Decision ID: 1431ffb7-94af-4af9-823e-39af46c955cf
Year: 2022
Language: de
Court: CH_BVGE
Chamber: CH_BVGE_001
Canton: CH
Region: Federation
Law Area: 

Sachverhalt:
A.
Am 6. Juli 2021 erteilte das Bundesamt für Bauten und Logistik BBL (im
Folgenden: Vergabestelle) für das Bundesamt für Informatik und Telekom-
munikation BIT (Bedarfsstelle) betreffend das Projekt "F21031 – Software-
lizenzen, Wartung, Support und Weiterentwicklung des Identity and Access
Management (IAM), mit der Option bis 2027" der Y._ AG (im Fol-
genden: Zuschlagsempfängerin) im freihändigen Verfahren den Zuschlag
zu einem Preis von Fr. 71'495'029.50 einschliesslich MwSt. für einen
Grundauftrag (Fr. 51'016'413.–) und eine Option (Fr. 20'478'616.50). Die
Vergabestelle publizierte die Zuschlagsverfügung am 21. Juli 2021 auf der
Internetplattform SIMAP (Meldungsnummer 1207361). Zur Begründung
wurde darin ausgeführt, die Zuschlagsempfängerin sei als einzige Anbie-
terin in der Lage, dem Bund das Gesamtpaket der benötigten Lizenzen und
Dienstleistungen für den Betrieb und die Weiterentwicklungen des "Identity
and Access Management Service" (IAM) unter Verwendung der Software
"Nevis" zur Verfügung zu stellen. Ein Anbieterwechsel wäre mit unange-
messenen Kosten, Bindung von Ressourcen und vor allem Risiken für die
Bundesverwaltung verbunden (SIMAP-Zuschlagsverfügung, Ziff. 3.3).
B.
Gegen diese Verfügung erhebt die X._ AG (im Folgenden: Be-
schwerdeführerin) am 9. August 2021 Beschwerde beim Bundesverwal-
tungsgericht. Sie beantragt, die Zuschlagsverfügung sei aufzuheben und
die Sache sei zur Durchführung eines Vergabeverfahrens und zu neuer
Zuschlagserteilung im Sinne der Erwägungen an die Vergabestelle zurück-
zuweisen. In prozessualer Hinsicht beantragte sie unter anderem, der Be-
schwerde sei die aufschiebende Wirkung zu erteilen und es sei der Verga-
bestelle bis zum Entscheid über die aufschiebende Wirkung superproviso-
risch der Vertragsabschluss mit der Zuschlagsempfängerin einstweilen zu
untersagen.
Zur Begründung führt sie aus, sie könne den Dienstleistungsauftrag im
Sinne einer angemessenen Alternative zur Zuschlagsempfängerin erfüllen
und wolle dies auch. Sie biete mit "Airlock IAM" ein Produkt mit vergleich-
barem Leistungsumfang wie "Nevis" an, jedoch im Vergleich mit der Zu-
schlagsempfängerin zu einem kostengünstigeren Ansatz. Es gebe Grund
zur Annahme, dass das freihändige Verfahren in unzulässiger Weise zur
Anwendung gelangt sei. Die in der Zuschlagsverfügung enthaltene Be-
gründung sei ungenügend. Die vorliegende Vergabe widerspreche den
B-3580/2021
Seite 3
vergaberechtlichen Grundsätzen der Gleichbehandlung, Wirtschaftlichkeit
und Transparenz und berge die Gefahr, den Wettbewerb zu verzerren.
C.
Mit Verfügung vom 10. August 2021 ordnete die Instruktionsrichterin an,
dass bis zum Entscheid des Bundesverwaltungsgerichts über den Antrag
betreffend Erteilung der aufschiebenden Wirkung alle Vollzugsvorkehrun-
gen, welche den Ausgang des hängigen Beschwerdeverfahrens präjudizie-
ren könnten, namentlich der Vertragsabschluss mit der Zuschlagsempfän-
gerin, zu unterbleiben hätten.
D.
Die Zuschlagsempfängerin teilte mit Eingabe vom 23. August 2021 mit,
dass sie vorerst auf das Stellen formeller Anträge zur Beschwerde und zum
Gesuch um aufschiebende Wirkung verzichte, sich aber vorbehalte, nach
Vorliegen der Stellungnahme der Vergabestelle ergänzende Bemerkungen
anzubringen oder Anträge zu stellen.
E.
Mit Stellungnahme vom 31. August 2021 beantragt die Vergabestelle, auf
die Beschwerde sei nicht einzutreten, eventualiter sei die Beschwerde ab-
zuweisen. In prozessualer Hinsicht sei das Gesuch der Beschwerdeführe-
rin um Gewährung der aufschiebenden Wirkung abzuweisen und der Be-
schwerde sei die superprovisorisch gewährte aufschiebende Wirkung zu
entziehen. Die Vergabestelle beantragt überdies, soweit der Beschwerde
nicht vor dem 1. Oktober 2021 die aufschiebende Wirkung entzogen oder
sie rechtskräftig erledigt sei, sei ihr die Erlaubnis zu erteilen, bis zum
rechtskräftigen Abschluss des Beschwerdeverfahrens von der (bisherigen)
Zuschlagsempfängerin eine beschränkte Anzahl von Dienstleistungen
über maximal 8'500 Stunden pro Monat (resp. einen Maximalbetrag von
1,7 Mio. Fr. inkl. MwSt. pro Monat) für die Sicherstellung des ununterbro-
chenen Betriebs und für die zur Aufrechterhaltung der Funktionstüchtigkeit
von IAM zwingend notwendigen Weiterentwicklungen an der Software "Ne-
vis" zu beziehen.
Zur Begründung legt die Vergabestelle dar, die drei zivilen Leistungserbrin-
ger des Bundes – das Bundesamt für Informatik und Telekommunikation
(BIT), das Informatik Service Center des Eidgenössischen Justiz- und Po-
lizeidepartements (ISCE-EJPD) und das Information Service Center des
Eidgenössischen Departements für Wirtschaft, Bildung und Forschung
B-3580/2021
Seite 4
(ISCeco) – versorgten die Bundesverwaltung sowie die Kantone und bun-
desnahen Organisationen mit Dienstleistungen und Services der Informa-
tions- und Kommunikationstechnologie IKT, darunter mit dem "Identity and
Access Management Service" (IAM). Mittels der IAM-Services werde ei-
nem Benutzer eine Identität vergeben und er erhalte Zugriffsrechte auf Lö-
sungen und IT-Anwendungen. Die IAM-Services der Leistungserbringer
seien hochgradig voneinander abhängig und würden bis zu 35'000 interne
und fast eine Million externe Benutzer beim Zugriff auf über 400 Fachappli-
kationen der Bundesverwaltung authentisieren und autorisieren. Es sei ein
grosses spezifisches Know-how erforderlich, um die mittlerweile äussert
komplexen Strukturen und Funktionsweisen der IAM-Services des Bundes
zu verstehen. Aktuell sei lediglich die Zuschlagsempfängerin in der Lage,
aufgrund ihres Partnerstatus respektive der Zertifizierung durch die Nevis
Security AG das Gesamtpaket von Wartung, Support, Lizenzen und kun-
denspezifischen Anpassungen am Produkt "Nevis" aus einer Hand anzu-
bieten. Die Vergabestelle habe das freihändige Verfahren daher zulässi-
gerweise angewendet.
Mit der angefochtenen freihändigen Vergabe werde bezweckt, die Arbeiten
der drei Leistungserbringer für IAM zu ermöglichen und Raum für die Er-
stellung einer IAM-Strategie zu schaffen. Aus heutiger Sicht sei davon aus-
zugehen, dass die entsprechende Studie bis Ende 2021 vorliege und eine
bundesweite IAM-Strategie bis Q1-2022. Sofern in der Studie ein Wechsel
der Lösung als möglich beurteilt werde, solle hierzu im Wettbewerb eine
entsprechende Beschaffung in den Jahren 2022-2023 getätigt werden. Die
Vergabestelle beabsichtige demnach nicht, den Markt für immer zu schlies-
sen, sondern sei im Gegenteil bestrebt, eine IAM-Strategie zu entwickeln,
deren Umsetzung soweit wie möglich im Wettbewerb ausgeschrieben wer-
den solle. Solange die IAM-Strategie noch nicht vorliege beziehungsweise
solange das aktuell im Einsatz stehende Produkt "Nevis" in Betrieb bleiben
müsse, sei der Markt für die vorliegend in Frage stehende Dienstleistung
auf eine Unternehmung – die Zuschlagsempfängerin – beschränkt. Man-
gels anderer Alternativen habe die Vergabestelle daher das freihändige
Verfahren im heutigen Zeitpunkt zu Recht angewendet.
Die Beschwerdeführerin gehe fehl in der Annahme, mit der publizierten
Summe von Fr. 71'495'029.50 könne ein neues IAM-System für den Bund
gekauft werden. Sollte das Bundesverwaltungsgericht die Beschwerdele-
gitimation bejahen, sei die aufschiebende Wirkung aufgrund der offensicht-
B-3580/2021
Seite 5
lichen Aussichtslosigkeit der Vorbringen sowie der klar überwiegenden öf-
fentlichen Interessen an einem umgehenden Leistungsbezug dennoch
nicht zu gewähren.
F.
Mit Zwischenverfügung vom 8. September 2021 erlaubte die Instruktions-
richterin der Vergabestelle superprovisorisch, bis zum rechtskräftigen Ab-
schluss des Beschwerdeverfahrens von der bisherigen Zuschlagsempfän-
gerin eine beschränkte Anzahl von Dienstleistungen über maximal
8'500 Stunden pro Monat (resp. einen Maximalbetrag von 1,7 Mio. Fr. inkl.
MwSt. pro Monat) für die Sicherstellung des ununterbrochenen Betriebs
und für die zur Aufrechterhaltung der Funktionstüchtigkeit von IAM zwin-
gend notwendigen Weiterentwicklungen an der Software "Nevis" zu bezie-
hen.
G.
Mit Beschwerdeergänzung vom 16. September 2021 hält die Beschwerde-
führerin an ihren Anträgen fest und bestreitet sämtliche Ausführungen der
Vergabestelle in ihrer Stellungnahme.
Sie rügt, das Bundesverwaltungsgericht habe, indem es vor Ablauf der Frist
für die Beschwerdeergänzung dem Antrag der Vergabestelle, eine be-
schränkte Anzahl von Dienstleistungen zu beziehen, stattgegeben habe,
ihren Anspruch auf rechtliches Gehör verletzt. Sie verzichte zwar darauf,
diese Zwischenverfügung anzufechten, da sie weder das vorliegende Ver-
fahren unnötig verlängern noch verhindern wolle, dass die zwingend benö-
tigten Leistungen von der bisherigen Zuschlagsempfängerin bezogen wer-
den könnten. Sie verlange aber, dass die Betriebsleistungen sowie die
zwingend benötigten Weiterentwicklungen definiert würden.
H.
Mit Stellungnahme vom 6. Oktober 2021 zur Beschwerdeergänzung hält
die Vergabestelle an ihren Rechtsbegehren fest und beantragt eventualiter
die Abweisung des Gesuchs der Beschwerdeführerin um eine gerichtliche
Begutachtung mittels eines Sachverständigengutachtens.
I.
Mit unaufgeforderter Stellungnahme vom 15. Oktober 2021 hält die Be-
schwerdeführerin an ihren Rechtsbegehren und Ausführungen fest.
B-3580/2021
Seite 6
J.
Mit Zwischenentscheid vom 30. November 2021 gab das Bundesverwal-
tungsgericht dem Gesuch auf aufschiebende Wirkung statt, soweit die an-
gefochtene freihändige Vergabe Leistungen in Bezug auf neue Applikatio-
nen und Leistungserbringungen, bei denen zurzeit noch nicht "Nevis" zur
Anwendung gelange, zum Gegenstand hatte. Es untersagte der Vergabe-
stelle, mit der Zuschlagsempfängerin Verträge abzuschliessen, soweit sie
derartige Leistungen zum Gegenstand hatten. Soweit weitergehend, wies
das Bundesverwaltungsgericht das Gesuch um aufschiebende Wirkung
ab.
K.
Am 27. Dezember 2021 informierte die Vergabestelle das Gericht über den
Vertragsabschluss mit der Zuschlagsempfängerin im gerichtlich erlaubten
Umfang.
L.
Die Zuschlagsempfängerin teilt mit Eingabe vom 12. Januar 2022 mit, dass
sie nicht als Beschwerdegegnerin am Verfahren teilnehmen wolle.
M.
Mit materieller Vernehmlassung vom 18. Januar 2022 hält die Vergabe-
stelle an ihrem Antrag auf Abweisung der Beschwerde fest. In prozessualer
Hinsicht beantragt sie, das Gesuch der Beschwerdeführerin um Gewäh-
rung der aufschiebenden Wirkung sei abzuweisen, soweit diese mit Zwi-
schenentscheid vom 30. November 2021 aufrechterhalten worden sei. Im
Weiteren sei der Antrag der Beschwerdeführerin auf eine gerichtliche Be-
gutachtung mittels eines Sachverständigengutachtens abzuweisen.
Müssten kurzfristig die Zugriffsrechte bei neu hinzukommenden Applikati-
onen mit einem anderen Produkt verwaltet werden, müsste ein paralleler
Betrieb von jeweils zwei solchen Systemen aufgebaut werden. Eine solche
Erweiterung durch ein zweites IAM-System pro Leistungserbringer hätte
nicht verantwortbare technische Risiken und unverhältnismässige Mehr-
kosten zur Folge und würde dem Grundsatz der Wirtschaftlichkeit nicht ent-
sprechen. Zudem habe der Bundesrat mit seinen Standardisierungsent-
scheiden vom 13. Dezember 2013 respektive 29. Juni 2016 festgelegt,
dass es pro Organisation nur einen IAM-Standard geben solle. Die Verga-
bestelle sei daher nicht befugt, ohne weiteres ein zweites Produkt einzu-
führen und damit eine Mehrproduktestrategie zu fahren. Das Produkt "Air-
lock" der Beschwerdeführerin werde vom BIT zwar bereits eingesetzt, aber
B-3580/2021
Seite 7
zu einem anderen Zweck als das Produkt "Nevis". Die restlichen zivilen
Leistungserbringer würden das Produkt "Airlock" nicht einsetzen. Die Air-
lock-Anwendung beim BIT unterstütze das IAM-System von "Nevis". Es
diene dem Zweck, eine Authentifizierung von Zweitfaktoren wie beispiels-
weise via SMS zu ermöglichen. Es handle sich um einen einfachen Vor-
gang, der nicht mit der Komplexität oder dem Zweck des IAM-Services ver-
gleichbar sei. Die Marktabklärung von 2016 habe ergeben, dass das Pro-
dukt "Airlock" nicht den gleichen Zweck wie "Nevis" erfüllen könne. Ob sich
dieses Bild verändert habe, werde die Studie, die derzeit erarbeitet werde,
zeigen. Wenn ein anderes Produkt für den IAM-Service eingesetzt werden
solle (ein auf dem Markt vorhandenes oder allenfalls eine bundesinterne
eigene Entwicklung), müsse das Gesamtsystem auf ein neues Produkt mi-
griert werden. Bevor eine umfassende Migration des Gesamtsystems auf
ein neues Produkt an die Hand genommen werden könne, benötige die
Bundesverwaltung eine neue, langfristig ausgerichtete IAM-Strategie.
Liege diese vor, würden auch die nächsten beschaffungsrechtlichen
Schritte geplant und durchgeführt. Um diese Strategie zu entwickeln, sei
eine fundierte Studie erforderlich. Diese werde derzeit erarbeitet.
N.
Mit Replik vom 17. Februar 2022 hält die Beschwerdeführerin an ihren
Rechtsbegehren fest. Der Zuschlag sei zu Unrecht im freihändigen Verfah-
ren erfolgt. Die Zuschlagsempfängerin sei nicht die einzige Anbieterin, die
den geforderten Beschaffungsgegenstand – oder zumindest Teile davon –
erbringen könne. Aufgrund des Umfangs der Beschaffung und der wettbe-
werbsrechtlichen Grundsätze seien mehrere Anbieterinnen im Sinne eines
Parallelbetriebs zu berücksichtigen. Ein Parallelbetrieb sei geeigneter und
würde insbesondere die vergaberechtlichen Grundsätze nicht verletzen.
Reine Bequemlichkeitsüberlegungen könnten die freihändige Vergabe
nicht rechtfertigen. Entgegen der Behauptung der Vergabestelle seien die
Gründe für die freihändige Vergabe für die Beschwerdeführerin nicht nach-
vollziehbar. Aufgrund der unzureichenden Akteneinsicht seien wesentliche
Fragen der Beschwerdeführerin unbeantwortet geblieben, insbesondere
die Fragen betreffend einen parallelen "Nevis"- und "Airlock"-Betrieb, die
fehlende Alternativlosigkeit, die Kettenvergaben, die IAM-Strategie sowie
die Leistungserbringung durch die Beschwerdeführerin. Es sei nicht nach-
vollziehbar, wie die Bundesverwaltung insgesamt 100 Mio. Fr. in Dienst-
leistungen investieren könne, ohne eine ordentliche Evaluation bezie-
hungsweise ohne ein Ausschreibungsverfahren durchzuführen. Die Be-
schwerdeführerin wolle nicht mit einer erst für die unabsehbare Zukunft
geltenden IAM-Strategie vertröstet werden und wolle nicht von Vergaben
B-3580/2021
Seite 8
in der vorliegenden Grössenordnung ausgeschlossen werden. Sie gehe
davon aus, dass der Leistungsumfang der strittigen Vergabe auch Funkti-
onen beinhalte, die derzeit durch "Airlock"-Produkte erbracht würden oder
werden könnten, also jener Teil der Applikationen und Leistungen, bei de-
nen gerade nicht das Produkt "Nevis" zur Anwendung komme. Die Abhän-
gigkeit von "Nevis" dürfe nicht weiter zementiert werden, sondern es sei zu
prüfen, ob sich eine Applikation nicht kostengünstiger durch die "Airlock"-
IAM-Plattform oder eine andere Anbieterin erbringen lassen. Auch sei nicht
nachvollziehbar, weshalb und in welchem Umfang ein Anbieterwechsel mit
unangemessenen Kosten, der Bindung von Ressourcen oder mit Risiken
für die Bundesverwaltung verbunden wäre. Die Beschwerdeführerin könne
zudem Teilleistungen zu einem wesentlich günstigeren Preis anbieten und
würde bei diesen Leistungen parallel zur Zuschlagsempfängerin agieren.
