Rahmenvertrag Penetrationstests 2020

Kurze Beschreibung

Das Land Rheinland-Pfalz und das Saarland, beide vertreten durch den Landesbetrieb Daten und Information (LDI), beschaffen im Rahmen dieser Ausschreibung Personaldienstleistungen zur Durchführung netz basierter Penetrationstests.
Durch die netzbasierten Penetrationstests sollen die aus einem Quellnetz (Internet, WAN, LAN) erreichbaren IT-Komponenten (z. B. Router, Firewallsysteme, Mailserver, DMZ-Systeme, Webserver, Datenbankserver, aber auch Clientsysteme) eines ITVerbundes auf technische Sicherheitslücken hin untersucht werden.
Die Penetrationstests stellen daher eine netz basierte Überprüfung dar, wobei grundsätzlich zwischen unterschiedlichen Angriffsquellen und daher auch zwischen verschiedenen Angriffscharakteristiken unterschieden werden soll.
Zwei wesentliche Unterschiede in der Vorgehensweise, die der Bieter zu beachten hat, werden durch die Begriffe „Black-Box-" bzw. „White-Box-Penetrationstests" widergespiegelt. Die mit den Begriffen verbundenen Charakteristiken werden in den Folgenden Unterkapiteln beschrieben und stellen Vorgaben an den Bieter dar.
Die netzbasierte Sicht kann grundsätzlich nach Auftragserteilung optional erweitert bzw. in ein umfassenderes Security-Audit einbezogen werden. Die Option eines Security-Audits kann beispielsweise die Überprüfung von Systemen über direkten Konsolen-Zugriff oder ggf. unter Zuhilfenahme von systembasierten Tools umfassen.
Weitere Punkte, die optional beauftragt werden könnten, sind die eingehende Analyse der Sicherheitspolitik, der vorhandenen Sicherheitskonzepte sowie die Überprüfung der praktischen Umsetzung der Sicherheitsmaßnahmen.
Einzelheiten im Hinblick auf die ausgeschriebenen Leistungen ergeben sich aus Teil B_Leistungsbeschreibung der Vergabeunterlagen.

Beschreibung der Beschaffung

Das Land Rheinland-Pfalz und das Saarland, beide vertreten durch den Landesbetrieb Daten und Information (LDI), beschaffen im Rahmen dieser Ausschreibung Personaldienstleistungen zur Durchführung netz basierter Penetrationstests.
Durch die netz basierten Penetrationstests sollen die aus einem Quellnetz (Internet, WAN, LAN) erreichbaren IT-Komponenten (z. B. Router, Firewallsysteme, Mailserver, DMZ-Systeme, Webserver, Datenbankserver, aber auch Clientsysteme) eines ITVerbundes auf technische Sicherheitslücken hin untersucht werden.
Die Penetrationstests stellen daher eine netz basierte Überprüfung dar, wobei grundsätzlich zwischen unterschiedlichen Angriffsquellen und daher auch zwischen verschiedenen Angriffscharakteristiken unterschieden werden soll.
Zwei wesentliche Unterschiede in der Vorgehensweise, die der Bieter zu beachten hat, werden durch die Begriffe „Black-Box-" bzw. „White-Box-Penetrationstests" widergespiegelt. Die mit den Begriffen verbundenen Charakteristiken werden in den Folgenden Unterkapiteln beschrieben und stellen Vorgaben an den Bieter dar.
Die netzbasierte Sicht kann grundsätzlich nach Auftragserteilung optional erweitert bzw. in ein umfassenderes Security-Audit einbezogen werden. Die Option eines Security-Audits kann beispielsweise die Überprüfung von Systemen über direkten Konsolen-Zugriff oder ggf. unter Zuhilfenahme von systembasierten Tools umfassen.
Weitere Punkte, die optional beauftragt werden könnten, sind die eingehende Analyse der Sicherheitspolitik, der vorhandenen Sicherheitskonzepte sowie die Überprüfung der praktischen Umsetzung der Sicherheitsmaßnahmen.
Einzelheiten im Hinblick auf die ausgeschriebenen Leistungen ergeben sich aus Teil B_Leistungsbeschreibung der Vergabeunterlagen.

Beschreibung der Verlängerungen

Der Vertrag kommt mit Zuschlag zustande und hat eine Grundlaufzeit von 3 Jahren.
Im Anschluss daran hat der Auftraggeber die Möglichkeit, die Laufzeit des Vertrages einmalig um ein weiteres Jahr zu verlängern. Voraussetzung dafür ist die schriftliche Erklärung gegenüber dem Auftragnehmer, die diesem spätestens 3 Monate vor Ablauf der Vertragslaufzeit zugegangen sein muss.

