SSO/IAM - Sicherheitssoftware

Beschreibung der Beschaffung

Vergabestelle ist die AGAcareIT gGmbH mit Sitz in Ginnheimer Landstraße 94, 60487 Frankfurt am Main (nachfolgend die „Auftraggeberin“ genannt). Sie ist Teil des bun-desweit tätigen Gesundheitskonzerns AGAPLESION gAG, der eine Vielzahl von Einrichtungen in verschiedenen Bereichen der Gesundheitsversorgung und Pflege deutschlandweit unter sei-nem Dach vereint und über Tochtergesellschaften betreibt.
Die Auftraggeberin ist die konzerninterne IT-Beratungsgesellschaft, die das Vergabeverfahren für die Krankenhauseinrichtungen koordiniert und durchführt. Eine Liste der beteiligten Kran-kenhausgesellschaften ist nachstehend zu finden.
Ausgeschrieben wird eine Rahmenvereinbarung mit einem Auftragnehmer. Neben den unmittelbar beteiligten Einrichtungen können weitere Einrichtungen der Rahmenvereinbarung auf Auftraggeberseite beitreten. Eine Übersicht findet sich ebenfalls untenstehend.

Die Auftraggeberin plant die Beschaffung eines Identity & Access Management („IAM“) und eines Single Sign On („SSO“) Systems. Um den vergaberechtlichen Erfordernissen zu genü-gen, findet eine Losaufteilung zwischen IAM (Los 1) und SSO (Los 2) statt. Aufgrund der ge-planten Kommunikation zwischen den beiden Systemen durch eine Standardschnittstelle ist es zwingend erforderlich, dass Bieter Angebote auf beide Lose abgeben. Dies kann durch ei-nen Bieter (ggf. mit Nachunternehmer) oder eine Bietergemeinschaft geschehen. Eine be-stimmte Rechtsform ist nicht erforderlich.

Hintergrund des Beschaffungsvorhabens ist das bundesweite Förderprogramm Krankenhaus-zukunftsgesetz (KHZG), durch das Krankenhausträger bei der Digitalisierung ihrer Häuser un-terstützt werden und über das die Beschaffung teilweise finanziert wird. Es handelt sich daher um ein fördermittelfinanziertes Projekt. Die Beschaffung soll die Vorgaben des Fördertatbe-standes 10 nach KHZG erfüllen.

Beschreibung der Beschaffung

Die Auftraggeberin plant mit Los 1 dieser Beschaffung zudem die Anschaffung und Integration eines IAM-Systems, das der Erhöhung der ordnungsgemäßen Benutzerberechtigungen und Aufrechterhaltung der Informationssicherheit des Gesamtsystems dienen soll.

Bei der Beschaffung von Los 1 IAM handelt es sich um eine gemeinsame Beschaffung der nachstehend aufgeführten Häuser des AGAPLESION Konzerns:

(a) AGAPLESION ALLGEMEINES KRANKENHAUS HAGEN gGmbH
(b) AGAPLESION BETHESDA KLINIK ULM gGmbH
(c) AGAPLESION BETHESDA KRANKENHAUS BERGEDORF gGmbH
(d) AGAPLESION EV. BATHILDISKRANKENHAUS BAD PYRMONT gGmbH
(e) AGAPLESION DIAKONIEKLINIKUM HAMBURG gGmbH
(f) AGAPLESION DIAKONIE KLINIKEN KASSEL gGmbH
(g) AGAPLESION DIAKONIEKLINIKUM ROTENBURG gGmbH
(h) AGAPLESION ELISABETHENSTIFT gGmbH
(i) AGAPLESION EVANGELISCHES KRANKENHAUS MITTELHESSEN gGmbH
(j) AGAPLESION FRANKFURTER DIAKONIE KLINIKEN gGmbH
(k) AGAPLESION BETHANIEN KRANKENHAUS HEIDELBERG gGmbH
(l) AGAPLESION EV. KLINIKUM SCHAUMBURG gGmbH
(m) AGAPLESION KRANKENHAUS NEU BETHLEHEM gGmbH

Die folgenden Einrichtungen können der Rahmenvereinbarung – ggf. nachträglich – beitreten:

(n) AGAPLESION Mitteldeutschland gGmbH Holding
(o) AGAPLESION BETHESDA KRANKENHAUS WUPPERTAL gGmbH
(p) Krankenhaus Seehausen gGmbH (Hinweis: Nicht Teil des AGAPLESION Konzerns)

Durch die Automatisierung der Benutzeradministration (Eintritte, Veränderungen, Austritte) in AD, ADD, KIS und Subsystemen soll eine Prozessverbesserung und Erhöhung der Zugriffssi-cherheit der Benutzeraccounts über alle Abteilungen und Einrichtungen erreicht und aufrecht-erhalten werden.

Das System muss folgende Subsysteme per integrierter und konfigurierbarer Schnittstelle an-binden können: Orbis, Medico (optional), iMedOne (optional), P&I LOGA, M365, MS AAD, Microsoft AD, Microsoft Exchange. Zudem muss das System aus in P&I Loga angelegten Mit-arbeitern anhand von konfigurierbaren Workflows Benutzer in Orbis, Medico (optional), iMe-dOne (optional), M365, MS AAD, Microsoft AD, Microsoft Exchange anlegen können. Der Workflow muss mindestens als Vier-Augen-Prinzip abbildbar sein. Des Weiteren muss das System ein Selfserviceportal bieten, über welches Anträge für Ressourcen gestellt und freige-geben werden können, basierend auf einem Rechte- und Rollenkonzept.

Die konkreten Anforderungen an die anzubietende Lösung ergeben sich aus dem Leistungs-verzeichnis (DOKUMENT E. Leistungsverzeichnis_IAM). Im Leistungsverzeichnis wird zwischen MUSS- und SOLLTE-Kriterien unterschieden.
Unabdingbare Merkmale sind als MUSS-Kriterien in der Spalte D „Priorität“ markiert. Diese Leistungskriterien sind zwingend zu erfüllen. Anderenfalls kann das Angebot nicht berücksich-tigt werden und grundsätzlich ohne weitere Prüfung ausgeschlossen werden, wenn sich die Auftraggeberin nicht im Rahmen des vergaberechtlich Zulässigen entscheiden wird, von dem jeweiligen Kriterium Abstand zu nehmen.

Qualitätskriterien sind als SOLLTE-Kriterien in der Spalte D „Priorität“ markiert. Diese Kriterien sind von der Lösung nicht zwingend zu erfüllen, werden aber bei der Angebotswertung als Zu-schlagskriterien berücksichtigt. Je mehr SOLLTE-Kriterien erfüllt werden, desto besser schnei-det die Lösung in der Qualitätswertung ab. Die Punktzahl ergibt sich jeweils aus der Spalte E „Gewichtung“.

Das Vorliegen der Leistungsanforderungen (MUSS- und SOLLTE-Kriterien) ist von Bietern grundsätzlich durch die zutreffende Auswahl in dem Dropdownmenü in der Spalte F „Verbrei-tung/Antwort“ des Leistungsverzeichnisses durch einen Eintrag zu bestätigen („Vorhanden und bereits im Einsatz“) oder zu verneinen („nicht vorhanden oder in Entwicklung“). Sofern Bieter bei einem Merkmal in Spalte F die Option „nicht vorhanden oder in Entwick-lung“ ausgewählt haben, sollen sie nach Möglichkeit ein Releasedatum für das Merkmal in Spalte G benennen, wenn es sich in Entwicklung befindet. In Spalte H (LV IAM) „Kommen-tar“ können Bieter weitere Informationen zu dem Kriterium vermerken. Bieter legen durch geeignete Eigenerklärungen prüfbar dar, ob und wie diese Leistungsanforderung erfüllt wird. Geeignete Formen für den Nachweis sind grundsätzlich ausformulierte Stellungnahmen, Kon-zepte oder Produktdatenblätter und -beschreibungen. Bieter tragen in eigener Verantwortung Sorge dafür, dass der Nachweis geführt wird. Es wird darauf hingewiesen, dass Nachforde-rungen bei mangelhaften Nachweisen grundsätzlich nicht erfolgen. Die Auftraggeberin behält sich aber vor, Unklarheiten in den eingereichten Nachweisen im vergaberechtlich zulässigen Umfang aufzuklären. Hierzu erhalten Bieter Gelegenheit zur Stellungnahme.

Das Preisangebot (DOKUMENT C. Preisblatt IAM) muss alle geforderten Angaben enthal-ten. Diese ergeben sich aus den drei Blättern Preiskategorie 1, Preiskategorie 2, Preis-kategorie 3. Es sind auch alle optionalen Preise anzubieten, da das Zuschlagskriterium Preis sich aus allen geforderten Preisen ergibt.

Bieter tragen Sorge dafür, dass das Preisblatt vollständig ausgefüllt wird. Preisangaben kön-nen vergaberechtlich in der Regel nicht nachgefordert werden. Fehlende oder fehlerhafte Preise können daher zum Angebotsausschluss führen.

Wartungsleistungen werden mit einer Laufzeit von 36 Monaten beauftragt. Die Häufigkeit der Wartung orientiert sich an der angebotenen Lösung wird dementsprechend beauftragt.

Beschreibung der Beschaffung

Die AGAPLESION gAG betreibt ein zentrales Rechenzentrum mit daran angeschlossenen Krankenhäusern und Altenpflegeeinrichtungen. Mit Los 2 SSO wird die Beschaffung eines im zentralen AGAPLESION-Rechenzentrum installierten Single-Sign-On-Systems (SSO) angestrebt.

Bei der Beschaffung von Los 2 SSO handelt es sich um eine gemeinsame Beschaffung der nachstehend aufgeführten Häuser des AGAPLESION Konzerns:

(a) AGAPLESION ALLGEMEINES KRANKENHAUS HAGEN gGmbH
(b) AGAPLESION BETHESDA KLINIK ULM gGmbH
(c) AGAPLESION EV. BATHILDISKRANKENHAUS BAD PYRMONT gGmbH
(d) AGAPLESION DIAKONIEKLINIKUM HAMBURG gGmbH
(e) AGAPLESION DIAKONIE KLINIKEN KASSEL gGmbH
(f) AGAPLESION DIAKONIEKLINIKUM ROTENBURG gGmbH
(g) AGAPLESION ELISABETHENSTIFT gGmbH
(h) AGAPLESION EVANGELISCHES KRANKENHAUS MITTELHESSEN gGmbH
(i) AGAPLESION FRANKFURTER DIAKONIE KLINIKEN gGmbH
(j) AGAPLESION BETHANIEN KRANKENHAUS HEIDELBERG gGmbH
(k) AGAPLESION EV. KLINIKUM SCHAUMBURG gGmbH
(l) AGAPLESION KRANKENHAUS NEU BETHLEHEM gGmbH

Die folgenden Einrichtungen können der Rahmenvereinbarung – ggf. nachträglich – beitreten:

(m) AGAPLESION BETHESDA KRANKENHAUS BERGEDORF gGmbH
(n) AGAPLESION Mitteldeutschland gGmbH Holding
(o) AGAPLESION BETHESDA KRANKENHAUS WUPPERTAL gGmbH
(p) Krankenhaus Seehausen gemeinnützige GmbH (Hinweis: Nicht Teil des AGAPLESION Konzerns)

Das SSO-System soll im zentralen Rechenzentrum installiert und über zugehörige Satelliten-systeme in den Außenstandorten betrieben werden. Diese Außenstandorte sind über MPLS-Leitungen mit dem Rechenzentrum verbunden. Diese MPLS-Anbindungen sollen durch das System nicht ausgelastet werden, da diese teilweise im 10-Mbit-Bereich liegen. Das SSO-System soll das Anmelden an Arbeitsplätzen oder dort verfügbarer Software ohne Eingabe ei-nes Passwortes ermöglichen. Es soll eine alternative Authentifizierungsmethode nutzbar sein.
Das SSO-System soll eine Anmeldung an im Einsatz befindlichen Windows Arbeitsplätzen als auch dort verfügbaren Softwareprodukten (lokal installiert, per Citrix bereitgestellt, entfernte Browserapplikationen, etc.) per SSO (RFID Token, Smartcards, etc.) und eine 2FA ermögli-chen. Es soll ferner sowohl die Anmeldung an (Orbis, Medico, IMedOne,) als auch das Vidie-ren innerhalb des jeweiligen Krankenhausinformationssystems ermöglicht werden. Das Sys-tem soll an Gruppenarbeitsplätzen funktionieren, ohne dass der Gruppenaccount von Windows abgemeldet oder gewechselt werden muss.

Diese und weitere konkrete Anforderungen an die anzubietende Lösung ergeben sich aus dem Leistungsverzeichnis (DOKUMENT E. Leistungsverzeichnis_SSO). Im Leistungsverzeich-nis wird zwischen MUSS- und SOLLTE-Kriterien unterschieden.
Unabdingbare Merkmale sind als MUSS-Kriterien in der Spalte D „Priorität“ markiert. Diese Leistungskriterien sind zwingend zu erfüllen. Anderenfalls kann das Angebot nicht berücksich-tigt werden und grundsätzlich ohne weitere Prüfung ausgeschlossen werden, wenn sich die Auftraggeberin nicht im Rahmen des vergaberechtlich Zulässigen entscheidet, von dem jewei-ligen Kriterium Abstand zu nehmen.

Qualitätskriterien sind als SOLLTE-Kriterien in der Spalte D „Priorität“ markiert. Diese Kriterien sind von der Lösung nicht zwingend zu erfüllen, werden aber bei der Angebotswertung als Zu-schlagskriterien berücksichtigt. Je mehr SOLLTE-Kriterien erfüllt werden, desto besser schnei-det die Lösung in der Qualitätswertung ab. Die Punktzahl ergibt sich jeweils aus der Spalte E „Gewichtung“ (siehe zu den Zuschlagskriterien unten unter Ziffer ‎3.4.2).

Das Vorliegen der Leistungsanforderungen (MUSS- und SOLLTE-Kriterien) ist von Bietern grundsätzlich durch die zutreffende Auswahl in dem Dropdownmenü in der Spalte F „Verbrei-tung/Antwort“ des Leistungsverzeichnisses durch einen Eintrag zu bestätigen („Vorhanden und bereits im Einsatz“) oder zu verneinen („nicht vorhanden oder in Entwicklung“). Sofern Bieter bei einem Merkmal in Spalte F die Option „nicht vorhanden oder in Entwick-lung“ ausgewählt haben, sollen sie nach Möglichkeit ein Releasedatum für das Merkmal in Spalte G benennen, wenn es sich in Entwicklung befindet. In Spalte H (LV SSO) „Kommen-tar“ können Bieter weitere Informationen zu dem Kriterium vermerken. Bieter legen durch geeignete Eigenerklärungen prüfbar dar, ob und wie diese Leistungsanforderung erfüllt wird. Geeignete Formen für den Nachweis sind grundsätzlich ausformulierte Stellungnahmen, Kon-zepte oder Produktdatenblätter und -beschreibungen. Bieter tragen in eigener Verantwortung Sorge dafür, dass der Nachweis geführt wird. Es wird darauf hingewiesen, dass Nachforde-rungen bei mangelhaften Nachweisen grundsätzlich nicht erfolgen. Die Auftraggeberin behält sich aber vor, Unklarheiten in den eingereichten Nachweisen im vergaberechtlich zulässigen Umfang aufzuklären. Hierzu erhalten Bieter Gelegenheit zur Stellungnahme.

Das Preisangebot (DOKUMENT C. Preisblatt SSO) muss alle geforderten Angaben enthal-ten. Diese ergeben sich aus den drei Blättern Preiskategorie 1, Preiskategorie 2, Preis-kategorie 3. Es sind auch alle optionalen Preise anzubieten, da das Zuschlagskriterium Preis sich aus allen geforderten Preisen ergibt.

Bieter tragen Sorge dafür, dass das Preisblatt vollständig ausgefüllt wird. Preisangaben kön-nen vergaberechtlich in der Regel nicht nachgefordert werden. Fehlende oder fehlerhafte Preise können daher zum Angebotsausschluss führen.

Wartungsleistungen werden mit einer Laufzeit von 36 Monaten beauftragt. Die Häufigkeit der Wartung orientiert sich an der angebotenen Lösung wird dementsprechend beauftragt.

Liste und kurze Beschreibung der Auswahlkriterien

Die Mindestanforderungen sind für beide Lose, die Gegenstand der vorliegenden Beschaffung sind, gleichermaßen zu erfüllen, sofern nicht nachstehend explizit klargestellt wird, dass sich bestimmte Mindestkriterien nur auf ein bestimmtes Los beziehen.

Die Mindestanforderungen sind im hiesigen Vergabeverfahren:
• Umsatz in den Jahren 2023, 2022, 2021: mindestens EUR 1,0 Mio. (netto)
Nachweis: Eigenerklärung im DOKUMENT B. EIGNUNGSANGABEN UND REFERENZBLÄTTER

• Betriebs- bzw. Berufshaftpflichtversicherung mit Deckungssumme von mindestens EUR 3 Mio.
Nachweis:
(i) Eigenerklärung im DOKUMENT B. EIGNUNGSANGABEN UND REFE-RENZBLÄTTER;
(ii) Vorlage des Versicherungsnachweises/ Deckungszusage

Liste und kurze Beschreibung der Auswahlkriterien

Die Mindestanforderungen sind für beide Lose, die Gegenstand der vorliegenden Beschaffung sind, gleichermaßen zu erfüllen, sofern nicht nachstehend explizit klargestellt wird, dass sich bestimmte Mindestkriterien nur auf ein bestimmtes Los beziehen.

Der Bieter verfügt über ein Qualitätsmanagementsystem nach ISO9001. Das aktuell gültige Zertifikat ist zwingend beizufügen.
Nachweis: Eigenerklärung im DOKUMENT B. EIGNUNGSANGABEN UND REFE-RENZBLÄTTER

Der Bieter stellt sicher für die Umsetzung der angebotenen Lösung mindestens 5 qualifizierte Mitarbeiter zur Verfügung stellen zu können. Qualifiziert bedeutet die nötige Befähigung für die Auftragserfüllung.
Nachweis: Eigenerklärung im DOKUMENT B. EIGNUNGSANGABEN UND REFE-RENZBLÄTTER

• Los 1 IAM:

Eigenerklärung „Anbindung iMedOne“:
Der Bieter erklärt verbindlich seine Absicht eine Identity & Access Management Installation für eine produktive iMedOne KIS Anbindung im Zeitraum bis 12/2025 kostenneutral herzustellen. Er orientiert sich dabei an den Standard-funktionen, die er für die Herstellung einer produktiven ORBIS Anbindung be-reits genutzt hat. Verzögerungen des Auftragnehmers sind unverzüglich anzu-zeigen, um die Fertigstellung nicht zu gefährden.

Eigenerklärung „Anbindung Medico“:
Der Bieter erklärt verbindlich seine Absicht eine Identity & Access Management Installation für eine produktive Medico KIS Anbindung im Zeitraum bis 12/2025 kostenneutral herzustellen. Er orientiert sich dabei an den Standardfunktionen, die er für die Herstellung einer produktiven ORBIS Anbindung bereits genutzt hat. Verzögerungen des Auftragnehmers sind unverzüglich anzuzeigen, um die Fertigstellung nicht zu gefährden.

mindestens 2 Referenzprojekte mit vergleichbaren Leistungen:
Die Vergleichbarkeit liegt für Los 1 IAM vor:
(i) Der Bieter hat mindestens 1 Identity & Access Management-Projekt in Ein-richtungen im europäischen Gesundheitswesen mit mindestens 10.000 Identitäten umgesetzt;
(ii) der Bieter hat mindestens 1 Identity & Access Management-Projekt in Ein-richtungen im europäischen Gesundheitswesen mit mindestens 5.000 Identitäten umgesetzt;
(iii) Der Bieter hat mindestens 1 Identity & Access Management-Installation (mindestens erfolgreiche POC) in Einrichtungen im europäischen Gesund-heitswesen mit einer produktiven ORBIS KIS Anbindung mittels einer Stan-dardschnittstelle umgesetzt
(Hinweis: Referenzangaben müssen vollständig sein, da die Auftraggeberin sich eine Prüfung der Referenz vorbehält);
Es ist möglich, mit derselben Referenz die Erfüllung der Ziff. (iii) in Kombination mit entweder Ziff. (i) oder (ii) nachzuweisen. Dieselbe Referenz kann nicht gleichzeitig die Ziffern (i) und (ii) erfüllen. Durch diese Kombinationsmöglichkeiten können die Referenzanforderungen im Los IAM bereits mit 2 entsprechenden Referenzen erfüllt werden.
Nachweis: Eigenerklärung im DOKUMENT B. EIGNUNGSANGABEN UND REFE-RENZBLÄTTER

• Los 2 SSO: mindestens 3 Referenzprojekte mit vergleichbaren Leistungen:

Vergleichbarkeit liegt für Los 2 SSO vor:
(i) Der Bieter hat mindestens 1 SSO Projekt im europäischen Gesundheitswesen mit mindestens über 7.000 Identitäten umgesetzt;
(ii) der Bieter hat mindestens 1 SSO Projekt im europäischen Gesundheitswesen mit mindestens 5.000 Identitäten umgesetzt;
(iii) der Bieter hat mindestens 1 SSO-Installation (mindestens erfolgreiche POC) im europäischen Gesundheitswesen mit einer produktiven ORBIS KIS Anbin-dung mittels einer Standardschnittstelle umgesetzt
(Hinweis: Referenzangaben müssen vollständig sein, da die Auftraggeberin sich eine Prüfung der Referenz vorbehält);
(iv) der Bieter hat mindestens 1 SSO-Installation (mindestens erfolgreiche POC) im europäischen Gesundheitswesen mit einer produktiven iMedOne KIS An-bindung mittels einer Standardschnittstelle und/oder eine anderweitige Anbindung zur Integration umgesetzt
(Hinweis: Referenzangaben müssen vollständig sein, da die Auftraggeberin sich eine Prüfung der Referenz vorbehält);
(v) der Bieter hat mindestens 1 SSO-Installation (mindestens erfolgreiche POC) im europäischen Gesundheitswesen mit einer produktiven MEDICO KIS An-bindung mittels einer Standardschnittstelle und/oder eine anderweitige Anbindung zur Integration umgesetzt.
(Hinweis: Referenzangaben müssen vollständig sein, da die Auftraggeberin sich eine Prüfung der Referenz vorbehält).
Es ist möglich, mit derselben Referenz die Erfüllung der Ziffern ‎(iii), ‎(iv) und ‎(v) in Kombination mit entweder Ziffer ‎(i) oder Ziffer ‎(ii) nachzuweisen. Dieselbe Referenz kann jedoch nicht gleichzeitig die Ziffer ‎(i) und Ziffer ‎(ii) erfüllen. Durch diese Kombi-nationsmöglichkeiten können die Referenzanforderungen im Los SSO bereits mit 3 entsprechenden Referenzen erfüllt werden.
Nachweis: Eigenerklärung im DOKUMENT B. EIGNUNGSANGABEN UND REFE-RENZBLÄTTER

Genaue Informationen über Fristen für Überprüfungsverfahren

(1) Etwaige Vergabeverstöße muss der Bewerber/Bieter gemäß § 160 Abs. 3 Nr. 1 GWB innerhalb von 10 Tagen nach Kenntnisnahme rügen.
(2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, sind nach § 160 Abs. 3 Nr. 2 GWB spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Abgabe der Bewerbung oder der Angebote gegenüber dem Auftraggeber zu rügen.
(3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, sind nach § 160 Abs. 3 Nr. 3 GWB spätestens bis zum Ablauf der Frist zur Bewerbungs- oder Angebotsabgabe gegenüber dem Auftraggeber zu rügen.
(4) Ein Vergabenachprüfungsantrag ist nach § 160 Abs. 3 Nr. 4 GWB innerhalb von 15 Kalendertagen nach der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, bei der Vergabekammer einzureichen.