Beratung und Unterstützung im Informationssicherheitsmanagement

Kurze Beschreibung

Ausgangssituation:
Die AvH strebt zur dauerhaften Erhöhung der IT-Sicherheit die Etablierung eines Informationssicherheitsmanagementsystems (ISMS) und dessen Zertifizierung nach DIN EN ISO 27001:2022 (ISO 27001) an.
Eine Aufgabe innerhalb des ISMS ist die Benennung eines Informationssicherheitsbeauftragten (ISB). Dieser ist Ansprechpartner für sämtliche IT-Sicherheitsfragen, sollte in alle ISMS-Prozesse integriert und eng mit den IT-Verantwortlichen verzahnt sein. Um die Integration des ISB möglichst effizient zu gestalten, sollte er bereits beim Aufbau des ISMS involviert sein. Der ISB ist später auch die zentrale Ansprechperson für die internen und externen Auditoren des ISMS im Rahmen der (Re-)Zertifizierungen der ISO 27001.

Ziel dieser Ausschreibung ist der Vertragsschluss mit einer Auftragnehmerin, die beratend die Informationssicherheit in der AvH aufrechterhält und deren Weiterentwicklung in der Rolle des ISB vorantreibt.
Wesentliche Aufgaben der Auftragnehmerin bestehen darin
a. organisatorische Rahmenbedingungen zur Gewährleistung der Informationssicherheit aufrecht zu erhalten und weiterzuentwickeln,
b. das Informationssicherheitsmanagement kontinuierlich zu verbessern,
c. abgestimmte Sicherheitsstandards der AvH auf Grundlage der ISO 27001 einschließlich der Definition von Verantwortlichkeiten und Befugnissen fortzuschreiben,
d. Komponenten zur Steigerung der Informationssicherheit zu betrachten, alle Sicherheitsvorkehrungen und -maßnahmen hinreichend zu prüfen und Verbesserungsvorschläge einzubringen,
e. die Zertifizierung und Rezertifizierung der AvH nach ISO 27001 zu erreichen und
f. als Berater die AvH in IT-Projekten zu beraten und zu unterstützen.

Die Leistungen dieses Vertrages werden remote (Teleservice) sowie in Ausnahmefällen geplant vor Ort in der AvH in Bonn und ggf. in Berlin erbracht.

Beschreibung der Beschaffung

Ausgangssituation:
Die AvH strebt zur dauerhaften Erhöhung der IT-Sicherheit die Etablierung eines Informationssicherheitsmanagementsystems (ISMS) und dessen Zertifizierung nach DIN EN ISO 27001:2022 (ISO 27001) an.
Eine Aufgabe innerhalb des ISMS ist die Benennung eines Informationssicherheitsbeauftragten (ISB). Dieser ist Ansprechpartner für sämtliche IT-Sicherheitsfragen, sollte in alle ISMS-Prozesse integriert und eng mit den IT-Verantwortlichen verzahnt sein. Um die Integration des ISB möglichst effizient zu gestalten, sollte er bereits beim Aufbau des ISMS involviert sein. Der ISB ist später auch die zentrale Ansprechperson für die internen und externen Auditoren des ISMS im Rahmen der (Re-)Zertifizierungen der ISO 27001.

Ziel dieser Ausschreibung ist der Vertragsschluss mit einer Auftragnehmerin, die beratend die Informationssicherheit in der AvH aufrechterhält und deren Weiterentwicklung in der Rolle des ISB vorantreibt.
Wesentliche Aufgaben der Auftragnehmerin bestehen darin
a. organisatorische Rahmenbedingungen zur Gewährleistung der Informationssicherheit aufrecht zu erhalten und weiterzuentwickeln,
b. das Informationssicherheitsmanagement kontinuierlich zu verbessern,
c. abgestimmte Sicherheitsstandards der AvH auf Grundlage der ISO 27001 einschließlich der Definition von Verantwortlichkeiten und Befugnissen fortzuschreiben,
d. Komponenten zur Steigerung der Informationssicherheit zu betrachten, alle Sicherheitsvorkehrungen und -maßnahmen hinreichend zu prüfen und Verbesserungsvorschläge einzubringen,
e. die Zertifizierung und Rezertifizierung der AvH nach ISO 27001 zu erreichen und
f. als Berater die AvH in IT-Projekten zu beraten und zu unterstützen.

Die Leistungen dieses Vertrages werden remote (Teleservice) sowie in Ausnahmefällen geplant vor Ort in der AvH in Bonn und ggf. in Berlin erbracht.

Liste und kurze Beschreibung der Auswahlkriterien

Wirtschaftliche und finanzielle Leistungsfähigkeit: Jahresumsatz
Bestätigen Sie, dass Sie in den letzten drei Geschäftsjahren (2020, 2021 und 2022) jeweils einen Mindestumsatz von 800.000,- EUR netto erzielt haben.

