Public procurement notice: Contract Notice
Published: 2016-09-07
Buyer: Bundesamt für Sicherheit in der Informationstechnik
Country: DE
Region: DEUTSCHLAND
Contract type: Services
Procedure: Open procedure
CPV classification: 72000000
Submission deadline: 2016-10-13
Award criteria: The most economic tender

Technical requirements: Projekt 294 – Studie zur Erhebung von IT- und Cyber-Sicherheitsvorfällen in KRITIS-Unternehmen in Deutschland (CS_InciDEnt).
Im Rahmen des Projektes CS_InciDEnt sind vom Auftragnehmer Informationen über IT- und Cyber-Sicherheits-Vorfälle sowie deren Auswirkungen in KRITIS-Unternehmen in Deutschland in Form einer Umfrage und in Form von Interviews zu sammeln und in einer Studie auszuwerten, zusammenzufassen und zu bewerten. Im Projekt wird für Bezeichnung und Einteilung von Unternehmen bzw. Betreibern in die KRITIS-Sektoren (Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen) sowie Branchen auf die bestehenden Regeln des IT-Sicherheitsgesetzes (IT-SiG) und der begleitenden Verordnung zurückgegriffen. Demnach werden die Sektoren Staat und Verwaltung sowie Medien und Kultur im Rahmen des Projektes nicht beachtet. Die Informationen sind in Form von Interviews und in einer zeitlich befristeten Online-Umfrage zu ermitteln. Die Umfrage-Ergebnisse sollen branchenspezifisch, sektorspezifisch sowie branchen- und sektorenübergreifend ausgewertet werden. Zusätzlich sind die Ergebnisse auf die nationale Ebene in Deutschland zu extrapolieren. Als Ergebnis sollen fundierte und statistisch belastbare Daten zur IT-Sicherheitslage in KRITIS-Unternehmen in Deutschland gewonnen werden. Um eine hohe Akzeptanz und Teilnehmerzahl sicherzustellen, ist das Projekt in enger Abstimmung mit Unternehmen und Verbänden der jeweiligen Sektoren und Branchen durchzuführen. Projektumfang ist die Konzipierung, Vorbereitung und Abstimmung der Interviews und der Umfrage, deren Durchführung und technische Realisierung und Betreuung sowie die anschließende Auswertung, Bewertung und Extrapolation der Ergebnisse in Form einer Studie.
Bei den Ausführungsbedingungen handelt es sich ausschließlich um Ausschlusskriterien, d.h. bereits die Nichterfüllung einer einzigen dieser Bedingungen führt zum Ausscheiden des Angebotes. 1.1) Angebotener Leistungsumfang: Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdeckt? Bitte nur mit „JA“ oder „NEIN“ beantworten 1.2) Projektsprache: Die Projektsprache ist deutsch. Bestätigen Sie, dass während des gesamten Projektes deutschsprachige Ansprechpartner für das Vertragsmanagement sowie die fachliche Abstimmung zur Verfügung stehen und die gesamte Kommunikation und Ergebnisdokumente in deutscher Sprache erfolgen? Bitte nur mit „JA“ oder „NEIN“ beantworten 2.1) Personalprofile: Für eine wirtschaftliche Ausführung des Auftrags ist der Einsatz von qualifiziertem Personal erforderlich. Der entsprechende Nachweis der Qualifikation ist wie folgt zu erbringen: Führen Sie sämtliche Mitarbeiter (MA) des Projektteams sowie deren – nicht notwendigerweise nur fachspezifische – Rollenqualifikationen in Form von Personalprofilen auf. Mindestens die Projektleitung (PL), die stellvertretende Projektleitung (sPL) sowie die/der Beauftragte für das Qualitätsmanagement (BQM), sind namentlich zu benennen. Zeigen Sie auf maximal einer DIN A4-Seite, welche Themenschwerpunkt diese besitzen und in welchen Arbeitspakten diese zum Einsatz kommen sollen. Geben Sie im Profil der Projektleitung