O.
Mit Zwischenentscheid vom 24. Februar 2022 wies das Gericht das Ge-
such der Vergabestelle um eine teilweise Wiedererwägung des Zwi-
schenentscheids vom 30. November 2021 über die aufschiebende Wir-
kung ab.
P.
Mit Duplik vom 21. März 2022 beantragt die Vergabestelle, die Beschwerde
sei abzuweisen, soweit darauf einzutreten sei. In prozessualer Hinsicht be-
antragt sie, das Gesuch der Beschwerdeführerin auf eine gerichtliche Be-
gutachtung mittels eines Sachverständigengutachtens sei abzuweisen und
der Beschwerdeführerin und der Zuschlagsempfängerin sei nur Einsicht in
diejenigen Akten zu gewähren, die im Aktenverzeichnis als "der Aktenein-
sicht zugänglich" bezeichnet seien.
Der Streitgegenstand beschränke sich noch auf die freihändige Vergabe
der Leistungen für neue, künftige Applikationen. In materieller Hinsicht
stelle sich einzig noch die Frage, ob die Vergabestelle für diese Leistungen
die Möglichkeit hätte vorsehen müssen, sich substituierbare Leistungen
anbieten zu lassen und entsprechend für diesen Auftrag ein offenes oder
selektives Verfahren hätte durchführen müssen.
Die Vergabestelle legt dar, dass seit der Einführung der Produktes "Nevis"
in den Jahren 2002-2003 bei jedem zivilen Leistungserbringer der Bundes-
verwaltung ein komplexes Identity and Access Management-System auf-
gebaut worden sei. Die Bundesverwaltung habe sich für eine Einproduk-
B-3580/2021
Seite 9
testrategie entschieden. Jedes dieser Systeme der Leistungserbringer ba-
siere daher ausschliesslich auf dem Produkt "Nevis". Für die Unterstützung
des IAM-Systems, nicht aber die Kernaufgaben, würden periphere Sys-
teme eingesetzt, darunter das Produkt "Airlock". Weitere eingesetzte peri-
phere Systeme seien unter anderem Trustbroker, IT-Security-Systeme,
Loadbalancer, Datenbanken, Monitoringsysteme. Diese Systeme seien in-
dessen nicht Teil des Kern-IAM und könnten die Aufgaben des bestehen-
den IAM-Systems nicht ohne weiteres übernehmen beziehungsweise sub-
stituieren. Die Beschwerdeführerin wünsche, dass die Vergabestelle die
Leistungen und Lizenzen innerhalb der Vergabe offenlege, die heute be-
reits vom bestehenden "Airlock"-IAM-System erbracht würden. Die fragli-
che Vergabe beinhalte aber keine solchen Leistungen des Produkts "Air-
lock". Die Beschwerdeführerin bleibe überdies den Nachweis schuldig,
dass sie mit ihrem Produkt in der Lage wäre, sämtliche Funktionalitäten
und Anforderungen zu erfüllen, welche die Bundesverwaltung für ihr IAM
benötige und welche heute die "Nevis"-basierte Lösung abdecke. Damit
die Bundesverwaltung ununterbrochen das bestehende IAM-System auf-
rechterhalten könne und bei Bedarf neue Lösungen und Applikationen an
das bestehende IAM-System anbinden könne, seien die nachgefragten
Leistungen für Wartung, Support und Weiterentwicklung der Nevis-Pro-
dukte zwingend notwendig. Auch für Leistungen (Lizenzen, Wartung, Sup-
port und Weiterentwicklung) für Applikationen, die neu an das bestehende
IAM-System angebunden werden müssten, komme zum heutigen Zeit-
punkt nur die Zuschlagsempfängerin in Frage. Die Vergabestelle beschaffe
keine neuen IAM-Systeme, es handle sich nicht um ein Migrationsprojekt,
sondern wolle die bestehenden "Nevis"-basierenden IAM-Systeme so
lange weiter nutzen, bis die Studie und die IAM-Strategie festgelegt und
umgesetzt seien. Die Beschwerdeführerin räume selber ein, dass sie die
benötigten Leistungen nicht erbringen könne, da sie keine zertifizierte Part-
nerin der Nevis Security AG sei. Auf kleinere IAM-Anwendungen könne die
Behauptung der Beschwerdeführerin, das IAM-System sei so einfach, dass
zwei Produkte parallel eingesetzt werden könnten, allenfalls zutreffen, nicht
aber auf die komplexen IAM-Systeme der zivilen Bundesverwaltung. Die
Einführung eines Parallelsystems sei abzulehnen. Die Beschaffungsbe-
schwerde könne nicht dazu dienen, einen Strategiewechsel bei der Bun-
desinformatik herbeizuführen, wozu die zwangsweise Einführung eines
weiteren Produkts aber führen würde. Der Aufbau eines Parallelbetriebs
hätte nicht verantwortbare technische Risiken und unverhältnismässige fi-
nanzielle und personelle Aufwände zur Folge. Die von der Beschwerdefüh-
rerin behaupteten "Vorteile" eines Einsatzes von mehreren Produkten rea-
B-3580/2021
Seite 10
lisierten sich in Bezug auf das Bundes-IAM so nicht. Die vorgängig zur frei-
händigen Beschaffung durchgeführte Marktanalyse habe auch gezeigt,
dass keine grössere Unternehmung zwei Produkte für ein IAM-System ein-
setzen würde. Dies hätten auch IAM-Spezialisten bestätigt. Ein Parallelein-
satz entspreche demnach nicht – wie von der Beschwerdeführerin behaup-
tet – dem aktuellen Wissen moderner Softwareentwicklung. Auch in Bezug
auf die Leistungen zum Anschluss neuer Lösungen erweise sich die Vor-
nahme einer freihändigen Vergabe als einzige angemessene Lösung. Die
allfällige Einführung eines neuen Produkts erfolge vernünftigerweise erst
auf der Basis einer produkteneutralen IAM-Strategie. Basierend auf dieser
Strategie erfolge dann eine entsprechende Beschaffung eines IAM-Sys-
tems. Zu Recht halte die Beschwerdeführerin fest, dass es zwingend not-
wendig sei, in einem weiteren Schritt ein entsprechendes Vergabeverfah-
ren durchzuführen. Das zukünftige Vergabeverfahren vermöge aber die
vorliegende, sachlich begründete freihändige Vergabe nicht zu ersetzen
und könne nicht vorgezogen werden. Der Bundesverwaltung müsse die
nötige Zeit zur Verfügung stehen, um solide Grundlagen für die künftige
IAM-Strategie und deren Umsetzung zu schaffen. Die Beschwerdeführerin
gehe fehl in der Annahme, mit dem hier zugeschlagenen Volumen könnten
die IAM-Systeme des Bundes komplett neu aufgebaut werden. Allein die
Migration würde die 71 Mio. Fr. verschlingen, ein laufender Betrieb über die
nächsten fünf Jahre wäre nicht ansatzweise abgedeckt.

Das Bundesverwaltungsgericht zieht in Erwägung:
1.
Ob die Prozessvoraussetzungen erfüllt sind und ob auf eine Beschwerde
einzutreten ist, prüft das Bundesverwaltungsgericht von Amtes wegen und
mit freier Kognition (vgl. BVGE 2007/6 E. 1 m. H.).
1.1 Am 1. Januar 2021 traten das totalrevidierte Bundesgesetz vom
21. Juni 2019 über das öffentliche Beschaffungswesen (BöB, SR
172.056.1), die dazugehörende Verordnung vom 12. Februar 2020 über
das öffentliche Beschaffungswesen (VöB, SR 172.056.11) sowie das revi-
dierte WTO-Übereinkommen über das öffentliche Beschaffungswesen vom
15. April 1994 (Government Procurement Agreement [GPA;
SR 0.632.231.422], Fassung gemäss Ziff. 1 des Protokolls vom 30. März
2012 [im Folgenden: GPA 2012], BBl 2017 2175 ff.) in Kraft. Gemäss der
B-3580/2021
Seite 11
in Art. 62 BöB enthaltenen Übergangsbestimmung werden Vergabeverfah-
ren, die vor Inkrafttreten dieses Gesetzes eingeleitet wurden, nach bishe-
rigem Recht zu Ende geführt.
Vorliegend ergibt sich aus den Vergabeakten, dass der verwaltungs-
interne Antrag auf eine freihändige Auftragsvergabe vom 16. April 2021 da-
tiert. Die Einleitung des Vergabeverfahrens fand demnach im Jahr 2021,
nach Inkrafttreten des revidierten BöB statt. Auf den vorliegenden Fall ist
daher das revidierte BöB anwendbar.
