Penetrationstests, Support und Analysen

Betriebskrankenkasse Mobil Oil

Im Zuge der Digitalisierung und dem digitalen Wandel befindet sich der Auftraggeber im Umdenken. Der Auftraggeber will seinen Kunden neue Kommunikationskanäle eröffnen und anbieten.
Hierfür sollen regelmäßig die Sicherheitslücken der Geschäftsanwendungen und -prozesse und die dahinterliegenden Backends inklusive ihrer Schnittstellen ermittelt, Schwachstellen aufgedeckt und Gefährdungspotenziale besser eingeschätzt werden. Sicherheitslücken und -risiken müssen frühzeitig erkannt und behoben werden, um schadhafte Angriffe von Dritten oder unrechtmäßigen Zugriff auf Daten zu vermeiden.
Die Sicherheit der Geschäftsanwendungen und -prozesse sind dementsprechend zu optimieren sowie Schutzmechanismen zu priorisieren und die Reaktionsmechanismen zu testen.

Deadline

Die Frist für den Eingang der Angebote war 2021-05-10. Die Ausschreibung wurde veröffentlicht am 2021-03-30.

Anbieter

Die folgenden Lieferanten werden in Vergabeentscheidungen oder anderen Beschaffungsunterlagen erwähnt:

Wer?

• Betriebskrankenkasse Mobil Oil

Wie?

• Systemberatung und technische Beratung › Bewertung und Prüfung der Systemqualitätssicherung

Wo?

• Hamburg › Hamburg

Geschichte der Beschaffung

Datum	Dokument
2021-03-30	Auftragsbekanntmachung
2021-06-28	Bekanntmachung über vergebene Aufträge

Auftragsbekanntmachung (2021-03-30)
Objekt
Umfang der Beschaffung
Titel: Bewertung und Prüfung der Systemqualitätssicherung
Referenznummer: OV-IT-049/2021
Kurze Beschreibung:

Im Zuge der Digitalisierung und dem digitalen Wandel befindet sich der Auftraggeber im Umdenken. Der Auftraggeber will seinen Kunden neue Kommunikationskanäle eröffnen und anbieten. Hierfür sollen regelmäßig die Sicherheitslücken der Geschäftsanwendungen und -prozesse und die dahinterliegenden Backends inklusive ihrer Schnittstellen ermittelt, Schwachstellen aufgedeckt und Gefährdungspotenziale besser eingeschätzt werden. Sicherheitslücken und -risiken müssen frühzeitig erkannt und behoben werden, um schadhafte Angriffe von Dritten oder unrechtmäßigen Zugriff auf Daten zu vermeiden. Die Sicherheit der Geschäftsanwendungen und -prozesse sind dementsprechend zu optimieren sowie Schutzmechanismen zu priorisieren und die Reaktionsmechanismen zu testen.

Metadaten der Bekanntmachung
Originalsprache: Deutsch 🗣️
Dokumenttyp: Auftragsbekanntmachung
Art des Auftrags: Dienstleistungen
Verordnung: Europäische Union
Gemeinsames Vokabular für öffentliche Aufträge (CPV)
Code: Bewertung und Prüfung der Systemqualitätssicherung 📦
Zusätzlicher CPV-Code: Bewertung und Prüfung der Systemqualitätssicherung 📦
Ort der Leistung
NUTS-Region: Hamburg 🏙️

Verfahren
Verfahrensart: Offenes Verfahren
Angebotsart: Angebot für alle Lose
Vergabekriterien
Niedrigster Preis

Öffentlicher Auftraggeber
Identität
Land: Deutschland 🇩🇪
Art des öffentlichen Auftraggebers: Einrichtung des öffentlichen Rechts
Name des öffentlichen Auftraggebers: Betriebskrankenkasse Mobil Oil
Postanschrift: Hühnerposten 2
Postleitzahl: 20097
Postort: Hamburg
Kontakt
Internetadresse: http://www.bkk-mobil-oil.de 🌏
E-Mail: einkauf@bkk-mobil-oil.de 📧
URL der Dokumente: https://www.dtvp.de/Satellite/notice/CXP4YDLDWDX/documents 🌏
URL der Teilnahme: https://www.dtvp.de/Satellite/notice/CXP4YDLDWDX 🌏

Referenz
Daten
Absendedatum: 2021-03-30 📅
Einreichungsfrist: 2021-05-10 📅
Veröffentlichungsdatum: 2021-04-02 📅
Kennungen
Bekanntmachungsnummer: 2021/S 065-166497
ABl. S-Ausgabe: 65
Zusätzliche Informationen
Bekanntmachungs-ID: CXP4YDLDWDX.

Objekt
Umfang der Beschaffung
Kurze Beschreibung:

Im Zuge der Digitalisierung und dem digitalen Wandel befindet sich der Auftraggeber im Umdenken. Der Auftraggeber will seinen Kunden neue Kommunikationskanäle eröffnen und anbieten.

Hierfür sollen regelmäßig die Sicherheitslücken der Geschäftsanwendungen und -prozesse und die dahinterliegenden Backends inklusive ihrer Schnittstellen ermittelt, Schwachstellen aufgedeckt und Gefährdungspotenziale besser eingeschätzt werden. Sicherheitslücken und -risiken müssen frühzeitig erkannt und behoben werden, um schadhafte Angriffe von Dritten oder unrechtmäßigen Zugriff auf Daten zu vermeiden.

Die Sicherheit der Geschäftsanwendungen und -prozesse sind dementsprechend zu optimieren sowie Schutzmechanismen zu priorisieren und die Reaktionsmechanismen zu testen.

Informationen über Lose:

Bei Angeboten auf mehrere Lose ist sicherzustellen, dass die Bearbeiter der einzelnen Lose komplett voneinander getrennt arbeiten. Unter Beachtung dieser Voraussetzung sind folgende Loskombinationen möglich:

— Los 1 geht in Kombination mit Los 3, 4 und / oder 5,

— Los 2 geht in Kombination mit Los 3,

— Los 3 geht in Kombination mit Los 1, 4 und / oder 5 — Ausnahme: bei einer Kombination von Los 3 mit Los 2 sind keine weiteren Kombinationen möglich,

— Los 4 geht in Kombination mit Los 1, 3 und / oder 5,

— Los 5 geht in Kombination mit Los 1, 3 und / oder 4.

Informationen zu den möglichen Loskombinationen finden Sie in der Anlage 1 „Allgemeine Leistungsbeschreibung“ sowie in der „Aufforderung zur Angebotsabgabe“.

Bezeichnung des Loses: Whitebox-Penetrationstest
Losnummer: 1
Kurze Beschreibung:

Auf Basis von zur Verfügung gestellten Informationen und Zugängen sollen Sicherheitslücken bei den einzelnen Systemen und Lösungsmöglichkeiten für eine IT-Sicherheit aufgezeigt werden.

Dauer: 36 Monate
Beschreibung der Verlängerungen:

Der Auftraggeber ist berechtigt, die Laufzeit des Vertrags durch einseitige Erklärung gegenüber dem Auftragnehmer 2-mal um 12 Monate zu verlängern.

Beschreibung der Optionen: Optionale Verlängerung um 3 x 12 Monate.
Bezeichnung des Loses: Blackbox-Penetrationstest
Losnummer: 2
Kurze Beschreibung:

Ohne Kenntnisse über die IT-Infrastruktur sollen die Systeme angegriffen werden und Lösungsmöglichkeiten für eine IT-Sicherheit aufgezeigt werden.

Beschreibung der Optionen: Optionale Vertragsverlängerung um 3 x 12 Monate.
Bezeichnung des Loses: Social Engineering-Penetrationstest
Losnummer: 3
Kurze Beschreibung:

Es sollen geplante und zielgerichtete Attacken durchführt werden, um die Mitarbeiter der BKK Mobil Oil auf ihr Informationssicherheitsverhalten im klassischen IT-Umfeld zu prüfen. Bisher getroffene Maßnahmen zur Abwehr von Social Engineering Angriffen sollen überprüft und optimiert werden, zukünftige Maßnahmen sollen vorgeschlagen werden.

Beschreibung der Verlängerungen: Optionale Vertragsverlängerung um 3 x 12 Monate.
Beschreibung der Optionen:

Der Auftraggeber ist berechtigt, die Laufzeit des Vertrags durch einseitige Erklärung gegenüber dem Auftragnehmer 2-mal um 12 Monate zu verlängern.

Bezeichnung des Loses: Architekturelle Sicherheits- und Angriffsvektoranalyse sowie Prozessanalyse
Losnummer: 4
Kurze Beschreibung:

Durchführung einer architekturellen Sicherheits- und Angriffsvektoranalyse sowie Prozessanalyse. Weiterhin ist eine Bedrohungs- und Schwachstellenanalyse zur Identifikation und Bewertung von Angriffsszenarien anzubieten.

Bezeichnung des Loses: Support bei Datenschutz- und IT-Sicherheitsvorfällen
Losnummer: 5
Kurze Beschreibung:

Der Auftragnehmer muss im Rahmen eines Notfallsupports bei Hacker-Angriffen zur Schließung der Sicherheitslücken zur Verfügung stehen.

Beschreibung der Verlängerungen:

Der Auftraggeber ist berechtigt, die Laufzeit des Vertrags durch einseitige Erklärung gegenüber dem Auftragnehmer dreimal um 12 Monate zu verlängern.

Ort der Leistung
Hauptstandort oder Erfüllungsort:

Betriebskrankenkasse Mobil Oil

Hühnerposten 2

20097 Hamburg

Rechtliche, wirtschaftliche, finanzielle und technische Informationen
Bedingungen für die Teilnahme
Befähigung zur Berufsausübung:

Nachweis Auszug Handelsregister. Dieser darf nicht älter als 6 Monate sein. Ausländische Bieter haben eine Bescheinigung des Handelsregisters ihres Herkunftslandes beizufügen.

Wirtschaftliche und finanzielle Leistungsfähigkeit:

— Anlage 3 — Eigenerklärung zur Leistungsfähigkeit, Nichtvorliegen von Ausschlussgründen und Gesetzestreue,

— Anlage 8 — Unternehmensdarstellung inkl. Eignungskriterien.

Technische und berufliche Fähigkeiten:

— Anlage 3 — Eigenerklärung zur Leistungsfähigkeit, Nichtvorliegen von Ausschlussgründen und Gesetzestreue,

— Anlage 8 — Unternehmensdarstellung inkl. Eignungskriterien zwingende Angabe von mind. 2 positiven Referenzen pro Los.

Zertifizierungen und Erfahrungen:

Mindestanforderungen für die Lose 1 — 3:

— Mind. 5 Jahre Erfahrungen im Bereich Whitebox / Blackbox / Social-Engineering-Penetrationstest,

— Nachweis einer Zertifizierung für IS-Penetrationstest durch das BSI,

— Bei Angebotsabgabe von mehreren Losen: Bestätigung, dass die Bearbeiter der einzelnen Lose komplett voneinander getrennt arbeiten mittels Einreichung eines entsprechenden Umsetzungskonzeptes,

— Bestätigung, dass im Folgejahr nicht dieselben Personen den Penetrationstest durchführen,

— Nachweis ISO 27001-Zertifizierung,

Mindestanforderungen für das Los 4:

— Mind. 5 Jahre Erfahrungen im Bereich Prozessanalyse und ISMS,

— Nachweis ISO 27001-Zertifizierung.

Mindestanforderungen für das Los 5:

— Mind. 5 Jahre Erfahrungen im CSIRT-Team,

Verfahren
Rechtsgrundlage: 32014L0024
Zeitpunkt des Eingangs der Angebote: 13:00
Sprachen, in denen Angebote oder Teilnahmeanträge eingereicht werden können: Deutsch 🗣️
Gültigkeitsdauer des Angebots: 2021-08-31 📅
Datum der Angebotseröffnung: 2021-05-10 📅
Zeitpunkt der Angebotseröffnung: 13:00

Öffentlicher Auftraggeber
Kontakt
Kontaktperson: Einkauf
Internetadresse: www.bkk-mobil-oil.de 🌏
Dokumente URL: https://www.dtvp.de/Satellite/notice/CXP4YDLDWDX/documents 🌏

Ergänzende Informationen
Körper überprüfen
Name: Vergabekammer des Bundes
Postanschrift: Villemombler Straße 76
Postort: Bonn
Postleitzahl: 53123
Land: Deutschland 🇩🇪
Dienststelle, bei der Informationen über das Überprüfungsverfahren eingeholt werden können
Wie: Körper überprüfen
Quelle: OJS 2021/S 065-166497 (2021-03-30)

Bekanntmachung über vergebene Aufträge (2021-06-28)
Objekt
Umfang der Beschaffung
Referenznummer: OV-IT-049/2021 (vergeben)
Gesamtwert des Auftrags: 0.01 EUR 💰
Metadaten der Bekanntmachung
Dokumenttyp: Bekanntmachung über vergebene Aufträge

Verfahren
Angebotsart: Entfällt

Öffentlicher Auftraggeber
Identität
Name des öffentlichen Auftraggebers: Mobil Krankenkasse
Kontakt
Internetadresse: https://www.mobil-krankenkasse.de 🌏
E-Mail: einkauf@mobil-krankenkasse.de 📧

Referenz
Daten
Absendedatum: 2021-06-28 📅
Veröffentlichungsdatum: 2021-07-02 📅
Kennungen
Bekanntmachungsnummer: 2021/S 126-333819
Verweist auf Bekanntmachung: 2021/S 065-166497
ABl. S-Ausgabe: 126
Zusätzliche Informationen
Bekanntmachungs-ID: CXP4YDLRHJ5

Objekt
Umfang der Beschaffung
Beschreibung der Optionen:

Optionale Verlängerung um 3 x 12 Monate

Optionale Vertragsverlängerung um 3 x 12 Monate

Der Auftraggeber ist berechtigt, die Laufzeit des Vertrags durch einseitige Erklärung gegenüber dem Auftragnehmer dreimal um 12 Monate zu verlängern.

Ort der Leistung
Hauptstandort oder Erfüllungsort: Mobil Krankenkasse

Auftragsvergabe
Datum des Vertragsabschlusses: 2021-06-14 📅
Name: mgm security partners GmbH
Postort: München
Land: Deutschland 🇩🇪
Oberbayern 🏙️
Gesamtwert des Auftrags: 0.01 EUR 💰
Name: Deutsche Telekom Security GmbH
Postort: Frankfurt
Land: Bonn, Kreisfreie Stadt 🏙️
Name: Atos Information Technology GmbH
Land: Frankfurt am Main, Kreisfreie Stadt 🏙️
Name: Insentis GmbH
Postort: Geisenheim
Land: Rheingau-Taunus-Kreis 🏙️
Informationen über Ausschreibungen
Anzahl der eingegangenen Angebote: 5
2
1

Ergänzende Informationen
Für Mediationsverfahren zuständige Stelle
Name: Vergabekammer des Bundes
Postanschrift: Villemombler Straße 76
Postort: Bonn
Postleitzahl: 53123
Land: Deutschland 🇩🇪
Quelle: OJS 2021/S 126-333819 (2021-06-28)

Neue Beschaffungen in verwandten Kategorien 🆕

IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung (>20 neue Beschaffungen)

Softwareprogrammierung und -beratung (>20)

Systemberatung und technische Beratung (17)