Public procurement notice: Contract Notice
Published: 2025-04-16
Buyer: Unterstützung IT-Security
Country: DE
Region: DEA22
Contract type: Services
Procedure: Open procedure
CPV classification: 79417000
Submission deadline: 2025-04-17
Award criteria: price

Technical requirements: Nachprüfungsstelle Vergabekammer Niedersachsen beim Nds. Ministerium für Wirtschaft, Verkehr, Bauen und Digitalisierung  Auf der Hude 2 21339 Lüneburg Fax: 04131/15-2943 E-mail: vergabekammer@mw.niedersachsen.de  Der Antrag ist unzulässig, soweit  1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt, 2.Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 3.Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 4.mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.  Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt. (§ 160 Abs. 3 S. 1 Nr. 4 GWB).
Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat im Januar/Februar 2024 eine Prüfung gem. § 44 KWG bei der NBank durchgeführt. Prüfungsgegenstand waren insbesondere die Bank-IT sowie die Funktionen der zweiten Verteidigungslinie (z.B. Business Continuity Management, Informationssicherheit und das Auslage-rungsmanagement). Die NBank hat zur Abarbeitung der Prüfungsfeststellungen ein Programm mit einer Laufzeit bis Ende 2026 aufgesetzt. Dieses integriert neben der Abarbeitung der Fest-stellungen auch die Umsetzung der DORA. Neben dem Programm kommt eine wesentliche Aufgabe der Umsetzung dabei der IT Linienorganisation und insbesondere der IT Sicherheit als Integrator zwischen der sollvorgabenorientierten Second Line und der umsetzenden First Line zu. Zu diesem Zweck will der Bereich OI diese so genannte 1b Linienfunktion optimieren und im Rahmen der strategischen Neuausrichtung aufbauen.
In der Regel erfolgt die Beratungsleistung zur Hälfte online / remote und zur Hälfte vor Ort in der NBank.  Nach Rücksprache ist eine Abweichung der Präsenzquote für Teilleistungen nach oben und unten möglich. In Einzelfällen kann die Leistung zu 100% in Präsenz eingefordert werden. Für die Bepreisung ist ein einheitlicher pauschaler Tagessatz anzunehmen. Dieser inkludiert sämtliche Reisekosten. Reisezeit stellt keine Arbeitszeit dar. Bei der Erbringung der Beratungsleistungen nach diesem Vertrag ist der Auftragnehmer hinsichtlich der Bestimmung von Ort und Zeit grundsätzlich frei. Allerdings ist dieser auch dazu verpflichtet, die geschäftlichen Bedürfnisse der NBank zu berücksichtigen und wird zur Verfügung stehen, wenn der Geschäftsbetrieb der NBank dies verlangt.  Erfüllungsort für die Leistungen des Auftragnehmers aus diesem Vertrag ist der Sitz des Auftraggebers, Hannover.
Zum Nachweis der Befähigung und Erlaubnis zur Berufsausübung ist mit dem Angebot die Eintragung in einem Berufs- oder Handelsregister oder auf andere Weise die erlaubte Berufsausübung nachzuweisen (formlos bzw. Eigenerklärung).
Zum Nachweis der wirtschaftlichen und finanziellen Leistungsfähigkeit ist anzugeben, dass eine adäquate Betriebs- oder Berufshaftpflichtversicherung besteht und für die Dauer des Auftrages fortbestehen wird (formlos bzw. Eigenerklärung).

Eligibility requirements: Zum Nachweis der Befähigung und Erlaubnis zur Berufsausübung ist mit dem Angebot die Eintragung in einem Berufs- oder Handelsregister oder auf andere Weise die erlaubte Berufsausübung nachzuweisen (formlos bzw. Eigenerklärung).
Zum Nachweis der wirtschaftlichen und finanziellen Leistungsfähigkeit ist anzugeben, dass eine adäquate Betriebs- oder Berufshaftpflichtversicherung besteht und für die Dauer des Auftrages fortbestehen wird (formlos bzw. Eigenerklärung).
