Liste und kurze Beschreibung der Auswahlkriterien
- Eigenerklärung, dass der Auftraggeberin immer die aktuelle Ansprechperson für die Vertragsabwicklung bekanntgegeben wird. (A)
- Eigenerklärung, dass der Bieter Kenntnisse mit dem Hosting und Betrieb der pirobase Software besitzen. (A)
- Eigenerklärung, dass die Leistungen im Hosting- und Applikationsbetrieb aufgrund der systemkritischer Bedeutung der Webaufritte ausschließlich in Deutschland erbracht werden müssen. (A)
- Eigenerklärung, dass die Erreichbarkeit via Telefon und E-Mail gewährleistet werden kann. Der Kontakt muss in beiden Fällen in deutscher Sprache (mind. Niveau C1) erfolgen. (A)
- Nachweis von Projektreferenz über die bisherigen Webauftritte auf Basis von des Pirobase CMS, die bei Auftragnehmer betrieben/gehostet werden. Die Angabe muss in Art und Umfang mit der zu vergebenden Leistung vergleichbar sein. (A)
- Eigenerklärung, dass der Bieter die nachfolgend aufgelisteten Gesetze, Richtlinien und Standards im Rahmen der Leistungserbringung berücksichtigt: (A)
- Datenschutzgesetz des Bundes (BDSG), des Landes (LDSG BW)
und DS-GVO
- Eigenerklärung, dass der Bieter mit Zuschlag im Bedarfsfall die Vereinbarung zur Auftragsverarbeitung (vgl. Muster Auftragsverarbeitung DS-GVO) bezüglich im Auftrag verarbeiteter personenbezogener Daten mit der Auftraggeberin geschlossen wird. (A)
- Eigenerklärung, dass der Bieter (inklusive etwaiger Unterauftragsnehmer) keine personenbezogenen Daten (inkl. Diagnose- oder Telemetriedaten) für eigene Zwecke verarbeiten. (A)
- Wird eine Drittlandübermittlung von personenbezogenen Daten durch den Bieter nicht ausgeschlossen, sind die Anforderungen des Kapitels V der DS-GVO zu berücksichtigten und nachfolgendes mit Angebotsabgabe zur Verfügung zu stellen: (A)
- Angabe unter welchen Bedingungen des Kapitels V der DS-GVO die Drittlandübermittlung erfolgen soll. Falls sich der Bieter auf die neuen Standarddatenschutzklauseln* stützt, Übermittlung des Musters der Kommission, welches für den Abschluss verwendet werden soll, inklusive:
o Angabe, welche personenbezogenen Daten inkl. Diagnose-/Telemetrie-/Metadaten in welches Drittland übermittelt werden sollen (Kategorien personenbezogener Daten nebst Arten der personenbezogenen Daten, Zweck).
o Angabe der eingesetzten Unterauftragsverarbeiter nebst Sitz, Funktion und welche personenbezogene Daten diese verarbeiten.
o Angabe der vertraglichen, technischen und organisatorischen Maßnahmen, die ergriffen werden, um eine datenschutzkonforme Drittlandübermittlung und Verarbeitung zu gewährleisten (z. B. Pseudonymisierung, ausreichende Verschlüsselung).
o Die durch den Bieter durchgeführte Drittlandübermittlungs-Folgenabschätzung (Transfer Impact Assessment).
o Angabe, wie die Auftraggeberin bei Zugriffen oder Anträgen auf Offenlegung an den Auftragsverarbeiter (oder einen seiner Unterauftragsverarbeiter), durch Behörden eines Drittlandes auf personenbezogene Daten, unterrichtet wird (Informationskanal, z. B. per E-Mail). (A)
- Ein angemessenes und wirksames Informationssicherheitsmanagementsystem (ISMS) nach den Vorgaben des BSI IT-Grundschutz oder ISO/IEC 27001, dessen Geltungsbereich die zu erbringende Dienstleistung mit den dabei verarbeiteten Informationen und den hierzu eingesetzten Anwendungen und informationstechnischen Systemen vollumfänglich abdeckt, muss nachgewiesen und aufrechterhalten werden.
Der Bieter verpflichtet sich, dies durch ein Zertifikat des BSI oder einer akkreditierten Zertifizierungsstelle nachzuweisen. Das Zertifikat muss spätestens bei Beginn des Bezugs der Leistung nachgewiesen werden. (A)
- Eigenerklärung, dass der Bieter nach entsprechenden Aktualisierungen bzw. Re-Zertifizierungen unaufgefordert das jeweils aktuelle Zertifikat nach den oben genannten Standards für die zu erbringende Dienstleistung vorzulegen. (A)
- Eigenerklärung, dass der Bieter sicherheitsrelevante Vorfälle betreffend die zu erbringende Dienstleistung inkl. einer Risikobewertung sowie deren Behandlungstand unverzüglich meldet. (A)
- Eigenerklärung, dass der Bieter regelmäßig, mindestens jährlich, einen Statusbericht zur Informationssicherheit und zum Notfallmanagement mit den folgenden Mindestinhalten zur Verfügung stellt: (A)
- Sicherheitsvorfälle im Berichtszeitraum
- Verbesserungsmaßnahmen aus dem ISMS
- Erfolgte Auditierungen und wesentliche Erkenntnisse
- Notfallübungen und wesentliche Ergebnisse
- Eigenerklärung, dass der Bieter für die zu erbringende Dienstleistung über ein Testat nach dem Kriterienkatalog C5 des BSI in deutscher Sprache verfügt. Der Bieter verpflichtet sich, das Testat vorzulegen und dieses aufrecht zu erhalten. (A)
- Eigenerklärung, dass der Bieter zu sichert, nach entsprechenden Aktualisierungen das jeweils aktuelle Testat nach C5 unaufgefordert an die BITBW zu übermitteln. (A)
- Eigenerklärung, dass der Bieter für die Bereitstellung der zu erbringenden Dienstleistung für die BITBW Mehrmandantensysteme einsetzt, so setzt der Bieter für diese Systeme eine wirksame und nachweisbare logische Mandantentrennung um. (A)
- Eigenerklärung, dass der Bieter seine für die zu erbringende Dienstleistung betriebenen Systeme härtet und sich dabei an den Sicherheitsvorgaben der Hersteller sowie an gängigen Best-Practices orientiert. (A)
- Eigenerklärung, dass die für die zu erbringende Dienstleistung relevanten Unterauftragnehmer müssen im Hinblick auf die von ihnen erbrachten Services sämtliche relevanten Anforderungen und Sicherheitsanforderungen erfüllen wie der Bieter. Dies erstreckt sich auch auf die Einhaltung von Regelungen, sowie die Prüfrechte durch und Berichte an die BITBW.
Die entsprechenden vertraglichen Vereinbarungen sind vom Bieter mit den Unterauftragnehmern getroffen bzw. werden mit den Unterauftragnehmern getroffen. (A)
- Eigenerklärung, dass sich der Bieter verpflichtet, der BITBW oder einem von ihr beauftragten Dritten, im Rahmen von Dienstleister-Audits Auskunft und Einsicht zu gewähren, um die Angemessenheit und Wirksamkeit der realisierten Sicherheitsmaßnahmen in Bezug auf das vertraglich vereinbarte Sicherheitsniveau zu überprüfen. (A)
- Eigenerklärung, dass der Bieter sich bereit erklärt nach entsprechender Abstimmung und Ankündigung die für die BITBW betriebenen Systeme sicherheitstechnisch durch die BITBW oder von ihr beauftrage Dritte überprüfen zu lassen. Hierzu gehören bspw. Schwachstellenscans und Penetrationstests. (A)
- Eigenerklärung, dass der Bieter sich verpflichtet , relevante interne und externe Prüfungen die in einem Bezug zur Leistungserbringung stehen, der BITBW zur Kenntnis zu bringen. (A)
- Eigenerklärung, dass der Bieter zusichert, dass die BITBW oder ein von ihr beauftragter Dritter in relevante Prüf- und Auditberichte Einsicht erhält, soweit dies rechtlich möglich ist. (A)
- Eigenerklärung, dass sich der Bieter verpflichtet ein Notfallmanagement nach einem national oder international anerkannten Standard in der jeweils aktuellen Fassung zu betreiben (bspw. BSI-Standard 200-4 oder ISO 22301). (A)
- Eigenerklärung, dass sich der Bieter verpflichtet, eine angemessene Aufbauorganisation für das Notfallmanagement zu etablieren und zu betreiben sowie die notwendigen Schnittstellen und erforderlichen Kontaktpersonen mit der BITBW zu vereinbaren. (A)
- Eigenerklärung, dass sich der Bieter verpflichtet gemeinsame Notfallübungen mit der BITBW durchzuführen. (A)
- Eigenerklärung, dass der Bieter sich verpflichtet, regelmäßige eigene Notfallübungen durchzuführen und relevante Ergebnisse der BITBW zur Kenntnis zu bringen. (A)
- Weitere Anforderungen ergeben sich aus dem Angebotsblatt Unternehmen. (A)
Bei (A) handelt es sich um Ausschlusskriterien, welche zwingend zu erfüllen sind. Eine Nichterfüllung, kann zum Ausschluss vom weiteren Verfahren führen.