Bereitstellung und Durchführung von regelm. automatisierten, maschinenbasierten Penetrationstests mit Angriffssimulation für in- und externe Dienste und Systeme der Verwaltung als On-Premises Lösung

Titel

Bereitstellung und Durchführung von regelm. automatisierten, maschinenbasierten Penetrationstests mit Angriffssimulation für in- und externe Dienste und Systeme der Verwaltung als On-Premises Lösung
23-0179-12-VgV

Kurze Beschreibung

Mithilfe von regelmäßigen und automatisierten Penetrationstests sollen potenzielle Schwachstellen in der IKT-Infrastruktur der Kreisverwaltung identifiziert und entsprechend gemeldet werden. Hierzu beabsichtigt der Rhein-Sieg-Kreis die Beschaffung und Einführung einer automatisierten Penetrationstest-Lösung (automatisiertes Pentesting-Tool).

Beschreibung der Beschaffung

Mithilfe von regelmäßigen und automatisierten Penetrationstests sollen potenzielle Schwachstellen in der IKT-Infrastruktur der Kreisverwaltung identifiziert und entsprechend gemeldet werden. Hierzu beabsichtigt der Rhein-Sieg-Kreis die Beschaffung und Einführung einer automatisierten Penetrationstest-Lösung (automatisiertes Pentesting-Tool).
Als Ergänzung zu anderen Maßnahmen im Rahmen der Sicherheitsanalyse soll die automatisierte Penetrationstest-Lösung, mögliche Angriffspfade in der IKT-Infrastruktur des Rhein-Sieg-Kreises aufzeigen und die Wirksamkeit der eingesetzten Sicherheitsmaßnahmen regelmäßig und kontinuierlich prüfen.
Hierzu werden sowohl interne als auch externe IKT-Systeme und Anwendungen zyklisch und maschinenbasiert nach ethischen Gesichtspunkten untersucht und imitierten Angriffen ausgesetzt. Die Tests werden hierbei an die spezifischen Sicherheitsbedürfnisse und -anforderungen des Rhein-Sieg-Kreises angepasst.
Hierbei sollen die Auswirkungen auf die Produktionssysteme der Informations- und Kommunikationstechnik minimiert - während gleichzeitig die Schwachstellen identifiziert werden.
Ein umfassendes und detailliertes Reporting der ermittelten Sicherheitsrisiken sowie Vorschläge zur Ergreifung der erforderlichen Maßnahmen helfen dem IT-Sicherheitsteam bei der Behandlung der ermittelten Risiken.
Die Einführung und der Betrieb der automatisierten Penetrationstest-Lösung ist mit ca. 300 Lizenzen/Nodes für Desktop-, Server-, Firewall- und Netzwerkumgebung als Pilotphase von 15 Monaten zu betrachten. Nach 12 Monaten erfolgt eine Prüfung, ob die gesetzten Ziele erreicht wurden und ein Rollout auf die gesamte Kreisverwaltung mit dann rund 2200 Lizenzen/Nodes als sinnvoll erachtet wird.
Die automatisierte Penetrationstest-Lösung muss entsprechend skalierbar sein.

Beschreibung der Verlängerungen

Die Software soll zunächst im Bereich des Gesundheitsamtes für einen Zeitraum von 15 Monaten im Zuge einer Pilotphase eingesetzt werden. Nach 12 Monaten soll eine Prüfung erfolgen, ob die gesetzten Ziele erreicht wurden und ggf. ein Rollout auf die gesamte Kreisverwaltung mit ca. 1.700 Beschäftigten ausgeweitet werden. Der entsprechende Vertrag soll - in diesem Fall - mit einer Kündigungsfrist von 3 Monaten unbefristet abgeschlossen werden, so dass die Trainingsplattform solange zur Verfügung steht, wie dies aus fachlicher Sicht geboten erscheint.

Liste und kurze Beschreibung der Bedingungen

Der Bieter hat das Nichtvorliegen von Ausschlusskriterien gem. §§ 123, 124 Gesetz gegen Wettbewerbsbeschränkungen (GWB) durch Eigenerklärung (Eigenerklärung Ausschlussgründe) zu erklären. Bei Bietergemeinschaften ist diese Erklärung von allen Mitgliedern abzugeben.
Auf Verlangen der Vergabestelle sind folgende Nachweise vorzulegen:
- Eignungsnachweise und Verpflichtungserklärungen für Nachunternehmer.
Bietergemeinschaften haben eine von allen Mitgliedern unterzeichnete Erklärung (Bietergemeinschaftserklärung) mit folgendem Regelungsinhalt abzugeben:
a) in der die Bildung einer Arbeitsgemeinschaft im Auftragsfall erklärt ist,
b) in der alle Mitglieder aufgeführt sind und der für die Durchführung des Vertrages bevollmächtigte Vertreter bezeichnet ist,
c) dass der bevollmächtigte Vertreter die Mitglieder gegenüber dem Auftraggeber rechtsverbindlich vertritt,
d) dass alle Mitglieder als Gesamtschuldner haften.
Die Bietergemeinschaftserklärung ist mit Abgabe des Angebots in Textform und im Laufe des weiteren Vergabeverfahrens ggf. auf Verlangen der Vergabestelle in einer durch alle Mitglieder der Bietergemeinschaft unterzeichneten Ausfertigung vorzulegen.
Eine auch auf Anforderung nicht vollständig ausgefüllte oder unterzeichnete Bietergemeinschaftserklärung führt zwingend zum Ausschluss des Angebots.
Mehrfachangebote von Einzelbietern und/oder Bietern als Mitglied einer oder mehrerer Bietergemeinschaften sind nicht zulässig und führen automatisch zum Ausschluss.
Bei Bildung einer Bietergemeinschaft wird die Verwendung des den Vergabeunterlagen beigefügten Formblattes "Bietergemeinschaftserklärung" empfohlen.

Liste und kurze Beschreibung der Auswahlkriterien

Benennung von mindestens 3 Referenzen - welche die untenstehenden Mindstanforderungen jeweils vollumfänglich erfüllen - unter Angabe des Referenzgebers, den Kontaktdaten des dort zuständigen Ansprechpartners, Anzahl der Nodes, Aufnahme des Echtbetriebs (Monat/Jahr) sowie Beifügung einer eigenständig erstellten Projektbeschreibung mit einer Darstellung der eingesetzten automatisierten Penetrationstest-Lösung (Variante, Scope, Art der Tests, etc.), dem Lizenz-, Update- und Supportmodell sowie der Projektplanung (Vorgehensweise, Zeitraum der Einführung, Ressourcenbindung beim Kunden, etc.) dar.
Referenzen, welche die vorgenannten Mindestanforderungen nicht erfüllen, werden nicht anerkannt. Der Auftraggeber wird die angegebenen Referenzen stichprobenartig überprüfen. Falsche oder fehlerhafte Angaben führen zur Nichtberücksichtigung der angegebenen Referenz. Sofern hierdurch bedingt die geforderte Mindestanzahl an Referenzen unterschritten wird, ist die projektspezifische Eignung nicht nachgewiesen. Das Angebot wird in diesem Fall von der Wertung ausgeschlossen.
Für den Nachweis der Einhaltung der Mindestanforderungen wird die Verwendung des Formblattes "Referenzen" empfohlen.
Der Auftraggeber geht davon aus, dass der Bieter die ggf. notwendigen Genehmigungen zur Weitergabe personenbezogener Daten von den Betroffenen eingeholt hat, und behält sich die Nachforderung entsprechender Erklärungen vor.
Eine Nachbesserung bereits abgegebener Erklärungen (z. B. durch den Austausch von Referenzen) ist unzulässig.

Bedingungen für die Teilnahme (technische und berufliche Fähigkeiten)

3 vergleichbare Referenzen, die jeweils folgende Mindestanforderungen erfüllen:
- Bereitstellung und Betrieb der angebotenen automatisierten Penetrationstest-Lösung im On-Premises-Betrieb
- Nutzung mit mind. 2000 Nodes
- Das Umfeld der Referenzkunden soll die Öffentliche Verwaltung sein.
- Inbetriebnahme (Echtbetrieb) ab dem 01.05.2018

Bedingungen für die Vertragserfüllung

1. Der Abschluss des Integritätsvertrags (Bestandteil der Vergabeunterlagen) ist zwingende Voraussetzung für die Auftragserteilung.
2. Eintragungen im Wettbewerbsregister und/oder im Gewerbezentralregister können zum Angebotsausschluss führen. Die Abfrage wird vom Auftraggeber veranlasst und auf den engeren Kreis der Bewerber beschränkt. Etwaige Eintragungen können zum Angebotsausschluss führen.

Es sind ausschließlich elektronische Angebote über das Vergabeportal unter Zuhilfenahme des Bietertools zugelassen. Zu diesbezüglichen Einzelheiten wird auf die Vergabeunterlagen verwiesen.
Sofern sich im Verlauf der Angebotsfrist die Notwendigkeit der Anpassung von Vergabeunterlagen ergibt, ist das jeweils aktuellste Formular zu verwenden. Über evtl. notwendige Änderungen werden die registrierten Bewerber durch Bewerberkommunikationen unterrichtet. Es wird daher empfohlen, vor Angebotsabgabe die Aktualität der hochgeladenen Dokumente zu prüfen.
Erklärungen u. Nachweise, die zwingend unter Beachtung der Maßgaben dieser Bekanntmachung mit dem Angebot abzugeben sind u. die von der Vergabestelle nicht nachgefordert werden:
- ausgefülltes und signiertes Angebotsschreiben
- ausgefülltes Preisblatt
- ausgefüllte Datei "Anforderungen_Automatisierte_Pentest-Lösung"
- Bietergemeinschaftserklärung
- Formblatt Unteraufträge
Erklärungen / Nachweise, die mit dem Angebot abzugeben sind und die ggf. unter Fristsetzung nachgefordert werden können:
- Produktinformationen /-beschreibungen über das angebotene Produkt, die Herstellfirma und/oder Anbieter (Messebroschüre) als PDF-Dokument
- Eigenerklärung "Ausschlussgründe"
- Formblatt "Referenzen"
- Eigenerklärung "Sanktionen"
Erklärungen / Nachweise, die auf Verlangen der Vergabestelle vorzulegen sind:
- Bietergemeinschaftserklärung (von allen Mitglieder der Bietergemeinschaft signiert)
- Vertraulichkeitsvereinbarung
- aktueller Nachweis einer Betriebshaftpflichtversicherung
- Eignungsnachweise und Verpflichtungserklärungen von Nachunternehmern
- unterzeichnete Ausfertigung des Integritätsvertrags
Die Nichtbeachtung dieser Vorgaben sowie die nicht fristgerechte oder unvollständige Vorlage von Erklärungen u. Nachweisen führen zwingend zum Ausschluss des Angebotes.
Es gelten die Teilnahmebedingungen des Rhein-Sieg-Kreises nach Maßgabe dieser Bekanntmachung.
Zum vorläufigen Nachweis der Eignung wird die Abgabe der Einheitlichen Europäischen Eigenerklärung akzeptiert.
Eignungsnachweise, die im Rahmen eines PQ-Verfahrens erworben wurden, sind - unter Angabe der PQ-Nummer - zugelassen. In diesem Fall sind nur die dort nicht hinterlegten Nachweise zu erbringen. Dies gilt auch für Unternehmen, die aktuell in der Bieterdatei des Rhein-Sieg-Kreises registriert sind.
Die Vergabeunterlagen werden registrierungsfrei zur Verfügung gestellt. Den Interessenten wird dennoch die Registrierung auf dem Vergabeportal empfohlen. Dies hat den Vorteil, dass diese bei Erteilung von Bewerberinformationen oder evtl. notwendigen Anpassungen der Vergabeunterlagen über das Vergabeportal in Kenntnis gesetzt und zur Einsichtnahme auf dem Vergabeportal aufgefordert werden.
Die Bereitstellung einer sog. Teststellung zur Prüfung der Realisierbarkeit (Technik/Anforderungen) und Bewertung durch Nutzende, für einen Zeitraum von mind. vier Wochen wird vorausgesetzt.
Auf Grundlage der schriftlich eingereichten Angebote wird eine Zwischenwertung durchgeführt. Die drei Bieter mit den bis dahin erzielten höchsten Zuschlagskennzahlen werden zur Testgestellung aufgefordert. Die übrigen Angebote bleiben bei der weiteren Wertung unberücksichtigt. Die Aufforderung zur kostenlosen Bereitstellung erfolgt auf Grundlage des schriftlich eingereichten Angebotes und muss nach Aufforderung durch den Rhein-Sieg-Kreis, binnen zwei Wochen erfolgen.
Der Bieter mit der höchsten Zuschlagskennzahl erhält den Zuschlag.
Die Bieterinformationen gemäß § 134 GWB erfolgen über das Vergabeportal.
Rückfragen zum Ablauf des Vergabeverfahrens, den abzugebenden Erklärungen und/oder zu den Vergabeunterlagen sind bis spätestens 19.06.2023 bevorzugt über das Vergabeportal an die Vergabestelle zu richten.
Bekanntmachungs-ID: CXPTYYBDCX5

Genaue Informationen über Fristen für Überprüfungsverfahren

Hat ein Bewerber/Bieter eine oder mehrere Rügen erhoben, der oder denen der Auftraggeber nicht abgeholfen hat, ist ein entsprechender Nachprüfungsantrag nur dann fristgerecht, wenn er vor Ablauf des 15. Kalendertags nach Eingang der Mitteilung des Auftraggebers, der oder den Rügen nicht abhelfen zu wollen, bei der oben genannten Vergabekammer eingeht. Wenn oder soweit der Nachprüfungsantrag nicht fristgerecht eingeht, ist er unzulässig.
Im Übrigen wird auf § 160 Abs. 3 GWB verwiesen.