81295075-Beratungstätigkeit zur Informationssicherheit auf Basis ISO2700x in internationalen Projekten der GIZ

Kurze Beschreibung

Die Deutsche Gesellschaft für Internationale Zusammenarbeit (GIZ) GmbH ist eine staatliche Entwicklungszusammenarbeitsorganisation der Bundesrepublik Deutschland. Der GIZ kommt die Aufgabe der Ausführung der durch den Auftraggeber vereinbarten Technischen Zusammenarbeit zu. Die Technische Zusammenarbeit besteht vor allem aus Beratung, Finanzierungsbeiträgen, Entwicklungsleistungen, Aufbau und Förderung von Projektträgern, Bereitstellung von Ausrüstung und Material und der Erstellung von Studien und Gutachten.
Die GIZ hat zwei Unternehmenssitze in Deutschland: Einen in Bonn und einen in Eschborn bei Frankfurt am Main. Daneben hat die GIZ Repräsentanzen in Berlin und Brüssel und ist in weiteren deutschen Städten vertreten. Außerdem hat das Unternehmen etwa 90 Standorte weltweit.
Die GIZ ist als Bundesunternehmen, privat-rechtlich als GmbH organisiert; die Bundesrepublik (vertreten durch das BMZ und das BMF) ist Alleingesellschafterin. Im Gegensatz zu einigen anderen Geberländern hat sich die Bundesregierung dafür entschieden, mit der GIZ eine eigene Durchführungsorganisation für die Umsetzung von Maßnahmen der EZ/IZ vorzuhalten. Während andere Geberländer die Umsetzung von Maßnahmen zum Teil ausschreiben und durch externe Auftragnehmer umsetzen lassen, kann der Bund sich somit seiner eigenen Durchführungsorganisation bedienen. Die GIZ wird nicht institutionell gefördert. Sie wird in der Regel von der Bundesregierung sowie von anderen öffentlichen und privaten Auftraggebern in Deutschland und in aller Welt beauftragt, um Ideen für politische, gesellschaftliche und wirtschaftliche Veränderungen mit ihnen gemeinsam zu entwickeln, konkret zu planen und (international) umzusetzen. Diese Beauftragungen laufen unter dem Begriff Vorhaben und teilen sich auf in klassische bilateral finanzierte Vorhaben, Globalvorhaben, sowie Vorhaben in fragilen Kontexten und/oder komplexen Kofinanzierungen anderer Geber, in dessen Rahmen gemeinsam mit Partnern in den nationalen Regierungen weltweit sowie mit Kooperationspartnern aus Wirtschaft, Wissenschaft und Zivilgesellschaft flexibel an wirksamen Lösungen, die Menschen Perspektiven bieten und deren Lebensbedingungen dauerhaft verbessern, gearbeitet wird.
1.2 Informationssicherheit im Unternehmen - Ausgangslage der Ausschreibung
Durch die voranschreitende Digitalisierung und die stärkere Vernetzung von Informationsverbünden über das Internet, steigt auch die Bedrohungslage für diese Informationsverbünde erheblich an. Potentielle negative Auswirkungen auf die Infrastruktur in den Vorhaben der GIZ schlagen sich in Risiken für Partnerorganisationen und Zielgruppen in den Partnerländern als auch der GIZ als Unternehmen nieder. Diesen Risiken gilt es durch einen strukturierten Ansatz zur Informationssicherheit zu begegnen.
2. Aufgabenstellung für den Auftragnehmer
Gegenstand dieser Ausschreibung ist die Erbringung von Beratungsleistungen zur Informationssicherheit während der Vertragslaufzeit. Als interner Dienstleister berät das Kompetenzcenter Digital Gesellschaft verschiedene Vorhaben (Projekte im Bereich der Leistungserbringung), die mit politischen Partnern der GIZ in Partnerländern der Entwicklungszusammenarbeit durchgeführt werden. Der AN berät das Kompetenzcenter Digitale Gesellschaft (KC) oder gemeinsam mit Kolleg*innen des KC GIZ-Vorhaben zu Informationssicherheit.
Ziel der Beratungen zur Informationssicherheit ist die Verbesserung der Informationssicherheit in spezifischen Projektkonstellationen.

Beschreibung der Beschaffung

Aufgabenstellung für den Auftragnehmer
Gegenstand dieser Ausschreibung ist die Erbringung von Beratungsleistungen zur Informationssicherheit während der Vertragslaufzeit.
Als interner Dienstleister berät das Kompetenzcenter Digital Gesellschaft verschiedene Vorhaben (Projekte im Bereich der Leistungserbringung), die mit politischen Partnern der GIZ in Partnerländern der Entwicklungszusammenarbeit durchgeführt werden. Der AN berät das Kompetenzcenter Digitale Gesellschaft (KC) oder gemeinsam mit Kolleg*innen des KC GIZ-Vorhaben zu Informationssicherheit.
Ziel der Beratungen zur Informationssicherheit ist die Verbesserung der Informationssicherheit in spezifischen Projektkonstellationen. Dies erfolgt durch zwei Beratungsangebote an Projekte:
Ein sogenannter "Qualitätscheck": hierunter wird ein standardisierter Beratungsansatz verstanden. Ziel des Qualitätschecks ist es, den Informationsverbund des Projektes im Groben zu verstehen, Teile in ihren Risiken einzuschätzen und Empfehlungen für eine weitergehende Beratung innerhalb der GIZ oder über externe Dienstleister zu erteilen. Die Empfehlungen sind einer Zusammenfassung zu dokumentieren. Qualitätschecks werden als virtuelle Workshops stattfinden.
Beratungen zu spezifischen Anfragen mit Informationssicherheitsbezug aus Projekten, die von der Schutzbedarfsanalyse über Betriebskonzepte bis hin zur Beratung zu einem Informationssicherheitsmanagementsystem reichen können.
Wo möglich sollen dem AN Erkenntnisgewinne durch entsprechende Wissensdokumente zur Verfügung gestellt werden. Dies ist Gegenstand der Ausschreibung. Die Beratungsleistung wird in enger Abstimmung und Kooperation mit dem Auftraggeber GIZ, KC Digitale Gesellschaft (AG), erbracht. Der AN unterstützt den AG bei Anfragen von Vorhaben an das KC in den aufgeführten Schwerpunkten unter Position 2.1. Der AG beauftragt entsprechend und wählt aus den eingehenden Anfragen bzw. Aufgabenstellungen diejenigen individuellen Einzelfälle aus, in denen es einer Unterstützung bedarf. Zu Beginn der Zusammenarbeit erhält der AN alle Informationen im Rahmen einer Starteinweisung. Die Unterstützung des AN erfolgt auf Grundlage dieser inhaltlichen Starteinweisung.
Die genauen Bedarfe werden je Vorgang entsprechend definiert und kommuniziert. Die Koordination und Beauftragung der Arbeitspakete erfolgen immer zentral über das KC.
Zu Beginn jeder Beauftragung, außer der Qualitätschecks, wird es ein gemeinsames Meeting zur Auftragsklärung geben, in dem das Arbeitspaket zusammen mit allen vorhandenen Informationen übergeben und besprochen wird. Es werden offene Fragen geklärt und der Aufwand geschätzt. Für den Qualitätscheck gibt es eine standardisierte Vorgehensweise und einen pro Qualitätscheck definierten Aufwand für den AN.
Am Ende der Leistung steht ein Abschlussmeeting. Im Abschlussmeeting werden die Ergebnisse und die daraus abgeleiteten und zu treffenden Maßnahmen besprochen. Die gewonnenen Erkenntnisse werden dann zusammen mit einer durch den AN erstellten Dokumentation (Format mit AG abzustimmen) in das interne Wissensmanagement des AG übernommen. Die Dokumentation zur Abrechnung der erbrachten Leistung folgt in der Form den Vorgaben des AG.
Als Basis der Tätigkeit sind folgende Normen anzusehen: ISO/IEC 27001 und GIZ spezifische Leit- und Richtlinien zur Informationssicherheit.
Der AN ist für die Erbringung der folgenden Leistungen verantwortlich:
Qualitätscheck: Gestaltung und Mitwirkung an "Qualitätscheck" Workshops, Beratung zur fachlichen Einordnung, Zulieferungen zur Dokumentation, Finalisierung von Dokumentationen; Moderation von Qualitätscheck-Workshops
Beratungen zur Informationssicherheit: Schutzbedarfsanalyse des Informationsverbundes; Erweiterte Dokumentation Ist-Zustand (Bestandsaufnahme Informationsverbund); Beratung/Unterstützung bei der Erstellung von Maßnahmenkatalogen; Beratung zur Umsetzung von zu Sicherheitsmaßnahmen; Beratung/Unterstützung bei der Erstellung von Notfallkonzepten und Notfallhandbuch; Unterstützung beim Entwickeln des Sicherheitskonzepts; Erstellung bereinigter Netzpläne (Grafische Übersichten aller IT-Komponenten, Verbindungen zwischen Systemen innen und außen); Erarbeitung von Anforderungen zur Informationssicherheit für öffentliche Ausschreibungen; Prüfungen nach ISO 2700x und Dokumentation; Erstellung von Dokumentationen und Wissensdokumenten zu Beratungsinhalten und Erfahrungen
Systemchecks: Ermitteln von Schwachstellen mit Penetrationstests in Anwendungen, Webanwendungen, Webanwendungen und Informationsverbünden; Forensik nach erfolgten Angriffen/ Vorfällen; SIEM Checks in Informationsverbünden
Die Leistungen werden in enger Kooperation mit Vertretern des AN erbracht.

Beschreibung der Verlängerungen

Die Auftraggeberin behält sich optional vor, Vertragsverlängerungen auf Basis der in den Vergabeunterlagen genannten Kriterien an das in diesem Verfahren erfolgreiche Unternehmen zu vergeben; i. Ü. siehe ausführliche Leistungsbeschreibung

Liste und kurze Beschreibung der Bedingungen

1. Eigenerklärung: Name des Unternehmens und Anschrift, Steuer ID, Eintragung ins Handelsregister oder gleichwertigem Register nach den Rechtsvorschriften des Herkunftslands
2. Keine Ausschlussgründe nach § 123, § 124 GWB, § 22 LkSG
3. Erklärung der Bewerbergemeinschaft und/oder Erklärung Nachunternehmer (falls zutreffend)

Liste und kurze Beschreibung der Auswahlkriterien

1. Durchschnittlicher Jahresumsatz in den letzten drei Geschäftsjahren in EUR (Bei Ausschreibungen, die innerhalb von sechs Monaten nach dem Ende des letzten Geschäftsjahres von der GIZ veröffentlicht werden, kann das viertletzte Geschäftsjahr herangezogen werden.), mindestens: 600.000 EUR
2. Beschäftigtenzahl zum 31.12. des letzten Kalenderjahres, mindestens 8 Personen

1. Durchschnittlicher Jahresumsatz in den letzten drei Geschäftsjahren in EUR (Bei Ausschreibungen, die innerhalb von sechs Monaten nach dem Ende des letzten Geschäftsjahres von der GIZ veröffentlicht werden, kann das viertletzte Geschäftsjahr herangezogen werden.), mindestens: 600.000 EUR
2. Beschäftigtenzahl zum 31.12. des letzten Kalenderjahres, mindestens 8 Personen

Liste und kurze Beschreibung der Auswahlkriterien

1. Grundlage der fachlichen Bewertung sind nur Referenzprojekte mit einem Mindestauftragsvolumen von 100.000 EUR
2. Mindestens 3 Referenzprojekte im Fachgebiete Beratungen und Audits zur Informationssicherheit auf Basis ISO27001 in den letzten 3 Jahren.
3. Zertifizierung nach ISO 27001.

Bedingungen für die Teilnahme (technische und berufliche Fähigkeiten)

1. Grundlage der fachlichen Bewertung sind nur Referenzprojekte mit einem Mindestauftragsvolumen von 100.000 EUR
2. Mindestens 3 Referenzprojekte im Fachgebiete Beratungen und Audits zur Informationssicherheit auf Basis ISO27001 in den letzten 3 Jahren.
3. Zertifizierung nach ISO 27001.

Genaue Informationen über Fristen für Überprüfungsverfahren

Ein Nachprüfungsantrag ist gemäß § 160 Abs. 3 GWB unzulässig, soweit
1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt,
2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.
Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt.