Liste und kurze Beschreibung der Auswahlkriterien
- Angabe, vom Bieter über eine/n verantwortliche/n deutschsprachige/n Ansprechpartner/in für die anschließende Auftragsabwicklung, die/der für koordinierende Fragen hinsichtlich der Leistungserbringung zur Verfügung steht. (A)
- Angabe, ob beabsichtigt wird ein Unterauftragnehmer einzusetzen (A)
- Angabe, ob der Bieter gemäß der KMU-Definition der Europäischen Kommission (EU-Empfehlung 2003/361) zur Gruppe der Kleinstunternehmen, kleinen oder mittleren Unternehmen (KMU) gehört. (A)
- Kurzdarstellung des Unternehmens mit Angabe von Leistungsspektrum
und Schwerpunkten der Unternehmenstätigkeit. Dies umfasst auch eine Beschreibung der Unternehmensorganisation (z.B. Standorte, Struktur, Kundenkreis). (Max. eine DIN A4 Seite). (A)
- Eigenerklärung, dass der Auftraggeberin immer die/der aktuelle Ansprechpartner/in für die Vertragsabwicklung bekanntgegeben wird. (A)
- Nachweis von zwei durchgeführten
Referenzprojekten in vergleichbarer Größenordnung innerhalb der letzten 3 Jahre (2019-2022), d.h. Lieferung und Betreuung eines Secure Mail Gateways des gleichen Herstellers wie im Angebot mit 5.000 Anwendern in einem System, mit der Angabe der betreuten Firma und auf Anfrage eines Ansprechpartners in der Firma inkl. Telefonnummer und Email-Adresse. (A)
- Eigenerklärung, dass der Bieter die nachfolgend aufgelisteten Gesetze, Richtlinien und Standards im Rahmen der Leistungserbringung berücksichtigt wird: (A)
- Standards und Kompendium des Bundesamts für Sicherheit in der Informationstechnik, insbesondere der Standards 200-2 und 200-3 im Rahmen der Erstellung eines Info-Sicherheitskonzepts,
- Datenschutzgesetz des Bundes (BDSG), des Landes (LDSG BW) in der neuen Fassung und DS-GVO
- Eigenerklärung, dass das seitens der Auftraggeberin übermittelte Muster "Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO" (vgl. Muster Auftragsverarbeitung DS-GVO) zur Kenntnis genommen worden ist. (A)
- Einverständniserklärung, dass mit Zuschlag im Bedarfsfall die oben genannte Vereinbarung zur Auftragsverarbeitung (vgl. Muster Auftragsverarbeitung DS-GVO) bezüglich im Auftrag verarbeiteter personenbezogener Daten mit der Auftraggeberin geschlossen wird. (A)
- Einverständniserklärung, dass mit Abschluss der Vereinbarung zur Auftragsverarbeitung die technischen und organisatorischen Maßnahmen gemäß DS-GVO, unter Berücksichtigung des zur Verfügung gestellten Aufbaus (vgl. Muster Auftragsverarbeitung DS-GVO), der Auftraggeberin zur Verfügung zu stellen. (A)
- Eigenerklärung, dass die Auftraggeberin Kontrollen zur Einhaltung und Berücksichtigung des Vorgenannten beim Auftragnehmer durchführen kann. (A)
- Eigenerklärung, dass das angebotene System muss als komplette, nicht modularisierte Hardware Appliance geliefert werden. Java als Technologie zur Umsetzung von Funktionalitäten darf nicht eingesetzt werden. Als Betriebssystem muss ein gehärtetes OpenBSD genutzt werden. (A)
- Eigenerklärung, dass die Appliance muss in Funktionseinheiten aufgeteilt werden können, um diese ggf. aufgrund der Protokolle und des speziellen E-Mail Flows in den jeweils dafür vorhergesehenen DMZ betreiben zu können. (A)
- Eigenerklärung, dass die Appliance muss hochverfügbar (z.B. Geocluster) aufgebaut werden können. (A)
