Beschaffung einer E-Mail-Virus-Scanning-Lösung für einen Kunden in der hessischen Landesverwaltung

Beschreibung der Beschaffung

Ziel ist die Neubeschaffung einer Antivirus- Appliance-Lösung (Hardware oder Software, on premises only) für die Nutzung durch mindestens 35.000 Postfächer und die Annahme von mindestens 20.000 E-Mails am Tag sowie für die Sicherstellung von Hersteller-Subskripiton und Wartung für die Systeme sowie die anschließende Pflege der Software (Produkt-Updates, Patches, Signaturen).

Zudem soll die Beschaffung von Consulting- und Unterstützungsleistungen erfolgen, da über die vertragsgerechte Lieferung der ausgeschriebenen Komponenten hinaus auch spezifisches Consulting und Unterstützung bei der Integration in die Netz-Infrastrukturen des Landes Hessen sowie Hilfe bei schwerwiegenden technischen Problemen erforderlich ist. Diese Leistung wird bedarfsgerecht abgerufen, es besteht keine Abnahmeverpflichtung.

Zusätzlich kann die Beschaffung von Betriebsleistung für den dauerhaften Betrieb der Lösung in 24/7/365 erfolgen. Diese Leistung wird bedarfsgerecht abgerufen, es besteht keine Abnahmeverpflichtung.

Gegenstand der Leistungserbringung ist die Überlassung einer geeigneten Antiviren- Appliance (Hard- oder Software-Appliance) für E-Mail im Umfeld eines Landeskunden sowie die dazugehörigen Pflegeleistungen. Die Lösung muss On-Premises arbeiten. Die Leistung umfasst folgende Komplexe:

• Befristete Überlassung der Software (Betriebssystem/Anwendungssoftware, auch Software-Appliances)
o Bei Software-Appliances sind auch die dafür benötigten Lizenzen der Virtualisierungsumgebung zum Einsatz auf bare-metal-Servern enthalten.
• Pflege der Software
o Bereitstellung aller aktuellen Software-Patches und Updates (Hersteller-Subskription) sowie relevanter Informationen zu der Software während der Vertragslaufzeit,
o Bereitstellung aktueller Signaturdateien.
• Bei Hardware-Appliances zusätzlich
o Überlassung und Bereitstellung der Hardware in Form einer Appliance-Lösung. Für die Hardware der Appliance müssen Konformitätserklärungen gemäß der Niederspannungsrichtlinie 2014/35 EU vorliegen. Der Nachweis dazu kann entweder über die Vorlage des Dokuments oder die Vorlage einer Bestätigung des Herstellers oder des Inverkehrbringers über die Erfüllung dieser Richtlinie geführt werden. Ebenso ist die Vorlage einer Produktbeschreibung/eines Handbuchs mit einem Verweis auf die "Erstellung [der Geräte] nach dem Produktsicherheitsgesetz" oder auf die "IEC 62328-1" als Nachweis ausreichend.
o Bereitstellung der nötigen Hersteller-Subskription und Wartungsleistungen für die Systeme
• Bei Bedarf Dienstleistung für die Integration der AV-Lösung in die existierende Infrastruktur-Umgebung, die Inbetriebnahme der Lösung sowie Unterstützung bei der Übernahme der Funktionen der bisherigen Lösung inklusive der Migration des Regelwerkes der existierenden Lösung auf die neuen Systeme.
• Weiterhin verpflichtet sich der Auftragnehmer, den Auftraggeber bei produktspezifischen Problemen bzw. Support Cases zu unterstützen. Hierunter sind alle Störungen zu fassen, welche die einwandfreie Funktion und/oder die Lauffähigkeit der Software beeinträchtigen.
• Bei Bedarf Übernahme des Betriebs der Lösung (24/7/365) in der bestehenden Umgebung.

Weitere Details sind der Leistungsbeschreibung zu entnehmen.

Besonderheiten zu den Produkten der Hersteller Kaspersky und McAfee/Trellix/Check Point
Angebote, mit denen Produkte des Herstellers Kaspersky angeboten werden, werden für den Zuschlag abgelehnt.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt seit dem 15. März 2022 vor dem Einsatz von Virenschutzsoftware des russischen Herstellers Kaspersky (https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Warnungen-nach-P7_BSIG/2022/BSI_W-004-220315.pdf?__blob=publicationFile&v=12).

Gemäß § 1 Abs. 2 Nr. 4 des Hessischen Sicherheitsüberprüfungs- und Verschlussachengesetzes (HSÜVG) i.V.m. § 1 Nr. 3 der Verordnung zur Bestimmung lebenswichtiger Einrichtungen nach dem Hessischen Sicherheitsüberprüfungsgesetz (Sabotageschutzverordnung) ist im Geschäftsbereich des Hessischen Ministeriums der Finanzen die Hessische Zentrale für Datenverarbeitung zur lebenswichtigen Einrichtung mit sicherheitsempfindlichen Stellen eingeordnet worden.
Nach § 2 Abs. 4 Nr. 2 HSÜVG sind solche Einrichtungen "lebenswichtig", die "für das Funktionieren des Gemeinwesens unverzichtbar sind und deren Beeinträchtigung zu einer Gefährdung der Versorgung der Bevölkerung mit wichtigen Dingen des Lebens führen oder erhebliche Unruhe in großen Teilen der Bevölkerung und somit Gefahren für die öffentliche Sicherheit oder Ordnung entstehen lassen würde".
Daher darf sich die HZD für das Land Hessen keinem erhöhten Risiko aussetzen durch den Einsatz eines Virenschutzprodukts eines russischen Herstellers, zu dessen Produkten noch dazu eine Warnung des BSI vorliegt.

Ebenso werden Angebote abgelehnt, mit denen Produkte des Herstellers McAfee oder des Herstellers Check Point angeboten werden.

Produkte des Herstellers McAfee/Trellix dürfen nicht angeboten werden, denn zur Sicherstellung eines mehrstufigen Scanprozesses, der den Empfehlungen des BSI entspricht, muss für die Malware-Analyse an den geplanten Einsatzorten eine andere Software eingesetzt werden als auf den Endgeräten innerhalb der Landesverwaltung. Derzeit werden als landesinterne Virenschutz-Lösung die Produkte der Firma McAfee/Trellix eingesetzt. Das Land Hessen hat in seiner "Informationssicherheitsleitlinie für die Hessische Landesverwaltung" festgeschrieben, dass die Vorgaben und Empfehlungen des BSI zu berücksichtigen sind. Daraus ergibt sich, dass auch die HZD den Empfehlungen des BSI folgt und hinsichtlich der eingesetzten Virenschutzsoftware eine Multi-Vendor-Strategie verfolgt. Daher muss bei der neu zu beschaffenden Lösung ein anderes Virenschutzprodukt zu Einsatz kommen als auf den Endgeräten.

Zusätzliche Informationen

#Besonders auch geeignet für:other-sme#Die Leistungen aus der Rahmenvereinbarung können bis zu einem Höchstwert von
488.400,00 EUR (netto) bei einer maximalen Laufzeit von 48 Monaten abgerufen werden. Ist dieser Höchstwert erreicht, endet diese Rahmenvereinbarung, ohne dass es einer gesonderten Kündigung bedarf.

