Beschreibung der Beschaffung
1. Beschreibung des Beschaffungsvorhabens:
Mit dem vorliegenden Vergabeverfahren sollen folgende Lieferungen bzw. Leistungen beschafft werden:
1.1. Bereitstellung der technischen Infrastruktur:
1.1.1. Allgemeine Angaben:
Die in diesem Teil des Vergabeverfahrens zu beschaffenden Lieferungen bzw. Leistungen stellen die für den Betrieb der neuen Systemarchitektur erforderlichen IT-Infrastruktur-Komponenten wie Server- und Storage (-Dienste) sowie die für die Einbindung erforderlichen Netzwerkkomponenten zur Verfügung. Hierbei können vom Bewerber/Anbieter diese Infrastruktur-Komponenten sowohl in der Option on-premise als auch Infrastruktur-Cloud im Sinne von Infrastructure as a Service (I. a. a. S.) angeboten werden.
1.1.2. Option on-premise:
Bei dieser Option liefert der Auftragnehmer die für den Betrieb der neuen Systemlandschaft erforderlichen, den Leistungsanforderungen entsprechenden Hardware-Komponenten und übernimmt deren Einbau sowie die Herstellung der Betriebsbereitschaft. Hardware-nahe Softwarekomponenten wie z.B. Firmware oder Hardware-Monitoring-Werkzeuge gehören dabei zum Lieferumfang. Bestandteil dieser Option sind Systemservice (Instandhaltungs- und Pflegeleistungen) für die gelieferte Hardware bzw. Softwarekomponenten. Der Lieferant der Hardware bzw. der Instandhaltungs- und Pflegeleistung sowie der Auftragnehmer ist/sind nach ISO 9001 zertifiziert.
1.1.3. Option Infrastruktur Cloud (I. a. a. S), off-premise:
Bei dieser Option stellt der Auftragnehmer den Leistungsanforderungen entsprechende dedizierte Hardwareressourcen wie Server, Storage und Netzwerkkomponenten in seinen Rechenzentren zur Verfügung. Die Standorte der verwendeten Rechenzentren müssen im Hoheitsgebiet der Bundesrepublik Deutschland liegen. Die Daten dürfen zu keinem Zeitpunkt – auch nicht zur Prozessierung – dieses Hoheitsgebiet verlassen. Die regulatorischen Anforderungen des Datenschutzes die Leistungen betreffend werden jederzeit erfüllt.
Die vom Auftragnehmer verwendete IT-Infrastruktur steht dem Auftraggeber im Umfang der Leistungsanforderungen zur Nutzung zur Verfügung. Die Struktur der Infrastruktur-Services ist über die Service-Definitionen des Auftraggebers vorgegeben. Das Qualitätsniveau ist über SLAs definiert.
Für die verwendeten Rechenzentren und deren Betriebsorganisation liegt mindestens ein Zertifikat nach ISO 27001 vor (oder vergleichbar). Die Betriebsorganisation arbeitet nach ITIL-Standards (oder vergleichbar, bspw. COBIT). Für die vom Auftragnehmer eingesetzte Rechenzentrums- und Betriebsorganisation liegen Berichterstattungen nach IDW PS 951 Typ 1 und 2 (oder vergleichbar, bspw. ISAE 3402 oder SSAE18) vor.
Bestandteil der Leistung ist zudem die dauerhafte Bereitstellung einer redundanten symmetrischen breitbandigen Netzwerkanbindung (10 GBit/sec) zwischen dem RZ-Standort des Auftraggebers in München zum Einsprungspunkt in das RZ-Netzwerk des Auftragnehmers.
1.2. Migrationsleistungen:
Für die Überführung der bisher verwendeten Systeme und Services in die neue Systemlandschaft werden unterschiedliche Migrationsdienstleistungen beschafft. Hierbei führt der Auftragnehmer die Migration des jeweiligen Services eigenständig im Anhalt an ein jeweils gemeinsam erarbeitetes Migrationskonzept durch. Die zu migrierenden Services sind dabei auf Plattform-Services beschränkt.
