SOC/SIEM

Beschreibung der Beschaffung

Vergabestelle ist die AGAcareIT gGmbH mit Sitz in Ginnheimer Landstraße 94, 60487 Frankfurt am Main (nachfolgend die „Auftraggeberin“ genannt).

Sie ist Teil des bundesweit tätigen Gesundheitskonzerns AGAPLESION gAG, der eine Vielzahl von Einrichtungen in verschiedenen Bereichen der Gesundheitsversorgung und Pflege deutschlandweit unter seinem Dach vereint und über Tochtergesellschaften betreibt.

Die Auftraggeberin ist die konzerninterne IT-Beratungsgesellschaft, die das Vergabeverfahren für die Krankenhauseinrichtungen koordiniert und durchführt.

Ausgeschrieben wird eine Rahmenvereinbarung mit einem Auftragnehmer.
Neben den unmittelbar beteiligten Einrichtungen können weitere Einrichtungen der Rahmenvereinbarung auf Auftraggeberinnenseite beitreten.

AGAPLESION plant die konzernweite Einführung eines Security Operations Center (SOC) als externen Managed Service. Dieser Service soll von einem externen Dienstleister erbracht werden, um die IT-Sicherheit der gesamten Organisation zu gewährleisten und weiter auszubauen.

Security-Operation-Center (SOC)
• Einführung und Betrieb eines Security Operation Centers (SOC) für die Analyse von Sicherheitsvorfällen in den Systemen der Einrichtung. Dies überwacht dauerhaft die Ereignisse im Netzwerk, leitet Maßnahmen und Alarme ab.

Security-Information and Event-Management (SIEM)
• Ausbau, Konfiguration und Optimierung des bereits in Betrieb befindlichen Security Information and Event Management (SIEM) Systems (Microsoft Sentinel) mit dem Anschluss einer onPrem Syslog Server Infrastruktur.

Dabei soll ein umfassender Implementierungsplan erstellt und eine detaillierte Projektierung der Service Transition durchgeführt werden. Die Service Transition wird durch einen Transition Manager und/oder Projektmanager des Auftragnehmers begleitet. Die Auftraggeberin stellt während der Überführung einen Single-Point-of-Contact. Vor dem Onboarding führt der Auftragnehmer in Zusammenarbeit mit der Auftraggeberin ein technisches Assessment durch, dass eine GAP-Analyse umfasst, um bestehende Defizite der zu lizenzierenden und/oder zu analysierenden IT-Assets zu identifizieren. Zudem ist die Integrier-barkeit der identifizierten zusätzlichen IT-Assets zur Erhöhung der IT-Sicherheit zu prüfen und zusammen mit der Auftraggeberin durchzuführen. Zusätzlich soll eine Reifegradbewertung vorgenommen werden, um den aktuellen Stand der technischen Infrastruktur zu bewerten und notwendige Anpassungen festzulegen. Jegliche Konfigurationsanpassungen muss einen Freigabeprozess durch die Auftraggeberin durchlaufen.

Hintergrund des Beschaffungsvorhabens ist das bundesweite Förderprogramm Krankenhauszukunftsgesetz (KHZG), durch das Krankenhausträger bei der Digitalisierung ihrer Häuser unterstützt werden und über das die Beschaffung teilweise finanziert wird. Es handelt sich daher um ein fördermittelfinanziertes Projekt.

Die Beschaffung soll die Vorgaben des Fördertatbestandes 10 nach KHZG erfüllen.

Es wird darauf hingewiesen, dass durch den Zuschlag noch keine Bestellung erfolgt. Die Leistungen müssen gesondert abgerufen werden.

Liste und kurze Beschreibung der Auswahlkriterien

• mindestens 4 Referenzprojekte mit vergleichbaren Leistungen:
Die Vergleichbarkeit liegt vor:
(i) Der Bieter hat mindestens 2 SOC Projekte bei europäischen Firmen mit mindestens 15.000 verwalteten Identitäten umgesetzt; und
(ii) Der Bieter hat mindestens 2 SOC Projekte bei europäischen Firmen mit mindestens 8.000 verwalteten Identitäten umgesetzt.

Dieselbe Referenz kann nicht doppelt verwendet werden. Es müssen zwingend vier unterschiedliche Projekte nachgewiesen werden.

• ISO 27001 Zertifizierung

• Zudem müssen Bieter mindestens alle nachfolgend gelisteten Zertifizierungen nachweisen:

- Der Anbieter ist aktuell gültiges Mitglied der Microsoft Intelligent Security Association (MISA) - Microsoft Verified Managed XDR Solution;
- Der Anbieter hat den Microsoft Solutions Partner Security Status: Cloud Security;
- Der Anbieter hat den Microsoft Solutions Partner Security Status: Identity
and Access Management;
- Der Anbieter hat den Microsoft Solutions Partner Security Status: Threat Protection;
- Der Anbieter verfügt über Azure Security Engineer Associate zertifizierte Mitarbeiter;
- Der Anbieter verfügt über Microsoft Security Operations Analyst und/oder Microsoft 365 Security Administrator Associate zertifizierte Mitarbeiter; und
- Alle SOC-Mitarbeiter verfügen über die "Experte für Microsoft Cybersecurity Architect-" und/oder "Microsoft Identity and Access Administrator-" und/oder "Microsoft Information Protection and Compliance Administrator Associate" Zertifizierung.

Wichtiger Hinweis:

Teile der leistungsbezogenen Vergabeunterlagen sind nicht unmittelbar verfügbar. Hierbei handelt es sich um die folgenden angebotsrelevanten Unterlagen:

• D. AGA_Leistungsverzeichnis_SIEM-SOC.xlsx
• D. Leistungsbeschreibung SIEM-SOC.pdf

Diese werden auf Anfrage über die Vergabeplattform direkt an den jeweiligen Interessenten übermittelt, nachdem eine Geheimhaltungsvereinbarung unterzeichnet wurde. Diese wird ebenfalls auf Anfrage über die Vergabeplattform zur Verfügung gestellt. Die Auftraggeberin behält sich vor, einzelne Anfragen abzulehnen, wenn Grund zu der Annahme besteht, dass kein Interesse an dem Vergabeverfahren und dem Auftrag, sondern an der Erlangung sicherheitsrelevanter Daten besteht. Diese Maßnahme ist erforderlich, da die Ausschreibung die IT-Sicherheitsarchitektur der Auftraggeberin betrifft und diesbezügliche Daten nicht uneingeschränkt im Internet verfügbar gemacht werden können.
Vielen Dank für Ihr Verständnis!

Genaue Informationen über Fristen für Überprüfungsverfahren

(1) Etwaige Vergabeverstöße muss der Bewerber/Bieter gemäß § 160 Abs. 3 Nr. 1 GWB innerhalb von 10 Tagen nach Kenntnisnahme rügen.
(2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, sind nach § 160 Abs. 3 Nr. 2 GWB spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Abgabe der Bewerbung oder der Angebote gegenüber dem Auftraggeber zu rügen.
(3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, sind nach § 160 Abs. 3 Nr. 3 GWB spätestens bis zum Ablauf der Frist zur Bewerbungs- oder Angebotsabgabe gegenüber dem Auftraggeber zu rügen.
(4) Ein Vergabenachprüfungsantrag ist nach § 160 Abs. 3 Nr. 4 GWB innerhalb von 15 Kalendertagen nach der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, bei der Vergabekammer einzureichen.