IT-Sicherheit auf dem digitalen Verbrauchermarkt: Fokus Onlineshopping-Plattformen

Beschreibung der Beschaffung

In dem Forschungsvorhaben soll die Sicherheit von Verbraucherdaten bei der Nutzung von Online-Shops untersucht werden. Hierfür sind vom Auftragnehmer zunächst gängige Shop-Softwaresysteme und durch Datenleak-Vorfälle in der Vergangenheit bereits bekannt gewordene Schwachstellen zu recherchieren. Es folgt eine empirisch qualitative Befragung von Themenexperten, eine Schwachstellenanalyse von ausgewählten Onlineshop-Software-Produkten und eine bevölkerungsrepräsentative Befragung von Verbraucherinnen und Verbrauchern. Hierdurch sollen Erkenntnisse gewonnen werden, wie Datenleak-Vorfälle im Onlinehandel in der Bevölkerung wahrgenommen und bewertet werden.

Beschreibung der Optionen

Bei Untersuchungen von Schwachstellen in Softwareprodukten ist es üblich, die Softwarehersteller vor einer Veröffentlichung über die Sicherheitslücken zu informieren. Um die Softwarehersteller bei Bedarf zu den gefundenen Sicherheitslücken beraten zu können, enthält der Auftrag eine Option mit einem Abrufkontingent in Höhe von 10 Personentagen, welche bis zu sechs Monate nach Abgabe des Abschlussberichtes gezogen werden kann.

Liste und kurze Beschreibung der Auswahlkriterien

Zum Nachweis der technischen und beruflichen Leistungsfähigkeit reichen Sie bitte eine Liste mit geeigneten Referenzen in Bezug zur gegenständlichen Leistung ein. Stellen Sie Ihre Leistungsfähigkeit für den Auftragsgegenstand und Ihre hierfür relevanten Erfahrungen anhand der Referenzen dar.
Zu den Referenzen sind folgende Angaben zu machen:
• Beschreibung der ausgeführten Leistungen,
• Wert des Auftrages,
• Zeitraum der Leistungserbringung,
• Angabe der zuständigen Kontaktstelle beim Auftraggeber der Referenz mit Anschrift und Kontaktdaten.
• Die Darstellung sollte eine DIN A4-Seite pro Referenz nicht überschreiten.
Darüber hinaus gelten die folgenden Anforderungen an die benannten Referenzen:
• Die Referenzen dürfen nicht älter als drei Jahre sein (maßgeblich ist das Datum der letzten Leistungserbringung - gerechnet bis zum Ende der Angebotsfrist).
• Belegen Sie anhand von mindestens 2 Projektreferenzen, dass Sie, oder im Falle einer Bietergemeinschaft mindestens eines der beteiligten Unternehmen Projekterfahrungen in empirischen Erhebungen (Befragungen) besitzt. Darunter verstehen sich Konzeption, Durchführung und erfolgreicher Abschluss von für Deutschland repräsentativen empirischen Erhebungen mit einem Stichprobenumfang von mindestens n=1000.
• Belegen Sie anhand von mindestens 2 Projektreferenzen, dass Sie, oder im Falle einer Bietergemeinschaft mindestens eines der beteiligten Unternehmen Projekterfahrungen mit dem Schwerpunkt "technische Analyse von Sicherheitseigenschaften" besitzt.
• Die genannten Referenzprojekte müssen abgeschlossen sein. Sofern es sich um Referenzen handelt, die noch nicht abgeschlossen wurden, ist der bisher erreichte Leistungsstand anzugeben. Noch nicht realisierte Leistungsstände können nicht berücksichtigt werden.
• Die Eignung ist grundsätzlich durch jeweils mindestens zwei Projektreferenzen in den beiden oben genannten Themenbereichen nachzuweisen. Wurden beide oben genannten Themenbereiche innerhalb eines Projektes bearbeitet, zählt diese Projektreferenz als Eignungsnachweis für beide Themenbereiche. Für den Eignungsnachweis können demnach insgesamt bereits zwei Projektreferenzen ausreichend sein, vorausgesetzt durch jede der beiden Projektreferenzen wird sowohl die Erfahrung mit repräsentativen empirischen Erhebungen, als auch mit technischen Analysen von Sicherheitseigenschaften belegt.
• Für die Referenzen ist die Vorlage "Vordruck Referenzen" zu verwenden. Nutzen Sie die Vorlage bitte mehrfach (1x je Referenz).
• Es ist Ihnen unbenommen, weitere, als die geforderte Mindestanzahl an Referenzen zu benennen. Da das Austauschen einer fehlerhaften Referenz durch eine nach Fristende nachgereichte bedingungsgemäße Referenz nicht möglich ist und in den entsprechenden Fällen den Ausschluss des Bieters nach sich zieht, empfiehlt das Beschaffungsamt des BMI, eine Liste von weiteren als bedingungsgemäß betrachteten Referenzen einzureichen.
Angabe der technischen Fachkräfte
Als geeignet werden nur Unternehmen angesehen, die für die Leistungserbringung hinsichtlich Anzahl und Qualifikation ausreichende personelle Kapazitäten bereithalten. Bitte machen Sie in einer von Ihnen selbst zu erstellenden Eigenerklärung Angaben zu dem von Ihnen vorgesehenen Projektteam, der Zusammensetzung, Anzahl der Mitarbeiter und deren Qualifikation, sowie qualifikationsgerechte Vertretungsregeln.
Für die folgenden vordefinierten Rollen gelten Mindestanforderungen, deren Erfüllung im Angebot zu belegen ist. Füllen Sie bitte die Anlage "Mitarbeiterprofile" aus, mit der Sie nachweisen, dass die zur Projektdurchführung eingeplanten Personen über die aufgeführten Mindestanforderungen verfügen.
a) Mindestanforderungen Rolle 1: Projektleitung (mindestens 1 Profil)
• Hochschulabschluss (Master / Universitäts-Diplom)
• Leitung von mindestens zwei innerhalb der letzten fünf Jahre abgeschlossenen Projekten in denen bevölkerungsrepräsentative Befragungen oder technische Schwachstellenanalysen durchgeführt wurden (nachzuweisen durch persönliche Referenzprojekte).
b) Mindestanforderungen Rolle 2: Projektbearbeiter (mindestens 1 Profil)
Die folgenden Qualifikationsanforderungen müssen insgesamt im Team aller Mitarbeitenden in der Rolle "Projektbearbeiter" nachweisbar sein. Es ist nicht erforderlich, dass jeder Rolleninhaber über sämtliche Qualifikationsanforderungen verfügt.
• Hochschulabschluss (Master / Diplom / Bachelor)
• Mitarbeit an mindestens einer bevölkerungsrepräsentativen empirischen Erhebung (nachzuweisen durch persönliche Referenzprojekte).
• Mitarbeit an mindestens einer technischen Schwachstellenanalyse (nachzuweisen durch persönliche Referenzprojekte).
Der Auftragnehmer kann zur Aufgabenerledigung zusätzlich weitere Personen bzw. Rollen vorsehen, die andere Qualifikationsprofile haben können, und diese Personen zur Leistungserbringung einsetzen. Diese sind in der Eigenerklärung zum Projektteam aufzuführen.
Bitte verzichten Sie bei der Darstellung auf die Angabe von personenbezogenen Daten, wie Klarnamen oder das Einreichen von Zeugnissen etc. Die Vergabestelle behält sich vor, die Nachweise über die angegebenen Qualifikationen der für die Leistungserbringung vorgesehenen Fachkräfte vor Zuschlagserteilung einzufordern, um die Angaben zu überprüfen.

Gemäß § 122 Abs. 1 GWB werden öffentliche Aufträge nur an fachkundige und leistungsfähige (geeignete) Unternehmen vergeben, die nicht nach den §§123 oder 124 GWB ausgeschlossen worden sind. Hierzu ist die 'Anlage Eigenerklaerung-Ausschlussgruende' vom Bieter auszufüllen und dem Angebot beizufügen. Für den Fall der Bildung von Bietergemeinschaften und für den Fall der Inanspruchnahme von Kapazitäten anderer Unternehmen (Eignungsleihe, Unteraufträge) wird auf Ziffer 3 der Allgemeinen Bewerbungsbedingungen verwiesen.
Vor der Auftragsvergabe wird von der Vergabestelle eine Gewerbezentralregisterauskunft eingeholt. Für einen Zuschlag kommt nur ein Bieter in Frage, der keine auftragsverhindernden Eintragungen besitzt.
Im Rahmen der Leistungserbringung wird eine Auftragsverarbeitung erfolgen, d. h. es werden durch die künftige Auftragnehmerin personenbezogene Daten erhoben, verarbeitet und genutzt. Hierzu ist die Anlage 'Eigenerklärung Auftragsverarbeitung' vom Bieter auszufüllen und dem Angebot beizufügen. Mit dieser verpflichtet sich der Bieter die in der Vereinbarung zur Auftragsverarbeitung getroffenen Festlegungen im Fall der Auftragserteilung einzuhalten.
Gemäß § 46 Abs. 2 VgV kann der öffentliche Auftraggeber die berufliche Leistungsfähigkeit verneinen, wenn der Bieter Interessen hat, die mit der Auftragsdurchführung im Wiederspruch stehen. Vom Bieter ist in einem selbst erstellten Dokument zu bestätigen, dass er sich in keiner Verpflichtung gegenüber oder Kooperation mit dem Hersteller eines Onlineshop-Software-Produkts oder durch eine sonstige wirtschaftliche Abhängigkeit vom genannten befindet oder andernfalls zu erläutern, wie er den Konflikt auflösen will.

Genaue Informationen über Fristen für Überprüfungsverfahren

Unternehmen haben einen Anspruch auf Einhaltung der bieter- und bewerberschützenden Bestimmungen über das Vergabeverfahren gegenüber dem öffentlichen Auftraggeber, Bundesrepublik Deutschland, vertreten durch das Beschaffungsamt des BMI (BeschA).
Sieht sich ein am Auftrag interessiertes Unternehmen durch Nichtbeachtung von Vergabevorschriften in seinen Rechten verletzt, ist der Verstoß innerhalb einer Frist von zehn Kalendertagen gegenüber dem BeschA zu rügen (§ 160 Abs. 3 S. 1 Nr. 1 Gesetz gegen Wettbewerbsbeschränkungen (GWB)). Verstöße, die aufgrund der Bekanntmachung oder der Vergabeunterlagen erkennbar sind, müssen spätestens bis zu der in der Bekanntmachung benannten Frist zur Bewerbung oder Angebotsabgabe gegenüber dem BeschA gerügt werden (§ 160 Abs. 3 S. 1 Nr. 2 und 3 GWB).
Teilt das BeschA dem Unternehmen mit, seiner Rüge nicht abhelfen zu wollen, so besteht die Möglichkeit, innerhalb von 15 Tagen nach Eingang der Mitteilung einen Antrag auf Nachprüfung bei der Vergabekammer zu stellen (§ 160 Abs. 3 S. 1 Nr. 4 GWB).
Bieter, deren Angebote für den Zuschlag nicht berücksichtigt werden sollen, werden vor dem Zuschlag gemäß § 134 Abs. 1 GWB darüber informiert. Ein Vertrag darf erst 15 Kalendertage nach Absendung dieser Information durch das BeschA geschlossen werden; bei Übermittlung per Fax oder auf elektronischem Wege beträgt diese Frist zehn Kalendertage. Sie beginnt am Tag nach Absendung der Information durch das BeschA.
Ein Antrag auf Nachprüfung ist schriftlich an die Vergabekammern des Bundes beim Bundeskartellamt, Villemombler Straße 76, 53123 Bonn zu richten.
Hinweis: Das BeschA ist im Falle eines Nachprüfungsantrags verpflichtet, die Vergabeakten, die auch die abgegebenen Angebote enthalten, an die Vergabekammer weiterzuleiten. Die Beteiligten haben ein Recht auf Akteneinsicht. Um Betriebs- und Geschäftsgeheimnisse zu wahren, teilen Sie uns konkret mit Bezug auf die entsprechenden Dokumente des Angebotes mit, welche Informationen als Betriebs- und Geschäftsgeheimnisse zu behandeln sind.