Detaillierte Informationen zu der Migrationsleistung sind in der Kurz-Leistungsbeschreibung in den Teilnahmeunterlagen zu finden.
1.3. Betreiberleistung:
1.3.1. Allgemeine Anforderung:
Der Auftragnehmer betreibt die Softwarekomponenten einzelner spezifizierter Services bis einschließlich zur Ebene der Plattform-Software (Basistechnik-Betrieb) im Sinne von Managed Services.
Managed Service umfasst die Administration und das Monitoring der aktiven wie passiven Systeme und Komponenten sowie alle Maßnahmen zur Fehlervermeidung und -beseitigung. Darin inkludiert sind auch die zugrundeliegende Infrastruktur. Neben der Administration sind auch Operating-Leistungen wie z.B. Überwachung der Services, Auswertung von Protokollen, Durchführung von Backups und Recoverys, etc. Bestandteil der Betreiberleistung.
Wird die zugrundeliegende Infrastruktur on-premise im Rechenzentrum beim Auftraggeber betrieben beinhaltet die Betreiberleistung zudem die Administration der Hardware und deren Software-Komponenten sowie den Systemservice. Bei Wartungs- und Reparaturfällen dieser Infrastruktur sowie bei Nach- und Aufrüstungen ist der Einbau und die Installation sowie Konfiguration von Komponenten Gegenstand der Leistung.
Nicht Bestandteil der Betreiberleistung ist der Applikationsbetrieb auf den Plattform-Services, also z.B. die Einrichtung (Customizing) und Pflege der auf den Plattform-Services betriebenen Softwaremodule wie bspw. der SAP-Applikationen (Modulbetreuung), die Entwicklung und Pflege von Fachanwendungen (Anwendungsentwicklung), das Monitoring und die Analyse der Buchungen aus den einzelnen SAP Modulen und des Buchungsverhaltens (Datenpflege), die fachliche Betreuung der Anwender sowie der Benutzersupport (First-Level-Support).
1.3.2. Lizenzierung, Zertifikate, Domänen:
Die für den Betrieb der Services erforderlichen Software-Lizenzen sind und verbleiben im Eigentum des Auftraggebers. Ein Lizenzübergang auf den Dienstleister, sei es bei einer Lizenz i.e.S. oder bei einer Lizenzmiete, findet zu keinem Zeitpunkt statt. Gleiches gilt für auf den Auftraggeber ausgestellte Zertifikate.
1.3.3. Bestätigungen, Zertifizierung, Good-Practices:
1.3.3.1. ISO 9001:
Alle zur Erfüllung dieser Leistungsbeschreibung erforderlichen Dienstleister sowie der Auftragnehmer selbst sind nach ISO 9001 zertifiziert.
Die jeweils gültigen Zertifikate liegen vor und werden den Auftraggeber auf Anforderung vorgelegt.
1.3.3.2. ISMS und ISO 27001:
Für die Gewährleistung und Verbesserung der Sicherheit wendet der Auftraggeber Prinzipien eines „Information Security Management System“ (ISMS) an. Er handelt dabei nach dem Plan – Do – Check – Act (PDCA) Zyklus. Vorhandene Zertifikate z.B. nach ISO 27001 oder vergleichbare Nachweise des Auftragnehmers bzw. dessen für die Leistungserbringung eingesetzten Personals sind jeweils im aktuellen Stand dem Auftraggeber vorzulegen.
1.3.3.3. Good Practices, ITIL, ISO 20000, COBIT:
Der Auftragnehmer hat in seiner Betriebsorganisation grundsätzlich Good Practices Prozesse implementiert. Die Good Practices Prozesse sollen dabei an Standards wie ITIL V3, ISO 20.000 bzw. COBIT ausgerichtet sein. Vorhandene Zertifikate oder vergleichbare Nachweise des Auftragnehmers bzw. dessen für die Leistungserbringung eingesetzten Personals sind jeweils im aktuellen Stand dem Auftraggeber vorzulegen.
