Security Information and Event Management System (SIEM)

Kurze Beschreibung

Der Auftraggeber beabsichtigt die Aktualisierung eines softwaregestützten Security Information and Event Management Systems (SIEM) und dabei die Dimensionierung sowie Installation eines neuen Systems. Das neue System muss mit den Produkten Elasticserach, Logstash und Kibana realisiert werden und vollumfänglich lizensiert sein. Das SIEM muss im Rechenzentrum des Auftraggebers aufgebaut und in Betrieb genommen werden, sowie angemessen dimensioniert sein, um einen performanten Betrieb zu gewährleisten. Weitere Anforderungen sind im Leistungsumfang in der Leistungsbeschreibung beschrieben.

Beschreibung der Beschaffung

-Die vorliegende Ausschreibung ersetzt die aufgehobene Ausschreibung (ABl. EU 2021/S 241-634766). In der vorliegenden Ausschreibung ist der Bezug der Lizenzen als Subscription-Modell ausgestaltet.
-Das bestehende System soll aktualisiert und dabei ein neues System dimensioniert und installiert werden.
-Die bestehenden Anbindungen an die Logstash-Server sollen innerhalb des Projekts validiert und optimiert werden.
-Das Security Information and Event Management System (SIEM) muss im Rechenzentrum des Auftraggebers aufgebaut und in Betrieb genommen werden.
-Das neue System muss mit den Produkten Elasticsearch, Logstash und Kibana realisiert werden und muss vollumfänglich lizensiert sein.
-Die Lösung muss über Machine-Learning-Mechanismen in der Lage sein, Anomalien selbständig zu erkennen, grafisch darzustellen und zu alarmieren.
-Die erfassten Logdaten müssen mindestens 90 Tage gespeichert werden können.
-Das System ist für einen unterbrechungsfreien Betrieb konfiguriert
-Das System muss angemessen dimensioniert sein um einen performanten Betrieb zu gewährleisten (siehe Ziffer 3.3.1 der Leistungsbeschreibung)
-Auf allen Servern wird der Virenschutz Cisco AMP installiert (Lizenz ist beim Auftraggeber vorhanden, Installation erfolgt durch Auftraggeber).
-Weitere Anforderungen sind im Leistungsumfang in der Leistungsbeschreibung beschrieben.

Liste und kurze Beschreibung der Bedingungen

Der Auftrag wird nur an ein Unternehmen vergeben, das zuverlässig ist (insbesondere kein Vorliegen von Ausschlussgründen im Sinne des GWB) und das seine Eignung nachgewiesen hat.
Der Bieter hat eine Eigenerklärung zum Nichtvorliegen von Ausschlussgründen nach den §§ 123 und 124 GWB vorzulegen.
Das Nichtvorliegen von Ausschlussgründen nach den §§ 123 und 124 GWB ist eine Mindestanforderung.

Liste und kurze Beschreibung der Auswahlkriterien

Der Bieter weist durch eine Versicherungsbestätigung das Bestehen einer Berufshaftpflichtversicherung oder einer vergleichbaren Versicherung aus einem Mitgliedsstaat der EU mit einer pro Versicherungsjahr zweifach maximierten Mindestdeckungssumme je Versicherungsfall für Personen-, Sach-, Vermögens- und sonstige Schäden in Höhe von EUR 500.000,- je Schadensfall nach. Aus der Versicherungsbestätigung muss sich ergeben, dass sich der Versicherungszeitraum mindestens bis zum 31. Dezember 2022 erstreckt.
Hilfsweise kann der Bieter mit einer Versicherungsbestätigung eines Versicherungsunternehmens nachweisen, dass für den Fall einer Beauftragung des Bieters eine Berufshaftpflichtversicherung mit den hier genannten Mindestdeckungssummen abgeschlossen wird.
Eine Vorlage der Versicherungsbestätigung in Kopie ist ausreichend.

Der Nachweis einer Berufshaftpflichtversicherung (hilfsweise: die Versicherungsbestätigung über den zugesagten Abschluss einer Berufshaftpflichtversicherung im Auftragsfall) mit den o. g. Mindestdeckungssummen ist eine Mindestanforderung.

