Projekt 282 – Basis IT Sicherheits-Zertifizierung

Zusätzliche Informationen

Bei diesem Vergabeverfahren handelt es sich um ein ausschließlich elektronisches Verfahren. Die gesamte Kommunikation erfolgt nur über die E-Vergabe-Plattform des Bundes (www.evergabe-online.de). Weitere Informationen zum Zugang zur E-Vergabe-Plattform erhalten Sie unter evergabe-online.info

Kurze Beschreibung

Ziel ist die Erprobung von Anforderungen und Vorgehensweisen (Pilotprojekt) zum Test eines „leichtgewichtigen“ und verkürzten IT-Sicherheits-Zertifizierungsverfahren, angelehnt an die französischen Basiszertifizierung (Certification Sécuritaire de Premier Niveau (CSPN)). Die Ausschreibung richtet sich bewusst an Prüflabore und Organisationen (Auftragnehmer (AN)) mit unterschiedlichen Expertisen aus dem Bereichen IT-Security und PEN-Testing. Der Aufgabenfokus liegt dabei auf der Analyse der auch bei potentiellen Hackern vorhandenen Informationen (Produkt, Firmware, Protokolle, Handbuch, Schwachstellendatenbanken etc) und fundierten Black- und Greybox-Test auf Basis entsprechender Tools (z. B. Kali-Linux). Als Prüfobjekt wird jedem AN ein Router mit Firewallfunktionalität bereitgestellt, wobei für die konkreten Tests die logischen Schnittstellen im Fokus stehen. Zunächst ist Erstellung der Beschreibung der Sicherheitseigenschaften (ST) und zu schützenden Assets des Prüfobjekts (TOE) erforderlich „gegen“ die im Anschluss getestet wird. Neben der eigentlichen Prüfung des Gerätes durch drei unterschiedliche AN (Lose) ist vorgesehen, die Testdurchführung (Evaluierung) laufend durch die beteiligten AN zu dokumentieren. Final ist eine Abschlussbericht in Form eines Evaluation Technical Report zu erstellen, der im Detail die Konformität zu den Sicherheitseigenschaften beschreibt, das konkrete Vorgehen bei der Analyse nach dem Stand der Technik darlegt sowie nachvollziehbar die durchgeführten und begründeten Black- und Greybox-Tests inklusive den gefundenen Schwachstellen dokumentiert. Im Laufe des Projekts sind zudem Vorgehens- und Umsetzungsempfehlungen für die Implementierung einer entsprechenden Basis IT Sicherheits-Zertifizierung aus Sicht der beteiligten AN zu erarbeiten. Alle (Zwischen-)Ergebnisse werden durch verschiedene BSI-interne Organisationseinheiten bewertet und in insbesondere gegen den Stand der Technik und eigene Kenntnisse abgeglichen.

Kurze Beschreibung

Die Ausschreibung umfasst 3 in Umfang und Inhalt identische Lose. Die Lose unterscheiden sich ausschließlich in den Anforderungen die an den jeweiligen AN eines Loses gestellt werden: 3 unterschiedliche Auftragnehmer (Prüflabore) mit verschiedenem technischen Hintergrund sollen dasselbe Gerät analysieren. Durch den Vergleich der Ergebnisse kann eine praxistaugliche Aussage über die Wirk- und Einsetzbarkeit des Verfahrens in Deutschland getroffen werden. Jeder Bieter kann sich auf alle Lose bewerben, sofern die formalen Anforderungen erfüllt sind. Für jedes Los ist jedoch ein gesondertes Angebot einzureichen. Ein Bieter kann Zuschlag für maximal ein Los erhalten. Ebenso ist der Einsatz eines Unterauftragnehmers bei mehr als einem Auftragnehmer ausgeschlossen. Falls ein Bieter bei mehr als einem Los das wirtschaftlichste Angebot abgegeben hat, trifft das BSI die Auswahl für welches Los der Zuschlag erfolgen soll aufgrund der wirtschaftlichen Gesamtbetrachtung des Projekts. *** Die Bewerbung auf mehr als ein Los ist ausdrücklich erwünscht. *** Dieses Los richtet sich besonders an Prüflabore die Erfahrungen mit Common Criteria (CC) Verfahren oder adäquaten Alternativen haben.

Kurze Beschreibung

Die Ausschreibung umfasst 3 in Umfang und Inhalt identische Lose. Die Lose unterscheiden sich ausschließlich in den Anforderungen die an den jeweiligen AN eines Loses gestellt werden: 3 unterschiedliche Auftragnehmer (Prüflabore) mit verschiedenem technischen Hintergrund sollen dasselbe Gerät analysieren. Durch den Vergleich der Ergebnisse kann eine praxistaugliche Aussage über die Wirk- und Einsetzbarkeit des Verfahrens in Deutschland getroffen werden. Jeder Bieter kann sich auf alle Lose bewerben, sofern die formalen Anforderungen erfüllt sind. Für jedes Los ist jedoch ein gesondertes Angebot einzureichen. Ein Bieter kann Zuschlag für maximal ein Los erhalten. Ebenso ist der Einsatz eines Unterauftragnehmers bei mehr als einem Auftragnehmer ausgeschlossen. Falls ein Bieter bei mehr als einem Los das wirtschaftlichste Angebot abgegeben hat, trifft das BSI die Auswahl für welches Los der Zuschlag erfolgen soll aufgrund der wirtschaftlichen Gesamtbetrachtung des Projekts. *** Die Bewerbung auf mehr als ein Los ist ausdrücklich erwünscht. *** Dieses Los richtet sich besonders an Prüflabore die Erfahrungen mit PEN-Tests haben.

Kurze Beschreibung

Die Ausschreibung umfasst 3 in Umfang und Inhalt identische Lose. Die Lose unterscheiden sich ausschließlich in den Anforderungen die an den jeweiligen AN eines Loses gestellt werden: 3 unterschiedliche Auftragnehmer (Prüflabore) mit verschiedenem technischen Hintergrund sollen dasselbe Gerät analysieren. Durch den Vergleich der Ergebnisse kann eine praxistaugliche Aussage über die Wirk- und Einsetzbarkeit des Verfahrens in Deutschland getroffen werden. Jeder Bieter kann sich auf alle Lose bewerben, sofern die formalen Anforderungen erfüllt sind. Für jedes Los ist jedoch ein gesondertes Angebot einzureichen. Ein Bieter kann Zuschlag für maximal ein Los erhalten. Ebenso ist der Einsatz eines Unterauftragnehmers bei mehr als einem Auftragnehmer ausgeschlossen. Falls ein Bieter bei mehr als einem Los das wirtschaftlichste Angebot abgegeben hat, trifft das BSI die Auswahl für welches Los der Zuschlag erfolgen soll aufgrund der wirtschaftlichen Gesamtbetrachtung des Projekts. *** Die Bewerbung auf mehr als ein Los ist ausdrücklich erwünscht. *** Dieses Los richtet sich besonders an Prüflabore die Erfahrungen mit Certification Sécuritaire de Premier Niveau (CSPN)-Verfahren oder adäquaten Alternativen haben.

