Liste und kurze Beschreibung der Auswahlkriterien
- Angabe, vom Bieter über eine/n verantwortliche/n deutschsprachige/n Ansprechpartner/in für die anschließende Auftragsabwicklung, die/der für koordinierende Fragen hinsichtlich der Leistungserbringung zur Verfügung steht. (A)
- Angabe, ob beabsichtigt wird ein Unterauftragnehmer einzusetzen (A)
- Angabe, ob der Bieter gemäß der KMU-Definition der Europäischen Kommission (EU-Empfehlung 2003/361) zur Gruppe der Kleinstunternehmen, kleinen oder mittleren Unternehmen (KMU) gehört. (A)
- Eigenerklärung, dass der Auftraggeberin immer die/der aktuelle Ansprechpartner/in für die Vertragsabwicklung bekanntgegeben wird. (A)
- Nachweis von zwei durchgeführten Referenzprojekten in vergleichbarer Größenordnung innerhalb der letzten 3 Jahre (2019-2022), d.h. Lieferung und Betreuung eines Secure Mail Gateways des gleichen Herstellers wie im Angebot mit 5.000 Anwendern in einem System, mit der Angabe der betreuten Firma und auf Anfrage eines Ansprechpartners in der Firma inkl. Telefonnummer und Email-Adresse. (A)
- Eigenerklärung, dass der Bieter die nachfolgend aufgelisteten Gesetze, Richtlinien und Standards im Rahmen der Leistungserbringung berücksichtigt wird: (A)
- Standards und Kompendium des Bundesamts für Sicherheit in der Informationstechnik, insbesondere der Standards 200-2 und 200-3 im Rahmen der Erstellung eines Info-Sicherheitskonzepts,
- Datenschutzgesetz des Bundes (BDSG), des Landes (LDSG BW) in der neuen Fassung und DS-GVO
- Eigenerklärung, dass das seitens der Auftraggeberin übermittelte Muster "Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO" (vgl. Muster Auftragsverarbeitung DS-GVO) zur Kenntnis genommen worden ist. (A)
- Einverständniserklärung, dass mit Zuschlag im Bedarfsfall die oben genannte Vereinbarung zur Auftragsverarbeitung (vgl. Muster Auftragsverarbeitung DS-GVO) bezüglich im Auftrag verarbeiteter personenbezogener Daten mit der Auftraggeberin geschlossen wird. (A)
- Einverständniserklärung, dass mit Abschluss der Vereinbarung zur Auftragsverarbeitung die technischen und organisatorischen Maßnahmen gemäß DS-GVO, unter Berücksichtigung des zur Verfügung gestellten Aufbaus (vgl. Muster Auftragsverarbeitung DS-GVO), der Auftraggeberin zur Verfügung zu stellen. (A)
- Eigenerklärung, dass die Auftraggeberin Kontrollen zur Einhaltung und Berücksichtigung des Vorgenannten beim Auftragnehmer durchführen kann. (A)
- Eigenerklärung, dass das angebotene System muss als komplette, nicht modularisierte Hardware Appliance geliefert werden. Als Betriebssystem muss ein gehärtetes Unix oder Linux Derivat genutzt werden. Sollte Java als Technologie zum Einsatz kommen ist der Hersteller verpflichtet bei Sicherheitslücken unverzüglich, ohne schuldhaftes Verzögern Updates zur Verfügung zu stellen. (A)
- Eigenerklärung, dass die Appliance muss in Funktionseinheiten aufgeteilt werden können, um diese ggf. aufgrund der Protokolle und des speziellen E-Mail Flows in den jeweils dafür vorhergesehenen DMZ betreiben zu können. Die Art der Aufteilungsmöglichkeiten muss vom Anbieter dargestellt werden. (A)
- Eigenerklärung, dass eine Synchronisation der Schlüssel unter den Appliances muss vorhanden sein. (A)
- Eigenerklärung, dass die Appliance muss hochverfügbar (z.B. Geocluster) aufgebaut werden können. (A)
- Eigenerklärung, dass Die angebotene Lösung muss im Standard eine verschlüsselte elektronische Kommunikation per E-Mail ermöglichen, ohne dass der externe Kommunikationspartner ein digitales Zertifikat bzw. geeignetes Schlüsselmaterial besitzt. Dies kann z.B. durch ein WebFrontend ("Portal") bereitgestellt werden. (A)
- Eigenerklärung, dass der Empfang beim externen Kommunikationspartner, der über kein digitales Zertifikat verfügt bzw. kein Schlüsselmaterial besitzt, muss ohne den Einsatz eines speziellen Agenten oder eines PDF-Readers möglich sein. (A)
- Eigenerklärung, dass die Lösung muss in der Lage sein, einem beliebigen, externen Nutzer zu ermöglichen, einen eigenen Account selbstständig und ohne Aktion oder Interaktion durch oder mit einem Administratoren*innen zu generieren, um auch initial ohne Schlüsselmaterial vertraulich mit dem Betreiber der Lösung kommunizieren zu können. (A)
- Eigenerklärung, dass E-Mails müssen durch die angebotene Lösung im Standard immer vollständig an den jeweiligen Empfänger ausgeliefert werden und damit in den Verfügungsbereich des Empfängers gelangen. Sie müssen in der Mailbox des Empfängers bzw. des Providers abrufbar gespeichert werden und dürfen nicht auf dem System des Senders lediglich zum Abruf bereitgestellt werden. (A)
- Eigenerklärung, dass der interne Sender muss eine Rückmeldung darüber, ob und wann die E-Mail den Empfänger erreicht hat, anfordern können (Empfangs-/Lesebestätigung). Diese Bestätigung darf nicht vom Empfänger manipulierbar sein. (A)
- Eigenerklärung, dass die angebotene Lösung muss flexibel modular erweiterbar sein für 5.000 bis mindestens 105.000 Anwendern. (A)
- Eigenerklärung, dass die Secure E-Mail Gateways entsprechend der Spezifikation in Kap. 5.1 sind inklusive aller zum Betrieb und zur Administration notwendigen Hardware, Software und Lizenzen angeboten. (A)
- Eigenerklärung, dass die E-Mail-Signaturen empfangener E-Mails automatisch prüfen und die in der Signatur enthaltenen S/MIME-Public-Keys (Zertifikate) nach erfolgreicher Prüfung zur späteren Verschlüsselung mit den Kommunikationspartnern selbständig einsammeln. (A)
- Eigenerklärung, dass die dauerhafte Speicherung der eingesammelten Zertifikate. (A)
- Eigenerklärung, dass die E-Mails, die vom Absender als zu verschlüsselnd oder zu signierend gekennzeichnet wurden, automatisiert entsprechend bearbeiten und versenden - unter Einsatz der zuvor eingesammelten Zertifikate für die Verschlüsselung bzw. der eigenen Schlüssel für die digitale Signatur. (A)
- Eigenerklärung, dass sämtliche E-Mails, die von einem internen Absender an einen externen Empfänger gesendet werden, der kein digitales Schlüsselmaterial besitzt, sollen immer digital nach dem S/MIME-Standard signiert werden. (A)
- Eigenerklärung, dass die angebotene Lösung muss im Standard in der Lage sein, OpenPGP-Schlüssel zu importieren und durch geeignete Technologien (z.B. Upload des eigenen, öffentlichen Schlüssels) das Vertrauen herzustellen. (A)
- Eigenerklärung, dass die angebotene Lösung muss im Standard Domänen-Verschlüsselung auf Basis der Standardtechnologien S/MIME und OpenPGP zu beliebigen E-Mail-Gateways realisieren können. (A)
- Eigenerklärung, dass der automatisierter Bezug öffentlicher Schlüssel von noch unbekannter Empfänger aus externen Quellen als auch Bereitstellen von Zertifikaten der internen Benutzer an externe Kommunikationspartner muss möglich sein. (A)
- Eigenerklärung, dass die angebotene Lösung muss im Standard in der Lage sein zu anderen MTAs verschlüsselte Verbindungen über TLS in verschiedenen Ausprägungen und mit aktuellen, sicheren Algorithmen zu realisieren, um über diesen Kanal E-Mails senden und empfangen zu können. (A)
- Eigenerklärung, dass das Gateway muss in der Lage sein, die für den Empfänger am besten geeignete Verschlüsselungstechnologie selbstständig auszuwählen. Steht keine der Standardtechnologien zur Verfügung muss automatisch ein eigenes Verfahren zur Spontankommunikation zum Einsatz kommen. (A)
- Eigenerklärung, da das, Secure E-Mail Gateway privates Schlüsselmaterial und andere sensible Daten verwaltet müssen geeignete Schutzmaßnahmen implementiert sein. Diese Schutzmaßnahmen sind vom Bieter darzulegen. (A)
- Eigenerklärung, dass die Geräte müssen in vorhandene 19"-Racks (max. Einbautiefe 100 cm) eingebaut werden. (A)
- Eigenerklärung, dass die angebotene Lösung muss im Standard in der Lage sein, mit jedem Mailclient zu arbeiten. Für den zentral eingesetzten E-Mail-Client "Microsoft Outlook" muss ein Add-In bereitgestellt werden, um den Nutzer zu befähigen, zu sendende E-Mails an Empfänger nutzerfreundlich als "vertraulich" oder "zu verschlüsseln" zu kennzeichnen. (A)
- Eigenerklärung, dass die angebotene Lösung muss für Empfänger ohne persönliche Zertifikate im Standard die Möglichkeit bieten, E-Mails auf mobilen Endgeräten mit den Betriebssystemen Android und iOS zu empfangen und zu beantworten. Die Art der Unterstützung mobiler Endgeräte und anderer Mailclients (z.B. Thunderbird) muss dargestellt werden. (A)
- Eigenerklärung, dass der Nutzer des Webportals kann sich durch Nutzung einer 2-Faktor-Authentifizierung legitimieren. Die unterstützten Protokolle sind vom Anbieter darzulegen. (A)
- Eigenerklärung, dass die angebotene Lösung muss den automatisierten Import und die Verwaltung von S/MIME-Zertifikaten mindestens für die folgenden Cas beherrschen:
o Sectigo (vormals Comodo)
o DFN (Deutsches Forschungsnetz)
o D-Trust (Bundesdruckerei) (A)
- Eigenerklärung, dass die Lösung muss ein oder mehrere Protokolle zur automatischen Zertifikatsausstellung und -verteilung unterstützen. (A)
- Eigenerklärung, dass die Möglichkeit der automatisierten Erzeugung von Schlüsselpaaren bei Neuanlage eines Benutzers sowie Signieren des erzeugten öffentlichen Schlüssels durch die angebundene CA und Rückgabe an das Gateway als Zertifikat. (A)
- Eigenerklärung, dass die Prüfung der Zertifikatsgültigkeit mittels Sperrlisten (CRLs) und Online Certificate Status Protocol (OCSP). (A)
- Eigenerklärung, dass die Benutzeroberflächen müssen an das Corporate Design der BITBW anpassbar sein. Insbesondere folgende Elemente des Corporate Designs müssen umsetzbar sein:
- Logo der Landesoberbehörde IT Baden-Württemberg (BITBW)
- Verwendung der Hausschriften, mindestens jedoch folgende alternative Schriften:
Verdana, Helvetica, Arial
- Verwendung der Hausfarben (A)