Recovery Retainer

Handelsregister- bzw. Kammereintragung, Eigenerklärung (Anlage 3-7)

Der Bewerber muss über eine ungekündigte Betriebshaftpflichtversicherung mit mindestens folgenden Deckungssummen je Versicherungsfall verfügen: - Personenschäden: 1.500.000 EUR - Sachschäden: 1.500.000 EUR - Vermögensschäden: 1.500.000 EUR Die Versicherung muss zum Zeitpunkt des Ablaufs der Teilnahmefrist bestehen und für die Dauer der Vertragsausführung aufrechterhalten werden. Sofern die bestehende Versicherung die geforderten Deckungssummen derzeit nicht erreicht, ist eine Eigenerklärung ausreichend, dass die Deckungssummen im Auftragsfall vor Zuschlagserteilung entsprechend angepasst werden. Der Nachweis ist durch Vorlage eines der folgenden Dokumente zu erbringen: 1. Kopie des gültigen Haftpflichtversicherungsscheins, aus dem die Deckungssummen für Personen- und Sachschäden sowie der Gültigkeitszeitraum hervorgehen; oder 2. Aktuelle Bestätigung des Versicherungsunternehmens (nicht älter als 6 Monate vor Ablauf der Teilnahmefrist) über das Bestehen der Versicherung und die Deckungssummen; oder 3. Sofern die geforderten Deckungssummen derzeit nicht erreicht werden: Eigenerklärung des Bewerbers, dass die Deckungssummen im Auftragsfall vor Zuschlagserteilung auf die geforderte Höhe angepasst werden, ergänzt um eine Bestätigung des Versicherungsunternehmens über die grundsätzliche Bereitschaft zur Anpassung.

Der Bewerber muss einen Mindestnettoumsatz (ohne Umsatzsteuer) von 1.400.000 EUR in jedem der letzten drei abgeschlossenen Geschäftsjahre nachweisen. Maßgeblich ist der Gesamtnettoumsatz. Eigenerklärung ausreichend. Auf Verlangen der AG ist der Nachweis über Jahresabschlüsse beizubringen.

Referenzen Zielleistung Recovery Retainer Zum Nachweis der technischen und beruflichen Leistungsfähigkeit werden vom Bewerber weitere vergleichbare Referenzen für die Zielleistung in einem Unternehmen in Deutschland, welches KRITIS relevant ist, erwartet. Die Referenzen der Zielleistung beziehen sich dabei auf einen tatsächlichen Einsatz zur Systemwiederherstellung, dessen Abschluss nach dem 01.01.2020 liegt. Ein Vertrag ohne tatsächlichen Einsatz zur Systemwiederherstellung ist als Referenz der Zielleistung nicht aussreichend. KRITIS-relevant im Sinne dieses Kriteriums ist ein Unternehmen, das nach § 10 Abs. 1 BSIG i. V. m. der BSI-Kritisverordnung als Betreiber kritischer Infrastruktur gilt oder die jeweiligen Schwellenwerte (Versorgungsgrad/Leistungsindikator) erreicht. Alternativ kann der Bewerber weitere vergleichbare Referenzen für die Zielleistung in einem gleichwertigen Unternehmen in dem Europäischen Wirtschaftsraum (EWR), dessen Abschluss nach dem 01.01.2020 liegt, vorweisen. Die Gleichwertigkeit bezieht sich sowohl auf die KRITIS Relevanz (Versorgungs bzw. Leistungsindikator) als auch auf die relevanten BSI Anforderungen. Die Gleichwertigkeit ist anhand folgender Kriterien darzulegen: (1) das Unternehmen unterliegt vergleichbaren regulatorischen Anforderungen an die Informationssicherheit kritischer Infrastrukturen, (2) der Versorgungsgrad oder Leistungsindikator entspricht mindestens den Schwellenwerten der BSI-Kritisverordnung. Hinweis: Anonymisierte Referenzen werden akzeptiert, sofern der Bewerber mindestens folgende Angaben macht: (1) Branche und KRITIS-Sektor, (2) Größenordnung der betreuten IT-Umgebung, (3) Art und Umfang der Recovery-Leistung, (4) Leistungszeitraum, (5) Ansprechpartner für eine vertrauliche Nachprüfung durch die AG. Die für die Eignung eingereichte Mindestreferenz wird bei der Bewertung der Auswahlkriterien nicht mitgezählt. Der Bewerber kann dieselbe Referenz nicht für die Auswahl verwenden. Bewertet werden bis zu zwei zusätzliche Referenzen (über die Eignungsreferenz hinaus). Die Punktevergabe erfolgt je Referenz wie folgt: Recovery-Einsatz in einem Krankenhaus, das nach BSI-KritisV als KRITIS eingestuft ist (oder gleichwertig): 10 Punkte je Referenz Recovery-Einsatz in einem sonstigen Unternehmen, das nach BSI-KritisV als KRITIS eingestuft ist (oder gleichwertig): 5 Punkte je Referenz Maximale Punktzahl: 20 Punkte. Es werden höchstens zwei Referenzen gewertet; bei mehr als zwei eingereichten Referenzen werden die zwei mit der höchsten Einzelpunktzahl herangezogen.

Zum Nachweis der technischen und beruflichen Leistungsfähigkeit wird vom Bewerber mindestens eine vergleichbare Referenz für die Zielleistung in einem Unternehmen in Deutschland, welches KRITIS relevant ist, erwartet. Die Referenz der Zielleistung bezieht sich dabei auf einen tatsächlichen Einsatz zur Systemwiederherstellung, dessen Abschluss nach dem 01.01.2020 liegt. Ein Vertrag ohne tatsächlichen Einsatz zur Systemwiederherstellung ist als Referenz der Zielleistung nicht aussreichend. KRITIS-relevant im Sinne dieses Kriteriums ist ein Unternehmen, das nach § 10 Abs. 1 BSIG i. V. m. der BSI-Kritisverordnung als Betreiber kritischer Infrastruktur gilt oder die jeweiligen Schwellenwerte (Versorgungsgrad/Leistungsindikator) erreicht. Alternativ kann der Bewerber mindestens eine vergleichbare Referenz für die Zielleistung in einem gleichwertigen Unternehmen in dem Europäischen Wirtschaftsraum (EWR), dessen Abschluss nach dem 01.01.2020 liegt, vorweisen. Die Gleichwertigkeit bezieht sich sowohl auf die KRITIS Relevanz (Versorgungs bzw. Leistungsindikator) als auch auf die relevanten BSI Anforderungen. Die Gleichwertigkeit ist anhand folgender Kriterien darzulegen: (1) das Unternehmen unterliegt vergleichbaren regulatorischen Anforderungen an die Informationssicherheit kritischer Infrastrukturen, (2) der Versorgungsgrad oder Leistungsindikator entspricht mindestens den Schwellenwerten der BSI-Kritisverordnung. Hinweis: Anonymisierte Referenzen werden akzeptiert, sofern der Bewerber mindestens folgende Angaben macht: (1) Branche und KRITIS-Sektor, (2) Größenordnung der betreuten IT-Umgebung, (3) Art und Umfang der Recovery-Leistung, (4) Leistungszeitraum, (5) Ansprechpartner für eine vertrauliche Nachprüfung durch die AG. Die für die Eignung eingereichte Mindestreferenz wird bei der Bewertung der Auswahlkriterien nicht mitgezählt. Der Bewerber kann dieselbe Referenz nicht für die Auswahl verwenden.

Der Bewerber verfügt über den Status "Microsoft Solutions Partner - Infrastructure" oder höher. Der Partnerstatus ist relevant, weil die Auftraggeberin eine Microsoft-basierte Server- und Cloud-Infrastruktur (insbesondere Windows Server, Active Directory, Hyper-V und/oder Azure-Dienste) einsetzt. Der Partnerstatus gewährleistet priorisierten Herstellersupport, Zugang zu erweiterten technischen Ressourcen sowie nachgewiesene technische Kompetenz im Betrieb und in der Wiederherstellung Microsoft-basierter Umgebungen. Alternativ kann der Bewerber einen gleichwertigen Partnerstatus bei einem Anbieter vergleichbarer Enterprise-Server- und Cloud-Infrastrukturlösungen vorweisen. Die Gleichwertigkeit bezieht sich auf die folgenden Merkmale: (a) der Partnerstatus setzt eine vergleichbare Anzahl zertifizierter Fachkräfte im Bereich Server- und Cloud-Infrastruktur voraus, (b) der Partnerstatus gewährt vergleichbaren Zugang zu priorisiertem technischem Support und Eskalationswegen, (c) der zugrunde liegende Hersteller bietet Enterprise-Server- und Cloud-Infrastrukturlösungen mit vergleichbarem Funktionsumfang (insbesondere Verzeichnisdienste, Virtualisierung, identitätsbasiertes Zugriffsmanagement, Disaster-Recovery-Orchestrierung). Die Gleichwertigkeit ist vom Bewerber nachvollziehbar darzulegen. Der Nachweis ist durch Vorlage eines der folgenden Dokumente zu erbringen: 1. Gültiges Zertifikat als "Microsoft Solutions Partner - Infrastructure" (oder höher), ausgestellt von Microsoft, aus dem der aktuelle Partnerstatus und dessen Gültigkeitszeitraum hervorgehen; oder 2. Schriftliche Bestätigung des zuständigen Microsoft Partner Account Managers über den aktuellen Status als "Microsoft Solutions Partner - Infrastructure" (oder höher), ausgestellt innerhalb der letzten 6 Monate vor Ablauf der Teilnahmefrist; oder 3. Bei gleichwertigem Partnerstatus: Gültiges Zertifikat oder schriftliche Bestätigung des jeweiligen Herstellers über den Partnerstatus, ergänzt um eine Darlegung der Gleichwertigkeit anhand der oben genannten Merkmale (a) bis (c). Der Bewerber hat zusätzlich darzulegen, dass die Lösung des alternativen Herstellers mit der Infrastruktur der Auftraggeberin kompatibel ist oder im Rahmen der Leistungserbringung gleichwertig eingesetzt werden kann.

Der Bewerber verfügt über den Status "Veeam Gold Partner" oder höher. Der Partnerstatus ist relevant, weil die Auftraggeberin eine Veeam-basierte Backup- und Recovery-Infrastruktur einsetzt. Der Partnerstatus gewährleistet priorisierten Herstellersupport, Zugang zu erweiterten technischen Ressourcen sowie nachgewiesene technische Kompetenz im Umgang mit der eingesetzten Plattform. Alternativ kann der Bewerber einen gleichwertigen Partnerstatus bei einem Anbieter vergleichbarer Enterprise-Backup- und Recovery-Lösungen vorweisen. Die Gleichwertigkeit bezieht sich auf die folgenden Merkmale: (a) der Partnerstatus setzt eine vergleichbare Anzahl zertifizierter Fachkräfte voraus, (b) der Partnerstatus gewährt vergleichbaren Zugang zu priorisiertem technischem Support und Eskalationswegen, (c) der zugrunde liegende Hersteller bietet Enterprise-Backup- und Recovery-Lösungen mit vergleichbarem Funktionsumfang (insbesondere image-basierte Wiederherstellung, Orchestrierung, KRITIS-taugliche RTO/RPO-Unterstützung). Die Gleichwertigkeit ist vom Bewerber nachvollziehbar darzulegen. Der Nachweis ist durch Vorlage eines der folgenden Dokumente zu erbringen: 1. Gültiges Zertifikat als "Veeam Gold Partner" (oder höher), ausgestellt von Veeam, aus dem der aktuelle Partnerstatus und dessen Gültigkeitszeitraum hervorgehen; oder 2. Schriftliche Bestätigung des zuständigen Veeam Partner Account Managers über den aktuellen Status als Veeam Gold Partner (oder höher), ausgestellt innerhalb der letzten 6 Monate vor Ablauf der Teilnahmefrist; oder 3. Bei gleichwertigem Partnerstatus: Gültiges Zertifikat oder schriftliche Bestätigung des jeweiligen Herstellers über den Partnerstatus, ergänzt um eine Darlegung der Gleichwertigkeit anhand der oben genannten Merkmale (a) bis (c). Der Bewerber hat zusätzlich darzulegen, dass die Lösung des alternativen Herstellers mit der Infrastruktur der Auftraggeberin kompatibel ist oder im Rahmen der Leistungserbringung gleichwertig eingesetzt werden kann.

Der Bewerber verfügt über mindestens 50 technische IT-Fachkräfte (in Vollzeitäquivalenten), die im Bereich Disaster Recovery, Rechenzentrumsbetrieb oder IT-Operations tätig sind. Eigenerklärung ausreichend.

Der Bewerber muss über ein wirksames Informationssicherheitsmanagementsystem (ISMS) verfügen, das den Anforderungen der ISO/IEC 27001:2022 (oder einer zum Zeitpunkt der Bekanntmachung gültigen Nachfolgenorm) entspricht. Der Geltungsbereich des ISMS muss die im Rahmen dieses Auftrags zu erbringenden Disaster-Recovery- und IT-Operations-Leistungen umfassen. Der Nachweis ist durch Vorlage eines der folgenden Dokumente zu erbringen: 1. Gültiges Zertifikat nach ISO/IEC 27001 eines akkreditierten Zertifizierungsunternehmens, aus dem der relevante Geltungsbereich hervorgeht; oder 2. Auditbericht eines unabhängigen Dritten (nicht älter als 12 Monate), der die wesentliche Konformität des ISMS mit der ISO/IEC 27001 bestätigt, sofern die erstmalige Zertifizierung nachweislich innerhalb von 12 Monaten nach Ablauf der Teilnahmefrist angestrebt wird; oder 3. Gleichwertige Nachweise, sofern der Bewerber darlegt, dass sein ISMS mindestens folgende Elemente umfasst: (a) systematische Risikoanalyse, (b) dokumentiertes Maßnahmenkonzept, (c) regelmäßige interne Audits und (d) Managementbewertung. Die Gleichwertigkeit ist durch geeignete Unterlagen nachvollziehbar darzulegen.

Der Bewerber verfügt über ein etabliertes und wirksames Business-Continuity-Management-System (BCMS), das den Anforderungen der ISO/IEC 22301:2019 (oder einer zum Zeitpunkt der Bekanntmachung gültigen Nachfolgenorm) entspricht. Der Geltungsbereich des BCMS muss die im Rahmen dieses Auftrags zu erbringenden Disaster-Recovery- und IT-Operations-Leistungen umfassen. Die Prozesse müssen geeignet sein, potenzielle Bedrohungen und deren Auswirkungen auf den Geschäftsbetrieb systematisch zu identifizieren, zu bewerten und zu behandeln sowie die organisatorische Fähigkeit sicherzustellen, kritische Geschäftsprozesse bei Eintritt einer Störung innerhalb definierter Zeitvorgaben aufrechtzuerhalten bzw. wiederherzustellen. Der Nachweis ist durch Vorlage eines der folgenden Dokumente zu erbringen: 1. Gültiges Zertifikat nach ISO/IEC 22301 eines akkreditierten Zertifizierungsunternehmens, aus dem der relevante Geltungsbereich hervorgeht; oder 2. Auditbericht eines unabhängigen Dritten (nicht älter als 12 Monate), der die Konformität des eingesetzten BCMS mit der ISO/IEC 22301 bestätigt, sofern die erstmalige Zertifizierung nachweislich innerhalb von 12 Monaten nach Ablauf der Teilnahmefrist angestrebt wird; oder 3. Gleichwertige Nachweise, sofern der Bewerber darlegt, dass sein BCMS mindestens folgende Elemente umfasst: (a) Business-Impact-Analyse, (b) dokumentierte Notfallpläne für kritische Geschäftsprozesse, (c) regelmäßige Tests und Übungen, (d) Managementbewertung. Die Gleichwertigkeit ist durch geeignete Unterlagen nachvollziehbar darzulegen.

Der Bewerber verfügt über ein etabliertes und wirksames Qualitätsmanagementsystem (QMS), das den Anforderungen der ISO 9001:2015 (oder einer zum Zeitpunkt der Bekanntmachung gültigen Nachfolgenorm) entspricht. Der Geltungsbereich des QMS muss die im Rahmen dieses Auftrags zu erbringenden Disaster-Recovery- und IT-Operations-Leistungen umfassen. Das QMS muss geeignet sein, eine gleichbleibend hohe Leistungsqualität sicherzustellen, insbesondere hinsichtlich der Steuerung von Prozessen, der Dokumentation von Abläufen und der systematischen Behandlung von Abweichungen und Verbesserungspotenzialen. Der Nachweis ist durch Vorlage eines der folgenden Dokumente zu erbringen: 1. Gültiges Zertifikat nach ISO 9001 eines akkreditierten Zertifizierungsunternehmens, aus dem der relevante Geltungsbereich hervorgeht oder 2. Auditbericht eines unabhängigen Dritten, der die Konformität des eingesetzten Qualitätsmanagementsystems mit der ISO 9001 bestätigt, sofern eine Zertifizierung aktuell im Aufbau ist. oder 3. Gleichwertige Zertifizierungen oder Nachweise, sofern der Bewerber nachweislich ein dem Standard ISO 9001 vergleichbares Qualitätsmanagementsystem (QMS) betreibt. Die Gleichwertigkeit ist vom Bewerber nachvollziehbar darzulegen.