllung führt zum Ausschluss der Referenz.   - Projektgegenstand: Einführung einer Identity and Access Management (IAM) Software inkl. Übernahme des Datenbestandes, Konfiguration und Integration in die IT-Systemlandschaft des Auftraggebers.  - Betriebsmodell: Die Lösung muss als "On-Premise"-Modell betrieben werden.  - Zeitraum & Status: Erfolgreicher Abschluss mit Überführung in den Produktivbetrieb innerhalb der letzten 5 Jahre.   - Volumen: Verwaltung von mindestens 10.000 Identitäten (natürliche Personen) mit der eingeführten IAM-Lösung.  - Schutzbedarf: Umsetzung von Datenschutz- und IT-Sicherheitsanforderungen für Datenverarbeitung mit hohem Schutzbedarf (i.S.d. BSI-Grundschutzkompendiums).  - Mandantenfähigkeit: Konzeption und Einführung einer zentralen IAM-Lösung, die über mehrere getrennte Mandanten verfügt.  - Produktionsübergang: Ablösung einer bestehenden IAM-Lösung ohne Behinderung der betrieblichen Abläufe (Wartungsfenster zulässig).  - AD-Anbindung: Anbindung von mindestens 2 verschiedenen Active Directory Gesamtstrukturen an das IAM-System.  - Grundfunktionalitäten & Prozesse: Planung, Konzeption und Umsetzung der IAM-Implementierung.  -Integration in bestehende Systemlandschaften. Planung, Konzeption und Umsetzung der Migration des Altsystems.  - Einführung/Migration eines Rollenmodells und Rollenmanagements (RBAC).  - Referenzauskunft: Benennung eines Ansprechpartners beim Auftraggeber, der über die Kontaktaufnahme informiert und zur Auskunft bereit ist.  Bewertungskriterien (B)  Die Erfüllung dieser Kriterien fließt in die Punktbewertung der Eignung ein.   - Erweiterte Systemanbindungen: Erfolgreiche Anbindung und Verwaltung weiterer Zielsysteme (3 oder mehr ADs, LDAP, mind. 10 Standalone-Systeme, mind. 1 Fachverfahren).  - Privileged Access Management (PAM): Implementierung eines PAM inkl. zugehöriger Prozesse und Genehmigungsverfahren im IAM-System.  - Regelwerke und Workflows: Etablierung von Regelwerken (Steuerung, Rollendefinition/-klassifizierung) und Workflows zu Geschäftsvorfällen (Neuanlage, Änderung, Deaktivierung, temporäre Deaktivierung, Überprüfung, Genehmigungsworkflows, Bestellung/Entzug von Rollen).  - Erweiterte Funktionalitäten: Implementierung von Zwei-Faktor-/Multi-Faktor-Authentifizierung (2FA/MFA), Single Sign-On (SSO) sowie Rezertifizierungs- und Reconciliation-Prozessen.  - Art des Auftraggebers: Durchführung für einen öffentlichen Auftraggeber (gem. § 99 GWB) oder einen KRITIS-Betreiber (i.S.d. BSI-Gesetzes).  - SAP-Integration: Anbindung eines SAP S/4HANA-Systems als Zielsystem.  - HR-System: Anbindung eines HR-Systems als primäre Datenquelle für Identitäten.  - Barrierefreiheit: Nachweis der Einhaltung von Mindestanforderungen zur Barrierefreiheit (durch Eigenerklärung oder Zertifikat eines Dritten).  - Sicherheitstest: Durchführung eines Penetrationstests der in Betrieb genommenen Lösung.  - Schulungen: Durchführung von Personalschulungen in den Bereichen IAM-Architektur/IGA, Implementation/Administration, Customizing sowie Strategische Planung/Rollenmodell.  Bei Inanspruchnahme von Kapazitäten anderer Unternehmen (Eignungsleihe) sind zusätzlich vorzulegen:   Liste der für die Eignungsleihe herangezogenen Unterauftragnehmer (Anlage TWB 6)  Verpflichtungserklärung anderer Unternehmen (Anlage TWB 7)
Der Bewerber (bei Bewerbergemeinschaften jedes Mitglied) hat folgende Unterlagen vorzulegen:  Berufs- oder Handelsregisterauszug: Nicht älter als sechs Monate  Eigenerklärung zu Sanktionsvorschriften: Erklärung zur Einhaltung von Sanktionsvorschriften (EU-Russland-Sanktionen) gemäß Anlage TWB 10  Unternehmensbeschreibung: Vorlage des Formblatts Unternehmensbeschreibung (Anlage TWB 4)  Ggf. Bewerbergemeinschaftserklärung: Bei Bewerbergemeinschaften ist eine Erklärung aller Mitglieder vorzulegen (Anlage TWB 3)
Die Nachforderung von Unterlagen gemäß § 56 Abs. 2 VgV bleibt vorbehalten. Ein genereller Anspruch auf Nachforderung besteht für die Bewerber/Bieter jedoch nicht. Fordert der Auftraggeber Unterlagen nach, sind diese in gleicher Form wie das Angebot einzureichen.
Mit dem Angebot sind folgende Erklärungen zwingend vorzulegen:   1. Eigenerklärung zur Verschwiegenheit und zum Datenschutz (Anlage Z.1-11) 2. Eigenerklärung zur Einhaltung der ILO-Kernarbeitsnormen (Anlage Z.1-12) 3. Verpflichtungserklärung zur Tariftreue und Zahlung des vergaberechtlichen Mindestlohns (Anlage Z.1-13)  Bewerbergemeinschaften: Die Erklärungen sind von jedem Mitglied der Bewerbergemeinschaft separat vorzulegen.
Bewerber/Bieter haben einen Anspruch auf Einhaltung der bieterschützenden Bestimmun-gen über das Vergabeverfahren gegenüber dem Auftraggeber. Erkennt ein am Auftrag interessiertes Unternehmen eine Verletzung seiner Rechte durch Nichtbeachtung von Vergabevorschriften, ist der Verstoß innerhalb von 10 Kalendertagen gegenüber der Vergabestelle zu rügen (§ 160 Abs. 3 Nr. 1 Gesetz gegen Wettbewerbsbeschränkungen (GWB)). Verstöße, die aufgrund der Bekanntmachung erkennbar sind, müssen spätestens bis zu der in der Bekanntmachung genannten Frist zur Bewerbung (Abgabe Teilnahmeantrag) gegenüber der Vergabestelle gerügt werden (§ 160 Abs. 3 Nr. 2 GWB).  Verstöße, die aufgrund von weiteren im Rahmen des Teilnahmewettbewerbs zugänglich gemachten Unterlagen erkennbar sind, müssen spätestens bis zum Ablauf der Bewerbungsfrist, Verstöße, die aufgrund der Vergabeunterlagen für die Angebotsphase erkennbar sind, bis zum Ablauf der Angebotsfrist gegenüber der Vergabestelle gerügt werden (§ 160 Abs. 3 Nr. 3 GWB). Teilt die Vergabestelle dem Bewerber/Bieter mit, seiner Rüge nicht abhelfen zu wollen, so kann der Bewerber/Bieter nur innerhalb von 15 Kalendertagen nach Eingang die-ser Rügeerwiderung einen Nachprüfungsantrag bei der Vergabekammer stellen (§ 160 Abs. 3 Nr. 4 GWB). Bieter, deren Angebote für den Zuschlag nicht berücksichtigt werden sollen, werden vor dem Zuschlag gemäß § 134 Abs. 1 GWB darüber informiert. Ein Vertrag darf erst 15 Kalendertage (bzw. bei elektronischer Übermittlung 10 Kalendertage) nach Absendung dieser Information durch den Auftraggeber geschlossen werden. Diese Frist beginnt am Tag nach Absendung der Information durch die Vergabestelle. Die Unwirksamkeit gemäß § 135 Abs. 1 GWB kann nur festgestellt werden, wenn sie im Nachprüfungsverfahren innerhalb von 30 Kalendertagen ab Kenntnis des Verstoßes, jedoch nicht später als sechs Monate nach Vertragsschluss geltend gemacht worden ist. Hat der Auftraggeber die Auftragsvergabe im Amtsblatt der Europäischen Union bekannt gemacht, endet die Frist zur Geltendmachung der Unwirksamkeit 30 Kalendertage nach Veröffentlichung der Bekanntmachung der Auftragsvergabe im Amtsblatt der Europäischen Union.
Übergeordnetes Projektziel ist die Einführung einer IAM-Standardsoftware, deren Konfiguration sowie die Ablösung des bestehenden Identitäts- und Rechtemanagements. Das System muss einen erweiterten Funktionsumfang gegenüber der abzulösenden Software bieten und muss durch Funktionen wie Self-Service und eine Workflow-Engine die Automatisierung vorantreiben, Prozesslaufzeiten verkürzen und die Qualität verbessern.  Derzeit setzt der AG die Software biCube der OEDIV SecuSys GmbH als IAM-Lösung ein. Die Software soll in vollem Umfang durch eine enterprise-fähige Lösung mit erweitertem Funktionsumfang ersetzt bzw. abgelöst werden. biCube wird beim AG derzeit für die Verwaltung administrativer Konten im Rechenzentrum eingesetzt. Sie dient vorwiegend der Konfiguration dieser Konten und der Vergabe von Zugriffsrechten auf Einzelsysteme oder in Verzeichnisdienste integrierte Einzelsysteme und Infrastrukturkomponenten. Die Leistung umfasst die Einführung, Inbetriebnahme und Pflege der Lösung.

Winner: Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)