Public procurement notice: Contract Award Notice
Published: 2025-06-06
Buyer: DORA-konforme Rezertifizierung Firewall-Regelwerk
Country: DE
Region: DEA22
Contract type: Services
Procedure: Open procedure
CPV classification: 72000000 | 72220000: Systems and technical consultancy services
Estimated value: 211165.5 EUR
Submission deadline: 2026-04-30
Award criteria: price, quality

Technical requirements: Nachprüfungsstelle Vergabekammer Niedersachsen beim Nds. Ministerium für Wirtschaft, Verkehr, Bauen und Digitalisierung  Auf der Hude 2 21339 Lüneburg Fax: 04131/15-2943 E-mail: vergabekammer@mw.niedersachsen.de  Der Antrag ist unzulässig, soweit  1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt, 2.Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 3.Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 4.mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.  Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt. (§ 160 Abs. 3 S. 1 Nr. 4 GWB).
Im Rahmen der Einführung eines neuen Lifecycle-Management-Prozesses für Firewall-Regeln soll eine initiale Bestandsaufnahme und Rezertifizierung der bestehenden Firewall-Regeln durch einen externen Dienstleister durchgeführt wer-den. Ziel ist es, die aktuellen Regeln auf ihre Sicherheitswirksamkeit und Konformität zu überprüfen, um die Sicherheit der IT-Infrastruktur zu gewährleisten und etwaige Schwachstellen zu identifizieren. Der Auftrag umfasst folgende Leistungen: 1.  Bestandsaufnahme der aktuellen Firewall-Regeln: - Erfassen aller bestehenden Regeln, inklusive ihrer Parameter (z. B. Quell-/Ziel-IPs, Protokolle, Ports, etc.). - Dokumentation der vorhandenen Regeln - Identifikation und Erfassung der verantwortlichen Stellen bzw. Verantwortliche für die einzelnen Regeln. 2. Überprüfung auf Konformität und Sicherheit: - Analyse der Regeln auf Redundanzen, veraltete oder ungenutzte Regeln. - Überprüfung der Firewall-Regeln hinsichtlich der Einhaltung geltender Sicherheitsrichtlinien (z. B. Unternehmensrichtlinien, rechtliche Anforderungen, Vorgaben des ISMS) und allgemeiner Compliance-Regeln der Finanzwirtschaft (z.B. DORA) unter Berücksichtigung des jeweils aktuellen Stands der Technik. - Bewertung der Regeln hinsichtlich möglicher Sicherheitsrisiken (z. B. unnötig offene Ports, unzureichende Beschränkungen, etc. - Überprüfung der grundsätzlichen Firewall-Einstellungen gegenüber der all-gemeinen Bedrohungslage und ggü. bekannten Schwachstellen der eingesetzten Firewall-Systeme   3. Dokumentation der Feststellungen: - Erstellung eines Abschlussberichts mit den Ergebnissen der Prüfung. - Dokumentation der Einzelüberprüfungsergebnisse aus (2) in strukturierter Form je Regel. - Empfehlung von Maßnahmen zur Optimierung und Verbesserung der Sicherheit und Effizienz der Firewalls. 4. Bearbeitungsstruktur / Umsetzung: - Die Bearbeitung der Rezertifizierung muss  o toolgestützt, - Es soll ein Tool für die Rezertifizierung eingeführt werden, welches die NBank im Nachgang selbstständig weiterbetreibt.  - Das Tool muss folgende Mindestanforderungen haben: - Open-Source-Lösung - Installierbar auf VMware Virtualisierungsumgebung - Zentrale Übersicht über alle Firewall-Regeln aus sämtlichen Systemen - Einheitliche Ansicht für eine dezentrale Infrastruktur - Vollständige Dokumentation und Nachverfolgung von Änderungen - Bereitstellung von Berichten zu aktuellen und historischen Regelwerken - Filterfunktionen für Systeme und andere Kriterien - Vermeidung redundanter oder überflüssiger Firewall-Regeln o strukturiert und  o für Dritte nachvollziehbar umgesetzt werden. 5. Abschlusspräsentation: - Präsentation der Ergebnisse vor den zuständigen Stellen des Auftraggebers (IT-Sicherheitsverantwortliche, ISMS-Beauftragte, etc.). - Beratung zu möglichen Anpassungen oder Neuausrichtungen der Firewall-Regeln auf Grundlage der Ergebnisse. - Beratung des Kunden, wie zukünftig der Rezertifizierungsprozess als InhouseLeistung aufgebaut und durchgeführt werden kann: o Aufzeigen eines praktikablen und pragmatischen Prozesses zur Rezertifizierung im Eigenbetrieb o Möglicher Pfad zur Einführung sowohl technisch, prozessual und kaufmännisch o Möglicher Zeitplan und Ressourcenbedarf o Entwicklungspfad für den Eigenbetrieb sowie für die Überwachung ausgelagerter Services von einem Firewall as a Service bis hin zu ei-nem Full Managed Betriebskonzept
Für die Wertung maßgeblich ist der Gesamtpreis gem. Preisblatt.
