Container Security Solution (CSS)

Kurze Beschreibung

Die DB Systel GmbH plant für die Deutsche Bahn AG als deren zentrale Lizenzmanagerin eine neue Container Security Solution (CSS) einzuführen, um Anforderungen der Containertechnologie aus gesetzlichen und internen Richtlinien umzusetzen. Diese CSS ist ein zentrales Werkzeug zum Durchsetzen und Überwachen der IT-Sicherheitsanforderungen. Insbesondere das Detektieren von Schwachstellen und das Aufdecken von Compliance Verstößen steht im Vordergrund.

Beschreibung der Beschaffung

Die DB Systel GmbH plant für die Deutsche Bahn AG als deren zentrale Lizenzmanagerin eine neue Container Security Solution (CSS) einzuführen, um Anforderungen der Containertechnologie aus gesetzlichen und internen Richtlinien umzusetzen. Diese CSS ist ein zentrales Werkzeug zum Durchsetzen und Überwachen der IT-Sicherheitsanforderungen. Insbesondere das Detektieren von Schwachstellen und das Aufdecken von Compliance Verstößen steht im Vordergrund.
Das Einsatzspektrum der CSS reicht von Prüfungen in der Entwicklungspipeline bis hin zur Überwachung von laufenden Containern und Clustern. Die Lösung soll mit verschiedene Containerorchestrierungssystemen (u.a. ECS mit und ohne Fargate, EKS, AKS und Openshift), aber auch mit einzelnen Servern z.B. mit Docker kompatibel sein.
Die Ergebnisse aus den verschiedenen Security und Compliance Prüfungen sollen zentral in einer Webanwendung dargestellt werden. Die CSS muss in der Lage sein, das Mengengerüst der Deutschen Bahn zu verarbeiten. Dazu zählen die Verwaltung und Prüfung von mehr als 1000 Clustern, 5000 Container Hosts/Nodes und 50.000 Container am Tag.
Die CSS muss sowohl als Software as a Service (SaaS) als auch als On-Premise Version (Mietsoftware), für den Betrieb in geschützten Umgebungen ohne Internetverbindung, angeboten werden. Die Bereitstellung des jeweiligen Betriebskonzeptes durch den Auftragnehmer erfolgt auf Basis der individuellen Anforderungen der konzerninternen Kunden des Auftraggebers (DB Systel GmbH). Im Bedarfsfall muss ein Wechsel zwischen den oben angeführten Betriebskonzepten unproblematisch und ohne relevanten Mehraufwand möglich sein.

Liste und kurze Beschreibung der Bedingungen

Angaben und Formalitäten, die erforderlich sind, um die Einhaltung der Auflagen zu überprüfen:
Alle Unterlagen, Erklärungen und Nachweise sind gemeinsam mit dem Teilnahmeantrag einzureichen. Ein diesbezüglicher Verweis auf frühere Bewerbungen ist nicht zulässig und führt zum Ausschluss. Die Unterlagen sind möglichst gemäß der, in der Bekanntmachung verwendeten Ordnungsnummern zu reihen und zu benennen.
Bei den nachfolgenden Eignungsnachweisen Nr. 1-19 handelt es sich um zwingende Anforderungen. Gibt der Bieter die geforderten Erklärungen, Dokumente und Bescheinigungen gar nicht, unvollständig oder nicht bedingungsgemäß ab, so führt dies zum Ausschluss vom weiteren Vergabeverfahren.
1. Erklärungen
1) Erklärung, dass kein Insolvenz- oder Sanierungsverfahren oder vergleichbares gesetzliches Verfahren eröffnet ist und die Eröffnung auch nicht beantragt oder mangels Masse abgelehnt worden ist.
2) Erklärung, dass sich der Bewerber nicht in Liquidation befindet.
3) Erklärung, ob berufliche Verfehlungen vorliegen, die im Gewerbezentralregister eingetragen sind. Darüber hinaus erklärt er, ob derzeit ein Verfahren anhängig ist, das zu einer solchen Eintragung führen kann.
4) Erklärung, dass das Gewerbe ordnungsgemäß angemeldet ist und – sofern nach Maßgabe der Vorschriften des HGB oder des jeweiligen Herkunftslandes eintragungspflichtig – im Handelsregister eingetragen ist.
5) Erklärung zur Sanktionsliste, Embargo- und Außenwirtschaftsvorschriften und EU-Blocking Verordnung.
6) Erklärung, dass das Unternehmen bei der Ausführung öffentlicher Aufträge nicht gegen geltende umwelt- sozial oder arbeitsrechtliche Verpflichtungen verstoßen hat
7) Erklärung, dass das Unternehmen seine Verpflichtung zur Zahlung von Steuer und Abgaben nach den Rechtsvorschriften des Staates, in dem er ansässig ist, oder nach den Rechtsvorschriften des Staates des Auftraggebers erfüllt hat.
8) Erklärung zur kartellrechtlichen Compliance und Korruptionsprävention
9) Erklärung, dass bei der Ausführung eines früheren Auftrags oder Konzessionsvertrags bei der Deutsche Bahn AG oder einem mit ihr gemäß §§ 15 ff. AktG verbundenen Unternehmen keine wesentliche Anforderung erheblich oder fortdauernd mangelhaft erfüllt wurde.
10) Erklärung zu §§122-124 GWB
11) Erklärung zu Nicht-Beeinflussung eines Vergabeverfahrens
12) Erklärung zu schweren Verfehlungen
13) Erklärung zu Kenntnis über Verurteilungen/Geldbußen
14) Erklärung zum DB Verhaltenskodex für Geschäftspartner
15) Erklärung zu Tarifbestimmungen und Mindestlohn
16) Erklärung zu Verpflichtung von Nachunternehmern zur Einhaltung von Tarifbestimmungen
Der Bieter gibt die Eigenerklärungen der Ziffern 1-16 mittels des vollständig ausgefüllten und unterzeichneten Dokuments „Bietereigenerklärung“ ab. Dieses Dokument ist den Vergabeunterlagen beigefügt.
17) Vorlage eines Handelsregisterauszuges nicht älter als 12 Monate
18) Fristgerechtes Einreichen des Teilnahmeantrages

Liste und kurze Beschreibung der Auswahlkriterien

Bei dem nachfolgenden Eignungsnachweisen Nr. 19 und 20 handelt es sich um eine zwingende Anforderung. Gibt der Bieter das geforderte Dokument gar nicht, unvollständig oder nicht bedingungsgemäß ab, so führt dies zum Ausschluss vom weiteren Vergabeverfahren.
19) Abgabe des vollständig ausgefüllten Dokuments „Lieferantenselbstauskunft“
20) Der Bewerber weist auf Basis des vollständig ausgefüllten Dokuments „Lieferantenselbstauskunft“ für das letzte ab-geschlossene Kalenderjahre einen Gesamtumsatz von mindestens EUR 20 Mio. und eine Gesamtmitarbeiterzahl von mindestens 50 Personen aus.

Liste und kurze Beschreibung der Auswahlkriterien

Die Kriterien der technischen Leistungsfähigkeit dienen dazu, dem Auftraggeber ein aussagekräftiges Bild des Bewerbers zu geben.
Bei den nachfolgenden Eignungsnachweisen Nr. 21-23 handelt es sich um zwingende Anforderungen. Gibt der Bieter die geforderten Erklärungen, Dokumente und Bescheinigungen gar nicht, unvollständig oder nicht bedingungsgemäß ab, so führt dies zum Ausschluss vom weiteren Vergabeverfahren.
21) Angaben zu 2 bereits realisierten bzw. noch in Realisierung befindlichen Referenzprojekten, aus den vor der Veröffentlichung dieser Bekanntmachung vergangenen 5 Jahre, bei denen in ihrer Art mit der vorliegend ausgeschriebenen Leistung (s. Ziffer II.1.4 und II.2.4 der vorliegenden Bekanntmachung) vergleichbare Leistungen. Mindestens eines der Referenzprojekte muss eine SaaS Realisierung beinhalten.
Erwartet werden folgende Angaben für jedes Referenzprojekt:
- Name und Adresse des Auftraggebers (Benennung eines Ansprechpartners beim Auftraggeber mit dessen Telefonnummer und eMail-Adresse müssen nicht mitgeliefert werden, jedoch auf Nachfrage des Auftraggebers genannt werden);
- Bezeichnung und Standort des Referenzprojektes mit Kurzbeschreibung der erbrachten Leistungen und Angaben zur Projektgröße nach Art und Umfang (z. B.: u. a. Anzahl Container, Cluster, Nodes, Auftragssumme, aufgeteilt nach Lizenz- und Beratungsaufwand, Anzahl Nutzer, Anzahl der implementierten Geschäftsprozesse);
- Aktueller Status des Referenzprojekts: Eine Referenz gilt als nicht älter als 5 Jahre, wenn einer der folgenden Punkte zutrifft: Umsetzungsprojekt innerhalb der letzten 5 Jahre gestartet, aber noch nicht produktiv gesetzt, d.h. diese Referenz umfasst einen Auftrag, der begonnen wurde und aktuell immer noch läuft. Oder aber die die Lösung wurde für diesen Kunden innerhalb der letzten 5 Jahre produktiv gesetzt;
- Zeitraum der Leistungserbringung;
- Angabe, ob die Leistungen als vollständige Eigenleistung, mit Nachunternehmern oder in einer sonstigen Kooperation mit anderen Firmen erbracht wurden. Wurden die Leistungen nicht vollständig als Eigenleistung erbracht, so ist anzugeben, welche Leistungen als Eigenleistung erbracht wurden.
Bitte begrenzen Sie diese Ausführungen pro Referenz auf maximal 2 DIN A4-Seiten bei einer Schriftgröße von 12 Punkt.
22) Der Bewerber verfügt entweder über eine gültige ISO 27001 Zertifizierung oder über ein gültiges C5 Testat.
Bitte reichen Sie die entsprechenden Nachweise im Rahmen des Teilnahmewettbewerbs ein.
23) Der Bewerber weist mindestens 1 auf dem Gebiet Einführung von Container Security Solutions qualifizierte Experten nach. Diese*r muss mindestens 3 Jahre Erfahrung in der Konzeption und Implementierung von Container Security Solution-Projekten haben und mindestens ein Projekt in vergleichbaren Umfang abgeschlossen haben.
Bitte nennen Sie uns je Experte:
- Anzahl der Jahre der spezifischen Berufserfahrung
- Kundenprojekte der/des Experten

1) Die Vergabe läuft über das Vergabeportal der Deutsche(n) Bahn AG (http://www.deutschebahn.com/bieterportal). Dort finden Sie sämtliche Dokumente. Zur Abgabe eines Teilnahmeantrags und eventuell eines Angebots ist die Registrierung unter Angabe der Vergabenummer (Hinweis auf EU –Vergabe) im Vergabeportal der Deutsche(n) Bahn AG notwendig.
Für technischen oder methodischen Fragen zum Vergabeportal der Deutsche(n) Bahn AG steht die Bieterhotline (+49 8002658638) Mo.-Fr. in der Zeit von 8 bis 16 Uhr zur Verfügung.
2) Soweit der Bewerber bzgl. einzelner Bereiche, für die er ggf. im späteren Verlauf ein Angebot abgeben möchte, nicht über die dazu erforderliche Leistungsfähigkeit und/oder Fachkunde verfügt, kann er sich gemäß § 47 Abs. 1SektVO auf andere Unternehmen berufen. Bewerber, die sich zum Nachweis ihrer Eignung gem. § 47 Abs. 1 SektVO auf die Kapazitäten anderer Unternehmen (Nachunternehmer) stützen, müssen diese Drittunternehmen im Teilnahmeantrag verbindlich benennen und durch eine entsprechende Verpflichtungserklärung des Drittunternehmens nachweisen, dass ihnen im Falle der Zuschlagserteilung die Mittel zur Verfügung stehen, die für die Erfüllung des Auftrags erforderlich sind.
Der Auftraggeber behält sich vor, im Laufe des Vergabeverfahrens eine Aktualisierung der Verpflichtungserklärungen zu verlangen.
Der Auftraggeber überprüft auch bei den benannten Drittunternehmen, ob Ausschlusskriterien nach §§ 123, 124 GWB vorliegen und behält sich vor, die Vorlage von weiteren Eignungsnachweisen zu fordern.
Für Nachunternehmer, die nicht zum Eignungsnachweis nach §. 47 Abs. 1SektVO benannt wurden, gilt folgendes:
Der Auftraggeber behält sich vor, im Laufe des Vergabeverfahrens die Vorlage von Eignungsnachweisen für diese Nachunternehmer zu fordern.
Im Falle eines Austauschs solcher Nachunternehmer behält sich der AG eine erneute Prüfung der Eignung vor.
3) Der Bewerber ist zur vertraulichen Behandlung der gesamten Vergabeunterlagen verpflichtet und hat seine Mitarbeiter sowie sonstige mit der Prüfung / Bearbeitung der Vergabeunterlagen betraute Dritte entsprechend zur Vertraulichkeit zu verpflichten.
4) Corona-Virus: Der Auftraggeber behält sich vor, wegen möglicher Undurchführbarkeit der hier ausgeschriebenen Leistungen wegen Einschränkungen aufgrund der Corona-Epidemie den Zuschlag nicht zu erteilen/das Vergabeverfahren aufzuheben bzw. einzustellen.
Hinweis des Auftraggebers:
Angebote müssen weiterhin verbindlich sein und den Vergabeunterlagen entsprechen. Von den Vergabeunterlagen abweichende Angebote oder Angebote mit Vorbehalten, z.B. bei Terminen, müssen ausgeschlossen werden. Von entsprechenden Erklärungen bitten wir daher abzusehen.
Wir weisen darauf hin, dass die VO (EU) 2022/576 zur Änderung der VO (EU) Nr. 833/2014 Anwendung findet und Unternehmen, die den Sanktionsmaßnahmen in Art. 5k der VO (EU) 2022/576 unterfallen, aus dem Vergabeverfahren ausgeschlossen werden.

Genaue Informationen über Fristen für Überprüfungsverfahren

Wenn der Zuschlag bereits wirksam erteilt worden ist, kann dieser nicht mehr vor der Vergabekammer angegriffen werden (§ 168 Abs. 2 Satz 1 GWB). Der Zuschlag darf erst 10 Kalendertage nach Absendung der Bekanntgabe der Vergabeentscheidung per Fax oder per E-Mail bzw. 15 Kalendertage nach Absendung der Bekanntgabe der Vergabeentscheidung per Post erteilt werden (§ 134 Abs. 2 GWB). Die Zulässigkeit eines Nachprüfungsantrags setzt ferner voraus, dass die geltend gemachten Vergabeverstöße innerhalb von 10 Kalendertagen nach Kenntnis bzw. – soweit die Vergabeverstöße aus der Bekanntmachung oder den Vergabeunterlagen erkennbar sind – bis zum Ablauf der Teilnahme- bzw. Angebotsfrist gerügt wurden (§ 160 Abs. 3 S. 1 Nr. 1 bis 3 GWB). Ein Nachprüfungsantrag ist ebenfalls unzulässig, soweit mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind (§ 160 Abs. 3 S. 1 Nr. 4 GWB). Des Weiteren wird auf die in § 135 Abs. 2 GWB genannten Fristen verwiesen.