Projekt 507: "Künstliche Intelligenz" zur Verbesserung der Cybersicherheit von industriellen Steuerungsnetzwerken (KI in ICS-Netzwerken)

Kurze Beschreibung

Unternehmen mit verfahrenstechnischen Anlagen (z.B. Chemie) sowie diskreten Fertigungsanlage (Fabrikautomation,
Einzelstückfertigung, Werkzeugmaschinen) aber auch Gebäudeleittechnik (folgend zusammengefasst
unter dem Begriff Operational Technology (OT)) unterscheiden sich von klassischer Bürokommunikation
hinsichtlich der verwendeten Protokolle und Gerätelebenszyklen. Außerdem können die Konsequenzen
ihres Ausfalls, größer sein. Diese können von Verlust von Produktionsgütern über Zerstörung von
Anlagen bis zum Verlust von Menschenleben gehen. Darüber hinaus kann der Ausfall von Kritischen Infrastrukturen,
die zum Großteil auch OT verwenden, gravierend für das Gemeinwohl sein. Zudem fordert das
IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0) vom 28.5.2021 den Einsatz speziellen Systemen zur Angriffserkennung.
Gezielte Angriffe in der OT sind aktuell jedoch schwerer zu detektieren als in der klassischen IT. Gründe
dafür sind unter Anderem:
- Den Betreibern von industriellen Anlagen fehlt es oftmals an essentieller Übersicht über ihr OT-Inventar
- Die klassischen Informationsquellen (syslog, WEF, ...) fehlen oder werden nur vereinzelt ausgewertet
- Die aus der klassischen IT bekannten Regeln und Signaturen zur Angriffserkennung sind oftmals nicht in
die Systeme der OT integrierbar oder detektieren aufgrund der OT-Besonderheiten verdächtige Ereignisse
nicht zuverlässig.
Ein Vorteil bei OT-Netzwerken ist, dass die Kommunikation zwischen den Komponenten und Maschinen
stattfindet und vergleichsweise wenigen dynamischen Änderungen unterliegt. Es ist davon auszugehen, dass
eine auf Anomalien basierende Angriffserkennung in OT-Netzwerken durch lernende Systeme einen sehr
großen Zugewinn an IT-Sicherheit für eine sehr breite Anwendergruppe schaffen kann.
Die Ergebnisse aus der Grundlagenforschung sollen in ein Open-Source-Framework überführt und somit
einem breiten Anwenderfeld zur Verfügung gestellt werden.

Beschreibung der Beschaffung

Das Projekt wendet KI-Methoden zur Geräte Identifikation und Charakterisierung aus passiven Netzwerkmitschnitten (PCAPS) an. Dabei wird nach einer Implementierungsphase mittels öffenltichen PCAPS, eine Testphase anhand realer Anlagendaten verwendet. Aus der Analyse der PCAPS wird automatisch eine Gerätedatenbank generiert, welche beispielsweise für ein Schwachstellenmanagement verwendet werden kann. Zudem findet eine Analyse des Kommunikationsverhaltens statt. Es wird untersucht, ob sich daraus grundsätzliche Verhaltensmuster für Gerätegruppen ableiten lassen.
Wesentliche Meilensteine des Projektes sind:
- Geräteerfassung in einer dynamisch erweiterbaren Datenbank
- Gerätecharakterisierung mittels KI-Methoden
- Evaluation zur Gerätecharakterisierung verwendeten Methoden
- Analyse eines Zusammenhangs von Verhaltensmustern und Gerätegruppen
- Workshop mit ausführlicher Produkteinweisung
Die Ergebnisse dienen als Grundlage für Anomalieerkennungsysteme sowie zur Erfassung der Endgeräte in einer Anlage. Die erstellten Programme sind daher als Open Source zu veröffentlichen, um die Anwendung einem großen Teilnehmerkreis zur Verfügung zu stellen.

Liste und kurze Beschreibung der Auswahlkriterien

I.Ausschluss eines Interessenskonflikts
Bestätigen Sie, dass weder Sie noch Ihre Partner im Fall einer Bietergemeinschaft noch ggf. Unterauftragnehmer Interessen haben, die mit der Ausführung der Leistungen dieses Projekts im Widerspruch stehen und die sich ggf. nachteilig auf das Projektergebnis auswirken könnten? Eingeschlossen von dieser Bestätigung ist das bei dem Projekt eingesetzte Personal.
Bitte mit „JA“ oder „NEIN“ beantworten.
Ein Interessenskonflikt liegt beispielsweise bei einer Verpflichtung gegenüber oder Kooperation mit dem Hersteller eines untersuchten Produkts oder durch eine sonstige wirtschaftliche Abhängigkeit vom genannten vor.
Mindestanforderung: Wurde die Frage mit „Nein“ beantwortet (es besteht ein Interessenskonflikt), so erläutern Sie den Konflikt und stellen Sie dar, wie Sie ihn auflösen wollen. Das Angebot kann in diesem Fall nur berücksichtigt werden, wenn der beschriebene Lösungsansatz vom BSI als ausreichend beurteilt wird.
Führen Sie im Angebot lediglich den Titel des Kriteriums sowie Ihre Antwort auf. Verzichten Sie auf die wörtliche oder sinngemäße Zitierung des Kriteriums.
II. Referenzen zu industriellen Netzwerkanalysen
Legen Sie geeignete Referenzen der beteiligten Unternehmen vor. Referenzen sind geeignet, wenn die der Referenz zu Grunde liegenden Projekte hinsichtlich der fachlichen und technischen Leistungsfähigkeit im Wesentlichen ähnliche Anforderungen an die Unternehmen gestellt haben wie die ausgeschriebene Leistung. Dies ist bei der vorliegenden Ausschreibung insbesondere gegeben, bei Erfahrungen mit der Untersuchung von Netzwerkmitschnitten hinsichtlich der Identifikation und Charakterisierung von Geräten im industriellen Umfeld.
Im Wege der Referenzen ist daher nachzuweisen, dass die beteiligten Unternehmen bereits Erfahrungen in den folgenden Erfahrungsbereichen gesammelt haben:
1. Netzwerkanalyse von industriellen Datenverkehr
2. Erfahrungen mit Assetmanagementsoftware
Gehen Sie bei der Erstellung des Referenznachweises auf die folgenden Punkte ein:
Auftraggeber inkl. Fachbereich
(detaillierte) Darstellung des Auftragsgegenstands / der Tätigkeit
Umfang / Betroffener Erfahrungsbereich
Dauer
Auftragsvolumen
Die Darstellung sollte eine DIN A4-Seite pro Referenzprojekt nicht überschreiten.
Es werden keine Referenzschreiben früherer Auftraggeber benötigt.
Mindestanforderungen: Insgesamt sind mindestens drei geeignete Referenzen vorzulegen. Alle Erfahrungsbereiche müssen durch geeigneten Referenzen belegt werden, wobei eine Referenz zur Abdeckung mehrerer Bereiche herangezogen werden darf.
III. Referenzen zu künstlichen Intelligenz
Legen Sie geeignete Referenzen der beteiligten Unternehmen vor. Referenzen sind geeignet, wenn die der Referenz zu Grunde liegenden Projekte hinsichtlich der fachlichen und technischen Leistungsfähigkeit im Wesentlichen ähnliche Anforderungen an die Unternehmen gestellt haben wie die ausgeschriebene Leistung. Dies ist bei der vorliegenden Ausschreibung insbesondere gegeben, bei Erfahrungen mit KI-Lösungen zur Analyse von Netzwerkdaten.
Gehen Sie bei der Erstellung des Referenznachweises auf die folgenden Punkte ein:
Auftraggeber inkl. Fachbereich
(detaillierte) Darstellung des Auftragsgegenstands / der Tätigkeit
Umfang / Betroffener Erfahrungsbereich
Dauer
Auftragsvolumen
Die Darstellung sollte eine DIN A4-Seite pro Referenzprojekt nicht überschreiten.
Es werden keine Referenzschreiben früherer Auftraggeber benötigt.
Mindestanforderungen: Insgesamt sind mindestens drei geeignete Referenzen vorzulegen. Alle Erfahrungsbereiche müssen durch geeigneten Referenzen belegt werden, wobei eine Referenz zur Abdeckung mehrerer Eignungskriterien herangezogen werden darf.
IV. Referenzen zu Softwareentwicklung
Aus den Ausführungen müssen sich Rückschlüsse auf die Leistungsfähigkeit des Bieters / der Bietergemeinschaft (ggf. unter Einbeziehung eines Unterauftragnehmers (Eignungsleihe)) bei Projekten mit oben genanntem Schwerpunkt ziehen lassen. Die Darstellung sollte zwei DIN A4-Seite pro Referenzprojekt nicht überschreiten.
Gehen Sie bei der Erstellung des Referenznachweises auf die folgenden Punkte ein:
Gewährleistung der Codequalität
Darstellung des Auftragsgegenstands / der Tätigkeit
Verwendung von Programmen zur Softwareentwicklung und Softwarekontrolle
Verwendete Programmiersprachen
Dauer
Es werden keine Referenzschreiben früherer Auftraggeber benötigt.
Mindestanforderung: Benennung und Beschreibung von mindestens zwei geeigneten Referenzen.
Referenzen sind geeignet, wenn die der Referenz zu Grunde liegenden Projekte hinsichtlich der fachlichen und technischen Leistungsfähigkeit im Wesentlichen ähnliche Anforderungen an die Unternehmen gestellt haben wie die ausgeschriebene Leistung.
V. Qualitätsmanagement
Bitte stellen Sie das Qualitätsmanagement Ihres Unternehmens dar. Machen Sie bitte auch Angaben zu Zertifizierungen, die Ihr Unternehmen erworben hat.
Mindestanforderung: Es ist ein Qualitätsmanagement etabliert und dokumentiert und kann nachgewiesen werden.

Genaue Informationen über Fristen für Überprüfungsverfahren

Unternehmen haben Anspruch darauf, dass das BSI die Bestimmungen über das Vergabeverfahren einhält, vgl. § 97 Abs. 6 Gesetz gegen Wettbewerbsbeschränkungen (GWB). Rechte aus § 97 Abs. 6 GWB sowie sonstige Ansprüche gegen das BSI, die auf die Vornahme oder das Unterlassen einer Handlung in einem Vergabeverfahren gerichtet sind, können nur vor den
Vergabekammern und dem Beschwerdegericht geltend gemacht werden, § 156 Abs. 2 GWB. Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein, § 160 Abs. 1 GWB.
Es wird darüber belehrt, dass ein solcher Nachprüfungsantrag gemäß § 160 Abs. 3 Satz 1 GWB unzulässig ist, soweit
1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem BSI nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 GWB bleibt unberührt,
2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem BSI gerügt werden,
3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem BSI gerügt werden,
4. mehr als 15 Kalendertage nach Eingang der Mitteilung des BSI, einer Rüge nicht abhelfen zu wollen, vergangen sind.
Die o.g. vier Unzulässigkeitsgründe gelten gemäß § 160 Abs. 3 Satz 2 GWB nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Abs. 1 Nr. 2 GWB. § 134 Abs. 1 Satz 2 GWB bleibt unberührt.