Einführung eines Managed Security Information and Event Management (Managed SIEM)

Kurze Beschreibung

Das Helmholtz-Zentrum für Infektionsforschung GmbH plant die Einführung eines Managed Security Information and Event Management (Managed SIEM), dass durch die AN ausgebaut, betrieben und laufend ausgewertet wird.

Beschreibung der Beschaffung

Die AG plant die Einführung eines Managed Security Information and Event Management (Managed SIEM) an fünf Standorten (Braunschweig, Greifswald, Hannover, Saarbrücken, Würzburg) der AG, dass durch die AN ausgebaut, betrieben und laufend ausgewertet wird. Die Lösung soll die Meldungen aus allen angeschlossenen Systemen zusammenführen und frühzeitig Rückschlüsse auf Handlungsbedarfe vor allem im Bereich der IT-Sicherheit aber auch hinsichtlich Optimierungspotentialen im Operating liefern. Das Managed SIEM soll sich mit den anderen Elementen der IT-Sicherheit (vor allem ISMS und Vulnerability Scanner) zu einem einheitlichen Lagebild integrieren und die dafür notwendigen Geschäftsprozesse erweitern (etablieren). Für vorhersehbare Bedrohungen (Muster) sollen automatisierte Alarme ausgelöst werden.
1. schnelle und zuverlässige Erkennung von Angriffen
2. Etablierung und Unterstützung von Geschäftsprozessen, die eine schnelle und angemessene Reaktion auf sicherheitsrelevante Ereignisse ermöglichen
3. manipulations- und revisionssichere Speicherung aller sicherheitsrelevanten Ereignisse zum Nachweis von Sicherheitsereignissen
4. Einhaltung von gesetzlichen Vorgaben und Compliance-Regularien

Beschreibung der Verlängerungen

Die Vertragslaufzeit beläuft sich auf insgesamt 72 Monate und unterteilt sich in 24 Monate Projektphase und 24 Monate Betriebsphase. Zusätzlich gibt es die Option die Betriebsphase zwei mal um je 12 Monate zu verlängern. Die AG ist nicht zur Beauftragung der optionalen Betriebsphase verpflichtet. Die Mindestvertragslaufzeit beträgt somit 48 Monate und kann maximal zwei mal um jeweils 12 Monate verlängert werden

Beschreibung der Optionen

Folgende Positionen sind als optionale Leistungen in der Anlage "Preisblatt" der Vergabeunterlagen
gekennzeichnet:
- Wartung (optional)
- Betriebsphase (optional)
- Bereitschaft (optional)
Die Optionen sind dem Preisblatt zu entnehmen.

Zusätzliche Informationen

Es sind Präsentationen für folgenden Zeitraum vorgesehen:
- 11.07.2023 zwischen 10 und 17 Uhr (max. 1,5 Stunden)
- 13.07.2023 zwischen 10 und 17 Uhr (max. 1,5 Stunden)
- 14.07.2023 zwischen 10 und 17 Uhr (max. 1,5 Stunden)
Das Fachgespräch soll maximal eine Stunde des Fachgesprächs umfassen und erfolgen via Zoom oder Microsoft Teams. Zum Zweck der Dokumentation wird für die Dauer des Vergabeverfahrens eine Aufzeichnung erstellt und ausgewertet.
Für das Fachgespräch soll vorzugsweise das hierfür geplante einzusetzende Personal anwesend sein. Werden zur Erbringung der Leistung weitere Unternehmen im Sinne von Bietergemeinschaft, Nachunternehmer oder Eignungsleihe herangezogen, so
haben auch hierfür die jeweiligen Ansprechpartner am Fachgespräch teilzunehmen.
Die Bieter haben die Verfügbarkeit des hierfür erforderlichen Personals an den oben genannten Terminen sicherzustellen.

Liste und kurze Beschreibung der Bedingungen

Nachweis des Eintrags ins Berufs- oder Handelsregister nach Maßgabe der Rechtsvorschrift des Landes, in dem der Bieter ansässig ist (§ 122 Abs. 2 Nr. 1 GWB i.V.m. § 44 VgV). Der Auszug darf nicht älter als 12 Monate sein. Der Nachweis muss dem Angebot zwingend beigelegt werden.

Liste und kurze Beschreibung der Auswahlkriterien

Nachweis einer Firmenhaftpflichtversicherung mit folgenden Deckungssummen:
- Personen- und Sachschäden: Mindestens 1.000.000,00 Euro pro Schadensfall, zweifach maximiert im Jahr
- Vermögensschäden: Mindestens 500.000,00 Euro pro Schadensfall, zweifach maximiert im Jahr
Die Haftpflichtversicherung muss bei einem in der EU zugelassenen Haftpflichtversicherer oder Kreditinstitut abgeschlossen worden sein. Die Haftpflichtversicherung muss während der gesamten Vertragslaufzeit aufrechterhalten und nachgewiesen werden. Der Bieter hat zu gewährleisten, dass zur Deckung eines Schadens aus dem Vertrag Versicherungsschutz in Höhe der im Vertrag genannten Deckungs-summen besteht.
Ein Versicherungsnachweis über die geforderte Firmenhaftpflichtversicherung beziehungsweise eine schriftliche Erklärung des Versicherers zur Erhöhung der Firmenhaftpflichtversicherung im Auftragsfall muss dem Angebot zwingend beigelegt werden.

Nachweis einer Betriebshaftpflichtversicherung mit folgenden Deckungssummen:
- Personen- und Sachschäden: Mindestens 1.000.000,00 Euro pro Schadensfall, zweifach maximiert im Jahr
- Vermögensschäden: Mindestens 500.000,00 Euro pro Schadensfall, zweifach maximiert im Jahr

Liste und kurze Beschreibung der Auswahlkriterien

1.3.1 Eigenerklärung Katalog-IT-Sicherheitskriterien
Das Unternehmen erfüllt die Anforderungen der Eigenerklärung Katalog-IT-Sicherheitskriterien.pdf. Diese ist dem Angebot ausgefüllt beizulegen.
***
1.3.2 Sprachniveau des angebotenen Personals
Das angebotene Personal muss mindestens über das Niveau C1 in Deutsch des gemeinsamen europäischen Referenzrahmens für Sprachen verfügen. Der Nachweis ist per Eigenerklärung zu führen.
***
1.3.3 Eigenerklärung Bereitschaft zur Sicherheitsüberprüfung (Ü2)
Der Bieter stellt sicher, dass die Bearbeitung des Auftrags ausschließlich von Beschäftigten ausgeführt wird, die sich bereit erklären, an einer erweiterten Sicherheitsüberprüfung (Ü2) nach §12 SÜG teilzunehmen. Der Nachweis ist per Eigenerklärung zu führen. Die Eigenerklärung muss beinhalten, dass die Bietenden versichern, dass die für den Einsatz geplanten Beschäftigten einer SÜ2 zustimmen werden und dass die Bietende aktuell davon ausgeht, dass die SÜ2 bei den betroffenen Personen positiv ausfällt.
***
1.3.4 Qualifikationsprofil Projektleiter, Stellvertreter und Teammitglieder
Dem Angebot muss jeweils ein Qualifikationsprofil des Projektleiters, des stellvertretenden Projektleiters und aller einzusetzenden Teammitglieder mit folgenden Anforderungen beigelegt werden:
1. Persönliche Daten
2. Berufsausbildung und / oder Studium
3. Beruflicher Werdegang
4. Berufserfahrung
a. Nachweis von mindestens 3 Jahren Berufserfahrung
b. Nachweis von mindestens 3 einschlägigen Projekten
5. Praktische Erfahrung
6. Fachliche Kompetenzen
7. Ggf. Soft Skills und weitere für den Leistungsgegenstand nützliche Kenntnisse
Die AN muss dadurch nachweisen können, dass sie über einschlägige Erfahrung verfügt und die spezifischen Geschäftsprozesse einer außeruniversitären Forschungseinrichtung sach- und fachkundig unterstützen kann.
Es ist zwingend erforderlich, dass alle angebotenen Personen mindestens 3 Jahre Berufserfahrung und mindestens 3 einschlägige Projekte nachweisen können.
Bitte berücksichtigen Sie hierfür den ausgeschriebenen Leistungsgegenstand, insbe-sondere die Anforderungen an den Projektleiter gemäß Kapitel 3.1.3 der Leistungsbeschreibung.
***
1.3.4 Referenzen
Gefordert werden mindestens drei vergleichbare erfolgreich abgeschlossene Referenzen aus den letzten drei abgeschlossenen Geschäftsjahren (2020, 2021, 2022).
Vergleichbar sind die Referenzen, wenn Sie folgende Kriterien kumulativ erfüllen:
1. Leistungsgegenstand: Einführung einer vergleichbaren Lösung, welche folgende Aufgabenbereiche erfasst hat:
a) Ist-Analyse
b) Anpassung eigener Standardkonzeption an Gegebenheiten der AG
c) Initialer Aufbau der Lösung und Anschluss der berichtenden Systeme
d) Betrieb und laufende Auswertung
e) Erstellung spezifischer Reports für die AG
f) Anschluss weiterer Datenquellen
2. Leistungsumfang: Projektvolumen (mindestens 30 Personentage)
3. Leistungsempfänger:
a) Referenz Nr.1: Mindestens ein Forschungszentrum
b) Referenz Nr. 2 und 3: Vergleichbares Aufgabenfeld des Auftrags
Aus der Referenzliste muss eindeutig hervorgehen, welcher Umfang und welche Dienstleistungen bei den Referenzkunden im Einsatz sind. Es müssen die folgenden Angaben genannt werden:
- Projektvolumen in Euro
- Umfang der Leistung
- Inhaltlicher Leistungsumfang
- Branche / Aufgabenfeld des Auftraggebers
Bitte beachten Sie, dass zur Überprüfbarkeit der persönlichen Referenzen die Kontaktdaten des Ansprechpartners (Name, Email, Telefonnummer) des Referenzgebers angegeben werden müssen.
Hinweis: Die Bieter haben im Zeitraum vom 07.06.2023 bis 26.06.2023 die Erreichbarkeit des hierfür angegebenen Ansprechpartners bzw. dessen Stellvertreters des jeweiligen Referenzgebers sicherzustellen.
Referenzen, welche die vorgenannten Mindestanforderungen nicht erfüllen, werden nicht anerkannt. Der Auftraggeber wird die angegebenen Referenzen stichprobenartig überprüfen. Falsche oder fehlerhafte Angaben führen zur Nichtberücksichtigung der angegebenen Referenz. Sofern hierdurch bedingt die geforderte Mindestanzahl an Referenzen unterschritten wird, ist die projektspezifische Eignung nicht nachgewiesen. Das Angebot wird in diesem Fall von der Wertung ausgeschlossen.
***
1.3.5 Bereitstellung von Technischen und organisatorischen Maßnahmen durch den Bieter (TOM)
Der Bieter hat mit Einreichung seines Angebots die technischen und organisatorischen Maßnahmen (TOM) in deutscher oder englischer Version bereitzustellen.
***

Bedingungen für die Teilnahme (technische und berufliche Fähigkeiten)

Qualifikationsprofil Projektleiter, Stellvertreter und Teammitglieder:
- Jeweils ein Qualifikationsprofil des Projektleiters, des stellvertretenden Projektleiters und aller einzusetzenden Teammitglieder
- Nachweis von mindestens 3 Jahren Berufserfahrung
- Nachweis von mindestens 3 einschlägigen Projekten
- Es ist zwingend erforderlich, dass alle angebotenen Personen mindestens 3 Jahre Berufserfahrung und mindestens 3 einschlägige Projekte nachweisen können.
***
Referenzen:
- mindestens drei vergleichbare erfolgreich abgeschlossene Referenzen aus den letzten drei abgeschlossenen Geschäftsjahren (2020, 2021, 2022 mit folgenden Voraussetzungen:
Vergleichbar sind die Referenzen, wenn Sie folgende Kriterien kumulativ erfüllen:
1. Leistungsgegenstand: Einführung einer vergleichbaren Lösung, welche folgende Aufgabenbereiche erfasst hat:
a) Ist-Analyse
b) Anpassung eigener Standardkonzeption an Gegebenheiten der AG
c) Initialer Aufbau der Lösung und Anschluss der berichtenden Systeme
d) Betrieb und laufende Auswertung
e) Erstellung spezifischer Reports für die AG
f) Anschluss weiterer Datenquellen
2. Leistungsumfang: Projektvolumen (mindestens 30 Personentage)
3. Leistungsempfänger:
a) Referenz Nr.1: Mindestens ein Forschungszentrum
b) Referenz Nr. 2 und 3: Vergleichbares Aufgabenfeld des Auftrags
Referenzen, welche die vorgenannten Mindestanforderungen nicht erfüllen, werden nicht anerkannt. Falsche oder fehlerhafte Angaben führen zur Nichtberücksichtigung der angegebenen Referenz. Sofern hierdurch bedingt die geforderte Mindestanzahl an Referenzen unterschritten wird, ist die projektspezifische Eignung nicht nachgewiesen. Das Angebot wird in diesem Fall von der Wertung ausgeschlossen.

Bedingungen für die Vertragserfüllung

2.2.1 Sonstige besondere Bedingungen nach § 128 GWB
- Angaben, dass zwingende Ausschlussgründe gemäß § 123 GWB nicht vorliegen, Dokument „Eigenerklärung Eignung“
- Angaben, dass fakultative Ausschlussgründe gemäß § 124 GWB nicht vorliegen, Dokument „Eigenerklärung Eignung“
- Angaben zur Selbstreinigung gemäß § 125 GWB, Dokument „Eigenerklärung Eignung“
- Verpflichtungserklärung zur Einhaltung des Mindestlohngesetzes, Dokument „Eigenerklärung Eignung“
- Antikorruptionserklärung, Dokument „Antikorruptionsklausel HZI“
- Erklärung zum Ausschluss von Interessenkonflikten, Dokument „Eigenerklärung Eignung“
- Verschwiegenheitserklärung, Dokument „Eigenerklärung Eignung“
***
2.2.2 Belege der sonstigen Eignung
- Datenschutzerklärung, Dokument „Datenschutzhinweise HZI“
- Anlage V Datenschutz IT-Sicherheit Vertraulichkeit
- Anlage Z Vereinbarung zur Zusammenarbeit
- Verpflichtungserklärung Insolvenz, Dokument „Eigenerklärung Eignung“
- Allgemeine Einkaufsbedingungen, Dokument „Allgemeine Einkaufsbedingungen HZI“
- Besondere Vertragsbedingungen, Dokument „Besondere Vertragsbedingungen HZI“
- Bieterfragenkatalog (falls einschlägig), Dokument „Bieterfragen&Konkretisierungen“
- Russland-Sanktion gem. Art. 5k der Verordnung (EU) 2022/576, Dokument „Eigenerklärung RUS-Sanktionen“

Bestandteile der Vergabeunterlagen welche Vertragsbestandteil werden
***
Bestandteile der Vergabeunterlagen, die Vertragsbestandteil werden, aus-zufüllen zu unterschreiben und mit dem Angebot abzugeben sind:
1. Angebotsschreiben
2. Preisblatt
3. Eigenerklärung Eignung
4. Referenzenvordruck (vgl. Kapitel 5.2.3.5)
5. Eigenerklärung Katalog-IT-Sicherheitskriterien (vgl. Kapitel 5.2.3.1)
6. Eigenerklärung RUS-Sanktionen
7. Allgemeine Einkaufsbedingungen HZI
8. Besondere Vertragsbedingungen HZI
9. Datenschutzhinweise HZI
10. Bieterfragen&Konkretisierungen (falls einschlägig)
11. Bietergemeinschaft (falls zutreffend)
12. Verzeichnis der Leistungen und Kapazitäten anderer Unternehmen (falls zu-treffend)
13. Anlage V Datenschutz IT-Sicherheit Vertraulichkeit
14. EVB-IT Vertrag (bitte die hierfür vorgesehenen gelb markierten Felder ausfüllen)
15. Formular AVV (bitte soweit möglich ausfüllen – Konkretisierungen erfolgen im Rahmen des Vertragsschlusses)
16. Antikorruptionsklausel HZI
17. Nachweise der A-Kriterien (Mindestanforderungen) (vgl. Kapitel 6.1)
***
Bestandteile der Vergabeunterlagen, die Vertragsbestandteil werden und die beim Bieter verbleiben:
1. Leistungsbeschreibung
2. Aufforderung zur Abgabe eines Angebots (dieses Dokument)
3. Anlage Z Vereinbarung zur Zusammenarbeit
4. Systemdokumentation Template
5. Geheimhaltungsvereinbarung (mit Zuschlag)
***
Bestandteile der Vergabeunterlagen, die vom Bieter zusätzlich einzureichen sind:
1. Nachweis Berufs- /Handelsregistereintragung (vgl. Kapitel 5.2.1.1)
2. Nachweis Haftpflichtversicherung (vgl. Kapitel 5.2.2.1)
3. Qualifikationsprofile Projektleiter, Stellvertreter und Teammitglieder inkl. Referenzen Projektleiter, Stellvertreter und Teammitglieder (einschlägiger Projekte) (vgl. Kapitel 5.2.3.5)
4. Umsetzungskonzept (Mindestanforderung) (vgl. Kapitel 6.2.2)
5. TOM’s (deutsch oder englisch) (vgl. Kapitel 5.2.3.6)
***
Die Verweise auf die jeweiligen Kapitel beziehen sich auf das Dokument "Aufforderung zur Abgabe eines Angebots".

Genaue Informationen über Fristen für Überprüfungsverfahren

Das Vergabeverfahren unterliegt den Vorschriften über das Nachprüfungsverfahren vor der Vergabekammer und dem Vergabesenat (§§ 155 ff. GWB).
Nach § 160 Abs. 3 GWB ist ein etwaiger Nachprüfungsantrag unzulässig, soweit
1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat, wobei der Ablauf der Frist nach § 134 Abs. 2 GWB unberührt bleibt,
2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung genannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.
Der Auftraggeber ist zur Absendung einer Bieterinformation spätestens 10 Tage vor Zuschlagserteilung verpflichtet (§134 GWB),
Nach Zuschlagserteilung (Vertragsschluss) ist ein Nachprüfungsantrag nicht mehr zulässig. Ausgenommen sind Anträge auf Feststellung einer Unwirksamkeit des Vertrages nach § 135 Abs. 1 GWB, also wegen Verletzung der vorgenannten Pflicht zur Bieterinformation und Einhaltung der Wartefrist gem. § 134 GWB oder wegen unzulässiger Vergabe ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der EU. Solche Anträge auf Feststellung der Unwirksamkeit des Vertrages sind nach § 135 Abs. 3 GWB nur innerhalb von 30 Kalendertagen nach der Information der betroffenen Bieter und Bewerber durch den öffentlichen Auftraggeber über den Abschluss des Vertrags zulässig, jedoch nicht später als sechs Monate nach Vertragsschluss. Hat der Auftraggeber die Auftragsvergabe im Amtsblatt der Europäischen Union bekannt gemacht, endet die Frist zur Geltendmachung der Unwirksamkeit 30 Kalendertage nach Veröffentlichung der Bekanntmachung dieser
Vergabe im Amtsblatt der Europäischen Union.