Bereitstellung und Durchführung von regelm. automatisierten, maschinenbasierten Penetrationstests mit Angriffssimulation für in- und externe Dienste und Systeme der Verwaltung als On-Premises Lösung

Rhein-Sieg-Kreis

Mithilfe von regelmäßigen und automatisierten Penetrationstests sollen potenzielle Schwachstellen in der IKT-Infrastruktur der Kreisverwaltung identifiziert und entsprechend gemeldet werden. Hierzu beabsichtigt der Rhein-Sieg-Kreis die Beschaffung und Einführung einer automatisierten Penetrationstest-Lösung (automatisiertes Pentesting-Tool).

Deadline

Die Frist für den Eingang der Angebote war 2023-06-27. Die Ausschreibung wurde veröffentlicht am 2023-05-17.

Wer?

• Rhein-Sieg-Kreis

Wie?

Wo?

• Köln › Rhein-Sieg-Kreis

Geschichte der Beschaffung

Datum	Dokument
2023-05-17	Auftragsbekanntmachung
2023-06-28	Bekanntmachung über vergebene Aufträge

Auftragsbekanntmachung (2023-05-17)
Objekt
Umfang der Beschaffung
Titel: Systemprüfung
Referenznummer: 23-0179-12-VgV
Kurze Beschreibung:

Metadaten der Bekanntmachung
Originalsprache: Deutsch 🗣️
Dokumenttyp: Auftragsbekanntmachung
Art des Auftrags: Dienstleistungen
Verordnung: Europäische Union, mit GPA-Beteiligung
Gemeinsames Vokabular für öffentliche Aufträge (CPV)
Code: Systemprüfung 📦
Zusätzlicher CPV-Code: IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung 📦
Ort der Leistung
NUTS-Region: Rhein-Sieg-Kreis 🏙️

Verfahren
Verfahrensart: Offenes Verfahren
Angebotsart: Angebot für alle Lose
Vergabekriterien
Wirtschaftlichstes Angebot

Öffentlicher Auftraggeber
Identität
Land: Deutschland 🇩🇪
Art des öffentlichen Auftraggebers: Regional- oder Kommunalbehörde
Name des öffentlichen Auftraggebers: Rhein-Sieg-Kreis
Postanschrift: Kaiser-Wilhelm-Platz 1
Postleitzahl: 53721
Postort: Siegburg
Kontakt
Internetadresse: https://www.rhein-sieg-kreis.de 🌏
E-Mail: zvs@rhein-sieg-kreis.de 📧
Fax: +49 2241/13-3165 📠
URL der Dokumente: https://www.vmp-rheinland.de/VMPSatellite/notice/CXPTYYBDCX5/documents 🌏
URL der Teilnahme: https://www.vmp-rheinland.de/VMPSatellite/notice/CXPTYYBDCX5 🌏

Referenz
Daten
Absendedatum: 2023-05-17 📅
Einreichungsfrist: 2023-06-27 📅
Veröffentlichungsdatum: 2023-05-22 📅
Datum des Beginns: 2023-10-01 📅
Datum des Endes: 2024-12-31 📅
Kennungen
Bekanntmachungsnummer: 2023/S 097-305279
ABl. S-Ausgabe: 97
Zusätzliche Informationen

Es sind nur Vertreter der Vergabestelle und des Auftraggebers zur Teilnahme am Eröffnungstermin zugelassen.

Objekt
Umfang der Beschaffung
Geschätzter Gesamtwert: 330 000 EUR 💰
Kurze Beschreibung:

Als Ergänzung zu anderen Maßnahmen im Rahmen der Sicherheitsanalyse soll die automatisierte Penetrationstest-Lösung, mögliche Angriffspfade in der IKT-Infrastruktur des Rhein-Sieg-Kreises aufzeigen und die Wirksamkeit der eingesetzten Sicherheitsmaßnahmen regelmäßig und kontinuierlich prüfen.

