Beratungsleistungen für Systeme zur Angriffserkennung

Hamburger Hochbahn AGHamburg, HamburgVeröffentlicht: 14. August 2026

Angebotsfrist: 13. September 2026noch 30 Tage

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Die Hamburger Hochbahn AG sucht externe Beratung für den Auf- und Ausbau von Systemen zur Angriffserkennung (SzA) im IT-/OT-Umfeld der Abteilung Zugsicherungs- und Kommunikationsanlagen.

Worum es geht: Ein Beratungsunternehmen soll die HOCHBAHN dabei unterstützen, Sicherheitssysteme einzuführen und zu betreiben, die Cyber-Angriffe frühzeitig erkennen – darunter SIEM-Lösungen (Sicherheitsinformations- und Ereignis-Management), EDR (Endpoint Detection and Response) und IDS (Intrusion Detection Systems).

Was zu tun ist:

Einarbeitung in die bestehende IT-/OT-Landschaft und das Informationssicherheits-Management (ISMS)Strategische und organisatorische Unterstützung, z.B. Aufbau von SOC-Strukturen, Alarmierungs- und Reaktionsprozessen, Use Cases und KPIsOperative und technische Unterstützung bei der Auswahl, Integration und dem Betrieb der ErkennungssystemeErstellung und Qualitätssicherung von Informationssicherheitsrichtlinien und ProzessenUnterstützung bei der Nachweiserbringung gegenüber dem BSI gemäß § 39 BSIG

Rahmenbedingungen:

Leistungsort: Hamburg (durchschnittlich 1 Personentag/Woche; 2 Personentage pro Quartal vor Ort)Geschätztes Gesamtvolumen: ca. 350 Personentage (à 8 Stunden)Vertragslaufzeit: 4 Jahre, mit zweimaliger Verlängerungsoption um jeweils 2 Jahre (bis ca. 2034)Vertragstyp: EVB-IT Dienstvertrag

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert

Noch 30 Tage bis zur Angebotsfrist — 13. September 2026

HEUTE

Termin / FristAUG2026 FEB AUG FEB AUG FEB AUG FEB AUG FEB AUG FEB AUG

Veröffentlichung14. Aug. 2026

Bieterfragen-Frist6. Okt. 2026

Angebotsfrist21. Okt. 2026

Bindefrist21. Okt. – 31. Dez. 2026

Bietergespräche9. Nov. – 20. Nov. 2026

Vertragslaufzeitca. 31. Dez. 2026 – 31. Dez. 2030

Verlängerung 1ca. 31. Dez. 2030 – 31. Dez. 2032

Verlängerung 2ca. 31. Dez. 2032 – 31. Dez. 2034bis 2034

vor Angebotsabgabenach Angebotsabgabegeschätzt

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen

Preis & Qualität0 Kriterien

KI-Hinweis: Die Bewertungsmatrix mit den konkreten Zuschlagskriterien und Gewichtungen ist als Anlage zu den Vergabeunterlagen angekündigt, aber im vorliegenden Kontext nicht enthalten.

Leistungsumfang

Aus den Vergabeunterlagen

Arbeitspaket 1: Einarbeitung

Einarbeitung in den Aufbau und die Struktur des bestehenden Informationssicherheits-Management-Systems (ISMS)Einarbeitung in bestehende Richtlinien und ProzesseEinarbeitung in die IT- und OT-Systemlandschaften der HOCHBAHNEinarbeitung in die HOCHBAHN-Technik-StrukturenEinarbeitung in infosicherheitstechnische Besonderheiten der Zugsicherungs- und KommunikationsanlagenEinarbeitung in bestehende Angriffserkennungssysteme

Arbeitspaket 2: Strategische und organisatorische Unterstützung

Unterstützung bei der Umsetzung der BSI-Orientierungshilfe 'Systeme zur Angriffserkennung'Integration der Angriffserkennung in das bestehende ISMSEntwicklung von KPIs (Kennzahlen) für die AngriffserkennungErarbeitung von Logging-KonzeptenEntwicklung von Use Cases für die ErkennungAufbau von Alarmierungs- und ReaktionsprozessenUnterstützung beim Aufbau von SOC-Strukturen (Security Operations Center)Unterstützung beim Vorfallsmanagement (nach ISO 27035)Erarbeitung von SLAs (Service Level Agreements) und OLAs (Operational Level Agreements)Erstellung von Schulungsunterlagen

Arbeitspaket 3: Operative und technische Unterstützung

Bewertung und Integration von Tools (SIEM, EDR, IDS)Aufbau und Pflege der ProtokollierungsinfrastrukturKonzeption und Implementierung von DetektionsmechanismenEinrichtung und Betrieb von MonitoringManagement der Use Cases im laufenden BetriebDurchführung der Angriffserkennung über das SIEM

Arbeitspaket 4: Richtlinien und Prozesse

Erstellung audit- und prüfungssicherer Informationssicherheitsrichtlinien(Weiter-)Entwicklung von InformationssicherheitsprozessenQualitätssicherung der Richtlinien und Prozesse

