Beschaffung einer Antiviren- und Antispam-Lösung (Bereitstellung als Software, Software-Appliance oder Hardware-Appliance) in der E-Mail-Infrastruktur am Internetübergang des Landes Hessen

Beschreibung der Beschaffung

Die Kommunikation und der Informationsaustausch mittels E-Mail mit externen Kommunikationspartnern über das Internet ist eine wesentliche Voraussetzung für die Aufgabenerfüllung der hessischen Landesverwaltung. Die HZD bietet deshalb ihren Kunden einen umfassenden, sicherheitstechnisch geschützten Zugang in das Internet. Ein entscheidender Teilbereich ist die Bereitstellung von E-Mail-Funktionalitäten.

Umfang/Volumen
a) Im Falle der Bereitstellung als Software oder Software-Appliance:
Zeitlich befristete Überlassung einer Antivirus- und einer Antispam-Software-Lösung (On-Premises) für die Nutzung durch mindestens 175.500 Benutzer und die Annahme von mindestens 150.000 E-Mails täglich sowie für die anschließende notwendige Pflege der Software (Produkt-Updates, Patches, Signaturen).
oder
b) Im Falle der Bereitstellung als Hardware-Appliance:
Verkauf einer Antivirus-/Antispam-Hardware-Appliance-Lösung (On-Premises) für die Nutzung durch mindestens 175.500 Benutzer und den Versand von mindestens 150.000 E-Mails täglich sowie für die Sicherstellung von Hersteller-Subskription und Wartung für die Systeme und für die anschließende Pflege der Software (Produkt-Updates, Patches, Signaturen).

Gegenstand der Leistungserbringung ist die Überlassung einer geeigneten Antiviren- und Antispam-Software für E-Mail oder einer geeigneten Appliance-Lösung (Hard- oder Software-Appliance) im Umfeld des Internet-Zuganges des Landes sowie die dazugehörigen Pflege-Leistungen. Diese Lösung muss On-Premises arbeiten.
Die Leistung umfasst die Komplexe:
• Überlassung der Software (auch Software-Appliances)
o Befristete Überlassung und Bereitstellung der Software
• Pflege der Software
o Bereitstellung aller aktuellen Software-Patches und -Updates (Hersteller-Subskription) und relevanter Informationen
o Bereitstellung aktueller Signaturdateien
• Bei Hardware-Appliances zusätzlich:
o Überlassung und Bereitstellung der Hardware in Form einer Appliance-Lösung
o Bereitstellung der nötigen Hersteller-Subskription und Wartungsleistungen für die Systeme
• Weiterhin verpflichtet sich der Auftragnehmer, den Auftraggeber bei produktspezifischen Problemen bzw. Support Cases zu unterstützen. Hierunter sind alle Störungen zu fassen, welche die einwandfreie Funktion und/oder die Lauffähigkeit der Software und/oder der Appliance bzw. der Hardware beeinträchtigen.
•Bei Bedarf: Abruf von Consulting- und betrieblichen Unterstützungsleistungen
o bei der Integration der Lösung in die komplexen Netzinfrastrukturen und in die existierende Umgebung des Landes Hessen,
o bei der Inbetriebnahme der Lösung (Installation, Konfiguration) sowie bei der Übernahme der Funktionen der bisherigen Lösung inklusive der Migration des Regelwerkes der existierenden Lösung auf die neuen Systeme.

Besonderheiten zu den Produkten der Hersteller Kaspersky und Trellix
Angebote, mit denen Produkte des Herstellers Kaspersky angeboten werden, werden für den Zuschlag abgelehnt. Ein Zuschlag auf solche Angebote erfolgt daher in diesem Vergabeverfahren nicht.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt seit dem 15. März 2022 vor dem Einsatz von Virenschutzsoftware des russischen Herstellers Kaspersky (https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Warnungen-nach-P7_BSIG/2022/BSI_W-004-220315.pdf?__blob=publicationFile&v=12).
In der Handlungsempfehlung wird im öffentlichen Bereich geraten:
"Unternehmen und Behörden mit besonderen Sicherheitsinteressen/Rahmenbedingungen und Einrichtungen Kritischer Infrastrukturen sind in besonderem Maß gefährdet."
Gemäß § 1 Abs. 2 Nr. 4 des Hessischen Sicherheitsüberprüfungs- und Verschlusssachengesetzes (HSÜVG) i.V.m. § 1 Nr. 3 der Verordnung zur Bestimmung lebenswichtiger Einrichtungen nach dem Hessischen Sicherheitsüberprüfungsgesetz (Sabotageschutzverordnung) ist im Geschäftsbereich des Hessischen Ministeriums der Finanzen die Hessische Zentrale für Datenverarbeitung zur lebenswichtigen Einrichtung mit sicherheitsempfindlichen Stellen eingeordnet worden.
Nach § 2 Abs. 4 Nr. 2 HSÜVG sind solche Einrichtungen "lebenswichtig", die "für das Funktionieren des Gemeinwesens unverzichtbar sind und deren Beeinträchtigung zu einer Gefährdung der Versorgung der Bevölkerung mit wichtigen Dingen des Lebens führen oder erhebliche Unruhe in großen Teilen der Bevölkerung und somit Gefahren für die öffentliche Sicherheit oder Ordnung entstehen lassen würde".

