Dienstleistung für Public Key Infrastructure Umgebungen

Hauptstandort oder Erfüllungsort

Die Orte der Leistungserbringung sind in der Regel die aktuellen und zukünftigen Standorte der HZD in Wiesbaden, Hünfeld und Mainz. In Einzelfällen kann auch eine Leistungserbringung in anderen Dienststellen des Landes Hessen sowie am Standort der FITKO (Föderale IT-Kooperation) in Frankfurt am Main notwendig sein.
Die Erbringung von Dienstleistungen per remote ist nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber und nur in Ausnahmefällen möglich.
Oben aufgeführte Leistungsorte gelten nur, sofern zur Dienstleistungserbringung eine Anwesenheitspflicht gem. Ziffer 4.1.1 der Leistungsbeschreibung besteht.

Beschreibung der Beschaffung

Leistungen als 1) „System-Architekt PKI“ und als 2) „System-Administrator“.
Zu 1) u. a.
— Unterstützung bei der Planung v. komplexen PKI-Umgebungen(>50 000 gültiger Zertifikate),
— Erstellen und Aktualisieren von Konzepten,
— Beratung bei Sicherheitsfragen zu PKI, Einsatzszenarien von Zertifikaten,
— Unterstützung des 3rd-Level Supports,
— Automatisierung Serverinstallationen,
— Dokumenterstellung,
— Beratungsleistungen.
Zu 2) u. a.
— Unterstützung Aufbau/Betrieb PKI-Umgebung,
— Entstörung,
— Unterstützung Wartungsarbeiten und Datensicherung,
— Dokumentation,
— admin.Aufgaben,
— Analyse Netzverkehr.
Weitere Einzelheiten siehe Leistungsbeschreibung.

Beschreibung der Optionen

Dem Auftraggeber steht ein einseitiges Leistungsbestimmungserweiterungsrecht bis zu 20 % des geschätzten Auftragswerts (netto) aus diesem Vergabeverfahren als Mehrbedarf (quantitative Leistungserweiterung) zu.

Liste und kurze Beschreibung der Auswahlkriterien

Darstellung von mindestens einer geeigneten Referenz pro Art aus den letzten 3 Jahren (Stichtag „Ablauf der Angebotsfrist“), die nach Art und Umfang den nachfolgend aufgeführten Anforderungen entsprechen.
Art 1: Dienstleistungen für Planung und Beratung von Public Key Infrastructure (PKI) – Umgebungen mit nachfolgenden Anforderungen:
— Im Rahmen des Referenzprojekts wurden Planungen zur Architektur und Realisierung von Public Key Infrastructure -Umgebungen mit mehr als insgesamt 30 000 gleichzeitig genutzten Zertifikaten für folgende Einsatzszenarien erbracht:
—— E-Mail-Verschlüsselung (S/MIME),
—— Digitale Signatur von Dokumenten (fortgeschrittene elektronische Signatur),
—— TLS (HTTPS und LDAPS),
—— Netzwerkauthentifizierung (802.1x),
—— VPN,
—— Signierung von Programmcode (Code Signing).
— Im Rahmen des Referenzprojekts wurden Planungen zur Architektur und Realisierung von Public Key Infrastructure-Umgebungen für E-Mail-Verschlüsselung (S/MIME) mit mehr als 5 000 gültigen Zertifikaten erbracht,
— Im Rahmen des Referenzprojekts wurden Planungen zur Architektur und Realisierung von Public Key Infrastructure-Umgebungen für Digitale Signatur von Dokumenten (fortgeschrittene elektronische Signatur) mit mehr als 5 000 gültigen Zertifikaten erbracht,
— Im Rahmen des Projektes erfolgte Planung des Einsatzes und Inbetriebnahme von Hardware Security Modulen (Ausfallsicherheit, Redundanz, Sicherheit),
— Im Rahmen des Projektes erfolgte Planung und Realisierung des Certificate Lifecycle Managements für mindestens 10 parallel betriebene CAs,
— Im Rahmen des Projektes erfolgte Beratung bei der Weiterentwicklung des Zertifikatsmanagements und Anbindung an Trustcenter für kommerzielle Zertifikate,
— Im Rahmen des Projektes wurden Planungs-und Umsetzungskonzepte erstellt,
— Im Rahmen des Projektes wurden Certificate Policies nach RFC 3647 erstellt,
— Im Rahmen des Projektes wurden Beratungen des Produktmanagements in Public Key Infrastructure durchgeführt.
Umfang: Pro eingesetzte Person müssen mindestens 300 Personentage erbracht worden sein.
Art 2: Dienstleistungen für den Betrieb von Public Key Infrastructure (PKI) – Umgebungen mit nachfolgenden Anforderungen
— In dem Referenzprojekt bestand die Kundenumgebung aus Public Key Infrastructure -Umgebungen mit mehr als 5 000 gleichzeitig genutzten Zertifikaten,
— In dem Referenzprojekt wurden Unterstützungsleistungen Public Key Infrastructure-Lösungen erbracht,
— Die Umsetzungen im Projekt wurden unter Verwendung von ITIL-Tools / ITIL-Prozessen durchgeführt,
— Im Rahmen des Projektes erfolgte eine Unterstützung bei der Entstörung der Public Key Infrastructure inkl. Logfile sowie Netzwerkkommunikationsanalysen (2nd-Level Support),
— Im Rahmen des Projektes wurden Active Directory Certificate Services Ereignisprotokolle analysiert,
— Im Rahmen des Projektes erfolgte Unterstützung bei den Wartungsarbeiten an der Public Key Infrastructure (Patchday, Security Incidents, Support für Zertifikatsnutzer).
Umfang: Pro eingesetzte Person müssen mindestens 200 Personentage erbracht worden sein.
Siehe Dokumente „Ausschreibungsbestimmungen“ und „Referenzen“.

Bedingungen für die Vertragserfüllung

Gemäß § 7 des Hessischen Vergabe- und Tariftreuegesetzes (HVTG) vom 19. Dezember 2014 (GVBl. S. 354) weist die Vergabestelle darauf hin, dass die Bieter (Bietergemeinschaft) sowie deren Nachunternehmer (Unterauftragnehmer) bzw. Verleihunternehmen (§ 8 Abs. 1 HVTG) die erforderlichen Verpflichtungserklärungen nach § 4 Abs. 1 bis 5 HVTG (Tariftreueerklärung), § 6 HVTG (Mindestentgelterklärung) mit ihrem digitalen Angebot abzugeben haben (Datei
„Verpflichtungserklaerung_oeff_AG“).
Die Verpflichtungserklärung bezieht sich nicht auf Beschäftigte, die bei einem Bieter, Nachunternehmer und Verleihunternehmen im EU-Ausland beschäftigt sind und die Leistungen im EU-Ausland erbringen.

Eine Beschreibung der zu vergebenden Leistung steht auf der Vergabeplattform des Landes Hessen (https://vergabe.hessen.de/NetServer/) zur Verfügung und muss dort heruntergeladen werden.
Erklärung betr. Ausschluss wegen schwerer Verfehlungen: Der Bieter hat die Eigenerklärung gemäß dem Gemeinsamen Runderlass über den “Ausschluss von Bewerbern und Bietern wegen schwerer Verfehlungen, die ihre Zuverlässigkeit in Frage stellen“ in der Fassung vom 23. Oktober 2020 (StAnz 48/2020 S. 1216) ausgefüllt mit seinem Angebot einzureichen. Der Name der erklärenden Person ist zu nennen. (Datei „Erklaerung_Vergabesperre“).
Zusätzlich weist die Vergabestelle an dieser Stelle bereits darauf hin, dass für den Zuschlag in Aussicht genommenen Bieter eine Abfrage bei Korruptions- und Vergaberegistern, insbesondere bei der zentralen Melde- und Informationsstelle für Vergabesperren (MIS) bei der Oberfinanzdirektion Frankfurt am Main, vorgenommen wird. Ebenso wird von dem für den Zuschlag in Aussicht genommenen Bieter gemäß § 19 Abs. 4 MiLoG vor Zuschlagserteilung eine Auskunft aus dem
Gewerbezentralregister nach § 150a der Gewerbeordnung angefordert.
Eigenerklärung zu zwingenden Ausschlussgründen nach § 123 GWB: Der Bieter hat die Eigenerklärung zu den zwingenden Ausschlussgründen nach § 123 GWB ausgefüllt mit seinem Angebot vorzulegen. Der Name der erklärenden Person ist zu nennen (Datei „Eigenerklaerung_Par_123_GWB.pdf“).
Eigenerklärung zu fakultativen Ausschlussgründen nach § 124 GWB: Der Bieter hat die Eigenerklärung zu den fakultativen Ausschlussgründen nach § 124 GWB ausgefüllt mit seinem Angebot einzureichen. Der Name der erklärenden Person ist zu nennen.
Sollten ein oder mehrere Gründe bejaht werden, wird der Bieter gebeten, diesen Grund bzw. diese Gründe unter präziser Darstellung des relevanten Sachverhalts sowie die unternommenen Selbstreinigungsmaßnahmen (§ 125 GWB) auf einem gesonderten Blatt zu erläutern. Die Vergabestelle wird dann nach pflichtgemäßem Ermessen entscheiden, ob die Teilnahme des Bieters am Vergabeverfahren zulässig ist oder der Bieter vom Vergabeverfahren ausgeschlossen werden muss.
(Datei „Eigenerklaerung_Par_124_GWB pdf“).

Genaue Informationen über Fristen für Überprüfungsverfahren

§ 160 GWB Einleitung, Antrag
(1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein.
(2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht.
(3) Der Antrag ist unzulässig, soweit:
1) der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt,
2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
4) mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.
Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt.