Liste und kurze Beschreibung der Regeln und Kriterien
3.1 Eigenerklärung über geeignete Unternehmensreferenzen - "3.1 Eigenerklärung über geeignete Unternehmensreferenzen: Abgabe einer Eigenerklärung über geeignete Referenzen über früher ausgeführte Aufträge, die mit dem Ausschreibungsgegenstand vergleichbar sind.
Eine Referenz ist vergleichbar, wenn sie die nachfolgenden Bedingungen erfüllt:
- Das Referenzprojekt entspricht im wesentlichen den hier ausgeschriebenen Leistungen.
- Projektbeginn und -ende nicht länger als 3 Kalenderjahre (gerechnet ab Angebotsfristende) zurückliegend
- Das Penetrationstesting oder Threat-Modeling muss erfolgreich abgeschlossen sein.
(Nachzuweisen durch Eigenerklärung: Anlage A2, Ziffer 3.1).
Inhaltliche Mindestanforderung:
Es sind mindestens 6 vergleichbare Referenzprojekte nachzuweisen:
I. Threat-Modeling
Es sind mindestens 3 Referenzprojekte mit dem Inhalt Threat-Modeling einzureichen, die die folgenden Mindestanforderungen kumulativ erfüllen müssen:
- Die Architektur eines verteilten, technischen Systems wurde anhand von Design-Dokumenten untersucht. Dabei wurden Schwachstellen identifiziert und beschrieben.
- Es wurde ein Bedrohungsmodell in Form eines Diagrams erstellt. Hierfür wurden anerkannte Modellierungstechniken eingesetzt, beispielsweise das C4 Model.
- Die Referenzprojekte müssen für einen Kunden außerhalb des eigenen Unternehmens durchgeführt worden sein.
Zwei der mindestens 3 Refrenzprojekte müssen zusätzliche folgender Kriterien erfüllen:
- Es wurde ein Workshop fürs Threat-Modeling mit mindestens 4 Teilnehmern durchgeführt. Im Rahmen des Workshops wurden zusammen Diagramme erstellt oder ergänzt, anhand derer mögliche Schwachstellen identifiziert werden konnten. Die Termine können Remote stattgefunden haben.
II. Penetrationtesting
Es sind mindestens 3 Referenzprojekte mit dem Inhalt Penetrationtesting einzureichen, die die folgenden Mindestanforderungen kumulativ erfüllen müssen:
- Aus den vorlegten Refernzprojekten muss jedes der folgenden Themengebiete mindestens einmal belegt werden können: Smartphone-Apps (z.B. für iOS oder Android), Web-Applications, Cloud-Umgebungen und Netzwerke
- Sie haben einen Umfang von mindestens 5 Personentagen
- Sie müssen für einen Kunden außerhalb des eigenen Unternehmens durchgeführt worden sein.
HINWEIS:
Die Erfüllung sämtlicher Mindestkriterien muss sich aus der inhaltlichen Beschreibung der erbrachten Leistungen in der Eigenerklärung in Anlage A2, Ziffer 3.1 ergeben."