Public procurement notice: Contract Notice
Published: 2016-02-26
Buyer: Bundesamt für Sicherheit in der Informationstechnik
Country: DE
Region: DEUTSCHLAND
Contract type: Services
Procedure: Open procedure
CPV classification: 72000000
Submission deadline: 2016-04-12
Award criteria: The most economic tender

Technical requirements: Projekt 242 – „Erstellung einer Technischen Richtlinie und Entwicklung eines Testtools zur Zertifikatsverifikation“.
Auftragsgegenstand sind Vorbereitungsarbeiten für die Erstellung bzw. Erweiterung von Technischen Richtlinien zum Thema Zertifikatsverifikation sowie die Entwicklung einer Testspezifikation und eines Testtools zur Überprüfung der Prozesse zur Zertifikatsverifikation.
Die Vorbereitungsarbeiten sollen dazu dienen, (anwendungsbezogene) Empfehlungen und Konkretisierungen in die entsprechenden Technischen Richtlinien des BSI (etwa als Erweiterungen der TR-02102 bzw. TR-03116) auf der Basis des X.509-Standards bzw. des X.509-Profils der IETF (RFC 5280) aufnehmen zu können bzw. Erweiterungen zu erstellen. Der Auftragnehmer führt eine Analyse von RFC 5280 bzw. des X.509-Standards sowie eine Untersuchung der Zertifikatsverifikation in ausgewählten (Krypto-)Bibliotheken durch und erstellt aus den Ergebnissen Textbausteine, die in den TRs verwendet werden können.
Die Testspezifikation soll zur Definition eines systematischen Testverfahrens, mit dem die in den Technischen Richtlinien enthaltenen Empfehlungen überprüft werden können, dienen.
Das vom Auftragnehmer zu entwickelnde Testtool soll dazu dienen, die Durchführung der Tests für Kryptobibliotheken bzw. Produkte, die Routinen zur Zertifikatsverifikation enthalten, in der Praxis zu ermöglichen. Dafür soll es nach Vorgaben speziell präparierte Zertifikate erzeugen können, um die Verifikationsfunktionen zu testen. Die Implementierung wird in vier Schritte unterteilt:
2.) Test der Zertifikatsverifikation in (Krypto-)Bibliotheken bzw. Open Source Produkten mit der Basiskomponente.
3.) Untersuchung der Realisierbarkeit von Erweiterungen der Basiskomponente für verschiedene Internetanwendungen von X.509-Zertifikaten.
Der vierte Schritt ist ein optionales Arbeitspaket. Die Beauftragung dieses Arbeitspakets hängt von den Ergebnissen der Untersuchungen zur Realisierbarkeit ab (Schritt 3).
Nach Abschluss der Implementierung stellt der Auftragnehmer über einen Zeitraum von 2 Jahren ein Kontingent über 60 Personentage für Service und Wartung bereit.
Mit (A) gekennzeichnete Kriterien sind Ausschlusskriterien, die entweder mit „ja“ oder „nein“ beantwortet werden müssen. Wird hier eine Frage mit „Nein“ beantwortet, führt dies zum Ausschluss des Angebots.
Mit (B) gekennzeichnete Kriterien sind Bewertungskriterien. Für diese werden vom BSI Punkte von 0-10 vergeben.
Die Eignung eines Bieters ergibt sich aus der Summe der erzielten Punkte. Diese Summe muss mindestens 65 % der maximal erreichbaren Punkte betragen, damit die Eignung festgestellt wird. Die Eignung ergibt sich also ab einem Punktwert von 0,65 * 60 = 39. Zudem darf für die Feststellung der Eignung keines der Bewertungskriterien mit weniger als 4 Punkten bewertet werden.
1.1 (A) Reichen Sie das ausgefüllte Formular „Eigenerklärung zur Zuverlässigkeit“ mit Ihrem Angebot ein.Das Formular ist auch von allen Unterauftragnehmern bzw. Partnern im Rahmen einer Bietergemeinschaft mit dem Angebot einzureichen. Die einfache elektronische Signatur (eingescanntes Dokument mit Unterschrift UND Firmenstempel) ist ausreichend.
2.1 (A) Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdeckt.
2.3 (B) Führen Sie sämtliche Projektbeteiligten sowie deren Rollenqualifikationen in Form von anonymisierten Personalprofilen auf.Nennen Sie in jedem der Personalprofile Referenzprojekte mit Bezug zu dem vorliegenden Projekt. Ordnen Sie die Projektbeteiligten den Arbeitspaketen oder Teilaufgaben aus den Arbeitspaketen zu. Benennen Sie Projektleitung und stellvertretende Projektleitung.