Daher darf sich die HZD für das Land Hessen keinem erhöhten Risiko durch den Einsatz eines Virenschutzprodukts eines russischen Herstellers aussetzen, zu dessen Produkten noch dazu eine Warnung des BSI vorliegt.

Ebenso werden Angebote abgelehnt, mit denen Produkte des Herstellers Trellix (ehemals McAfee) angeboten werden. Ein Zuschlag auf solche Angebote erfolgt daher in diesem Vergabeverfahren nicht.

Produkte des Herstellers Trellix dürfen ebenfalls nicht angeboten werden, denn zur Sicherstellung eines mehrstufigen Scanprozesses, der den Empfehlungen des BSI entspricht, muss für die Malware-Analyse an den geplanten Einsatzorten eine andere Software eingesetzt werden als auf den Endgeräten innerhalb der Landesverwaltung. Derzeit werden als landesinterne Virenschutz-Lösung die Produkte der Firma Trellix eingesetzt. Das Land Hessen hat in seiner "Informationssicherheitsleitlinie für die Hessische Landesverwaltung" festgeschrieben, dass die Vorgaben und Empfehlungen des BSI zu berücksichtigen sind. Daraus ergibt sich, dass auch die HZD den Empfehlungen des BSI folgt und hinsichtlich der eingesetzten Virenschutzsoftware eine Dual-Vendor-Strategie verfolgt. Daher muss bei der neu zu beschaffender Lösung ein anderes Virenschutzprodukt zu Einsatz kommen als auf den Endgeräten.

Eine detaillierte Beschreibung des Leistungsgegenstandes ist der Leistungsbeschreibung zu entnehmen.

Zusätzliche Informationen

Die Leistungen aus der Rahmenvereinbarung können bis zu einem Höchstwert von 2.470.000,00 Euro (netto) bei einer maximalen Laufzeit von vier Jahren abgerufen werden. Ist dieser Höchstwert erreicht, endet die Rahmenvereinbarung, ohne dass es einer gesonderten Kündigung bedarf.

Liste und kurze Beschreibung der Regeln und Kriterien

Darstellung von mindestens einer geeigneten Referenz aus den letzten drei (3) Jahren (Stichtag "Ablauf der Angebotsfrist"), die nach Art und Umfang den nachfolgend aufgeführten Anforderungen entspricht.

Je nach Art der angebotenen Leistung ist entweder Variante 1 oder Variante 2 mit den jeweils aufgeführten Anforderungen anzugeben:

1.Im Falle der Bereitstellung als Software oder Software-Appliance
• Art: Überlassung von Antiviren-/Antispamsoftwarekomponenten für E-Mail und Pflege von Antiviren-/Antispamsoftwarekomponenten für E-Mail
• Umfang: Umfeld mit einer Anzahl von mindestens 50.000 Nutzern und Versand von mindestens 50.000 E-Mails täglich

2.Im Falle der Bereitstellung als Hardware-Appliance
• Art: Verkauf einer Antivirus-/Antispam-Hardware-Appliance-Lösung sowie Wartung der Hardware und Pflege der Software
• Umfang: Umfeld mit einer Anzahl von mindestens 50.000 Nutzern und Versand von mindestens 50.000 E-Mails täglich

(Datei "Referenzen" auf der Vergabeplattform).

In der Referenzvorlage ist abschließend die Person des Erklärenden namentlich anzugeben.

Die Vergabestelle behält sich die Überprüfung der Referenzen bei dem Referenzauftraggeber vor. Für einen solchen Fall wird die Vergabestelle von dem Bieter die Benennung eines Ansprechpartners mit Kontaktdaten (Telefonnummer und E-Mail) nachfordern.

