Public procurement notice: Contract Notice
Published: 2025-11-11
Buyer: Fortsetzung des Projekts zum Aufbau eines Informationssicherheitsmanagementsystems (ISMS)
Country: DE
Region: DEA22
Contract type: Services
Procedure: Open procedure
CPV classification: 79000000
Submission deadline: 2025-12-11

Technical requirements: Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung oder in den Vergabeunterlagen erkennbar sind, sind spätestens bis zum Ablauf der Frist der Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber zu rügen. Im Übrigen sind Verstöße gegen Vergabevorschriften innerhalb
einer Frist von 10 Kalendertagen nach Kenntnis gegenüber dem Auftraggeber zu rügen. Ein Nachprüfungsantrag ist innerhalb von 15 Kalendertagen nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen,
bei der zuständigen Vergabekammer zu stellen (§ 160 Gesetz gegen Wettbewerbsbeschränkungen (GWB)). Die o. a. Fristen gelten nicht, wenn der Auftraggeber gemäß § 135 Absatz 1 Nr. 2 GWB den Auftrag ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union vergeben hat, ohne dass dies aufgrund Gesetzes gestattet ist. Setzt sich ein Auftraggeber über die Unwirksamkeit eines geschlossenen Vertrages hinweg, indem er die Informations und Wartepflicht missachtet (§ 134 GWB) oder ohne vorherige Veröffentlichung einer
Bekanntmachung im Amtsblatt der Europäischen Union vergeben hat, ohne dass dies aufgrund Gesetzes gestattet ist, kann die Unwirksamkeit nur festgestellt werden, wenn sie im Nachprüfungsverfahren innerhalb von 30 Kalendertagen nach der Information der betroffenen Bieter und Bewerber durch den öffentlichen Auftraggeber über den Abschluss des
Vertrages, jedoch nicht später als 6 Monate nach Vertragsschluss geltend gemacht worden ist. Hat der Auftraggeber die Auftragsvergabe im Amtsblatt der Europäischen Union bekannt gemacht, endet die Frist 30 Kalendertage nach Veröffentlichung der Auftragsvergabe im Amtsblatt der Europäischen Union (§135 GWB).
Fortsetzung des Projekts zum Aufbau eines Informationssicherheitssystem
Referenz über die Erbringung von vergleichbaren Leistungen (Mit dem Angebot; Mittels Eigenerklärung): - Referenzen über die Implementierung eines Managementsystems nach ISO 27001
- Referenzen im Bereich Forschung/Entwicklung
Berufshaftpflichtversicherung (Mit dem Angebot; Mittels Eigenerklärung):
Qualifikation des Personals (Mit dem Angebot; Mittels Eigenerklärung): - Personalkapazitäten/Kompetenzen in IT-Forensik
- Personalkapazitäten/Kompetenzen in Penetration Testing (Pentest)
- zertifiziertes Prüfpersonal
- Qualifikationen zur ISO 27701 (Datenschutzerweiterung der ISO 27001) 
- Zertifizierte ISO 27001 Lead-Auditoren

Eligibility requirements: Referenz über die Erbringung von vergleichbaren Leistungen (Mit dem Angebot; Mittels Eigenerklärung): - Referenzen über die Implementierung eines Managementsystems nach ISO 27001
- Referenzen im Bereich Forschung/Entwicklung
Berufshaftpflichtversicherung (Mit dem Angebot; Mittels Eigenerklärung):
Qualifikation des Personals (Mit dem Angebot; Mittels Eigenerklärung): - Personalkapazitäten/Kompetenzen in IT-Forensik
- Personalkapazitäten/Kompetenzen in Penetration Testing (Pentest)
- zertifiziertes Prüfpersonal
- Qualifikationen zur ISO 27701 (Datenschutzerweiterung der ISO 27001) 
- Zertifizierte ISO 27001 Lead-Auditoren
Der öffentliche Auftraggeber kann den Bewerber oder Bieter unter Einhaltung der Grundsätze der Transparenz und der Gleichbehandlung auffordern, fehlende, unvollständige oder fehlerhafte unternehmensbezogene Unterlagen, insbesondere Eigenerklärungen, Angaben, Bescheinigungen oder sonstige Nachweise, nachzureichen, zu vervollständigen oder zu korrigieren, oder fehlende oder unvollständige leistungsbezogene Unterlagen nachzureichen oder zu vervollständigen. Der öffentliche Auftraggeber ist berechtigt, in der Auftragsbekanntmachung oder den Vergabeunterlagen festzulegen, dass er keine Unterlagen nachfordern wird. Die Nachforderung von leistungsbezogenen Unterlagen, die die Wirtschaftlichkeitsbewertung der Angebote anhand der Zuschlagskriterien betreffen, ist ausgeschlossen. Dies gilt nicht für Preisangaben, wenn es sich um unwesentliche Einzelpositionen handelt, deren Einzelpreise den Gesamtpreis nicht verändern oder die Wertungsreihenfolge und den Wettbewerb nicht beeinträchtigen. Die Unterlagen sind vom Bewerber oder Bieter nach Aufforderung durch den öffentlichen Auftraggeber innerhalb einer von diesem festzulegenden angemessenen, nach dem Kalender bestimmten Frist vorzulegen.
Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung oder in den Vergabeunterlagen erkennbar sind, sind spätestens bis zum Ablauf der Frist der Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber zu rügen. Im Übrigen sind Verstöße gegen Vergabevorschriften innerhalb
einer Frist von 10 Kalendertagen nach Kenntnis gegenüber dem Auftraggeber zu rügen. Ein Nachprüfungsantrag ist innerhalb von 15 Kalendertagen nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen,
bei der zuständigen Vergabekammer zu stellen (§ 160 Gesetz gegen Wettbewerbsbeschränkungen (GWB)). Die o. a. Fristen gelten nicht, wenn der Auftraggeber gemäß § 135 Absatz 1 Nr. 2 GWB den Auftrag ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union vergeben hat, ohne dass dies aufgrund Gesetzes gestattet ist. Setzt sich ein Auftraggeber über die Unwirksamkeit eines geschlossenen Vertrages hinweg, indem er die Informations und Wartepflicht missachtet (§ 134 GWB) oder ohne vorherige Veröffentlichung einer
Bekanntmachung im Amtsblatt der Europäischen Union vergeben hat, ohne dass dies aufgrund Gesetzes gestattet ist, kann die Unwirksamkeit nur festgestellt werden, wenn sie im Nachprüfungsverfahren innerhalb von 30 Kalendertagen nach der Information der betroffenen Bieter und Bewerber durch den öffentlichen Auftraggeber über den Abschluss des
Vertrages, jedoch nicht später als 6 Monate nach Vertragsschluss geltend gemacht worden ist. Hat der Auftraggeber die Auftragsvergabe im Amtsblatt der Europäischen Union bekannt gemacht, endet die Frist 30 Kalendertage nach Veröffentlichung der Auftragsvergabe im Amtsblatt der Europäischen Union (§135 GWB).
Das IHP hat in den vergangenen zwei Jahren mit externer fachlicher Unterstützung ein Informationssicherheitsmanagementsystem (ISMS) gemäß den Anforderungen der ISO 27001 aufgebaut. Dieses System bildet die Grundlage für den systematischen Schutz unserer Informationswerte und unterstützt die Einhaltung international anerkannter Sicherheitsstandards.

Das IHP strebt an, das bestehende Informationssicherheitsmanagementsystem (ISMS) nach ISO/IEC 27001:2022 weiterzuentwickeln. Ziel ist die Operationalisierung und Nachverfolgung von Risikobehandlungsmaßnahmen sowie die Optimierung bestehender Prozesse und Dokumentationen im Rahmen des ISMS. Darüber hinaus sollen Maßnahmen zur kontinuierlichen Verbesserung implementiert werden. 

Die angestrebten Unterstützungsleistungen umfassen die Stellung eines externen Informationssicherheitsbeauftragten (ISB), Beratung, Umsetzungsempfehlungen und Begleitung bei der Integration in den laufenden Betrieb.