Zum Nachweis der technischen und beruflichen Leistungsfähigkeit des Dienstleisters sind mit dem Angebot geeignete Referenzen über früher ausgeführte Liefer- und Dienstleistungsaufträge zu benennen, die inhaltlich und im Umfang mit den beschriebenen Leistungen vergleichbar sind und innerhalb der letzten drei Jahre erbracht wurden. Dabei ist der jeweilige Auftraggeber namentlich unter Nennung eines Ansprechpartners, dessen Rufnummer sowie Auftragswert und Liefer- bzw. Leistungszeitraum zu nennen. Es sind maximal fünf, aber mindestens drei Referenzaufträge zu nennen. Bitte nutzen Sie das beigefügte Formular (Anlage 06 der Vergabeunterlagen). Mindestanforderung an die Referenzen: - Mindestens 3 Referenzaufträge aus der BaFin-regulierten Finanzbranche - Mindestens 1 Referenzauftrag im Bereich Förderbanken
Sofern der Einsatz von Dritten/ Subunternehmern/ Nachunternehmern/ konzernverbundenen Unternehmen vorgesehen ist, sind alle Nachweise/ Erklärungen auch von jedem dieser Partner im Bereich des vorgesehenen Einsatzes vorzulegen. Es ist ein Verzeichnis über diese eingesetzten Partner mit Angabe der Namen vorzulegen (formlos bzw. Eigenerklärung). Zum Nachweis der technischen und beruflichen Leistungsfähigkeit ist mit dem Angebot anzugeben, welche Teile des Auftrags unter Umständen als Unteraufträge vergeben werden (Anlage 08 und 08a).
Zum Nachweis des Nichtvorliegens von Ausschlussgründen ist das beigefügte Formular zu unterzeichnen und mit dem Angebot vorzulegen (Anlage 03 der Vergabeunterlagen).
Angaben (Name, Rechtsform, Anschrift, Ansprechpartner) zum Unternehmen des Bieters sowie Kurzdarstellung des Unternehmens (z. B. Leistungsspektrum und Schwerpunkte der Geschäftstätigkeit) und der Unternehmensorganisation (z. B. Standorte, Struktur, hierarchischer Aufbau) bezogen auf die geforderte Leistung (formlos bzw. Eigenerklärung).
Sofern das Angebot durch eine Bietergemeinschaft abgegeben wird, eine Erklärung, welche Leistungen vom welchem Bietergemeinschaftsmitglied übernommen werden (formlos), Name und Anschrift des bevollmächtigten Vertreters der Bietergemeinschaft, sowie eine Erklärung, dass die Mitglieder der Bietergemeinschaft für Verbindlichkeiten, die den Mitgliedern der Bietergemeinschaft aus dem Vergabeverfahren gegenüber den NBank entstehen, gesamtschuldnerisch haften (§ 421 BGB) (formlos).
Nennung eines Ansprechpartners, der den Auftrag für die NBank federführend bearbeitet, sowie Zusage, dass Ansprechpartner während der üblichen Geschäftszeiten (montags bis freitags von 9:00 Uhr bis 17:00 Uhr) jederzeit telefonisch zu erreichen sind und Reaktionszeiten von max. vier Stunden an Werktagen eingehalten werden (formlos bzw. Eigenerklärung).
Mit dem Angebot ist die unterzeichnete Mindestentgelterklärung einzureichen (Anlage 05 der Vergabeunterlagen). Ausländische Bieter haben gleichwertige Bescheinigungen ihres Herkunftslandes vorzulegen. Bei fremdsprachigen Bescheinigungen ist eine Übersetzung in die deutsche Sprache beizufügen.
Mit dem Angebot soll der für den Auftrag einzusetzende Mitarbeitende unter Darstellung der Qualifikation und Erfahrung inkl. Angaben zur beruflichen Qualifikation genannt werden (formlos bzw. Eigenerklärung). Nachzuweisen ist, dass die angebotene Leistung von nach Möglichkeit einem, maximal zwei Beratern mit jeweils diesen Fähigkeiten und Erfahrungen erbracht wird. Es wird darauf hingewiesen, dass beide Berater über sämtliche der aufgeführten Fähigkeiten und Erfahrungen (vollumfänglich) zu verfügen haben. Der Auftraggeber verlangt, dass einer der Berater als führender Berater die Aufgabe des Hauptansprechpartners wahrnimmt. Dieser führende Berater muss über Kapazitäten verfügen, die es ihm ermöglichen bis zu 80 Prozent der beauftragten Leistungen eigenständig zu erbringen (Eigenerklärung). Über eine unterstützende Leistungserbringung entscheidet der Auftraggeber nach vorheriger Absprache mit dem Auftragnehmer individuell. Mindestanforderung an das einzusetzende Personal: - insgesamt wenigstens 10-jährige operative Berufserfahrung, davon: o mindestens 8 Jahre im Informationssicherheitsmanagement o mindestens 5 Jahre als CISO in einem regulierten Finanzdienstleistungskonzern o mindestens 3 Jahre in der Gesamtverantwortung des Bereiches Information Security Risk Management im Sinne der ISO 27005 oder einem vergleichbaren Standard o mindestens 2 Jahre im Bereich der Enterprise Architektur mit dem Fokus der Integration der Business- IT- und Security Architektur o mindestens 5 Jahre in der IT-Compliance, dem IT-Service Managements sowie dem Management bzw. der Steuerung auf Senior Level von entsprechenden Bereichen in der Finanzdienstleistungsbranche Operative Berufserfahrung bedeutet, die umrissenen Themen durch Praxiserfahrung sowohl wirksam operationalisiert, als auch auf Managementebene gesteuert zu haben.   Zusätzlich muss durch den Bieter belegt werden, dass umfassende Kenntnisse und Fähigkeiten: o bei der internen Leitung zur Umsetzung regulativer Programme in der Finanzwirtschaft, z.B. BAIT, VAIT oder vergleichbaren Standards o bei der Herstellung der Zertifizierungsreife und Durchlauf mehrere Zyklen bei der Zertifizierung eines ISMS nach ISO 27001, BSI Grundschutz oder NIST als interner Verantwortlicher o bzgl. einer eigenverantwortlichen Steuerung der Krisenbewältigung in globalen Krisen mit Schnittstelle zum IT-Notfallmanagement o bzgl. der Unterstützung von Beauftragten bei Förderbanken oder vergleichbaren Instituten o eine Beteiligung an dem Aufbau oder der Weiterentwicklung einer operativen IT-Sicherheit bei einer Förderbank oder vergleichbarem Institut o bzgl. der mindestens teilverantwortlichen Durchführung von einem ISMS Einführungsprojektes bestehen. Folgende Informationen/Unterlagen müssen vorgelegt werden: - Referenzen zu vergleichbaren Tätigkeiten. Sämtliche der aufgeführten Punkte müssen mit Referenzen oder via Lebenslauf belegt werden. Auf Nachfrage ist dem Auftraggeber innerhalb von 4 Tagen bzgl. jeglicher in Frage stehender Nachweise ein Kontakt (beim Referenzgeber) zu benennen, der die Werthaltigkeit der aufgeführten Referenzen als Referenzgeber bestätigen kann. Sollte eine Bestätigung durch diesen Kontakt nicht möglich sein, behällt sich der Auftraggeber einen Angebotsausschluss vor. - Zertifizierung zum IT-Sicherheitsbeauftragten (z.B. CISA, ISO/IEC 27001 Lead Auditor/Lead Implementer, DVA, oder vergleichbar) - Sollte der Berater die deutsche Sprache nicht als Muttersprache haben, so ist ein Nachweis über ein C2 Niveau zu erbringen.