1.2 Das Bundesverwaltungsgericht ist zuständig für die Beurteilung von
Beschwerden gegen die Erteilung eines Zuschlags, der in den Anwen-
dungsbereich des BöB fällt (vgl. Art. 52 Abs. 1 i.V.m. Art. 53 Abs. 1 Bst. e
BöB).
1.2.1 Das BöB findet auf die Vergabe öffentlicher Aufträge durch unter-
stellte Auftraggeberinnen innerhalb und ausserhalb des Staatsvertragsbe-
reichs Anwendung (Art. 1 BöB). Das BöB ist anwendbar, wenn die Auftrag-
geberin dem Gesetz untersteht (Art. 4 BöB), wenn der Beschaffungsge-
genstand sachlich erfasst ist (Art. 8 BöB), der geschätzte Wert des zu ver-
gebenden öffentlichen Auftrages den entsprechenden Schwellenwert (Art.
52 Abs. 1 BöB in Verbindung mit den Anhängen 4 und 5 zum BöB) erreicht
und keiner der Ausnahmetatbestände von Art. 5 oder Art 10 BöB gegeben
ist.
1.2.2 Innerhalb des Anwendungsbereichs des Gesetzes definiert Art. 52
BöB die Voraussetzungen für den Rechtsschutz. Unterschieden wird dabei
zwischen dem Rechtsschutz im und ausserhalb des Staatsvertragsbe-
reichs (vgl. Art. 52 Abs. 1 BöB). Vom Staatsvertragsbereich erfasst werden
Beschaffungen, welche dem GPA 2012 unterstellt sind (vgl. BVGE 2008/48
"Areal- und Gebäudeüberwachung PSI" E. 2.1 m.H.). Ein Begehren um
aufschiebende Wirkung ist nur im Staatsvertragsbereich zulässig (vgl.
Art. 52 Abs. 2 BöB). Wie nach altem Recht gilt demnach nur im Staatsver-
tragsbereich Primärrechtsschutz, wogegen für die neu rechtsschutzunter-
stellen Vergaben nur Sekundärrechtsschutz zur Verfügung steht (Botschaft
vom 15. Februar 2017 zur Totalrevision des BöB [im Folgenden: Botschaft
Totalrevision BöB], BBl 2017 1851, 1977 zu Art. 52 Abs. 2 BöB; vgl. Zwi-
schenentscheid des BVGer B-4703/2021 vom 19. April 2022 E. 2.2 und
E. 2.5.1).
B-3580/2021
Seite 12
1.2.3 Die Vergabestelle untersteht als Teileinheit der allgemeinen Bundes-
verwaltung dem BöB (Art. 4 Abs. 1 Bst. a BöB).
1.2.4 Die massgebenden Schwellenwerte für Lieferungen und Leistungen
innerhalb und ausserhalb des Staatsvertragsrechts sind in den Anhängen
4 und 5 zum BöB festgelegt.
Die Vergabestelle geht in Ziffer 1.4 der SIMAP-Zuschlagsverfügung vom
21. Juli 2021 von einem "Dienstleistungsauftrag" aus. Art. 8 Abs. 4 BöB
sieht vor, dass im Staatsvertragsbereich die Leistungen nach Massgabe
der Anhänge 1-3 dem BöB unterstehen, soweit sie den Schwellenwert
nach Anhang 4 Ziffer 1 erreichen. Anders als Bauleistungen und Lieferun-
gen, die in sachlicher Hinsicht grundsätzlich allesamt dem staatsvertragli-
chen Vergaberecht unterstellt sind, gilt für Dienstleistungen sowohl nach
GPA 2012 (vgl. Anhang 1 Annex 5) als auch nach dem auf den 1. Juni 2002
in Kraft getretenen bilateralen Abkommen vom 21. Juni 1999 zwischen der
Schweizerischen Eidgenossenschaft und der Europäischen Gemeinschaft
über bestimmte Aspekte des öffentlichen Beschaffungswesens (BAöB,
SR 0.172.052.68, vgl. Anhang VI) eine sogenannte Positivliste (Anhang 3
zum BöB). Die für die Geltung der Staatsverträge in sachlicher Hinsicht
massgebliche Dienstleistungs-Positivliste verweist auf einzelne Ziffern der
provCPC-Klassifikation (Provisional Central Product Classification) (zum
Ganzen BVGE 2011/17 E. 5.2.1 ff. "Personalverleih"; Urteil des BVGer
B-4958/2013 vom 30. April 2014 E. 1.5.2 "Projektcontrollingsystem Alp-
Transit"). In Ziffer 2.2 der SIMAP-Zuschlagsverfügung wies die Vergabe-
stelle die Beschaffung der Dienstleistungskategorie CPC "Datenverarbei-
tung und verbundene Tätigkeiten" zu. Gemäss Anhang 3 zum BöB ent-
spricht diese Kategorie der provCPC-Referenznummer 84 (ebenso An-
hang I Annex 5 GPA 2012: Datenverarbeitung und verbundene Dienstleis-
tungen). Die Vergabestelle wies die Beschaffung sodann den CPV (Com-
mon Procurement Vocabulary)-Kategorien "72212100 – Entwicklung von
branchenspezifischer Software" und "72000000 - IT Dienste: Beratung,
Software-Entwicklung, Internet und Hilfestellung" zu (Ziffer 2.3 der SIMAP-
Zuschlagsverfügung). Gegenstand des im vorliegenden Verfahren ange-
fochtenen Zuschlags ist der Bezug von Softwarelizenzen, Wartung, Sup-
port und Weiterentwicklungen. Die Einstufung in die erwähnten Kategorien
erscheint daher als zutreffend. Bei der vorliegenden Beschaffung handelt
es sich demnach um einen Dienstleistungsauftrag im Sinne von Art. 8 BöB
in Verbindung mit Anhang 3 zum BöB.
B-3580/2021
Seite 13
Angesichts des Preises des berücksichtigten Angebots von
Fr. 71'495'029.50 (inkl. MwSt. und inkl. Optionen) ist davon auszugehen,
dass der geschätzte Auftragswert den für Dienstleistungen geltenden
Schwellenwert von Fr. 230'000.– übersteigt (Art. 8 Abs. 4 BöB i.V.m. An-
hang 4 Ziff. 1.1 zum BöB).
1.2.5 Da auch kein Ausnahmetatbestand im Sinne von Art. 10 BöB vorliegt,
fällt die vorliegend angefochtene Beschaffung nicht nur in den Anwen-
dungsbereich des Bundesgesetzes über das öffentliche Beschaffungswe-
sen, sondern auch in den Staatsvertragsbereich.
1.2.6 Das Bundesverwaltungsgericht ist daher für die Beurteilung der vor-
liegenden Streitsache zuständig.
1.3 Das Beschwerdeverfahren richtet sich nach den Bestimmungen des
VwVG, soweit das BöB nichts anderes bestimmt (vgl. Art. 55 BöB).
1.4 Das Bundesverwaltungsgericht hat mit Zwischenentscheid vom
30. November 2021 der Beschwerde die aufschiebende Wirkung verwei-
gert, soweit sie Leistungen für Applikationen betrifft, für die bereits jetzt
"Nevis" eingesetzt wurde. In der Folge schloss die Vergabestelle am
21. Dezember 2021 einen Vertrag im erlaubten Umfang mit der Zuschlags-
empfängerin ab.
Mit diesem Vertragsschluss zwischen der Vergabestelle und der Zu-
schlagsempfängerin wird das Beschwerdebegehren der Beschwerdefüh-
rerin auf Aufhebung der Zuschlagsverfügung und Rückweisung der Sache
zur Durchführung eines Vergabeverfahrens und neuer Zuschlagserteilung
teilweise gegenstandslos.
In einer derartigen Situation wird an sich praxisgemäss – in maiore minus
– ein Interesse der Beschwerdeführerin daran, dass das Bundesverwal-
tungsgericht in seinem Urteil feststelle, inwiefern die angefochtene Verfü-
gung Bundesrecht verletze (Art. 58 Abs. 2 BöB) und über ein allfälliges
Schadenersatzbegehren entscheide (Art. 58 Abs. 3 BöB), als hinreichen-
des Interesse anerkannt, um eine Beschwerdelegitimation zu begründen.
Allerdings beschränkt sich der mögliche Schadenersatz auf die erforderli-
chen Aufwendungen, die der Beschwerde führenden Anbieterin im Zusam-
menhang mit der Vorbereitung und Einreichung ihres Angebots erwachsen
sind (Art. 58 Abs. 4 BöB). Wird, wie vorliegend, ein freihändiger Zuschlag
angefochten, so dass die Beschwerdeführerin gar kein eigenes Angebot
B-3580/2021
Seite 14
eingereicht hatte, ist daher ein derartiges Interesse der Beschwerdeführe-
rin nicht ersichtlich.
Soweit das vorliegende Verfahren durch den vom Gericht autorisierten Ver-
tragsabschluss gegenstandslos geworden ist, ist daher lediglich noch im
Hinblick auf die Kostenverlegung zu prüfen, wie die Beschwerde in Bezug
auf diesen Teil des Streitgegenstands zu entscheiden gewesen wäre (vgl.
Art. 5 des Reglements vom 21. Februar 2008 über die Kosten und Ent-
schädigungen vor dem Bundesverwaltungsgericht [VGKE, SR 173.320.2]).
1.5 Die Beschwerdelegitimation richtet sich auch im Beschaffungsrecht
nach dem allgemeinen Verfahrensrecht des Bundes (vgl. BGE 137 II 313
E. 3.2 "Microsoft"). Eine Ausnahme von diesem Grundsatz stellt Art. 56
Abs. 4 BöB dar, der in Bezug auf Beschwerden gegen einen freihändigen
Zuschlag eine besondere Regelung enthält. Demnach kann gegen Zu-
schläge im freihändigen Verfahren nur Beschwerde führen, wer nachweist,
dass er die nachgefragten Leistungen oder damit substituierbare Leistun-
gen erbringen kann und erbringen will. Es kann nur gerügt werden, das
freihändige Verfahren sei zu Unrecht angewandt oder der Zuschlag sei auf-
grund von Korruption erteilt worden (Art. 56 Abs. 4 BöB).
1.5.1 Beruft sich die Vergabestelle für die Zulässigkeit des Freihandverfah-
rens darauf, dass für den beabsichtigten Beschaffungsgegenstand nur ein
Anbieter in Frage komme, und macht der Beschwerdeführer dagegen gel-
tend, der Beschaffungsgegenstand sei zu Unrecht so definiert worden, so
ist unter dem revidierten BöB nun unzweideutig klargestellt, dass nicht nur
beschwerdelegitimiert ist, wer geltend macht, genau diese Leistung erbrin-
gen zu können, sondern auch, wer nachweist, dass es eine damit substi-
tuierbare Leistung gibt, die er erbringen könnte. Ob die Vergabestelle den
Beschaffungsgegenstand zulässigerweise so eng festgelegt hat, dass nur
ein Anbieter in Frage kommt, oder ob es eine damit substituierbare Leis-
tung gäbe, wird damit zu einem sogenannten doppelrelevanten Sachver-
halt: Diese Frage bildet Gegenstand der materiellen Beurteilung (weil da-
von die Zulässigkeit des freihändigen Verfahrens abhängt), aber zugleich
ist sie vorfrageweise von Bedeutung für das Vorliegen der Prozessvoraus-
setzungen (vgl. BGE 141 II 14 E. 5.1 "Monte Ceneri"; BGE 137 II 313
E. 3.3.2 f. "Microsoft"; Urteil des BVGer B-1570/2015 vom 7. Oktober 2015
E. 1.5.2 f. "Warnblitzleuchte Eflare"). Für derartige doppelrelevante Sach-
verhalte gilt, dass es im Stadium der Prüfung der Eintretensvoraussetzun-
gen genügt, wenn der Beschwerdeführer glaubhaft macht ("mit einer ge-
wissen Wahrscheinlichkeit geltend macht", "rende vraisemblable"), dass
B-3580/2021
Seite 15
seine Aussichten, nach einer Aufhebung der angefochtenen Verfügung den
Zuschlag zu erhalten, intakt sind (vgl. BGE 141 II 14 E. 5.1 "Monte Ceneri",
m.H.; FLORIAN C. ROTH, in: Trüeb [Hrsg.], Handkommentar zum schweize-
rischen Beschaffungsrecht, 2020, Art. 56 N. 33).
1.5.2 Die Vergabestelle bestreitet die Beschwerdelegitimation der Be-
schwerdeführerin mit dem Argument, mit der vorliegenden Beschaffung
würden in erster Linie Dienstleistungen und Wartungslizenzen beschafft,
die sich auf das im Bund bereits verbreitet eingeführte Produkt "Nevis" be-
zögen. Zum heutigen Zeitpunkt sei es unmöglich, das Produkt "Nevis" nicht
mehr einzusetzen. Da die Beschwerdeführerin nicht als Partnerin der Pro-
dukteeigentümerin Nevis Security AG fungiere, sei davon auszugehen,
dass diese Leistungen von ihr nicht erbracht werden könnten. Nur die Zu-
schlagsempfängerin verfüge über den erforderlichen Partnerstatus. Sie sei
daher als einzige in der Lage, das Gesamtpaket von Wartung, Support,
Lizenzen und kundenspezifischer Anpassungen am Produkt "Nevis" aus
einer Hand anzubieten. Solange die IAM-Strategie weder vorliege noch
umgesetzt sei beziehungsweise das aktuell im Einsatz stehende Produkt
"Nevis" in Betrieb bleiben müsse, sei der Markt für die vorliegend in Frage
stehenden Dienstleistungen auf eine Unternehmung – die Zuschlagsemp-
fängerin – beschränkt.
Die Beschwerdeführerin machte in ihrer Beschwerde geltend, sie könne
den Dienstleistungsauftrag im Sinne einer angemessenen Alternative zur
Zuschlagsempfängerin erfüllen. In ihrer Stellungnahme vom 16. Septem-
ber 2021 relativiert sie diese Aussage dahingehend, dass sie nicht die Ab-
sicht habe, "Nevis" zu ersetzen. Ihr Ziel sei es vielmehr, Regeln zu schaf-
fen, die definierten, welche neuen Applikationen und Leistungen künftig
über die bestehende "Airlock"-IAM-Installation und welche über "Nevis" au-
thentisiert und autorisiert würden. Sie möchte ihre Leistungen dort parallel
erbringen, wo sie dies wesentlich kostengünstiger tun könne. Ihr Produkt
"Airlock IAM" sei schon seit 2010 in der Bundesverwaltung im Einsatz. Ver-
schiedene Leistungserbringer in den Departementen EDA, EFD, WBF,
UVEK, EJPD und VBS nutzten "Airlock"-IAM. Das BIT verfüge bereits über
ein Team von Engineers, das auf der Basis von "Airlock"-IAM diese Integra-
tion vornehmen könne. Auf der Basis der bestehenden "Airlock"-IAM-In-
stallation könnten die Beschwerdeführerin und ihr Partner mindestens ei-
nen Teil der zusätzlich zu erwartenden Applikationen gemäss den Anforde-
rungen authentisieren und autorisieren. Sie biete mit "Airlock IAM" ein Pro-
dukt mit vergleichbarem Leistungsumfang wie "Nevis" an, jedoch im Ver-
gleich mit der Zuschlagsempfängerin zu einem kostengünstigen Ansatz.
B-3580/2021
Seite 16
Bevor die Software "Nevis" in grossem Umfang in der Bundesverwaltung
weiterverbreitet werde, sei eine Prüfung von Alternativen beziehungsweise
die Prüfung der Frage erforderlich, ob eine Implementation mit dem Pro-
dukt der Beschwerdeführerin wirtschaftlicher und mit weniger Risiken mög-
lich sei.
1.5.3 Nachdem die Beschwerdeführerin im Lauf des Verfahrens ihre Be-
hauptung, alle Leistungen, die Gegenstand der angefochtenen freihändi-
gen Beschaffung sind, in damit substituierbarer Form erbringen zu wollen,
relativiert hat auf diejenigen Leistungen, welche neue Applikationen und
Leistungserbringungen betreffen, war sie nicht mehr legitimiert, den Zu-
schlag insofern anzufechten, als dieser Leistungen für Applikationen be-
trifft, für die bereits jetzt "Nevis" eingesetzt werden.
Soweit daher im Hinblick auf die Kostenverlegung für den gegenstandslos
gewordenen Teil des Streitgegenstands zu prüfen ist, wie die Beschwerde
diesbezüglich zu entscheiden gewesen wäre (vgl. E. 1.4 hievor), ist daher
davon auszugehen, dass diesbezüglich auf die Beschwerde nicht einzutre-
ten gewesen wäre.
1.6 Soweit es in der angefochtenen freihändigen Vergabe dagegen um
neue Applikationen und Leistungen geht, bei denen zurzeit noch nicht "Ne-
vis" zur Anwendung gelangt, und in Bezug auf welche das Bundesverwal-
tungsgericht die aufschiebende Wirkung gewährt hat, ist zwischen den Par-
teien umstritten, ob das von der Vergabestelle favorisierte "Nevis"-System
durch das von der Beschwerdeführerin angebotene "Airlock"-System sub-
stituierbar ist oder nicht.
Die Vergabestelle macht diesbezüglich geltend, die Beschwerdeführerin
bleibe den Nachweis schuldig, dass sie mit ihrem Produkt in der Lage wäre,
sämtliche Funktionalitäten und Anforderungen zu erfüllen, welche die Bun-
desverwaltung für ihr IAM benötige und welche die "Nevis"-basierte Lösung
abdecke. Erst die geplante Studie werde zeigen, ob das Produkt der Be-
schwerdeführerin den verlangten Zweck erfüllen könne.
1.6.1 Die Beweislast für das Vorliegen der Voraussetzungen für eine frei-
händige Vergabe liegt bei der Vergabestelle (vgl. E. 2.1 hienach). Da und
soweit die Vergabestelle nicht konkret und nachvollziehbar dargelegt hat,
welche Funktionalitäten und Anforderungen das IAM-System für die neuen
Applikationen und Leistungen, bei denen zurzeit noch nicht "Nevis" zur An-
B-3580/2021
Seite 17
wendung gelangt, je aufweisen muss, obliegt die Substantiierungslast da-
für, dass die Beschwerdeführerin mit ihrem System diese Funktionalitäten
und Anforderungen erfüllt und insofern eine substituierbare Leistung anbie-
ten könnte, daher nicht der Beschwerdeführerin, zumal unbestritten ist,
dass deren Produkt "Airlock" bereits bisher in der Bundesverwaltung in ver-
schiedenen Departementen genutzt wird.
Ansonsten bezieht sich die Argumentation der Vergabestelle lediglich auf
die Frage, ob ihr eine derartige Substitution zumutbar sei, insbesondere in
wirtschaftlicher Hinsicht und unter Risikoaspekten, und nicht auf die Frage,
ob die Beschwerdeführerin überhaupt eine substituierbare Leistung anbie-
ten könne.
Unter diesen Umständen ist davon auszugehen, dass die Beschwerdefüh-
rerin in für die Legitimationsfrage erforderlichem Ausmass glaubhaft ge-
macht hat, dass "Nevis" in Bezug auf die neuen Applikationen und Leistun-
gen, bei denen zurzeit noch nicht "Nevis" zur Anwendung gelangt, durch
"Airlock" substituierbar ist.
1.6.2 In Bezug auf die Anfechtung der freihändigen Beschaffung von IAM-
Dienstleistungen für diese neuen Applikationen und Leistungen ist die Le-
gitimation der Beschwerdeführerin daher gegeben.
1.7 Eingabefrist sowie die Anforderungen an Form und Inhalt der Be-
schwerdeschrift sind gewahrt (vgl. Art. 50 Abs. 1 und Art. 52 Abs. 1 VwVG),
der Rechtsvertreter hat sich rechtsgenüglich ausgewiesen (vgl. Art. 11
VwVG) und der Kostenvorschuss wurde fristgerecht bezahlt (vgl. Art. 63
Abs. 4 VwVG).
1.8 Auf die Beschwerde ist daher einzutreten, soweit sie sich gegen die
freihändige Beschaffung von IAM-Dienstleistungen für neue Applikationen
und Leistungen, bei denen zurzeit noch nicht "Nevis" zur Anwendung ge-
langt, richtet.
2.
Die Beschwerdeführerin rügt, das freihändige Verfahren sei in unzulässiger
Weise zur Anwendung gelangt.
2.1 Die Vergabestelle kann einen Auftrag unabhängig vom Schwellenwert
freihändig vergeben, wenn eine der in Art. 21 Abs. 2 Bst. a-i BöB aufge-
führten Voraussetzungen erfüllt ist. Diese abschliessend aufgezählten Aus-
nahmetatbestände bilden einen numerus clausus, egal wie überzeugend
B-3580/2021
Seite 18
andere mögliche Rechtfertigungen für freihändige Vergaben sein mögen
("no matter what the justification"; SUE ARROWSHMITH, Government Procu-
rement in the WTO, 2003, S. 282; vgl. Zwischenentscheid des BVGer
B-3402/2009 vom 2. Juli 2009, auszugsweise publiziert in BVGE 2009/19
E. 4.1 m.H. "Microsoft"). Da es sich um Ausnahmen handelt, sind die Tat-
bestände, unter denen eine freihändige Beschaffung zulässig ist, nach der
Rechtsprechung restriktiv auszulegen (Entscheide der Eidgenössischen
Rekurskommission für das öffentliche Beschaffungswesen [BRK] vom
26. Januar 2001, in: Verwaltungspraxis der Bundesbehörden[VPB] 65.77
E. 2a; vom 3. November 2000, in: VPB 65.41 E. 4a m.H; PETER
GALLI/ANDRÉ MOSER/ELISABETH LANG/MARC STEINER, Praxis des öffentli-
chen Beschaffungsrechts, 3. Aufl. 2013, Rz. 291; Botschaft Totalrevision
BöB, BBl 2017 1851, 1925; insoweit kritisch ARROWSMITH, a.a.O., S. 282
f.; HANS RUDOLF TRÜEB/NATHALIE CLAUSEN, in: Oesch/Weber/Zäch [Hrsg.],
Wettbewerbsrecht II, 2. Aufl. 2021, Rz. 5 f. zu Art. 21 BöB).
Die Vergabestelle ist verpflichtet darzutun, dass sie sich einlässlich mit den
Anwendungsvoraussetzungen der Norm auseinandergesetzt und vor de-
ren Anwendung insbesondere detailliert abklärt hat, ob es wirklich keine
angemessene Alternative zum Angebot des von ihr präferierten Anbieters
gibt; dafür muss sie zwar kein vorgängiges offenes Verfahren durchführen,
aber dennoch das Vorliegen der Voraussetzungen für die Anwendung der
Ausnahmevorschrift anhand der durchgeführten Abklärungen zumindest
glaubhaft machen (GALLI/MOSER/LANG/STEINER, a.a.O., Rz. 406). Insbe-
sondere muss die Vergabestelle darlegen, dass sie sich im Lichte der kon-
kreten Beschaffung – vor Einleitung der freihändigen Vergabe – detailliert
mit den Anwendungsvoraussetzungen der Ausnahmevorschrift auseinan-
dergesetzt, in vergaberechtskonformer Weise technische Anforderungen
aufgestellt und gestützt darauf den Markt analysiert hat, bevor sie zum
Schluss gekommen ist, dass die Voraussetzungen für eine freihändige
Vergabe erfüllt sind (Urteil des BVGer B-1570/2015 E. 2.3 ff. "Warnblitz-
leuchte Eflare").
Wer sich auf das Vorliegen eines Ausnahmetatbestands für die freihändige
Vergabe beruft, hat grundsätzlich nachzuweisen, dass alle Voraussetzun-
gen dafür erfüllt sind. Die Beweislast für das Vorliegen der die Ausnahme
begründenden Tatsachen liegt daher bei der Vergabestelle (vgl.
B-1570/2015 E. 2.3 ff. "Warnblitzleuchte Eflare"; Zwischenentscheid
B-3402/2009, auszugsweise publiziert in BVGE 2009/19 E. 4.2 "Microsoft";
Entscheid der BRK vom 3. November 2000, in: VPB 65.41 E. 4b; ARROWS-
MITH, a.a.O., S. 282; GALLI/MOSER/LANG/STEINER, a.a.O., Rz. 301).
B-3580/2021
Seite 19
2.2 Im vorliegenden Fall beruft sich die Vergabestelle zur Begründung ihrer
freihändigen Vergabe auf Art. 21 Abs. 2 Bst. c BöB, welcher wie folgt lautet:
Die Auftraggeberin kann einen Auftrag unabhängig vom Schwellenwert frei-
händig vergeben, wenn aufgrund der technischen oder künstlerischen Beson-
derheiten des Auftrags oder aus Gründen des Schutzes geistigen Eigentums
nur eine Anbieterin in Frage kommt und es keine angemessene Alternative
gibt (vgl. Art. 21 Abs. 2 Bst. c BöB).
2.3 Die Vergabestelle macht diesbezüglich geltend, die aktuellen IAM-Lö-
sungen des Bundes basierten auf dem Produkt "Nevis". Dieses Produkt sei
in den Jahren 2002-2003 eingeführt worden und bestehe aus verschiede-
nen Modulen. Im Verlauf der Jahre sei die Anzahl Benutzer und genutzter
"Nevis"-Module erhöht worden. Der Zuschlag sei der Zuschlagsempfänge-
rin erteilt worden, weil sie aktuell die einzige zertifizierte Partnerin von "Ne-
vis" sei. Lediglich die Zuschlagsempfängerin sei in der Lage, aufgrund ih-
res Partnerstatus beziehungsweise ihrer Zertifizierung durch die Nevis
Security AG das Gesamtpaket von Wartung, Support, Lizenzen und kun-
denspezifischen Anpassungen am Produkt "Nevis" aus einer Hand anzu-
bieten. Erst wenn weitere Firmen zertifiziert seien, würde die Möglichkeit
bestehen, den Leistungserbringer für Wartung, Support und Betrieb zu
wechseln, ohne das Produkt "Nevis" austauschen zu müssen.
Müssten kurzfristig die Zugriffsrechte bei neu hinzukommenden Applikati-
onen mit einem anderen Produkt verwaltet werden, müsste ein paralleler
Betrieb von jeweils zwei solchen Systemen aufgebaut werden. Eine solche
Erweiterung durch ein zweites IAM-System pro Leistungserbringer hätte
nicht verantwortbare technische Risiken und unverhältnismässige Mehr-
kosten zur Folge und würde dem Grundsatz der Wirtschaftlichkeit nicht ent-
sprechen. Zudem habe der Bundesrat mit seinen Standardisierungsent-
scheiden vom 13. Dezember 2013 beziehungsweise 29. Juni 2016 festge-
legt, dass es pro Organisation nur einen IAM-Standard geben solle. Die
Vergabestelle sei daher nicht befugt, ohne Weiteres ein zweites Produkt
einzuführen und damit eine Mehrproduktestrategie zu fahren. Das Produkt
"Airlock" der Beschwerdeführerin werde vom BIT zwar bereits eingesetzt,
aber zu einem anderen Zweck als das Produkt "Nevis". Die restlichen zivi-
len Leistungserbringer setzten das Produkt "Airlock" nicht ein. Die Airlock-
Anwendung beim BIT unterstütze das IAM-System von "Nevis". Es diene
dem Zweck, eine Authentifizierung von Zweitfaktoren wie beispielsweise
via SMS zu ermöglichen. Es handle sich um einen einfachen Vorgang, der
nicht mit der Komplexität oder dem Zweck des IAM-Services vergleichbar
B-3580/2021
Seite 20
sei. Die Marktabklärung von 2016 habe ergeben, dass das Produkt "Air-
lock" nicht den gleichen Zweck wie "Nevis" erfüllen könne. Ob sich dieses
Bild verändert habe, werde die Studie, die derzeit erarbeitet werde, zeigen.
Wenn ein anderes Produkt für den IAM-Service eingesetzt werden solle
(ein auf dem Markt vorhandenes oder allenfalls eine bundesinterne eigene
Entwicklung), müsse das Gesamtsystem auf ein neues Produkt migriert
werden. Bevor eine umfassende Migration des Gesamtsystems auf ein
neues Produkt an die Hand genommen werden könne, benötige die Bun-
desverwaltung eine neue, langfristig ausgerichtete IAM-Strategie. Liege
diese vor, würden auch die nächsten beschaffungsrechtlichen Schritte ge-
plant und durchgeführt. Um diese Strategie zu entwickeln, sei eine fun-
dierte Studie erforderlich. Diese werde derzeit erarbeitet.
2.4 In den eingereichten Vergabeakten befindet sich eine interne "Begrün-
dung für die freihändige Vergabe nach dem Gesetz über das öffentliche
Beschaffungswesen (BöB), Art. 21 Abs. 2 lit. c BöB" vom 16. April 2021 (im
Folgenden: Begründung vom 16. April 2021), in welche die Beschwerde-
führerin grösstenteils Einsicht erhielt. In dieser Begründung wird ausge-
führt, das heutige Produkt "Nevis" und der Partner Y._ AG seien im
Jahr 2003 vom ISC-EJPD evaluiert worden. Die wichtigsten Gründe für den
damaligen Entscheid für dieses Produkt und die freihändige Vergabe seien
die Flexibilität der Lösung, die "Enterprise-Fähigkeit" und die Referenzen
auf dem Schweizer Markt, der hohe Level an IT-Sicherheit, die Anpas-
sungsmöglichkeiten auf die Bedürfnisse des Bundes und die gute Perspek-
tive gewesen. Später hätten sich auch das BIT und das ISCeco aus den-
selben Gründen, und weil "Nevis" bereits in der Bundesverwaltung einge-
setzt worden sei, für das Produkt und die Zuschlagsempfängerin
Y._ AG entschieden. Die Arbeitslosenversicherung betreibe eigene
Fachanwendungen und arbeite mit Fachanwendungen der Kantone zu-
sammen. Ein Identity- und Access Management in einer so verteilten Um-
gebung mit unterschiedlichsten Zugriffsrechten von unterschiedlichen Or-
ganisationen beinhalte eine sehr hohe Komplexität. Mittels einer auf "Ne-
vis" basierten ALV-Bridge würden die Identitäten mit weiteren Attributen an-
gereichert und ermöglichten so den Zugriff auf die Infrastruktur eines Kan-
tons. Diese IAM ALV-Bridge sei von Y._ AG entwickelt worden. Die
Wahl sei diesbezügliche auf "Nevis" gefallen, da die ALV-Bridge ein Über-
gang von der aktuellen BIT-IAM Lösung darstelle und deren Technologie
verwende.
B-3580/2021
Seite 21
Auch wenn eine Lösung zur vollsten Zufriedenheit betrieben und weiterent-
wickelt werden könne, sei es notwendig, periodisch die Strategie zu über-
denken und die Produkte und Partner in Frage zu stellen. Ein Strategieent-
scheid erfordere immer eine ausgiebige Studie, die einerseits den aktuel-
len Produkte-Markt analysiere, die Bedürfnisse von heute und morgen und
die technische Entwicklung im Themenbereich und die Folgen und Kosten
einer eventuellen Migration auf ein Drittprodukt oder gar auf eine Eigenent-
wicklung aufzeige. Die Anforderungen an IAM in der Bundesverwaltung
seien in den letzten Jahren sprunghaft angestiegen. Auch habe durch die
Corona-Krise der elektronische Zugang zur Bundesverwaltung einen ganz
anderen Stellenwert erhalten, so dass seit einem Jahr sehr viele hoch sen-
sible und arbeitsintensive Anpassungen an IAM durchgeführt und für das
BAG und Swissmedic wie auch für weitere einige neue Lösungen integriert
worden seien. Nun solle auf Basis der aktuellen Bedürfnisse in der Bun-
desverwaltung und der technischen Möglichkeiten von heute möglichst
zeitnah die IAM-Strategie überprüft werden. Eine entsprechende Studie sei
bis Ende 2021 geplant im Hinblick auf einen Entscheid über die bundes-
weite IAM-Strategie im ersten Quartal 2022 (Begründung vom 16. April
2021, Ziff. 1.1.3 S. 4).
Es bestehe keine angemessene Alternative zu einer weiteren Beschaffung
der verschiedenen "Nevis"-Module, denn als Alternative komme nur eine
Migration der gesamten IAM-Lösungen beziehungsweise -Funktionalität
auf ein Drittsystem in Frage. Aktuell sei keine Standardsoftware bekannt,
die die bestehende IAM-Lösung sofort ersetzen könnte. Gemäss den
Marktabklärungen aus dem Jahr 2016 gebe es auf dem Markt keine alter-
native Standardsoftware, welche alle heute verwendeten Protokolle
(HTTPs, SSL, ICA, RMI/llOP, SAML, WS-Trust, künftig auch WS-Federa-
tion sowie OAuth) auch per single-sign-on anbiete. Ob eine erneute Markt-
abklärung zum selben Schluss komme, werde die im 2. Halbjahr 2021
durchzuführende Studie zeigen. Aber auch wenn es eine passende Alter-
nativsoftware geben würde, müsste jede der 400 Fachapplikationen ein-
zeln betrachtet beziehungsweise migriert werden (Begründung vom
16. April 2021, Ziff. 4.2.1-4.2.2 S. 8 f.).
2.5 Wie bereits dargelegt, liegt die Beweislast für das Vorliegen der Vo-
raussetzungen für eine freihändige Vergabe bei der Vergabestelle. Insbe-
sondere muss die Vergabestelle darlegen, dass sie sich im Lichte der kon-
kreten Beschaffung – vor Einleitung der freihändigen Vergabe – detailliert
mit den Anwendungsvoraussetzungen der Ausnahmevorschrift auseinan-
dergesetzt, in vergaberechtskonformer Weise technische Anforderungen
B-3580/2021
Seite 22
aufgestellt und gestützt darauf den Markt analysiert hat, bevor sie zum
Schluss gekommen ist, dass die Voraussetzungen für eine freihändige
Vergabe erfüllt sind (vgl. E. 2.1 hiervor).
Im vorliegenden Fall geht aus der vergabestelleninternen Begründung vom
16. April 2021 nicht hervor, dass diese Voraussetzungen gegeben wären.
Ganz im Gegenteil bringt dieses interne Papier unzweideutig zum Aus-
druck, dass eine genaue Analyse der eigenen technischen Bedürfnisse
und des relevanten Marktes noch gar nicht vorgenommen wurde, sondern
erst im Rahmen einer Studie geplant ist, die in der Zeit bis Ende 2021
durchgeführt werden soll, im Hinblick auf einen Entscheid über eine bun-
desweite IAM-Strategie im ersten Quartal 2022. Die letzte Marktabklärung
erfolgte vor sechs Jahren, und in der vergabestelleninternen Begründung
wird nicht substantiiert, aus welchen Gründen davon auszugehen sei, dass
eine erneute Marktanalyse zum gleichen Ergebnis führen würde, nämlich,
dass es keine Alternativprodukte gebe, welche "Nevis" substituieren könn-
ten, sondern es wird ausgeführt, dass erst diese Studie zeigen würde, ob
das Ergebnis der Abklärung heute das gleiche wäre.
Dass diese Studie nach der Verfassung dieser Begründung vom 16. April
2021 bereits durchgeführt worden wäre, hat die Vergabestelle nicht be-
hauptet.
