Vergabeverfahren zum Abschluss einer Rahmenvereinbarung für Penetrations- und Schwachstellentests

Zum Nachweis der wirtschaftlichen und finanziellen Leistungsfähigkeit wird eine Betriebshaftpflichtversicherung mit den folgenden Mindestversicherungssummen gefordert. - Deckung für Personen- und Sachschäden pro Versicherungsfall und -jahr: 5 Mio. EUR - Deckung für Vermögensschäden pro Versicherungsfall und -jahr: 3 Mio. EUR

HINWEIS: Die obenstehende Angabe zur Art des Kriteriums "Andere wirtschaftliche oder finanzielle Anforderungen" hat keine konstitutive Wirkung. Bei diesem Feld handelt es sich um ein Pflichtfeld, das nicht leer gelassen werden kann.// 1) Sollte es nach Auswertung aller Teilnahmeanträge zu einer Punktgleichheit kommen, wird der Bewerber zur Angebotsabgabe aufgefordert, der in dem Kriterium "Tätigsein im Bereich Pentesting" die höchste Punktzahl erreicht hat. // 2) Sollte die erreichte Punktzahl der Bewerber in dem unter 1) genannten Kriterium gleich sein, wird der Bewerber zur Angebotsabgabe aufgefordert, der in dem Kriterium "Anzahl an durchgeführten Penetrationsprojekten" die höchste Punktzahl erreicht hat. // 3) Sollte die erreichte Punktzahl der Bewerber in dem unter 2) genannten Kriterium gleich sein, wird der Bewerber zur Angebotsabgabe aufgefordert, der in dem Kriterium "Sektor der Pentesting-Aktivitäten" die höchste Punktzahl erreicht hat. // 4) Sollte die erreichte Punktzahl der Bewerber in dem unter 3) genannten Kriterium gleich sein, wird der Bewerber zur Angebotsabgabe aufgefordert, der in dem Kriterium "Unternehmensgröße" die höchste Punktzahl erreicht hat. // 5) Sollte die erreichte Punktzahl der Bewerber in dem unter 4) genannten Kriterium gleich sein, behält sich der öffentliche Auftraggeber vor, das Los entscheiden zu lassen. // HINWEIS: Die untenstehende Angabe zur Gewichtung "Gewichtung (Punkte, genau): 1" hat keine konstitutive Wirkung. Bei diesem Feld handelt es sich um ein Pflichtfeld, das nicht leer gelassen werden kann.

Zum Nachweis der wirtschaftlichen und finanziellen Leistungsfähigkeit wird eine Geschäftstätigkeit im Bereich Pentesting von mindestens drei Jahren gefordert. Sollte ein Bewerber mehr als drei Jahre in dem Bereich Pentesting tätig sein, wird dies wie folgt bewertet: 4 - 5 Jahre: 8 Punkte // 6 - 8 Jahre: 16 Punkte // ab 9 Jahre: 25 Punkte

Sollte ein Bewerber über mindestens ein Jahr Erfahrung mit der Durchführung von Penetrationstests in den nachfolgend genannten Sektoren verfügen, wird dies wie folgt bewertet: Sektor "Öffentlicher Auftraggeber: 6 Punkte // Sektor "Flottenmanagement": 6 Punkte // Sektor "Bundeswehr/Verteidigung": 7 Punkte // Sektor der "kritischen Infrastruktur (KRITIS)": 6 Punkte

Zum Nachweis der technischen und beruflichen Leistungsfähigkeit müssen vom Bewerber mindestens 8 Penetrationstests in ähnlicher Größe (mindestens 100 Personentage) in den letzten drei Jahren durchgeführt worden sein. Sollte ein Bewerber mehr als 8 Penetrationsprojekte in ähnlicher Größe durchgeführt haben, wird dies wie folgt bewertet: 9 - 19 Projekte: 8 Punkte // 20 - 44 Projekte: 16 Punkte // ab 45 Projekte: 25 Punkte

Mindestanforderung an den Projektleiter: drei Jahre relevante Berufserfahrung als Projektleiter mit Benennung drei vergleichbarer Projekte // Projekte gelten als vergleichbar, wenn die erbrachte Leistung diesem Ausschreibungsgegenstand in Art und Umfang so weit ähnelt, dass ein tragfähiger Rückschluss auf die Leistungsfähigkeit des Projektleiters eröffnet wird.

Mindestanforderung an jedes Mitglied des Kernteams: drei Jahre relevante Berufserfahrung in Cybersecurity Projekten als Penetrationstester oder in einer vergleichbaren Position bei der Durchführung von Schwachstellentests oder Security-Audits mit Benennung drei vergleichbarer Projekte mit jeweils mindestens 60 Personentagen und einer Unternehmensgröße des Referenzgebers von mindestens 200 Mitarbeitern // Projekte gelten als vergleichbar, wenn die erbrachte Leistung diesem Ausschreibungsgegenstand in Art und Umfang so weit ähneln, dass ein tragfähiger Rückschluss auf die Leistungsfähigkeit des Mitglieds des Kernteams eröffnet wird.

Mindestanforderung an jedes Mitglied des Kernteams: zwei Jahre Berufserfahrung in der Bewertung von identifizierten Schwachstellen nach CVSS-Version 3.1 und 4.0 inklusive Base Score, Temporal Score & Environmental Score

Zum Nachweis der technischen und beruflichen Leistungsfähigkeit wird gefordert, dass alle Mitglieder des Kernteams mindestens über ein abgeschlossenes Studium im Bereich Cybersecurity ODER über ein(e) abgeschlossene(s) Ausbildung/Studium im Bereich/Spezialisierung Informatik in Kombination mit einem der nachfolgenden Zertifikate verfügen: Offensive Security Certified Professional (OSCP, auch bekannt als OffSec Certified Professional oder OCP) ODER Global Information Assurance Certification (GPEN-Zertifikat) ODER GIAC Web Application Penetration Tester Zertifikat (GWAPT-Zertifikat) ODER Certified Ethical Hacker Zertifikat (CEH-Zertifikat) ODER ein vergleichbares Zertifikat (die Vergleichbarkeit ist durch den Bewerber nachzuweisen)

Zum Nachweis der technischen und beruflichen Leistungsfähigkeit wird gefordert, dass alle Mitglieder des Kernteams keinem auf der Staatenliste genannten Staat angehören.

Zum Nachweis der technischen und beruflichen Leistungsfähigkeit wird eine jährliche durchschnittliche Beschäftigtenzahl von mindestens 10 Mitarbeiter gefordert. Sollte ein Bewerber mehr als jährlich durchschnittlich 10 Mitarbeiter beschäftigten, wird dies wie folgt bewertet: 11 - 24 Mitarbeiter: 3 Punkte // 25 - 49 Mitarbeiter: 7 Punkte // ab 50 Mitarbeiter: 10 Punkte

Zum Nachweis der technischen und beruflichen Leistungsfähigkeit wird ein bestehendes Informationssicherheitsmanagementsystems nach ISO/IEC 27001 oder ISO/IEC 27001 nach IT-Grundschutz oder vergleichbar gefordert. Die Vergleichbarkeit ist durch den Bewerber nachzuweisen.