Rahmenvereinbarung über die Durchführung von Penetrationstests

Beschreibung der Beschaffung

Gegenstand dieser Ausschreibung ist eine Rahmenvereinbarung über die Durchführung von Penetrationstests für verschiedene Prüfobjekte der NRW.BANK mit verschiedenen Testschwerpunkten inklusive der dazugehörigen Abstimmungen, Vorbereitung und sowie Aufbereitung und Präsentation der Ergebnisse. Die Rahmenvereinbarung wird mit vier Unternehmen (soweit verfügbar) geschlossen. Die jeweiligen Penetrationstests unterscheiden sich in ihrem Umfang, Ziel und Prüfobjekt. Die Einzelauftragsvergabe erfolgt im Rahmen von Miniwettbewerben. Die geschätzte Abnahmemenge beläuft sich für alle von der Rahmenvereinbarung umfassten Einzelabrufe auf insgesamt 720 Personentage (davon geschätzt 50 % Junior- und 50% Senior-IT-Experten). Es wird eine verbindliche Höchstabnahmegrenze von 800 Personentagen festgelegt (bezogen auf die Gesamtlaufzeit der Rahmenvereinbarung einschließlich sämtlicher vorgesehener Verlängerungsmöglichkeiten). Eine Abnahmeverpflichtung der NRW.BANK besteht nicht. Die Rahmenvereinbarung tritt mit Zuschlagserteilung in Kraft und hat eine Laufzeit von zwei Jahren. Diese Laufzeit verlängert sich jeweils um ein weiteres Jahr, soweit die Rahmenvereinbarung nicht mit einer Frist von drei Monaten vor dem jeweiligen Ablauf von der NRW.BANK schriftlich gekündigt wird, höchstens aber auf vier Jahre ab Inkrafttreten (Höchstlaufzeit). Nach dem Ablauf der Höchstlaufzeit endet die Rahmenvereinbarung, ohne dass es einer Kündigung bedarf. Gleiches gilt, wenn die vorgesehene Höchstabnahmegrenze vor dem Ablauf der Höchstlaufzeit erreicht wird. Die NRW.BANK ist nicht dazu verpflichtet, Aufträge im Sinne dieser Rahmenvereinbarung unter der Rahmenvereinbarung zu vergeben (vgl. Erwägungsgrund Nr. 61 der Richtlinie 2014/24/EU). Da es sich um eine nichtwesentliche Auslagerung gem. MaRisk AT 9, FISG handelt, gelten ergänzend die als Anlage 17 beigefügten Regelungen für nichtwesentliche Auslagerungen.

Liste und kurze Beschreibung der Bedingungen

Befähigung und Erlaubnis zur Berufsausübung: Soweit ihr Beruf erlaubnispflichtig ist, müssen Bieter je nach den Rechtsvorschriften des Staats, in dem sie niedergelassen sind, entweder die Eintragung in einem Berufs- oder Handelsregister dieses Staats nachweisen oder auf andere Weise die erlaubte Berufsausübung nachweisen (bei Bietergemeinschaften vorzulegen für jedes Mitglied). Für die Mitgliedstaaten der Europäischen Union sind die jeweiligen Berufs- oder Handelsregister und die Bescheinigungen oder Erklärungen über die Berufsausübung in Anhang XI der Richtlinie 2014/24/EU des Europäischen Parlaments und des Rates vom 26. Februar 2014 über die öffentliche Auftragsvergabe und zur Aufhebung der Richtlinie 2004/18/EG (ABl. L 94 vom 28.3.2014, S. 65) aufgeführt. Der Nachweis der Erlaubnis muss, soweit erforderlich, im Rahmen des Angebotes als Scan der Originalurkunde oder Datei vorgelegt werden. § 50 VgV bleibt unberührt.

Liste und kurze Beschreibung der Auswahlkriterien

Umsatzerklärungen: Bieter müssen eine Erklärung über ihren Gesamtumsatz und den Umsatz in dem Tätigkeitsbereich der Rahmenvereinbarung (= Penetrationstests) für die letzten drei Geschäftsjahre vor dem Zeitpunkt der Veröffentlichung der Auftragsbekanntmachung abgeben, sofern entsprechende Angaben gemäß § 45 Abs. 4 Nr. 4 VgV verfügbar sind. Bitte beachten Sie: (1.) Geschäftsjahre, für die Sie Umsätze angeben, müssen jeweils zeitlich abgelaufen sein. Ihr laufendes Geschäftsjahr zählt nicht zu den letzten drei Geschäftsjahren. (2.) Unerheblich ist, ob das Geschäftsjahr dem Kalenderjahr entspricht bzw. ein Jahresabschluss vorliegt. Die Erklärung muss im Rahmen des Angebotes durch Eigenerklärung auf dem Vordruck 03 erfolgen. Bei Bietergemeinschaften ist der Vordruck 03 nur einmal für alle Mitglieder zusammen vorzulegen. § 50 VgV bleibt unberührt. Mindestbedingung: Der Umsatz des Bieters in dem Tätigkeitsbereich des Auftrags (= Penetrationstest) muss in den letzten drei Geschäftsjahren vor dem Zeitpunkt der Veröffentlichung der Auftragsbekanntmachung jeweils pro Geschäftsjahr mindestens 500.000 Euro betragen haben.

Liste und kurze Beschreibung der Auswahlkriterien

Referenzen: Erforderlich ist die Angabe von geeigneten Referenzen der Bieter über früher ausgeführte Aufträge in Form einer Liste der im Zeitraum vom 01.06.2021 bis zum 31.05.2024 erbrachten wesentlichen Leistungen mit Angabe des Erbringungszeitraumes sowie des Empfängers (Referenzkunde mit bezeichnetem Ansprechpartner sowie dessen Telefonnummer oder E-Mail-Anschrift). Anonymisierte Angaben sind unzulässig. Bitte beachten Sie: 1. Die Erfüllung der Mindestbedingungen muss anhand der Referenzangaben erkennbar sein; die Angaben bedürfen daher einer ausführlichen Erläuterung. Ein bloßes "Ja" stellt keine ausführliche Erläuterung im vorstehenden Sinne dar. 2. Es müssen alle zu den Referenzen abgefragten Angaben in den Vordruck eingetragen werden. Nicht vollständige Referenzangaben zu einer Referenz werden nicht berücksichtigt. Nachforderungen, die unvollständige oder unerfüllte Angaben zu einer Referenz betreffen würden, finden nicht statt. Die Angabe muss im Rahmen des Angebotes durch Eigenerklärung auf dem Vordruck 03 erfolgen. Bei Bietergemeinschaften ist der Vordruck 03 nur einmal für alle Mitglieder zusammen vorzulegen. Soweit ein Bieter bzw. eine Bietergemeinschaft mehr Referenzen angeben will als der Vordruck hierfür Felder vorsieht, kann der Vordruck vervielfältigt eingereicht werden. § 50 VgV bleibt unberührt. Mindestbedingungen: Eine Referenz wird nur dann als geeignet angesehen, wenn anhand der jeweiligen Referenzerläuterungen jeweils die Erfüllung der nachfolgenden Mindestbedingungen nachgewiesen ist: 1 Durchführung eines Penetrationstests 2. für ein Kreditinstitut oder ein Finanzdienstleistungsinstitut im Sinne des Gesetz über das Kreditwesen (Kreditwesengesetz - KWG) oder nach den Rechtsvorschriften des Staats, in dem der Bieter niedergelassen ist, vergleichbar. Darüber hinaus muss durch alle Referenzen gemeinsam (nicht: jeweils) die Erfüllung der folgenden weiteren Mindestbedingungen nachgewiesen sein (soweit nicht zutreffend, bitte dies im jeweiligen Feld des Vordrucks 03 zu der Referenz vermerken!): (a.) Penetrationstest einer RZ-Infrastruktur (z.B. WAN-Anbindung, VPN-Gateways, Firewalls, Web-Proxy etc.) auf Basis einer Perimeteranalyse und anderer Quellen (b.) Penetrationstest auf Client- und Server-Objekte (WIN-Arbeitsplatz, Unix-Server, Windows-Server, SAP-Server, DB-Server, Web-Server etc.) auf Basis einer Account-Privilege-Escalation, vorhandener Schwachstellen und anderer Quelle (c.) Penetrationstest auf (Web-)Anwendungen auf Basis vorhandener Schwachstellen und anderer Quellen

Liste und kurze Beschreibung der Auswahlkriterien

Beschreibung der Maßnahmen zur Qualitätssicherung des Unternehmens: Erforderlich ist die Beschreibung der Maßnahmen zur Qualitätssicherung des Unternehmens der Bieters. Die Beschreibung muss im Rahmen des Angebotes durch Eigenerklärung auf dem Vordruck 03 erfolgen. Bei Bietergemeinschaften ist der Vordruck 03 für jedes Mitglied gesondert vorzulegen. Mindestbedingungen 1. Bieter / Mitglieder der Bietergemeinschaft müssen den Nachweis eines gültigen Zertifikates zum Qualitätsmanagement auf der Grundlage der DIN EN ISO 9001 oder gleichwertig erbringen. Sofern ein gleichwertiger Nachweis erbracht wird, ist mit dem Nachweis die Gleichwertigkeit zu belegen. Der Nachweis des Zertifikates muss mit dem Angebot als Scan der Originalurkunde oder Datei vorgelegt werden. Der Nachweis der Gleichwertigkeit hat, soweit erforderlich, auf einer Anlage zum Vordruck 03 zu erfolgen. Insoweit sind Eigenerklärungen und Fremdbelege (Scan der Originalurkunde oder Datei) zugelassen. 2. Bieter / Mitglieder der Bietergemeinschaft müssen den Nachweis eines gültigen Zertifikates zum Vorhandensein eines Informationssicherheits-Managementsystems (ISMS) auf der Grundlage der DIN EN ISO 27001 oder gleichwertig. Sofern ein gleichwertiger Nachweis erbracht wird, ist mit dem Nachweis die Gleichwertigkeit zu belegen. Der Nachweis des Zertifikates muss mit dem Angebot als Scan der Originalurkunde oder Datei vorgelegt werden. Der Nachweis der Gleichwertigkeit hat, soweit erforderlich, auf einer Anlage zum Vordruck 03 zu erfolgen. Insoweit sind Eigenerklärungen und Fremdbelege (Scan der Originalurkunde oder Datei) zugelassen.

Liste und kurze Beschreibung der Auswahlkriterien

Erklärung über die durchschnittliche jährliche Beschäftigtenzahl: Bieter / Mitglieder der Bietergemeinschaft müssen eine Erklärung abgeben, aus der ihre durchschnittliche jährliche Beschäftigtenzahl in den letzten drei Jahren (01.06.2021 bis zum 31.05.2024) ersichtlich ist. Die Erklärung muss im Rahmen des Angebotes durch Eigenerklärung auf dem Vordruck 03 erfolgen. Bei Bietergemeinschaften ist der Vordruck 03 für jedes Mitglied gesondert vorzulegen. Mindestbedingungen: Die durchschnittliche jährliche Beschäftigtenzahl muss in den Jahren 2021, 2022 und 2023 pro Jahr mindestens 10 Vollzeitäquivalente betragen haben.