Zusätzliche Informationen

Fehlende, unvollständige oder fehlerhafte unternehmensbezogene Unterlagen bzw. fehlende oder unvollständige leistungsbezogene Unterlagen können zum Ausschluss des Bieters vom Vergabeverfahren führen.
Die Vergabestelle behält sich daher vor, Bieter gemäß § 56 Abs. 2 VgV aufzufordern, innerhalb einer von der Vergabestelle gesetzten angemessenen Nachfrist fehlende, unvollständige oder fehlerhafte unternehmensbezogene Unterlagen nachzureichen, zu vervollständigen oder zu korrigieren oder fehlende oder unvollständige leistungsbezogene Unterlagen nachzureichen oder zu vervollständigen. Wenn die nachzureichenden, zu vervollständigenden und/oder zu korrigierenden Unterlagen daraufhin nicht oder nicht formgerecht innerhalb der Nachfrist bei der Vergabestelle eingehen, führt dies zum Ausschluss des Angebots vom weiteren Vergabeverfahren, § 57 Abs. 1 Nr. 2 VgV. Die Nachforderung von leistungsbezogenen Unterlagen, die die Wirtschaftlichkeitsbewertung der Angebote anhand der Zuschlagskriterien betreffen, ist ausgeschlossen. Dies gilt nicht für Preisangaben, wenn es sich um unwesentliche Einzelpositionen handelt, deren Einzelpreise den Gesamtpreis nicht verändern oder die Wertungsreihenfolge und den Wettbewerb nicht beeinträchtigen (vgl. § 56 Abs. 3 VgV).

Liste und kurze Beschreibung der Regeln und Kriterien

Mindestanforderung:
Darstellung von mindestens einer geeigneten Referenz aus den letzten drei (3) Jahren (Stichtag "Ablauf der Angebotsfrist"), die nach Art und Umfang den nachfolgend aufgeführten Anforderungen entspricht.

Je nach Art der in diesem Vergabeverfahren angebotenen Leistung (gemäß Preisblatt bzw. Kriterienkatalog) ist entweder Variante 1 oder Variante 2 mit den jeweils aufgeführten Anforderungen anzugeben:

1. Wird die Lösung in diesem Vergabeverfahren als Software oder Software-Appliance angeboten, sind folgende Anforderungen zu erfüllen:
• Art: Überlassung von Antiviren-Softwarekomponenten für E-Mail und Pflege von Antiviren-Softwarekomponenten für E-Mail
• Umfang: Umfeld mit einer Anzahl von mindestens 30.000 Nutzern und Annahme von mindestens 15.000 E-Mails täglich

2. Wird die Lösung in diesem Vergabeverfahren als Hardware-Appliance angeboten, sind folgende Anforderungen zu erfüllen:
• Art: Verkauf einer Antivirus-Hardware-Appliance-Lösung sowie Wartung der Hardware und Pflege der Software
• Umfang: Umfeld mit einer Anzahl von mindestens 30.000 Nutzern und Annahme von mindestens 15.000 E-Mails täglich

(Datei "Referenzen" auf der Vergabeplattform)

In der Referenzvorlage ist abschließend die Person des Erklärenden namentlich anzugeben.

Bedingungen für die Vertragserfüllung

Verpflichtungserklärung nach dem Hessischen Vergabe- und Tariftreuegesetz (HVTG): Bieter, jedes Mitglied einer Bietergemeinschaft sowie (eignungsrelevante) Unterauftragnehmer (§ 6 HVTG) haben die erforderliche Verpflichtungserklärung zu Tariftreue und Mindestlohn nach § 4 HVTG abzugeben (Datei "Verpflichtungserklaerung_oeff_AG").

Zusätzliche Informationen

Ein Bieter kann den Nachweis seiner Eignung und des Nichtvorliegens von Ausschlussgründen ganz oder teilweise durch die Teilnahme an Präqualifikationssystemen erbringen.

Neben den in Ziffer 5.1.9 dieser EU-Bekanntmachung geforderten Unterlagen zu Beleg der Eignung haben die Bieter zusätzlich die nachfolgenden Erklärungen und Nachweise mit dem Angebot einzureichen:

(1) Eigenerklärungen zu Ausschlussgründen §§ 123, 124 GWB (Dateien "Eigenerklaerung_Par_123_GWB" und "Eigenerklaerung_Par_124_GWB"). Bei Bietergemeinschaften hat jedes Mitglied der Bietergemeinschaft die Erklärungen in der entsprechenden Form einzureichen. Bei Einsatz von (eignungsrelevanten) Unterauftragnehmern hat jeder Unterauftragnehmer die Erklärungen in der entsprechenden Form einzureichen.

(2) Eigenerklärung Artikel 5k EU-Verordnung 833/2014
Der Bieter hat die Eigenerklärung zum Artikel 5k der EU-Verordnung 833/2014 (Datei "Eigenerklaerung Artikel 5k EU-Verordnung 833-2014") ausgefüllt mit seinem Angebot einzureichen.
Bei Bietergemeinschaften hat jedes Mitglied der Bietergemeinschaft die Erklärung in der entsprechenden Form einzureichen.

(3) Erklärung Unternehmensdaten (Datei "Erklaerung_Unternehmensdaten"). Diese Erklärung dient lediglich statistischen Zwecken. Sie stellt kein Eignungskriterium dar.

(4) Verpflichtungserklärung nach dem Hessischen Vergabe- und Tariftreuegesetz (HVTG): Bieter, jedes Mitglied einer Bietergemeinschaft sowie (eignungsrelevante) Unterauftragnehmer (§ 6 HVTG) haben die erforderliche Verpflichtungserklärung zu Tariftreue und Mindestlohn nach § 4 HVTG abzugeben (Datei "Verpflichtungserklaerung_oeff_AG").

(5) Der Auftragnehmer wird personenbezogene Daten im Auftrag verarbeiten. Hierzu wird eine Vereinbarung über die Auftragsverarbeitung geschlossen (Datei "Vereinbarung_Auftragsverarbeitung "). Der Bieter füllt die mit den Vergabeunterlagen veröffentlichte Vereinbarung über die Auftragsverarbeitung an den vorgesehenen Stellen aus (gelb markiert); insbesondere fügt der Bieter die erforderlichen technisch-organisatorischen Maßnahmen seinem Angebot bei. Die Vergabestelle weist darauf hin, dass für diesen Auftrag keine besonderen Anforderungen an die technisch-organisatorischen Maßnahmen gestellt werden.

Wirtschaftlichkeitsprüfung
Es werden die folgenden Zuschlagskriterien mit der jeweiligen Gewichtung festgelegt: Preis 70%, Kriterienkatalog 30%. Die Bewertung der Angebote erfolgt durch Addition der gewichteten Punktzahlen für Preis und Leistung: Z = P x 70 % + K x 30 %
Der Bieter mit der höchsten Kennzahl Z, entsprechend der oben genannten Formel, hat, gesamt betrachtet, das für den Auftraggeber wirtschaftlichste Angebot abgegeben und erhält den Zuschlag.
Sind die ermittelten Kennzahlen zweier Angebote identisch, ist für die Vergabeentscheidung der niedrigste Angebotspreis entscheidend. Danach entscheidet das Los.

Der Preis ergibt sich aus der Gesamtsumme (brutto) aus dem Preisblatt (Datei "Preisblatt" auf der Vergabeplattform).
Die Punkteberechnung erfolgt nach der folgenden Formel:

Preispunkte von Angebot i = (Pmin/PAngebot) x Lmax

Dabei erhält der günstigste Angebotspreis die maximale Punktzahl (165).

Die Leistungspunktzahl ergibt sich aus dem Blatt "Bewertungskriterien" des Kriterienkatalogs (Datei "Kriterienkatalog" auf der Vergabeplattform). In diesem können maximal 165 Punkte erhalten werden. Diese setzen sich aus den Bewertungen der einzelnen Fragen zusammen.

Genaue Informationen über Fristen für Überprüfungsverfahren

§ 160
Einleitung, Antrag

(1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein.

(2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Absatz 6 durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht.

(3) Der Antrag ist unzulässig, soweit
1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt,
2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.

Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. 3§ 134 Absatz 1 Satz 2 bleibt unberührt.