Liste und kurze Beschreibung der Auswahlkriterien

1. Das Unternehmen des Bieters verfügt über eine aktuelle Zertifizierung nach DIN EN ISO 27001. Ebenso verfügen alle in die tatsächliche Auftragsbearbeitung einbezogenen Unternehmen (d. h. alle Mitglieder einer Bietergemeinschaft und sämtliche Nachunternehmer) über diese aktuelle Zertifizierung.
2. Der Bieter hat mindestens zwei Unternehmensreferenzen im Bereich Lieferung, Installation, und Inbetriebnahme von Elasticsearch in Kombination mit Kibana anhand vergleichbarer von ihm erbrachter Leistungen nachzuweisen.
Für jede vorgelegte Unternehmensreferenz muss kumulativ gelten:
- Der Leistungsgegenstand der Referenz beinhaltet alle notwendigen Maßnahmen für das Einbringen der Software in die vereinbarte Systemumgebung sowie die Herbeiführung der Ablauffähigkeit der Software einschließlich aller notwendigen Prüfungen und Kontrollen zur Erstellung des Gesamtsystems und zur Herbeiführung der Betriebsbereitschaft.
- Die Produkte von Elasticsearch in Kombination mit Kibana befinden sich im Produktivbetrieb.
- Der Einsatz von Elasticsearch in Kombination mit Kibana unterfällt deutschem Recht.
- Es müssen mindestens 25 verschiedene Use-Cases konfiguriert sein und überwacht werden
- Der Produktivbetrieb von Elasticsearch in Kombination mit Kibana erfolgte mindestens zu einem beliebigen Zeitpunkt ab dem 1. Januar 2020 (die Inbetriebnahme darf auch zu einem früheren Zeitpunkt erfolgt sein).
- Der Auftraggeber des referenzierten Projektes betreibt die Software Elasticsearch in Kombination mit Kibana in der eigenen Infrastruktur, d. h. die Software Elasticsearch in Kombination mit Kibana wurde im eigenen Haus des Auftraggebers installiert.
- Neben dem Active-Directory müssen zusätzlich mindestens zwei Security-Produkte angebunden sein (z. B. Firewall, IDS, oder Netscaler, etc.).
3. Die Bieter müssen für den Auftrag einen Projektleiter benennen und für diesen einen Lebenslauf einreichen.
4. Ferner sind für den benannten Projektleiter mindestens zwei persönliche Referenzen über die Tätigkeit als Projektleitung bei der Umsetzung eines Systems mit Elasticsearch in Kombination mit Kibana nachzuweisen.
Gewertet wird eine persönliche Referenz, wenn
-die kumulativen Anforderungen an eine Unternehmensreferenz erfüllt sind (Einzelanforderungen gemäß Ziffer 4 "Unternehmensreferenzen" im Blatt "Eignungskriterien" in der Anlage "04c_Bewertungsmatrix") und
-der angebotene Projektleiter in der benannten persönlichen Referenz als Projektleiter tätig war.
Von einer persönlichen Tätigkeit als Projektleitung ist auszugehen, wenn der Betreffende beispielsweise folgende Tätigkeiten selbst ausgeübt hat oder diesbezüglich die von anderen Personen erarbeiteten Ergebnisse verantwortet hat:
-Operative und organisatorische Leitung des Projekts
-Projektplanung (Meilensteine, Zeitplanung)
-Steuerung des Projektes
-Projektcontrolling
-Erstellung einer Ergebnispräsentation oder eines Abschlussberichts

Bedingungen für die Teilnahme (technische und berufliche Fähigkeiten)

zu 1. Der Nachweis einer Zertifizierung nach DIN EN ISO 27001 ist eine Mindestanforderung.
zu 2. Der Nachweis von zwei Unternehmensreferenzen ist eine Mindestanforderung.
zu 3. Die Benennung des Projektleiters für den Auftrag sowie die Vorlage des Lebenslaufs ist eine Mindestanforderung.
zu 4. Der Nachweis von zwei persönlichen Referenzen über die Tätigkeit als Projektleiter ist eine Mindestanforderung.

Bitte beachten Sie neben den übrigen Vorgaben und Regelungen aus den Vergabeunterlagen auch die nachstehenden Regelungen:
9.1 Kommunikation im Vergabeverfahren
Die Kommunikation in diesem Vergabeverfahren erfolgt ausschließlich in elektronischer Form. Als elektronisches Mittel nutzt der Auftraggeber hierzu die Vergabeplattform des Deutschen
Vergabeportals (DTVP).
Nähere Informationen hierzu, insbesondere über die notwendigen Instrumente für am
Vergabeverfahren interessierte Unternehmen (Bieter), finden sich unter http://www.dtvp.de. Weitergehende Informationen finden sich außerdem unter https://support.cosinex.de/unternehmen.
Die jeweils aktuellen Vorgaben, Regelungen und Hinweise des DTVP, insbesondere soweit sie die Kommunikation durch Bieter betreffen, sind zu beachten.
Sämtliche Kommunikation im Vergabeverfahren hat in deutscher Sprache zu erfolgen.
Da die Kommunikation in diesem Vergabeverfahren ausschließlich über das DTVP erfolgt, obliegt es dem Bieter, sich auf dem jeweils aktuellen Stand des Vergabeverfahrens und der zugehörigen Informationen über das DTVP zu halten.
9.2 Technische Voraussetzungen zur Teilnahme am Vergabeverfahren
Eine Teilnahme am Vergabeverfahren, insbesondere durch das Stellen von Fragen oder das
Einreichen von Angeboten setzt voraus, dass sich der Bieter beim DTVP registriert. Soweit der Bieter noch nicht beim DTVP registriert ist, ist die Registrierung kostenfrei unter http://www.dtvp.de erforderlich. Für die elektronische Einreichung von Angeboten ist die Nutzung des "Bietertools" erforderlich. Das "Bietertool" wird kostenfrei über das DTVP für dort registrierte Unternehmen zur Verfügung gestellt. Im Rahmen der Angebotsabgabe kann über das "Bietertool" insgesamt eine maximale Datenmenge von 500 MB an den Auftraggeber übermittelt werden (Gesamtdatenmenge von Dateien in den Bereichen "Auszufüllenden Dokumente" und "Eigene Dokumente" des Bietertools).
9.3 Fragen / Hinweise der Bieter
Fragen / Hinweise u. ä. der Bieter zum Vergabeverfahren sind über die Kommunikationsfunktion des DTVP (vgl. Ziff. 9.1 und 9.2 dieser Aufforderung zur Abgabe eines Angebotes) an den Auftraggeber zu übermitteln. Dabei ist das vom Auftraggeber mit den Vergabeunterlagen zur Verfügung gestellte "09_Formblatt Bieterfragen" zu verwenden.
In anderer Form oder auf anderem Wege eingereichte Fragen / Hinweise u. ä., insbesondere telefonische Fragen / Hinweise u. ä. werden grundsätzlich nicht beantwortet.
Auskünfte werden grundsätzlich nur auf solche Fragen / Hinweise u. ä. erteilt, die bis zum 14.03.2022 vom Bieter auf dem vorgeschriebenen Kommunikationsweg eingegangen sind. Später eingehende Fragen / Hinweise u. ä. müssen nicht mehr bearbeitet werden. Nur durch diese Verfahrensbedingungen verbleibt dem Auftraggeber ausreichend Gelegenheit, angemessen auf Fragen / Hinweise u. ä. zu reagieren, hierauf ggf. zusätzliche Auskünfte zu erteilen, um dem Bieter ausreichend Möglichkeit zu geben, etwaige zusätzliche Auskünfte bei der Erstellung der Angebote zu berücksichtigen.
Im Übrigen gilt Ziff. 1 der Bewerbungsbedingungen.
9.4 Weitere Vorgaben und Regelungen für das Angebot
a) Der Bieter ist bis zum Ablauf der Bindefrist an sein Angebot gebunden. Abgegebene Angebote können nach Ablauf der Angebotsfrist nicht mehr zurückgezogen werden.
b) Die Unterzeichnung des Angebotsschreibens - grundsätzlich in Textform nach § 126b des Bürgerlichen Gesetzbuches (BGB) - umfasst sämtliche weitere Erklärungen und Angaben des Bieters, die er mit seinem Angebot einreicht.
c) Soweit der Auftraggeber im Vergabeverfahren Änderungen / Ergänzungen an den Vergabeunterlagen vornimmt, werden diese über das "09_Formblatt Bieterfragen" vorgenommen und gelten in ihrer letztgültigen Fassung. Dies gilt insbesondere für solche Änderungen / Ergänzungen, die Vertragsbestandteile betreffen; das "09_Formblatt Bieterfragen" wird daher in der jeweils letztgültigen vom Auftraggeber im Vergabeverfahren bereitgestellten Fassung ebenfalls Vertragsbestandteil (vgl. B) dieser Aufforderung zur Abgabe eines Angebotes i. V. m. Ziff. 5 des Formblattes "03_Angebotsschreiben".
d) Für die Erstellung und Einreichung von Angeboten oder die Teilnahme am Vergabeverfahren erfolgt keine Vergütung, Entschädigung oder Kostenerstattung.
e) Die eingereichten Angebote werden gemäß den jeweils geltenden vergaberechtlichen Vorschriften geprüft und gewertet. Bitte beachten Sie insbesondere die insoweit jeweils geltenden zwingenden Ausschlussgründe (z.B. bei nicht form- und fristgerecht eingereichten Angeboten oder Angeboten, die Änderungen oder Ergänzungen an den Vergabeunterlagen enthalten). Beachten Sie außerdem die Vorgaben zu den mit dem Angebot einzureichenden Unterlagen (vgl. hierzu insbesondere A) bis D) sowie Ziff. 3.1 dieser Aufforderung zur Abgabe eines Angebotes und die Auflistung der Anlagen im "03_Angebotsschreiben".
9.5 Bietergemeinschaften
Für Bietergemeinschaften gilt grundsätzlich Ziff. 5 der Bewerbungsbedingungen. Zur Abgabe der entsprechenden Erklärungen hat der Auftraggeber mit den Vergabeunterlagen das Formblatt "05_Erklaerung Bieter- u. Arbeitsgemeinschaft" zur Verfügung gestellt.
Im Falle von Bietergemeinschaften sind die Formblätter "08a_Erklaerung zu Ausschlussgruenden" und "08b_Erklaerung zur Eignung" von jedem Mitglied der Bietergemeinschaft auszufüllen und einzureichen.
9.6 Andere Unternehmen / Dritte
Im Auftragsfall sind die Leistungen grundsätzlich im eigenen Unternehmen des Bieters/der Mitglieder der Bietergemeinschaft zu erbringen. Andere Unternehmen (Dritte) dürfen nur nach vorheriger Zustimmung des Auftraggebers in die Erbringung der Leistungen einbezogen werden.
Bieter und Bietergemeinschaften, die beabsichtigen, Teile des Auftrags im Wege der Unterauftragsvergabe an Dritte zu vergeben, haben mit Angebotsabgabe mindestens die Teile des Auftrags zu benennen. Soweit zumutbar sind diese Dritten auch bereits mit Angebotsabgabe - jedenfalls aber auf gesondertes Verlangen des Auftraggebers - zu benennen.
Soweit Bieter oder Bietergemeinschaften darüber hinaus Kapazitäten dieser Dritten auch im Hinblick auf die Leistungsfähigkeit des jeweiligen Bieters/der jeweiligen Bietergemeinschaft in Anspruch nehmen (Eignungsleihe), haben der Bieter/die Bietergemeinschaft dies in ihrem Angebot zu erklären. Für diesen Fall einer Eignungsleihe sind mit Angebotsabgabe für die betroffenen Dritten die erforderlichen Erklärungen zum Nachweis ihrer Eignung unter Verwendung der dafür vom Auftraggeber zur Verfügung gestellten Formblätter ("07_Verpflichtungserklaerung anderer Unternehmen", "08a_Erklaerung zu Ausschlussgruenden", "08b_Erklaerung zur Eignung") auszufüllen und einzureichen.
Zur Abgabe sämtlicher vorstehender Erklärungen hat der Auftraggeber mit den Vergabeunterlagen die Formblätter "06_Erklaerung zum Einsatz anderer Unternehmen" und "07_Verpflichtungserklaerung anderer Unternehmen" zur Verfügung gestellt.
Bekanntmachungs-ID: CXU5YYDYYRM

Genaue Informationen über Fristen für Überprüfungsverfahren

"§ 160 GWB
(1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein.
(2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht.
(3) Der Antrag ist unzulässig, soweit
1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt,
2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.
Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt."
Der Auftraggeber ist kein öffentlicher Auftraggeber im Sinne des GWB und führt dieses Vergabeverfahren aufgrund von zuwendungsrechtlichen Bestimmungen als europaweites Verfahren aus. Der Auftraggeber geht davon aus, dass ein Rechtsschutz vor der Vergabekammer damit nicht statthaft ist, gibt aber aus Gründen der Vollständigkeit vorsorglich die etwaig örtlich zuständige Vergabekammer in Abschnitt VI.4.1) an.