Eligibility requirements: Bieter für dieses Projekt beantworten bitte den folgenden Kriterienkatalog mit eigenen Worten. Mit (A) gekennzeichnete Kriterien sind Ausschlusskriterien, die entweder mit „ja“ oder „nein“ beantwortet werden müssen. Wird hier eine Frage mit „Nein“ beantwortet, führt dies zum Ausschluss des Angebots. Mit (B) gekennzeichnete Kriterien sind Bewertungskriterien. Für diese werden vom BSI Punkte von 0-10 vergeben. Mit (I) gekennzeichnete Kriterien sind Informationskriterien. Diese werden nicht bewertet. Die Eignung eines Bieters ergibt sich aus der Summe der erzielten Punkte. Diese Summe muss mindestens 65 % der maximal erreichbaren Punkte betragen, damit die Eignung festgestellt wird. Die Eignung ergibt sich also ab einem Punktwert von 0,65 * 60 = 39. Zudem darf für die Feststellung der Eignung keines der Bewertungskriterien mit weniger als 4 Punkten bewertet werden. 1.1 (A) Reichen Sie das ausgefüllte Formular „Eigenerklärung zur Zuverlässigkeit“ mit Ihrem Angebot ein.Das Formular ist auch von allen Unterauftragnehmern bzw. Partnern im Rahmen einer Bietergemeinschaft mit dem Angebot einzureichen. Die einfache elektronische Signatur (eingescanntes Dokument mit Unterschrift UND Firmenstempel) ist ausreichend. 2.1 (A) Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdeckt. 2.2 (A) Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung Ihrer Organisationbei. 2.3 (B) Führen Sie sämtliche Projektbeteiligten sowie deren Rollenqualifikationen in Form von anonymisierten Personalprofilen auf.Nennen Sie in jedem der Personalprofile Referenzprojekte mit Bezug zu dem vorliegenden Projekt. Ordnen Sie die Projektbeteiligten den Arbeitspaketen oder Teilaufgaben aus den Arbeitspaketen zu. Benennen Sie Projektleitung und stellvertretende Projektleitung. 0-3 Punkte: Es werden nicht alle Projektbeteiligten inkl. Rollen benannt oder es werden nicht mehr als zweiaussagekräftige und im Projektkontext relevante Referenzprojekte genannt. 4-7 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden mindestens drei aussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. 8-10 Punkte: Es werden sämtliche Projektbeteiligten inkl. Rollen benannt und es werden mindestens vieraussagekräftige und im Projektkontext relevante Referenzprojekte dargestellt. 2.4 (A) Bestätigen Sie, dass Sie die genannten Projektbeteiligten auch tatsächlich für das Projekt einsetzen. Insbesondereistdie Weitergabe von Projektteilen an Unterauftragnehmer, die im Angebot nicht als Projektmitarbeiter aufgeführt sind, nicht erlaubt. 2.5 (I) Fügen Sie Kontaktinformationenim Zusammenhang mit dem Angebot an. Dazu gehören insbesondere Namen, E-Mail-Adressen und telefonische Erreichbarkeiten der mit der Projektleitung beauftragten Mitarbeiter. 3.1 (B) Erläutern Sie anhand der Personalprofile die Kenntnisse und Erfahrungen der Projektbeteiligten im Bereich der IT-Sicherheit. 0-3 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. 4-7 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt oder praktische Erfahrungen gemacht wurden. 8-10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. als Dienstleister etc.). 3.2 (B) Erläutern Sie anhand der Personalprofile die Kenntnisse und Erfahrungen der Projektbeteiligten zu Zertifikaten, insbesondere X.509v3-Zertifikaten, Zertifikatsvalidierung sowie Public Key Infrastructures (PKI). 0-3 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. 4-7 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass eigene Publikationen erstellt oder praktische Erfahrungen gemacht wurden. 8-10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Erstellung eigener Publikationen in diesem Kontext und/oder praktische Erfahrungen (z. B. als Dienstleister etc.). 3.3 (B) Erläutern Sie anhand der Personalprofile die Kenntnisse und Erfahrungen der Projektbeteiligten im Bereich OpenSource-Software. 0-3 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. 4-7 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass nennenswerte eigene praktische Projekterfahrungen gemacht wurden. 8-10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Mitwirkung an mindestens zwei durchgeführten OpenSource-Projekten. 3.4 (B) Erläutern Sie anhand der Personalprofile die Kenntnisse und Erfahrungen der Projektbeteiligten auf dem Gebiet der Softwareentwicklungund Programmierung. 0-3 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. 4-7 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne dass nennenswerte eigene praktische Projekterfahrungen gemacht wurden. 8-10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch die Mitwirkung an mindestens zwei durchgeführten Implementierungsprojekten. 3.5 (B) Erläutern Sie anhand der Personalprofile die Kenntnisse und Erfahrungen der Projektbeteiligten bei der Durchführung von Black- und Whiteboxtests im Rahmen der Softwareentwicklung. 0-3 Punkte: Es liegt keine fachliche Qualifikation bzgl. der genannten Aspekte vor. 4-7 Punkte: Die fachliche Qualifikation ergibt sich aus der Befassung mit der Thematik in der Theorie, ohne nennenswerte eigene praktische Projekterfahrungen gemacht wurden. 8-10 Punkte: Die fachliche Qualifikation ergibt sich zusätzlich zur theoretischen Befassung durch Mitwirkung an mindestens zwei durchgeführten Projekten, bei denen Black- bzw. Whiteboxtests durchgeführt wurden. 3.6 Benennen Sie adäquate Alternativen bei fehlenden Kompetenzen.