Technische und berufliche Fähigkeiten

*** Eignungskriterien *** Öffentliche Aufträge werden nur an fachkundige und leistungsfähige (geeignete) Unternehmen vergeben, die keinem gesetzlichen Ausschlussgrund unterliegen und zudem die Einhaltung der definierten Ausführungsbedingungen zusichern. Da es sich bei den Eignungskriterien (siehe unten) und Ausführungsbedingungen (siehe oben) ausschließlich um Ausschlusskriterien handelt, führt bereits die Nichterfüllung eines Einzigen dieser Kriterien zum Ausscheiden des Angebotes. Ein Ausschlusskriterium gilt als nicht erfüllt, wenn – es nicht beantwortet wurde – ggf. definierte Mindestvoraussetzungen nicht erreicht wurden, – es vom Bieter mit „Nein“ beantwortet wurde (siehe unten), oder – die geforderten Dokumente nicht eingereicht wurden. Ausschlusskriterien sind im folgenden mit dem Präfix A gekennzeichnet. 1.1 (A) Firmenprofil Fügen Sie Ihrem Angebot eine aussagekräftige Darstellung des anbietenden Unternehmens / von sämtlichen Mitgliedern der Bietergemeinschaft bei. Die Darstellung muss in tabellarischer Form erfolgen und folgende Punkte umfassen: – Rechtsform – Struktur und Organisation – Geschäftsfelder – Firmensitz und Standorte – Anzahl der Mitarbeiter in der für den Auftrag relevanten Sparte – Gesamtumsatz / auftragsbezogener Umsatz in den letzten drei Geschäftsjahren – Kurzer Überblick über das technische Equipment, welches Ihnen zur Verfügung steht und zur Erbringung der hier ausgeschriebenen Leistung eingesetzt wird – Qualitätsmanagement des Unternehmens inklusive evtl. vorhandener Zertifizierungen 1.2 (A) Unterauftragnehmer Geben Sie an, ob Sie bei der Erbringung der Leistung mit Unterauftragnehmern zusammenarbeiten. Falls ja, so sind diese Unternehmen inkl. der von Ihnen durchzuführenden Leistungen genau zu benennen. Fügen Sie dem Angebot dann zudem ein aussagekräftiges Firmenprofil der Unterauftragnehmer bei. Die Weitergabe von Projektteilen an nicht genannte Unterauftragnehmer ist nicht erlaubt. 1.3 (A) Ausschluss eines Interessenskonflikts Bestätigen Sie, dass weder Sie noch Ihre Partner im Fall einer Bietergemeinschaft noch ggf. Unterauftragnehmer Interessen haben, die mit der Ausführung der Leistungen dieses Projekts im Widerspruch stehen und sie nachteilig beeinflussen könnten. Eingeschlossen von dieser Bestätigung sind die bei dem Projekt eingesetzten Mitarbeiter. Ein Interessenskonflikt liegt beispielsweise bei einer Verpflichtung gegenüber oder Kooperation mit dem Hersteller eines untersuchten Produkts oder durch eine sonstige wirtschaftliche Abhängigkeit vom genannten vor. Ziel ist ein unvoreingenommenes Untersuchungsergebnis, bei dem Neutralität des Untersuchenden nachgewiesen werden kann. Sollte ein Konflikt bestehen, stellen Sie dar, wie sie ihn auflösen wollen. Ansonsten bitte nur mit „ja“ oder „nein“ antworten. Das Angebot kann in diesem Fall nur berücksichtigt werden, wenn der beschriebene Lösungsansatz vom BSI als ausreichend beurteilt wird. 1.4 (A) Referenzen Benennen Sie die Beratungs- bzw. Untersuchungsprojekte im Bereich Produktevaluierung/PEN-Testing, die in den letzten drei Jahren von Ihrem Unternehmen, den Mitgliedern der Bietergemeinschaft und den Unterauftragnehmern durchgeführt wurden als Nachweis, dass Produktevaluierung/PEN-Testing ein wesentliches Arbeitsfeld der beteiligten Unternehmen ist. Gehen Sie dabei auf folgende Punkte ein: – Auftraggeber inkl. Ansprechpartner oder bei vertraulichen Projekten Einsatzbereich – Auftragsgegenstand – Tätigkeit – Umfang – Dauer Die Darstellung sollte eine DIN A4-Seite pro Referenzprojekt nicht überschreiten. Mindestvoraussetzung: Benennung und Beschreibung von mindestens drei Referenzen.

