Liste und kurze Beschreibung der Auswahlkriterien
- Kurzdarstellung des Unternehmens mit Angabe von Leistungsspektrum
und Schwerpunkten der Unternehmenstätigkeit. Dies umfasst auch eine Beschreibung der Unternehmensorganisation (z.B. Standorte, Struktur, Kundenkreis). (Max. eine DIN A4 Seite). (I)
- Eigenerklärung, dass der Auftraggeberin immer die aktuelle Ansprechperson für die Vertragsabwicklung bekanntgegeben wird. (A)
- Der Anbieter muss einen Nachweis von der Hersteller Zertifizierung bzw. Partnerstatus liefern: (A)
- Eigenerklärung, dass der Bieter die nachfolgend aufgelisteten Gesetze, Richtlinien und Standards im Rahmen der Leistungserbringung berücksichtigt: (A)
o Datenschutzgesetz des Bundes (BDSG), des Landes (LDSG BW) und DS-GVO
- Sofern ein Auftragsverarbeitungsverhältnis (Art. 28 DS-GVO) entsteht, ist nachfolgendes mit Angebotsabgabe zur Verfügung zu stellen: (I)
o Datenschutzkonzept (wird Bestandteil des Vertrags bei Zuschlag): Beschreibung, welche Verarbeitungen von personenbezogenen Daten (inkl. Diagnose-/Telemetrie-/Metadaten) erforderlich sind, um den Dienst/Dienstleistung zu erbringen. Die Beschreibung enthält mindestens:
o Angabe der Kategorien personenbezogener Daten nebst Arten der personenbezogenen Daten,
o Zweck der Verarbeitung,
o Angabe der eingesetzten Unterauftragsverarbeiter nebst Funktion und Sitz,
o Anlage: Technische und organisatorische Maßnahmen
- Eigenerklärung, dass mit Zuschlag im Bedarfsfall die Vereinbarung zur Auftragsverarbeitung (vgl. Muster Auftragsverarbeitung DS-GVO) bezüglich im Auftrag verarbeiteter personenbezogener Daten mit der Auftraggeberin geschlossen wird. (A)
- Eigenerklärung, dass der Bieter (inklusive etwaiger Unterauftragsnehmer) keine personenbezogenen Daten (inkl. Diagnose- oder Telemetriedaten) für eigene Zwecke verarbeiten. (A)
- Eigenerklärung, dass die Erbringung der vertraglich vereinbarten Verarbeitung von personenbezogenen Daten ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum stattfindet (EU/EWR). (I)
-Wird eine Drittlandübermittlung von personenbezogenen Daten durch den Bieter nicht ausgeschlossen, sind die Anforderungen des Kapitels V der DS-GVO zu berücksichtigten und nachfolgendes mit Angebotsabgabe zur Verfügung zu stellen: (A)
o Angabe unter welchen Bedingungen des Kapitels V der DS-GVO die Drittlandübermittlung erfolgen soll. Falls sich der Bieter auf die neuen Standarddatenschutzklauseln* stützt, Übermittlung des Musters der Kommission, welches für den Abschluss verwendet werden soll, inklusive:
o Angabe, welche personenbezogenen Daten inkl. Diagnose-/Telemetrie-/Metadaten in welches Drittland übermittelt werden sollen (Kategorien personenbezogener Daten nebst Arten der personenbezogenen Daten, Zweck).
o Angabe der eingesetzten Unterauftragsverarbeiter nebst Sitz, Funktion und welche personenbezogene Daten diese verarbeiten.
o Angabe der vertraglichen, technischen und organisatorischen Maßnahmen, die ergriffen werden, um eine datenschutzkonforme Drittlandübermittlung und Verarbeitung zu gewährleisten (z. B. Pseudonymisierung, ausreichende Verschlüsselung).
o Die durch den Bieter durchgeführte Drittlandübermittlungs-Folgenabschätzung (Transfer Impact Assessment).
o Angabe, wie die Auftraggeberin bei Zugriffen oder Anträgen auf Offenlegung an den Auftragsverarbeiter (oder einen seiner Unterauftragsverarbeiter), durch Behörden eines Drittlandes auf personenbezogene Daten, unterrichtet wird (Informationskanal, z. B. per E-Mail). (A
- Ein angemessenes und wirksames Informationssicherheitsmanagementsystem (ISMS) nach den Vorgaben des BSI IT-Grundschutz oder ISO/IEC 27001, dessen Geltungsbereich die zu erbringende Dienstleistung mit den dabei verarbeiteten Informationen und den hierzu eingesetzten Anwendungen und informationstechnischen Systemen vollumfänglich abdeckt, muss nachgewiesen und aufrechterhalten werden.
Der Bieter verpflichtet sich, dies durch ein Zertifikat des BSI oder einer akkreditierten Zertifizierungsstelle nachzuweisen. Das Zertifikat muss spätestens bei Beginn des Bezugs der Leistung nachgewiesen werden. (A)
- Der Bieter sichert zu, nach entsprechenden Aktualisierungen bzw. Re-Zertifizierungen unaufgefordert das jeweils aktuelle Zertifikat nach den oben genannten Standards für die zu erbringende Dienstleistung vorzulegen. (A)
- Der Bieter verpflichtet sich, sicherheitsrelevante Vorfälle betreffend die zu erbringende Dienstleistung inkl. einer Risikobewertung sowie deren Behandlungstand unverzüglich zu melden. (A)
- Der Bieter stellt regelmäßig, mindestens jährlich, einen Statusbericht zur Informationssicherheit und zum Notfallmanagement mit den folgenden Mindestinhalten zur Verfügung: (A)
- Sicherheitsvorfälle im Berichtszeitraum
- Verbesserungsmaßnahmen aus dem ISMS
- Erfolgte Auditierungen und wesentliche Erkenntnisse
- Notfallübungen und wesentliche Ergebnisse
- Setzt der Bieter für die Bereitstellung der zu erbringenden Dienstleistung für die BITBW Mehrmandantensysteme ein, so setzt der Bieter für diese Systeme eine wirksame und nachweisbare logische Mandantentrennung um. (A)
- Der Bieter härtet seine für die zu erbringende Dienstleistung betriebenen Systeme und orientiert sich dabei an den Sicherheitsvorgaben der Hersteller sowie an gängigen Best-Practices. (A)
- Die für die zu erbringende Dienstleistung relevanten Unterauftragnehmer müssen im Hinblick auf die von ihnen erbrachten Services sämtliche relevanten Anforderungen und Sicherheitsanforderungen erfüllen wie der Bieter. Dies erstreckt sich auch auf die Einhaltung von Regelungen, sowie die Prüfrechte durch und Berichte an die BITBW.
Die entsprechenden vertraglichen Vereinbarungen sind vom Bieter mit den Unterauftragnehmern getroffen bzw. werden mit den Unterauftragnehmern getroffen. (A)
- Der Bieter verpflichtet sich, der BITBW oder einem von ihr beauftragten Dritten, im Rahmen von Dienstleister-Audits Auskunft und Einsicht zu gewähren, um die Angemessenheit und Wirksamkeit der realisierten Sicherheitsmaßnahmen in Bezug auf das vertraglich vereinbarte Sicherheitsniveau zu überprüfen. (A)
- Der Bieter erklärt sich bereit nach entsprechender Abstimmung und Ankündigung die für die BITBW betriebenen Systeme sicherheitstechnisch durch die BITBW oder von ihr beauftrage Dritte überprüfen zu lassen. Hierzu gehören bspw. Schwachstellenscans und Penetrationstests. (A)
- Der Bieter verpflichtet sich, relevante interne und externe Prüfungen die in einem Bezug zur Leistungserbringung stehen, der BITBW zur Kenntnis zu bringen. (A)
- Der Bieter sichert zu, dass die BITBW oder ein von ihr beauftragter Dritter in relevante Prüf- und Auditberichte Einsicht erhält, soweit dies rechtlich möglich ist. (A)
- Der Bieter verpflichtet sich ein Notfallmanagement nach einem national oder international anerkannten Standard in der jeweils aktuellen Fassung zu betreiben (bspw. BSI-Standard 200-4 oder ISO 22301). (A)
- Der Bieter verpflichtet sich, eine angemessene Aufbauorganisation für das Notfallmanagement zu etablieren und zu betreiben sowie die notwendigen Schnittstellen und erforderlichen Kontaktpersonen mit der BITBW zu vereinbaren. (A)
- Der Bieter verpflichtet sich gemeinsame Notfallübungen mit der BITBW durchzuführen. (A)
- Der Bieter verpflichtet sich, regelmäßige eigene Notfallübungen durchzuführen und relevante Ergebnisse der BITBW zur Kenntnis zu bringen. (A)
Bei (A) handelt es sich um Ausschlusskriterien, welche zwingend zu erfüllen sind. Eine Nichterfüllung, kann zum Ausschluss vom weiteren Verfahren führen.