81279568-Globaler Aufbau und Umsetzung eines Informationssicherheitsmanagementsystems, Los 1: Beratung des Gesamtprozesses

Kurze Beschreibung

Bitte beachten Sie, dass es sich um eine Losausschreibung mit 3 Fachlosen handelt. Aus technischen Gründen erfolgt die Ausschreibung der Lose in separaten Verfahren über diesen Vergabemarktplatz. Hier ausgeschrieben ist Los 1: Beratung des Gesamtprozesses.

Die GIZ engagiert sich weltweit für eine lebenswerte Zukunft. Die Informationssicherheit nimmt eine Schlüsselrolle für die Aufgabenerfüllung der GIZ ein, denn ihre Geschäftsprozesse werden in Zeiten der Digitalisierung und globalen Vernetzung durch den Austausch von Informationen und den Einsatz von IT-Systemen bestimmt. Informationen stellen grundlegende Werte für die GIZ dar, deren angemessener Schutz unverzichtbar ist.

Um konkurrenzfähig handeln zu können, sind besonders die außerhalb Deutschlands liegenden GIZ-Strukturen auf eine schnelle Reaktionsfähigkeit und ein hohes Maß an Flexibilität angewiesen. Gleichzeitig begründet der weltweite Aktionsradius der GIZ zusammen mit der Digitalisierung steigende Anforderungen an die Informationssicherheit. Die Bewahrung der Wettbewerbsfähigkeit der GIZ sowie der Schutz der Interessen ihrer Gesellschafter*innen, Auftraggeber*innen, Partner*innen und Mitarbeitenden bilden den Handlungsrahmen für das Informationssicherheitsmanagement.

Der Zweck des ISMS ist die Gewährleistung von Vertraulichkeit, Integrität und Verfügbarkeit von Informationen in sämtlichen Geschäftsprozessen. Die Aufrechterhaltung dieser Schutzziele ist nur dann erreichbar, wenn Informationssicherheit integraler Bestandteil der weltweiten Organisationsstruktur und -abläufe der GIZ wird.

Deshalb hat die GIZ einen umfassenden Transformationsprozess definiert, der von einem Change-Projekt gesteuert und umgesetzt wird. Ziel ist ein zertifizierungsreifes Informationssicherheitsmanagementsystem (ISMS) zu entwickeln. Zugrunde liegt ein eng getakteter Zeitplan mit festgelegten Zertifizierungs-Meilensteinen:

- Bis Ende 2022: Testat nach der Basis-Absicherung des IT-Grundschutzes des BSI für das ISMS der GIZ (Innenstruktur).

- Bis Ende 2023: Dachzertifizierung des ISMS der GIZ nach ISO 27001 "nativ" für die Innenstruktur und für ca. 20 weitere Länder.

- Bis Ende 2024: Für die Innenstruktur eine ISO 27001-Zertifizierung auf Basis von IT-Grundschutz des BSI nach der Standardabsicherung.

- Bis Ende 2026: Dachzertifizierung des ISMS der GIZ nach ISO 27001 "nativ" für alle GIZ-Strukturen weltweit.

Die Arbeit dieses Change Projekts soll durch den/die Auftragnehmer maßgeblich begleitet und unterstützt werden. Dabei geht es vor allem darum, den Gesamtprozess zu entwerfen, zu steuern und regelmäßig anzupassen sowie die Umsetzung der notwendigen Maßnahmen mit der erforderlichen Fachexpertise zu begleiten. Gemeinsam werden im Einzelnen u. a.

- die für ein ISMS notwendigen Grundlagen (weiter-)entwickelt,

- ein geeignetes Informationssicherheitsrisikomanagement konzipiert,

- notwendige Maßnahmen zur Erfüllung der Anforderungen insb. aus ISO 27001 und IT-Grundschutz des BSI abgeleitet,

- deren Umsetzung im In- und Ausland gesteuert und mit Expertise begleitet,

- Regelprozesse definiert,

- wo notwendig Entscheidungsfindungsprozesse gesteuert und moderiert und

- die am ISMS beteiligten Einheiten und Kolleg*innen mit Training, Change Management und Kommunikation unterstützt und befähigt.

Ausschreibungsgegenstand ist das Projekt "Globaler Aufbau und Umsetzung eines Informationssicherheitsmanagementsystems", für das die Erbringung von Dienstleistungen zur Beratung und Unterstützung der GIZ gesucht wird.

Die Schätzmenge der Abrufe aus diesem Rahmenvertrages für Los 1 beträgt 9.450 Fachkrafttage zuzüglich des Schätzwertes für das vorgegebene Reisekostenbudget in Höhe von 1.226.250,00 EUR.

Die Höchstmenge der Abrufe aus diesem Rahmenvertrages beträgt 10.395 Fachkrafttage zuzüglich des Höchstwertes für das vorgegebene Reisekostenbudget in Höhe von 1.348.875,00 EUR

Zusätzliche Informationen

Bitte beachten Sie, dass es sich um eine Losausschreibung mit 3 Fachlosen handelt. Aus technischen Gründen erfolgt die Ausschreibung der Lose in separaten Verfahren über diesen Vergabemarktplatz. Hier ausgeschrieben ist Los 1: Beratung des Gesamtprozesses.

Die Zahl der Lose, auf die ein einzelner Bieter den Zuschlag erhalten kann, ist beschränkt . Ein Bieter kann nicht gleichzeitig den Zuschlag für Los 1 und Los 3 oder Los 2 und Los 3 erhalten. Los 1 und Los 2 können an einen Bieter vergeben werden. Ist das Angebot eines Bieters sowohl für Los 1 oder 2, als auch für Los 3 das wirtschaftlichste, erhält dieser Bieter für das Los mit der höheren Höchstmenge gemäß Auftragsbekanntmachung den Zuschlag.

Die Kommunikation findet ausschließlich über die Vergabeplattform statt.

Bekanntmachungs-ID: CXTRYY6YK1Q

Technische und berufliche Fähigkeiten

1. Es sind geeignete Referenzen über früher ausgeführte Aufträge mit Angabe des Auftraggebers, des Auftragszeitraums, des Auftragsvolumens und des Auftragsinhalts einzureichen. Geeignet ist eine Referenz, wenn es sich um ein Projekt für Beratungsleistungen zur Einführung und Weiterentwicklung von Informationssicherheitsmanagementsystemen nach ISO 27001 (nativ) und/oder nach ISO 27001 auf Basis von IT-Grundschutz handelt, die Projektlaufzeit mindestens sechs (6) Monate betrug, der Gesamtauftragswert ohne Umsatzsteuer mindestens 150.000,00 EUR betrug und der Projektabschluss nicht mehr als drei (3) Jahre in der Vergangenheit liegt.

Begründung für die Rahmenvereinbarung

Die Laufzeit der Rahmenvereinbarung beträgt 5 Jahre, da dieser Zeitraum für den Zertifizierungsprozess benötigt wird. Ein Wechsel des Rahmenvertragspartners während der Laufzeit des Zertifizierungsprozesses wäre unzweckmäßig, es wäre seitens des Auftraggebers mit einem immensen Mehraufwand zu rechnen, den Auftragnehmer zu wechseln. Der Einarbeitungsaufwand eines neuen Auftragnehmers führt zu einer erheblichen Kostensteigerung. Ein laufender Zertifizierungsprozess müsste übernommen werden, d.h. ein Projekt müsste künstlich ohne Erreichung des Projektziels unterbrochen werden. Die Übernahme eines laufenden Projekts wäre zudem mit Unwägbarkeiten verbunden und gefährdet den Projekterfolg, nämlich die Erreichung der Zertifizierung. Für den Wettbewerb wäre es kaum attraktiv, ein Projekt nur zu gewissen Teilen zu übernehmen oder in ein laufendes Projekt einzusteigen. Eine Neuausschreibung müsste zudem nach spätestens 3 Jahren geplant und umgesetzt werden, zu einem Zeitpunkt also, wenn die begrenzten Personalressourcen des Auftraggebers mit der Projektausführung bereits stark ausgelastet sind. Ein Wechsel des Auftragnehmers mitten im Projekt dürfte zudem zu nicht unerheblichen Reibungsverlusten führen, da neue Dienstleister erst sämtliche vom vorherigen Dienstleister erstellten Funktionen kennenlernen und sich einarbeiten müssen. Auch ein Wissensverlust dürfte trotz Dokumentation mit dem Wechsel einhergehen. Somit liegt im Ergebnis ein Sonderfall nach § 21 Abs. 6 VgV vor.

Begründung für eine Laufzeit der Rahmenvereinbarung von mehr als vier Jahren

Die Laufzeit der Rahmenvereinbarung beträgt 5 Jahre, da dieser Zeitraum für den Zertifizierungsprozess benötigt wird. Ein Wechsel des Rahmenvertragspartners während der Laufzeit des Zertifizierungsprozesses wäre unzweckmäßig, es wäre seitens des Auftraggebers mit einem immensen Mehraufwand zu rechnen, den Auftragnehmer zu wechseln. Der Einarbeitungsaufwand eines neuen Auftragnehmers führt zu einer erheblichen Kostensteigerung. Ein laufender Zertifizierungsprozess müsste übernommen werden, d.h. ein Projekt müsste künstlich ohne Erreichung des Projektziels unterbrochen werden. Die Übernahme eines laufenden Projekts wäre zudem mit Unwägbarkeiten verbunden und gefährdet den Projekterfolg, nämlich die Erreichung der Zertifizierung. Für den Wettbewerb wäre es kaum attraktiv, ein Projekt nur zu gewissen Teilen zu übernehmen oder in ein laufendes Projekt einzusteigen. Eine Neuausschreibung müsste zudem nach spätestens 3 Jahren geplant und umgesetzt werden, zu einem Zeitpunkt also, wenn die begrenzten Personalressourcen des Auftraggebers mit der Projektausführung bereits stark ausgelastet sind. Ein Wechsel des Auftragnehmers mitten im Projekt dürfte zudem zu nicht unerheblichen Reibungsverlusten führen, da neue Dienstleister erst sämtliche vom vorherigen Dienstleister erstellten Funktionen kennenlernen und sich einarbeiten müssen. Auch ein Wissensverlust dürfte trotz Dokumentation mit dem Wechsel einhergehen. Somit liegt im Ergebnis ein Sonderfall nach § 21 Abs. 6 VgV vor.