2.6 Dass die Vergabestelle eine gewisse Zeit benötigt, um eine derartige
Studie durchzuführen, leuchtet ohne Weiteres ein. Da indessen das Resul-
tat der Analysen erforderlich ist, um eine freihändige Vergabe zu begrün-
den (vgl. E. 2.1 hievor), kann der Umstand, dass die Vergabestelle diese
noch nicht durchgeführt hat, sie nicht zu einer freihändigen Vergabe be-
rechtigen, zumal auch keine Gründe dargetan oder ersichtlich wären, wa-
rum die Vergabestelle ohne eigenes Verschulden daran gehindert gewe-
sen wäre, diese Studie oder Analysen rechtzeitig vor dem Entscheid für
eine freihändige Vergabe durchzuführen.
2.7 Die Vergabestelle macht geltend, der Bundesrat habe mit seinen Stan-
dardisierungsentscheiden vom 13. Dezember 2013 respektive 29. Juni
2016 festgelegt, dass es pro Organisation nur einen IAM-Standard geben
solle. Sie sei daher nicht befugt, ohne weiteres ein zweites Produkt einzu-
führen und damit eine Mehrproduktestrategie zu fahren.
Der Ausnahmetatbestand von Art. 21 Abs. 2 Bst. c BöB beruht seinerseits
auf Art. XIII Ziff. 1 Bst. b GPA-2012. Die Vergabestelle macht zu Recht nicht
B-3580/2021
Seite 23
konkret geltend, der Bundesrat wäre befugt, im in Frage stehenden Bereich
der Beschaffung eines IAM-Produkts von den Bestimmungen des GPA ab-
zuweichen. Die Standardisierungsentscheide des Bundesrats entbinden
die Vergabestelle daher nicht davon, den Nachweis zu erbringen, dass die
Voraussetzungen von Art. 21 Abs. 2 Bst. c BöB gegeben sind.
Hinzu kommt, dass die Beschwerde gegen die freihändige Vergabe der
IAM-Dienstleistungen in Bezug auf Leistungen und Applikationen, bei de-
nen bereits "Nevis" zur Anwendung kommt, nicht abgewiesen wurde, son-
dern auf diese Beschwerde lediglich nicht eingetreten wurde. Ob dieser Teil
der freihändigen Vergabe rechtskonform war oder nicht, bleibt damit unbe-
urteilt. Analog zum Ausnahmetatbestand einer Folgebeschaffung (Art. 21
Abs. 2 Bst. e BöB) ist auch bei einer Berufung auf den Wunsch nach einer
einheitlichen Lösung für alle Organisationseinheiten zu verlangen, dass die
früher bezogenen Leistungen, mit welchen die Einheitlichkeit gewünscht
wird, in einem dem massgeblichen Auftragswert entsprechenden Verfah-
ren vergeben worden sind (vgl. Zwischenentscheide B-3402/2009, aus-
zugsweise publiziert in BVGE 2009/19 E. 6.1 m.w.H. "Microsoft";
B-5729/2009 vom 15. Oktober 2009 E. 5.2.1; B-3576/2021 vom 10. Sep-
tember 2021 E. 4.2.7; Botschaft Totalrevision BöB, BBl 2017 1851, 1928;
GIANNI FRÖHLICH-BLEULER, Die Vergabe von IT-Verträgen / IV.-VI., BR Nr.
32 2016, S. 293 Rz. 61; ROBERT WOLF, Freihändige Beschaffung – Hand-
lungsfreiheiten und ihre Grenzen, I.-II., Aktuelles Vergaberecht 2010,
S. 146 Rz. 45 m.w.H.). Im vorliegenden Fall ist indessen unbestritten, dass
alle bisherigen "Nevis"-Beschaffungen freihändig erfolgt waren. Den Aus-
führungen der Vergabestelle lässt sich entnehmen, dass nicht nur die Un-
ternehmerlizenz "Nevis" im Jahr 2003 freihändig erworben wurde, sondern
auch die in den Folgejahren 2008, 2009, 2012, 2017 und 2021 benötigten
Dienstleistungen für das ISC-EJPD, das BIT und das ISCeco jeweils in frei-
händigen Verfahren bei der Zuschlagsempfängerin beschafft wurden. Im
Verlauf der Jahre vervielfachten sich die Kosten der Beschaffung von
3,75 Mio. Fr. im Jahr 2003 auf rund 51 Mio. Fr. (Grundauftrag) beziehungs-
weise 20,4 Mio. Fr. (Option) im Jahr 2021, das heisst total über 70 Mio.
Franken. Insgesamt wurden somit rund 100 Mio. Fr. ohne Ausschreibungs-
verfahren vergeben.
Aus der bereits existierenden weiten Verbreitung von "Nevis" in der Bun-
desverwaltung kann die Vergabestelle daher nichts zu ihren Gunsten ab-
leiten. Vielmehr zeigt ihre Argumentation, dass, wenn die Beschwerde ab-
gewiesen würde und sie damit berechtigt würde, "Nevis" auch für weitere
Leistungen und Applikationen freihändig zu beschaffen, sie damit Fakten
B-3580/2021
Seite 24
schaffen würde, welche – jedenfalls ihrer Auffassung nach – im Rahmen
des bevorstehenden Strategieentscheides zu Gunsten weiterer freihändi-
ger Vergaben herangezogen werden könnten.
2.8 Im Ergebnis ist es der Vergabestelle somit nicht gelungen, den ihr ob-
liegenden Nachweis zu erbringen, dass die Voraussetzungen für eine frei-
händige Vergabe gegeben sind.
2.9 Unter diesen Umständen erübrigt es sich, das von der Beschwerdefüh-
rerin beantragte Gutachten einzuholen.
3.
Die Beschwerde erweist sich damit als begründet, soweit sie nicht gegen-
standslos geworden ist. Der angefochtene freihändige Zuschlag ist daher
aufzuheben, soweit er die Beschaffung von IAM-Dienstleistungen für neue
Applikationen und Leistungen, bei denen zurzeit noch nicht "Nevis" zur An-
wendung gelangt, zum Gegenstand hat, und die Sache ist an die Vergabe-
stelle zurückzuweisen, damit sie im Sinne der Erwägungen prüfe, ob die
Voraussetzungen für eine freihändige Vergabe erfüllt sind oder nicht, bevor
sie erneut darüber entscheidet, ob der Auftrag im offenen oder selektiven
Verfahren oder aber freihändig zu vergeben ist.
4.
Die Verfahrenskosten sind den Parteien nach Massgabe ihres Unterlie-
gens aufzuerlegen (vgl. Art. 63 Abs. 1 VwVG; Art. 1 ff. VGKE). Dabei gilt
die Rückweisung zu erneutem Entscheid bei offenem Ausgang praxisge-
mäss als Obsiegen (vgl. Urteil des BGer 2C_846/2013 vom 28. April 2014
E. 3.2). Vergabestellen haben, auch wenn sie unterliegen, keine Verfah-
renskosten zu tragen (Art. 63 Abs. 2 VwVG).
Beim dargelegten Verfahrensausgang gilt die Beschwerdeführerin als le-
diglich in geringem Ausmass obsiegend, da die IAM-Dienstleistungen für
Applikationen und Leistungen, bei denen noch nicht "Nevis" zur Anwen-
dung gelangt, nur einen kleinen Anteil am angefochtenen Beschaffungsge-
genstand ausmachen.
In Bezug auf die IAM-Dienstleistungen für Applikationen und Leistungen,
bei denen bereits "Nevis" zur Anwendung gelangt, war das Verfahren durch
den vom Gericht autorisierten Vertragsabschluss gegenstandslos gewor-
den, weshalb diesbezüglich lediglich noch im Hinblick auf die Kostenverle-
gung zu prüfen war, wie die Beschwerde in Bezug auf diesen Teil des Streit-
B-3580/2021
Seite 25
gegenstands zu entscheiden gewesen wäre, wenn sie nicht gegenstands-
los geworden wäre (vgl. E. 1.4 hievor). Das Gericht kam diesbezüglich zum
Schluss, dass auf die Beschwerde nicht einzutreten gewesen wäre (vgl.
E. 1.5.3 hievor), so dass die Beschwerdeführerin diesbezüglich als unter-
liegend zu betrachten ist. Praxisgemäss sind die diesbezüglichen Verfah-
renskosten indessen zu reduzieren, da das Gericht keine materielle Prü-
fung vornehmen musste.
5.
Als teilweise obsiegende Partei hat die Beschwerdeführerin Anspruch auf
eine Parteientschädigung für ihr erwachsene notwendige und verhältnis-
mässig hohe Kosten (vgl. Art. 64 Abs. 1 VwVG und Art. 7 Abs. 1 VGKE).
Die Parteientschädigung umfasst die Kosten der Vertretung sowie allfällige
weitere notwendige Auslagen der Partei (Art. 8 VGKE). Parteikosten sind
dann als notwendig zu betrachten, wenn sie zur sachgerechten und wirk-
samen Rechtsverfolgung oder Rechtsverteidigung unerlässlich erscheinen
(vgl. BGE 131 II 200 E. 7.2). Die teilweise obsiegende Beschwerdeführerin
ist im vorliegenden Verfahren anwaltlich vertreten, hat indessen keine Kos-
tennote eingereicht, weshalb die ihr zuzusprechende Parteientschädigung
nach Ermessen und aufgrund der Akten festzusetzen ist (Art. 14 Abs. 2
Satz 2 VGKE).
B-3580/2021
Seite 26