Managed Security Operations Center (MSOC)

Die Bieter / Bietergemeinschaften müssen ihre wirtschaftliche und finanzielle Leistungsfähigkeit nachweisen. Dabei müssen die folgenden genannten Anforderungen im Falle einer Bietergemeinschaft durch die Bietergemeinschaft insgesamt erfüllt sein. Für die Beurteilung der wirtschaftlichen und finanziellen Leistungsfähigkeit einer Bietergemeinschaft wird die Bietergemeinschaft als Ganzes beurteilt. Es ist daher ausreichend, wenn mindestens ein Mitglied der Bietergemeinschaft die geforderten Erklärungen und Nachweise erbringt. Nachweis über den Gesamtumsatz sowie dem Umsatz bzgl. vergleichbarer Leistungen der letzten drei abgeschlossenen Geschäftsjahre. Dabei muss nachgewiesen werden, dass der Umsatz des letzten Geschäftsjahres mit vergleichbaren Leistungen mindestens EUR 700.000 (netto) beträgt. Der Auftraggeber behält sich vor, die Jahresabschlüsse der letzten drei abgeschlossenen Geschäftsjahre nachzufordern.

Auswahlkriterium 1: Referenzen über vergleichbare Leistungen (Einsatz vergleichbarer Technologien) Mit dem Teilnahmeantrag sollen die Bewerber möglichst folgende Unterlagen vorlegen (bei Bewerbergemeinschaften von jedem Mitglied): Liste der vom Bewerber in den letzten vier Jahren erbrachten Leistungen, die mit der zu vergebenden Leistung vergleichbar sind (Einführung und Betrieb eines MSOC-Dienstes als EDR (Endpoint Detection and Response) bzw. XDR (Extended Detection and Response) unter Nutzung einer Basis von CrowdStrike Falcon), unter Angabe des genauen Auftrags, der Auftragssumme, des Auftraggebers, der Anzahl der betreuten Endpunkte und der Referenzen mit Ansprechpartnern inkl. Tel.-Nr. Bewertung: Die Bewerber erhalten je Referenz, die die oben genannten Anforderungen erfüllt, maximal 1.000 Punkte. Maximal erhalten die Bewerber 5.000 Punkte. Sollte ein Bewerber mehr als fünf Referenzen einreichen, bewertet der Auftraggeber nur die besten fünf Referenzen. Einzelheiten zur Bewertung ergeben sich aus dem Kriterienkatalog, den der Auftraggeber auf dem Vergabeportal bereitgestellt hat.

Auswahlkriterium 2: Referenzen über vergleichbare Leistungen (verschiedene EDR oder SIEM-Technologien) Mit dem Teilnahmeantrag sollen die Bewerber möglichst folgende Unterlagen vorlegen (bei Bewerbergemeinschaften von jedem Mitglied): Liste der vom Bewerber in den letzten vier Jahren erbrachten Leistungen, die mit der zu vergebenden Leistung vergleichbar sind (Einführung und Betrieb eines MSOC-Dienstes als EDR (Endpoint Detection and Response) bzw. XDR (Extended Detection and Response) unter Nutzung einer Basis von CrowdStrike Falcon) und bei denen der Bewerber eine EDR/XDR oder SIEM-Technologie zum Einsatz gebracht hat, die in keinem anderen Referenzprojekt genannt ist, unter Angabe des genauen Auftrags, der Auftragssumme, des Auftraggebers, der Anzahl der betreuten Endpunkte und der Referenzen mit Ansprechpartnern inkl. Tel.-Nr. Bewertung: Die Bewerber erhalten je Referenz, die die oben genannten Anforderungen erfüllt, maximal 1.000 Punkte. Maximal erhalten die Bewerber 5.000 Punkte. Sollte ein Bewerber mehr als fünf Referenzen einreichen, bewertet der Auftraggeber nur die besten fünf Referenzen. Hintergrund: Durch die Referenzen können die Bewerber nachweisen, dass sie über die Fähigkeiten verfügen, sich in dem schnell ändernden Umfeld innerhalb von Informationstechnologie anzupassen und zu adaptieren. Im Falle eines Wechsels der bestehenden technischen Plattform verfügt der Bewerber über weitere Möglichkeiten, die Aufrechterhaltung der Sicherheitsüberwachung zu gewährleisten. Einzelheiten zur Bewertung ergeben sich aus dem Kriterienkatalog, den der Auftraggeber auf dem Vergabeportal bereitgestellt hat.

