Rahmenvertrag Dienstleistungen GSB-Betrieb

Beschreibung der Beschaffung

Die Leistungserbringung erfolgt entsprechend nach Aufwand mit einer Obergrenze von maximal 24.000 Personentagen (PT) bzw. 816.000 Personenstunden (PS) für die Vertragslaufzeit von 2 Jahren durch den Rahmenvertragspartner.
Für die gesamte Vertragslaufzeit (inkl. Optionen) beträgt die Höchstabnahmemenge 8.0003000 Personentagen (PT) bzw. 1248.000 Personenstunden (PS).

Liste und kurze Beschreibung der Regeln und Kriterien

Zum Nachweis der technischen und beruflichen Leistungsfähigkeit reichen Sie bitte mittels der Vorlage Referenzen zwei geeignete Referenzen in Bezug zur gegenständlichen Leistung ein. Die Leistungsbereiche umfassen dabei folgenden Schwerpunkt:
Betrieb von komplexen GSB7 Umgebungen im Multi-Mandanten Umfeld mit 2nd und 3rd Level Support, Fehleranalyse und Härtung der Umgebung als Reaktion auf Cyberangriffe.
Stellen Sie Ihre Leistungsfähigkeit für den Auftragsgegenstand und Ihre hierfür relevanten Erfahrungen anhand der Referenzen dar.
Im Falle von Bietergemeinschaften und Bietern, die andere Unternehmen im Rahmen der Eignungsleihe einbinden ist im Vordruck Referenzen im Feld "Referenz des Bewerbers / Bieters" der Leistungserbringer der Referenz, d.h. das betroffene Mitglied der Bietergemeinschaft bzw. das eignungsverleihende Unternehmen, anzugeben.
Nutzen Sie die Vorlage Referenzen, soweit erforderlich, bitte mehrfach.
Zu den Referenzen sind insbesondere folgende Angaben zu machen:
 Beschreibung der ausgeführten Leistungen,
 Wert des Auftrages in Euro, bezogen auf den maßgeblichen Referenzeitraum,
 Zeitraum der Leistungserbringung,
 Angabe der zuständigen Kontaktstelle bei der Auftraggeberin der Referenz mit Anschrift und Kontaktdaten.
 Darüber hinaus gelten die folgenden Mindestanforderungen an die benannten Referenzen:
a) Der Auftragsgegenstand umfasst folgende technische Schwerpunkte: Betrieb von komplexen GSB7 Umgebungen im Multi-Mandanten Umfeld mit 2nd und 3rd Level Support, Fehleranalyse und Härtung der Umgebung als Reaktion auf Cyberangriffe.

Der Auftragnehmer reagiert auf Cyberangriffe entlang konkret benannter Angriffsklassen, darunter:
- Webbasierte Applikationsangriffe gemäß OWASP Top 10
- Identity- und Credential-Angriffe inkl. Lateral Movement
- DDoS-Angriffe auf L3/4 und L7
- Ausnutzung bekannter Schwachstellen
Ein besonderer Schwerpunkt liegt auf der Absicherung und Härtung der eingesetzten Webserver- und Applikationsserver-Schichten auf Basis von Apache HTTPD, Nginx und Apache Tomcat. Dies umfasst die Konzeption, Pflege und situative Anpassung WAF-artiger Regelwerke wie:
- ModSecurity mit OWASP Core Rule Set
- Nginx-seitige Filter- und Rate-Limiting-Regeln
- Tomcat-Valves und Connector-Härtung
Erwartet wird je Szenario eine nachweisbare Reaktion mit Detektion, Eindämmung und Wiederherstellung innerhalb definierter, schweregradabhängiger SLAs. Zudem ist eine dauerhafte Härtung der Umgebung durchzuführen, einschließlich:
- Root-Cause-Analyse
- Maßnahmenableitung
- Wirksamkeitsnachweis
Die Erkennungs- und Reaktionsfähigkeit ist entlang BSI IT-Grundschutz und OWASP sowie anhand konkreter, real durchlaufener Vorfälle darzustellen.
b) Die Referenz darf nicht älter als drei Jahre sein (maßgeblich ist das Datum der letzten Leistungserbringung - gerechnet bis zum Datum der Auftragsbekanntmachung);
c) Die Referenz hat eine Mindestlaufzeit von 12 Monaten, etwaige Unterbrechungen der Leistungserbringung zählen nicht zur Mindestlaufzeit (maßgeblich ist die bis zum bis zum Datum der Auftragsbekanntmachung erreichte Laufzeit);
d) Der innerhalb der Referenz vom Unternehmen geleistete Umfang umfasst jeweils mindestens 500 PT/Jahr

Sofern es sich um eine Referenz handelt, die noch nicht abgeschlossen wurde, ist der bisher erreichte Leistungsstand anzugeben. Noch nicht realisierte Leistungsstände können nicht berücksichtigt werden.
Es ist hier mindestens zwei Referenzen gefordert. Es ist Ihnen unbenommen, weitere Referenzen zu benennen. Da das Austauschen einer fehlerhaften Referenz durch eine nach Fristende nachgereichte bedingungsgemäße Referenz nicht möglich ist und in den entsprechenden Fällen den Ausschluss des Bieters nach sich zieht, empfiehlt die Vergabestelle des ITZBund, eine Liste von weiteren als bedingungsgemäß betrachteten Referenzen einzureichen.
Das ITZBund behält sich vor, die angegebenen Referenzen zu verifizieren. Angaben, die einer Nachprüfung nicht standhalten, können zum Ausschluss vom Vergabeverfahren führen.
Sofern Sie aus berechtigten Geheimhaltungsgründen geforderte Angaben nicht machen können, teilen Sie diese Gründe der Vergabestelle des ITZBund mit und legen Sie einen anderen geeigneten Nachweis der technischen und beruflichen Leistungsfähigkeit vor. Die Vergabestelle entscheidet sodann nach pflichtgemäßem Ermessen über die Anerkennung des Alternativnachweises. Sofern Sie diesbezüglich unsicher sind, kontaktieren Sie die Vergabestelle unbedingt rechtzeitig vor Ablauf der Angebotsfrist in Form einer Bieterfrage. Ein Nachfordern und Beibringen eines anderen (geeigneteren) Nachweises ist nach dem Angebotsausschluss aus vergaberechtlichen Gründen nicht mehr möglich. Bitte berücksichtigen Sie in jedem Fall, dass Sie bei einer Mindestanforderung an den Wert des Auftrags auch Margen angeben können (bspw. > 100.000 EUR oder zwischen 100.000 und 200.000 EUR).

Liste und kurze Beschreibung der Regeln und Kriterien

Zum Nachweis der personellen Leistungsfähigkeit geben Sie bitte in der Anlage "Eigenerklärung Fachkräfte" die Anzahl der technischen Fachkräfte an, die im Zusammenhang mit der Leistungserbringung eingesetzt werden sollen
Im Bereich der Dienstleistungen für den Hosting Betrieb des GSB 7 wird folgende Mindestzahl pro Vertragsjahr gefordert:
 GSB7-Hosting Betrieb: 5 technische Fachkräfte (VZÄ).
Reichen Sie dazu bitte einen Nachweis in Form der ausgefüllten Anlage "Eigenerklärung Fachkräfte" ein.
Im Falle von Bietergemeinschaften werden die Zahlen der Mitarbeitenden der jeweiligen Bieterkonstellation addiert. Im Falle von Bietern, die andere Unternehmen im Rahmen der Eignungsleihe einbinden, reicht jedes eignungsverleihende Unternehmen die ausgefüllte Anlage "Eigenerklärung Fachkräfte" ein. Es gelten daher die Mitarbeiterzahlen des jeweiligen eignungsverleihenden Unternehmens.
Der 2nd und 3rd-Level-Support muss die folgenden Anforderungen erfüllen:
Allgemeine Anforderungen an das externe Unterstützungspersonal:
 Sehr gute Kenntnis der deutschen Sprache in Wort und Schrift, (Niveau C2)
 Bereitschaft zur Verpflichtung gemäß VerpflG und Verpflichtung auf das Datengeheimnis gemäß § 53 Bundesdatenschutzgesetz (BDSG)
 Bereitschaft zur Sicherheitsüberprüfung Niveau Ü2 gemäß Sicherheitsüberprüfungsgesetz (SÜG)
Fachliche Anforderungen:
Für die einzusetzende Fachkraft wird hinsichtlich der nachfolgend aufgeführten fachlichen Anforderungen eine Praxiserfahrung und Befähigung zur projektspezifischen Leistungserbringung auf dem Niveau eines "Professional / Advanced" vorausgesetzt. Dies erfordert fundierte, praxiserprobte Kenntnisse sowie eine selbstständige Arbeitsweise in der beschriebenen Rolle. Als objektiver Maßstab für diese Erfahrungsstufe wird eine einschlägige Berufserfahrung von mindestens 3 Jahren in vergleichbaren Projekten gefordert.
CMS-Betrieb (GSB 7 / CoreMedia)
 Installation & Patching: Einspielen von GSB-Releases und Hotfixes sowie Aktualisierung der CoreMedia-Komponenten (Content Server, CAE, Studio).
 Performance-Tuning: Optimierung der Content Application Engine (CAE) und Konfiguration des CAE-Cachings zur Reduzierung von Latenzzeiten.
 Content-Migration: Planung und Durchführung automatisierter Importe/Exporte von Inhaltsbeständen zwischen verschiedenen GSB-Instanzen.
 Fehlersuche (Troubleshooting): Analyse komplexer Log-Dateien (Stack-Traces) zur Identifikation von Fehlern im Redaktions- oder Auslieferungsprozess.
Infrastruktur & Delivery (NGINX & Citrix Netscaler)
 NGINX-Härtung: Konfiguration sicherer TLS-Protokolle, Cipher-Suites und Security-Header (HSTS, CSP) zur Absicherung der Web-Auslieferung
 Loadbalancing: Einrichtung von Persistence-Regeln (Sticky Sessions) zur stabilen Nutzerführung durch die GSB-Infrastruktur.
 Caching-Strategien: Aufbau mehrstufiger Caching-Konzepte zwischen NGINX (Reverse Proxy) und dem CMS-Backend zur Abfederung von Lastspitzen.
 Routing: Erstellung komplexer Rewrite-Rules und Redirect-Kataloge für barrierefreie und SEO-konforme URLs.
Identity & Access Management (IAM)
 IAM-Integration: Anbindung an einen IAM service (z.B. keycloak, Forgerock)
 Schnittstellen-Konfiguration: Implementierung von Authentifizierungs-Schnittstellen (OIDC) für personalisierte Portale.
Datenbanken & Datenhaltung
 Betrieb & Wartung: Überwachung der Oracle Datenbank-Performance (Oracle) und Durchführung von Index-Optimierungen.
 Backup & Recovery: Erstellung und regelmäßige Validierung von Desaster-Recovery-Szenarien zur Sicherstellung der Datenverfügbarkeit.
 Schema-Updates: Begleitung von Datenbank-Migrationen im Zuge von GSB-Versionssprüngen.
Security & BSI-Compliance
 Grundschutz-Umsetzung: Praktische Anwendung der BSI-Vorgaben auf die Server-Landschaft.
 Logging & Monitoring: Nutzung und ggfs. Ausbau des zentralen Log-Management zur Überwachung sicherheitsrelevanter Ereignisse.

Praktische Kenntnisse in folgenden Tools / Technologien in der angegebenen Version oder aktueller:
 Tomcat 9
 Apache 2.4.x
 GSB 7.2
Reichen Sie als Beleg für das Vorliegen der Anforderungen der technischen Leistungsfähigkeit die Eigenerklärung zur Anzahl der Fachkräfte mit der Anlage "Eigenerklärung Fachkräfte" ein.

Liste und kurze Beschreibung der Regeln und Kriterien

Zum Nachweis der wirtschaftlichen und finanziellen Leistungsfähigkeit ist der Gesamtumsatz/ Umsatz im Tätigkeitsbereich des Auftrags für die letzten drei Geschäftsjahre anzugeben.
Der geforderte bereichsspezifische Netto-Mindestumsatz für jedes Geschäftsjahr beträgt 3.500.000 EUR (netto).
Der Netto-Jahresumsatz ist dann bereichsspezifisch, wenn er sich auf die dargestellten Leistungsinhalte der Anlage "Leistungsbeschreibung" bezieht.
Übersenden Sie bitte die ausgefüllte Anlage Eigenerklärung Umsatz, welche die jeweiligen Jahreswerte der letzten drei Geschäftsjahre vor Auftragsbekanntmachung belegt.
Im Falle von Bietergemeinschaften werden die Umsätze der jeweiligen Bieterkonstellation addiert. Bei Vorliegen einer Bietergemeinschaft ist die Anlage Eigenerklärung Umsatz von dem bevollmächtigten Mitglied der Bietergemeinschaft für die jeweiligen Mitglieder der Bietergemeinschaft auszufüllen. Im Falle von Bietern, die andere Unternehmen im Rahmen der Eignungsleihe einbinden, ist der o.g. Mindestumsatz für die letzten drei Geschäftsjahre vom eignungsverleihenden Unternehmen anzugeben. Übersenden Sie bitte für jedes eignungsverleihendes Unternehmen die ausgefüllte Anlage Eigenerklärung Umsatz.
Sofern Sie aus berechtigten Gründen die Unterlagen nicht beibringen können, teilen Sie diese Gründe der Vergabestelle des ITZBund mit und legen Sie einen anderen geeigneten Nachweis der wirtschaftlichen und finanziellen Leistungsfähigkeit vor. Die Vergabestelle entscheidet sodann nach pflichtgemäßem Ermessen über die Anerkennung des Alternativnachweises. Sofern Sie diesbezüglich unsicher sind, kontaktieren Sie die Vergabestelle unbedingt rechtzeitig vor Ablauf der Angebotsfrist in Form einer Bewerber-/Bieterfrage. Ein Nachfordern und Beibringen eines anderen (geeigneteren) Nachweises ist nach dem Angebotsschluss aus vergaberechtlichen Gründen nicht mehr möglich.

Genaue Informationen über Fristen für Überprüfungsverfahren

Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein.

Antragsbefugt ist jedes Unternehmen, das ein Interesse am Auftrag hat und eine Verletzung in seinen Rechten nach § 97 Abs. 6 GWB durch Nichtbeachtung von Vergabevorschriften geltend macht. Dabei ist darzulegen, dass dem Unternehmen durch die behauptete Verletzung der Vergabevorschriften ein Schaden entstanden ist oder zu entstehen droht.

Der Antrag ist unzulässig, soweit
1) der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 bleibt unberührt,

2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis Ablauf der in der Bekanntmachung benannten Frist zur Angebotsabgabe oder zur Bewerbung gegenüber dem Auftraggeber gerügt werden,

3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Bekanntmachung benannten Frist zur Angebotsabgabe oder zur Bewerbung gegenüber dem Auftraggeber gerügt werden,

4) mehr als 15 Kalendertage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind.

Der Antrag ist schriftlich bei der Vergabekammer einzureichen und unverzüglich zu begründen.