Public procurement notice: Contract Notice
Published: 2018-11-06
Buyer: Bundesamt für Sicherheit in der Informationstechnik
Country: DE
Contract type: Services
Procedure: Open procedure
CPV classification: 72000000 | 79100000
Submission deadline: 2018-12-10
Award criteria: The most economic tender

Technical requirements: Υπηρεσίες τεχνολογίας των πληροφοριών: παροχή συμβουλών, ανάπτυξη λογισμικού, Διαδίκτυο και υποστήριξη
Ziel des Projekts ist es. eine Einschätzung zum sicheren Betrieb von mindestens 5 verschiedenen vernetzten Medizinprodukten (IT- und Patientensicherheit) zu geben und eine aktuelle Übersicht der deutschen Marktlage solcher Geräte und Produkte, die in den letzten 5 Jahren in Deutschland in Verkehr gebracht wurden, zu veröffentlichen. Im Rahmen von ManiMed ist innerhalb von 18 Monaten zu erforschen, welche Anwendungsbreite an Produkten im Bereich eHealth bereits zur Verfügung steht, wie sich die aktuelle IT-Sicherheitslage dieser Produkte darstellt und welche weiteren Ziele und Trends (durch Kommunikation mit Herstellern und Betreibern) in der digitalisierten medizinischen Versorgung langfristig angestrebt werden.
Bei der Analyse der Risiken sind insbesondere die eingesetzten Systemarchitekturen (Betriebssysteme, Hardware, Verwaltung kryptografischer Schlüssel, Authentisierungs-, Kommunikations- und Update-Mechanismen) zu untersuchen. Hierbei ist zu betrachten, über welches Schutzniveau das Produkt verfügt, um sich beispielsweise vor unberechtigtem Zugriff, Malware, Spoofing, Fake-Apps, Man-in-the-Middle- oder DDoS-Angriffen zu schützen.
Zunächst soll eine Marktübersicht, in schriftlicher Form, von vernetzten Medizinprodukten (mindestens eine Kommunikationsschnittstelle muss vorhanden sein), die in den letzten 5 Jahren auf den Markt gebracht wurden, erstellt und vorgestellt werden. Hierbei ist zusätzlich zu berücksichtigen, dass auch mindestens ein Gerät der folgenden Geräteklassen, neben anderen Medizinprodukten, in der Marktsichtung erfasst werden:
Implantierbarer Herzschrittmacher, Insulinpumpe, Beatmungsgerät, Patientenmonitor und Schmerzmittelpumpe.
Im Anschluss an die Marktübersicht werden durch die für ManiMed zuständige Projektleitung im BSI die zu untersuchenden Medizinprodukte ausgewählt, bei denen der Auftragnehmer IT-Schwachstellen anschließend technisch analysieren, benennen und beschreiben soll, um mögliche Risiken für Nutzer, in Form einer Cyber-Sicherheitsbetrachtung (mindestens dem Format von BSI-CS 132 „Anforderungen an netzwerkfähige Medizinprodukte“ entsprechend), ableiten zu können.
Auf Softwareebene soll in diesem Projekt betrachtet werden, ob Cyber-Sicherheitsanalysen zu Bedrohungen und Risiken während des gesamten Produktzyklus (Kommunikation mit dem entsprechenden Hersteller erwünscht) stattfinden und technische Sicherheitsanalysen (Penetrationstests), eine Bereinigung der Produkte vor Auslieferung, die Bereitstellung von getesteten Updates und Patches, Antivirenlösungen, die Erhebung und Verarbeitung von Logdaten, sichere kryptografische Verfahren, robuste Kommunikationsprotokolle und Integritäts-Checks verwendet werden. Bei den kryptografischen Lösungen soll zusätzlich beleuchtet werden, ob es sich um Standardimplementierungen oder Eigenentwicklungen handelt. Es soll herausgearbeitet werden, wie sich die unterschiedlichen Nutzer bei den zu untersuchenden Medizingeräten authentisieren, ob Passwörter beispielsweise im Klartext übermittelt werden und ob es ein abgesichertes Sessionmanagement gibt. Es muss geprüft werden, ob sich Passwörter oder Zertifikate leicht ersetzen lassen und ob das Gerät so konfiguriert ist, dass es gegen nicht autorisierte Manipulation geschützt ist, beispielsweise durch einen gesicherten TLS-Betrieb. Des Weiteren soll auf Hardwareebene untersucht werden, ob das System gehärtet ist, ob es physisch vor Zugriffen geschützt ist, welche Daten in welche Richtung fließen und ob dies kabellos geschieht, welche Schnittstellen vorhanden sind, wie die Fernwartung, falls implementiert, abläuft und ob es Backup- und Wiederherstellungssystemlösungen gibt. Anhand dieser Untersuchungen ist der mögliche maximale Schaden, der aus einer Manipulation des Geräts für den Patienten resultieren kann, zu bestimmen und zu beschreiben.
