Endpunktgeräteschutz mit Antivirus

Kurze Beschreibung

Gegenstand der Ausschreibung ist die Beschaffung einer Lösung auf Basis EVB-IT oder gleichwertig einer zertifizierten und DSGVO konformen Security-as-a-Service Plattform sowie Viren-/Endgeräteschutz inklusive der externen kompletten Betriebsdienstleistung 24/7/365 Tage, sowie deren professionellen SOC Dienstleistungen 24/7/365 Tage durch den Hersteller. Dadurch sollen Cyberangriffe, Datendiebstahl, Systemausfälle, Manipulation, Störungen von Kommunikations- kanälen und IT gestützten Prozessen verhindert, mitigiert, sowie in Echtzeit abgewehrt werden.
Der Vertrag hat eine Laufzeit von 12 Monaten mit einer jährlichen Verlängerungsoption für maximal 4 Jahre.

Beschreibung der Beschaffung

Gegenstand der Ausschreibung ist die Beschaffung einer Lösung auf Basis EVB-IT oder gleichwertig einer zertifizierten und DSGVO konformen Security-as-a-Service Plattform sowie Viren-/Endgeräteschutz inklusive der externen kompletten Betriebsdienstleistung 24/7/365 Tage, sowie deren professionellen SOC Dienstleistungen 24/7/365 Tage durch den Hersteller. Dadurch sollen Cyberangriffe, Datendiebstahl, Systemausfälle, Manipulation, Störungen von Kommunikations- kanälen und IT gestützten Prozessen verhindert, mitigiert, sowie in Echtzeit abgewehrt werden.
Grundsätzliche technische Mindestanforderungen siehe https://nextcloud.heilbronn.de/s/E9CMe2nF8RWJKmj.
Der Vertrag hat eine Laufzeit von 12 Monaten mit einer jährlichen Verlängerungsoption für maximal 4 Jahre.

Beschreibung der Verlängerungen

Der Vertrag hat eine Laufzeit von 12 Monaten.
3-mal um jeweils 1 Jahr, sofern zum Zeitpunkt der möglichen Verlängerung keine wesentlichen Änderungen des Auftrages im Sinne von § 132 GWB erforderlich sind und deshalb ein neues Vergabeverfahren notwendig wird.

Objektive Kriterien für die Auswahl der begrenzten Anzahl von Bewerbern

- siehe Eignungskriterien Abschnitt III.
- bei Erfüllung aller o.g. Eignungskriterien behält sich der Auftraggeber vor, alle Bieter zur Abgabe eines Erstangebotes aufzufordern.

Liste und kurze Beschreibung der Bedingungen

Sofern der Bieter im bundesweiten Präqualifikationssystem registriert ist, Angabe des Zertifizierungscodes oder Vorlage einer Kopie des gültigen Zertifikates.
Ist noch keine Zertifizierung erfolgt, sind mit dem Teilnahmeantrag Eigenerklärungen darüber vorzulegen, dass der Bieter/Bewerber:
- nachweislich keine schweren Verfehlungen begangen hat, die seine Zuverlässigkeit als Bieter/Bewerber in Frage stellt,
- die gewerblichen Voraussetzungen für die Ausführung der angebotenen Leistung erfüllt, in die Handwerksrolle, das Berufsregister oder das Register der Industrie- und Handelskammer seines Sitzes oder Wohnsitzes oder der nach Maßgabe der Rechtsvorschriften seines Landes zuständigen Stelle eingetragen ist,
- eine gültige Betriebs- und Berufshaftpflichtversicherung abgeschlossen hat.
weitere mit dem Teilnahmeantrag vorzulegende Unterlagen:
- 05 VgV 9-1 Erklärung Russlandsanktionen

