Germania – Servicii de furnizare de software – Bereitstellung und Betrieb einer SaaS-basierten Datenzentrierten Sicherheitsplattform (DSP) zur Analyse, Überwachung und zum Schutz von Daten und Zugriffsberechtigungen

Bereitstellung und Betrieb einer SaaS-basierten Datenzentrierten Sicherheitsplattform (DSP) zur Analyse, Überwachung und zum Schutz von Daten und Zugriffsberechtigungen Stadtwerke Düsseldorf AG "Gemäß § 160 Abs. 3 GWB ist ein Antrag auf Einleitung eines Nachprüfungsverfahrens unzulässig, soweit: 1. Der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem Auftraggeber nicht innerhalb einer Frist von 10 Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Abs. 2 bleibt unberührt. 2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden. 3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem Auftraggeber gerügt werden. 4. Mehr als 15 Kalendertrage nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, vergangen sind. 5. Satz 1 gilt nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrages nach § 135 Abs. 1 Nummer 2 GWB. § 134 Absatz 1, Satz 2 GWB bleibt unberührt." Vergabekammer Westfalen 20) Angabe von Projekt-Referenzen: Bitte geben Sie mindestens 3, höchstens jedoch 5 Referenzen (max. 2 A4-Seiten je Referenz) zu vergleichbaren bereitgestellten Lösungen an, nicht älter als 5 Jahre. Bitte benennen/erläutern Sie soweit für die Lösung zutreffend: - Branche, Kunde und ggf. Ansprechpartner (mind. 1 aus dem KRITIS-Umfeld) - Implementierung, Betrieb oder Bereitstellung einer datenzentrierten Sicherheitslösung (z. B. Data Security Platform, Data Security Posture Management oder vergleichbare Lösungen) - Einsatz in einer IT-Umgebung vergleichbarer Größenordnung und Komplexität - Integration in hybride IT-Landschaften (On-Premises und Cloud) - Leistungen im Bereich Analyse von Berechtigungen, Datenzugriffen oder sicherheitsrelevanten Aktivitäten - Branche und Größenordnung der Referenz - Projektbeschreibung und Leistungsumfang - angebundene Systeme / Systemlandschaft (z. B. Verzeichnisdienste, Fileserver, Cloud-Dienste) - Projektzeitraum - Der Bewerber weist eine mindestens fünfjährige Marktpräsenz im Bereich IT-/Cybersecurity oder Datensicherheit nach (z. B. durch Unternehmensdarstellung, Referenzen oder vergleichbare Nachweise). Unvollständige Unterlagen oder Angaben können zum Ausschluss vom Verfahren führen. Der AG behält sich vor, die Qualität des Bewerbers in einem Qualifizierungsverfahren zu prüfen. Ergänzung zu "Nachforderung": Der Auftraggeber behält sich das Recht vor, fehlende Unterlagen nachzufordern. Weitere Unterlagen sind den Beschaffungsunterlagen zu entnehmen. Zusätzliche Angaben zum Verfahren: Bei dem AG handelt es sich um ein Unternehmen mit kritischen Anlagen im Sinne der Verordnung zur Bestimmung kritischer Anlagen nach dem BSI-Gesetz (BSI-Kritisverordnung - BSI-KritisV). Zum Schutz der Vertraulichkeit der Informationen im Rahmen des Vergabeverfahrens werden daher nur den präqualifizierten Bietern die Vergabeunterlagen nach der Bewertung der Teilnahmeanträge elektronisch zugesandt." Die Finanzierungs- und Zahlungsbedingungen werden in den Beschaffungsunterlagen aufgeführt. Bietergemeinschaften werden nur zugelassen, wenn - eine verbindliche Erklärung zur Gründung einer Arbeitsgemeinschaft im Falle der Auftragserteilung, - Benennung aller Mitglieder der Arbeitsgemeinschaft, - Benennung der bevollmächtigten Personen, - Benennung der Aufgabenverteilung innerhalb der Arbeitsgemeinschaft und - eine verbindliche Erklärung der gesamtschuldnerischen Haftung aller Mitglieder der Arbeitsgemeinschaft vorgelegt und - jedes Mitglied der Arbeitsgemeinschaft die Eignungskriterien gem. dem Punkt "Eintragung in das Handelsregister", dem Punkt "Andere wirtschaftliche oder finanzielle Anforderungen" und "Sicherheit bei der Verarbeitung, Speicherung und Übermittlung von klassischen Informationen" erfüllt. Ergänzung zu "Zuschlagskriterien" Der Preis ist nicht das einzige Zuschlagskriterium; alle Kriterien sind nur in den Beschaffungsunterlagen aufgeführt. #Bekanntmachungs-ID: CXP4Y0ZMPE3# Erfüllen mehr als 6 Bewerber die Teilnahmebedingungen, behält sich der Auftraggeber das Recht vor, die Zahl der geeigneten Bewerber im Wege einer vertieften Eignungsprüfung auf mindestens drei und maximal 6 Bewerber zu reduzieren. Nimmt der Auftraggeber eine solche Reduktion vor, erfolgt die Auswahl anhand einer vergleichenden Bewertung der vom Bewerber vorzulegenden Referenzen. Zur Angebots- bzw. Verhandlungsphase werden in diesem Fall ausschließlich die 6 Bewerber mit der höchsten Gesamtpunktzahl eingeladen. Bei Punktgleichheit auf dem letzten Rang kann der Auftraggeber einen Losentscheid durchführen. Unvollständige oder fehlende Angaben können - vorbehaltlich etwaiger Nachforderungsmöglichkeiten im Ermessen des Auftraggebers - zum Ausschluss aus dem Teilnahmewettbewerb führen. Die Bewertung jeder einzelnen Referenz erfolgt nach den folgenden Kriterien: '1. Branche: Die Referenz stammt aus derselben oder einer vergleichbaren Branche wie der Auftragsgegenstand. - Vollständige Übereinstimmung: 5 Punkte - Vergleichbare Branche: 3 Punkte - Andere Branche: 0 Punkte 2. Projekt-/ Referenzzeitraum: Die Referenzleistung wurde innerhalb der letzten Jahre erbracht. - Innerhalb der letzten 2 Jahre: 5 Punkte - Innerhalb der letzten 3 Jahre: 3 Punkte - Innerhalb der letzten 5 Jahre: 0 Punkte 3. Unternehmensgröße der Referenz vergleichbar - min. 2000 Mitarbeitende: 5 Punkte - min. 750 Mitarbeitende: 3 Punkte - kleiner 750 Mitarbeitende: 0 Punkte Der AG behält sich das Recht vor, den Vertrag um zwei Mal 24 Monate zu verlängern, insgesamt = 48 Monate. 1) aktueller Nachweis über die Eintragung in ein Handels- oder Berufsregister des Sitzes oder Wohnsitzes des Bewerbers (bei ausländischen Bewerbern gleichwertige Bescheinigung einer Behörde des Heimatlandes nebst amtlich anerkannter Übersetzung) Interessierte Bieter werden aufgefordert, ihre Interessensbekundungen fristgerecht über das e-Vergabe-Portal einzureichen. Die Teilnahmebedingungen stellen kumulativ zu erfüllende und gleichwertige Eignungskriterien dar, die vollständig nachzuweisen sind. Dies gilt auch für Bewerber, die bereits an anderen Präqualifizierungsverfahren des AG teilgenommen haben, Geschäftsbeziehungen mit dem AG unterhalten, auf den einschlägigen Märkten einen hohen Bekanntheitsgrad besitzen oder auf öffentlichen Plattformen gleiche/ähnliche Unterlagen vorgelegt haben. Die Unterlagen dienen der Feststellung der Eignung und Auswahl der Bieter. Qualifizierte Bieter erhalten anschließend die Ausschreibungsunterlagen mit neuer Angebotsfrist. Der AG kann fehlende, unvollständige oder fehlerhafte Unterlagen nachfordern. Die Entscheidung liegt im Ermessen des AG und begründet keinen Anspruch auf Nachreichung. Unvollständige oder verspätet eingegangene Bewerbungen/Unterlagen führen zum Verfahrensausschluss. 2) Organigramm der Unternehmensstruktur 3) Auflistung der Produktpalette des Bewerbers, aus der hervorgeht, dass die benötigten Warengruppen abgedeckt werden können 4) Bestätigung durch Eigenerklärung zur Verwendung der deutschen Sprache gem. Vorlage, hinterlegt auf der Plattform der DTVP (siehe Ziffer 5.1.11) 5) aktuelle Unbedenklichkeitsbescheinigung der Berufsgenossenschaften 6) aktuelle Unbedenklichkeitsbescheinigung der Sozialversicherung 7) aktuelle Unbedenklichkeitsbescheinigung der Finanzämter 8a-c) Angabe der Umsatzzahlen des Unternehmens in den letzten drei Jahren, woraus hervorgeht, dass das Unternehmen einen Vertrag dieser Größenordnung abwickeln kann 9a-c) Angabe der Anzahl der Beschäftigten des Unternehmens in den letzten 3 Jahren 10) Nachweis einer ausreichenden Bonität durch eine anerkannte Wirtschaftsauskunftei (z. B. Creditreform, D&B). Das Rating muss - gemessen am deutschen Markt - mindestens gleichwertig zu einem Creditreform Rating von maximal 250 oder einem D&B Rating von mindestens 75 sein. 11) Nachweis einer Haftpflichtversicherung mit Nennung der Höhe der Deckungssumme 12) Bestätigung durch Eigenerklärung, dass keine Ausschlussgründe im Sinne der §§123 und 124 GWB vorliegen gem. Vorlage, hinterlegt auf der Plattform der DTVP (siehe Ziffer 5.1.11) 13) Eigenerklärung, im Zuge der Russland-Sanktionen gemäß Verordnung (EU) 833/2014 gem. Vorlage, hinterlegt auf der Plattform der DTVP (siehe Ziffer 5.1.11) 14) Der Bewerber kann im Hinblick auf die erforderlichen wirtschaftlichen und finanziellen sowie die technischen und beruflichen Leistungsfähigkeiten die Kapazitäten anderer Unternehmen in Anspruch nehmen, wenn er eine entsprechende Erklärung zur Eignungsleihe, inklusive einer Verpflichtungserklärung nach § 47 SektVO dieser Unternehmen gem. Vorlage, hinterlegt auf der Plattform der DTVP (siehe 5.1.11), vorlegt 15) Bestätigung Supplier Code of Conduct SWD gem. Vorlage, hinterlegt auf der Plattform der DTVP (siehe Ziffer 5.1.11) oder eines Code of Conducts, der die Sorgfaltspflichten aus dem Lieferkettensorgfaltspflichtengesetz "LkSG" erfüllt 16) Bestätigung Vertraulichkeitserklärung ISMS für Bieter, Lieferanten und/oder Dienstleister gem. Vorlage, hinterlegt auf der Plattform der DTVP (siehe Ziffer 5.1.11) Unvollständige Unterlagen oder Angaben können zum Ausschluss vom Verfahren führen. Der AG behält sich vor, die Qualität des Bewerbers in einem Qualifizierungsverfahren zu prüfen. Ziel ist der Abschluss eines Vertrages über die Bereitstellung, Implementierung und den Betrieb einer skalierbaren, cloudbasierten Datenzentrierten Sicherheitsplattform (DSP) zur Analyse, Überwachung und zum Schutz von Daten sowie Zugriffsberechtigungen in einer hybriden IT-Umgebung (On-Premises und Cloud). Die Lösung hat insbesondere folgende Funktionen und Leistungen abzudecken: - Analyse und Bewertung von Datenbeständen, Datenzugriffen und Berechtigungsstrukturen einschließlich der Identifikation potenzieller Sicherheits- und Datenschutzrisiken, - Die Lösung soll über integrierte Funktionen zur Erkennung von Anomalien im Nutzer- und Systemverhalten (User and Entity Behavior Analytics) verfügen - Herstellung von Transparenz über effektive Zugriffe und Berechtigungen, - Erkennung und Bewertung auffälliger, risikobehafteter oder sicherheitsrelevanter Aktivitäten, - Bereitstellung von Monitoring-, Reporting- und Nachweisfunktionen zur Unterstützung von Audit-, Compliance- und Sicherheitsanforderungen, insbesondere im regulierten KRITIS-Umfeld, - Unterstützung bei der Ableitung und Umsetzung geeigneter Maßnahmen zur Risikoreduzierung (z. B. Anpassung von Berechtigungen oder Einschränkung von Zugriffsrechten), - Integration in die bestehende hybride Systemlandschaft des Auftraggebers (insbesondere Identitätsdienste, Datei- und Cloudspeicher sowie Kollaborationsplattformen) über standardisierte Schnittstellen, - Bereitstellung und Betrieb der Lösung einschließlich Wartung, Weiterentwicklung, Updates und technischer Dokumentation im SaaS-Modell. Ergänzend sind Leistungen vorzusehen, die eine kontinuierliche Auswertung, Bewertung und Priorisierung (Managed Detection and Response) sicherheitsrelevanter Ereignisse unterstützen sowie Handlungsempfehlungen bereitstellen. Bei entsprechender Ausgestaltung können diese Leistungen auch operative Unterstützungsleistungen umfassen. Weiterbetriebsanforderungen: - Sicherstellung eines unterbrechungsfreien Übergangs aus einem bestehenden produktionsnahen Betrieb, einschließlich eines geeigneten Migrations- und Übergangskonzepts, - Übernahme vorhandener Konfigurationen, Auswertungen und Einstellungen soweit technisch möglich, - Gewährleistung der Kompatibilität mit bestehenden Systemlandschaften, Rollen- und Berechtigungsmodellen, - Minimierung von Migrations-, Integrations- und Schulungsaufwänden unter Berücksichtigung der Wirtschaftlichkeit über den gesamten Lebenszyklus, - Sicherstellung der kontinuierlichen Betriebsfähigkeit während der Übergangsphase. Sämtliche Leistungen mit Bezug zu Daten oder Metadaten des Auftraggebers sind ausschließlich im Geltungsbereich der EU-DSGVO zu erbringen. Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI) Bereitstellung, Implementierung und Betrieb einer cloudbasierten, SaaS-basierten Datenzentrierten Sicherheitsplattform (DSP) zur Analyse, Überwachung und zum Schutz von Daten und Zugriffsberechtigungen in einer hybriden IT-Umgebung (On-Premises und Cloud) der Stadtwerke Düsseldorf AG einschließlich verbundener Unternehmen. Ziel der Beschaffung ist die Herstellung von Transparenz über Datenbestände, Zugriffsbefugnisse und sicherheitsrelevante Aktivitäten sowie die Unterstützung von Maßnahmen zur Erhöhung der Informationssicherheit und zur Einhaltung regulatorischer Anforderungen im KRITIS-Umfeld. Die Leistung umfasst neben der Bereitstellung der Plattform auch unterstützende Leistungen zur Analyse, Bewertung und Priorisierung sicherheitsrelevanter Ereignisse sowie zur Ableitung geeigneter Maßnahmen. Die Verarbeitung sämtlicher Daten erfolgt ausschließlich im Geltungsbereich der EU-DSGVO. Ein unterbrechungsfreier Übergang aus einem bestehenden produktionsnahen Betrieb ist sicherzustellen. 19) Eigenerklärung zum Datenschutz, Vorlage hinterlegt auf der Plattform der DTVP (siehe Ziffer 5.1.11). Unvollständige Unterlagen oder Angaben können zum Ausschluss vom Verfahren führen. Der AG behält sich vor, die Qualität des Bewerbers in einem Qualifizierungsverfahren zu prüfen. 17) Nachweis eines aktiven Partnerstatus mind. eines DSP Herstellers. 18) ISO/ IEC 27001 Zertifizierung: Der Teilnehmer hat eine Möglichkeit das Eignungskriterium zu erfüllen. Das Eignungskriterium gilt als bestanden, wenn der Teilnehmer eine gültige Zertifizierung nach ISO 27001 nachweisen kann, deren Geltungsbereich (Hosting bzw. Cloudbetrieb, Implementierungsleistungen, Supportleistungen und Betriebsleistungen) die zu erbringenden Leistungen vollständig umfasst. Unvollständige Unterlagen oder Angaben können zum Ausschluss vom Verfahren führen. Der AG behält sich vor, die Qualität des Bewerbers in einem Qualifizierungsverfahren zu prüfen. 01 DE 811365[telefon eliminat]+02:00 ••• ••• 13+02:00 48147 neg-w-call 1571ebc5-f6f1-4299-810a-ef140ece9fd4 [telefon eliminat] https://www.dtvp.de/Satellite/notice/CXP4Y0ZMPE3/documents none required slc-abil-qual-inst 16:35:55+02:00 ord-imp 714dbc69-4ada-4bc2-b9b8-7740b33efe87 ORG-00 ••• ••• 26 cn-standard anyw-cou ORG-0001 DEA33 ORG-[telefon eliminat]-EU-Bekanntmachung 17 late-all epo-notice no-eu-funds [email eliminat] 32014L0025 https://www.dtvp.de/Satellite/notice/CXP4Y0ZMPE3 2 0204:994-DOEVD-83 4 6 slc-abil-ref-services true Albrecht-Thaer-Straße 9 53119 48000000 non-restricted-document http://www.swd-ag.de no Münster slc-suit-reg-trade slc-sec-proc [telefon eliminat] sektvo 02 ••• ••• 99 eforms-sdk-1.13 Höherweg 100 not-allowed LOT-0001 DE 164 242 157 Düsseldorf 23:59:00+02:00 [email eliminat] DEA11 epo-procurement-document 72000000 [email eliminat] 40233 false SomeTenderDocID1 electricity 72268000 services [telefon eliminat]+02:00 Bonn slc-stand-other performance DEU 2.3 [telefon eliminat] ted-esen DEA22