Projekt 563: Sicherheit von Praxisverwaltungssystem (SiPra)

Bundesamt für Sicherheit in der Informationstechnik

Das Projekt 563 SiPra Sicherheit von Praxisverwaltungssystemen hat den Anspruch, zunächst eine realistische Einschätzung und aktuelle Übersicht der deutschen Marktlage, inkl. der derzeitigen IT-Sicherheitsvorkehrungen, zu Praxisverwaltungssystemen (PVS) zu geben. Für die weiteren Untersuchungen im Projekt werden vier marktrelevante PVS ausgewählt. In der anschließenden umfassenden technischen Sicherheitsanalyse (Penetrationstest, Fuzzing-Test, Ausführen von Schadcode, Einschleusen von Maleware) dieser Systeme sollen alle möglichen Schwachstellen und Angriffsszenarien auf Softwareebene aufgezeigt werden. Die Ergebnisse dieses Projektes können die Basis für nachfolgende Projekte sein, abhängig davon, ob und welche IT-Sicherheitslücken identifizierbar sind und wie kritisch diese für die Leistungserbringer sein können.

Deadline

Die Frist für den Eingang der Angebote war 2022-08-16. Die Ausschreibung wurde veröffentlicht am 2022-07-14.

Anbieter

Die folgenden Lieferanten werden in Vergabeentscheidungen oder anderen Beschaffungsunterlagen erwähnt:

• adesso SE

Wer?

• Bundesamt für Sicherheit in der Informationstechnik

Wie?

• IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung

Wo?

• Köln › Bonn, Kreisfreie Stadt

Geschichte der Beschaffung

Datum	Dokument
2022-07-14	Auftragsbekanntmachung
2022-10-28	Bekanntmachung über vergebene Aufträge

Auftragsbekanntmachung (2022-07-14)
Objekt
Umfang der Beschaffung
Titel: IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung
Referenznummer: P563
Kurze Beschreibung:

Metadaten der Bekanntmachung
Originalsprache: Deutsch 🗣️
Dokumenttyp: Auftragsbekanntmachung
Art des Auftrags: Dienstleistungen
Verordnung: Europäische Union
Gemeinsames Vokabular für öffentliche Aufträge (CPV)
Code: IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung 📦
Zusätzlicher CPV-Code: IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung 📦
Ort der Leistung
NUTS-Region: Bonn, Kreisfreie Stadt 🏙️

Verfahren
Verfahrensart: Offenes Verfahren
Angebotsart: Angebot für alle Lose
Vergabekriterien
Wirtschaftlichstes Angebot

Öffentlicher Auftraggeber
Identität
Land: Deutschland 🇩🇪
Art des öffentlichen Auftraggebers: Ministerium oder sonstige zentral- oder bundesstaatliche Behörde
Name des öffentlichen Auftraggebers: Bundesamt für Sicherheit in der Informationstechnik
Postanschrift: Postfach 200363
Postleitzahl: 53133
Postort: Bonn
Kontakt
Internetadresse: https://www.bsi.bund.de 🌏
E-Mail: vergabestelle@bsi.bund.de 📧
URL der Dokumente: https://www.evergabe-online.de/tenderdetails.html?id=468538 🌏
URL der Teilnahme: https://www.evergabe-online.de/tenderdetails.html?id=468538 🌏

Referenz
Daten
Absendedatum: 2022-07-14 📅
Einreichungsfrist: 2022-08-16 📅
Veröffentlichungsdatum: 2022-07-19 📅
Kennungen
Bekanntmachungsnummer: 2022/S 137-392130
ABl. S-Ausgabe: 137

Objekt
Umfang der Beschaffung
Kurze Beschreibung:

Ziel des Projektes 563 „Sicherheit von Praxisverwaltungssystemen (SiPra)“ ist eine Einschätzung zum sicheren Betrieb von mind. 4 verschiedenen marktrelevanten Praxisverwaltungssystemen (PVS) zu geben und eine aktuelle Übersicht der deutschen Marktlage inkl. der derzeitigen IT-Sicherheitsvorkehrungen solcher PVS und Konfigurationsempfehlungen für Leistungserbringer zu veröffentlichen. Diese Erkenntnisse sollen zur Kommunikation mit den Leistungserbringern dienen und ggf. regulatorische Handlungsbedarfe darstellen. Im Rahmen der Laufzeit von 9 Monaten ist zu erforschen, welche Produkte derzeit vertrieben werden, welch unterschiedlicher Funktionsumfang derzeit beworben wird, wie sich die aktuelle IT-Sicherheitslage dieser Produkte darstellt und welche weiteren Ziele und Trends (durch Kommunikation mit den Herstellern) durch die Hersteller verfolgt werden. Bei der Analyse der Risiken sind insbesondere die eingesetzten Systemarchitekturen (Verwaltung kryptografischer Schlüssel, Authentisierungs-, Kommunikations- und Update-Mechanismen) zu untersuchen. Hierbei ist zu betrachten, über welches Schutzniveau das Produkt verfügt, um sich beispielsweise vor unberechtigtem Zugriff, Malware, Spoofing, Man-in-the-Middle- oder DDoS-Angriffen zu schützen.

Zunächst wird eine Marktübersicht in schriftlicher Form von Praxisverwaltungssystemen erstellt und vorgestellt.

Im Anschluss an die Marktübersicht werden durch die für SiPra zuständige Projektleitung im BSI die zu untersuchenden Medizinprodukte ausgewählt, bei denen der Auftragnehmer IT-Schwachstellen anschließend technisch analysieren, benennen und beschreiben soll, um mögliche Risiken für Nutzer, in Form einer Cyber- Sicherheitsbetrachtung, ableiten zu können.