Liste und kurze Beschreibung der Bedingungen

Vorlage eines aktuellen (nicht älter als 6 Monate) Handelsregisterauszuges.
Der Bieter hat im Rahmen der Abgabe seines Angebotes die ausgefüllte und unterzeichnete Teil A_Anlage01_Eigenerklärungen vorzulegen und damit zu versichern, dass,
1. er nicht wegen eines Deliktes rechtskräftig verurteilt ist, das seine berufliche Zuverlässigkeit in Frage stellt (etwa: Bestechung/Vorteilsgewährung gegenüber der Vergabestelle; Unterschlagung, Untreue, Betrug, Urkundenfälschung; Verstöße gegen das GWB — z. B. Preisabsprachen),
2. er seine Verpflichtung zur Zahlung von Steuern und Abgaben sowie zur Entrichtung der Beiträge zur gesetzlichen Sozialversicherung nach den Rechtsvorschriften des Mitgliedsstaates des Auftraggebers ordnungsgemäß erfüllt hat,
3. er im Vergabeverfahren keine vorsätzlich unzutreffenden Erklärungen in Bezug auf seine Fachkunde, Leistungsfähigkeit und Zuverlässigkeit abgegeben hat,4. keine der Personen, deren Verhalten ihm zuzurechnen ist, aus einem der nachfolgenden Gründe rechtskräftig verurteilt worden ist:
a. § 129 StGB (Bildung krimineller Vereinigungen), § 129a StGB (Bildung terroristischer Vereinigungen) oder §129b StGB (Kriminelle und terroristische Vereinigungen im Ausland),
b. § 89c des Strafgesetzbuchs (Terrorismusfinanzierung) oder wegen der Teilnahme an einer solchen Tat oder wegen der Bereitstellung oder Sammlung finanzieller Mittel in Kenntnis dessen, dass diese finanziellen Mittel ganz oder teilweise dazu verwendet werden oder verwendet werden sollen, eine Tat nach § 89a Absatz 2 Nummer 2 des Strafgesetzbuchs zu begehen,
c. § 261 StGB (Geldwäsche, Verschleierung unrechtmäßig erlangter Vermögens-werte),
d. § 263 StGB (Betrug), soweit sich die Straftat gegen den Haushalt der Europäischen Union oder gegen Haushalte richtet, die von der Europäischen Union oder in ihrem Auftrag verwaltet werden,
e. § 299 des Strafgesetzbuchs (Bestechlichkeit und Bestechung im geschäftlichen Verkehr),
f. § 264 StGB (Subventionsbetrug), soweit sich die Straftat gegen den Haushalt der Europäischen Union oder gegen Haushalte richtet, die von der Europäischen Union oder in ihrem Auftrag verwaltet werden,
g. § 108e des Strafgesetzbuchs (Bestechlichkeit und Bestechung von Mandatsträgern),
h. den §§ 333 und 334 des Strafgesetzbuchs (Vorteilsgewährung und Bestechung), jeweils auch in Verbindung mit § 335a des Strafgesetzbuchs (Ausländische und internationale Bedienstete),
i. Artikel 2 § 2 des Gesetzes zur Bekämpfung internationaler Bestechung (Bestechung ausländischer Abgeordneter im Zusammenhang mit internationalem Geschäftsverkehr),
j. den §§ 232 und 233 des Strafgesetzbuchs (Menschenhandel) oder § 233a des Strafgesetzbuchs (Forderung des Menschenhandels),
k. § 370 Abgabenordnung, auch in Verbindung mit § 12 des Gesetzes zur Durchführung der gemeinsamen Marktorganisationen und der Direktzahlungen (MOG), soweit sich die Straftat gegen den Haushalt der EG oder gegen Haus-halte richtet, die von der EG oder in deren Auftrag verwaltet werden.
5. über das Vermögen des Unternehmens kein Insolvenzverfahren oder vergleichbares gesetzliches Verfahren eröffnet oder die Eröffnung beantragt oder dieser Antrag mangels Masse abgelehnt worden ist. Ein ausländischer Bieter befindet sich nicht in Verhältnissen, die nach den Rechtsvorschriften seines Landes mit den im vorgehenden Satz genannten Verfahren vergleichbar sind,
6. das Unternehmen sich nicht in Liquidation befindet,
7. er keine sonstige schwere Verfehlung begangen hat, die seine Zuverlässigkeit als Bieter in Frage stellt,
8. das Unternehmen sicherstellt, dass die zur Erfüllung des Auftrags eingesetzten Personen nicht die „Technologie von L. Ron Hubbard" anwenden, lehren oder in sonstiger Weise verbreiten werden. Bei einem Verstoß ist der Auftraggeber berechtigt, den Vertrag aus wichtigem Grund ohne Einhaltung einer Frist zukündigen. Weitergehende Rechte bleiben unberührt,
9. in seinem Unternehmen keine Schwarzarbeit stattfindet und weder das Unternehmen noch Angehörige des Unternehmens im Zusammenhang mit der Tätigkeit für das Unternehmen nach dem Gesetz zur Bekämpfung der Schwarzarbeit wegen illegaler Beschäftigung von Arbeitskräften verurteilt worden sind,
10. seine Leistungen unter Beachtung des Bundesdatenschutzgesetzes (BDSG) sowie des Landesdatenschutzgesetzes Rheinland-Pfalz erbracht werden. Er erklärt ferner, dass auch die Mitarbeiter des Unternehmens zur Einhaltung des Datengeheimnisses nach § 5 BDSG verpflichtet werden,
11. er ausschließlich Mitarbeiter einsetzen wird, die dazu bereit sind, eine Verpflichtungserklärung nach § 1 Verpflichtungsgesetz und eine Überprüfung (Ü1) nach dem Landessicherheitsüberprüfungsgesetz (LSÜG) abzugeben,
12. die für die Leistungserbringung vorgesehenen Personen über die uneingeschränkte schriftliche und mündliche Kommunikationsfähigkeit in deutscher Sprache verfügen. Mit seiner Unterschrift unter die Teil B_Anlage 01_Eigenerklärungen versichert der Bieter die Richtigkeit seiner Angaben, weshalb weitere Nachweise zu den Ziffern 1 bis 12 zunächst nicht vorgelegt werden müssen.
Die Vergabestelle kann in Zweifelsfällen entsprechende Nachweise zur Zuverlässigkeitsprüfung jedoch jederzeit anfordern. Werden die Nachweise auf Anforderung nicht vorgelegt, kann dies zum Ausschluss des betreffenden Angebotes führen.
Werden vorsätzlich unzutreffende Erklärungen in Bezug auf die Eignung (Fachkunde, Leistungsfähigkeit und Zuverlässigkeit) abgegeben, wird das Angebot ausgeschlossen. Setzt der Bieter Nachunternehmer ein, hat jeder Nachunternehmer die vorstehenden Erklärungen durch Unterzeichnung dieses Vordrucks Teil A_Anlage01_Eigenerklärungen abzugeben. Gleiches gilt für sämtliche Mitglieder einer Bietergemeinschaft.

Liste und kurze Beschreibung der Auswahlkriterien

Zum Nachweis seiner wirtschaftlichen und finanziellen Leistungsfähigkeit hat der Bieter die ausgefüllten und unterzeichneten Teil A_Anlage 02_Unternehmensdarstellung seinem Angebot beizufügen. Demgemäß hat der Bieter zur Prüfung seiner Leistungsfähigkeit Auskunft zu Folgendem zu geben: Als Unternehmen am Markt präsent seit:, durchschnittlicher Gesamtjahresumsatz des Unternehmens aus den Jahren 2016, 2017 und 2018 in Deutschland (brutto), durchschnittlicher Gesamtjahresumsatz des Unternehmens aus den Jahren 2016, 2017 und 2018 in Deutschland (brutto) bezogen auf das hier in Frage stehende Geschäftsfeld,durchschnittliche Gesamtanzahl der freien und fest angestellten Mitarbeiter in den Jahren 2016, 2017 und 2018 in Deutschland,durchschnittliche Gesamtanzahl der freien und fest angestellten Mitarbeiterin den Jahren 2016, 2017 und 2018 in Deutschland in Bezug auf das hier in Frage stehende Geschäftsfeld. Ist das Unternehmen noch nicht 3 Jahre am Markt tätig, ist es möglich, die genannten Angaben über die bisherige Tätigkeit zumachen.
Möglicherweise geforderte Mindeststandards:
Nachweis Haftpflichtversicherung für Personenschäden und sonstige Schäden in angemessener Höhe(mindestens jeweils 500 000 EUR für Sach- und Personenschäden sowie für Vermögensschäden je Schadensfall, siehe Bekanntmachung) nachzuweisen oder alternativ eine verbindliche Erklärung einer Versicherung vorzulegen, aus der sich ergibt, dass im Falle der Zuschlagserteilung an den Bieter eine solche Versicherung vorliegen wird.

Liste und kurze Beschreibung der Auswahlkriterien

Die technische und berufliche Leistungsfähigkeit des Bieters wird anhand der genannten Referenzen geprüft, die der Bieter nach Maßgabe der Teil A_Anlage 03_Referenzen vorgelegt hat.
Der Bieter hat 3 Referenzprojekte anzugeben.
Pro Referenzprojekt sind dabei Rechnungswert,Leistungszeit sowie der Auftraggeber mit Adresse, ein Ansprechpartner, sowie Telefax- und Telefonnummer desselben anzugeben. Weitere Einzelheiten ergeben sich aus Teil A_Anlage 03_Referenzen.
Zum weiteren Nachweis zur technischen und beruflichen Leistungsfähigkeit ist die eingereichte Teil A_Anlage 02_Unternehmensdarstellung im Hinblick auf die Mitarbeiterzahl maßgeblich.

