Projekt 531 TP 1 Prototypische Implementierung eines Cryptographic-Service-Providers (CSP) - Dezentraler CSP (CRYSPI)

Kurze Beschreibung

Basierend auf dem Entwurf der TR-CSP2(DRAFT) und den bestehenden Sicherheitsvorgaben (BSI-CC-PP-CSP bzw. BSI-CC-PP-CSP-Light) sollen zwei CSP-Referenzimplementierungen (Software) erstellt werden.
Die Implementierungen sind funktional vollständig umzusetzen und müssen grundsätzlich dazu geeignet sein jeweils die Sicherheitszertifizierung nach PP-CSP (EAL 4+, AVA_VAN.5) bzw. PP-CSP-Light (EAL-2+) sowie die Konformitätszertifizierung nach TR-CSP2 erfolgreich abzuschließen. Zu diesem Zweck sind entwicklungsbegleitend die Kornformitätsvorgaben und eine entsprechende Test-Spezifikation zu erstellen.
Die Durchführung der Zertifizierungen selbst ist nicht Teil des Projekts.
Projektziel von TP 1 ist eine Referenzimplementierung für einen dezentralen Cryptographic-Service-Provider (CSP) in SmartCard-Technologie oder vergleichbar, zur Nutzung als Sicherheitselement für eID-Anwendungen auf mobilen Endgeräten, Chipkarten u.ä. oder sonstigen Digitalisierungsprojekten. Angestrebtes Sicherheitsniveau: EAL 4+ nach BSI-CC-PP-0104-2019.
Damit einhergehend ist die entwicklungsbegleitende Mitarbeit an der Anpassung und Fortschreibung der bestehenden Sicherheitsvorgaben Ziel.

Liste und kurze Beschreibung der Auswahlkriterien

1. Referenzen
Legen Sie mindestens drei geeignete Referenzen der beteiligten Unternehmen vor, die nicht älter sind als drei Jahre. Referenzen sind geeignet, wenn die der Referenz zu Grunde liegenden Projekte hinsichtlich der fachlichen und technischen Leistungsfähigkeit im Wesentlichen ähnliche Anforderungen an die Unternehmen gestellt haben wie die ausgeschriebene Leistung. Dies ist bei der vorliegenden Ausschreibung insbesondere gegeben bei Erfahrungen in der Entwicklung von sicherheitszertifizierten JavaCard-Applets.
Die genannten Referenzen müssen insbesondere die Fähigkeit der beteiligten Unternehmen auf dem Gebiet der Entwicklung, Ausarbeitung und Umsetzung innovativer Lösungen belegen. Im Wege der Referenzen ist daher nachzuweisen, dass die beteiligten Unternehmen bereits Erfahrungen in den folgenden Erfahrungsbereichen gesammelt haben:
- Entwicklung von JavaCard-Applets auf Sicherheitselementen
- Erstellung von Konzepten im Bereich der IT-Sicherheitskomponenten und -systeme samt der Entwicklung von Nutzungsszenarien
- Erfahrungen im Bereich der IT-Sicherheit, insbesondere Schutz vor Angriffen von Dritten
- Erfahrungen in der Entwicklung von Software im Bereich Sicherheitsinformationstechnik, insbesondere auch sicheren Schnittstellen (API)
- Erfahrung in der Umsetzung und Implementierung von Kryptoalgorithmen
- Kenntnisse über die Common Criteria (CC) und die Durchführung von Evaluierungstätigkeiten an IT-Systemen oder -Produkten anhand von definierten und CC-nahen Evaluierungskriterien
- Kenntnisse über die Technischen Richtlinien des BSI (BSI-TR) und die Durchführung von Konformitätstests an IT-Systemen oder -Produkten anhand von definierten Testspezifikationen
- Erfahrungen in der Entwicklung von Anwendungen oder Diensten im Bereich elektronischer Identitäten und Authentifikationsprotokollen
- Umsetzung/Realisierung eines innovativen Test- oder Pilotbetriebs
2. Gehen Sie bei der Erstellung des Referenznachweises auf die folgenden Punkte ein:
- Auftraggeber inkl. Fachbereich
- (detaillierte) Darstellung des Auftragsgegenstands / der Tätigkeit
- Umfang / Betroffener Erfahrungsbereich
- Dauer
- Auftragsvolumen
Die Darstellung sollte zwei DIN A4-Seiten pro Referenzprojekt nicht überschreiten.
Es werden keine Referenzschreiben früherer Auftraggeber benötigt.
Mindestanforderungen: Insgesamt sind mindestens drei geeignete Referenzen vorzulegen. Alle Erfahrungsbereiche müssen durch mindestens eine geeignete Referenz belegt werden, wobei eine Referenz zur Abdeckung mehrerer Bereiche herangezogen werden darf.
3. Technische Ausrüstung
Geben Sie einen kurzen Überblick über das technische Equipment, welches Ihnen zur Verfügung steht und von Ihnen zur Erbringung der AP 2 bis AP 6 eingesetzt wird.
Mindestanforderung: Der Bieter ist aus Sicht des BSI in der Lage, die hier zu vergebende Leistung mit Hilfe der beschriebenen technischen Ausrüstung erfolgreich zu erbringen.
4. Qualitätsmanagement
Bitte stellen Sie das Qualitätsmanagement Ihres Unternehmens dar. Machen Sie bitte auch Angaben zu Zertifizierungen, die Ihr Unternehmen erworben hat.
Mindestanforderung: Es ist ein Qualitätsmanagement etabliert und dokumentiert und kann nachgewiesen werden.

Genaue Informationen über Fristen für Überprüfungsverfahren

Unternehmen haben Anspruch darauf, dass das BSI die Bestimmungen über das
Vergabeverfahren einhält, vgl. § 97 Abs. 6 Gesetz gegen
Wettbewerbsbeschränkungen (GWB). Rechte aus § 97 Abs. 6 GWB sowie sonstige
Ansprüche gegen das BSI, die auf die Vornahme oder das Unterlassen einer
Handlung in einem Vergabeverfahren gerichtet sind, können nur vor den
Vergabekammern und dem Beschwerdegericht geltend gemacht werden, § 156
Abs. 2 GWB. Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf
Antrag ein, § 160 Abs. 1 GWB.
Es wird darüber belehrt, dass ein solcher Nachprüfungsantrag gemäß § 160 Abs.
3 Satz 1 GWB unzulässig ist, soweit
1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften
vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem BSI nicht
innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist
nach § 134 Absatz 2 GWB bleibt unberührt,
2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung
erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung
benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem BSI
gerügt werden,
3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen
erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder
zur Angebotsabgabe gegenüber dem BSI gerügt werden,
4. mehr als 15 Kalendertage nach Eingang der Mitteilung des BSI, einer Rüge
nicht abhelfen zu wollen, vergangen sind.
Die o.g. vier Unzulässigkeitsgründe gelten gemäß § 160 Abs. 3 Satz 2 GWB nicht
bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135
Abs. 1 Nr. 2 GWB. § 134 Abs. 1 Satz 2 GWB bleibt unberührt.