Bekanntmachungs-ID: CXPNYH5DUDH


1. Die NRW.BANK verfährt nach dem Gesetz gegen Wettbewerbsbeschränkungen (GWB) und der Verordnung über die Vergabe öffentlicher Aufträge (Vergabeverordnung - VgV) in jeweils aktueller Fassung. Im Falle von Abweichungen / Widersprüchen der Vergabeunterlagen zu diesem Verfahrensrecht sind ausschließlich die gesetzlichen Verfahrensregelungen maßgeblich. Die Vergabeunterlagen sind im Zweifel im Sinne der gesetzlichen Regelungen auszulegen. Die Bewerbungsbedingungen enthalten insoweit arbeitserleichternde Hinweise und ausgestaltende Vorgaben, erheben aber keinen Anspruch auf Vollständigkeit und Richtigkeit. Diese Hinweise und Vorgaben vermögen die genaue Kenntnisnahme der geltenden Verfahrensvorschriften nicht zu ersetzen. Im Falle von Abweichungen / Widersprüchen der Auftragsbekanntmachung zu den Bewerbungsbedingungen ist ausschließlich die Auftragsbekanntmachung in letzter Fassung maßgeblich. 2. Zum Nachweis, dass keine Ausschlussgründe vorliegen, sind von jedem Bieter mit dem Angebot die Eigenerklärung zum Nichtvorliegen von Ausschlussgründen nach §§ 123, 124 GWB gemäß Vordruck 04 und die Eigenerklärung nach § 19 Abs. 3 Mindestlohngesetz (MiLoG) gemäß Vordruck 04a abzugeben. Zum Nachweis etwa meldepflichtiger Subventionen ist von jedem Bieter mit dem Angebot die Eigenerklärung Subventionen gemäß Vordruck 04b abzugeben. Zum Nachweis dessen, dass keine Sanktionstatbestände vorliegen, ist von jedem Bieter mit dem Angebot die Eigenerklärung Subventionen gemäß Vordruck 04c abzugeben. 3. Es gelten die Regelung zum Datenschutz und Vertraulichkeit - Auftragsdatenverarbeitung NRW.BANK. Jeder Bieter hat deshalb mit seinem Angebot eine Beschreibung der technischen und organisatorischen Maßnahmen (TOMs) zum Schutz personenbezogener Daten vorzulegen. 4. Mit jedem Angebot vorzulegende Unterlagen: a) Vordruck 01 Angebotsvordruck b) Soweit relevant: Vordruck 02 Bewerber-/Bietergemeinschaften c) Vordruck 03 Eigenerklärung zur Eignung (bei Bewerber/Bietergemeinschaften: gesondert für jedes Mitglied, zusammenfassende Auswertung) d) Vordruck 04 Eigenerklärung zum Nichtvorliegen von Ausschlussgründen gemäß §§ 123, 134 GWB (bei Bewerber/Bietergemeinschaften: gesondert für jedes Mitglied) e) Vordruck 04a Eigenerklärung nach § 19 Abs. 3 MiLoG (bei Bewerber/Bietergemeinschaften: gesondert für jedes Mitglied) f) Vordruck 04b Eigenerklärung Subventionen (bei Bewerber/Bietergemeinschaften: gesondert für jedes Mitglied) g) Vordruck 04c Eigenerklärung Sanktionen (bei Bewerber/Bietergemeinschaften: gesondert für jedes Mitglied) h) Nur bei Unterauftragnehmer-Einsatz: Informationen zu Unteraufträgen bei Angebotsabgabe (soweit i. S. v. § 36 VgV zumutbar) i) Nur bei einer Eignungsleihe im Bereich der wirtschaftlichen und finanziellen Leistungsfähigkeit: Vordruck 05: Eignungsleihe wirtschaftliche und finanzielle Leistungsfähigkeit j) Nur bei einer Eignungsleihe im Bereich der technischen und beruflichen Leistungsfähigkeit: Vordruck 05a: Eignungsleihe technische und berufliche Leistungsfähigkeit k) Soweit relevant: Nachweis der erlaubten Berufsausübung (bei Bewerber/Bietergemeinschaften) l) Zertifikat nach DIN EN ISO 9001 oder gleichwertig (letzteres mit Gleichwertigkeitsnachweis) (bei Bewerber/Bietergemeinschaften: gesondert für jedes Mitglied) m) Zertifikat nach DIN EN ISO 27001 oder gleichwertig (letzteres mit Gleichwertigkeitsnachweis) (bei Bewerber/Bietergemeinschaften: gesondert für jedes Mitglied) n) Vordruck 06 