Public procurement notice: Contract Notice
Published: 2021-07-23
Buyer: Land Hessen, vertreten durch die Hessische Zentrale für Datenverarbeitung
Country: DE
Contract type: Services
Procedure: Open procedure
CPV classification: 72000000
Estimated value: 10981600 EUR
Submission deadline: 2021-08-20
Award criteria: Mixed

Technical requirements: Υπηρεσίες τεχνολογίας των πληροφοριών: παροχή συμβουλών, ανάπτυξη λογισμικού, Διαδίκτυο και υποστήριξη
Leistungsort für die zu erbringenden Leistungen sind die derzeitigen und zukünftigen Standorte der HZD in Wiesbaden, Mainz und Hünfeld, sowie der Standort der föderalen IT-Kooperation (FITKO) in Frankfurt am Main
Das vom Auftragnehmer zur Unterstützung des SecurityTest Service der HZD eingesetzte Fachpersonal ist für die operative Durchführung von Penetrationstests und Schwachstellenscans vorgesehen. Dies erfolgt eingebettet in den weitestgehend formalisierten Pentest-Prozess der HZD.
Voraussetzung für jeden Pentest/Schwachstellenscan stellt das Testkonzept dar. Dieses ist u. a. Grundlage für verschiedene Meilensteine des Pentest-Prozesses. Die eingesetzten Pentester arbeiten nach den Vorgaben des Pentest-Konzeptes, das dezidiert z. B. die zu testenden Systeme eines IT-Verfahrens, sowie die Art der Tests (z. B. nach OWASP, CIS, …) beinhaltet.
Die Tester bekommen die Testkonzepte im Vorfeld der Tests von Pentest-Projektleitern des SecurityTest Service zur Verfügung gestellt.
Ebenfalls im Vorfeld der Tests nehmen die Tester an einer Kickoff-Veranstaltung teil, in der zusammen mit dem Betriebs- und Verfahrens-Personal des zu testenden IT-Verfahrens die üblichen technischen und organisatorischen Fragen zu den Tests geklärt werden. Hierzu erstellt der Tester eine PowerPoint-Präsentation, in der das Test-Setup und die -Planung zu den jeweiligen Arbeitspaketen (AP), Tätigkeiten innerhalb der AP, usw. von ihm detailliert dargelegt werden.
Im weiteren Verlauf des Pentest-Projekts organisiert der Pentester selbständig und eigenverantwortlich das Testumfeld bzgl. Test-Planung und -Werkzeuge (Test-Hardware und -Software). Sind die Vorarbeiten zu den Tests erledigt, werden zum vereinbarten Zeitfenster die Tests durchgeführt. Die Kommunikation mit dem Betriebspersonal und der Projektleitung ist eng während der Testphase. Kritische Schwachstellen-Funde werden unmittelbar an Projektleitung, Betriebsleitung und die IT-Sicherheit der HZD weiterkommuniziert. Die Testergebnisse sind sorgfältig zu dokumentieren. Die Dokumentation der Ergebnisse und die nachfolgende Berichterstellung erfolgt anhand der Dokumentationsrichtlinie für Penetrationstest-Ergebnisse der HZD. Nach der Richtlinie wird ein umfangreicher Bericht mit einer Bewertung der gefundenen Schwachstellen nach CVSS sowie eine Schwachstellen-Tabelle als Zusammenfassung der Ergebnisse erstellt.
Im Nachgang der Testphase erstellt der Tester eine Powerpoint-Präsentation, in der die Ergebnisse strukturiert aufbereitet wiedergegeben werden. Diese stellt er auf einem Abschluss-Workshop vor und geht auf Fragen der geladenen Gäste ein.
Zusammengefasst ergeben sich hiermit u.a. folgende hauptsächlichen Tätigkeiten für das eingesetzte Fachpersonal:
— Durchführung von Pentests, Audits und Schwachstellenscans auf Grundlage einschlägiger Testfall-Kataloge wie z. B. den aktuellen OWASP Testing-Guide und Schwachstellen-Enumerationen, wie z. B. den Mitre CIS-Listen,
— Erstellen von Dokumentationen und Ergebnisberichten auf Grundlage der Dokumentationsrichtlinie für Pentests in der HZD,
— Planung und Durchführung von gezielten Schulungsmaßnahmen zu Penetrationstest-Themen und Penetrationstest-Werkzeugen.
Alle im Rahmenvertrag eingesetzten Tester müssen die Deutsche Sprache in Wort und Schrift sehr gut und verhandlungssicher beherrschen. Dies ist eine unabdingbare Voraussetzung für die Erfüllung der geforderten Leistungen.
Vom Auftragnehmer zur Auftragsausführung eingesetztes Personal, das nicht deutsche Muttersprachler ist, oder nicht in Deutschland einen Hochschul- oder vergleichbaren Abschluss erworben hat, muss die Kenntnis der deutschen Sprache mindestens mit einem C1-Sprachdiplom nachweisen.
Wenn der vom Auftragnehmer eingesetzte Tester ein OSCP-Zertifikat vorweisen kann, hat er damit alle für die Aufgabenstellung notwendigen Kompetenzen schon nachgewiesen.

Eligibility requirements: Im Hinblick auf die Befähigung und Erlaubnis zur Berufsausübung des Bieters wird im Los 3 Folgendes verlangt: — Erlaubnis zur Arbeitnehmerüberlassung gem. § 1 AÜG (in Kopie).

Award value: 10981600