Aufbau und Betrieb der 2. Generation einer Public Key Infrastructure (PKI) für (((eTicket Deutschland

VDV eTicket Service GmbH & Co. KG

Aufbau und Betrieb einer zweistufigen PKI bestehend aus einer Root-CA und Sub-CAs. Die Zertifikate der Sub-CAs werden von der Root-CA ausgestellt. Die Sub-CAs stellen wiederum End-Entität-Zertifikate für verschiedene technische Rollen in (((eTicket-Deutschland aus: User Medium (Chipkarte oder Smartphone), SAM (Secure Application Modules), SAM Administrator, NM Administrator, SAM Activator. Alle Zertifikate besitzen ein gemeinsames, durch den Auftraggeber VDV ETS in Anlehnung an ISO 7816-8 und dem BSI Technical Guideline TR-03110 definiertes Card Verifiable (CV) Zertifikatsformat.
Ein Schlüssel darf nur so lange zur Überprüfung von Zertifikaten verwendet werden, wie sein eigenes Zertifikat gültig ist.
Die Generierung und Administrierung der privaten Schlüssel der Root- und Sub-CAs muss in geeigneten „Hardware Security Modules“ und der Betrieb insgesamt in einem sicheren Rechenzentrum stattfinden.
Vollständige Kurzbeschreibung: https://t1p.de/2GPKI

Deadline

Die Frist für den Eingang der Angebote war 2022-04-28. Die Ausschreibung wurde veröffentlicht am 2022-03-25.

Anbieter

Die folgenden Lieferanten werden in Vergabeentscheidungen oder anderen Beschaffungsunterlagen erwähnt:

• Deutsche Telekom Security GmbH

Wer?

• VDV eTicket Service GmbH & Co. KG

Wie?

• Entwicklung von Dienstprogrammen für die Software-Entwicklung › Entwicklung von Sicherheitssoftware

Wo?

• Deutschland

Geschichte der Beschaffung

Datum	Dokument
2022-03-25	Auftragsbekanntmachung
2022-09-20	Bekanntmachung über vergebene Aufträge

Auftragsbekanntmachung (2022-03-25)
Objekt
Umfang der Beschaffung
Titel: Entwicklung von Sicherheitssoftware
Kurze Beschreibung:

Aufbau und Betrieb einer zweistufigen PKI bestehend aus einer Root-CA und Sub-CAs. Die Zertifikate der Sub-CAs werden von der Root-CA ausgestellt. Die Sub-CAs stellen wiederum End-Entität-Zertifikate für verschiedene technische Rollen in (((eTicket-Deutschland aus: User Medium (Chipkarte oder Smartphone), SAM (Secure Application Modules), SAM Administrator, NM Administrator, SAM Activator. Alle Zertifikate besitzen ein gemeinsames, durch den Auftraggeber VDV ETS in Anlehnung an ISO 7816-8 und dem BSI Technical Guideline TR-03110 definiertes Card Verifiable (CV) Zertifikatsformat. Ein Schlüssel darf nur so lange zur Überprüfung von Zertifikaten verwendet werden, wie sein eigenes Zertifikat gültig ist. Die Generierung und Administrierung der privaten Schlüssel der Root- und Sub-CAs muss in geeigneten „Hardware Security Modules“ und der Betrieb insgesamt in einem sicheren Rechenzentrum stattfinden. Vollständige Kurzbeschreibung: https://t1p.de/2GPKI

Metadaten der Bekanntmachung
Originalsprache: Deutsch 🗣️
Dokumenttyp: Auftragsbekanntmachung
Art des Auftrags: Dienstleistungen
Verordnung: Europäische Union
Gemeinsames Vokabular für öffentliche Aufträge (CPV)
Code: Entwicklung von Sicherheitssoftware 📦
Ort der Leistung
NUTS-Region: Deutschland 🏙️

Verfahren
Verfahrensart: Verhandlungsverfahren
Angebotsart: Angebot für alle Lose
Vergabekriterien
Wirtschaftlichstes Angebot

Öffentlicher Auftraggeber
Identität
Land: Deutschland 🇩🇪
Art des öffentlichen Auftraggebers: Einrichtung des öffentlichen Rechts
Name des öffentlichen Auftraggebers: VDV eTicket Service GmbH & Co. KG
Postanschrift: Im Mediapark 8a
Postleitzahl: 50670
Postort: Köln
Kontakt
Internetadresse: http://www.eTicket-Deutschland.de 🌏
E-Mail: hoffmann@vdv.de 📧
Telefon: +49 221/716174113 📞
URL der Dokumente: https://t1p.de/2GPKI 🌏

Referenz
Daten
Absendedatum: 2022-03-25 📅
Einreichungsfrist: 2022-04-28 📅
Veröffentlichungsdatum: 2022-03-30 📅
Datum des Beginns: 2022-07-26 📅
Datum des Endes: 2027-07-26 📅
Kennungen
Bekanntmachungsnummer: 2022/S 063-166049
ABl. S-Ausgabe: 63

Objekt
Umfang der Beschaffung
Kurze Beschreibung:

Ein Schlüssel darf nur so lange zur Überprüfung von Zertifikaten verwendet werden, wie sein eigenes Zertifikat gültig ist.