Auswahlkriterium 3: Anzahl der betreuten Endpunkte Der Auftraggeber vergibt pro Referenz, die der Bewerber in den Listen zu den Unter-Auswahlkriterien zu Referenzen über vergleichbare Leistungen (Einsatz vergleichbarer Technologie) sowie Referenzen über vergleichbare Leistungen (verschiedene EDR oder SIEM-Technologien) genannt hat, zusätzliche Punkte nach folgendem Maßstab, wenn eine bestimmte Anzahl von betreuten Endpunkten überschritten wurde: - mehr als 10.000 betreute Endpunkte = 100% von 500 Punkten - zwischen 5.001 und 10.000 betreuten Endpunkten = 75% von 500 Punkten (375 Punkte) - zwischen 1.001 und 5.000 betreuten Endpunkten = 50% von 500 Punkten (250 Punkte) - weniger als 1000 betreute Endpunkte = 25% von 500 Punkten (125 Punkte) Gesamtpunktzahl pro Referenzprojekt: Max. 500 Punkte Gesamtpunktzahl insgesamt: Max. 2500 Punkte Einzelheiten zur Bewertung ergeben sich aus dem Kriterienkatalog, den der Auftraggeber auf dem Vergabeportal bereitgestellt hat.

Auswahlkriterium 5: Kunden aus der Finanzindustrie Der Auftraggeber vergibt pro Referenz, die der Bewerber in den Listen zu den Unter-Auswahlkriterien zu Referenzen über vergleichbare Leistungen (Einsatz vergleichbarer Technologie) sowie Referenzen über vergleichbare Leistungen (verschiedene EDR oder SIEM-Technologien) genannt hat, die der Bewerber für ein Unternehmen der Finanz- und/oder Kreditwirtschaft erbracht hat, 500 zusätzliche Punkte (maximal 2.500 Punkte). Sollte ein Bewerber mehr als fünf passende Referenzen einreichen, bewertet der Auftraggeber nur die besten fünf Referenzen. Ein Kunde aus der Finanz- und/oder Kreditwirtschaft ist dabei ein Kunde, der der Finanzmarkt-, Wertpapier- oder Versicherungsaufsicht unterliegt, insbesondere durch auf Grundlage nationaler Umsetzungen europäischer Finanzmarkt-, Wertpapier- oder Versicherungsaufsichtsregelungen (z. B. CRD/CRR, MiFID II/MiFIR, Solvency II) zuständige Aufsichtsbehörden in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums. Einzelheiten zur Bewertung ergeben sich aus dem Kriterienkatalog, den der Auftraggeber auf dem Vergabeportal bereitgestellt hat.

Mit dem Angebot sollen die Bieter folgende Unterlagen zum Nachweis der technischen und beruflichen Leistungsfähigkeit vorlegen (bei Bietergemeinschaften von mindestens einem Mitglied): Vorlage von mindestens einer Referenz, also Liste der vom Bieter und ggf. von Nachunternehmern in den letzten 3 Jahren erbrachten Leistungen, die mit der zu vergebenden Leistung vergleichbar sind, unter Angabe des genauen Auftrags, der Auftragssumme, des Auftraggebers, der Leistungsart und Leistungszeiträume, Ansprechpartner beim Auftraggeber inkl. Kontaktdaten. Vergleichbare Leistungen sind: Implementierung und Betrieb einer am Markt verfügbaren XDR-Lösung (inkl. SIEM) mit einem Managed SOC Service für juristische Personen, die aus der Finanz- und/oder Kreditwirtschaft stammen und der Finanzmarkt-, Wertpapier- oder Versicherungsaufsicht unterliegen, insbesondere durch auf Grundlage nationaler Umsetzungen europäischer Finanzmarkt-, Wertpapier- oder Versicherungsaufsichtsregelungen (z. B. CRD/CRR, MiFID II/MiFIR, Solvency II) zuständige Aufsichtsbehörden in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums. Nachzuweisen ist mindestens ein vergleichbarer Auftrag. Für den Fall, dass ein Bieter einzelne Unternehmen als Nachunternehmer einsetzen möchte, wird auf die Möglichkeit der Eignungsleihe und die in § 47 VgV genannten Voraussetzungen hingewiesen. Wenn und soweit sich der Bieter auf die Eignung eines anderen Unternehmens beruft, ist mit dem Angebot insbesondere eine Verpflichtungserklärung des anderen Unternehmens einzureichen, dass dieses seine Ressourcen und Kapazitäten dem Bieter im Auftragsfall zur Verfügung stellt. Bei der Eignungsprüfung werden Bietergemeinschaften als Ganzes betrachtet. Bieter sollen die auf der Vergabeplattform hinterlegten Vordrucke verwenden. Der Auftraggeber behält sich vor, Unterlagen im Rahmen des § 56 Abs. 2 VgV nachzufordern. Hierauf besteht kein Rechtsanspruch.

Der AN sichert zu, über die gesamte Vertragslaufzeit einen eindeutig benannten Service Delivery Manager einzusetzen.

Der AN weist mindestens einen Mitarbeitenden in der Rolle aus, für den ein Skill-Level Senior Analyst Level 3 (Tier-3) oder Senior Threat Hunting Expert zutrifft. Die personelle Besetzung dieser Rolle ist über die gesamte Vertragslaufzeit durch den AN zu gewährleisten.

Der Bieter erklärt, dass er als AN über die gesamte Vertragslaufzeit ausschließlich einen Incident Manager einsetzen wird, der in der deutschen Sprache über ein Sprachniveau entsprechend dem Level C1 oder höher nach dem Gemeinsamen Europäischen Referenzrahmen verfügt.

Der Bieter erklärt, dass er als AN über die gesamte Vertragslaufzeit ausschließlich Mitarbeiter im Analysteam einsetzen wird, die in der englischen oder deutschen Sprache über ein Sprachniveau entsprechend dem Level C1 oder höher nach dem Gemeinsamen Europäischen Referenzrahmen verfügen.

Der Bieter erklärt, dass er über die gesamte Vertragslaufzeit ausschließlich einen deutschsprachigen MSOC Service Delivery Manager einsetzen wird, der über ein Sprachniveau entsprechend dem Level C2 nach dem Gemeinsamen Europäischen Referenzrahmen verfügt.

Der Bieter erklärt, dass er während des Vergabeverfahrens die gesamte Korrespondenz mündlich und schriftlich ausschließlich in deutscher Sprache und auf einem Sprachniveau entsprechend dem Level C2 oder höher nach dem Gemeinsamen Europäischen Referenzrahmen führt. Fremdsprachige Unterlagen sind nur zulässig, wenn der Bieter sie zusätzlich in beglaubigter oder von einem vereidigten Übersetzer angefertigter deutscher Übersetzung beifügt.

Auswahlkriterium 4: Personalausstattung Wie viele MSOC-Analysten stehen dem Auftragnehmer für die Leistungserbringung zur Verfügung? Die Definition von MSOC-Analysten entnehmen Sie bitte der Leistungsbeschreibung. Der Bieter weist nach, dass alle genannten MSOC-Analysten mindestens über eines der nachfolgend aufgeführten Personenzertifizierungen oder über vergleichbare Zertifikate mit Schwerpunkt Security Incident Management verfügen: Certified Information Systems Security Professional (CISSP) Certified Information Security Manager (CISM) Certified Ethical Hacker (CEH) TeleTrusT Information Security Professional (T.I.S.P.) Cyber Security Expert (CSE) Cyber Security Professional (CSP) Bewertungshinweis: (Max. 1.500 Punkte) Für jeden MSOC-Analysten, über den der Bewerber verfügt (Vollzeitäquivalent/FTE) und für den er eine der genannten Personenzertifizierungen oder vergleichbaren Zertifikate nachweist, erhält der Bewerber 25 Punkte. Maximal erhält ein Bewerber in diesem Auswahlkriterium 1.500 Punkte (bei 60 MSOC-Analysten, die über eine der genannten Personenzertifizierungen oder vergleichbaren Zertifikaten verfügen). Einzelheiten zur Bewertung ergeben sich aus dem Kriterienkatalog, den der Auftraggeber auf dem Vergabeportal bereitgestellt hat.

Der Bieter muss erklären, in den letzten drei abgeschlossenen Geschäftsjahren durchschnittlich mindestens 15 Mitarbeiter (Vollzeitäquivalent) im Managed Security Operations Center (MSOC) zu beschäftigten. Diese müssen im Bereich SOC Analyse tätig sein (Level 1 - Monitoring oder Level 2 - Analyse).