Verantwortlicher Ansprechpartner o) Vordruck 08: Preisblatt p) Vordruck 09: CV (für jeweils 2 Senior-Berater und 2 Junior Berater) - ein Dokument mit allen CVs q) Vordruck 10: Qualitätskonzept r) Beschreibung der technischen und organisatorischen Maßnahmen (TOMs) zum Schutz personenbezogener Daten 5. Auf gesonderte Anforderung vor Zuschlagserteilung vorzulegende Unterlagen: a) Nur bei Unterauftragnehmer-Einsatz (soweit noch nicht vorgelegt und kein Fall der Eignungsleihe vorliegt): Vordruck 07 Informationen zu Unteraufträgen bei Angebotsabgabe b) Nur bei Unterauftragnehmer-Einsatz (soweit kein Fall der Eignungsleihe vorliegt): Vordruck 07a Nachweis Unterauftragnehmer 6. a) Unterauftragnehmer (auch: Nachunternehmer) sind zugelassen. b) Eine Unterauftragnehmerschaft liegt nur vor, wenn der vorgesehene Unterauftragnehmer auf Rechnung des Bewerbers- / Bieters als späterem Zuschlagsempfänger einen Teil der zu vergebenden Leistungen selbstständig ausführen soll. c) Jeder Bieter wird dazu aufgefordert, bei Angebotsabgabe die Teile des Auftrags, die sie im Wege der Unterauftragsvergabe an Dritte zu vergeben beabsichtigen, sowie, falls zumutbar, die vorgesehenen Unterauftragnehmer zu benennen. Dafür ist jeweils der Vordruck 07: Informationen zu Unteraufträgen bei Angebotsabgabe zu verwenden. Vor Zuschlagserteilung kann der die NRW.BANK von den Bietern, deren Angebote in die engere Wahl kommen, verlangen, die Unterauftragnehmer unter Verwendung des Vordrucks 07 zu benennen und unter Verwendung des Vordrucks 07a: Nachweis Unterauftragnehmer nachzuweisen, dass ihnen die erforderlichen Mittel dieser Unterauftragnehmer zur Verfügung stehen. Die Vorlage des Vordrucks 07a ist entbehrlich, soweit der Bieter bereits mit seinem Angebot die Vordrucke 05 oder 05a vorgelegt hat. d) Wenn ein Bewerber oder Bieter die Vergabe eines Teils des Auftrags an einen Dritten im Wege der Unterauftragsvergabe beabsichtigt und sich zugleich im Hinblick auf seine Leistungsfähigkeit gemäß den §§ 45 und 46 VgV auf die Kapazitäten dieses Dritten beruft, ist auch § 47 VgV anzuwenden. In diesem Falle hat er jeweils bereits mit seinem Teilnahmeantrag bei einer Eignungsleihe im Bereich der wirtschaftlichen und finanziellen Leistungsfähigkeit den Vordruck 05: Eignungsleihe wirtschaftliche und finanzielle Leistungsfähigkeit und bei einer Eignungsleihe im Bereich der technischen und beruflichen Leistungsfähigkeit den Vordruck 05a: Eignungsleihe technische und berufliche Leistungsfähigkeit vorzulegen. e) Die Haftung des Hauptauftragnehmers gegenüber dem öffentlichen Auftraggeber bleibt von Absatz 1 unberührt. f) Für Unterauftragnehmer aller Stufen gilt § 128 Absatz 1 des Gesetzes gegen Wettbewerbsbeschränkungen. g) Die NRW.BANK überprüft vor der Erteilung des Zuschlags, ob Gründe für den Ausschluss des Unterauftragnehmers vorliegen. Bei Vorliegen zwingender Ausschlussgründe verlangt sie die Ersetzung des Unterauftragnehmers. Bei Vorliegen fakultativer Ausschlussgründe kann sie verlangen, dass dieser ersetzt wird. Die NRW.BANK kann dem Bieter dafür eine Frist setzen.

Genaue Informationen über Fristen für Überprüfungsverfahren

Gesetz gegen Wettbewerbsbeschränkungen (GWB) § 160 Einleitung, Antrag (1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein. (2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht. (3) Der Antrag ist unzulässig, soweit 1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt, 2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt.