360-Grad-Sicherheitsanalyse Authenticator

gematik GmbH

Der Gegenstand der Ausschreibung ist die Organisation und Durchführung einer 360-Grad-Sicherheitsanalyse Social Engineering eines Authenticators zur sicheren Authentifizierung für die digitalen Anwendungen im Gesundheitswesen.

Deadline

Die Frist für den Eingang der Angebote war 2025-07-28. Die Ausschreibung wurde veröffentlicht am 2025-06-25.

Wer?

• gematik GmbH

Wie?

• Softwareprogrammierung und -beratung › Dienstleistungen in Verbindung mit Software
• Softwaretests › Systemprüfung

Wo?

• Köln › Bonn, Kreisfreie Stadt

Geschichte der Beschaffung

Datum	Dokument
2025-06-25	Auftragsbekanntmachung
2025-07-28	Auftragsbekanntmachung

Auftragsbekanntmachung (2025-06-25)
Objekt
Umfang der Beschaffung
Titel: 360-Grad-Sicherheitsanalyse Authenticator
Referenznummer: 2025-0037
Kurze Beschreibung:

Art des Vertrags: Dienstleistungen
Produkte/Dienstleistungen: Systemprüfung 📦
Sonstige Beschränkungen am Erfüllungsort: Ort im Europäischen Wirtschaftsraum
Beschreibung
Interne Kennung: 2025-0037
Diese Auftragsvergabe ist auch für kleine und mittlere Unternehmen (KMU) geeignet ✅
Beschreibung der Beschaffung:

Im Rahmen ihrer Gesamtverantwortung lässt die gematik jährlich eine sogenannte 360 Grad-Sicherheitsanalyse durch externe Experten durchführen, um etwaige Schwachstellen innerhalb der TI zu ermitteln. Denn neben Angriffen auf technische Systeme stellen Angriffe mittels Social-Engineering-Methoden ein zunehmendes Risiko dar. Für das Jahr 2025/2026 ist eine Social-Engineering-Sicherheitsanalyse zur Sicherheit des Authenticators geplant. Hierzu soll versucht werden, missbräuchliche Meldungen von Krankheiten und Erregern an das Deutsche Elektronische Melde- und Informationssystem für den Infektionsschutz (DEMIS) mittels Authenticator der gematik zu übermitteln, um die Resilienz des Authentisierungs- und Meldeprozesses gegen Manipulationen zu prüfen, d. h. zu validieren, ob es formale, organisatorische und technische Sicherheitslücken gibt. Die Analyse inkl. eines durchzuführenden Workshops sowie zugehöriger Dokumentationen und Berichte sind bis 11. KW 2026 abzuschließen.

Zusätzliche Informationen: #Besonders auch geeignet für:other-sme#
Zusätzliche Produkte/Dienstleistungen: Dienstleistungen in Verbindung mit Software 📦
Hauptstandort oder Erfüllungsort:

Die Leistungen des Auftragnehmers können neben dem Haupterfüllungsort auch am Sitz des Auftragnehmers erbracht werden.

Dauer: 9 Monate
Titel
Los-Identifikationsnummer: LOT-0001

Verfahren
Art des Verfahrens
Offenes Verfahren ✅
Rechtsgrundlage: Richtlinie 2014/24/EU
Administrative Informationen
Frist für den Eingang von Angeboten oder Teilnahmeanträgen: 2025-07-28 12:00:00 📅
Bedingungen für die Öffnung der Angebote: 2025-07-28 12:00:00 📅
Sprachen, in denen Angebote oder Teilnahmeanträge eingereicht werden können: Deutsch 🗣️
Mindestzeitraum, in dem der Bieter das Angebot aufrechterhalten muss: 64 Tage
Bedingungen für die Einreichung eines Angebots
Die Bieter können mehrere Angebote einreichen
Eröffnungstermin: 2025-07-28 12:00:00 📅
Elektronische Rechnungsstellung: Erforderlich
Elektronische Zahlung wird verwendet ✅
Frist für die Anforderung zusätzlicher Informationen: 2025-07-17 23:59:59 📅
Zusätzliche Informationen:

Möglichkeit der Nachforderung und Aufklärung: Sofern Angebote unvollständig eingegangen sind, behält sich der Auftraggeber vor, fehlende, unvollständige oder fehlerhafte Unterlagen - soweit zulässig - nachzufordern. Fehlende, unvollständige oder fehlerhafte Unterlagen führen gleichwohl zum Ausschluss des Angebotes, wenn nach pflichtgemäßer Ausübung des Ermessens von einer Nachforderung abgesehen wird. Sofern Angebotspreise im Verhältnis zu der zu erbringenden Leistung ungewöhnlich niedrig erscheinen, verlangt der Auftraggeber von den betroffenen Bietern Aufklärung und die Plausibilisierung der Angebotspreise. Gleiches gilt, wenn die Angebote widersprüchliche Angaben enthalten.

Der Vertrag enthält Bedingungen zur Vertragsausführung ✅

Rechtliche, wirtschaftliche, finanzielle und technische Informationen
Bedingungen für die Teilnahme
Eignungskriterium: Eintragung in das Handelsregister
Liste und kurze Beschreibung der Regeln und Kriterien:

Handelsregisterauszug (Mit dem Angebot; Mittels Dritterklärung): Sofern eine Pflicht zur Eintragung ins Handelsregister (oder in einem vergleichbaren Register) besteht, ist ein aktueller Handelsregisterauszug (oder vergleichbarer Auszug), der nicht älter als 3 Monate ist, gerechnet ab der Abgabefrist des Verfahrens, einzureichen.

Eignungskriterium: Allgemeiner Jahresumsatz
Liste und kurze Beschreibung der Regeln und Kriterien:

Umsatz der letzten drei abgeschlossenen Geschäftsjahre (Mit dem Angebot; Mittels Eigenerklärung): Angaben zum Umsatz der letzten drei abgeschlossenen Geschäftsjahre 2022 bis 2024 Die Angaben sind im Dokument Eignungsformblatt (Anlage-04) einzutragen.

Eignungskriterium: Techniker oder technische Stellen zur Durchführung der Arbeiten
Liste und kurze Beschreibung der Regeln und Kriterien:

Erklärung über den Bestand an Mitarbeitern und Analysten (Mit dem Angebot; Mittels Eigenerklärung): Es sind Angaben über den Bestand an Mitarbeitern und Analysten in den Geschäftsjahren 2022 bis 2024 hinsichtlich der durchschnittlichen Anzahl der Beschäftigten sowie der durchschnittlichen Anzahl der Analysten zu tätigen. Mindestanforderung: Die durchschnittliche Anzahl an Analysten muss mindestens 2 Analysten in den letzten drei Geschäftsjahren 2022 bis 2024 betragen haben. Die Angaben sind im Dokument Eignungsformblatt (Anlage-04) einzutragen.

Eignungskriterium: Referenzen zu bestimmten Dienstleistungen
Liste und kurze Beschreibung der Regeln und Kriterien:

Unternehmesbezogene Referenzprojekte (Mit dem Angebot; Mittels Eigenerklärung): Es sind unternehmensbezogene Referenzprojekte für nach ihrer Art und ihrem Umfang mit der ausgeschriebenen Leistung vergleichbare Leistungen aus den letzten 3 Jahren anzugeben. Eine Referenz ist vergleichbar, wenn sie in einem vergleichbaren Umfeld (eHealth) erbracht wurden, Methoden des Social Engineerings angewendet werden und die Dokumentation der Ergebnisse im Umfang und Tiefe ähnlich ist. Ein Referenzprojekt gilt als in den letzten 3 Jahren erbracht, wenn Startzeitpunkt und Endzeitpunkt des Leistungszeitraums innerhalb der letzten drei Jahre liegen (2022 bis Ablauf der Angebotsfrist). Mindestanforderungen: - Es müssen mindestens 3 Referenzprojekte aus den letzten 3 Jahren nachgewiesen werden, die mit der ausgeschriebenen Leistung vergleichbar sind - Auftragsvolumen: Mindestauftragswert 50.000 EUR (netto) je Referenz Die Angaben sind im Dokument Eignungsformblatt (Anlage-04) einzutragen.

Sofern eine Pflicht zur Eintragung ins Handelsregister (oder in einem vergleichbaren Register) besteht, ist ein aktueller Handelsregisterauszug (oder vergleichbarer Auszug), der nicht älter als 3 Monate ist, gerechnet ab der Abgabefrist des Verfahrens, einzureichen. - Handelsregisterauszug

Es sind unternehmensbezogene Referenzprojekte für nach ihrer Art und ihrem Umfang mit der ausgeschriebenen Leistung vergleichbare Leistungen aus den letzten 3 Jahren anzugeben. Eine Referenz ist vergleichbar, wenn sie in einem vergleichbaren Umfeld (eHealth) erbracht wurden, Methoden des Social Engineerings angewendet werden und die Dokumentation der Ergebnisse im Umfang und Tiefe ähnlich ist. Ein Referenzprojekt gilt als in den letzten 3 Jahren erbracht, wenn Startzeitpunkt und Endzeitpunkt des Leistungszeitraums innerhalb der letzten drei Jahre liegen (2022 bis Ablauf der Angebotsfrist). Mindestanforderungen: - Es müssen mindestens 3 Referenzprojekte aus den letzten 3 Jahren nachgewiesen werden, die mit der ausgeschriebenen Leistung vergleichbar sind - Auftragsvolumen: Mindestauftragswert 50.000 EUR (netto) je Referenz Die Angaben sind im Dokument Eignungsformblatt (Anlage-04) einzutragen. - Unternehmensbezogene Referenzprojekte

Es sind Angaben über den Bestand an Mitarbeitern und Analysten in den Geschäftsjahren 2022 bis 2024 hinsichtlich der durchschnittlichen Anzahl der Beschäftigten sowie der durchschnittlichen Anzahl der Analysten zu tätigen. Die durchschnittliche Anzahl Analysten muss mindestens 2 Analysten betragen haben. Die Angaben sind im Dokument Eignungsformblatt (Anlage-04) einzutragen. - Erklärung über den Bestands an Mitarbeitern

Bedingungen für den Vertrag
Bedingungen für die Vertragserfüllung:

Vorliegend werden keine besonderen Bedingungen an die Ausführungen des Auftrags (Ausführungsbedingungen) im Sinne des § 128 Abs. 2 GWB festgelegt. Alle allgemeingültigen Bedingungen an die Leistungserbringung ergeben sich aus den Vergabeunterlagen (insb. Leistungsbeschreibung und Vertrag).

Bedingungen für die Teilnahme
Ausschlussgrund:

Beteiligung an einer kriminellen Vereinigung

Betrug

Der Zahlungsunfähigkeit vergleichbare Lage gemäß nationaler Rechtsvorschriften

+ 19 weitere

Direkte oder indirekte Beteiligung an der Vorbereitung des Vergabeverfahrens

Einstellung der gewerblichen Tätigkeit

Geldwäsche oder Terrorismusfinanzierung

Interessenkonflikt aufgrund seiner Teilnahme an dem Vergabeverfahren

Kinderarbeit und andere Formen des Menschenhandels

Korruption

Schwerwiegendes berufliches Fehlverhalten

Terroristische Straftaten oder Straftaten im Zusammenhang mit terroristischen Aktivitäten

Täuschung, Zurückhaltung von Informationen, Unfähigkeit zur Vorlage erforderlicher Unterlagen oder Erlangung vertraulicher Informationen zu dem Verfahren

Vereinbarungen mit anderen Wirtschaftsteilnehmern zur Verzerrung des Wettbewerbs

Verstoß gegen arbeitsrechtliche Verpflichtungen

Verstoß gegen die in den rein innerstaatlichen Ausschlussgründen verankerten Verpflichtungen

Verstoß gegen die Verpflichtung zur Entrichtung von Sozialversicherungsbeiträgen

Verstoß gegen die Verpflichtung zur Entrichtung von Steuern

Verstoß gegen sozialrechtliche Verpflichtungen

Verstoß gegen umweltrechtliche Verpflichtungen

Verwaltung der Vermögenswerte durch einen Insolvenzverwalter

Vorzeitige Beendigung, Schadensersatz oder andere vergleichbare Sanktionen

Zahlungsunfähigkeit

Beschreibung der Ausschlussgründe: gem. §§123, 124 GWB

Öffentlicher Auftraggeber
Name und Adressen
Name: gematik GmbH
Nationale Registrierungsnummer: HRB 96351
Postanschrift: Friedrichstr. 136
Postleitzahl: 10117
Postort: Berlin
Region: Berlin 🏙️
Land: Deutschland 🇩🇪
Kontaktperson: Rechtsabteilung / Vergabestelle
E-Mail: vergabestelle@gematik.de 📧
Telefon: +49 3040041-0 📞
URL: https://www.gematik.de/ 🌏
Art des öffentlichen Auftraggebers
Einrichtung des öffentlichen Rechts
Haupttätigkeit
Gesundheit
Kommunikation
Dokumente URL: https://www.dtvp.de/Satellite/notice/CXS0Y53YT4774TXC/documents 🌏
Teilnahme-URL: https://www.dtvp.de/Satellite/notice/CXS0Y53YT4774TXC 🌏
URL des Beschaffungsinstruments: https://www.dtvp.de/Satellite/notice/CXS0Y53YT4774TXC 🌏
Elektronische Einreichung: Erforderlich

Ergänzende Informationen
Zusätzliche Informationen

Bekanntmachungs-ID: CXS0Y53YT4774TXC 1) Die gematik führt dieses Vergabeverfahren nach den Vorschriften des Gesetzes gegen Wettbewerbsbeschränkungen (GWB) und der Verordnung über die Vergabe öffentlicher Aufträge (VgV) durch. 2) Eine Losaufteilung erfolgt nicht. 3) Mit dem Angebot sind sämtliche der aufgelisteten Nachweise, Erklärungen und Angaben (Unterlagen) beizubringen. Für die Erstellung und Einreichung des Angebotes sind die von der Vergabestelle auf der angegebenen Internetseite zum Download zur Verfügung gestellten Vordrucke und Formblätter zu verwenden. Die Vergabestelle behält sich vor, fehlende, formell fehlerhafte oder unvollständige Unterlagen bis zum Ablauf einer von der Vergabestelle zu bestimmenden Nachfrist nachzufordern oder aufzuklären. Die Bieter haben keinen Anspruch auf Nachforderung / Nachreichung oder Aufklärung / Erläuterung von Unterlagen. Sämtliche Unterlagen sind in elektronischer Form sowie in Textform nach § 126b BGB über die genannte Vergabeplattform einzureichen; 4) Soweit Auskünfte erforderlich werden, sind Fragen ausschließlich über die genannte Vergabeplattform einzureichen; 5) Eine Erstattung von Kosten/Aufwendungen für die Erstellung des Angebots und die Teilnahme am Vergabeverfahren findet nicht statt; 6) Die Verfahrens- und Vertragssprache ist deutsch.

Körper überprüfen
Name: Bundeskartellamt Vergabekammern des Bundes
Nationale Registrierungsnummer: 991-02380-92
Postanschrift: Kaiser-Friedrich-Straße 16
Postleitzahl: 53113
Postort: Bonn
Region: Bonn, Kreisfreie Stadt 🏙️
Land: Deutschland 🇩🇪
E-Mail: vk@bundeskartellamt.bund.de 📧
Telefon: +49 22894990 📞
Fax: +49 2289499163 📠
URL: http://www.bundeskartellamt.de 🌏
Verfahren zur Überprüfung
Genaue Informationen über Fristen für Überprüfungsverfahren:

Das Nachprüfungsverfahren ist in Kapitel 2 des 4. Teils des Gesetzes gegen Wettbewerbsbeschränkungen (GWB) geregelt. Ein Nachprüfungsverfahren wird nach § 160 GWB nur auf Antrag bei der Vergabekammer eingeleitet. Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 GWB durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschrift ein Schaden entstanden ist oder zu entstehen droht. Dieser Antrag ist unzulässig, soweit: 1) der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrages erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 GWB bleibt unberührt; 2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden; 3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden; 4) mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Dies gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrages nach § 135 Absatz 1 Nummer 2 GWB. § 134 Absatz 1 Satz 1 Satz 2 GWB bleibt unberührt. Nach § 134 GWB (Informations- und Wartepflicht) wird der Auftraggeber Bieter bzw. Bewerber über den vorgesehenen Zuschlag informieren. Der Vertrag wird erst 15 Kalendertage (bei elektronischer Übermittlung oder per Fax: 10 Kalendertage) nach Absendung dieser Information geschlossen.

Informationen über elektronische Arbeitsabläufe
Die elektronische Rechnungsstellung wird akzeptiert
Bekanntmachungsangaben
Bevorzugtes Datum der Veröffentlichung: 2025-06-25+02:00 📅
Quelle: OJS 2025/S 120-413823 (2025-06-25)

Auftragsbekanntmachung (2025-07-28)
Verfahren
Administrative Informationen
Frist für den Eingang von Angeboten oder Teilnahmeanträgen: 2025-08-11 12:00:00 📅
Bedingungen für die Öffnung der Angebote: 2025-08-11 12:00:00 📅
Mindestzeitraum, in dem der Bieter das Angebot aufrechterhalten muss: 65 Tage
Bedingungen für die Einreichung eines Angebots
Eröffnungstermin: 2025-08-11 12:00:00 📅

Rechtliche, wirtschaftliche, finanzielle und technische Informationen
Bedingungen für die Teilnahme
Liste und kurze Beschreibung der Regeln und Kriterien:

Handelsregisterauszug - Sofern eine Pflicht zur Eintragung ins Handelsregister (oder in einem vergleichbaren Register) besteht, ist ein aktueller Handelsregisterauszug (oder vergleichbarer Auszug), der nicht älter als 3 Monate ist, gerechnet ab der Abgabefrist des Verfahrens, einzureichen.

Unternehmensbezogene Referenzprojekte - Es sind unternehmensbezogene Referenzprojekte für nach ihrer Art und ihrem Umfang mit der ausgeschriebenen Leistung vergleichbare Leistungen aus den letzten 3 Jahren anzugeben. Eine Referenz ist vergleichbar, wenn sie in einem vergleichbaren Umfeld (eHealth) erbracht wurden, Methoden des Social Engineerings angewendet werden und die Dokumentation der Ergebnisse im Umfang und Tiefe ähnlich ist. Ein Referenzprojekt gilt als in den letzten 3 Jahren erbracht, wenn Startzeitpunkt und Endzeitpunkt des Leistungszeitraums innerhalb der letzten drei Jahre liegen (2022 bis Ablauf der Angebotsfrist). Mindestanforderungen: - Es müssen mindestens 3 Referenzprojekte aus den letzten 3 Jahren nachgewiesen werden, die mit der ausgeschriebenen Leistung vergleichbar sind - Auftragsvolumen: Mindestauftragswert 50.000 EUR (netto) je Referenz Die Angaben sind im Dokument Eignungsformblatt (Anlage-04) einzutragen.

Erklärung über den Bestands an Mitarbeitern - Es sind Angaben über den Bestand an Mitarbeitern und Analysten in den Geschäftsjahren 2022 bis 2024 hinsichtlich der durchschnittlichen Anzahl der Beschäftigten sowie der durchschnittlichen Anzahl der Analysten zu tätigen. Die durchschnittliche Anzahl Analysten muss mindestens 2 Analysten betragen haben. Die Angaben sind im Dokument Eignungsformblatt (Anlage-04) einzutragen.

Ergänzende Informationen
Bekanntmachungsangaben
Bevorzugtes Datum der Veröffentlichung: 2025-07-28+02:00 📅

Änderungen
Zu berichtigender Text in der ursprünglichen Bekanntmachung
Nummer des Abschnitts: PROCEDURE
Neuer Wert
Text:

Die Angebotsfrist wird vom 28.07.2025, 12:00 Uhr, auf den 11.8.2025, 12:00 Uhr, verlängert.

Zu berichtigender Text in der ursprünglichen Bekanntmachung
Änderung der Auftragsunterlagen am ✅
Datum der Änderung der Auftragsunterlagen: 2025-07-28 📅
Andere zusätzliche Informationen
Hauptgrund für die Änderung: Aktualisierte Informationen
Angaben zu Änderungen
Fassung der zu ändernden vorigen Bekanntmachung: 267777d1-dcf1-4f7f-bc2d-0a76ee98244d-01
Quelle: OJS 2025/S 143-493717 (2025-07-28)

Neue Beschaffungen in verwandten Kategorien 🆕

IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung (>20 neue Beschaffungen)

Softwareprogrammierung und -beratung (>20)

Systemdienstleistungen und Unterstützungsdienste (14)

Softwaretests (2)

Systemprüfung (1)