Neubeschaffung Switche-Wlan APs-NAC Technik

Beschreibung der Beschaffung

das Zentralinstitut für Seelische Gesundheit beabsichtigt, im Rahmen dieses Verfahrens die Vergabe an einen Bieter für die Lieferung und Implementierung von aktiven Komponenten Switche-WLAN APs NAC incl. Konzepterstellung und bittet um die Abgabe von Angeboten.
Einführung
Das Zentralinstitut für Seelische Gesundheit (ZI-Mannheim) beabsichtigt, Komponenten zu beschaffen, die den strengen Anforderungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) für kritische Infrastrukturen (KRITIS) entsprechen. Diese Anforderungen sind darauf ausgelegt, die Sicherheit und Integrität der Systeme in kritischen Infrastrukturen zu gewährleisten und damit den Schutz sensibler Daten und die Verfügbarkeit wesentlicher Funktionen zu sichern. In diesem Kapitel werden die spezifischen Anforderungen an die zu liefernden Komponenten detailliert beschrieben.
Sicherheitszertifizierungen
Die Komponenten müssen entsprechende Sicherheitszertifizierungen nachweisen, die den BSI-KRITIS-Vorgaben entsprechen. Hierzu zählen unter anderem:
• Common Criteria (CC): Komponenten sollten nach den Common Criteria für IT-Sicherheit zertifiziert sein, mindestens auf Evaluierungsstufe EAL 2 oder höher.
• BSI-IT-Grundschutz: Komponenten müssen den Anforderungen des IT-Grundschutzes entsprechen oder entsprechende Sicherheitsmaßnahmen gemäß dem BSI-Grundschutz-Standard implementieren.
Zugriffskontrolle und Authentifizierung
• Zugriffskontrollen: Die Komponenten müssen robuste Mechanismen für die Zugangskontrolle bereitstellen. Dies schließt die Unterstützung für Mehrfaktor-Authentifizierung (MFA) sowie rollenbasierte Zugriffskontrollen (RBAC) ein.
• Protokollierung und Monitoring: Jeder Zugriff auf die Komponenten muss protokolliert werden, um eine Nachverfolgbarkeit zu gewährleisten. Es müssen detaillierte Logs erstellt werden, die regelmäßig überprüft und ausgewertet werden können.
Schutz vor Malware und Cyber-Angriffen
• Antiviren- und Anti-Malware-Schutz: Die Komponenten müssen Schutzmechanismen gegen Viren, Malware und andere Bedrohungen beinhalten oder mit solchen Mechanismen kompatibel sein.
• Schwachstellenmanagement: Es muss ein kontinuierliches Schwachstellenmanagement vorhanden sein, einschließlich der regelmäßigen Aktualisierung und Patching der Systeme.



Datenintegrität und -vertraulichkeit
• Verschlüsselung: Alle sensiblen Daten müssen sowohl bei der Übertragung als auch bei der Speicherung verschlüsselt werden. Die Verschlüsselungsprotokolle müssen den aktuellen Sicherheitsstandards entsprechen (z.B. AES-256).
• Integritätsprüfungen: Die Komponenten müssen Mechanismen zur Sicherstellung der Datenintegrität bieten, um Manipulationen zu verhindern und frühzeitig zu erkennen.
Betriebskontinuität
Redundanz und Ausfallsicherheit
• Redundante Systeme: Die Komponenten müssen über Redundanzmechanismen verfügen, um Ausfälle zu vermeiden. Dies kann durch redundante Hardware, Netzwerkknoten oder Kommunikationswege erreicht werden.
• Notfallwiederherstellung: Es müssen Pläne und Verfahren zur Notfallwiederherstellung für die bereitgestellten Komponenten vorhanden sein, die eine schnelle Wiederherstellung der Funktionalität nach einem Ausfall oder einem Sicherheitsvorfall gewährleisten.
Skalierbarkeit
• Erweiterbarkeit: Die Komponenten sollten so gestaltet sein, dass sie bei Bedarf leicht erweitert werden können, um zukünftigen Anforderungen oder einem wachsenden Volumen gerecht zu werden.
Dokumentation und Schulung
• Technische Dokumentation: Eine umfassende technische Dokumentation der Komponenten muss bereitgestellt werden. Diese Dokumentation sollte Installationsanleitungen, Konfigurationshinweise und eine detaillierte Beschreibung der Sicherheitsmechanismen umfassen.
• Schulungsangebote: Der Anbieter muss Schulungen für die Administratoren und Benutzer der Komponenten anbieten, um sicherzustellen, dass diese die Sicherheitsmechanismen korrekt anwenden und mögliche Sicherheitsrisiken verstehen.
Compliance und Audits
• Auditfähigkeit: Die Komponenten müssen so konzipiert sein, dass sie regelmäßige Sicherheits- und Compliance-Audits unterstützen können. Dies beinhaltet die Bereitstellung aller erforderlichen Informationen und Protokolle für die Auditoren.
• Zertifizierungen und Compliance-Nachweise: Der Anbieter muss Nachweise erbringen, dass die Komponenten den gesetzlichen und regulatorischen Anforderungen entsprechen. Diese Nachweise können durch entsprechende Zertifizierungen und Prüfberichte erbracht werden.

Schlussfolgerung:
Die zu liefernden Komponenten für das Ausschreibungsverfahren ZI-Mannheim müssen umfassende Sicherheitsanforderungen erfüllen, die den BSI-KRITIS-Vorgaben entsprechen. Dazu gehören robuste Sicherheitsmaßnahmen, die Unterstützung von Betriebskontinuitätspläne, detaillierte Dokumentation und die Möglichkeit zur regelmäßigen Prüfung und Schulung. Nur durch die strikte Einhaltung dieser Anforderungen kann sichergestellt werden, dass die Komponenten den hohen Anforderungen an die Sicherheit und Integrität kritischer Infrastrukturen gerecht werden

Liste und kurze Beschreibung der Regeln und Kriterien

Ausführliche Darstellung von mindestens drei Referenzen des Bewerbers über die erfolgreiche Durchführung vergleichbarer Projekte aus den letzten drei Geschäftsjahren mit vergleichbaren Umfang (Redesign bzw. Austausch von Netzwerkkomponenten inkl. Switche und WLAN APs, idealerweise in einer klinischen oder hochverfügbaren Umgebung. Die entsprechenden Darstellungen müssen eine hinreichend ausführliche Beschreibung des technischen Auftragsinhalts, der Projektlaufzeiten und des zeitlichen Auftragsumfangs enthalten. Anzugeben sind zudem Adresse und Telefonnummer des Ansprechpartners bei dem jeweiligen Auftraggeber der als Referenz genannten Aufträge sowie die Rolle, die der Leistungserbringer in dem jeweiligen Auftrag eingenommen hat.
Der Auftraggeber berücksichtigt nur solche Referenzen, die im Hinblick auf Art, Inhalt und Umfang vergleichbar mit der vorliegend ausgeschriebenen Leistung sind.

Es müssen die folgenden Angaben genannt werden:
1. Leistungszeitraum: Projektlaufzeit
2. Leistungsgegenstand: Vergleichbarer inhaltlicher Leistungsumfang

Referenzen, welche die vorgenannten Mindestanforderungen nicht erfüllen, werden nicht anerkannt. Der Auftraggeber wird die angegebenen Referenzen stichprobenartig überprüfen. Falsche oder fehlerhafte Angaben führen zur Nichtberücksichtigung der angegebenen Referenz. Sofern hierdurch bedingt die geforderte Mindestanzahl an Referenzen unterschritten wird, ist die projektspezifische Eignung nicht nachgewiesen.


Das Angebot wird in diesem Fall von der Wertung ausgeschlossen.

Liste und kurze Beschreibung der Regeln und Kriterien

Eigenerklärung über den Gesamtumsatz des Unternehmens bezogen auf die letzten drei abgeschlossenen Geschäftsjahre.
Zusätzlich dazu eine Eigenerklärung über den Jahresumsatz im relevanten Geschäftsbereich (z.B. Netzwerkinfrastruktur) der letzten drei abgeschlossenen Geschäftsjahre.
Sollte ein Unternehmen erst seit weniger als drei Jahren bestehen, sind die entsprechenden Angaben für die Geschäftsjahre seit Unternehmensgründung zu machen. Es ist zudem gesondert und unter Angabe des Gründungszeitpunkts zu erklären, dass das betreffende Unternehmen seit weniger als drei Jahren besteht

Liste und kurze Beschreibung der Regeln und Kriterien

Nachweis einer Haftpflichtversicherung: Zum Zeitpunkt des Ablaufs der Frist für die Einreichung des Teilnahmeantrags darf der Nachweis nicht älter als drei Monate sein. Nachweise des Bestehens einer Haftpflichtversicherung für Umwelt-, Personen-, Sach- und Vermögensschäden in Höhe von mindestens 3,0 Mio. Euro.
Die Haftpflichtversicherung muss bei einem in der EU zugelassenen Haftpflichtversicherer oder Kreditinstitut abgeschlossen worden sein. Die Haftpflichtversicherung muss während der gesamten Vertragslaufzeit aufrechterhalten und nachgewiesen werden. Der Bieter hat zu gewährleisten, dass zur Deckung eines Schadens aus dem Vertrag Versicherungsschutz in Höhe der im Vertrag genannten Deckungssummen besteht.

Ein Versicherungsnachweis über die geforderte Firmenhaftpflichtversicherung beziehungsweise eine schriftliche Erklärung des Versicherers zur Erhöhung der Firmenhaftpflichtversicherung im Auftragsfall muss dem Angebot zwingend beigelegt werden.

Liste und kurze Beschreibung der Regeln und Kriterien

Nachweis des Eintrags ins Berufs- oder nach Maßgabe der Rechtsvorschrift des Landes, in dem der Bieter ansässig ist
(§ 122 Abs. 2 Nr. 1 GWB i.V.m. § 44 VgV). Der Auszug darf nicht älter als 12 Monate sein. Soweit der Bewerber aus rechtlichen Gründen weder im Handelsregister noch in einem anderen Berufsregister eingetragen ist, ist eine entsprechende Eigenerklärung einzureichen (vom Bieter zu erstellende Eigenerklärung).
Der Nachweis muss dem Angebot zwingend beigelegt werden.

Genaue Informationen über Fristen für Überprüfungsverfahren

(1) Etwaige Vergabeverstöße muss der Bewerber/Bieter gemäß § 160 Abs. 3 Nr. 1 GWB innerhalb von 10 Tagen nach Kenntnisnahme rügen.
(2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, sind nach § 160 Abs. 3 Nr. 2 GWB spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Abgabe der Bewerbung oder der Angebote gegenüber dem Auftraggeber zu rügen.
(3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, sind nach § 160 Abs. 3 Nr. 3 GWB spätestens bis zum Ablauf der Frist zur Bewerbungs- oder Angebotsabgabe gegenüber dem Auftraggeber zu rügen.
(4) Ein Vergabenachprüfungsantrag ist nach § 160 Abs. 3 Nr. 4 GWB innerhalb von 15 Kalendertagen nach der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, bei der Vergabekammer einzureichen.