Es muss zum Projektende eine Ausarbeitung einer IT-Sicherheitsbetrachtung für die Praxisverwaltungssysteme erstellt worden sein, die auf der Webseite des BSI veröffentlicht wird. Gesondert von dieser Ausarbeitung sind die Ergebnisse mit Handlungsempfehlungen zusammenzufassen oder zumindest die Ausarbeitung derartig gestaltet sein, dass dies ohne großen Aufwand durch die Projektleitung nach Abschluss des Projektes erstellt werden kann.

Zudem findet eine Abschlusspräsentation im BSI statt. Die Ergebnisse dieses Projektes können die Basis für nachfolgende Projekte sein, abhängig davon, ob und welche IT-Sicherheitslücken identifizierbar sind und wie kritisch diese für die Leistungserbringer sein können.

Dauer: 9 Monate
Ort der Leistung
Hauptstandort oder Erfüllungsort: Beim Auftragnehmer

Rechtliche, wirtschaftliche, finanzielle und technische Informationen
Bedingungen für die Teilnahme
Technische und berufliche Fähigkeiten: siehe Leistungsbeschreibung
Auftragsausführung
Bedingungen für die Vertragserfüllung: Ausführungsbedingungen gemäß Auftragsunterlagen

Verfahren
Rechtsgrundlage: 32014L0024
Zeitpunkt des Eingangs der Angebote: 14:00
Sprachen, in denen Angebote oder Teilnahmeanträge eingereicht werden können: Deutsch 🗣️
Gültigkeitsdauer des Angebots: 3 Monate
Datum der Angebotseröffnung: 2022-08-16 📅
Zeitpunkt der Angebotseröffnung: 14:00

Öffentlicher Auftraggeber
Kontakt
Dokumente URL: https://www.evergabe-online.de/tenderdetails.html?id=468538 🌏

Ergänzende Informationen
Körper überprüfen
Name: Vergabekammer des Bundes beim Bundeskartellamt
Postanschrift: Villemombler Str. 76
Postort: Bonn
Postleitzahl: 53123
Land: Deutschland 🇩🇪
Telefon: +49 228-94990 📞
E-Mail: info@bundeskartellamt.bund.de 📧
Fax: +49 228-9499400 📠
Internetadresse: http://www.bundeskartellamt.de 🌏
Informationen zu Fristen für Nachprüfungsverfahren:

Unternehmen haben Anspruch darauf, dass das BSI die Bestimmungen über das Vergabeverfahren einhält, vgl. § 97 Abs. 6 Gesetz gegen Wettbewerbsbeschränkungen (GWB). Rechte aus § 97 Abs. 6 GWB sowie sonstige Ansprüche gegen das BSI, die auf die Vornahme oder das Unterlassen einer Handlung in einem Vergabeverfahren gerichtet sind, können nur vor den

Vergabekammern und dem Beschwerdegericht geltend gemacht werden, § 156 Abs. 2 GWB. Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein, § 160 Abs. 1 GWB.

Es wird darüber belehrt, dass ein solcher Nachprüfungsantrag gemäß § 160 Abs. 3 Satz 1 GWB unzulässig ist, soweit

1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem BSI nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 GWB bleibt unberührt,

2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem BSI gerügt werden,

3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem BSI gerügt werden,

4. mehr als 15 Kalendertage nach Eingang der Mitteilung des BSI, einer Rüge nicht abhelfen zu wollen, vergangen sind.

Die o.g. vier Unzulässigkeitsgründe gelten gemäß § 160 Abs. 3 Satz 2 GWB nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Abs. 1 Nr. 2 GWB. § 134 Abs. 1 Satz 2 GWB bleibt unberührt.

Quelle: OJS 2022/S 137-392130 (2022-07-14)

Bekanntmachung über vergebene Aufträge (2022-10-28)
Objekt
Umfang der Beschaffung
Gesamtwert des Auftrags: 239 820 EUR 💰
Metadaten der Bekanntmachung
Dokumenttyp: Bekanntmachung über vergebene Aufträge

Verfahren
Angebotsart: Entfällt

Referenz
Daten
Absendedatum: 2022-10-28 📅
Veröffentlichungsdatum: 2022-11-02 📅
Kennungen
Bekanntmachungsnummer: 2022/S 211-608328
Verweist auf Bekanntmachung: 2022/S 137-392130
ABl. S-Ausgabe: 211

Verfahren
Vergabekriterien
Qualitätskriterium (Bezeichnung): siehe LB
Qualitätskriterium (Gewichtung): 50
Preis (Gewichtung): 50

Auftragsvergabe
Datum des Vertragsabschlusses: 2022-10-28 📅
Name: adesso SE
Postort: Dortmund
Land: Deutschland 🇩🇪
Dortmund, Kreisfreie Stadt 🏙️
Gesamtwert des Auftrags: 239 820 EUR 💰
Informationen über Ausschreibungen
Anzahl der eingegangenen Angebote: 4
Quelle: OJS 2022/S 211-608328 (2022-10-28)

Neue Beschaffungen in verwandten Kategorien 🆕

IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung (>20 neue Beschaffungen)

Computer-Backup-Dienste und Katalogkonvertierung
Computernetze
Computerrevision und -prüfung (2)
Computerunterstützung und -beratung (4)
Datendienste (13)
Datenverarbeitungsdienste (3)
Hardwareberatung (1)
Internetdienste (7)
Softwareprogrammierung und -beratung (>20)