Vorlage eines Konzeptes. In dem Konzept soll jeweils das eigene Vorgehen bei der Durchführung des Auftrags und den in der Leistungsbeschreibung aufgeführten Tätigkeiten dargestellt werden. Es soll insbesondere auf folgende Aspekte eingegangen werden:  - Beschreibung des einzuführenden Tools - Beschreibung des Vorgehens, wie die Firewall-Regeln rezertifiziert werden - Beschreibung des Vorgehens, wie ein Prozess für die Rezertifizierung implementiert wird Das Konzept soll mindestens 10 bis maximal 15 Seiten umfassen. Das Konzept muss auf die Bepreisung der einzelnen abverlangten Leistungsumfänge abgestimmt sein. Insgesamt darf die geplante Erbringung der Leistung nach dem Konzept 110-130 Personentage (8 Stunden) umfassen. In dem Konzept müssen die Anzahl der geplanten Personentage sowie die zeitlichen Planungen (bspw. in Form eines Meilensteinplans) enthalten sein. Das Konzept ist bindend für den angebote-nen Gesamtpreis. Über die geplanten Personentage hinausgehende und für die vollständige Leistungserbringung erforderliche Personentage werden nicht vergütet.  Für das Konzept für die Erbringung und Umsetzung der Leistung können folgende Punkte erreicht werden: Für eine volle Punktzahl müssen folgende Prämissen erfüllt werden:  - Das eingereichte Konzept lässt eine hervorragende Leistungserbringung erwarten. Die Schlüssigkeit und Qualität des Konzepts überzeugen im höchsten Maße. - Der Umsetzungsplan ist sehr anschaulich, detailreich und lässt eine sehr gut strukturierte Vorgehensweise erwarten. - Die genannten Anforderungen sind sehr verständlich dargestellt. - Die Herleitung der geschätzten erforderlichen PT Anzahl ist sehr anschaulich und sehr gut nachvollziehbar dargestellt. - Die Meilensteinplanung ist sehr erfolgsversprechend und lässt eine sehr gute Leistungserbringung erwarten. - Es werden sehr anschaulich Risiken antizipiert und der Umgang damit sehr gut dargestellt.  Negative Abweichungen davon führen zu einer entsprechend schlechteren Bewertung.  5 Punkte = sehr gut Das eingereichte Konzept lässt eine hervorragende Leistungserbringung erwarten. Die Schlüssigkeit und Qualität des Konzepts sind sehr gut.   4 Punkte = gut Anhand des eingereichten Konzepts kann eine gute Leistungserbringung erwartet werden. Die Schlüssigkeit und Qualität des Konzepts sind in hohem Maße gegeben.  3 Punkt = Befriedigend Das eingereichte Konzept entspricht den Anforderungen und lässt eine zufriedenstellende Leistungserbringung erwarten.  2 Punkte = ausreichend Das eingereichte Konzept entspricht zwar im Wesentlichen den Anforderungen und lässt eine ausreichende Leistungserbringung erwarten. Die Schlüssigkeit und Qualität des Konzepts sind jedoch vereinzelt mängelbehaftet. 1 Punkt = mangelhaft Das Konzept ist mit erheblichen Mängeln behaftet und lässt eine ordnungsgemäße Leistungserbringung nicht mehr zu. Die Schlüssigkeit und Qualität sind nur in geringem Maße gegeben. 0 Punkte = ungenügend Das eingereichte Konzept erfüllt in keiner Hinsicht die Anforderung der zu erbringenden Leistung. Eine ordnungsgemäße Leistungserbringung ist unwahrscheinlich. Die Schlüssigkeit und Qualität des Konzepts sind leider an erheblichen Mängeln und machen die Leistung unbrauchbar.
Mit dem Angebot sollen die für den Auftrag einzusetzenden Mitarbeiter (Leitung und Personal) unter Darstellung der Qualifikation und Erfahrung inkl. Angaben zur beruflichen Qualifikation genannt werden (formlos bzw. Eigenerklärung).  Folgende Mindestanforderungen müssen die einzusetzenden Mitarbeiter aufweisen: - Es sind ausschließlich qualifizierte Mitarbeiter mit Zertifizierungen im Bereich IT-Sicherheit und Netzwerksicherheit (z. B. CISSP, CISM, ISO 27001 Lead Auditor oder vergleichbar) einzusetzen. Dies ist mittels aktueller Zertifikate nachzuweisen. - Es ist ein führender Berater als Hauptansprechpartner anzubieten, der mindestens über 5 Jahre einschlägige Berufserfahrung verfügt  - Der führende Berater muss nachweisen, dass er mindestens 2 vergleichbare Projekte abgeschlossen hat. - Die einzusetzenden Mitarbeiter müssen, sollte deutsch nicht deren Muttersprache sein, einen Nachweis über mindestens ein C1 Niveau der deutschen Sprache erbringen. Andernfalls genügt die Eigenerklärung, dass deutsch die Muttersprache ist. Die Nachweise sind in Form von Mitarbeiterprofilen und von aktuellen Zertifikaten zu erbringen. Sollten die einschlägige Berufserfahrung und die nachzuweisenden Projekte aufgrund der Darstellung/Inhalte Zweifel an der Erfüllung der Mindestanforderungen erwecken, behält sich der Auftraggeber das Recht vor zusätzliche Informationen beim Bieter einzufordern. Der Bieter ist in dieser Konstellation insbesondere verpflichtet einen Kontakt zum Referenzgeber bzgl. der Projekte herzustellen und dafür Sorge zu tragen, dass die Informationen innerhalb von einer Woche zur Verfügung gestellt werden. Sollte die genannte Referenz nicht bestätigt werden können, behällt sich der Auftraggeber einen Angebotsausschluss vor.  Für die Erfahrung/Qualifikation der Mitarbeiter können folgende Punkte erreicht werden:  Der Nachweis der Mindestanforderungen gem. Ziff. 11.4.7 an das einzusetzende Personal bedeutet eine Bewertung mit einem Punkt. Sollten die Mindestanforderungen nicht erfüllt werden wird das Angebot ausgeschlossen.   5 Punkte  Die Erfahrungen/Qualifikationen lassen eine hervorragende Leistungserbringung erwarten und erfüllen die Anforderungen der NBank in höchstem Maße. Darüber hinaus verfügt der führende Berater über 10 Jahre einschlägige Berufserfahrung und über Erfahrung in der BaFin regulierten Finanzbranche. Zusätzlich verfügt der führende Berater über mindestens 2 der unter 2.4 der Leistungsbeschreibung genannten Zertifikate. 4 Punkte  Die Erfahrungen/Qualifikationen lassen eine gute Leistungserbringung erwarten und erfüllen die Anforderungen der NBank in hohem Maße. Darüber hinaus verfügt der führende Berater über 10 Jahre einschlägige Berufserfahrung und über Erfahrung in der BaFin regulierten Finanzbranche. 3 Punkte  Die Erfahrungen/Qualifikationen erfüllen die Mindestanforderungen der NBank. Darüber hinaus verfügt der führende Berater über 8 Jahre einschlägige Berufserfahrung und über Erfahrung in der BaFin regulierten Finanzbranche. 2 Punkte  Die Erfahrungen/Qualifikationen erfüllen die Mindestanforderungen der NBank. Darüber hinaus verfügt der führende Berater über 5 Jahre einschlägige Berufserfahrung in der BaFin regulierten Finanzbranche. 1 Punkt  Die Erfahrungen/Qualifikationen erfüllen die Mindestanforderungen der NBank. 0 Punkte = Angebotsausschluss Die Erfahrungen/Qualifikationen lassen eine ungenügende Leistungserbringung erwarten und erfüllen die Anforderungen der NBank nicht.


Winner: NBank
Award value: 211165.5
Number of bids: 3