Durchschnittlicher Gesamtjahresumsatz
Geben Sie den Gesamtjahresumsatz Ihres Unternehmens (in Euro netto) für die Geschäftsjahre 2020, 2021, 2022 an.
Für die Umsatzangaben ist die Anlage Nachweis der finanziellen und wirtschaftlichen Eignung zu verwenden und vollständig ausgefüllt und unterzeichnet einzureichen.
Bedient sich ein*eine Bewerber*in oder eine Bewerbergemeinschaft zum Nachweis der finanziellen und wirtschaftlichen Leistungsfähigkeit eines Nachunternehmers, so ist diese Anlage auch vom Nachunternehmer auszufüllen und zu unterzeichnen.

Vollmacht Bewerbergemeinschaft
[Nur im Falle einer Bewerbergemeinschaft auszufüllen und einzureichen]
Die Anlage Vollmacht Bewerbergemeinschaft ist von allen Mitgliedern einer Bewerbergemeinschaft auszufüllen und zu unterschreiben (Textform ausreichend).
Sie ist nur zu verwenden, wenn Sie bei der Anlage Erklärung Bewerbergemeinschaft erklärt haben, dass Sie Mitglied einer Bewerbergemeinschaft sind.

Gesamtschuldnerische Haftung Bewerbergemeinschaft
[Nur im Falle einer Bewerbergemeinschaft auszufüllen und einzureichen]
Die Anlage Gesamtschuldnerische Haftung Bewerbergemeinschaft ist von allen Mitgliedern einer Bewerbergemeinschaft auszufüllen und zu unterschreiben (Textform ausreichend).
Sie ist nur zu verwenden, wenn Sie bei der Anlage: Erklärung Bewerbergemeinschaft erklärt haben, dass Sie Mitglied einer Bewerbergemeinschaft sind.

Betriebshaftpflicht
Die Anlage Eigenerklärung Betriebshaftpflicht ist zu verwenden und vollständig ausgefüllt und unterzeichnet einzureichen. Die Anlage ist von dem*der Bewerber*in bzw. allen Mitgliedern einer Bewerbergemeinschaft auszufüllen und zu unterschreiben ((Textform ausreichend).

Liste und kurze Beschreibung der Regeln und Kriterien

Sonstiges: Die Anlage Bewerberselbstauskunft ist zu verwenden und vollständig ausgefüllt und unterzeichnet einzureichen. Die Anlage ist von dem*der Bewerber*in bzw. allen Mitgliedern einer Bewerbergemeinschaft auszufüllen und zu unterschreiben (Textform ausreichend).

Unternehmensdarstellung / Leistungsportfolio
Stellen Sie Ihr Unternehmen und Ihr Leistungsportfolio bezogen auf den Ausschreibungsgegenstand dar.
Gehen Sie auf wesentliche unternehmensbezogene Informationen wie z.B. Niederlassungen in Deutschland, Hauptsitz, Gründungsjahr, Mitarbeiteranzahl, Leistungen in der öffentlichen Verwaltung ein.
Berücksichtigen Sie in Ihrer Darstellung auch für den Vergabegegenstand einschlägige Qualifikationen Ihrer Mitarbeiter*innen.

Bei Bewerbergemeinschaften sowie Nachunternehmerkonstellationen geben Sie bitte für jede Unternehmung eine eigene Unternehmensdarstellung ab. Vermerken Sie zudem, wie bezogen auf den Ausschreibungsgegenstand das Leistungsportfolio zwischen den Unternehmungen aufgeteilt werden soll.

Hinweis: Bitte beschränken Sie sich in Ihrer Darstellung insgesamt auf max. zwei DIN A4 Seiten (je Firma).

Die Anlage Eigenerklärung zu Ausschlussgründen ist zu verwenden und vollständig ausgefüllt und unterzeichnet einzureichen (Textform ausreichend). Die Anlage ist von dem*der Bewerber*in bzw. von allen Mitgliedern einer Bewerbergemeinschaft und allen Nachunternehmern auszufüllen und zu unterschreiben (Textform ausreichend).

Die Anlage Eigenerklärung zum Datenschutz und zur Verschwiegenheit ist zu verwenden und vollständig ausgefüllt und unterzeichnet einzureichen (Textform ausreichend). Die Anlage ist von dem*der Bewerber*in bzw. allen Mitgliedern einer Bewerbergemeinschaft und allen Nachunternehmern auszufüllen und zu unterschreiben (Textform ausreichend).

Die Anlage Eigenerklärung Handelsregister ist zu verwenden und vollständig ausgefüllt und unterzeichnet einzureichen (Textform ausreichend). Die Anlage ist von dem*der Bewerber*in bzw. allen Mitgliedern einer Bewerbergemeinschaft auszufüllen und zu unterschreiben (Textform ausreichend).

Liste und kurze Beschreibung der Auswahlkriterien

Technische und berufliche Leistungsfähigkeit: Der Bewerber/Die Bewerbergemeinschaft benennt zum Nachweis der Leistungsfähigkeit und Fachkunde mindestens drei abgeschlossene Referenzprojekte aus den letzten drei Jahren (Januar 2020 bis Dezember 2023) mit zum ausgeschriebenen Leistungsgegenstand vergleichbaren Leistungen.
Wählen Sie Ihre Referenzen bitte so aus, dass die jeweiligen Mindestbedingungen erfüllt werden:
a. Nachgewiesener Leistungszeitraum von mindestens 24 Monaten seit 2020.
b. Die in diesem Vertrag geschuldeten Leistungen im Rahmen der Aufgabenerfüllung als externer Informationssicherheitsbeauftragter gem. ISO?27001 wurden mit vergleichbarem Inhalt und Umfang erbracht.
c. In der Referenz wird erläutert, welche der vertraglich zu erbringenden Leistungen in dem Referenzprojekt erbracht wurden.
d. Die Referenz muss wiedergeben, dass Sie bei der Härtung von Services (Hardware, Software, Prozesse), die mit denen der AvH (soweit es aus der Leistungsbeschreibung ersichtlich ist) vergleichbar sind, beratend unterstützt haben.

Nachweis über Durchführung der Leistung in der öffentlichen Verwaltung der Bundesrepublik Deutschland
Mindestens eine der eingereichten Referenzen muss in der öffentlichen Verwaltung bzw. einer Stiftung des öffentlichen Rechts erworben worden sein. Bitte geben Sie an, welche der angegebenen Referenzen in der öffentlichen Verwaltung bzw. einer Stiftung des öffentlichen Rechts erworben wurden und benennen Sie Ansprechpartner.

Nachweis über den erfolgreichen Abschluss einer Zertifizierungsbegleitung bei mindestens einem Referenzprojekt
Mindestens eine der eingereichten Referenzen muss den Nachweis enthalten, dass im Rahmen der erbrachten Leistungen eine erfolgreiche ISO 27001 Zertifizierung beim Kunden abgeschlossen wurde.

Qualitätsmanagement nach ISO 9001:2015 oder vergleichbar
Die Anlage Technische/personelle Leistungsfähigkeit ist zu verwenden und vollständig ausgefüllt und unterzeichnet einzureichen (Textform ausreichend).
Bedient sich ein*e Bewerber*in oder eine Bewerbergemeinschaft zum Nachweis der technischen und personellen Leistungsfähigkeit eines Nachunternehmers, so ist diese Anlage auch vom Nachunternehmer auszufüllen und zu unterzeichnen (Textform ausreichend).

Geben Sie an, ob Sie über ein Qualitätsmanagement nach ISO 9001:2015 oder vergleichbar verfügen. Sofern Sie ein Zertifikat besitzen, fügen Sie eine Kopie bei.

IT-Sicherheitszertifizierung DIN ISO 27001:2017 (oder 2022) oder vergleichbar
Die Anlage Technische/personelle Leistungsfähigkeit ist zu verwenden und auszufüllen und unterzeichnet einzureichen (Textform ausreichend).
Bedient sich ein*e Bewerber*in oder eine Bewerbergemeinschaft zum Nachweis der technischen und personellen Leistungsfähigkeit eines Nachunternehmers, so ist diese Anlage auch vom Nachunternehmer auszufüllen und zu unterzeichnen (Textform ausreichend).

Geben Sie an, ob Sie über eine IT-Sicherheitszertifizierung DIN ISO 27001:2017 (oder 2022) oder vergleichbar verfügen. Sofern Sie ein Zertifikat besitzen, fügen Sie eine Kopie bei.

Qualifizierte Mitarbeiter*innen
Bitte bestätigen Sie, dass Ihnen die in Anlage Technische/personelle Leistungsfähigkeit geforderten Rollen in der geforderten Mindestanzahl für das Projekt zur Verfügung stehen.
Hinweis:
Bitte legen Sie für die zur Leistungserbringung vorgesehenen Mitarbeiter*innen entsprechende (ggf. anonymisierte) Personalprofile bei, aus denen der Nachweis hervorgeht, dass diese die geforderten Kenntnisse und Erfahrungen haben.

Durchschnittliche Mitarbeiteranzahl / Anzahl der beschäftigten Arbeitnehmer
Die Anlage Technische/personelle Leistungsfähigkeit ist zu verwenden und vollständig ausgefüllt und unterzeichnet einzureichen (Textform ausreichend).
Bedient sich ein*e Bewerber*in oder eine Bewerbergemeinschaft zum Nachweis der technischen und personellen Leistungsfähigkeit eines Nachunternehmers, so ist diese Anlage auch vom Nachunternehmer auszufüllen und zu unterzeichnen (Textform ausreichend).
Benennen Sie die durchschnittliche Gesamtzahl der Mitarbeiter*innen Ihres Unternehmens jeweils für die Jahre 2021, 2022 und 2023 sowie die entsprechenden Mitarbeiterzahlen bezogen auf den ausgeschriebenen Leistungsgegenstand.

Bei Bewerbergemeinschaften sowie Nachunternehmerkonstellationen können die Mitarbeiterzahlen addiert angegeben werden.

Genaue Informationen über Fristen für Überprüfungsverfahren

Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein. An-tragsbefugt ist jedes Unternehmen, das ein Interesse am Auftrag hat und eine Verletzung in seinen Rechten nach § 97 Abs. 6 GWB durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht.
Gemäß § 160 Abs. 3 GWB ist ein Antrag unzulässig, soweit:
a) der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt,
b) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
c) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
d) mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.