Liste und kurze Beschreibung der Auswahlkriterien

Sofern der Bieter im bundesweiten Präqualifikationssystem registriert ist, Angabe des Zertifizierungscodes oder Vorlage einer Kopie des gültigen Zertifikates.
Ist noch keine Zertifizierung erfolgt, sind mit dem Teilnahmeantrag Eigenerklärungen darüber vorzulegen, dass der Bieter/ Bewerber:
— weder die Eröffnung eines Insolvenz- oder vergleichbaren gesetzlichen Verfahrens über sein Vermögen beantragt hat, noch dass ein solches Verfahren eröffnet ist oder mangels Masse abgelehnt wurde,
— sich nicht in Liquidation befindet,
— seinen Verpflichtungen zur Zahlung von Steuern und Abgaben sowie der Beiträge zur gesetzlichen Sozialversicherung nachgekommen ist,
— in den letzten 2 Jahren nicht gem. § 6 Satz 1 oder 2 Arbeitnehmerentsendegesetz mit einer Freiheitsstrafe von mehr als 3 Monaten oder einer Geldstrafe von mehr als 90 Tagessätzen oder einer Geldbuße von mehr als 2.500 EUR belegt worden ist.
Eigenerklärung über den Umsatz des Unternehmens, soweit er Leistungen betrifft, die mit der zu vergebenden Leistung vergleichbar sind, unter Einschluss des Anteils bei gemeinsam mit anderen Unternehmen ausgeführten Aufträgen.
Mindestanforderung: Für die letzten drei Geschäftsjahre.

Umsatz des Unternehmens, jeweils bezogen auf die letzten drei Geschäftsjahre soweit er Leistungen betrifft, die mit der zu vergebenden Leistung vergleichbar sind, unter Einschluss des Anteils bei gemeinsam mit anderen Unternehmen ausgeführten Aufträgen.
Vom AG definierter Mindestumsatz pro Geschäftsjahr: 100.000.000,00 EUR brutto.

Liste und kurze Beschreibung der Auswahlkriterien

Sofern der Bieter im bundesweiten Präqualifikationssystem registriert ist, Angabe des Zertifizierungscodes oder Vorlage einer Kopie des gültigen Zertifikates.
Ist noch keine Zertifizierung erfolgt, sind mit dem Teilnahmeantrag folgende Eigenerklärungen vorzulegen:
- Tabellarische Aufstellung mit den in Ziff. 2.2.7 geforderten Mindestangaben über die Ausführung von Leistungen des Unternehmens in den letzten drei Jahren, die mit der zu vergebenden Leistung quantitativ vergleichbar sind, gerechnet vom Tag des Fertigstellungstermins der Leistung an.
Mindestanforderung: mindestens zwei Leistungen,
Zahl der in den letzten drei Kalenderjahren jahresdurchschnittlich beschäftigten Arbeitskräfte, gegliedert nach Lohngruppen mit gesondert ausgewiesenem technischen Leitungspersonal.
Vom AG vorgegebene Mindestanzahl von Arbeitskräften einer bestimmten Lohngruppe: insgesamt 30 Arbeitskräfte
Weitere auf den Auftragsgegenstand bezogene Eignungskriterien: siehe Eigenerklärung Eignungskriterien unter https://nextcloud.heilbronn.de/s/E9CMe2nF8RWJKmj

Bedingungen für die Teilnahme (technische und berufliche Fähigkeiten)

Referenzen:
Leistungserbringung für mind. 1.000 bis 2.000 Endgeräte pro Auftrag.
Arbeitskräfte:
Vom AG vorgegebene Mind.anzahl von Arbeitskräften einer bestimmten Lohngruppe: insgesamt 30 Arbeitskräfte
Weitere technische Eignungskriterien an Produkt:
Funktionen und Aufgaben der Lösung:
• Volle DSGVO Konformität der Lösung u. der Dienstleistungsservices
• Funktion Intrusion Detection and Response
• Managed Detection and Response
• Automatisierte Exploit Blockierung
• Maschinelles Lernen u. Verhaltensanalyse der Endpunkte
• Abwehr bekannte Malware
• Abwehr unbekannte Malware (aufgrund maschinellem Lernen)
• Abwehr Zero Day Angriffe
• Selbstschutz der Lösung im Arbeitsspeicher und in der Ausführung
• Abwehr v. Identitätsdiebstahl z.B. AD-Anmeldedaten
• Funktionen/Modul zur Erkennung, Reaktion, Forensik im Detail
• Identifizierung nicht autorisierter Systeme/Anwendungen/Privilegierter Accounts
• Active Directory Prüfung
• Komplette Softwarelösung in mind. engl. Sprache
• Schutz der Maschinen im Betriebszustand Netzwerk ONLINE u. OFFLINE (Internetkonnektivität, Konnektivität Managementserver)
• Komplettlösung stellt ein zentrales Dashboard u. Administrationsinterface bereit
• Managementkonsole der Lösung muss zur Bewertung der aktuellen Lage eine Risikobewertung mit automatischer Aktualisierung als zentrale Größe im Dashboard enthalten.
• Erkennt u. repariert inkonsistente ACLs automatisch, z.B. Firewall-Regelwerke am geschützten Endpunkt
• Management/Benutzerschnittstelle ist durch Multifaktorauthentisierung geschützt
• Bei der administrativen Richtlinienumsetzung müssen Hosts aufgrund von AD, OU, Tags oder sonstigen Hostindikatoren gruppierbar sein.
• Lösung bietet eine Möglichkeit zur techn. Echtzeiterkennungswarnung durch Emailbenachrichtigung
• Auditlog muss für alle Aktivitäten (Vorfall/Verwaltung/API Aufrufe) vorgehalten werden
• Lösung bietet für administrative Endpunktremotezugriffe eine integrierte Managementkonsole
• Lösung bietet einen Schutz von Terminalserverlösungen, insbesondere Citrix
• Lösung bietet eine Unterstützung zur Verteilung des Agenten über marktübliche Bereitstellungstools, z.B. skriptbasierte Installationen, GPOs
• Lösung muss Möglichkeiten zur Regelung v. Whitelists und Blocklists aufweisen (Dateien, Verzeichnisse, Hashwerte, Prozesse, Registry, IP Kommunikation, Domains)
• Lösung muss ein Einschleusen von Daten in bestehende Prozesse (Injection) verhindern, ohne den Zielprozess negativ zu beeinflussen oder zu unterbrechen
• Lösung muss Angriffe basierend auf PowerShell u. weitere skriptbasierte Angriffe erkennen sowie blockieren, die ausgeführten Befehle müssen transparent einsehbar sein
• Lösung muss die Möglichkeit bieten, unter Quarantäne gestellte Dateien direkt wiederherzustellen oder auf die Allowlist zu setzen
Betriebssysteme:
• Unterstützung aktueller Microsoft Betriebssysteme
USB Kontrolle:
• USB Endgerätekontrolle mit Regelwerken
• USB Endgerätekontrolle Logging Aktivitäten z.B. Filetransfers
• Kontrolle von USB Endgeräten im ONLINE und OFFLINE Netzwerkbetrieb ist möglich
Leistungserbringung/Dienstleistungsanteil:
• Kompletter Betrieb der Sicherheitslösung, Prävention, Erkennung und Abwehr durch Bewerber/Bieter/Auftragnehmer 24/7/365
• Onboarding Unterstützung mindestens 40 h, Administrator Schulungen für Auftraggeber inkludiert
• Eskalation über Technischen Account Manager
• Nachvollziehbare Dokumentation aller Tätigkeiten und Vorfälle mindestens 30 Tage innerhalb der angebotenen Lösung
• Forensik Rohdaten stehen im Rahmen der geltenden gesetzlichen Fristen zur Verfügung
• Support in mind. engl. Sprache
• Technischer Account Manager in mind. engl. Sprache
• Monatliches Reporting/SLA Reporting in Form eines Berichts durch Bewerber/Bieter/Auftragnehmer
SLA Softwarelösung/Dienstleistung:
• Sicherheitsdienstleistungen durch AN durchgehend 24 Stunden/7 Tage/365 Tagen
• Erkennung Angriff/Vorfall - kleiner gleich 5 Min.
• Untersuchung Angriff/Vorfall Bearbeitung, Abwehr kleiner gleich 5 Min.

Bedingungen für die Vertragserfüllung

Beabsichtigt der Bieter, sich bei der Erfüllung eines Auftrages der Fähigkeiten anderer Unternehmen zu bedienen, muss er dem Auftraggeber hinsichtlich der Eignung nachweisen, dass er über die Fähigkeiten und Mittel der anderen Unternehmen verfügen kann. Er hat entsprechende Verpflichtungserklärungen dieser Unternehmen vorzulegen (Liste der Unterauftragnehmer, siehe Angebotsunterlagen, muss dann mit der Angebotsabgabe ausgefüllt worden sein).

Die Bieter werden einmalig aufgefordert innerhalb einer Frist von 6 Kalendertagen, gerechnet vom Tag nach Absendung der Aufforderung evtl. fehlende, unvollständige oder fehlerhafte unternehmensbezogene Unterlagen, insbesondere Eigenerklärungen, Angaben, Bescheinigungen oder sonstige Nachweise nachzureichen, zu vervollständigen oder zu korrigieren oder fehlende oder unvollständige leistungsbezogene Unterlagen nachzureichen oder zu vervollständigen.
Geschieht dies innerhalb der gesetzten Frist nicht, wird das Angebot vom weiteren Verfahren ausgeschlossen.
Die Aufforderung wird über die Vergabeplattform subreportELVIS versandt, die nachgeforderten Unterlagen sind vom Bieter auf der Vergabeplattform subreportELVIS einzustellen. Zur Fristwahrung ist der rechtzeitige upload auf der Vergabeplattform subreportELVIS maßgeblich.

Genaue Informationen über Fristen für Überprüfungsverfahren

Informations- und Wartepflicht (§ 134 GWB – Gesetz gegen Wettbewerbsbeschränkungen)
(1) Öffentliche Auftraggeber haben die Bieter, deren Angebote nicht berücksichtigt werden sollen, über den Namen des Unternehmens, dessen Angebot angenommen werden soll, über die Gründe der vorgesehenen Nichtberücksichtigung ihres Angebots und über den frühesten Zeitpunkt des Vertragsschlusses unverzüglich in Textform zu informieren. Dies gilt auch für Bewerber, denen keine Information über die Ablehnung ihrer Bewerbung zur Verfügung gestellt wurde, bevor die Mitteilung über die Zuschlagsentscheidung an die betroffenen Bieter ergangen ist.
(2) Ein Vertrag darf erst 15 Kalendertage nach Absendung der Information nach Abs. 1 geschlossen werden. Wird die Information auf elektronischem Weg oder per Fax versendet, verkürzt sich die Frist auf zehn Kalendertage. Die Frist beginnt am Tag nach der Absendung der Information durch den Auftraggeber; auf den Tag des Zugangs beim betroffenen Bieter und Bewerber kommt es nicht an.
(3) Die Informationspflicht entfällt in Fällen, in denen das Verhandlungsverfahren ohne vorherige Bekanntmachung wegen besonderer Dringlichkeit gerechtfertigt ist.
Satz 2 nicht zitiert, da irrelevant.
Einleitung des Verfahrens vor der Vergabekammer, Antrag (§ 160 GWB):
(1) Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein.
(2) Antragsbefugt ist jedes Unternehmen, das ein Interesse an dem öffentlichen Auftrag oder der Konzession hat und eine Verletzung in seinen Rechten nach § 97 Abs. 6 durch Nichtbeachtung von Vergabevorschriftengeltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht.
(3) Der Antrag ist unzulässig, soweit
1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrages erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Abs. 2 bleibt unberührt,
2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden,
4. mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.
Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrages nach § 135 Abs. 1 Nr. 2. §134 Abs. 1 Satz 2 bleibt unberührt.