Public procurement notice: Contract Notice
Published: 2025-05-13
Buyer: Beratungsleistung mit Sicherheitsexpertise für Microsoft  Azure und SDLC
Country: DE
Region: DEA22
Contract type: Services
Procedure: Open procedure
CPV classification: 72000000
Submission deadline: 2025-06-10

Technical requirements: Es wird auf die Vorgaben der Vergabeunterlagen und die geltenden Vergabevorschriften (insbesondere die §§ 123, 124 GWB) verwiesen. Dies gilt für alle nachfolgend aufgeführten Ausschlussgründe gleichermaßen.
Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung oder in den Vergabeunterlagen erkennbar sind, sind spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber zu rügen. Im Übrigen sind Verstöße gegen Vergabevorschriften innerhalb einer Frist von zehn Kalendertagen nach Kenntnis gegenüber dem Auftraggeber zu rügen. Ein Nachprüfungsantrag ist innerhalb von 15 Kalendertagen nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, bei der zuständigen Vergabekammer zu stellen.
Die DAK-Gesundheit sucht gezielt Expertise in der Beratung hinsichtlich der 
Sicherheitsanforderungen im Umfeld Microsoft Azure Cloud und SDLC. Der Kern dieses 
Vorhabens ist die Vollendung eines Vorprojektes, welches die bestehenden Services der 
DAK-Gesundheit in eine neuen Azure-Tenant umgezogen hat und dabei einen Fokus auf 
Sicherheit hatte. Dabei soll das Projekt, das hauptsächlich von den DevOps der DAK-Gesundheit durchgeführt wird, durch das Vorhaben sicherheitstechnisch begleitet werden, d. 
h. es sollen Konzepte vervollständigt bzw. erarbeitet werden, die Sicherheits-Bestpractises 
wie z. B. Zero Trust entsprechen. Das übergreifende Umzugsprojekt wird von der DAK-Gesundheit gesteuert und dieses Vorhaben wird darin eingegliedert.
"2.1 Nachweis einer Berufs-/Betriebshaftpflichtversicherung: Abgabe einer Eigenerklärung des Bieters, dass eine Berufs- oder Betriebshaftpflichtversicherung  vorhanden ist, bzw. im Auftragsfall abgeschlossen wird und diese während der gesamten Vertragslaufzeit aufrecht erhalten wird

(Nachzuweisen durch Eigenerklärung: Anlage A2, Ziffer 2.1),

Im Fall einer Bietergemeinschaft muss eine entsprechende Versicherung von mindestens einem Mitglied oder alternativ von der Bietergemeinschaft selbst vorhanden sein.

Inhaltliche Mindestanforderung: 
Bestehen einer im Rahmen und Umfang marktüblichen Industriehaftpflichtversicherung oder einer vergleichbaren Versicherung aus einem Mitgliedsstaat der EU. - 2.1 Nachweis einer Berufs-/Betriebshaftpflichtversicherung
"3.1 Eigenerklärung über geeignete Unternehmensreferenzen: Abgabe einer Eigenerklärung über geeignete Referenzen über früher ausgeführte Aufträge, die mit dem Ausschreibungsgegenstand vergleichbar sind.

Folgende Anforderungen sind durch Referenzen nachzuweisen:
- Erfahrung in der Zulassung vom Frontend des Versicherten (FdV) im Bezug auf die Dienste der Telematik-Infrastruktur durch die gematik
- Mehrjährige Erfahrung im Kontext Security mit Projekten in der GKV (Branchen-Know-how)
- Erfahrung in der Absicherung von Cloud-Infrastruktur-Projekten

Die Erfüllung jeder Anforderung muss durch mindestens 1 Referenz nachgewiesen werden (in Summe 3 Referenzen). Die Referenzen dürfen nicht älter als 5 Jahre sein.                                                                                                                                                                                                                                       

(Nachzuweisen durch Eigenerklärung: Anlage A2, Ziffer 3.1).

Inhaltliche Mindestanforderung: 
Es sind mindestens 3 vergleichbare Referenzprojekte nachzuweisen."
 - 3.1 Eigenerklärung über geeignete Unternehmensreferenzen

Eligibility requirements: "2.1 Nachweis einer Berufs-/Betriebshaftpflichtversicherung: Abgabe einer Eigenerklärung des Bieters, dass eine Berufs- oder Betriebshaftpflichtversicherung  vorhanden ist, bzw. im Auftragsfall abgeschlossen wird und diese während der gesamten Vertragslaufzeit aufrecht erhalten wird

(Nachzuweisen durch Eigenerklärung: Anlage A2, Ziffer 2.1),

Im Fall einer Bietergemeinschaft muss eine entsprechende Versicherung von mindestens einem Mitglied oder alternativ von der Bietergemeinschaft selbst vorhanden sein.

Inhaltliche Mindestanforderung: 
Bestehen einer im Rahmen und Umfang marktüblichen Industriehaftpflichtversicherung oder einer vergleichbaren Versicherung aus einem Mitgliedsstaat der EU. - 2.1 Nachweis einer Berufs-/Betriebshaftpflichtversicherung
"3.1 Eigenerklärung über geeignete Unternehmensreferenzen: Abgabe einer Eigenerklärung über geeignete Referenzen über früher ausgeführte Aufträge, die mit dem Ausschreibungsgegenstand vergleichbar sind.

Folgende Anforderungen sind durch Referenzen nachzuweisen:
- Erfahrung in der Zulassung vom Frontend des Versicherten (FdV) im Bezug auf die Dienste der Telematik-Infrastruktur durch die gematik
- Mehrjährige Erfahrung im Kontext Security mit Projekten in der GKV (Branchen-Know-how)
- Erfahrung in der Absicherung von Cloud-Infrastruktur-Projekten

Die Erfüllung jeder Anforderung muss durch mindestens 1 Referenz nachgewiesen werden (in Summe 3 Referenzen). Die Referenzen dürfen nicht älter als 5 Jahre sein.                                                                                                                                                                                                                                       

(Nachzuweisen durch Eigenerklärung: Anlage A2, Ziffer 3.1).

Inhaltliche Mindestanforderung: 
Es sind mindestens 3 vergleichbare Referenzprojekte nachzuweisen."
 - 3.1 Eigenerklärung über geeignete Unternehmensreferenzen
Unvollständige Angebote können vom weiteren Verfahren ausgeschlossen werden. Die Auftraggeberin behält sich vor, die Bieter unter Setzung einer Frist und Einhaltung der Grundsätze der Transparenz und der Gleichbehandlung aufzufordern, fehlende, unvollständige oder fehlerhafte unternehmensbezogene Unterlagen, insbesondere Eigenerklärungen, Angaben, Bescheinigungen oder sonstige Nachweise, nachzureichen, zu vervollständigen oder zu korrigieren, oder fehlende oder unvollständige leistungsbezogene Unterlagen nachzureichen oder zu vervollständigen.
Die Nachforderung von leistungsbezogenen Unterlagen, die die Wirtschaftlichkeitsbewertung der Angebote anhand der Zuschlagskriterien betreffen, ist ausgeschlossen. Dies gilt nicht für Preisangaben, wenn es sich um unwesentliche Einzelpositionen handelt, deren Einzelpreise den Gesamtpreis nicht verändern oder die Wertungsreihenfolge und den Wettbewerb nicht beeinträchtigen.
Im Übrigen gilt § 56 Abs. 2 und 3 VgV.
"1.1 Eigenerklärung zur Zuverlässigkeit: Abgabe einer Eigenerklärung vom Bieter/jedem Mitglied einer Bietergemeinschaft zur Zuverlässigkeit gemäß §§ 123, 124 GWB

(Nachzuweisen durch Eigenerklärung: Anlage A2, Ziffer 1.1).     ||     "
"1.2 Eigenerklärung Mindestlohn und Tariftreue: Abgabe einer Eigenerklärung vom Bieter/jedem Mitglied einer Bietergemeinschaft zur Einhaltung der Pflicht zur Zahlung des Mindestlohns und zur Tariftreue

(Nachzuweisen durch Eigenerklärung: Anlage A2, Ziffer 1.2).     ||     "
"1.3 Eigenerklärung zu Russlandsanktionen: Abgabe einer Eigenerklärung vom  Bieter/jedem Mitglied einer Bietergemeinschaft, von jedem benannten Nachunternehmer, dass die Art. 5k Abs. 1 VO (EU) 833/2014 genannten Sachverhalte zu Russlandsanktionen eingehalten werden

(Nachzuweisen durch Eigenerklärung: Anlage A2, Ziffer 1.3).     ||     "
Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung oder in den Vergabeunterlagen erkennbar sind, sind spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber zu rügen. Im Übrigen sind Verstöße gegen Vergabevorschriften innerhalb einer Frist von zehn Kalendertagen nach Kenntnis gegenüber dem Auftraggeber zu rügen. Ein Nachprüfungsantrag ist innerhalb von 15 Kalendertagen nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, bei der zuständigen Vergabekammer zu stellen.
Ein Schwerpunkt in diesem Vorprojekt liegt in der Integration der neu erarbeiten Umgebung 
in die Prozesse der DAK-Gesundheit beziehungsweise eines Betriebspartners. So sollen 
sicherheitskritische Prozesse der neuen Azure-Umgebung ermittelt und in bestehende 
Prozesse, wie den sicheren Software-Entwicklungs-Lebenszyklus, aber auch in 
Betriebsprozesse integriert werden.