Rahmenvereinbarung über das AppTesting für die Bundesverwaltung

Beschreibung der Beschaffung

Abschluss von 1 Stück Rahmenvereinbarung "AppTesting für die Bundesverwaltung" einschl. wahlweiser Übernahme/Migration des bereits bestehenden AppTesting Portals, Eigen-/Weiterentwicklung und Service und Support.

Bearbeitung von App-Prüfungen nach vorgegebenen Kriterien / Anforderungen, erstellen dazu passender Prüfberichte und Bereitstellung im AppTesting Webportal.

Liste und kurze Beschreibung der Regeln und Kriterien

Der Auftragnehmer muss ein auf Grundlage der DIN EN ISO/IEC 17025
* zugelassene Prüfstelle sein und
* zertifiziertes Qualitätsmanagement unterhalten."
ODER
* ein ISO 27001-Zertifikat auf der Basis von IT-Grundschutz,
* ein ISO/IEC 27001-nativen Zertifikat einer akkreditierten Zertifizierungsstelle,
* ein ISO/IEC 20000 Zertifikat einer akkreditierten Zertifizierungsstelle,
* eine Akkreditierung nach ISO/IEC 17025 oder nach ISO/IEC 17021-1.

Reichen Sie den Nachweis über die Zulassung als Prüfstelle und eine Qualitätsmanagement-Zertifizierung nach der DIN EN ISO/IEC 17025 als Anlage zu Ihrem Angebot ein oder reichen Sie den Nachweis über eine der anderen genannten Zertifizierungen als Anlage zu Ihrem Angebot ein.

Liste und kurze Beschreibung der Regeln und Kriterien

Das Mitarbeiterprofil "Projektleiter" und mindestens zwei zu den genannten Anforderungen passende Referenzen müssen als Anlage zum Angebot eingereicht werden.

Das Mitarbeiterprofil muss mindestens folgende Angaben umfassen:
* Beruflicher Werdegang (ab dem Jahr 2017) und
* Fachliche Qualifikation unter Angabe des abgeschlossenen Studiums, Fachrichtung und Vertiefung, sowie Hochschulgrads und
* Nachweis der SÜ1-Sicherheitsüberprüfung.

Die Referenzen müssen folgende Angaben enthalten:
* Name des Projekts,
* Bezug des Projekts zum Leistungsgegenstand "Penetrationstests" und "App-Testing",
* Bennenung der geprüften Apps und
* Angabe des Auftraggebers einschl. Kontaktadresse (E-Mail und Telefon).

Die Vergabestelle behält sich vor, Referenzen stichprobenartig zu verifizieren.

Für die Projektmitarbeiter #1 und #2 muss
* ein Mitarbeiterprofil ""Projektmitarbeiter"" (#1 und #2),
* mindestens zwei zu den genannten Anforderungen passende "Referenzen",
* der Nachweis der SÜ1 Sicherheitsüberprüfung und
* ein Nachweis über die Zertifizierung als Penetrationstester als Anlage zum Angebot eingereicht werden.

Das Mitarbeiterprofil umfasst zumindest folgende Angaben:
* Beruflicher Werdegang (ab dem Jahr 2017) und
* Fachliche Qualifikation unter Angabe des abgeschlossenen Studiums, Fachrichtung und Vertiefung, sowie Hochschulgrads.

Die Referenzen müssen als Anlage zum Angebot eingereicht werden und folgende Angaben enthalten:
* Name des Projekts,
* Bennenung der geprüften Apps,
* Bezug des Projekts zum Leistungsgegenstand "Penetrationstests" und "App-Testing",
* Angabe des Auftraggebers einschl. Kontaktadresse (E-Mail und Telefon).

Die Vergabestelle behält sich vor, Referenzen stichprobenartig zu verifizieren.

Für die Projektmitarbeiter #3 und #4 müssen
* ein Mitarbeiterprofil ""Projektmitarbeiter"" (#3 und #4),
* mindestens zwei zu den genannten Anforderungen passende "Referenzen" und
* der Nachweis der SÜ1 Sicherheitsüberprüfung eingereicht werden.

Das Mitarbeiterprofil umfasst zumindest folgende Angaben:
* Beruflicher Werdegang (ab dem Jahr 2020) und
* Fachliche Qualifikation unter Angabe des abgeschlossenen Studiums, Fachrichtung und Vertiefung, sowie Hochschulgrads.

Die Referenzen müssen als Anlage zum Angebot eingereicht werden und folgende zusätzliche Angaben enthalten:
* Name des Projekts,
* Bennenung der geprüften Apps,
* Bezug des Projekts zum Leistungsgegenstand "Penetrationstests" und "App-Testing",
* Angabe des Auftraggebers einschl. Kontaktadresse (E-Mail und Telefon).

Die Vergabestelle behält sich vor, Referenzen stichprobenartig zu verifizieren.

Für die Projektmitarbeiter #5 und #6 müssen
* ein Mitarbeiterprofil "Projektmitarbeiter" (#5 und #6) und
* mindestens zwei zu den genannten Anforderungen passende "Referenzen" eingereicht werden.

Das Mitarbeiterprofil umfasst zumindest folgende Angaben:
* Beruflicher Werdegang (ab dem Jahr 2020) und
* Fachliche Qualifikation unter Angabe einer einschlägigen Ausbildung, Fachrichtung und Vertiefung, sowie Abschluss.

Die Referenzen müssen als Anlage zum Angebot eingereicht werden und folgende zusätzliche Angaben enthalten:
* Name des Projekts,
* Bennenung der geprüften Apps,
* Bezug des Projekts zum fachlichen Schwerpunkt "Pentesting" und/oder "App-Testing" und
* Angabe des Auftraggebers einschl. Kontaktadresse (E-Mail und Telefon).

Die Vergabestelle behält sich vor, Referenzen stichprobenartig zu verifizieren.

Liste und kurze Beschreibung der Regeln und Kriterien

Wie viele Mitarbeiter sind als Projekt-Kernteam für die Auftragserbringung vorgesehen? Mindestens 5 Mitarbeiter müssen für die Auftragsausführung über die gesamte Vertragslaufzeit zur Verfügung stehen.

In welche Rollen ist das Projekt-Kernteam eingeteilt? Das Projektteam muss aus einem Projektleiter und mindestens vier App-Prüfern bestehen.

Zwei qualifizierte und erfahrene "Senior" Mitarbeiter müssen für die Auftragserbringung zur Verfügung stehen.

Die Projektmitarbeiter #1 und #2 müssen
* ein einschlägiges Studium mit technischem Hintergrund (Fachbereich: Informationstechnik, Informationssicherheit, Nachrichten-/Kommunikationstechnik, Datenverarbeitung oder vergleichbare Vertiefung/Spezialisierung),
* in den letzten acht Jahren mindestens fünf Jahre Berufserfahrung (Vollzeitequivalent) im Bereich IT Security erworben haben,
* von diesen fünf Jahren (oder mehr) müssen mindestens drei Jahre (Vollzeitequivalent) im Bereich Informationssicherheit im Bereich Pentester / App-Testing absolviert worden sein,
* SÜ1 sicherheitsüberprüft nach dem SÜG sein.

Jeder Projektmitarbeiter muss als Penetrationstester zertifiziert worden sein. Folgende Zertifizierungen werden bspw. akzeptiert:
* BSI-zertifizierter Pentester
* CREST-zertifizierter Pentester (Registered Tester CRT)
* Certified Ethical Hacker (CEH)

Mit der Angebotsabgabe erklären sich die Mitarbeiter damit einverstanden, im Falle eines Zuschlags nach dem Verpflichtungsgesetz VerpflG verpflichtet zu werden.

Zwei weitere hinreichend qualifizierte und erfahrene Mitarbeiter müssen für die Auftragserbringung zur Verfügung stehen.

Die Mitarbeiter müssen
* eine einschlägige Ausbildung mit technischem Hintergrund im Fachbereich Informationstechnik, Informationssicherheit, Nachrichten-/Kommunikationstechnik, Datenverarbeitung, o.ä.
* in den letzten 5 Jahren mindestens 3 Jahre Berufserfahrung (Vollzeitequivalent) im Bereich IT Security erworben haben,
* von diesen drei Jahren (oder mehr) müssen mindestens zwei Jahre (Vollzeitequivalent) im Bereich Informationssicherheit im Bereich Pentesting / App-Testing als Projektmitarbeiter absolviert worden sein und
* SÜ1 sicherheitsüberprüft nach SÜG sein.

Mit der Angebotsabgabe erklären sich die Mitarbeiter damit einverstanden, im Falle des Zuschlags nach dem Verpflichtungsgesetz VerpflG verpflichtet zu werden.

Können kurzfristig (spätestens 4 Wochen nach der Anzeige von Lastspitzen) zwei weitere Mitarbeiter für die Auftragserbringung hinzugezogen werden? Es müssen mindestens zwei weitere Mitarbeiter kurzfristig zur Verfügung stehen und das "Projekt-Kernteam" unterstützen können.

Diese Mitarbeiter müssen
* eine einschlägige Ausbildung mit technischem Hintergrund im Fachbereich Informationstechnik, Informationssicherheit, Nachrichten-/Kommunikationstechnik, Datenverarbeitung, o.ä.
* in den letzten 3 Jahren mindestens ein Jahr Berufserfahrung (Vollzeitequivalent) im Bereich Pentesting / App-Testing als Projektmitarbeiter erworben haben,
* sich bereit erklären, im Falle eines Zuschlags nach dem SÜG SÜ1 sicherheitsüberprüfen zu lassen und
* sich bereit erklären, im Falle eines Zuschlags nach dem Verpflichtungsgesetz VerpflG verpflichten zu lassen.

Liste und kurze Beschreibung der Regeln und Kriterien

Geben Sie die Anzahl der Mitarbeiter Ihres Unternehmens im...
• Kalenderjahr 2022,
• Kalenderjahr 2023 und
• Kalenderjahr 2024 an.
Es müssen jeweils ≥ 10 Mitarbeiter über das gesamte Kalenderjahr beschäftigt gewesen sein.

Geben Sie die Anzahl der Mitarbeiter des für die Auftragserbringung in Frage kommenden Geschäftsbereichs im...
• Kalenderjahr 2022,
• Kalenderjahr 2023 und
• Kalenderjahr 2024 an.
Es müssen jeweils ≥ 7 Mitarbeiter über das gesamte Kalenderjahr beschäftigt gewesen sein.

Liste und kurze Beschreibung der Regeln und Kriterien

Es muss ein qualifizierter und erfahrener Projektleiter die Auftragsausführung begleiten und leiten.

Der Projektleiter muss
* ein einschlägiges Studium mit technischem Hintergrund (Fachbereich: Informationstechnik, Informationssicherheit, Nachrichten-/Kommunikationstechnik, Datenverarbeitung oder eine vergleichbare Vertiefung/Spezialisierung) und entsprechendem Abschluss (Master/Diplom) nachweisen,
* in den letzten acht Jahren mindestens fünf Jahre Berufserfahrung (Vollzeit) im Bereich IT Security erworben haben,
* von diesen fünf Jahren (oder mehr) müssen mindestens zwei Jahre (Vollzeit) im Bereich Pentest / App-Testing als Projektleiter absolviert worden sein,
* an mindestens sechs Penetrationstests / App-Tests in den letzten drei Jahren mitgearbeitet haben und
* SÜ1 sicherheitsüberprüft nach dem SÜG sein.

Mit der Angebotsabgabe erklärt sich der Mitarbeiter damit einverstanden, im Falle eines Zuschlags nach dem Verpflichtungsgesetz VerpflG verpflichtet zu werden.

Liste und kurze Beschreibung der Regeln und Kriterien

Die Umsetzung des BSI Grundschutzes muss durch ein ISO 27001-Zertifikat auf der Basis von IT-Grundschutz für die mit der Auftragserbringung betrauten organisatorischen Einheit nachgewiesen werden.

Reichen Sie den Nachweis über die ISO 27001 Zertifizierung als Anlage zu Ihrem Angebot ein.

Liste und kurze Beschreibung der Regeln und Kriterien

Geben Sie den Umsatz Ihres Unternehmens im...
• Kalenderjahr 2022,
• Kalenderjahr 2023 und
• Kalenderjahr 2024 an.
Der Umsatz muss jeweils ≥ 2.000.000,00€ netto gewesen sein.

Geben Sie den Umsatz des für die Auftragserbringung in Frage kommenden Geschäftsbereichs im...
• Kalenderjahr 2022,
• Kalenderjahr 2023 und
• Kalenderjahr 2024 an.
Der Umsatz muss jeweils ≥ 1.000.000,00€ netto gewesen sein.

Genaue Informationen über Fristen für Überprüfungsverfahren

Unternehmen haben einen Anspruch auf Einhaltung der bieter- und bewerberschützenden Bestimmungen über das Vergabeverfahren gegenüber dem öffentlichen Auftraggeber, Bundesrepublik Deutschland, vertreten durch das Beschaffungsamt des BMI (BeschA).

Sieht sich ein am Auftrag interessiertes Unternehmen durch Nichtbeachtung von Vergabevorschriften in seinen Rechten verletzt, ist der Verstoß innerhalb einer Frist von zehn Kalendertagen gegenüber dem BeschA zu rügen (§ 160 Abs. 3 S. 1 Nr. 1 Gesetz gegen Wettbewerbsbeschränkungen (GWB)). Verstöße, die aufgrund der Bekanntmachung oder der Vergabeunterlagen erkennbar sind, müssen spätestens bis zu der in der Bekanntmachung benannten Frist zur Bewerbung oder Angebotsabgabe gegenüber dem BeschA gerügt werden (§ 160 Abs. 3 S. 1 Nr. 2 und 3 GWB).

Teilt das BeschA dem Unternehmen mit, seiner Rüge nicht abhelfen zu wollen, so besteht die Möglichkeit, innerhalb von 15 Tagen nach Eingang der Mitteilung einen Antrag auf Nachprüfung bei der Vergabekammer zu stellen (§ 160 Abs. 3 S. 1 Nr. 4 GWB).

Bieter, deren Angebote für den Zuschlag nicht berücksichtigt werden sollen, werden vor dem Zuschlag gemäß § 134 Abs. 1 GWB darüber informiert. Ein Vertrag darf erst 15 Kalendertage nach Absendung dieser Information durch das BeschA geschlossen werden; bei Übermittlung per Fax oder auf elektronischem Wege beträgt diese Frist zehn Kalendertage. Sie beginnt am Tag nach Absendung der Information durch das BeschA.

Ein Antrag auf Nachprüfung ist schriftlich an die Vergabekammern des Bundes beim Bundeskartellamt, Kaiser-Friedrich-Straße 16, 53113 Bonn zu richten.

Hinweis: Das BeschA ist im Falle eines Nachprüfungsantrags verpflichtet, die Vergabeakten, die auch die abgegebenen Angebote enthalten, an die Vergabekammer weiterzuleiten. Die Beteiligten haben ein Recht auf Akteneinsicht. Um Betriebs- und Geschäftsgeheimnisse zu wahren, teilen Sie uns konkret mit Bezug auf die entsprechenden Dokumente des Angebotes mit, welche Informationen als Betriebs- und Geschäftsgeheimnisse zu behandeln sind.