Es muss zum Projektende eine Ausarbeitung einer IT-Sicherheitsbetrachtung, in deutscher und englischer Sprache, für vernetzte Medizinprodukte erstellt worden sein, die auf der Webseite des BSI veröffentlicht wird. Die Übersetzung muss eigenständig durch den Auftragnehmer erfolgen. Zudem soll eine Abschlusspräsentation im BSI vor Fachpublikum (BSI-Mitarbeiter) und je nach Projektergebnissen, sogar im größeren Rahmen, stattfinden. Die Ergebnisse dieses Projektes können die Basis für nachfolgende Projekte sein, abhängig davon, ob und welche IT-Sicherheitslücken identifizierbar sind und wie kritisch diese für das Patientenwohl sein können.
Erstellen Sie vom Generalunternehmer bzw. vom jedem Mitglied der Bietergemeinschaft ein aussagekräftiges Firmenprofil. Die Darstellung muss in tabellarischer Form erfolgen und folgende Punkte umfassen:
— Geschäftsfelder (Auflistung der einzelnen Geschäftsfelder; Benennung der Geschäftsfelder, die für den hier zu vergebenden Auftrag relevant sind (auftragsbezogene Geschäftsfelder); ggf. nähere Ausführungen/Erläuterungen zu den auftragsbezogenen Geschäftsfeldern),
— Gesamtumsatz in den letzten 3 Geschäftsjahren (Angabe pro Jahr). Die Angabe kann bei nicht-gewinnorientierten Institutionen, z. B. öffentlichen Hochschulen, entfallen,
— Umsatz in den auftragsbezogenen Geschäftsfeldern in den letzten 3 Geschäftsjahren (Angabe pro Jahr). Angabe pro Jahr für die letzten 3 Geschäftsjahre). Die Angabe kann bei nicht-gewinnorientierten Institutionen, z. B. öffentlichen Hochschulen, entfallen.
Gehen Sie im Falle einer Bietergemeinschaft auf die Aufteilung der zu erbringenden Leistung auf die einzelnen Mitglieder der Bietergemeinschaft ein.
Weder beim Generalunternehmer noch bei den Mitgliedern einer Bietergemeinschaft darf es sich um Hersteller von vernetzten Medizinprodukten handeln (siehe Kapitel 4.9 der Leistungsbeschreibung).
Bitte stellen Sie das Qualitätsmanagement Ihres Unternehmens dar. Machen Sie bitte auch Angaben zu Zertifizierungen, die Ihr Unternehmen erworben hat.

Eligibility requirements: — Firmenprofil. Erstellen Sie vom Generalunternehmer bzw. vom jedem Mitglied der Bietergemeinschaft ein aussagekräftiges Firmenprofil. Die Darstellung muss in tabellarischer Form erfolgen und folgende Punkte umfassen: — Offizielle Bezeichnung, — Rechtsform, — Firmensitz und Standorte, — Struktur und Organisation z. B. Abbildung des Organigramms, — Geschäftsfelder (Auflistung der einzelnen Geschäftsfelder; Benennung der Geschäftsfelder, die für den hier zu vergebenden Auftrag relevant sind (auftragsbezogene Geschäftsfelder); ggf. nähere Ausführungen/Erläuterungen zu den auftragsbezogenen Geschäftsfeldern), — Anzahl der Mitarbeiter in den auftragsbezogenen Geschäftsfeldern, — Gesamtumsatz in den letzten 3 Geschäftsjahren (Angabe pro Jahr). Die Angabe kann bei nicht-gewinnorientierten Institutionen, z. B. öffentlichen Hochschulen, entfallen, — Umsatz in den auftragsbezogenen Geschäftsfeldern in den letzten 3 Geschäftsjahren (Angabe pro Jahr). Angabe pro Jahr für die letzten 3 Geschäftsjahre). Die Angabe kann bei nicht-gewinnorientierten Institutionen, z. B. öffentlichen Hochschulen, entfallen. Gehen Sie im Falle einer Bietergemeinschaft auf die Aufteilung der zu erbringenden Leistung auf die einzelnen Mitglieder der Bietergemeinschaft ein. Weder beim Generalunternehmer noch bei den Mitgliedern einer Bietergemeinschaft darf es sich um Hersteller von vernetzten Medizinprodukten handeln (siehe Kapitel 4.9 der Leistungsbeschreibung).