Hierzu werden sowohl interne als auch externe IKT-Systeme und Anwendungen zyklisch und maschinenbasiert nach ethischen Gesichtspunkten untersucht und imitierten Angriffen ausgesetzt. Die Tests werden hierbei an die spezifischen Sicherheitsbedürfnisse und -anforderungen des Rhein-Sieg-Kreises angepasst.

Hierbei sollen die Auswirkungen auf die Produktionssysteme der Informations- und Kommunikationstechnik minimiert - während gleichzeitig die Schwachstellen identifiziert werden.

Ein umfassendes und detailliertes Reporting der ermittelten Sicherheitsrisiken sowie Vorschläge zur Ergreifung der erforderlichen Maßnahmen helfen dem IT-Sicherheitsteam bei der Behandlung der ermittelten Risiken.

Die Einführung und der Betrieb der automatisierten Penetrationstest-Lösung ist mit ca. 300 Lizenzen/Nodes für Desktop-, Server-, Firewall- und Netzwerkumgebung als Pilotphase von 15 Monaten zu betrachten. Nach 12 Monaten erfolgt eine Prüfung, ob die gesetzten Ziele erreicht wurden und ein Rollout auf die gesamte Kreisverwaltung mit dann rund 2200 Lizenzen/Nodes als sinnvoll erachtet wird.

Die automatisierte Penetrationstest-Lösung muss entsprechend skalierbar sein.

Beschreibung der Verlängerungen:

Die Software soll zunächst im Bereich des Gesundheitsamtes für einen Zeitraum von 15 Monaten im Zuge einer Pilotphase eingesetzt werden. Nach 12 Monaten soll eine Prüfung erfolgen, ob die gesetzten Ziele erreicht wurden und ggf. ein Rollout auf die gesamte Kreisverwaltung mit ca. 1.700 Beschäftigten ausgeweitet werden. Der entsprechende Vertrag soll - in diesem Fall - mit einer Kündigungsfrist von 3 Monaten unbefristet abgeschlossen werden, so dass die Trainingsplattform solange zur Verfügung steht, wie dies aus fachlicher Sicht geboten erscheint.

Beschreibung der Optionen:

Aufstockung des Notes-/Lizenzvolumens von 300 Stück auf 1.700 Stück nach erfolgreichem Verlauf der Pilotphase.

Ort der Leistung
Hauptstandort oder Erfüllungsort: Rhein-Sieg-Kreis Kaiser-Wilhelm-Platz 1 53721 Siegburg

Rechtliche, wirtschaftliche, finanzielle und technische Informationen
Bedingungen für die Teilnahme
Befähigung zur Berufsausübung:

Der Bieter hat das Nichtvorliegen von Ausschlusskriterien gem. §§ 123, 124 Gesetz gegen Wettbewerbsbeschränkungen (GWB) durch Eigenerklärung (Eigenerklärung Ausschlussgründe) zu erklären. Bei Bietergemeinschaften ist diese Erklärung von allen Mitgliedern abzugeben.

Auf Verlangen der Vergabestelle sind folgende Nachweise vorzulegen:

- Eignungsnachweise und Verpflichtungserklärungen für Nachunternehmer.

Bietergemeinschaften haben eine von allen Mitgliedern unterzeichnete Erklärung (Bietergemeinschaftserklärung) mit folgendem Regelungsinhalt abzugeben:

a) in der die Bildung einer Arbeitsgemeinschaft im Auftragsfall erklärt ist,

b) in der alle Mitglieder aufgeführt sind und der für die Durchführung des Vertrages bevollmächtigte Vertreter bezeichnet ist,

c) dass der bevollmächtigte Vertreter die Mitglieder gegenüber dem Auftraggeber rechtsverbindlich vertritt,

d) dass alle Mitglieder als Gesamtschuldner haften.

Die Bietergemeinschaftserklärung ist mit Abgabe des Angebots in Textform und im Laufe des weiteren Vergabeverfahrens ggf. auf Verlangen der Vergabestelle in einer durch alle Mitglieder der Bietergemeinschaft unterzeichneten Ausfertigung vorzulegen.

Eine auch auf Anforderung nicht vollständig ausgefüllte oder unterzeichnete Bietergemeinschaftserklärung führt zwingend zum Ausschluss des Angebots.

Mehrfachangebote von Einzelbietern und/oder Bietern als Mitglied einer oder mehrerer Bietergemeinschaften sind nicht zulässig und führen automatisch zum Ausschluss.

Bei Bildung einer Bietergemeinschaft wird die Verwendung des den Vergabeunterlagen beigefügten Formblattes "Bietergemeinschaftserklärung" empfohlen.

Wirtschaftliche und finanzielle Leistungsfähigkeit:

Nachweis einer aktuellen Betriebshaftpflichtversicherung (Bei Bietergemeinschaften ist dieser Nachweis von allen Mitgliedern der Bietergemeinschaft abzugeben).

Technische und berufliche Fähigkeiten:

Benennung von mindestens 3 Referenzen - welche die untenstehenden Mindstanforderungen jeweils vollumfänglich erfüllen - unter Angabe des Referenzgebers, den Kontaktdaten des dort zuständigen Ansprechpartners, Anzahl der Nodes, Aufnahme des Echtbetriebs (Monat/Jahr) sowie Beifügung einer eigenständig erstellten Projektbeschreibung mit einer Darstellung der eingesetzten automatisierten Penetrationstest-Lösung (Variante, Scope, Art der Tests, etc.), dem Lizenz-, Update- und Supportmodell sowie der Projektplanung (Vorgehensweise, Zeitraum der Einführung, Ressourcenbindung beim Kunden, etc.) dar.

Referenzen, welche die vorgenannten Mindestanforderungen nicht erfüllen, werden nicht anerkannt. Der Auftraggeber wird die angegebenen Referenzen stichprobenartig überprüfen. Falsche oder fehlerhafte Angaben führen zur Nichtberücksichtigung der angegebenen Referenz. Sofern hierdurch bedingt die geforderte Mindestanzahl an Referenzen unterschritten wird, ist die projektspezifische Eignung nicht nachgewiesen. Das Angebot wird in diesem Fall von der Wertung ausgeschlossen.

Für den Nachweis der Einhaltung der Mindestanforderungen wird die Verwendung des Formblattes "Referenzen" empfohlen.

Der Auftraggeber geht davon aus, dass der Bieter die ggf. notwendigen Genehmigungen zur Weitergabe personenbezogener Daten von den Betroffenen eingeholt hat, und behält sich die Nachforderung entsprechender Erklärungen vor.

Eine Nachbesserung bereits abgegebener Erklärungen (z. B. durch den Austausch von Referenzen) ist unzulässig.

Mindeststandards:

3 vergleichbare Referenzen, die jeweils folgende Mindestanforderungen erfüllen:

- Bereitstellung und Betrieb der angebotenen automatisierten Penetrationstest-Lösung im On-Premises-Betrieb

- Nutzung mit mind. 2000 Nodes

- Das Umfeld der Referenzkunden soll die Öffentliche Verwaltung sein.

- Inbetriebnahme (Echtbetrieb) ab dem 01.05.2018

Auftragsausführung
Bedingungen für die Vertragserfüllung:

1. Der Abschluss des Integritätsvertrags (Bestandteil der Vergabeunterlagen) ist zwingende Voraussetzung für die Auftragserteilung.

2. Eintragungen im Wettbewerbsregister und/oder im Gewerbezentralregister können zum Angebotsausschluss führen. Die Abfrage wird vom Auftraggeber veranlasst und auf den engeren Kreis der Bewerber beschränkt. Etwaige Eintragungen können zum Angebotsausschluss führen.

Verfahren
Rechtsgrundlage: 32014L0024
Zeitpunkt des Eingangs der Angebote: 11:00
Sprachen, in denen Angebote oder Teilnahmeanträge eingereicht werden können: Deutsch 🗣️
Gültigkeitsdauer des Angebots: 2023-09-01 📅
Datum der Angebotseröffnung: 2023-06-27 📅
Zeitpunkt der Angebotseröffnung: 11:00
Zusätzliche Informationen:

Es sind nur Vertreter der Vergabestelle und des Auftraggebers zur Teilnahme am Eröffnungstermin zugelassen.

Öffentlicher Auftraggeber
Kontakt
Adresse des Käuferprofils: https://www.rhein-sieg-kreis.de/verwaltung-politik/verwaltung/Oeffentliche_Ausschreibungen/index.php 🌏
Dokumente URL: https://www.vmp-rheinland.de/VMPSatellite/notice/CXPTYYBDCX5/documents 🌏

Referenz
Zusätzliche Informationen

Es sind ausschließlich elektronische Angebote über das Vergabeportal unter Zuhilfenahme des Bietertools zugelassen. Zu diesbezüglichen Einzelheiten wird auf die Vergabeunterlagen verwiesen.

Sofern sich im Verlauf der Angebotsfrist die Notwendigkeit der Anpassung von Vergabeunterlagen ergibt, ist das jeweils aktuellste Formular zu verwenden. Über evtl. notwendige Änderungen werden die registrierten Bewerber durch Bewerberkommunikationen unterrichtet. Es wird daher empfohlen, vor Angebotsabgabe die Aktualität der hochgeladenen Dokumente zu prüfen.

Erklärungen u. Nachweise, die zwingend unter Beachtung der Maßgaben dieser Bekanntmachung mit dem Angebot abzugeben sind u. die von der Vergabestelle nicht nachgefordert werden:

- ausgefülltes und signiertes Angebotsschreiben

- ausgefülltes Preisblatt

- ausgefüllte Datei "Anforderungen_Automatisierte_Pentest-Lösung"

- Bietergemeinschaftserklärung

- Formblatt Unteraufträge

Erklärungen / Nachweise, die mit dem Angebot abzugeben sind und die ggf. unter Fristsetzung nachgefordert werden können:

- Produktinformationen /-beschreibungen über das angebotene Produkt, die Herstellfirma und/oder Anbieter (Messebroschüre) als PDF-Dokument

- Eigenerklärung "Ausschlussgründe"

- Formblatt "Referenzen"

- Eigenerklärung "Sanktionen"

Erklärungen / Nachweise, die auf Verlangen der Vergabestelle vorzulegen sind:

- Bietergemeinschaftserklärung (von allen Mitglieder der Bietergemeinschaft signiert)

- Vertraulichkeitsvereinbarung

- aktueller Nachweis einer Betriebshaftpflichtversicherung

- Eignungsnachweise und Verpflichtungserklärungen von Nachunternehmern

- unterzeichnete Ausfertigung des Integritätsvertrags

Die Nichtbeachtung dieser Vorgaben sowie die nicht fristgerechte oder unvollständige Vorlage von Erklärungen u. Nachweisen führen zwingend zum Ausschluss des Angebotes.

Es gelten die Teilnahmebedingungen des Rhein-Sieg-Kreises nach Maßgabe dieser Bekanntmachung.

Zum vorläufigen Nachweis der Eignung wird die Abgabe der Einheitlichen Europäischen Eigenerklärung akzeptiert.

Eignungsnachweise, die im Rahmen eines PQ-Verfahrens erworben wurden, sind - unter Angabe der PQ-Nummer - zugelassen. In diesem Fall sind nur die dort nicht hinterlegten Nachweise zu erbringen. Dies gilt auch für Unternehmen, die aktuell in der Bieterdatei des Rhein-Sieg-Kreises registriert sind.

Die Vergabeunterlagen werden registrierungsfrei zur Verfügung gestellt. Den Interessenten wird dennoch die Registrierung auf dem Vergabeportal empfohlen. Dies hat den Vorteil, dass diese bei Erteilung von Bewerberinformationen oder evtl. notwendigen Anpassungen der Vergabeunterlagen über das Vergabeportal in Kenntnis gesetzt und zur Einsichtnahme auf dem Vergabeportal aufgefordert werden.

Die Bereitstellung einer sog. Teststellung zur Prüfung der Realisierbarkeit (Technik/Anforderungen) und Bewertung durch Nutzende, für einen Zeitraum von mind. vier Wochen wird vorausgesetzt.

Auf Grundlage der schriftlich eingereichten Angebote wird eine Zwischenwertung durchgeführt. Die drei Bieter mit den bis dahin erzielten höchsten Zuschlagskennzahlen werden zur Testgestellung aufgefordert. Die übrigen Angebote bleiben bei der weiteren Wertung unberücksichtigt. Die Aufforderung zur kostenlosen Bereitstellung erfolgt auf Grundlage des schriftlich eingereichten Angebotes und muss nach Aufforderung durch den Rhein-Sieg-Kreis, binnen zwei Wochen erfolgen.

Der Bieter mit der höchsten Zuschlagskennzahl erhält den Zuschlag.

Die Bieterinformationen gemäß § 134 GWB erfolgen über das Vergabeportal.

Rückfragen zum Ablauf des Vergabeverfahrens, den abzugebenden Erklärungen und/oder zu den Vergabeunterlagen sind bis spätestens 19.06.2023 bevorzugt über das Vergabeportal an die Vergabestelle zu richten.

Bekanntmachungs-ID: CXPTYYBDCX5

Ergänzende Informationen
Körper überprüfen
Name: Vergabekammer Rheinland c/o Bezirksregierung Köln
Postanschrift: Zeughausstraße 2-10
Postort: Köln
Postleitzahl: 50667
Land: Deutschland 🇩🇪
Telefon: +49 221/147-3055 📞
E-Mail: vkrheinland@bezreg-koeln.nrw.de 📧
Fax: +49 221/147-2889 📠
Internetadresse: www.bezreg-koeln.nrw.de/brk_internet/vergabekammer/index.html 🌏
Informationen zu Fristen für Nachprüfungsverfahren:

Hat ein Bewerber/Bieter eine oder mehrere Rügen erhoben, der oder denen der Auftraggeber nicht abgeholfen hat, ist ein entsprechender Nachprüfungsantrag nur dann fristgerecht, wenn er vor Ablauf des 15. Kalendertags nach Eingang der Mitteilung des Auftraggebers, der oder den Rügen nicht abhelfen zu wollen, bei der oben genannten Vergabekammer eingeht. Wenn oder soweit der Nachprüfungsantrag nicht fristgerecht eingeht, ist er unzulässig.

Im Übrigen wird auf § 160 Abs. 3 GWB verwiesen.

Quelle: OJS 2023/S 097-305279 (2023-05-17)

Bekanntmachung über vergebene Aufträge (2023-06-28)
Objekt
Metadaten der Bekanntmachung
Dokumenttyp: Bekanntmachung über vergebene Aufträge

Verfahren
Angebotsart: Entfällt

Referenz
Daten
Absendedatum: 2023-06-28 📅
Veröffentlichungsdatum: 2023-07-03 📅
Kennungen
Bekanntmachungsnummer: 2023/S 125-397280
Verweist auf Bekanntmachung: 2023/S 097-305279
ABl. S-Ausgabe: 125
Zusätzliche Informationen

Das Vergabeverfahren wurde - vor dem Hintergrund des weiterhin bestehenden Vergabewillens - aufgehoben. Nach Überarbeitung der Vergabeunterlagen wird ein neues Verfahren eingeleitet. Bekanntmachungs-ID: CXPTYYBD05E

Verfahren
Vergabekriterien
Qualitätskriterium (Bezeichnung): Leistungspunkte (Funktionalitäten, Anwenderfreundlichkeit) / Preis
Qualitätskriterium (Gewichtung): 50
Preis (Gewichtung): 50

Referenz
Zusätzliche Informationen

Das Vergabeverfahren wurde - vor dem Hintergrund des weiterhin bestehenden Vergabewillens - aufgehoben. Nach Überarbeitung der Vergabeunterlagen wird ein neues Verfahren eingeleitet.

Bekanntmachungs-ID: CXPTYYBD05E

Quelle: OJS 2023/S 125-397280 (2023-06-28)

Neue Beschaffungen in verwandten Kategorien 🆕

IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung (>20 neue Beschaffungen)

Softwareprogrammierung und -beratung (>20)

Systemdienstleistungen und Unterstützungsdienste (14)

Softwaretests (2)

Systemprüfung (1)