AppSecurity-Expertentest

Zentrale Vergabestelle im Bayerischen Landesamt für Steuern

Das Landesamt für Sicherheit in der Informationstechnik (LSI) unterstützt Behörden in Bayern mit dem Dienstleistungsangebot App-Security-Check. Dabei stellt das LSI sicherheitstechnische Bewertungen gängiger Smartphone-Apps zur Verfügung. Diese Bewertungen sollen den Entscheidungsträgern als Orientierungshilfe bei der Freigabe und Nutzung von Apps für Dienstgeräte dienen. Zusätzlich zum Basisangebot eines App-Katalogs (bei dem nur mit automatisierten Verfahren geprüft wird) wird das LSI Expertenprüfungen für Apps anbieten. Diese Prüfungen werden jeweils einzeln nach Bedarf beauftragt und von qualifizierten Experten durchgeführt. Dabei werden sowohl manuelle als auch automatisierte Methoden angewendet. Der Auftragnehmer wird individuelle Expertenprüfungen einzelner Apps durchführen. Dabei untersucht ein qualifizierter Experte des Auftragnehmers die jeweilige App mit automatisierten und manuellen Verfahren und erstellt dazu einen ausführlichen Bericht. Das LSI beabsichtigt, einen Rahmenvertrag mit einem Unternehmen zu schließen, das diese Expertenprüfungen nach Vorgaben des LSI durchführen wird. Die Laufzeit der Rahmenvereinbarung beträgt 24 Monate (Grundvertragslaufzeit). Sofern die vertragliche Vereinbarung nicht spätestens drei (3) Monate vor Ablauf der Grundvertragslaufzeit (bzw. nachfolgend der jeweiligen Gesamtlaufzeit der vertraglichen Vereinbarung) durch den Auftraggeber gekündigt wird, verlängert sich die Laufzeit automatisch für die Dauer von 12 Monaten. Eine Verlängerung der Laufzeit ist höchstens dreimal möglich. Die maximale Laufzeit der vertraglichen Ver- einbarung beträgt daher insgesamt 5 (fünf) Jahre (60 Monate).

Deadline

Deadline 2026-06-19

Wer?

• Zentrale Vergabestelle im Bayerischen Landesamt für Steuern

Wie?

Wo?

• Köln › Bonn, Kreisfreie Stadt
• Mittelfranken › Nürnberg, Kreisfreie Stadt
• Oberbayern › München, Kreisfreie Stadt

Geschichte der Beschaffung

Datum	Dokument
2026-05-19	Auftragsbekanntmachung

Auftragsbekanntmachung (2026-05-19)
Objekt
Umfang der Beschaffung
Titel: AppSecurity-Expertentest
Referenznummer: 2026MSC000001
Kurze Beschreibung:

Art des Vertrags: Dienstleistungen
Produkte/Dienstleistungen: IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung 📦
Beschreibung
Interne Kennung: 3ee3b3ea-215c-402d-82eb-50970d97dd8a
Art des Vertrags: Dienstleistungen
Produkte/Dienstleistungen: IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung 📦
Zusätzliche Produkte/Dienstleistungen: Softwarepaket und Informationssysteme 📦
Postleitzahl: 90489
Stadt: Nürnberg
Land: Deutschland 🇩🇪
Ort der Leistung: Nürnberg, Kreisfreie Stadt 🏙️
Vergabekriterien
Preis ✅
Qualitätskriterium (Bezeichnung): Leistungsbewertung gemäß Kriterienkatalog
Titel
Los-Identifikationsnummer: LOT-0001
Umfang der Beschaffung
Zusätzliche Produkte/Dienstleistungen: Softwarepaket und Informationssysteme 📦

Verfahren
Art des Verfahrens
Offenes Verfahren ✅
Rechtsgrundlage: Richtlinie 2014/24/EU
Administrative Informationen
Frist für den Eingang von Angeboten oder Teilnahmeanträgen: 2026-06-19 11:00:00 📅
Sprachen, in denen Angebote oder Teilnahmeanträge eingereicht werden können: Deutsch 🗣️
Mindestzeitraum, in dem der Bieter das Angebot aufrechterhalten muss: 88 Tage
Bedingungen für die Einreichung eines Angebots
Die Bieter können mehrere Angebote einreichen
Fortgeschrittene oder qualifizierte elektronische Signatur oder Siegel (im Sinne der Verordnung (EU) Nr 910/2014) erforderlich
Sprachen, in denen Angebote oder Teilnahmeanträge eingereicht werden können: Deutsch 🗣️
Elektronische Rechnungsstellung: Erforderlich
Die elektronische Bestellung wird verwendet ✅
Elektronische Zahlung wird verwendet ✅
Frist für die Anforderung zusätzlicher Informationen: 2026-06-08 11:00:00 📅
Zusätzliche Informationen:

Gemäß § 56 Abs. 2 VgV, § 51 Abs. 2 SektVO, § 16a Abs. 1 VOB/A-EU. Mögliche Hinweise des Auftraggebers in den Vergabeunterlagen sind zu beachten.

Der Vertrag enthält Bedingungen zur Vertragsausführung ✅

Rechtliche, wirtschaftliche, finanzielle und technische Informationen
Bedingungen für die Teilnahme
Eignungskriterium: Durchschnittlicher Jahresumsatz
Liste und kurze Beschreibung der Regeln und Kriterien:

Geben Sie den durchschnittlichen Jahresumsatz (bereinigtes Netto) Ihres Unternehmens für die letzten drei abgeschlossenen Geschäftsjahre an. Im Falle einer Bietergemeinschaft sind die Umsätze zu addieren. Insoweit Ihr/e Unternehmen/Bietergemeinschaft nicht länger als drei Jahre auf dem Markt tätig ist, stellen Sie die Umsatzzahlen ab Geschäftsbeginn dar. In diesem Fall wird der durchschnittliche Jahresumsatz (bereinigtes Netto) ab Geschäftsbeginn berücksichtigt. Der durchschnittliche Jahresumsatz beträgt mindestens 500.000,00 € (netto)

Eignungskriterium: Spezifischer durchschnittlicher Jahresumsatz
Liste und kurze Beschreibung der Regeln und Kriterien:

Geben Sie den Jahresumsatz Ihres Unternehmens bezogen auf sicherheitstechnische Prüfungen für Android- und iOS-Apps für die letzten drei abgeschlossenen Geschäftsjahre an. Im Falle einer Bietergemeinschaft sind die Umsätze zu addieren. Insoweit Ihr/e Unternehmen/Bietergemeinschaft nicht länger als drei Jahre auf dem Markt tätig ist, stellen Sie die jeweiligen Umsatzzahlen ab dem Geschäftsbeginn dar. In diesem Fall wird der durchschnittliche Jahresumsatz (bereinigtes Netto) ab Geschäftsbeginn berücksichtigt. Der durchschnittliche Jahresumsatz beträgt mindestens 300.000,00 € (netto)

Eignungskriterium: Maßnahmen zur Sicherstellung der Qualität
Liste und kurze Beschreibung der Regeln und Kriterien:

Verfügt Ihr Unternehmen über mehrjährige Erfahrung in der sicherheitstechnischen Prüfung von Android- und iOS-Apps und ist damit mindestens seit dem Jahr 2023 im Markt tätig?

Seit wann ist Ihr Unternehmen mit sicherheitstechnischen Prüfungen für Android- und iOS-Apps im Markt tätig?

Verfügen Sie über qualifizierte Experten in ausreichender Zahl, sodass jederzeit mindestens zwei Prüfaufträge gleichzeitig ausgeführt werden können, bei Bedarf zeitweise auch bis zu vier Prüfaufträge gleichzeitig? Dies muss durch die Angaben zu den Kriterien 4.2 bis 4.4 nachvollziehbar dargestellt werden.

Wie viele Mitarbeiter Ihres Unternehmens sind derzeit regelmäßig im Umfang von…

… mindestens 75% der Arbeitszeit einer Vollzeitstelle unmittelbar mit sicherheitstechnischen Prüfungen für Android- und iOS-Apps beschäftigt?

… weniger als 75%, aber mindestens 50% der Arbeitszeit einer Vollzeitstelle unmittelbar mit sicherheitstechnischen Prüfungen für Android- und iOS-Apps beschäftigt?

… weniger als 50%, aber mindestens 25% der Arbeitszeit einer Vollzeitstelle unmittelbar mit sicherheitstechnischen Prüfungen für Android- und iOS-Apps beschäftigt?

Werden Sie ausschließlich Personal einsetzen, das eine Verschwiegenheitserklärung gemäß EVB-IT Dienstleistungs-AGB abgibt und sich aufgrund des Verpflichtungsgesetzes verpflichten lässt und dazu jeweils die entsprechende Anlage zum EVB-IT Dienstvertrag unterzeichnet?

Eignungskriterium: Informationssicherheit
Liste und kurze Beschreibung der Regeln und Kriterien:

Ist das ausführende Personal erforderlichenfalls bereit zu einer Sicherheitsüberprüfung nach dem BaySÜG?

Eignungskriterium: Relevante Bildungs- und Berufsqualifikationen
Liste und kurze Beschreibung der Regeln und Kriterien:

Verfügen alle Mitarbeiter, die App-Prüfungen durchführen, über einen Hochschulabschluss der Informatik, IT-Sicherheit oder eines verwandten Studiengangs, über fundierte Kenntnisse der relevanten Technologien und Bedrohungsszenarien sowie über ausreichende Erfahrung mit anerkannten Pentest-Methoden?

Der Anbieter wird die vorgesehenen Projektmitarbeiter unter Verwendung der dafür vorgesehenen Anlage zum EVB-IT Dienstvertrag benennen. Dabei wird er jeweils den vorgesehenen Tätigkeitsschwerpunkt angeben und ein Mitarbeiterprofil beifügen, aus dem insbesondere die fachliche Qualifikation und einschlägige Erfahrungen hervorgehen. Der Auftraggeber behält sich vor, geeignete Nachweise zu fordern. Der Auftraggeber kann dem Einsatz einzelner Mitarbeiter widersprechen, sofern die erforderliche fachliche Qualifikation nicht ausreichend nachgewiesen werden kann.

Eignungskriterium: Referenzen zu bestimmten Dienstleistungen
Liste und kurze Beschreibung der Regeln und Kriterien:

Geben Sie mindestens zwei nachprüfbare Referenzen an, die belegen, dass Ihr Unternehmen in Art und Leistungsumfang einen vergleichbaren Auftragsgegenstand erbracht hat, beziehungsweise gegenwärtig erbringt. Die Projektabschlüsse mit ihrem Referenzkunden dürfen nicht mehr als fünf Jahre zurückliegen. Bei jeder Referenz sind folgende Eckdaten anzugeben: i) Name und Branche des Auftraggebers ii) Kontaktdaten des Auftraggebers (hier ist die Angabe nicht personenbezogener Kontaktdaten, wie z.B. die Benennung eines Funktionspostfachs des Auftraggebers bzw. eines Ansprechpartners der den Kontakt zum Referenzkunden herstellt, ausreichend) iii) Auftragswert in EUR (gerundet auf Tausend) iv) Auftragsbeginn und -ende (jeweils Monat/Jahr) v) Vorgehensweise und eingesetzte Werkzeuge vi) Nachweise über die Qualifizierung des Testers vii) Vorgehensweise zur Durchführung der Tests Stellen Sie zudem in ihren Ausführungen möglichst Vergleiche mit dem Auftragsgegenstand an. Wichtiger Hinweis: Die Vergabestelle behält sich vor, die Aussagen beim Ansprechpartner des Referenzkunden zu verifizieren.

Ausschlussgrund: Verstoß gegen die in den rein innerstaatlichen Ausschlussgründen verankerten Verpflichtungen
Beschreibung der Ausschlussgründe: Gemäß § 123, 124 GWB, § 57, 42 Abs. 1 VgV und § 16 VOB/A

Öffentlicher Auftraggeber
Name und Adressen
Name: Zentrale Vergabestelle im Bayerischen Landesamt für Steuern
Nationale Registrierungsnummer: 8d6c15f1-ae37-4c75-83d7-ed8c858db120
Postanschrift: Sophienstraße 6
Postleitzahl: 80333
Postort: München
Region: München, Kreisfreie Stadt 🏙️
Land: Deutschland 🇩🇪
E-Mail: ausschreibung@lfst.bayern.de 📧
Telefon: +49 8999911578 📞
Fax: +49 8999911510 📠
URL: https://www.auftraege.bayern.de 🌏
Art des öffentlichen Auftraggebers
Regional- oder Kommunalbehörde
Haupttätigkeit
Allgemeine öffentliche Verwaltung
Kommunikation
Dokumente URL: https://www.evergabe.bayern.de/evergabe.bieter/api/supplier/external/deeplink/subproject/44ef5808-9f87-4c46-a0da-c5eedb16c367 🌏
Teilnahme-URL: https://www.evergabe.bayern.de/evergabe.bieter/api/supplier/external/deeplink/subproject/44ef5808-9f87-4c46-a0da-c5eedb16c367 🌏
Elektronische Einreichung: Erforderlich

Ergänzende Informationen
Zusätzliche Informationen

Die Ausschreibung ist auf dem bayerischen Vergabeportal www.auftraege.bayern.de veröffentlicht. Das Vergabeverfahren wird ausschließlich elektronisch abgewickelt. Das Nichtvorliegen von Ausschlussgründen ist durch eine Eigenerklärung zum Nichtvorliegen von schweren Verfehlungen, Tatbeständen des § 123 GWB, des Ausschlusses nach § 21 AEntG, § 19 MiLoG und § 21 SchwarzArbG, von Insolvenz-/Liquidationsverfahren und wettbewerbswidrigem Verhalten, bzw. zur Erfüllung der Verpflichtung zur Zahlung von Steuern, Abgaben und Sozialversicherungsbeiträgen zu belegen. Der Angebots- bzw. Auftragswert wird aus Datenschutzgründen nicht angezeigt (§ 39 Abs. 6 VgV). Die Fristen für die Einlegung eines Nachprüfungsantrags richten sich nach § 160 Abs. 3 GWB. Dieser lautet: (3) Der Antrag ist unzulässig, soweit 1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt, 2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden, 4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Absatz 1 Nummer 2. § 134 Absatz 1 Satz 2 bleibt unberührt.

Körper überprüfen
Name: Regierung von Oberbayern - Vergabekammer Südbayern
Nationale Registrierungsnummer: d909629c-b7ea-4afa-acf6-a8b05556708c
Postanschrift: Maximilianstr. 39
Postleitzahl: 80539
Postort: München
Region: München, Kreisfreie Stadt 🏙️
Land: Deutschland 🇩🇪
E-Mail: vergabekammer.suedbayern@reg-ob.bayern.de 📧
Telefon: +49 8921762411 📞
Fax: +49 8921762847 📠
URL: https://www.regierung.oberbayern.bayern.de/ueber_uns/zentralezustaendigkeiten/vergabekammer-suedbayern/index.html 🌏
Dienststelle, bei der Informationen über das Überprüfungsverfahren eingeholt werden können
Name: Regierung von Oberbayern - Vergabekammer Südbayern
Nationale Registrierungsnummer: d909629c-b7ea-4afa-acf6-a8b05556708c
Postanschrift: Maximilianstr. 39
Postleitzahl: 80539
Postort: München
Region: München, Kreisfreie Stadt 🏙️
Land: Deutschland 🇩🇪
E-Mail: vergabekammer.suedbayern@reg-ob.bayern.de 📧
Telefon: +49 8921762411 📞
Fax: +49 8921762847 📠
URL: https://www.regierung.oberbayern.bayern.de/ueber_uns/zentralezustaendigkeiten/vergabekammer-suedbayern/index.html 🌏
Informationen über elektronische Arbeitsabläufe
Die elektronische Rechnungsstellung wird akzeptiert
Die elektronische Bestellung wird verwendet
Elektronische Zahlung wird verwendet
Bekanntmachungsangaben
Bevorzugtes Datum der Veröffentlichung: 2026-05-19+02:00 📅
Quelle: OJS 2026/S 096-343968 (2026-05-19)

Neue Beschaffungen in verwandten Kategorien 🆕

IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung (>20 neue Beschaffungen)

Computer-Backup-Dienste und Katalogkonvertierung
Computernetze
Computerrevision und -prüfung (2)
Computerunterstützung und -beratung (4)
Datendienste (13)
Datenverarbeitungsdienste (3)
Hardwareberatung (1)
Internetdienste (7)
Softwareprogrammierung und -beratung (>20)