Rahmenvereinbarung Tiefenprüfung für das BSI

Beschreibung der Beschaffung

Rahmenvereinbarung über Prüfungen gemäß § 8a Abs. 4 BSIG (Tiefenprüfungen) durch Dritte im Auftrag des BSI

Der über die Rahmenvereinbarung abrufbare Höchstmenge beträgt 60 Tiefenprüfungen bzw. 2220 Personentagen über die gesamte Laufzeit der Rahmenvereinbarung (Fixe Laufzeit 2 Jahre + zweimalige Option auf Verlängerung um jeweils 12 Monate).

Beschreibung der Optionen

Sofern die Höchstmenge durch die Bestellungen nicht erreicht wird, verlängert sich die fixe Laufzeit von 24 Monaten zu gleich bleibenden Konditionen zweimal um jeweils 12 Monate, sofern die Auftraggeberin nicht spätestens 3 Monate vor Ablauf der Laufzeit kündigt. Die Laufzeit der Rahmenvereinbarung beträgt insgesamt aber maximal 4 Jahre.

Liste und kurze Beschreibung der Auswahlkriterien

Referenzen
Zum Nachweis der technischen und beruflichen Leistungsfähigkeit reichen Sie bitte eine Liste mit mindestens 3 geeigneten Referenzen in Bezug zur gegenständlichen Leistung ein. Stellen Sie Ihre Leistungsfähigkeit für den Auftragsgegenstand und Ihre hierfür relevanten Erfahrungen anhand der Referenzen dar.
Zu den Referenzen sind folgende Angaben zu machen:
• Beschreibung der ausgeführten Leistungen,
• Wert des Auftrages,
• Zeitraum der Leistungserbringung,
• Angabe der zuständigen Kontaktstelle bei der Auftraggeberin der Referenz mit Anschrift und Kontaktdaten.
Die Darstellung sollte zwei DIN A4-Seiten pro Referenz nicht überschreiten.
Darüber hinaus gelten die folgenden Anforderungen an die benannten Referenzen:
• Die Referenzen dürfen nicht älter als drei Jahre sein (maßgeblich ist das Datum der letzten Leistungserbringung - gerechnet bis zum Ende der Angebotsfrist).
• Als gleichwertig werden Referenzen angesehen, die folgende Merkmale aufweisen:
Die genannten Referenzen müssen insbesondere die Fähigkeit der beteiligten Unternehmen auf dem Gebiet der Forschung und Entwicklung sowie die Ausarbeitung und Umsetzung innovativer Lösungen belegen. Im Wege der Referenzen ist daher nachzuweisen, dass die beteiligten Unternehmen bereits Erfahrungen in allen folgenden Erfahrungsbereichen gesammelt haben:
• Durchführung von Prüfungen gemäß § 8a BSIG
• Konzeption und Durchführung von KRITIS-Prüfungen
• Erfahrungen im Bereich Auditierung und Informationssicherheit
• Die genannten Referenzprojekte müssen abgeschlossen sein. Sofern es sich um Referenzen handelt, die noch nicht abgeschlossen wurden, ist der bisher erreichte Leistungsstand anzugeben. Noch nicht realisierte Leistungsstände können nicht berücksichtigt werden.
• Für die Referenzen ist die Vorlage "Referenzen" zu verwenden. Nutzen Sie die Vorlage sofern erforderlich bitte mehrfach.
Insgesamt sind mindestens drei geeignete Referenzen vorzulegen. Alle Erfahrungsbereiche müssen durch geeignete Referenzen belegt werden, wobei eine Referenz zur Abdeckung mehrerer Bereiche herangezogen werden darf. Es bleibt Ihnen unbenommen, weitere Referenzen zu benennen. Da das Austauschen einer fehlerhaften Referenz durch eine nach Fristende nachgereichte bedingungsgemäße Referenz nicht möglich ist und in den entsprechenden Fällen den Ausschluss des Bieters nach sich zieht, empfiehlt das Beschaffungsamt des BMI, eine Liste von weiteren als bedingungsgemäß betrachteten Referenzen einzureichen.
Das Beschaffungsamt des BMI behält sich vor, die angegebenen Referenzen zu verifizieren. Angaben, die einer Nachprüfung nicht standhalten, können zum Ausschluss vom Vergabeverfahren führen.

Nachweis Qualitätsmanagement
Geeignet sind nur Unternehmen, die ein von unabhängiger Stelle ständig überwachtes System der Qualitätssicherung und des Qualitätsmanagements (z. B. DIN EN ISO 9001-2015 ff. oder vergleichbar) in Ihrem Unternehmen eingeführt haben und aufrechterhalten. Das entsprechende Zertifikat ist mit dem Angebot einzureichen und muss zum Zeitpunkt "Ende der Angebotsfrist" gültig sein.

Angabe der technischen Fachkräfte
Als geeignet werden nur Unternehmen angesehen, die für die Leistungserbringung hinsichtlich Anzahl und Qualifikation ausreichende personelle Kapazitäten bereithalten. Bitte machen Sie in einer von Ihnen selbst zu erstellenden Eigenerklärung Angaben zu dem von Ihnen vorgesehenen Projektteam, der Zusammensetzung, Anzahl der Mitarbeiter und deren Qualifikation sowie qualifikationsgerechte Vertretungsregeln.
Für die einzelnen vorgesehenen Rollen gelten die nachfolgend aufgelisteten Mindestanforderungen. Deren Erfüllung ist im Angebot zu belegen.

a) Projektleitung (PL), mindestens 1 Profil:

• Erfolgreiche Leitung und Durchführung von mindestens drei Prüfungen bei Betreibern von kritischen Infrastrukturen gemäß § 8a Absatz 1 BSIG
• Mindestens fünf Jahre Berufserfahrung im Bereich Informationssicherheit, davon mindestens drei Jahre mit Schwerpunkt KRITIS
• Praktische Erfahrung in der Konzeption und Durchführung von KRITIS-Prüfungen
• Zusätzliche Prüfverfahrenskompetenz für § 8a BSIG oder eine vergleichbare Kompetenz erworben
• Zertifiziert als Auditteamleiter für ISO 27001-Audits auf der Basis von IT-Grundschutz oder ISO 27001 Lead Auditor, IS-Revisor, Wirtschaftsprüfer

b) Projektmitarbeiter, mindestens 1 Profil:
• Maßgebliche praktische Erfahrung im Bereich KRITIS-Prüfungen durch Mitwirkung an Prüfungen
• Mindestens vier Jahre Berufserfahrung im Bereich Informationssicherheit, davon mindestens zwei Jahr mit Schwerpunkt KRITIS
• Praktische Erfahrung in der Konzeption und Durchführung von KRITIS-Prüfungen

c) mindestens 1 Person des Projektteams / Teamqualifikation
Die folgenden Mindestanforderungen können von verschiedenen Personen des Projektteams abgedeckt werden.
• Aktive Mitwirkung in Gremien auf dem Gebiet der KRITIS-Prüfungen (u. a. ACS, ERFA-KRITIS-Audits)
• Branchenkompetenz oder Möglichkeit die Branchenkompetenz aus einem Netzwerk sicherzustellen

d) alle Personen des Projektteams (inkl. PL)
• Ein abgeschlossenes Studium (Master/Uni-Diplom) der Fachrichtungen Informatik, technische Informatik, IT-Sicherheit, Physik, Mathematik, Nachrichten-, Kommunikations- oder Elektrotechnik, IT- Management, Verwaltungs- oder Wirtschaftsinformatik oder einer vergleichbaren Qualifikation bzw. einer einschlägigen Fachrichtung mit informations-technischem/technischem Schwerpunkt
• Theoretische und praktische Kenntnisse / Erfahrungen im Bereich Projektbearbeitung
• Umfangreiche Kenntnisse und mehrjährige theoretische und praktische Erfahrungen im Bereich Informationssicherheit

Genaue Informationen über Fristen für Überprüfungsverfahren

Unternehmen haben einen Anspruch auf Einhaltung der bieter- und bewerberschützenden Bestimmungen über das Vergabeverfahren gegenüber dem öffentlichen Auftraggeber, Bundesrepublik Deutschland, vertreten durch das Beschaffungsamt des BMI (BeschA).

Sieht sich ein am Auftrag interessiertes Unternehmen durch Nichtbeachtung von Vergabevorschriften in seinen Rechten verletzt, ist der Verstoß innerhalb einer Frist von zehn Kalendertagen gegenüber dem BeschA zu rügen (§ 160 Abs. 3 S. 1 Nr. 1 Gesetz gegen Wettbewerbsbeschränkungen (GWB)). Verstöße, die aufgrund der Bekanntmachung oder der Vergabeunterlagen erkennbar sind, müssen spätestens bis zu der in der Bekanntmachung benannten Frist zur Bewerbung oder Angebotsabgabe gegenüber dem BeschA gerügt werden (§ 160 Abs. 3 S. 1 Nr. 2 und 3 GWB).

Teilt das BeschA dem Unternehmen mit, seiner Rüge nicht abhelfen zu wollen, so besteht die Möglichkeit, innerhalb von 15 Tagen nach Eingang der Mitteilung einen Antrag auf Nachprüfung bei der Vergabekammer zu stellen (§ 160 Abs. 3 S. 1 Nr. 4 GWB).

Bieter, deren Angebote für den Zuschlag nicht berücksichtigt werden sollen, werden vor dem Zuschlag gemäß § 134 Abs. 1 GWB darüber informiert. Ein Vertrag darf erst 15 Kalendertage nach Absendung dieser Information durch das BeschA geschlossen werden; bei Übermittlung per Fax oder auf elektronischem Wege beträgt diese Frist zehn Kalendertage. Sie beginnt am Tag nach Absendung der Information durch das BeschA.

Ein Antrag auf Nachprüfung ist schriftlich an die Vergabekammern des Bundes beim Bundeskartellamt, Kaiser-Friedrich-Straße 16, 53113 Bonn zu richten.

Hinweis: Das BeschA ist im Falle eines Nachprüfungsantrags verpflichtet, die Vergabeakten, die auch die abgegebenen Angebote enthalten, an die Vergabekammer weiterzuleiten. Die Beteiligten haben ein Recht auf Akteneinsicht. Um Betriebs- und Geschäftsgeheimnisse zu wahren, teilen Sie uns konkret mit Bezug auf die entsprechenden Dokumente des Angebotes mit, welche Informationen als Betriebs- und Geschäftsgeheimnisse zu behandeln sind.