Rahmenbedingungen der Leistungserbringung

Leistungsort: Hamburg (vor Ort) sowie RemoteVerfügbarkeit: durchschnittlich 1 Personentag pro WocheVor-Ort-Einsatz: durchschnittlich 2 Personentage pro QuartalGeschätztes Gesamtvolumen: ca. 350 Personentage (à 8 Stunden) über die gesamte VertragslaufzeitAbruf nach Bedarf (kein Anspruch auf vollständigen Abruf)Vertragstyp: EVB-IT DienstvertragVertragslaufzeit: 4 Jahre ab Vertragsbeginn, mit zwei Verlängerungsoptionen um jeweils 2 Jahre (bis ca. 2034)

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Eignung zur Berufsausübung

Eintragung im Berufs- oder Handelsregister (Auszug nicht älter als 6 Monate zum Ende der Teilnahmefrist) ODER Nachweis, dass keine Eintragungspflicht besteht

Ausschlussgründe

Keine zwingenden Ausschlussgründe gemäß § 123 Abs. 1 GWBKeine fakultativen Ausschlussgründe gemäß § 124 GWBGgf. Nachweis von SelbstreinigungsmaßnahmenKeine Verurteilungen nach § 21 Abs. 1 SchwarzArbG (Freiheitsstrafe >3 Monate oder Geldstrafe >90 Tagessätze)Keine Geldbuße ≥2.500 EUR gegen VertretungsberechtigteKeine Ausschlussgründe nach Art. 5k VO (EU) 2022/576 (Russland-Sanktionen)

Wirtschaftliche und finanzielle Leistungsfähigkeit

Positive BankerklärungBetriebs-/Umwelt-/Produkthaftpflichtversicherung mit mindestens 1.000.000 EUR je Versicherungsfall für Personen- und Sachschäden sowie mindestens 1.000.000 EUR je Versicherungsfall für VermögensschädenVersicherung muss zum Ende der Teilnahmefrist gültig sein und im Zuschlagsfall aufrechterhalten werden (oder Absichtserklärung zum Abschluss)Jahresabschlüsse der letzten 3 abgeschlossenen Geschäftsjahre (oder Erklärung bei kürzerer Geschäftstätigkeit)Umsatz-Tabelle für die letzten 3 Geschäftsjahre (Gesamtumsatz + Umsatz mit vergleichbaren Leistungen)

Technische und berufliche Leistungsfähigkeit – Unternehmen

Nachweisbare Kompetenz und Erfahrung in der Beratung von Kunden im KRITIS-Umfeld bezogen auf die Themen im LeistungsgegenstandZertifizierung der für den Auftrag relevanten Unternehmensbereiche nach ISO 27001 oder vergleichbar3 vergleichbare Referenzprojekte aus den letzten 3 Kalenderjahren

Technische und berufliche Leistungsfähigkeit – eingesetzte Personen (Fachkenntnisse)

Die eingesetzten Personen müssen nachweisbare Kenntnisse und Erfahrungen in folgenden Bereichen haben:

BSIG und BSI-KritisVBSI-Orientierungshilfe 'Systeme zur Angriffserkennung' (SzA)BSI-Standards (200-X) und Methoden, inkl. RUN und GAiNVDV-Schrift 440 und VDV-Mitteilung 4400 (ÖPNV-Branchenstandards)Nachweiserbringung gemäß § 39 BSIG hinsichtlich SzAKRITIS-UmfeldÖPNV-BranchenkenntnisseSIEM-Lösungen (z.B. Splunk, Sentinel, QRadar)SOC-Betriebsmodelle (Security Operations Center)OT-Systeme im Bereich Zugsicherungs- und KommunikationsanlagenErbringung von Nachweisen gegenüber dem BSIInformationssicherheitsrichtlinien für IT und OTInformationssicherheitsprozesse für IT und OTRevisionssichere DokumentationReifegradanalysen im IT- und OT-Bereich im ÖPNV

Persönliche Anforderungen

Sehr gute Deutschkenntnisse (Niveau C2)Hohe Kommunikations- und ModerationsfähigkeitAusgeprägte Beratungskompetenz mit proaktiver Themensteuerung im UnternehmenMöglichkeit zu 2 Personentagen pro Quartal vor Ort in Hamburg

Formale Eignungsanforderungen

Keine wettbewerbsbeschränkenden Absprachen (sonst Ausschluss)Bewerbergemeinschaften: gesamtschuldnerische Haftung; Ausschlussgründe und Registereintragung für jedes Mitglied einzeln; nur Gemeinschaften, die vor Aufforderung zur Angebotsabgabe bestandenNachunternehmer: Art und Umfang im Angebot angeben, auf Verlangen benennenEignungsleihe möglich für wirtschaftliche, finanzielle und technische Leistungsfähigkeit (Verpflichtungs- und Eigenerklärung des Drittunternehmens erforderlich; bei finanzieller Eignungsleihe gesamtschuldnerische Haftung)

Referenzprojekte

3 ReferenzenZeitraum: Letzte 3 KalenderjahreVolumen: Nicht beziffert

3 vergleichbare Referenzprojekte aus den letzten drei Kalenderjahren, vergleichbar mit der ausgeschriebenen Leistung, zur Zufriedenheit des Auftraggebers ausgeführt

Ansprechpartner dürfen von der Vergabestelle kontaktiert werden; Pflichtangaben je Referenz: Kategorie, Auftraggeber, Name und Telefonnummer des Ansprechpartners, Beschreibung von Art und Umfang der Leistung, Zeitraum der Leistungserbringung