Public procurement notice: Contract Notice
Published: 2023-04-28
Buyer: Land Hessen, vertreten durch die Hessische Zentrale für Datenverarbeitung
Country: DE
Contract type: Supplies
Procedure: Open procedure
CPV classification: 48000000 | 72000000
Estimated value: 278400 EUR
Submission deadline: 2023-05-26
Award criteria: The most economic tender

Technical requirements: Im Zuge der Modernisierung und Digitalisierung der Landesverwaltung soll im Bereich des Landesintranets (Mitarbeiterportal "MAP") ein ausbau- und mandantenfähiger Chatbot entwickelt und bereitgestellt werden. Ein Einsatz der Software auch außerhalb des MAP in anderen Umgebungen oder auch extern (im Internet) ist ebenfalls möglich.
Erforderlich ist eine Software, die entweder vollständig on premises oder in der Cloud angeboten wird.
- Schnittstellen: LDAP, OpenText Web Site Management Server 16.7 und OpenText Web Site Managament Delivery Server 16.7, Drupal
Die Grundsätze des Datenschutzes nach Art. 5 Abs. 1 DSGVO sind vom Auftragnehmer einzuhalten. Der Auftragnehmer ist verpflichtet, den Auftraggeber bei der Erfüllung seiner Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO zu unterstützen.
Der Auftragnehmer verpflichtet sich, die Auftragsverarbeitung nach Artikel 28 DSGVO durchzuführen (für den Hauptservice und alle darüberhinausgehenden Vorleis-terservices). Hierbei gelten bei der Einbindung etwaiger Unterauftragnehmer Art. 28 Abs. 2 und Art. 28 Abs. 4 DSGVO.
Für den Geltungsbereich der bereitgestellten Cloud-Ressourcen muss ein formales Datenschutzkonzept existieren, welches die gesetzlichen Voraussetzungen (DSGVO) erfüllt. Dieses Datenschutzkonzept muss auf Verlangen dem Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) vorgelegt und dem Auftraggeber mit der Angebotsabgabe zur Verfügung gestellt werden.
Der Service, Datenspeicherungen und alle damit verbundenen Verarbeitungszwecke, wie z.B. Abrechnung, Support, Administration dürfen nur aus Rechenzentren und von Orten aus erbracht werden, die sich innerhalb des Europäischen Wirtschaftsraums (EWR) bzw. in Drittstaaten befinden, die gemäß einem Angemessenheitsbeschluss der Europäischen Kommission ein Datenschutzniveau entsprechend der DSGVO gewährleisten. Der Sitz des Mutterkonzerns des Auftragnehmers, Unterauftragnehmers usw. muss sich ebenfalls an solchen Orten befinden.
Es wird ein Informationssicherheitskonzept nach dem BSI Standard 200-2 Standard-Absicherung mit integrierter Risikoanalyse nach BSI Standard 200-3 vorausgesetzt. Alternativ kann ein abweichendes Informationssicherheitskonzept nach einem vergleichbaren Standard vorhanden sein. Aus diesem muss eindeutig hervorgehen, welche organisatorischen, technischen und infrastrukturellen Bereiche Gegenstand des Sicherheitskonzeptes - speziell der Cloud-Infrastruktur - sind.
Es müssen regelmäßige Sicherheits- und Datenschutzaudits durch unabhängige Dritte (bspw. TÜV, BSI) stattfinden. Diese Audits müssen anhand eines passenden Testates (Cloud Computing Compliance Criteria Catalogue (C5)) nachgewiesen werden.
Bei allen Leistungsmerkmalen bei denen eine Verschlüsselung gefordert ist, muss die aktuelle technische Richtlinie "BSI TR-02102 Kryptographische Verfahren: Empfeh-lungen und Schlüssellängen" Anwendung finden.
Alle Verbindungen zwischen der Infrastruktur und den Clients beim Auftraggeber müssen verschlüsselt sein. Hierbei sind ausschließlich verschlüsselte Verbindungen (TLS Versionen und Cyphersuites), die dem aktuellen Stand der Technik und den Vorgaben des BSI entsprechen, zu verwenden.
Alle eingesetzten Webservices und Webanwendungen, die von außen erreichbar sind, müssen mit Zertifikaten ausgestattet sein, die mindestens ein A (+) Ranking bei ssllabs.com vorweisen.
Alle Verbindungen innerhalb der Cloud-Infrastruktur müssen verschlüsselt sein. Hierbei sind ausschließlich verschlüsselte Verbindungen (TLS Versionen und Cyphersuites), die dem aktuellen Stand der Technik und den Vorgaben des BSI entsprechen, zu verwenden.
Alle Personen- und sicherheitstechnischen Metadaten auf der Plattform müssen verschlüsselt nach dem aktuellen Stand der Technik und den Vorgaben des BSI abgelegt sein. Der Zugriff auf diese Daten muss protokolliert werden und diese Protokollierung bei Bedarf dem Auftraggeber zur Verfügung gestellt werden. Ein Zugriff auf diese Daten durch den Auftragnehmer darf erst nach Freigabe des Auftraggebers erfolgen. Ausgenommen sind hier proaktive Zugriffe, um einen Ausfall der Umgebung zu verhindern. In diesem Fall kann die Information auch nachträglich erfolgen.
Sollten KI basierte Analysetools zum Einsatz kommen, die bspw. auf Grundlage bestimmter Text- oder Sprachkommandos Funktionen auslösen können, müssen diese abgeschaltet bzw. durch den Auftraggeber abschaltbar sein.


Award value: 278400