auch die Kontaktdaten (E-Mail, Telefon) an. Weisen Sie anhand der Personalprofile die Erfüllung der folgenden Mindestanforderungen nach: a) Erfahrungen als Projektleiter / Projektleiterin: PL: Erfolgreiche Leitung von mindestens einem Projekt im Themenbereich der hier ausgeschriebenen Leistung b) Qualifikation, Fachkenntnisse und Erfahrungen im Hinblick auf Informationssicherheit: TEAM: Umfangreiche Kenntnisse und mehrjährige theoretische und praktische Erfahrungen im Bereich Informationssicherheit von Unternehmen (vorzugsweise Unternehmen im Bereich Kritischer Infrastrukturen) c) Qualifikation, Fachkenntnisse und Erfahrungen auf dem Gebiet der Konzipierung, Durchführung und Auswertung von Umfragen und Interviews: min. 1 MA: Nachweis von mindestens drei erfolgreichen Umfragen mit jeweils min. 200 Umfrageteilnehmen der Management-Ebene von deutschen Unternehmen. Dieser MA muss im Rahmen dieses Projektes maßgeblich bei der Durchführung der Umfragen beteiligt sein. min. 1 MA: Nachweis von mindestens drei erfolgreichen Interview-Serien von deutschen Unternehmen mit jeweils min. 10 Interview-Partnern auf der Management-Ebene von deutschen Unternehmen. Dieser MA muss im Rahmen dieses Projektes maßgeblich bei der Durchführung der Interviews beteiligt sein. min.1 MA: Konzipierung und Auswertung von mindestens drei erfolgreichen Umfragen mit jeweils min. 200 Umfrageteilnehmen. Dieser MA muss im Rahmen dieses Projektes maßgeblich bei der Konzipierung und Auswertung der Umfragen beteiligt sein. min. 1 MA: Nachweis der Qualifikation und Erfahrung in der Konzipierung und Auswertung von Umfragen unter Berücksichtigung des Standes der Wissenschaft im Bereich Statistik. Dieser MA muss im Rahmen dieses Projektes maßgeblich bei der Konzipierung und Auswertung der Umfragen beteiligt sein. Nehmen Sie dabei soweit möglich Bezug auf relevante Referenzprojekte, bei denen die einzelnen MA maßgeblich beteiligt waren und stellen Sie diese kurz dar (Verweis auf bei den Eignungskriterien aufgeführte Referenzen möglich). Ordnen Sie die Projektmitarbeiter den beteiligten Unternehmen (Anbieter / Mitglieder der Bietergemeinschaft / Unterauftragnehmer) zu. Die gesamte Darstellung darf pro Mitarbeiter zwei DIN-A4 Seiten nicht überschreiten. 2.2) Bestätigung Personaleinsatz: Bestätigen Sie, dass Sie die bei 2.1 eingeplanten Projektbeteiligten auch tatsächlich für das Projekt einsetzen? Insbesondere die Weitergabe von Projektteilen an Unterauftragnehmer, die im Angebot nicht aufgeführt sind, ist nicht erlaubt. Muss aus wichtigem Grund doch ein anderer Mitarbeiter als geplant eingesetzt werden oder ein Mitarbeiter ausnahmsweise während der Projektlaufzeit ausgetauscht werden, so legt der Auftragnehmer diesen Wunsch dem Auftraggeber unter Angabe der für das Angebot geforderten Angaben gemäß 2.1 schriftlich zur Genehmigung vor. Das BSI kann innerhalb von zwei Wochen nach Eingang der vollständigen Unterlagen vom Vertrag zurücktreten, wenn der Auftragnehmer keinen gleichwertigen Ersatz für einen nicht verfügbaren Mitarbeiter stellt. Bitte nur mit „JA“ oder „NEIN“ beantworten 3.1) Verschlüsselung der Kommunikation: Bestätigen Sie, dass sowohl Sie, als auch die Partner im Rahmen der Bietergemeinschaft sowie die Unterauftragnehmer im Falle einer Beauftragung bereit sind, die E-Mail-Kommunikation verschlüsselt und signiert nach dem OpenPGP- oder S/MIME-Standard zu senden und zu empfangen? Bitte nur mit „JA“ oder „NEIN“ beantworten.
Bei den Eignungskriterien handelt es sich ausschließlich um Ausschlusskriterien, d.h. bereits die Nichterfüllung eines einzigen dieser Kriterien führt zum Ausscheiden des Angebotes. 1.) Firmenprofil: Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung des anbietenden Unternehmens / von sämtlichen Mitgliedern der Bietergemeinschaft bei. Die Darstellung muss in tabellarischer Form erfolgen und folgende Punkte umfassen: – Rechtsform – Struktur und Organisation – Geschäftsfelder – Firmensitz und Standorte – Anzahl der Mitarbeiter in der für den Auftrag relevanten Sparte – Gesamtumsatz / auftragsbezogener Umsatz in den letzten drei Geschäftsjahren 2.) Unterauftragnehmer: Geben Sie an, ob Sie bei der Erbringung der Leistung mit Unterauftragnehmern zusammenarbeiten. Falls ja, so sind diese Unternehmen inkl. der von Ihnen durchzuführenden Leistungen genau zu benennen (Verweis auf die Arbeitspakete). Fügen Sie dem Angebot dann zudem ein aussagekräftiges Firmenprofil der Unterauftragnehmer bei. Die Weitergabe von Projektteilen an nicht genannte Unterauftragnehmer ist nicht erlaubt. 3.) Ausschluss eines Interessenskonflikts: Bestätigen Sie, dass weder Sie noch Ihre Partner im Fall einer Bietergemeinschaft noch ggf. Unterauftragnehmer Interessen haben, die mit der Ausführung der Leistungen dieses Projekts im Widerspruch stehen und sie nachteilig beeinflussen könnten. Eingeschlossen von dieser Bestätigung sind die bei dem Projekt eingesetzten Mitarbeiter. Ziel ist ein unvoreingenommenes Untersuchungsergebnis, bei dem Neutralität des Untersuchenden nachgewiesen werden kann. Bitte mit „JA“ oder „NEIN“ beantworten. Wurde die Frage mit „Nein“ beantwortet (= es besteht ein Interessenskonflikt), so erläutern Sie den Konflikt und stellen Sie dar, wie Sie ihn auflösen wollen. Das Angebot kann in diesem Fall nur berücksichtigt werden, wenn der beschriebene Lösungsansatz vom BSI als ausreichend beurteilt wird. 4.) Referenzen: Benennen Sie die Beratungs- und Umfrageprojekte im Bereich der „Erhebung, Auswertung und Bewertung der IT-/Cyber-Sicherheit von Unternehmen in Deutschland“, die in den letzten fünf Jahren von Ihrem Unternehmen, den Mitgliedern der Bietergemeinschaft und den Unterauftragnehmern durchgeführt wurden als Nachweis, dass „Erhebung, Auswertung und Bewertung der IT-/Cyber-Sicherheit von Unternehmen in Deutschland“ ein wesentliches Arbeitsfeld der beteiligten Unternehmen ist. Gehen Sie dabei auf folgende Punkte ein: – Auftraggeber inkl. Ansprechpartner – Auftragsgegenstand – Tätigkeit – Umfang – Dauer – Auftragsvolumen Die tabellarische Darstellung der Referenzen darf zwei DIN A4-Seite nicht überschreiten. Beschreiben Sie darüber hinaus mindestens 3 der Referenzprojekte auf jeweils einer DIN A4-Seite. Stellen Sie dar, aufgrund welcher Erfahrung aus dem Referenzprojekt Sie besonders für das vorliegende Projekt geeignet sind. 5.) Technische Ausrüstung: Beschreiben Sie auf maximal zwei DIN A4-Seiten die technische Realisierung der Umfrageplattform und geben Sie mindestens zwei Referenzen an, bei der diese Plattform bereits zum Einsatz kam. Die Referenzen der Umfrage müssen keinen Bezug zur IT-Sicherheit haben. 6.) Kontakte zu Kritischen Infrastrukturen in Deutschland: Listen Sie Ihre etablierten Kontakte zu Unternehmen, Branchen, Sektoren und Verbänden im Bereich Kritischer Infrastrukturen in Deutschland tabellarisch auf. Gehen Sie dabei mit einem Stichwort auf folgende Punkte ein: – Name der Organisation – Zuordnung KRITIS-Sektor – Funktion des Ansprechpartners – Art des Kontaktes / der Geschäftsbeziehung Es müssen mindestens 50 Kontakte zu unterschiedlichen Organisationen aus mindestens drei unterschiedlichen KRITIS-Sektoren nachgewiesen werden. 7.) Qualitätsmanagement: Bitte stellen Sie das Qualitätsmanagement Ihres Unternehmens dar. Machen Sie bitte auch Angaben zu Zertifizierungen, die Ihr Unternehmen erworben hat. Stellen Sie auf maximal einer DIN A4-Seite dar, welche Maßnahmen des Qualitätsmanagements bei der Durchführung des Projekts zum Einsatz kommen werden. Mindestvoraussetzung: Es ist ein Qualitätsmanagement etabliert und dokumentiert und kann nachgewiesen werden. Maßnahmen des Qualitätsmanagements werden im Projekt zum Einsatz kommen.