Die ILB unterliegt als Finanzinstitut besonderen regulatorischen Anforderungen. In der Folge muss sie stets eine hohe Verlässlichkeit ihrer IT-Sicherheitsinfrastruktur und des IKT-Risikomanagements gewährleisten. Der Bieter muss daher erklären, dass er die Leistung zu mindestens 50 % selbst und nicht durch Subunternehmer erbringt. Maßgeblich für die Eigenerbringungsquote ist die Anzahl der vom AN bearbeiteten Alarme.

Co-Managed Betriebsmodell 1. Der Bieter erklärt, als AN über die gesamte Vertragslaufzeit zu gewährleisten, dass der AG jederzeit vollumfänglichen Zugriff auf die Plattform (CrowdStrike) hat. Dies umfasst insbesondere: Zugriff auf alle relevanten Dashboards, Einsicht in den aktuellen Bearbeitungsstatus sicherheitsrelevanter Ereignisse (Incidents), Zugriff auf definierte Berichte (z.B. offene Incidents, Eskalationsstatus, Bearbeitungszeiten). 2. Der Bieter erklärt, als AN zu gewährleisten, dass der AG im Sinne eines Co-Managed-Modells gemeinsam mit dem AN Erkennungsregeln und Use Cases erstellen, anpassen und verwalten kann. Die Zusammenarbeit erfolgt auf Basis dokumentierter Prozesse zur Regelentwicklung und -pflege. 3. Der Bieter erklärt, dass er als AN den AG über die gesamte Vertragslaufzeit im Rahmen des Managed Service bei der Weiterentwicklung, Optimierung und Migration von Use-Cases unterstützt.

Der Bieter erklärt, dass er als AN das Vorgehen und die Methoden von SOC2 Type 2 einhält.

Der Bieter erklärt, dass er als AN gewährleistet, den angebotenen Managed Security Operations Center (MSOC)-Dienst an 7 Tagen pro Woche, 24 Stunden pro Tag, ganzjährig (24/7/365) ohne Einschränkung bereitzustellen. Die Betriebszeit umfasst die kontinuierliche Überwachung, Analyse sicherheitsrelevanter Ereignisse, Übergabe an den Incident Response Prozess, sowie die Kommunikation mit dem Auftraggeber gemäß den vereinbarten Eskalations- und Reaktionszeiten. Der Bieter hat mit dem Angebot eine Eigenerklärung abzugeben, aus der hervorgeht, dass der angebotene Dienst uneingeschränkt im 24/7/365-Modus erbracht wird.

Der Bieter erklärt, dass er als AN gewährleistet, die Datenspeicherungsanforderungen des AG zu erfüllen, indem er eine Log-Retention von mindestens 180 Tagen sicherstellt. Insgesamt muss der Datenzugriff für einen Zeitraum von mindestens 180 Tagen gewährleistet sein. Diese Anforderung bezieht sich auch auf durch den AN selbst betriebene Systeme zur Erbringung des MSOC Service.

Der Bieter erklärt, dass er als AN über die gesamte Vertragslaufzeit sämtliche Leistungen innerhalb der EU erbringen wird.

Der Bieter erklärt, dass er über Systeme zur verschlüsselten E-Mail- Kommunikation verfügt, die PGP (Pretty Good Privacy) oder alternativ S/MIME (Secure/Multipurpose Internet Mail Extensions) unterstützen und diese während der Auftragserbringung einsetzt. Die Verfügbarkeit ist durch eine Eigenerklärung oder ein technisches Konzept nachzuweisen, das den Einsatz solcher Systeme beim Bieter beschreibt.

Der Bieter erklärt sich bereit, als AN an den regelmäßig stattfindenden Notfalltests bzw. Cyberübungen (im Sinne eines simulierten Angriffs) im Rahmen der Leistungserbringung des Managed Service teilzunehmen. In der Regel werden diese Tests ein mal im Jahr durchgeführt.

Der Bieter erklärt sich bereit, als AN das ITSM-Tool des AG (ServiceNow) für die Bearbeitung von Security Incident Tickets, als primäres ITSM-Tool im Rahmen der Leistungserbringung des Managed SOC Service zu nutzen.

Der Bieter erklärt sich damit einverstanden, dass die maximale Reaktionszeit des AN auf Alarme der Priorität "P1 - kritisch" rund um die Uhr (24/7) maximal eine Stunde beträgt, mit einer initialen Antwortzeit von zwei Stunden. Kritische Alarme betreffen einen potentiell schwerwiegenden Sicherheitsvorfall. Als "schwerwiegend" wird ein IKT-bezogener Vorfall mit potenziell weitreichenden negativen Auswirkungen auf die Schutzziele von Netz- und Informationssystemen, die kritische Funktionen oder Geschäftsprozesse der ILB unterstützen, oder auf die Fähigkeit der ILB, aufsichtsrechtliche Anforderungen zu erfüllen, bezeichnet. Hierzu zählen auch Datenverluste, die besonders schutzwürdige Daten im Sinne der DSGVO (Art. 9) betreffen. Die Reaktionszeit beginnt mit der automatischen Erstellung eines Alarms oder durch eine Anfrage seitens des AG z.B. über das Ticketsystem oder die 24/7-Hotline. Sie umfasst eine qualifizierte Bewertung des Incidents durch einen MSOC-Analysten sowie die Einleitung geeigneter Maßnahmen einschließlich der Benachrichtigung des AG innerhalb der ersten Stunde über die im Onboarding definierten Meldewege.

Der Bieter weist nach, dass er die Anforderungen des BSI C5-Katalogs oder gleichwertiger internationaler Sicherheitsanforderungen erfüllt, wenn Daten von den Systemen des AG auf Systeme des Auftragnehmers übertragen werden. Alternativ erklärt der Bieter, dass er als AN die Anforderungen des BSI C5-Katalogs oder gleichwertiger internationaler Sicherheitsanforderungen erfüllen wird, wenn Daten von den Systemen des AG auf Systeme des Auftragnehmers übertragen werden. Zulässige Nachweise sind ein Testat nach BSI C5 Typ 2 oder ein Testat nach Typ 1, wenn der Bieter zusätzlich glaubhaft macht, dass er die operativen Kontrollen kontinuierlich umsetzt (z.B. durch ergänzende Eigenerklärung oder weitere Nachweise in Form jährlicher interner Auditierungen).

Der Sitz der Gesellschaft des Bieters und gegebenenfalls von Subunternehmern ist und bleibt während der gesamten Vertragslaufzeit innerhalb der Europäischen Union (EU).

1. Der Bieter erkärt, dass er als AN den MSOC-Dienst vollständig und nahtlos auf der aus CrowdStrike Falcon XDR und CrowdStrike Next-Gen SIEM bestehenden Plattform des Auftraggebers erbringt, einschließlich: Überwachung und Analyse über CrowdStrike Falcon XDR, Nutzung des CrowdStrike NG SIEM zur Korrelation und Regelverarbeitung, Erstellung und Pflege von Detection Rules sowie Incident Response Workflows innerhalb der Plattform. Der AG gewährt dem AN Zugriff auf diese Plattform für die Laufzeit des Vertrages. 2. Der Bieter erklärt, dass sein MSOC-Betrieb mit der bereitgestellten CrowdStrike-Umgebung kompatibel ist.

Der Bieter erklärt sich bereit, vor Zuschlagserteilung innerhalb von einer Woche nach Anfrage des Auftraggebers eine Due-Dilligence-Prüfung auf Grundlage des den Vergabeunterlagen bereitgestellten Dokuments zur Due-Dilligence-Prüfung durchzuführen.

Der Bieter sichert zu, dass er sich und etwaige Subunternehmer vertraglich verpflichtet, dass personenbezogene Daten ausschließlich und vollständig innerhalb der Europäischen Union verarbeitet und gespeichert werden und alle Datenverarbeitungsvorgänge DSGVO-konform sind.

Der Bieter erklärt sich damit einverstanden, dass die Anzahl an Incidents pro Monat ebenso unbegrenzt ist, wie der Aufwand pro Incident.

Der Bieter weist eine Zertifizierung nach ISO27001:2022 oder ISO27001 auf Basis IT-Grundschutz BSI nach oder erklärt, über diese bis zu dem Start der Implementierung zu verfügen. Der Geltungsbereich des Informationssicherheitsmanagementsystems (ISMS) des AN schließt alle Prozesse und IT-Assets des SOC-Dienstes mit ein. Der Bieter erklärt, sich als AN zu verpflichten, dass seine Mitarbeiter die IS-Richtlinien, Prozesse und Protokolle des AG zur Informations- und IKT-Sicherheit einhalten.