- Eigenerklärung, dass die angebotene Lösung muss im Standard eine verschlüsselte elektronische Kommunikation per E-Mail ermöglichen, ohne dass der externe Kommunikationspartner ein digitales Zertifikat bzw. geeignetes Schlüsselmaterial besitzt. Dies kann z.B. durch ein WebFrontend ("Portal") bereitgestellt werden. (A)
- Eigenerklärung, dass der Empfang beim externen Kommunikationspartner, der über kein digitales Zertifikat verfügt bzw. kein Schlüsselmaterial besitzt, muss ohne den Einsatz eines speziellen Agenten oder eines PDF-Readers möglich sein.(A)
- Eigenerklärung, dass die Lösung muss in der Lage sein, einem beliebigen, externen Nutzer zu ermöglichen, einen eigenen Account selbstständig und ohne Aktion oder Interaktion durch oder mit einem Administrator zu generieren, um auch initial ohne Schlüsselmaterial vertraulich mit dem Betreiber der Lösung kommunizieren zu können.(A)
- Eigenerklärung, dass die E-Mails müssen durch die angebotene Lösung im Standard immer vollständig an den jeweiligen Empfänger ausgeliefert werden und damit in den Verfügungsbereich des Empfängers gelangen. Sie müssen in der Mailbox des Empfängers bzw. des Providers abrufbar gespeichert werden und dürfen nicht auf dem System des Senders lediglich zum Abruf bereitgestellt werden. (A)
- Eigenerklärung, dass der interne Sender muss eine Rückmeldung darüber, ob und wann die E-Mail den Empfänger erreicht hat, anfordern können (Empfangs-/Lesebestätigung). Diese Bestätigung darf nicht vom Empfänger manipulierbar sein. (A)
- Eigenerklärung, dass die E-Mail-Signaturen empfangener E-Mails automatisch prüfen und die in der Signatur enthaltenen S/MIME-Public-Keys (Zertifikate) nach erfolgreicher Prüfung zur späteren Verschlüsselung mit den Kommunikationspartnern selbständig einsammeln. (A)
- Eigenerklärung, dass der dauerhafte Speicherung der eingesammelten Zertifikate.(A)
- Eigenerklärung, dass bei unbekannter CA automatischer Import des entsprechenden Root-Zertifikates über geeignete Mechanismen. (A)
- Eigenerklärung, dass die E-Mails, die vom Absender als zu verschlüsselnd oder zu signierend gekennzeichnet wurden, automatisiert entsprechend bearbeiten und versenden - unter Einsatz der zuvor eingesammelten Zertifikate für die Verschlüsselung bzw. der eigenen Schlüssel für die digitale Signatur. (A)
- Eigenerklärung, dass sämtliche E-Mails, die von einem internen Absender an einen externen Empfänger gesendet werden, der kein digitales Schlüsselmaterial besitzt, sollen immer digital nach dem S/MIME-Standard signiert werden. (A)
- Eigenerklärung, dass die angebotene Lösung muss im Standard in der Lage sein, OpenPGP-Schlüssel zu importieren und durch geeignete Technologien (z.B. Upload des eigenen, öffentlichen Schlüssels) das Vertrauen herzustellen. (A)
- Eigenerklärung, dass die angebotene Lösung muss im Standard Domänen-Verschlüsselung auf Basis der Standardtechnologien S/MIME und OpenPGP zu beliebigen E-Mail-Gateways realisieren können. Dies muss auf folgende Arten möglich sein:
- benötigte digitale Zertifikate werden von beteiligten Gateways automatisiert ausgetauscht bzw. importiert (bei Gateways gleicher Hersteller und mit identischer Technologie)
- benötigte Zertifikate werden von beteiligten Gateways manuell ausgetauscht bzw. importiert (bei Gateways unterschiedlicher Hersteller) (A)