Bei diesem Vergabeverfahren handelt es sich um ein ausschließlich elektronisches Verfahren. Die gesamte Kommunikation erfolgt nur über die E-Vergabe-Plattform des Bundes (www.evergabe-online.de). Weitere Informationen zum Zugang zur E-Vergabe-Plattform erhalten Sie unter evergabe-online.info.
Unternehmen haben ein Anspruch auf Einhaltung der bieter- und bewerberschützenden Bestimmungen über das Vergabeverfahren gegenüber dem öffentlichen Auftraggeber. Sieht sich ein am Auftrag interessiertes Unternehmen durch Nichtbeachtung von Vergabevorschriften in seinen Rechten verletzt, ist der Verstoß innerhalb einer Frist von 10 Kalendertagen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu rügen (§ 160 Abs. 3 Nr. 1 Gestz gegen Wettbewerbsbeschränkungen (GWB)). Verstöße, die aufgrund der Bekanntmachung oder der Vergabeunterlagen erkennbar sind, müssen spätestens bis zu der in der Bekanntmachung genannten Frist zur Angebotsabgabe oder Bewerbung gegenüber dem BSI geltend gemacht werden (§ 160 Abs. 3 Nr. 2-3 GWB). Teilt das BSI dem Unternehmen mit, seiner Rüge nicht abhelfen zu wollen, so besteht die Möglichkeit innerhalb von 15 Tagen nach Eingang der Mitteilung einen Antrag auf Nachprüfung bei der Vergabekammer zu stellen. Bieter, deren Angebote für den Zuschlag nicht berücksichtigt werden sollen, werden vor dem Zuschlag gemäß § 134 GWB darüber informiert. Ein Vertrag darf erst 15 Kalendertage nach Absendung dieser Information durch das BSI geschlossen werden; bei Übermittlung per Fax oder auf elektronischem Weg beträgt diese Frist 10 Kalendertage. Sie beginnt am Tag nach Absendung der Information durch das BSI.

Eligibility requirements: Bei den Eignungskriterien handelt es sich ausschließlich um Ausschlusskriterien, d.h. bereits die Nichterfüllung eines einzigen dieser Kriterien führt zum Ausscheiden des Angebotes. 1.) Firmenprofil: Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung des anbietenden Unternehmens / von sämtlichen Mitgliedern der Bietergemeinschaft bei. Die Darstellung muss in tabellarischer Form erfolgen und folgende Punkte umfassen: – Rechtsform – Struktur und Organisation – Geschäftsfelder – Firmensitz und Standorte – Anzahl der Mitarbeiter in der für den Auftrag relevanten Sparte – Gesamtumsatz / auftragsbezogener Umsatz in den letzten drei Geschäftsjahren 2.) Unterauftragnehmer: Geben Sie an, ob Sie bei der Erbringung der Leistung mit Unterauftragnehmern zusammenarbeiten. Falls ja, so sind diese Unternehmen inkl. der von Ihnen durchzuführenden Leistungen genau zu benennen (Verweis auf die Arbeitspakete). Fügen Sie dem Angebot dann zudem ein aussagekräftiges Firmenprofil der Unterauftragnehmer bei. Die Weitergabe von Projektteilen an nicht genannte Unterauftragnehmer ist nicht erlaubt. 3.) Ausschluss eines Interessenskonflikts: Bestätigen Sie, dass weder Sie noch Ihre Partner im Fall einer Bietergemeinschaft noch ggf. Unterauftragnehmer Interessen haben, die mit der Ausführung der Leistungen dieses Projekts im Widerspruch stehen und sie nachteilig beeinflussen könnten. Eingeschlossen von dieser Bestätigung sind die bei dem Projekt eingesetzten Mitarbeiter. Ziel ist ein unvoreingenommenes Untersuchungsergebnis, bei dem Neutralität des Untersuchenden nachgewiesen werden kann. Bitte mit „JA“ oder „NEIN“ beantworten. Wurde die Frage mit „Nein“ beantwortet (= es besteht ein Interessenskonflikt), so erläutern Sie den Konflikt und stellen Sie dar, wie Sie ihn auflösen wollen. Das Angebot kann in diesem Fall nur berücksichtigt werden, wenn der beschriebene Lösungsansatz vom BSI als ausreichend beurteilt wird. 4.) Referenzen: Benennen Sie die Beratungs- und Umfrageprojekte im Bereich der „Erhebung, Auswertung und Bewertung der IT-/Cyber-Sicherheit von Unternehmen in Deutschland“, die in den letzten fünf Jahren von Ihrem Unternehmen, den Mitgliedern der Bietergemeinschaft und den Unterauftragnehmern durchgeführt wurden als Nachweis, dass „Erhebung, Auswertung und Bewertung der IT-/Cyber-Sicherheit von Unternehmen in Deutschland“ ein wesentliches Arbeitsfeld der beteiligten Unternehmen ist. Gehen Sie dabei auf folgende Punkte ein: – Auftraggeber inkl. Ansprechpartner – Auftragsgegenstand – Tätigkeit – Umfang – Dauer – Auftragsvolumen Die tabellarische Darstellung der Referenzen darf zwei DIN A4-Seite nicht überschreiten. Beschreiben Sie darüber hinaus mindestens 3 der Referenzprojekte auf jeweils einer DIN A4-Seite. Stellen Sie dar, aufgrund welcher Erfahrung aus dem Referenzprojekt Sie besonders für das vorliegende Projekt geeignet sind. 5.) Technische Ausrüstung: Beschreiben Sie auf maximal zwei DIN A4-Seiten die technische Realisierung der Umfrageplattform und geben Sie mindestens zwei Referenzen an, bei der diese Plattform bereits zum Einsatz kam. Die Referenzen der Umfrage müssen keinen Bezug zur IT-Sicherheit haben. 6.) Kontakte zu Kritischen Infrastrukturen in Deutschland: Listen Sie Ihre etablierten Kontakte zu Unternehmen, Branchen, Sektoren und Verbänden im Bereich Kritischer Infrastrukturen in Deutschland tabellarisch auf. Gehen Sie dabei mit einem Stichwort auf folgende Punkte ein: – Name der Organisation – Zuordnung KRITIS-Sektor – Funktion des Ansprechpartners – Art des Kontaktes / der Geschäftsbeziehung Es müssen mindestens 50 Kontakte zu unterschiedlichen Organisationen aus mindestens drei unterschiedlichen KRITIS-Sektoren nachgewiesen werden. 7.) Qualitätsmanagement: Bitte stellen Sie das Qualitätsmanagement Ihres Unternehmens dar. Machen Sie bitte auch Angaben zu Zertifizierungen, die Ihr Unternehmen erworben hat. Stellen Sie auf maximal einer DIN A4-Seite dar, welche Maßnahmen des Qualitätsmanagements bei der Durchführung des Projekts zum Einsatz kommen werden. Mindestvoraussetzung: Es ist ein Qualitätsmanagement etabliert und dokumentiert und kann nachgewiesen werden. Maßnahmen des Qualitätsmanagements werden im Projekt zum Einsatz kommen.