Sonstige besondere Bedingungen

*Eigenerklärung zu den gesetzlichen Ausschlussgründen* Reichen Sie das ausgefüllte Formular „Eigenerklärung zu den gesetzlichen Ausschlussgründen“ mit Ihrem Angebot ein. Das Formular ist auch von allen Partnern im Rahmen einer Bewerbergemeinschaft sowie von allen Unterauftragnehmern auszufüllen und mit dem Angebot einzureichen. Die einfache elektronische Signatur (eingescanntes Dokument mit Unterschrift UND Firmenstempel) ist ausreichend. *** Ausführungsbedingungen *** 1.1 (A) Angebotener Leistungsumfang Bestätigen Sie, dass die angebotene Leistung den geforderten Leistungsumfang vollständig abdecken. Bitte nur mit „JA“ oder „NEIN“ beantworten 1.2 (A) Projektsprache Die Projektsprache ist Deutsch und Englisch. Bestätigen Sie, dass während des gesamten Projektes deutsch- oder englischsprachige Ansprechpartner für das Vertragsmanagement sowie für die fachliche Abstimmung zur Verfügung stehen und die gesamte Kommunikation und Dokumentation in der in Abschnitt 4.5 jeweils genannten Sprache erfolgt? Bitte nur mit „JA“ oder „NEIN“ beantworten 2.1 (A) Personalprofile Für eine wirtschaftliche Ausführung des Auftrags ist der Einsatz von qualifiziertem Personal erforderlich. Führen Sie sämtliche Mitarbeiter (MA) des Projektteams sowie deren – nicht notwendigerweise nur fachspezifische – Rollenqualifikationen in Form von Personalprofilen auf. Mindestens die Projektleitung (PL) sowie die stellvertretende Projektleitung (sPL) sind namentlich zu benennen. Geben Sie im Profil der Projektleitung auch die Kontaktdaten (E-Mail, Telefon) an. Weisen Sie anhand der Personalprofile die Erfüllung der in Kapitel 4.1 definierten Mindestanforderungen nach. Nehmen Sie dabei soweit möglich Bezug auf relevante Referenzprojekte, bei denen die einzelnen MA maßgeblich beteiligt waren und stellen Sie diese kurz dar (Verweis auf bei den Eignungskriterien aufgeführte Referenzen möglich). Die gesamte Darstellung sollte pro Mitarbeiter drei DIN-A4 Seiten nicht überschreiten. 2.2 (A) Bestätigung des Personaleinsatzes Bestätigen Sie, dass Sie die bei 2.1 eingeplanten Projektbeteiligten auch tatsächlich für das Projekt einsetzen. Insbesondere die Weitergabe von Projektteilen an Unterauftragnehmer, die im Angebot nicht aufgeführt sind, ist nicht erlaubt. Muss aus wichtigem Grund doch ein anderer Mitarbeiter als geplant eingesetzt werden oder ein Mitarbeiter ausnahmsweise während der Projektlaufzeit ausgetauscht werden, so legt der Auftragnehmer diesen Wunsch dem Auftraggeber unter Angabe der für das Angebot geforderten Angaben gemäß 2.1 schriftlich zur Genehmigung vor. Das BSI kann innerhalb von zwei Wochen nach Eingang der vollständigen Unterlagen vom Vertrag zurücktreten, wenn der Auftragnehmer keinen gleichwertigen Ersatz für einen nicht verfügbaren Mitarbeiter stellt. Bitte nur mit „ja“ oder „nein“ beantworten 3.1 (A) Verschlüsselung der Kommunikation Bestätigen Sie, dass sowohl Sie, als auch die Partner im Rahmen der Bietergemeinschaft sowie die Unterauftragnehmer im Falle einer Beauftragung bereit sind, die E-Mail-Kommunikation verschlüsselt und signiert nach dem OpenPGP- oder S/MIME-Standard zu senden und zu empfangen? Bitte nur mit „JA“ oder „NEIN“ beantworten.

Informationen zu Fristen für Nachprüfungsverfahren

Unternehmen haben einen Anspruch auf Einhaltung der bieter- und bewerberschützenden Bestimmungen über das Vergabeverfahren gegenüber dem öffentlichen Auftraggeber. Sieht sich ein am Auftrag interesiertes Unternehmen durch Nichtbeachtung von Vergabevorschriften in seinen Rechten verletzt, ist der Verstoß innerhalb einer Frist von 10 Kalendertagen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu rügen (§ 160 Abs. 3 Nr. 1 Gesetz gegen Wettbewerbsbeschränkungen (GWB)). Verstöße, die aufgrund der Bekanntmachung oder der Vergabeunterlagen erkennbar sind, müssen spätestens bis zu der in der Bekanntmachung genannten Frist zur Angebotsabgabe oder Bewerbung gegenüber dem BSI geltend gemacht werden (§ 160 Abs. 3 Nr. 2-3 GWB). Teilt das BSI dem Unternehmen mit, seiner Rüge nicht abhelfen zu wollen, so besteht die Möglichkeit innerhalb von 15 Tagen nach Eingang der Mitteilung einen Antrag auf Nachprüfung bei der Vergabekammer zu stellen. Bieter, deren Angebote für den Zuschlag nicht berücksichtigt werden sollen, werden vor dem Zuschlag gemäß § 134 GWB darüber informiert. Ein Vertrag darf erst 15 Kalendertage nach Absendung dieser Information durch das BSI geschlossen werden; bei Übermittlung per Fax oder auf elektronischem Weg beträgt diese Frist 10 Kalendertage. Sie beginnt am Tag nach Absendung der Information durch das BSI.