1.3.3.4. IDW PS 330, DW PS 331 und IDW PS 951:
Die Betriebsorganisation des Auftragnehmers ist geeignet, die Anforderungen des Instituts der Wirtschaftsprüfer (IDW) nach den Prüfstandards IDW PS 330 (Abschlussprüfung bei Einsatz von Informationstechnologie) und IDW PS 331 (Abschlussprüfung bei teilweiser Auslagerung der Rechnungslegung auf Dienstleistungsunternehmen) oder vergleichbar für die sie betreffenden Bereiche zu erfüllen.
Der Auftraggeber hat alle ihn betreffenden Vorkehrung zu treffen und Maßnahmen zu ergreifen, dass die Systemlandschaft dieser Leistungsbeschreibung nach den Prüfstandards IDW PS 330 und IDW PS 331 betrieben werden kann.
Darüber hinaus hat der Auftragnehmer in regelmäßigen Abständen, mindestens jedoch alle 2 Jahre Wirtschaftsprüfer mit einer gesonderten Prüfung seines internen Kontrollsystems zu beauftragen, um einen Nachweis für dessen Angemessenheit und Wirksamkeit zu erbringen. Gegenstand dieser Prüfung ist das in einer Beschreibung des Auftragnehmers dargestellte dienstleistungsbezogene interne Kontrollsystem. Verantwortlich für den Inhalt der Beschreibung des dienstleistungsbezogenen internen Kontrollsystems sind die gesetzlichen Vertreter des Auftragnehmers. Die Prüfung erfolgt im Anhalt an den Prüfstandard IDW PS 951 (Die Prüfung des internen Kontrollsystems beim Dienstleistungsunternehmen für auf das Dienstleistungsunternehmen ausgelagerte Funktionen). Der Auftragnehmer legt dem Auftraggeber eine Bescheinigung Typ 2 nach den Prüfstandards IDW PS 951 vor. Statt des Prüfstandards IDW PS 951 können andere, vergleichbare internationale Standards zur Anwendung kommen, wenn Sie die Prüfgebiete und -inhalte des Standards IDW PS 951 abdecken. Die Prüfung wird durch eine Bescheinigung analog der Bescheinigung Typ 2 nach IDW PS 951 nachgewiesen. Als gleichwertig anzusehen ist insbesondere der Prüfstandard ISAE 3402 Typ 2 oder SSAE18 Typ 2. Die Vergleichbarkeit weiterer, vom Auftragnehmer eingesetzter Prüfstandards weist der Auftragnehmer dem Auftraggeber nach. Die Prüfung nach IDW PS 951 Typ 2 bzw. ISAE 3402 Typ 2 oder sonstiger vergleichbarer Prüfstandards erfolgt auf Kosten des Auftragnehmers.
1.3.4. Auditierung und Revisionsfähigkeit:
Der Auftraggeber behält sich darüber hinaus vor, den Auftragnehmer bezüglich seiner Dienstleistungen zu auditieren und dazu auch Dritte einzubinden.
1.3.5. Incident- und Problem-, Change- und Release-Management:
Der Auftragnehmer hat in seiner Betriebsorganisation insbesondere Good Practices Prozesse zum Incident-, Problem-, Change- und Release-Management implementiert. Die Good Practices Prozesse sind dabei an Standards wie ITIL V3, ISO 20 000 bzw. COBIT ausgerichtet.
1.4. Vertragsbedingungen:
1.4.1. Vertragstyp und Rangfolge:
Mit Zuschlagserteilung wird ein EVB-IT-Systemvertrag auf Basis der Ergänzenden Vertragsbedingungen für die Erstellung eines Gesamtsystems (EVB-IT System-AGB) Vertragsgrundlage.
Allgemeine Geschäftsbedingungen des Auftraggebers und des Auftragnehmers finden keine Anwendung. Dies gilt insbesondere auch, wenn Vertrags- oder sonstige Regelungen abweichend hiervon einen Verweis auf die Allgemeinen Geschäftsbedingungen eines Vertragspartners enthalten.