Bedingungen für die Vertragserfüllung

Der Bieter hat mit Abgabe seines Angebotes die Tariftreueerklärung
Nach § 4 Abs. 2 des rheinland-pfälzischen Landesgesetzes zur Gewährleistung von Tariftreue und Mindestentgelt bei öffentlichen Auftragsvergaben (Landestariftreuegesetz — LTTG), zuletzt geändert durch Zweite Landesgesetz zur Änderung des Landestariftreuegesetzes vom 8. März 2016 (GVBl. S.178) abzugeben(vgl. Teil A_Anlage 05_Tariftreueerklärung).
Der Bieter/Bewerber hat zu erklären, alle Bestimmungen des rheinland-pfälzischen Landesgesetzes zur Gewährleistung von Tariftreue und Mindestentgelt bei öffentlichen Auftragsvergaben (Landestariftreuegesetz -LTTG) in seiner jeweils geltenden Fassung zur Kenntnis genommen zu haben und dies mit seiner Unterschrift zu bestätigen.
Der Bieter/Bewerber hat dazu mit Abgabe seines Angebotes folgendes zu erklären:
Ich/wir verpflichte/n mich/uns,
1. meinen/unseren Beschäftigten, die nicht dem AEntG unterfallen oder auf die der Tarifvertrag nach dem AEntG keine Anwendung findet, bei der Ausführung der Leistung gemäß § 4 Abs. 2 LTTG mindestens den jeweils geltenden Mindestlohn nach dem Mindestlohngesetz und der gemäß § 1 Abs. 2 Satz 2 MiLoG erlassenen Rechtsverordnung (ab 1.1.2019: 9,19 EUR, ab 1.1.2020 9,35 EUR brutto je Zeitstunde) zuzahlen.
Dies gilt nicht für eine Leistungserbringung durch Auszubildende und nicht, wenn ein Bieter/Bewerber mit Sitz in einem anderen EU-Mitgliedstaat beabsichtigt, einen öffentlichen Auftrag ausschließlich durch die Inanspruchnahme dort beschäftigter Arbeitnehmerinnen und Arbeitnehmer auszuführen,
2. Nachunternehmen sorgfältig auszuwählen und insbesondere deren Angebote dahingehend zu überprüfen, ob sie auf der Basis des zu zahlenden Mindestentgelts kalkuliert sein können,
3. Im Falle der Auftragserteilung durch Nachunternehmer oder Beschäftigte eines Verleihers sowie Beschäftigte des Verleihers des beauftragten Nachunternehmers die Verpflichtungen nach § 4 LTTG sicherzustellen und dem öffentlichen Auftraggeber Mindestentgelt- und Tariftreueerklärungen sämtlicher Nachunternehmer und Verleiher vorzulegen.
Dies gilt nicht, falls ein Bieter/Bewerber beabsichtigt, einen öffentlichen Auftrag ausschließlich durch die Inanspruchnahme von Arbeitnehmerinnen und Arbeiternehmern auszuführen, die bei einem Nachunternehmen mit Sitz in einem EU-Mitgliedstaat beschäftigt sind,
4. vollständige und prüffähige Unterlagen über die eingesetzten Beschäftigten bereitzuhalten, diese dem Auftraggeber auf dessen Verlangen hin vorzulegen und die Beschäftigten auf die Möglichkeit von Kontrollen durch den Auftraggeber hinzuweisen.

Genaue Informationen über Fristen für Überprüfungsverfahren

Gemäß §§ 160 ff. GWB erteilt der Auftraggeber folgende Hinweise:
Vergabestelle ist der Landesbetrieb Daten und Information Rheinland-Pfalz, Herr René Müller, Valenciaplatz 6, 55118 Mainz, Telefax: 06131/605-146).
Die Vergabestelle ist Adressatin bei Rügen.
Die Vergabestelle weist ausdrücklich auf die Rügeobliegenheiten der Unternehmen/Bewerber/Bieter sowie auf die Präklusionsregelungen gemäß § 160 Abs. 3 Nr. 1 bis Nr. 4 GWB n.F. hinsichtlich der Behauptung von Verstößen gegen die Bestimmungen über das Vergabeverfahren hin.
§ 160 Abs. 3 Nr. 1 bis Nr. 4 lautet:
Der Antrag ist unzulässig, soweit:
1) der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt,
2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
4) mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach§ 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt.