Einführung und der Betrieb EDR/XDR & Managed Security Operations Center (SOC)

Der Auftragnehmer muss eine Haftpflichtversicherung in Höhe von mindestens 5 Mio. EUR p.a. für SACH- und VERMÖGENSSCHÄDEN (Bescheinigung des Versicherungsgebers oder Bescheinigung eines Versicherungsgebers) nachweisen. Der Auftragnehmer muss eine Haftpflichtversicherung in Höhe von mindestens 5 Mio. EUR pro Schadensfall für PERSONENSCHÄDEN (Bescheinigung des Versicherungsgebers oder Bescheinigung eines Versicherungsgebers) nachweisen.

Eigenerklärung zur Eignung, Details sind den Vergabeunterlagen zu entnehmen. Nachweise (Insolvenz, Liquidation, Zuverlässigkeit, Zahlung von Steuern, Abgaben und Sozialversicherungsleistungen, Unfallversicherung, Anmeldung Berufsgenossenschaft) sind auf gesondertes Verlangen der Vergabestelle vorzulegen.

Die Bieter / Bietergemeinschaften müssen ihre wirtschaftliche und finanzielle Leistungsfähigkeit nachweisen. Dabei müssen die folgenden genannten Anforderungen im Falle einer Bietergemeinschaft durch die Bietergemeinschaft insgesamt erfüllt sein. Für die Beurteilung der wirtschaftlichen und finanziellen Leistungsfähigkeit einer Bietergemeinschaft wird die Bietergemeinschaft als Ganzes beurteilt. Es ist daher ausreichend, wenn mindestens ein Mitglied der Bietergemeinschaft die geforderten Erklärungen und Nachweise erbringt. Nachweis über den Gesamtumsatz sowie dem Umsatz bzgl. vergleichbarer Leistungen der letzten drei abgeschlossenen Geschäftsjahre. Dabei muss nachgewiesen werden, dass der Umsatz des letzten Geschäftsjahres mit vergleichbaren Leistungen mindestens EUR 1 Mio (netto) beträgt. Der Auftraggeber behält sich vor, die Jahresabschlüsse der letzten drei abgeschlossenen Geschäftsjahre nachzufordern.

Vorlage von mindestens drei Referenzen, also Liste der vom Bieter und ggf. von Nachunternehmern in den letzten 4 Jahren erbrachten Leistungen, die mit der zu vergebenden Leistung vergleichbar sind, unter Angabe des genauen Auftrags, der Auftragssumme, des Auftraggebers, der Leistungsart und Leistungszeiträume, Ansprechpartner beim Auftraggeber inkl. Kontaktdaten und Rolle im Unternehmen. Die Leistungserbringung muss nach dem 01.01.2022 erfolgt sein. Der Auftrag muss nicht abgeschlossen sein, sondern kann zum Zeitpunkt der Antragsabgabe fortdauern. Die Leistung muss für die Anerkennung der zum Zeitpunkt der Antragabgabe bereits seit mindestens 24 Monate erbracht worden sein. Datenschutzrechtlicher Hinweis: Für die übermittelten Daten zu den Ansprechpartnern werden vertrauliche Behandlung und die Verwendung nur im Rahmen dieser Ausschreibung seitens des Auftraggebers zugesichert. Vergleichbare Leistungen sind: Implementierung und Betrieb einer am Markt verfügbaren EDR/XDR-Lösung (inkl. eines System zur Sicherheitsinformations- und Ereignisüberwachung mit Vorfallreaktion) mit einem Managed SOC Service. Zwei Referenzen müssen als Auftraggeber öffentliche Auftraggeber i.S.d. §99 GWB ausweisen. Nachzuweisen sind mindestens drei vergleichbare Aufträge. Für den Fall, dass ein Bieter einzelne Unternehmen als Nachunternehmer einsetzen möchte, wird auf die Möglichkeit der Eignungsleihe und die in § 47 VgV genannten Voraussetzungen hingewiesen. Wenn und soweit sich der Bieter auf die Eignung eines anderen Unternehmens beruft, ist mit dem Angebot insbesondere eine Verpflichtungserklärung des anderen Unternehmens einzureichen, dass dieses seine Ressourcen und Kapazitäten dem Bieter im Auftragsfall zur Verfügung stellt. Bei der Eignungsprüfung werden Bietergemeinschaften als Ganzes betrachtet. Bieter sollen die auf der Vergabeplattform hinterlegten Vordrucke verwenden. Der Auftraggeber behält sich vor, Unterlagen im Rahmen des § 56 Abs. 2 VgV nachzufordern. Hierauf besteht kein Rechtsanspruch. Die Bewerber erhalten je Referenz maximal 1.000 Punkte. Das genaue Bewertungsschema entnehmen Sie bitte dem entsprechenen Abschnitt der Ausschreibungsunterlagen zum Teilnahmewettbewerb. Maximal erhalten die Bewerber für alle Referenzen 5.000 Punkte. Sollte ein Bewerber mehr als fünf Referenzen einreichen, bewertet der Auftraggeber nur die besten fünf Referenzen.

Der Bieter muss erklären, in den letzten drei abgeschlossenen Geschäftsjahren durchschnittlich mindestens 10 Mitarbeiter (Vollzeitäquivalent) im Managed Secutriy Operations Center (MSOC) zu beschäftigten. Diese müssen im Bereich SOC Analyse tätig sein (Level 1 - Monitoring oder Level 2 - Analyse). Der Bieter weist nach, dass alle genannten MSOC-Analysten mindestens über eines der nachfolgend aufgeführten Personenzertifizierungen oder über vergleichbare Zertifikate mit Schwerpunkt Security Incident Management verfügen: Certified Information Systems Security Professional (CISSP) Certified Information Security Manager (CISM) Certified Ethical Hacker (CEH) TeleTrusT Information Security Professional (T.I.S.P.) Cyber Security Expert (CSE) Cyber Security Professional (CSP) Datenschutzrechtlicher Hinweis: Für die übermittelten Daten zu den Ansprechpartnern werden vertrauliche Behandlung und die Verwendung nur im Rahmen dieser Ausschreibung seitens des Auftraggebers zugesichert. Zum Nachweis verwenden Sie bitte das "Formblatt Mitarbeiter-Referenzen.xslx". Für jeden MSOC-Analysten, über den der Bewerber verfügt (Vollzeitäquivalent/FTE) und für den er eine der genannten Personenzertifizierungen oder vergleichbaren Zertifikate nachweist, erhält der Bewerber 50 Punkte. Maximal erhält ein Bewerber in diesem Auswahlkriterium 500 Punkte (bei 10 MSOC-Analysten, die über eine der genannten Personenzertifizierungen oder vergleichbaren Zertifikaten verfügen).

Der Landkreis Rotenburg (Wümme) unterliegt als Körperschaft des öffentlichen Rechts besonderen regulatorischen Anforderungen. In der Folge muss der Landkreis Rotenburg (Wümme) stets eine hohe Verlässlichkeit ihrer IT-Sicherheitsinfrastruktur und des IKT-Risikomanagements gewährleisten. Der Bieter muss daher erklären, dass er die Leistung zu mindestens 50 % selbst und nicht durch Subunternehmer erbringt. Maßgeblich für die Eigenerbringungsquote ist die Anzahl der vom AN bearbeiteten Alarme.

Der Bieter erklärt, dass er über Systeme zur verschlüsselten E-Mail-Kommunikation verfügt, die PGP (Pretty Good Privacy) oder alternativ S/MIME (Secure/Multipurpose Internet Mail Extensions) unterstützen und diese während der Auftragserbringung einsetzt. Die Verfügbarkeit ist durch eine Eigenerklärung oder ein technisches Konzept nachzuweisen, das den Einsatz solcher Systeme beim Bieter beschreibt.

Der Bieter sichert zu, dass er sich und etwaige Subunternehmer vertraglich verpflichtet, dass personenbezogene Daten ausschließlich und vollständig innerhalb der Europäischen Union oder der Schweiz verarbeitet und gespeichert werden und alle Datenverarbeitungsvorgänge DSGVO-konform sind. Die Beibringung der AVVs für alle Bestandteile der Dienstleistung wird nach Zuschlag und vor Vetragsabschluss fällig. Der Sitz der Gesellschaft des Bieters und gegebenenfalls von Subunternehmern ist und bleibt während der gesamten Vertragslaufzeit innerhalb der Europäischen Union (EU) oder der Schweiz. Der Bieter erklärt, dass er als AN über die gesamte Vertragslaufzeit sämtliche Leistungen, auch der Subunternehmer, innerhalb der EU oder der Schweiz erbringen wird.

Der AN ist als APT-Response Dienstleister gemäß BSI zertifiziert.

Der Bieter weist die Zertifizierungen ISO27001:2022 oder ISO27001 auf Basis IT-Grundschutz BSI und/oder BSI C5:2020 nach oder erklärt, über diese bis zu dem Start der Implementierung zu verfügen. Der Geltungsbereich des Informationssicherheitsmanagementsystems (ISMS) des AN schließt alle Prozesse und IT-Assets des SOC-Dienstes mit ein. Der Bieter erklärt, sich als AN zu verpflichten, dass seine Mitarbeiter die IS-Richtlinien, Prozesse und Protokolle des AG zur Informations- und IKT-Sicherheit einhalten.