- Eigenerklärung, dass der automatisierte Bezug öffentlicher Schlüssel noch unbekannter Empfänger aus externen Quellen als auch Bereitstellen von Zertifikaten der internen Benutzer an externe Kommunikationspartner muss möglich sein. (A)
- Eigenerklärung, dass die angebotene Lösung muss im Standard in der Lage sein zu anderen MTAs verschlüsselte Verbindungen über TLS in verschiedenen Ausprägungen zu realisieren, um über diesen Kanal E-Mails versenden und empfangen zu können. (A)
- Eigenerklärung, dass das Gateway muss in der Lage sein, die für den Empfänger am besten geeignete Verschlüsselungstechnologie selbstständig auszuwählen. Steht keine der Standardtechnologien zur Verfügung muss automatisch ein eigenes Verfahren zur Spontankommunikation zum Einsatz kommen. (A)
- Eigenerklärung, dass da das Secure E-Mail Zugriff privates Schlüsselmaterial und andere sensible Daten verwaltet müssen geeignete Schutzmaßnahmen implementiert sein. Diese Schutzmaßnahmen sind vom Hersteller darzulegen. (A)
- Eigenerklärung, dass die Geräte müssen in vorhandene 19"-Racks (max. Einbautiefe 100 cm) eingebaut werden. (A)
- Eigenerklärung, dass die angebotene Lösung muss im Standard in der Lage sein, mit jedem Mailclient zu arbeiten. Für den zentral eingesetzten E-Mail-Client "Microsoft Outlook" muss ein Add-In bereitgestellt werden, um den Nutzer zu befähigen, zu sendende E-Mails an Empfänger nutzerfreundlich als "vertraulich" oder "zu verschlüsseln" zu kennzeichnen. (A)
- Eigenerklärung, dass die angebotene Lösung muss für Empfänger ohne persönliche Zertifikate im Standard die Möglichkeit bieten, E-Mails auf mobilen Endgeräten mit den Betriebssystemen Android und iOS zu empfangen und zu beantworten. Andere E-Mail-Clients wie Mozilla Thunderbird und Apple Mail werden in geeigneter Form und mit geeigneten Technologien nutzerfreundlich unterstützt um E-Mails als vertraulich zur Verschlüsselung zu kennzeichnen.(A)
- Eigenerklärung, dass die angebotene Lösung muss im Standard umfassende Möglichkeiten des System-Customizings durch den Auftraggeber bieten. Dies kann durch Skriptsprachen, Programmiersprachen, Konfigurationsdateien bzw. Systemvariablen oder andere geeignete Technologien realisiert werden.(A)
- Eigenerklärung, dass der Nutzer des Webportals kann sich durch Nutzung einer 2-Faktor-Authentifizierung bzw. per OAuth durch einen Identity Provider (IDP) wie Google, Microsoft oder per LDAP/SAML legitimieren. (A)
- Eigenerklärung, dass die angebotene Lösung muss den automatisierten Import und die Verwaltung von S/MIME-Zertifikaten im Standard oder durch Programmierung vor der Implementierung des Systems beherrschen.
Dabei müssen folgende Voraussetzungen erfüllt sein:
- Unterstützung folgender CAs:
- Sectigo (vormals Comodo)
- DFN (Deutsches Forschungsnetz)
- D-Trust (Bundesdruckerei)
(A)
- Eigenerklärung, dass die Unterstützung des Simple Certificate Enrollment Protocol (SCEP) zum Import von Zertifikaten aus SCEP unterstützenden CAs. (A)
- Eigenerklärung, dass die Möglichkeit der automatisierten Erzeugung von Schlüsselpaaren bei Neuanlage eines Benutzers sowie Signieren des erzeugten öffentlichen Schlüssels durch die angebundene CA und Rückgabe an das Gateway als Zertifikat. (A)
- Eigenerklärung, dass die Prüfung der Zertifikatsgültigkeit mittels Sperrlisten (CRLs) und Online Certificate Status Protocol (OCSP) (A)