DORA-konforme Rezertifizierung Firewall-Regelwerk | NBank | Öffentliches Auftragswesen in Deutschland

Datum	Dokument
2025-03-05	Auftragsbekanntmachung
2025-04-14	Auftragsbekanntmachung

Kurze Beschreibung

Im Rahmen der Einführung eines neuen Lifecycle-Management-Prozesses für Firewall-Regeln soll eine initiale Bestandsaufnahme und Rezertifizierung der bestehenden Firewall-Regeln durch einen externen Dienstleister durchgeführt wer-den. Ziel ist es, die aktuellen Regeln auf ihre Sicherheitswirksamkeit und Konformität zu überprüfen, um die Sicherheit der IT-Infrastruktur zu gewährleisten und etwaige Schwachstellen zu identifizieren. Der Auftrag umfasst folgende Leistungen: 1. Bestandsaufnahme der aktuellen Firewall-Regeln: - Erfassen aller bestehenden Regeln, inklusive ihrer Parameter (z. B. Quell-/Ziel-IPs, Protokolle, Ports, etc.). - Dokumentation der vorhandenen Regeln - Identifikation und Erfassung der verantwortlichen Stellen bzw. Verantwortliche für die einzelnen Regeln. 2. Überprüfung auf Konformität und Sicherheit: - Analyse der Regeln auf Redundanzen, veraltete oder ungenutzte Regeln. - Überprüfung der Firewall-Regeln hinsichtlich der Einhaltung geltender Sicherheitsrichtlinien (z. B. Unternehmensrichtlinien, rechtliche Anforderungen, Vorgaben des ISMS) und allgemeiner Compliance-Regeln der Finanzwirtschaft (z.B. DORA) unter Berücksichtigung des jeweils aktuellen Stands der Technik. - Bewertung der Regeln hinsichtlich möglicher Sicherheitsrisiken (z. B. unnötig offene Ports, unzureichende Beschränkungen, etc. - Überprüfung der grundsätzlichen Firewall-Einstellungen gegenüber der all-gemeinen Bedrohungslage und ggü. bekannten Schwachstellen der eingesetzten Firewall-Systeme 3. Dokumentation der Feststellungen: - Erstellung eines Abschlussberichts mit den Ergebnissen der Prüfung. - Dokumentation der Einzelüberprüfungsergebnisse aus (2) in strukturierter Form je Regel. - Empfehlung von Maßnahmen zur Optimierung und Verbesserung der Sicherheit und Effizienz der Firewalls. 4. Bearbeitungsstruktur / Umsetzung: - Die Bearbeitung der Rezertifizierung muss o toolgestützt, - Es soll ein Tool für die Rezertifizierung eingeführt werden, welches die NBank im Nachgang selbstständig weiterbetreibt. - Das Tool muss folgende Mindestanforderungen haben: - Open-Source-Lösung - Installierbar auf VMware Virtualisierungsumgebung - Zentrale Übersicht über alle Firewall-Regeln aus sämtlichen Systemen - Einheitliche Ansicht für eine dezentrale Infrastruktur - Vollständige Dokumentation und Nachverfolgung von Änderungen - Bereitstellung von Berichten zu aktuellen und historischen Regelwerken - Filterfunktionen für Systeme und andere Kriterien - Vermeidung redundanter oder überflüssiger Firewall-Regeln o strukturiert und o für Dritte nachvollziehbar umgesetzt werden. 5. Abschlusspräsentation: - Präsentation der Ergebnisse vor den zuständigen Stellen des Auftraggebers (IT-Sicherheitsverantwortliche, ISMS-Beauftragte, etc.). - Beratung zu möglichen Anpassungen oder Neuausrichtungen der Firewall-Regeln auf Grundlage der Ergebnisse. - Beratung des Kunden, wie zukünftig der Rezertifizierungsprozess als InhouseLeistung aufgebaut und durchgeführt werden kann: o Aufzeigen eines praktikablen und pragmatischen Prozesses zur Rezertifizierung im Eigenbetrieb o Möglicher Pfad zur Einführung sowohl technisch, prozessual und kaufmännisch o Möglicher Zeitplan und Ressourcenbedarf o Entwicklungspfad für den Eigenbetrieb sowie für die Überwachung ausgelagerter Services von einem Firewall as a Service bis hin zu ei-nem Full Managed Betriebskonzept

Beschreibung der Beschaffung

Der Vertrag beginnt mit Zuschlagserteilung. Der Dienstleister hat die Rezertifizierung der Firewall-Regeln bis zum 30.04.2026 abzuschließen. Eine Abstimmung der Meilensteine erfolgt mit dem Auftraggeber. Der angebotene Leistungsumfang gem. Konzept ist zwischen 110-130 Personentagen festzulegen. Anforderungen an den Dienstleister 1. Referenzen: Nachweisbare Erfahrung in der Analyse und Rezertifizierung von Firewall-Regeln im öffentlichen Sektor oder in stark regulierten Umfeldern. Dies ist in Form von Referenzen nachzuweisen (siehe Anlage 02 Bewerbungsbedingungen). 2. Mitarbeiterqualifikation: Der Dienstleister muss über qualifizierte Mitarbeiter mit Zertifizierungen im Bereich IT-Sicherheit und Netzwerksicherheit (z. B. CISSP, CISM, ISO 27001 Lead Auditor oder vergleichbar) verfügen und erklären diese für die Leistungserbringung einzusetzen. Einzelheiten zu den Mindestanforderungen ergeben sich aus 11.4.7 der Bewerbungsbedingungen. 3. Der Dienstleister benennt einen für die Auftragsdurchführung verantwortlichen Hauptansprechpartner in Form eines führenden Beraters. Der Auftraggeber behällt sich das Recht vor, im Falle von Unstimmigkeiten zu verlangen, dass die betreffenden Tätigkeiten vom führenden Berater durchgeführt werden. 4. Methoden und Tools: Der Dienstleister muss in der Lage sein, gängige Tools zur Firewall-Analyse (z. B. Firewall Analyzer, SIEM-Systeme) zu nutzen und nach Best Practices vorzugehen. Umfang Firewall-Regelwerk - circa 2500 Firewall-Regeln - Firewalls diverser Hersteller wie Cisco, Fortinet, Palo Alto Sonstiges 1. Die Arbeiten finden in enger Abstimmung mit der IT-Sicherheitsabteilung und den Netzwerkspezialisten des Auftraggebers statt. 2. Alle Ergebnisse sind in deutscher Sprache zu dokumentieren. 3. Der Dienstleister hat sich an die geltenden Datenschutzbestimmungen und Sicherheitsrichtlinien des Auftraggebers zu halten.

Zusätzliche Informationen

Die Auftraggeberin wird dem Auftragnehmer alle für eine ordnungsgemäße Durchführung der Betreuung erforderlichen Informationen und Auskünfte erteilen sowie notwendige Unterlagen unter Beachtung der datenschutzrechtlichen Bestimmungen vollständig und rechtzeitig übergeben, soweit sie der Auftraggeberin vorliegen und zur Beurteilung notwendig sind. Vergütung und Zahlungsmethoden - Die Auftragnehmerin entrichtet für die Leistungen nach diesem Vertrag an den Auftragnehmer eine Vergütung je Einsatzstunde. Berechnungsgrundlage sind die vereinbarten und auch tatsächlich erbrachten Einsatzzeiten der Grundbetreuung und der betriebsspezifischen Betreuung sowie ggf. sonstig vereinbarten Leistungen. Für Wegzeiten und sonstige Auslagen wird keine Vergütung entrichtet. - Die Einsatzzeit errechnet sich aus der tatsächlich aufgewendeten Zeit der jeweiligen Leistungserbringung (z.B. Gesundheitstag, Beratungen etc.) sowie je nach Einzelfall einen angemessenen Anteil für notwendige Vor- und Nachbereitungszeiten. Jeder Einsatz bedarf der Zustimmung der Auftraggeberin. Ohne Zustimmung erfolgt keine Vergütung. - Der Stundensatz wird bis zum Vertragsende festgeschrieben. Eine Erhöhung der Honorarsätze darf nur auf Basis des Verbraucherpreisindexes für Deutschland erfolgen, wenn sich der veröffentlichte Verbraucherpreisindex gegenüber dem für den Monat des Vertragsabschlusses veröffentlichten VPI um mind. 2 Prozent ändert. Rechnungsstellung - Der Auftragnehmer stellt monatlich eine prüffähige Rechnung über die erbrachten Leistungen aus. Die einzelnen Abrechnungspositionen werden hierbei detailliert aufgeführt. Sie weisen die im Abrechnungszeitraum jeweils erbrachten Leistungen mit Datum, Anzahl und Art der erbrachten Leistung, den Einsatzstundensatz sowie die erforderliche Mehrwertsteuer aus. - Sollten Rückfragen zur Rechnung seitens der Auftraggeberin bestehen, wendet er sich innerhalb von 14 Tagen ab Rechnungszustellung zwecks Klärung an den Auftragnehmer. Nach Klärung der Rückfragen begleicht die Auftraggeberin schnellstmöglich, spätestens jedoch innerhalb von weiteren 14 Tagen die Rechnung. - Sollten keine Rückfragen aufkommen begleicht die Auftraggeberin die Rechnung innerhalb von 14 Tagen ab Rechnungszustellung, ohne Abzug von Skonto. - Rechnungen sind als PDF-Datei an folgende Mailadresse zu senden: rechnungen@nbank.de Neben der Leistungsbeschreibung werden folgende Dokumente in folgender Reihenfolge Vertragsbestandteil: - Verpflichtungserklärung zum Datenschutz - Auftragsverarbeitungsvertrag nebst Anlage - EVB-IT Dienstvertrag mitsamt AGB - Die allgemeinen Vertragsbedingungen für die Ausführung von Leistungen VOL/B - Angebot des Auftragnehmers Durch den Bieter vorgelegte allgemeine Geschäftsbedingungen werden nicht Vertragsbestandteil.

Liste und kurze Beschreibung der Bedingungen

Befähigung / Erlaubnis zur Berufsausübung: Zum Nachweis der Befähigung und Erlaubnis zur Berufsausübung ist mit dem Angebot die Eintragung in einem Berufs- oder Handelsregister oder auf andere Weise die erlaubte Berufsausübung nachzuweisen (formlos bzw. Eigenerklärung).

Liste und kurze Beschreibung der Auswahlkriterien

Betriebs- und Berufshaftpflichtversicherung: Zum Nachweis der wirtschaftlichen und finanziellen Leistungsfähigkeit ist anzugeben und nachzuweisen, dass eine Betriebshaftpflichtversicherung mit einer Mindestdeckungssumme in Höhe von 2 Mio. EUR für Sach- bzw. Personenschäden besteht und für die Dauer des Auftrages fortbestehen wird (formlos bzw. Eigenerklärung).

Liste und kurze Beschreibung der Auswahlkriterien

Referenzen: Zum Nachweis der technischen und beruflichen Leistungsfähigkeit sind mit dem Angebot geeignete Referenzen über früher ausgeführte Liefer- und Dienstleistungsaufträge zu benennen, die inhaltlich und im Umfang mit den beschriebenen Leistungen vergleichbar sind und innerhalb der letzten drei Jahre erbracht wurden. Dabei ist der jeweilige Auftraggeber namentlich unter Nennung eines Ansprechpartners, dessen Rufnummer sowie Auftragswert und Liefer- bzw. Leistungszeit-raum zu nennen (spätestens auf Nachfrage vor Bezuschlagung). Es sind maximal fünf, aber mindestens drei Referenzaufträge zu nennen. Bitte nutzen Sie das bei-gefügte Formular (Anlage 06 der Vergabeunterlagen). Mindestanforderungen an Referenzen: - Mindestens ein abgeschlossenes Projekt bzgl. einer Rezertifizierung der bestehenden Firewall-Regeln bei einem BaFin regulierten Unternehmen im Bereich Finanzdienstleistungen - Mindestens eine Referenz muss die Thematik "Überprüfung der Firewall-Regeln hinsichtlich der Einhaltung geltender Sicherheitsrichtlinien (z. B. Unternehmensrichtlinien, rechtliche Anforderungen, Vorgaben des ISMS) und allgemeiner Compliance-Regeln der Finanzwirtschaft beinhalten

Liste und kurze Beschreibung der Auswahlkriterien

Dritte: Sofern der Einsatz von Dritten/ Subunternehmern/ Nachunternehmern/ konzernverbundenen Unternehmen vorgesehen ist, sind alle Nachweise/ Erklärungen auch von jedem dieser Partner im Bereich des vorgesehenen Einsatzes vorzulegen. Es ist ein Verzeichnis über diese eingesetzten Partner mit Angabe der Namen vorzulegen (formlos bzw. Eigenerklärung). Zum Nachweis der technischen und beruflichen Leistungsfähigkeit ist mit dem Angebot anzugeben, welche Teile des Auftrags unter Umständen als Unteraufträge vergeben werden (Anlage 08 und 08a).

Liste und kurze Beschreibung der Bedingungen

Erklärung zum Nichtvorliegen von Ausschlussgründen: Zum Nachweis des Nichtvorliegens von Ausschlussgründen ist das beigefügte Formular zu unterzeichnen und mit dem Angebot vorzulegen (Anlage 03 der Vergabeunterlagen).