Bedingungen für die Vertragserfüllung

(4) Verpflichtungserklärung nach dem Hessischen Vergabe- und Tariftreuegesetz (HVTG): Bieter, jedes Mitglied einer Bietergemeinschaft sowie (eignungsrelevante) Unterauftragnehmer (§ 6 HVTG) haben die erforderliche Verpflichtungserklärung zu Tariftreue und Mindestlohn nach § 4 HVTG abzugeben (Datei "Verpflichtungserklaerung_oeff_AG").

Zusätzliche Informationen

Ein Bewerber kann den Nachweis seiner Eignung und des Nichtvorliegens von Ausschlussgründen ganz oder teilweise durch die Teilnahme an Präqualifikationssystemen erbringen.

Neben den in Ziffer 5.1.9 dieser EU-Bekanntmachung geforderten Unterlagen zu Beleg der Eignung haben die Bieter zusätzlich die nachfolgenden Erklärungen und Nachweise mit dem Angebot einzureichen:

(1) Eigenerklärungen zu Ausschlussgründen §§ 123, 124 GWB (Dateien "Eigenerklaerung_Par_123_GWB" und "Eigenerklaerung_Par_124_GWB"). Bei Bewerbergemeinschaften hat jedes Mitglied der Bewerbergemeinschaft die Erklärungen in der entsprechenden Form einzureichen. Bei Einsatz von (eignungsrelevanten) Unterauftragnehmern hat jeder Unterauftragnehmer die Erklärungen in der entsprechenden Form einzureichen.

(2) Eigenerklärung Artikel 5k EU-Verordnung 833/2014
Der Bieter hat die Eigenerklärung zum Artikel 5k der EU-Verordnung 833/2014 (Datei "Eigenerklaerung Artikel 5k EU-Verordnung 833-2014") ausgefüllt mit seinem Angebot einzureichen.
Bei Bietergemeinschaften hat jedes Mitglied der Bietergemeinschaft die Erklärung in der entsprechenden Form einzureichen.

(3) Erklärung Unternehmensdaten (Datei "Erklaerung_Unternehmensdaten"). Diese Erklärung dient lediglich statistischen Zwecken. Sie stellt kein Eignungskriterium dar.

(4) Der Auftragnehmer wird personenbezogene Daten im Auftrag verarbeiten. Hierzu wird eine Vereinbarung über die Auftragsverarbeitung geschlossen (Datei "Vereinbarung_Auftragsverarbeitung "). Der Bieter füllt die mit den Vergabeunterlagen veröffentlichte Vereinbarung über die Auftragsverarbeitung an den vorgesehenen Stellen aus (gelb markiert); insbesondere fügt der Bieter die erforderlichen technisch-organisatorischen Maßnahmen seinem Angebot bei. Die Vergabestelle weist darauf hin, dass für diesen Auftrag keine besonderen Anforderungen an die technisch-organisatorischen Maßnahmen gestellt werden.

Bei der Bewertung zur Ermittlung des wirtschaftlichsten Angebotes wird folgende Gewichtung festgelegt:
Preis 70%
Leistung 30%

Die Bewertung der Angebote erfolgt durch Addition der gewichteten Punktzahlen für Preis und Leistung. Z = P x 70 % + K x 30 %

Der Bieter mit der höchsten Kennzahl Z, entsprechend der oben genannten Formel, hat, gesamt betrachtet, das für den Auftraggeber wirtschaftlichste Angebot abgegeben und erhält den Zuschlag.
Sind die ermittelten Kennzahlen zweier Angebote identisch, ist für die Vergabeentscheidung der niedrigste Angebotspreis entscheidend. Danach entscheidet das Los.

Preis
Der Preis ergibt sich aus der Gesamtsumme (brutto) aus dem Preisblatt.
Die Punkteberechnung erfolgt nach der logarithmischen Interpolationsmethode. Dabei erhält der günstigste Angebotspreis die maximale Punktzahl (264), die Angebote mit den nächst folgenden, höheren Preisen erhalten eine entsprechend geringere Punktzahl, wobei der Angebotspreis mit dem Zweifachen des günstigsten Angebotspreises stets noch die Hälfte der maximalen Punktzahl erhält. Durch die logarithmische Interpolation erhält jeder Angebotspreis einen relativen Punktwert.

Leistung
Die Punktzahl ergibt sich aus dem Blatt "Bewertungskriterien" des Kriterienkatalogs (Datei "Kriterienkatalog" auf der Vergabeplattform). In diesem können maximal 264 Punkte erhalten werden. Diese setzen sich aus den Bewertungen der einzelnen Fragen zusammen.

Genaue Informationen über Fristen für Überprüfungsverfahren

§160 GWB
(1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein.

(2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht.

(3) Der Antrag ist unzulässig, soweit

1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt,

2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,

3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,

4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.

Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt.