Unterstützungsleistungen für das Projekt -Umsetzung DORA-

Beschreibung

Der Auftraggeber hat dieses Verfahren nach der Veröffentlichung angepasst.

1. 27.02.2025 📅 Frist verlängert

   Die Angebotsfrist für beide Lose wird um eine Woche verlängert.

Maßgeblich ist stets die Original-Bekanntmachung beim Auftraggeber. Vollständiger Verfahrensverlauf →

Vollständige Historie dieses Vergabeverfahrens — alle Phasen und Veröffentlichungen.

1. Ausschreibung

   Angebote werden eingeholt

   2 Veröffentlichungen

   • Frist 13.03.2025 Die Angebotsfrist für beide Lose wird um eine Woche verlängert. · in TED EU + oev →
   • Frist 06.03.2025 Original-Veröffentlichung →
2. ↓ 18 Monate später
3. Vertragsänderung Sie sind hier

   Zusätzliche Lieferungen/Leistungen beauftragt

   3 Veröffentlichungen

   • 23.08.2026 In H2/2025 hat das Teilprojekt „ISM“ im DORA-Projekt die vollständige Erstellung der schriftlich fixierten Ordnung entsprechend der BaFin-Dokumentationsanforderungsübersicht abgeschlossen. Bedingt durch die im Projektverlauf konkretisierte fachliche Zielsetzung, insbesondere die Anweisungen, Prozesse und Instrumente in den Bereichen der ersten Verteidigungslinie prüfungsfest zu operationalisieren und zu implementieren, ergeben sich erweiterte Folgeaufgaben für 2026 und 2027, die zwingend zur Erreichung einer vollständigen DORA-Compliance erforderlich sind: • Ableitung konkreter Konzepte, Standards und Verfahren aus dem Sollvorgabenkatalog (einschließlich Reifegrade, Kontrolldesign, Prozesszuordnung, Priorisierung) • Weitere Verzahnung der Ergebnisse mit nachgelagerten Arbeitspaketen zwecks inhaltlichem „Sparring“ und der Erreichung konsistenter Gesamtlösungen • Weiterentwicklung von Rollen-, Gremien- und Kontrollmechanismen unter DORA Securenication GmbH hat bei der Konzeption und Abstimmung der bestehenden Lösungen im Projekt maßgeblich mitgewirkt und ist bereits in wesentliche projektbezogene Themenstellungen umfassend eingebunden, insbesondere in den Bereichen IT-Projektmanagement, IT-Security und IT-Governance aber auch in den Funktionen der zweiten Verteidigungslinie. Aufgrund dieser bestehenden und für den Projekterfolg maßgeblichen Vorkenntnisse ist eine zwingende Fortführung der Projektbeteiligung erforderlich, um die inhaltliche Kontinuität sowie die fachliche Qualität der Projektbearbeitung sicherzustellen. Ohne diese wesentlichen Vorkenntnisse würden Kontextinformationen, die für den Projekterfolg maßgeblich sind, verloren gehen. Vor diesem Hintergrund wäre ein Wechsel des Auftragnehmers für die zusätzlichen Leistungen nicht lediglich mit üblichen Einarbeitungsaufwänden verbunden. Vielmehr würden aufgrund der engen inhaltlichen Verzahnung mit den bereits durch Securenication erbrachten Leistungen erhebliche zusätzliche Aufwände, Doppelarbeiten und Verzögerungen entstehen. Die Fortführung der Leistungen durch die Securenication vermeidet diese zusätzlichen Aufwände und ermöglicht die unmittelbare Weiterarbeit auf Basis der bereits im Projekt erarbeiteten fachlichen und technischen Grundlagen. ---------------------------------------------------------------------------------------------------------------------------------------------------- In der Konsequenz wurden daraufhin weitere umfangreiche Arbeitspakete zur Herstellung der DORA-Konformität zusätzlich zu den bereits identifizierten Arbeitspaketen aufgesetzt, so dass der Umfang der relevanten Arbeitspakete von 18 auf 25 erhöht wurde. In der zu Grunde liegenden Gap-Analyse war die beauftragte Firma Securenication intensiv eingebunden. Zusätzlich haben nicht geplante personelle Abgänge in wesentlichen DORA-Bereichen (z.B. Informationssicherheit) dazu geführt, dass der Arbeitsaufwand in einigen Arbeitspaketen, der durch interne Mitarbeitende geleistet werden sollte, durch Mitarbeitende von Securenication substituiert werden musste. ---------------------------------------------------------------------------------------------------------------------------------------------------- Die Komplexität des Projektes ist im Vergleich zur ursprünglichen Annahme stark angestiegen und macht auch daher eine intensivere Unterstützung der Projektleitung und der Projektmitarbeitenden notwendig, um eine angemessene DORA-Konformität herzustellen. Aus diesem Grund ist das ursprünglich geplante Auftragsvolumen nicht mehr ausreichend und muss entsprechend erweitert werden. -------------------------------------------------------------------------------------------------------------------------------------------------------- Ein Wechsel des Dienstleisters inmitten des laufenden Projektes ist nicht zielführend, da die IB.SH eine umfassende Ausschreibung durchführen und einen neuen Dienstleister intensiv einarbeiten müsste. Dies gilt insbesondere vor dem Hintergrund, dass die Firma Securenication auch in der operativen Projektarbeit sowie in der Vernetzung der internen Expertise über mehrere IB.SH-Ebenen intensiv eingebunden ist. Die Herstellung einer angemessenen operativen Resilienz und Sicherheit (z.B. gegenüber aktuellen Cyberangriffen) wäre daher einer erheblichen Verzögerung unterworfen. Dieses Risiko ist für die IB.SH nicht akzeptabel. aktuell
   • 05.01.2026 Das Teilprojekt „ISM“ im DORA-Projekt hat in H2/2025 die vollständige Erstellung von 21 Richtlinien und 3 Leitlinien entsprechend der BaFin-Dokumentationsanforderungsübersicht abgeschlossen. ---------------------------------------------------------------------------------------------------------------------------------------------------- Bedingt durch die im Projektverlauf konkretisierte und erweiterte fachliche Zielsetzung, insbesondere die stärkere Fokussierung auf prüfungsfeste Operationalisierung sowie der Transformation einer bisher BSI-Grundschutz-gestützten hin zu einer ISO27001-basierten Methodik, ergeben sich folgende aufsichtsrelevante Folgeprodukte- und aufgaben für 2026, die zwingend zur Erreichung einer vollständigen DORA-Compliance erforderlich sind: • Erstellung eines Sollmaßnahmenkatalogs (einschließlich Reifegrade, Kontrolldesign, Prozesszuordnung, Priorisierung); • Operationalisierung der Richtlinien (run-the-bank (RTB) & change-the-bank (CTB)) und weitere Verzahnung mit nachgelagerten Arbeitspaketen zwecks inhaltlichem „Sparring“; • Weiterentwicklung von Rollen-, Gremien- und Kontrollmechanismen unter DORA bedingt durch den fachlichen Wechsel von BSI- auf ISO-Methodik. ---------------------------------------------------------------------------------------------------------------------------------------------------- Publicis Sapient GmbH hat bei der Konzeption und Abstimmung der Richtlinienarchitektur maßgeblich mitgewirkt. Alle fachlichen Ableitungen für den Sollmaßnahmenkatalog basieren auf den Inhalten der Richtlinienarchitektur. Die Publicis Sapient GmbH ist bereits in wesentliche projektbezogene Themenstellungen umfassend eingebunden, insbesondere in den Bereichen IT-Betrieb, ZAM, BCM, Einkauf, Compliance, Recht und Revision. ---------------------------------------------------------------------------------------------------------------------------------------------------- Aufgrund dieser bestehenden und für den Projekterfolg maßgeblichen Vorkenntnisse ist eine zwingende Fortführung der Projektbeteiligung erforderlich, um die inhaltliche Kontinuität sowie die fachliche Qualität der Projektbearbeitung sicherzustellen. Ohne diese wesentlichen Vorkenntnisse würden Kontextinformationen, die für den Projekterfolg maßgeblich sind, verloren gehen. ------------------------------------------------------------------------------------------------------------------------------------------------------- Ein Wechsel des Dienstleisters inmitten des laufenden Projektes ist nicht zielführend, da die IB.SH eine umfassende Ausschreibung durchführen und einen neuen Dienstleister intensiv einarbeiten müsste. Dies gilt insbesondere vor dem Hintergrund, dass die Firma Publicis Sapient GmbH auch in der operativen Projektarbeit sowie in der Vernetzung der internen Expertise über mehrere IB.SH-Ebenen intensiv eingebunden ist. Die Herstellung einer angemessenen operativen Resilienz und Sicherheit (z.B. gegenüber aktuellen Cyberangriffen) wäre daher einer erheblichen Verzögerung unterworfen. Dieses Risiko ist für die IB.SH nicht akzeptabel. →
   • 20.11.2025 Die Planung für das Los 1 im Projekt zur Umsetzung der DORA-Anforderungen in der IB.SH basierte aus den Annahmen aus der vorgelagerten Vorstudie zu diesem Thema. Nach Abschluss der Ausschreibung im April 2025 wurde der Zuschlag für dieses Los an die Firma Securenication erteilt. Gemeinsam mit dieser wurde dann eine Standortanalyse durchgeführt, die Annahmen der Vorstudie im Detail validiert und den Projektplan für die Jahre 2025 und 2026 konkretisiert. Es zeigte sich, dass der Umsetzungsaufwand in diesem Projekt höher als ursprünglich angenommen war. ---------------------------------------------------------------------------------------------------------------------------------------------------- In der Konsequenz wurden daraufhin weitere umfangreiche Arbeitspakete zur Herstellung der DORA-Konformität zusätzlich zu den bereits identifizierten Arbeitspaketen aufgesetzt, so dass der Umfang der relevanten Arbeitspakete von 18 auf 25 erhöht wurde. In der zu Grunde liegenden Gap-Analyse war die beauftragte Firma Securenication intensiv eingebunden. Zusätzlich haben nicht geplante personelle Abgänge in wesentlichen DORA-Bereichen (z.B. Informationssicherheit) dazu geführt, dass der Arbeitsaufwand in einigen Arbeitspaketen, der durch interne Mitarbeitende geleistet werden sollte, durch Mitarbeitende von Securenication substituiert werden musste. ---------------------------------------------------------------------------------------------------------------------------------------------------- Die Komplexität des Projektes ist im Vergleich zur ursprünglichen Annahme stark angestiegen und macht auch daher eine intensivere Unterstützung der Projektleitung und der Projektmitarbeitenden notwendig, um eine angemessene DORA-Konformität herzustellen. Aus diesem Grund ist das ursprünglich geplante Auftragsvolumen nicht mehr ausreichend und muss entsprechend erweitert werden. -------------------------------------------------------------------------------------------------------------------------------------------------------- Ein Wechsel des Dienstleisters inmitten des laufenden Projektes ist nicht zielführend, da die IB.SH eine umfassende Ausschreibung durchführen und einen neuen Dienstleister intensiv einarbeiten müsste. Dies gilt insbesondere vor dem Hintergrund, dass die Firma Securenication auch in der operativen Projektarbeit sowie in der Vernetzung der internen Expertise über mehrere IB.SH-Ebenen intensiv eingebunden ist. Die Herstellung einer angemessenen operativen Resilienz und Sicherheit (z.B. gegenüber aktuellen Cyberangriffen) wäre daher einer erheblichen Verzögerung unterworfen. Dieses Risiko ist für die IB.SH nicht akzeptabel. →
4. Vergabeergebnis

   Auftrag wurde zugeschlagen · 70 Tage nach Fristende

   Auftragnehmer (2) Publicis Sapient GmbH · Securenication GmbH

   1 Veröffentlichung

   • 22.05.2025 Original-Veröffentlichung · in TED EU + oev →

Preiseinschätzung