Einführung eines unternehmensweiten PPS- und Ressourcenmanagementtools

Beschreibung der Beschaffung

Die Einkaufsgemeinschaft HAMBURG WASSER, bestehend aus den Unternehmen
Hamburger Stadtentwässerung AöR (HSE) und der Hamburger Wasserwerke GmbH (HWW) schreibt unter der Federführung der HSE vorgenannte Leistung aus.
Grundlaufzeit des Vertrages = 48 Monate. Maximale Vertragslaufzeit = 96 Monate. Nach Ablauf von 48 Monaten sind die Auftraggeber jederzeit berechtigt, den Vertrag mit einer Frist von 6 Monaten zum Ende eines Kalendermonats zu kündigen.

Ausgangssituation: Aktuell gibt es bei HAMBURG WASSER (Gleichordnungskonzern der Kerngesellschaften HWW und HSE) kein zentrales Tool für Projekt-, Ressourcenmanagement & Projektportfoliosteuerung. In den einzelnen Bereichen werden Excel und ähnliche Tools dafür als Hilfsmittel eingesetzt. Mit der Einführung einer zentralen Projektportfoliosteuerung bei HAMBURG WASSER ist der Einsatz einer Software unabdingbar und zwingend für den Erfolg funktionierender Prozesse. Das einzuführende Werkzeug muss einfach zu bedienen sein und den Anwendern eine gute Übersicht über ihre Aufgaben und den aktuellen Stand der jeweiligen Portfolios, Projekte, Budgetauslastungen und Ressour-cenauslastung geben.
Die Lösung soll Transparenz über laufende und geplante Projekte schaffen, eine priorisierte Steuerung des Projektportfolios ermöglichen und eine effiziente Planung und Auslastung von Ressourcen sicherstellen.

Zielbild: Ziel ist die betriebsbereite Einrichtung der Software gemäß den vereinbarten funktionalen Anforderungen unter größtmöglicher Nutzung von Standardfunktionen der Software, um Wartbarkeit, Updatefähigkeit und Zukunftssicherheit sicherzustellen.

Erwarteter Leistungsumfang: Einrichtung, Konfiguration und Initialbetrieb der Software.
Nach Bereitstellung der Software ist eine initiale Einrichtung und Konfiguration erforderlich, um den fachlichen und organisatorischen Anforderungen der Auftraggeber gerecht zu werden. Die Auftraggeber stellen hierfür eine Projektleitung zur Verfügung, die die Anforderungen fachlich vertritt, priorisiert und freigibt.
Der Auftragnehmer übernimmt die Verantwortung für die fachlich‑technische Konfiguration der Software in enger Abstimmung mit der Projektleitung der Auftraggeber.

Liste und kurze Beschreibung der Regeln und Kriterien

Bitte geben Sie als Eigenerklärung an, ob
Sie Teile des Gesamtauftrages als
Unteraufträge an Nachunternehmer zu
vergeben beabsichtigen. Nachunternehmer
haben eine Verpflichtungserklärung
beizufügen, nach der sie zur Erbringung der
Leistungen im Auftragsfall bereit sind.
Beabsichtigt der Bieter, Teile der Leistung
von Nachunternehmern ausführen zu
lassen, muss er Art und Umfang der
jeweiligen Leistungen angeben.

Liste und kurze Beschreibung der Regeln und Kriterien

Nachweis DIN EN ISO 9001 oder
gleichwertig - bitte beifügen! Sofern Ihr Unternehmen über einen gültigen
Nachweis über die Anwendung und/oder
Zertifizierung eines
Qualitätssicherungssystems nach DIN EN
ISO 9001 oder gleichwertig verfügen, ist
dieser als Anlage beizufügen.
Alternativ bestätigen Sie, dass ein eigenes
Qualitätsmanagementsystem in Ihrem
Unternehmen etabliert ist.
Erstellen sie bitte dafür eine max. 2-seitige
Eigenerklärung, in der sie ausführen welche
Maßnahmen zur qualitativen Sicherung der
Arbeitsprozesse in Ihrem Unternehmen
bestehen. Gehen Sie bitte insbesondere auf
die folgenden Aspekte ein: Umgang mit
Fehlern, Kundenorientierung,
Verantwortlichkeit der Führung, Einbeziehung der beteiligten Personen,
prozessorientierte Systemabläufe und
systemorientierter Managementansatz ),
kontinuierliche Verbesserung.
Sofern bestätigende Zertifikate vorliegen
sind diese beizufügen.

Liste und kurze Beschreibung der Regeln und Kriterien

Datenschutz und Informationssicherheit dass die nachfolgenden Aspekte zwingend
eingehalten werden und fügen Sie die
geforderten Nachweise dem Angebot bei.
Bitte beachten Sie, dass Nachweise
ebenfalls von evtl.
Nachunternehmern dem Angebot beigefügt
werden müssen.
a) Der Auftragnehmer, sowie ggf.
eingesetzte Nachunternehmer, müssen
eine gültige ISO27001-Zertifizierung (oder
gleichwertig) vorweisen können. Diese ist
beizulegen. Der Zertifizierungsprozesses
für die ISO 27001 muss nachgewiesen
werden.
b) Der Auftragnehmer, sowie ggf.
eingesetzte Nachunternehmer, müssen ein
mit der DSGVO konformes
Datenschutzmanagementsystem betreiben.
Löschfristen müssen schriftlich festgelegt
und nach den Vorgaben der DSGVO in das
Verzeichnis von Verarbeitungstätigkeiten
gemäß Art. 30 DSGVO aufgenommen
werden.
c) Der Auftragnehmer, sowie
ggf.eingesetzte Nachunternehmer, muss geeignete technische und organisatorische
Maßnahmen (TOM) sicherstellen, die dem
Stand der Technik entsprechen und
konform mit Gesetzen und Vorgaben, z.B.
der DSGVO, sind.
d) Die Datenverarbeitung muss
ausschließlich innerhalb des Europäischen
Wirtschaftsraumes (EWR) oder in Ländern
mit einem vorliegenden
Angemessenheitsbeschluss gemäß Art. 45
DSGVO stattfinden.
e) Der Auftragnehmer muss ein
Datensicherungskonzept für die von ihm
betriebenen Lösungen vorlegen, das die zu
erbringenden Datensicherungs- und
Wiederherstellungsleistungen
wiederspiegelt. Dieses muss die Verfahren
und Maßnahmen zur Sicherung,
Aufbewahrung und Wiederherstellung von
Daten nachvollziehbar beschreiben.
f) Der Auftragnehmer muss sicherstellen,
dass bei der Auswertung der Daten
Verfahren eingesetzt werden, die dem
Stand der Technik (siehe ITGrundschutz-
Kompendium BSI OPS.1.1.5
Protokollierung) entsprechen und eine
durchgängige Nachvollziehbarkeit sowie
Rekonstruktion von Angriffen ermöglichen.
g) Bei Notwendigkeit der Verwendung von
Servern des Dienstleisters müssen die
Daten innerhalb der Europäischen Union
verarbeitet und gespeichert werden. Die
Serverstandorte sind anzugeben und
vertraglich zuzusichern.
h) Es werden direkte
Ansprechpartner:innen des Auftragnehmers
für Sicherheitsfragen angegeben.
Der Auftragnehmer MUSS geeignete
Ansprechpartner für sicherheitsrelevante
Ereignisse definieren.
i) Der Auftragnehmer muss
Sicherheitslücken und entstehende
Inkompatibilitäten mit abhängigen
Komponenten identifizieren, den
Auftraggeber informieren und unverzüglich
Abhilfe bereitstellen. Ein Prozess muss festgelegt sein, der den Informationsfluss
bei Sicherheitsvorfällen sicherstellt.
k) Der Auftragnehmer betreibt die Lösung
und muss Rückfall- Lösungen erarbeiten,
bevor Änderungen durchgeführt werden.
Bei größeren, sicherheitsrelevanten
Änderungen muss das
Informationssicherheitsmanagement des
Auftraggebers schon im Vorfeld beteiligt
werden.
l) Der Auftragnehmer muss in seiner
Lösung Transport Layer Security (TLS) in
einer Version >1.1 (bevorzugt 1.3)
unterstützen. Unsichere Versionen von TLS
sind zu deaktivieren. Dabei muss die
TR02102-2 des BSI zugrunde gelegt
werden. Der Auftragnehmer unterstützt in
seiner Lösung den
Sicherheitsmechanismus HTTP Strict
Transport Security (HSTS) gemäß RFC
6797.

Liste und kurze Beschreibung der Regeln und Kriterien

Datenverarbeitung, Protokollierung,
Revisionssicherheit, Datensicherung
und -wiederherstellung Die Auftraggeber bleiben jederzeit
Eigentümer der Daten.
Der Auftragnehmer muss in seiner Lösung
die für Protokollierungsdaten gesetzlich
vorgeschriebenen Regelungen
berücksichtigen und im Konzept
dokumentieren.
Protokolle müssen auswertbar,
nachvollziehbar und revisionssicher
gespeichert werden. Eine strukturierte
Analyse und Auswertung der Protokolldaten
muss möglich sein. Der Auftragnehmer
muss in seiner Lösung die für
Protokollierungsdaten gesetzlich
vorgeschriebenen Regelungen
berücksichtigen und im Konzept
dokumentieren.
Die Lösung muss ein Datensicherungs- und
Wiederherstellungskonzept
(Backup/Recovery) bereitstellen. Die
Wiederherstellung muss vollständig und
innerhalb definierter technischer Parameter
(z. B. Datenintegrität) möglich sein.

Liste und kurze Beschreibung der Regeln und Kriterien

Haftpflichtversicherung:
1. Der Auftragnehmer hat für die Dauer des Vertrags Haftpflichtversicherungen mit Deckung der gesetzlichen Haftpflicht für ihn als Versicherungsnehmer mit folgenden Mindestdeckungen nachzuweisen:
• Betriebshaftpflicht-Versicherung
Für Personen-, Sach- und daraus resultierende Vermögensschäden EUR 5.000.000 je Versicherungsfall

• IT-Berufshaftpflicht-Versicherung mit einer Mindestdeckungssumme für Vermögensschäden in Höhe von EUR 500.000,-
oder eine vergleichbare Vermögensschadenhaftpflicht-Versicherung für (reine) Vermögensschäden in Höhe von EUR 500.000 je Versicherungsfall.
Alle Deckungssummen sind mindestens 2-fach maximiert.
2. Das Bestehen der Versicherungsdeckungen ist durch Vorlage einer Erklärung des Versicherers mit Nennung des Risikos (Tätigkeitsfeld) und der Deckungssummen erstmalig unaufgefordert binnen eines Monats nach Zuschlagserteilung nachzuweisen und dann während der gesamten Vertragslaufzeit jede Änderung der Versicherungsverhältnisse, die sich auf Art, Umfang oder Bestand des Versicherungsschutzes auswirkt, unverzüglich und unaufgefordert gegenüber dem Auftraggeber anzuzeigen.

Zusätzliche Informationen

Die Registrierung des Bieters für die Ausschreibung sowie das Herunterladen der
Ausschreibungsunterlagen im BieterCockpit des Ausschreibenden muss zwingend bis spätestens vor Ablauf des Submissionstermins erfolgen. Andernfalls ist keine Angebotsabgabe möglich.
Etwaige Fragen zu den Ausschreibungsunterlagen sollen unverzüglich - spätestens bis eine Woche vor Ablauf der Angebotsfrist gestellt werden, damit die noch rechtzeitig beantwortet werden können.

Genaue Informationen über Fristen für Überprüfungsverfahren

Nachprüfungsanträge sind schriftlich an das Postfach der Finanzbehörde:
Postfach 30 17 41
20306 Hamburg

und zusätzlich per E-Mail (unterschriebener Nachprüfungsantrag als PDF-Dokument im Anhang) an das Funktionspostfach vergabekammer@fb.hamburg.de
zu richten.