Die Generierung und Administrierung der privaten Schlüssel der Root- und Sub-CAs muss in geeigneten „Hardware Security Modules“ und der Betrieb insgesamt in einem sicheren Rechenzentrum stattfinden.

Vollständige Kurzbeschreibung: https://t1p.de/2GPKI

Downloadlink

Beschreibung der Verlängerungen: siehe Vergabeunterlagen
Ort der Leistung
Hauptstandort oder Erfüllungsort: Europa

Rechtliche, wirtschaftliche, finanzielle und technische Informationen
Bedingungen für die Teilnahme
Befähigung zur Berufsausübung:

Angaben und Formalitäten, die erforderlich sind, um die Einhaltung der Auflagen zu überprüfen: Um als Bieter zugelassen zu werden, hat der Bewerber mit seinem Teilnahmeantrag die nachfolgenden Eigenerklärungen abzugeben und mit seiner rechtsverbindlichen Unterschrift die Richtigkeit der Angaben zu

versichern:

1. Über das Vermögen des Bewerbers ist kein Insolvenzverfahren oder vergleichbares gesetzliches Verfahren

eröffnet oder die Eröffnung beantragt oder dieser Antrag mangels Masse abgelehnt worden. Ein ausländischer

Bewerber befindet sich nicht in Verhältnissen, die nach den Rechtsvorschriften seines Landes mit den im

vorgehenden Satz genannten Verfahren vergleichbar sind.

2. Das Unternehmen befindet sich nicht in Liquidation.

3. Der Bewerber hat keine sonstige schwere Verfehlung begangen, die seine Zuverlässigkeit als Bieter in Frage

stellt.

4. Der Bewerber erfüllt seine Verpflichtung zur Zahlung von Steuern und Abgaben sowie der Beiträge zur

gesetzlichen Sozialversicherung ordnungsgemäß.

5. Der Bewerber versichert, dass in seinem Unternehmen keine Schwarzarbeit stattfindet und weder das

Unternehmen noch Angehörige des Unternehmens im Zusammenhang mit der Tätigkeit für das Unternehmen

nach dem Gesetz zur Bekämpfung der Schwarzarbeit wegen illegaler Beschäftigung von Arbeitskräften

verurteilt worden sind.

6. Erklärung über die uneingeschränkte schriftliche und mündliche Kommunikationsfähigkeit der für die

Leistungserbringung vorgesehener Personen in deutscher oder englischer Sprache.

7. Erklärung, etwaig geltende Tariftreuegesetze sowie das Mindestlohngesetz anzuwenden und zu beachten.

8. Erklärung, dass der Bewerber im Falle der Aufforderung zur Angebotsabgabe die ihm zur Erstellung des

Angebots überlassenen Verdingungsunterlagen und zusätzliche Informationen vertraulich behandelt und Dritten

nicht zugänglich macht, sowie die Verpflichtung, seine Mitarbeiter und Unterauftragnehmer zur vertraulichen

Behandlung ebenfalls zu verpflichten.

Darüber hinaus sind folgende Nachweise zu erbringen:

1. Nachweis einer Haftpflichtversicherung oder Erklärung der Bereitschaft zum Abschluss einer

projektbezogenen Haftpflichtversicherung im Auftragsfall.

2. Aktueller vollständiger Auszug aus dem einschlägigen Handelsregister (nicht vor dem

1.1.2022 erstellt).

Einsendeschluss für den Teilnahmeantrag ist der 28.04.2022, 12.00 Uhr.

Wirtschaftliche und finanzielle Leistungsfähigkeit:

Angaben, die erforderlich sind, um die Einhaltung der Auflagen zu überprüfen:

Umsatz der letzten 3 Geschäftsjahre, incl. einer Angabe, welcher prozentuale Anteil davon auf mit dem Auftragsgegenstand vergleichbare Projekte zurückzuführen ist.

Bilanz und GuV-Rechnung des letzten abgeschlossenen Geschäftsjahres.

Mindeststandards:

Die Angaben müssen in einer Größenordnung sein, die auf einen Geschäftsbetrieb schließen lassen, der für eine längerfristige und krisensichere Auftragsausführung geeignet ist.

Technische und berufliche Fähigkeiten:

Angaben, die erforderlich sind, um die Einhaltung der Auflagen zu überprüfen:

— Leistungsspektrum und -schwerpunkt des Unternehmens,

— Angaben über die Anzahl der fest angestellten Mitarbeiter/Mitarbeiterinnen des Unternehmens sowie der Führungskräfte bezogen auf die letzten 3 Jahre (d. h. Anzahl der Mitarbeiter in 2019, 2020, 2021),Anzahl der fest angestellten Mitarbeiter/Mitarbeiterinnen, die in dem einschlägigen Fachgebiet innerhalb des Unternehmens arbeiten

— Nachweise über die technische Ausrüstung/Leistungsfähigkeit des Unternehmens,

— Liste der wesentlichen in den letzten 2-5 Jahren erbrachten Leistungen (Referenzprojekte), mit Angabe des Rechnungswertes, der Leistungszeit, sowie der Auftraggeber mit Ansprechpartner (mit Telefonnummer und/oder E-Mail-Adresse), bezogen auf mit dem Auftragsgegenstand vergleichbare Projekte.

— Die Referenzen sollten sich auf vergleichbare Projekte mit folgenden Schwerpunkten beziehen:

o Realisierung und/oder Betriebsführung einer PKI mit Angaben zu ungefährer Anzahl der ausgegebenen Zertifikate pro Jahr

o Beschreibung nach welchen Standards/Methoden der Bewerber Software…

… entwickelt, testet und deren Qualität sichert (ggf. mit Zertifizierungen)

… betreibt (ggf. mit Zertifizierungen),

o Beschreibung wie der Bewerber die Betriebskontinuität des Systems garantieren wird, insbesondere im Hinblick auf die Kritikalität der zu betreibenden Software.

— Im Falle einer Bewerbergemeinschaft: Angaben über die geplante Aufgabenteilung zwischen den Unternehmen und Benennung eines alleinigen Ansprechpartners der vorgesehenen Bietergemeinschaft.

Wesentliches Kriterium zur Auswahl eines Bewerbers ist, dass in den Referenzen nachgewiesen werden kann, dass der Bewerber bereits vergleichbare Projekte in vergleichbarem Umfang über einen längeren Zeitraum und ohne nennenswerte technische Beanstandungen durchgeführt hat. Die Referenzen sind auch für alle Partner von Gemeinschaftsangeboten vorzulegen.

Werden in Ziffer III.2 geforderte Nachweise oder Erklärungen nicht vollständig vorgelegt, behält sich die Vergabestelle die Nachforderung fehlender oder unvollständiger Unterlagen mit kurzer Fristsetzung vor.

Mindeststandards:

Werden geforderte Nachweise oder Erklärungen nicht vollständig vorgelegt, behält sich die Vergabestelle die Nachforderung fehlender oder unvollständiger Unterlagen mit kurzer Fristsetzung vor.

Auftragsausführung
Bedingungen für die Vertragserfüllung:

Betrieb der Anwendung in einem Rechenzentrum in einem Staat der Europäischen Union mit Zertifizierung nach ISO 9001 und ISO 27001 oder äquivalent.

Verfahren
Rechtsgrundlage: 32014L0024
Mindestzahl der Bewerber: 2
Höchstzahl der Bewerber: 8
Objektive Kriterien für die Auswahl der begrenzten Anzahl von Bewerbern:

Datum der Absendung der Aufforderungen: 2022-04-29 📅
Sprachen, in denen Angebote oder Teilnahmeanträge eingereicht werden können: Deutsch 🗣️
Englisch 🗣️
Gültigkeitsdauer des Angebots: 2022-11-15 📅

Öffentlicher Auftraggeber
Kontakt
Kontaktperson: Klaus Hoffmann
Internetadresse: www.eTicket-Deutschland.de 🌏
Dokumente URL: https://t1p.de/2GPKI 🌏

Ergänzende Informationen
Körper überprüfen
Name: Vergabekammer bei der Bezirksregierung Köln
Postanschrift: Zeughausstraße 2-10
Postort: Köln
Postleitzahl: 50667
Land: Deutschland 🇩🇪
Quelle: OJS 2022/S 063-166049 (2022-03-25)

Bekanntmachung über vergebene Aufträge (2022-09-20)
Objekt
Umfang der Beschaffung
Gesamtwert des Auftrags: 500 000 EUR 💰
Metadaten der Bekanntmachung
Dokumenttyp: Bekanntmachung über vergebene Aufträge

Verfahren
Angebotsart: Entfällt
Vergabekriterien
Niedrigster Preis

Referenz
Daten
Absendedatum: 2022-09-20 📅
Veröffentlichungsdatum: 2022-09-23 📅
Kennungen
Bekanntmachungsnummer: 2022/S 184-521259
Verweist auf Bekanntmachung: 2022/S 063-166049
ABl. S-Ausgabe: 184

Auftragsvergabe
Datum des Vertragsabschlusses: 2022-09-19 📅
Name: Deutsche Telekom Security GmbH
Postort: Bonn
Land: Deutschland 🇩🇪
Gesamtwert des Auftrags: 500 000 EUR 💰
Informationen über Ausschreibungen
Anzahl der eingegangenen Angebote: 4
Quelle: OJS 2022/S 184-521259 (2022-09-20)

Neue Beschaffungen in verwandten Kategorien 🆕

IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung (>20 neue Beschaffungen)

Softwareprogrammierung und -beratung (>20)

Programmierung von Softwarepaketen (7)

Programmierung von Anwendersoftware (6)

Entwicklung von Dienstprogrammen für die Software-Entwicklung

Entwicklung von Sicherheitssoftware