Zusammenfassung
Automatisch erstellt aus den VergabeunterlagenDie NRW.BANK (Förderbank von Nordrhein-Westfalen) sucht eine cloudbasierte Software-as-a-Service-Lösung (SaaS), die ihre bisher weitgehend manuellen Prozesse zur Kundenprüfung (KYC), zum Sanktions- und PEP-Screening sowie zur Risikosteuerung in der Geldwäscheprävention automatisiert und workflow-gestützt abwickelt.
Das System muss rund 100.000 Kunden (90.000 natürliche und 10.000 juristische Personen inkl. Kommunen, Stiftungen, internationale Gesellschaften) abdecken, Schnittstellen zu SAP GP bieten und regulatorische Anforderungen (GwG, MaRisk, BAIT, DORA, DSGVO) erfüllen. On-Premise-Lösungen sind ausgeschlossen – die Cloud-Infrastruktur muss in EU/EWR betrieben werden.
Die Vertragslaufzeit beträgt 4 Jahre mit Verlängerungsoption um bis zu 3 Jahre. Angebote werden ausschließlich elektronisch über das Vergabeportal evergabe.nrw.de eingereicht.
Bieter müssen u.a. einen Mindestumsatz von 500.000 € netto nachweisen, mindestens 2 vergleichbare Referenzen vorlegen und verschiedene Zertifizierungen (ISO 27001 etc.) nachweisen.
Zeitplan & Fristen
Aus den Vergabeunterlagen extrahiertDie Angebotsfrist ist abgelaufen.
HEUTE
Termin / FristJUN2026 DEZ JUN DEZ JUN DEZ JUN DEZ JUN DEZ JUN DEZ JUN DEZ JUN
Veröffentlichung
Bieterfragen-Frist
Angebotsfrist
Bindefrist
Phase 1 – Betriebsbereitschaft
Vertragsbeginn
Vertragslaufzeit
Rahmenvertrag Laufzeit
Meilenstein 4 – Go-Live
Phase 2 – SAP-Anbindung
Meilenstein 5 – SAP-Schnittstellen
Verlängerung 1
Verlängerung 2
Verlängerung 3
Cloud-Exit-Unterstützungbis 2034
Löschbestätigung
vor Angebotsabgabenach Angebotsabgabegeschätzt
Zuschlagskriterien
Gewichtung laut VergabeunterlagenPreis & Qualität9 Kriterien
Preis 32.1%Qualität 67.9%
- A.1 Funktionalitäten der Software20%
Bewertung der funktionalen Anforderungen an die Software auf Basis einer Anforderungsliste mit Muss-/Soll-/Kann-Kriterien und Individualisierungsgrad (Produktstandard bis individuelle Programmierung). Maximal 200 Punkte.
- A.2 IT spezifische Kriterien20%
Bewertung der IT-spezifischen Anforderungen anhand einer Anforderungsliste mit Umsetzungs-/Zertifizierungsstatus. Maximal 200 Punkte.
- B. Beschreibender Teil40%
Bewertung des fachlichen Konzepts mittels Schulnoten (1–6) in mehreren Kategorien. Maximal 400 Punkte (= 30 Punkte * Multiplikator, normiert auf 400 Punkte). Ausschluss bei Durchschnittsnote ≤ 1,5 in einer Kategorie.
- C. Preis (innerhalb der ersten 7 Jahre)20%
Bewertung anhand des Angebotsvergleichspreises (AVP). Günstigster Preis erhält 200 Punkte, doppelter oder höherer Preis 0 Punkte, dazwischen lineare Interpolation. Maximal 200 Punkte.
- D. Bieterpräsentation0%
Vorbehaltene Validierungspräsentation, wird nicht gewichtet (0%).
Preis: Punktzahl = 200 * (2,0 * PreisBest – PreisAngebot) / (1,0 * PreisBest), lineare Interpolation zwischen niedrigstem Preis (200 Punkte) und doppeltem Preis (0 Punkte). Anforderungskriterien (A.1, A.2): Punkte = (Anzahl erzielte Punkte / Anzahl erzielbarer Punkte) * 200 Punkte. Beschreibender Teil (B): Punkte = (Anzahl erzielte Punkte / 30) * 400 Punkte. Bieterpräsentation: nicht gewichtet (Validierungspräsentation).
KI-Hinweis: Alle Zuschlagskriterien inkl. Gewichtungen (A.1 20%, A.2 20%, B 40%, C 20%, D 0%), Unterkriterien mit Multiplikatoren und Bewertungsformeln sind vollständig dokumentiert.
Leistungsumfang
Aus den VergabeunterlagenKernfunktionen KYC und Screening
Kundenannahme und KYC-Prüfung: Erfassung aller relevanten Datenfelder gemäß GwG, § 154 AO und AML-VO (inkl. erweiterter Felder für wirtschaftlich Berechtigte, PEPs, Stiftungen, nominelle Anteilsigner etc.)Sanktionslisten-Screening: Automatisierter Abgleich gegen EU-, UN-, US- und weitere Sanktionslisten inkl. dynamischem Rescreening und TreffermanagementPEP- und RCA-Prüfung: Identifikation politisch exponierter Personen, Familienangehöriger und NahestehenderAdverse-Media-Screening: Negative-News-Prüfung über externe DatenbankenErmittlung wirtschaftlich Berechtigter (UBO/wE): Grafische Darstellung gesellschaftsrechtlicher Strukturen, Abgleich mit Transparenzregister, UnstimmigkeitsmeldungenRisikoklassifizierung: Regelbasiertes Modell mit mindestens 3 Klassen (niedrig/mittel/hoch), manuelle Übersteuerung möglichDaten- und Dokumentenbeschaffung: Anbindung nationaler und internationaler Register (insb. Transparenzregister), Auskunfteien, Dokumentenupload, VolltextsucheVeränderungsmonitoring: Automatische Erkennung von Änderungen und Auslösung anlassbezogener Prüfprozesse
Fallmanagement und Dokumentation
Case Management & Workflow: End-to-End-Workflow inkl. Self-Service, automatisierten Zuweisungen, Plausibilitätsprüfungen, Eskalationen und FreigabeverfahrenRe-KYC und Ongoing Due Diligence: Risikobasierte periodische Wiedervorlagen sowie eventgetriebene Reviews; automatisierte Kundenkommunikation mit Benachrichtigungs- und EskalationsmechanismenPrüfungsdokumentation & Audit-Trail: Revisionssichere Dokumentation aller KYC-Ergebnisse und DatenänderungenReporting & regulatorische Meldungen: Standardisierte und Ad-hoc-Berichte, Export als CSV/PDF, Vorbereitung von BehördenmeldungenDatenarchivierung/-löschung: Compliance-konforme, revisionssichere Löschroutinen gemäß GwG und Datenschutzrecht, Kontrollreports vor Löschung
Schnittstellen und Datenhaltung
SAP-GP-Anbindung: Bidirektionaler Real-Time-Datenaustausch als 'Single Point of Truth'; Migration der Bestandsdaten aus SAPeAkte-Anbindung: Übergabe/Empfang von DokumentenExchange/Outlook inkl. MS Graph: Automatisierter E-Mail-VersandSSO über ADFS/SAML 2.0 (optional Entra ID)Active Directory: BenutzerverwaltungMehr-Mandanten-FähigkeitREST-API-Schnittstelle für SAPPerspektivisch: Anbindung OneIdentity und weitere BanksystemeJIRA-Integration
Technische Anforderungen und IT-Sicherheit
ISMS: ISO/IEC 27001 oder gleichwertiger NachweisDORA-Konformität: Einsatz gilt als wesentliche Auslagerung gemäß Art. 30 Abs. 2 DORACloud-Standort: Ausschließlich EU/EWR (gemäß EVB-IT Cloud)IAM/SSO: SAML 2.0/ADFS, optional Entra ID, MFA via TOTP/HOTPVerschlüsselung: TLS 1.2/1.3 (Transport), AES-256 (Data-at-Rest)Netzwerksicherheit: Firewall, VPN, DoS/DDoS-Schutz, NetzwerksegmentierungSIEM und 24x7 SOCSchwachstellenmanagementDatensicherung: RPO < 4 Stunden, jährliche Restore-TestsMandantenfähigkeit und automatische SkalierbarkeitVerfügbarkeit: mindestens 99% (Soll: ≥ 99,5%); Betriebszeit Mo–Fr 05:00–22:00 UhrDSGVO-Konformität: Auftragsverarbeitung gemäß Art. 28, Datenhaltung in EU/EWR/Schweiz
KI-Einsatz und Transparenz
KI-Komponenten sind nur im vertraglich vereinbarten Umfang zulässigVollständige Transparenz gegenüber der AuftraggeberinDeaktivierbarkeit ohne Einschränkung des KernbetriebsKein Training mit KundendatenKein Einsatz vertraulicher Daten als Input
Projekteinführung und Meilensteine
Phase 1 (bis 31.12.2026): Betriebsbereitschaft inkl. SaaS, SSO/ADFS und Modellierung bankinterner KYC-ProzessePhase 2 (Januar–Juni 2027): Weitere Schnittstellen, insb. bidirektionale SAP-GP-AnbindungMeilenstein 1: Projekt-Kick-OffMeilenstein 2: Testumgebung und DatenmigrationMeilenstein 3: Testmanagement und QMMeilenstein 4 (Go-Live): 3 Monate nach AuftragserteilungMeilenstein 5: SAP-Schnittstellen – 6 Monate nach Go-LiveMeilenstein 6: Übergabe in laufenden Betrieb inkl. Schulung und HypercareIndividualentwicklungen/Customizing: 9–12 Monate nach AuftragserteilungTest- und Produktivumgebungen: Mindestens 2 Umgebungen, dreistufiges Testkonzept empfohlen
Laufender Betrieb, Support und Service
Vollständige Verwaltung durch den Auftragnehmer: Wartung, Updates, SupportHotline/Ticket-System: Mo–Fr 08:00–18:00 UhrReaktionszeiten gemäß EVB-IT Kriterienkatalog:Betriebsverhindernder Mangel: Reaktion < 1 Std., Wiederherstellung < 24 Std.Betriebsbehindernder Mangel: Reaktion < 2 Std., Wiederherstellung < 48 Std.Leichter Mangel: Reaktion < 4 Std., Wiederherstellung < 72 Std.Service-Meetings: monatlich (anfangs), später quartalsweiseService-Manager mit StellvertretungBarrierefreie Bedienung (insb. Rot-Grün-Sehschwäche)Dokumentation in Deutsch: Benutzer-, Administrator- und Betriebsdokumentation
Beratungskontingent und Migration
Abrufkontingent: 350 Beratertage über die Vertragslaufzeit, erweiterbar um weitere 100 Tage bei VertragsverlängerungBeraterqualifikation: Junior (bis 3 Jahre Erfahrung), Berater (mind. 3 Jahre KYC-Erfahrung), Senior (mind. 5 Jahre KYC-Erfahrung bei Finanzdienstleistern)Datenmigration: Übernahme der Bestandskundendaten aus SAP in maschinell verarbeitbaren FormatenPersonalunion: Benannter Single Point of Contact; Deutschkenntnisse mind. C1 für alle Projektmitarbeitenden
Cloud-Exit und Vertragsende
Datenexport: in interoperablem Format gemäß EU Data ActLöschung: NIST-800-88-konformUnterstützung nach Vertragsende: bis zu 6 Monate (max. 20 Personentage/Monat)Löschbestätigung: auf Verlangen der NRW.BANK innerhalb von 14 TagenAbrufkontingent: erweiterbar um weitere 100 Tage bei Vertragsverlängerung
Eignungskriterien
Geforderte Nachweise laut VergabeunterlagenZuverlässigkeit und Ausschlussgründe
Keine Ausschlussgründe gemäß §§ 123, 124 GWB (Eigenerklärung erforderlich)Keine EU/NRW-Sanktionsverstöße (Eigenerklärung)Erklärung zum Steuerabzug gemäß § 50a EStGBei Eignungsleihe: gemeinsame Haftung und Eigenerklärung aller Eignungsleiher
Befähigung und Erlaubnis zur Berufsausübung
Eintragung im Berufs- oder Handelsregister des Niederlassungsstaates (oder gleichwertiger Nachweis der erlaubten Berufsausübung)Gilt für jedes Mitglied einer Bietergemeinschaft und jeden Nachunternehmer zum Zeitpunkt seiner BenennungHandelsregisterauszug darf nicht älter als 6 Monate ab Auftragsbekanntmachung sein
Wirtschaftliche und finanzielle Leistungsfähigkeit
Mindestumsatz: durchschnittlich mindestens 500.000 € netto in den letzten 3 Geschäftsjahren vor Veröffentlichung der Auftragsbekanntmachung (maßgeblich ist der Durchschnittswert, nicht jeder Einzeljahr-Betrag)Falls für 2025 noch keine endgültigen Zahlen vorliegen, ist eine Schätzung zulässig
Technische und berufliche Leistungsfähigkeit
Personalstärke: durchschnittlich mindestens 10 Vollzeitäquivalente in den Kalenderjahren 2023, 2024 und 2025Sprachanforderung: Deutschkenntnisse (Muttersprache oder C2 GER) für sämtlichen Kundenkontakt – auch für SubunternehmerISMS-Zertifizierung: ISO/IEC 27001:2022 (Full Scope) ODER ISO 27001 nach BSI IT-Grundschutz ODER gleichwertiges Konzept mit Beschreibung von Geltungsbereich, Risikomanagement, Maßnahmen, Vorfallmanagement, BCM und kontinuierlicher VerbesserungCloud-Zertifizierung: ISO/IEC 27001 in Kombination mit ISO/IEC 27017 und ISO/IEC 27018 (oder BSI-Äquivalent); zusätzlich Vereinbarung mit dem Cloud-Anbieter, in der dieser die Clouddienstleistungen übernimmtReferenzen: mindestens 2 vergleichbare Projekte mit allen Pflichtmerkmalen (s. Referenzprojekte)
Regulatorische und betriebliche Anforderungen
Einhaltung von MaRisk, BAIT, FISG, DORA, DSGVO, AO, StGB, GwG, AML-VO einschließlich aktueller BaFin-AuslegungshinweiseSelbstständige Anpassung an regulatorische ÄnderungenEU/EWR-Cloud-Standort gemäß EVB-IT CloudDORA-Konformität: Einsatz gilt als wesentliche Auslagerung gemäß Art. 3 Nr. 22 DORA, IKT-Dienstleistung gemäß Art. 30 Abs. 2 DORABerufs- und Betriebshaftpflichtversicherung erforderlich (Personen-/Sachschäden 2 Mio. €, Vermögensschäden 0,2 Mio. €, jeweils zweifach maximiert p.a.)Wünschenswerte zusätzliche Zertifizierungen: C5 Typ 1/2, SOC 2 Typ 1/2, SOC 3, ISO 9001, ISO 22301, TSI, CSA STAR Level 2/3, ISAE 3000 Typ 2
Referenzprojekte
mindestens 2 ReferenzenZeitraum: Implementierung und Go-Live seit 06/2023; Betrieb von mindestens 6 LeistungsmonatenVolumen: mindestens 200 aktive Nutzer pro Referenz
Lieferung, Implementierung und Betrieb eines cloudbasierten KYC-Systems
Referenzkunde muss Institut im Sinne von § 1 KWG sein (oder vergleichbar nach nationalem Recht); eingeschlossen sind KfW, Landesförderinstitute, Landwirtschaftliche Rentenbank; bereits am Markt existierende Standardsoftware; Leistungsbestandteile: Customizing/Konfiguration, Go-live, systemspezifische Beratung; Ansprechpartner beim Referenzgeber namentlich benannt
KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.
Wettbewerb & Angebotsprognose
Erwartete Konkurrenz auf Basis vergleichbarer Vergaben1–3Angebote erwartet
Median vergleichbarer Vergaben: rund 2 Angebote
Wahrscheinliche Bieterzahl
1–3 · 39%4–10 · 29%11+ · 31%
Checkliste zur AngebotsabgabeKonkrete Schritte laut Vergabeunterlagen0 von 42 erledigt
Pflichtformulare und Angebotsabgabe
Eignungsnachweise
Fachliche und technische Konzepte
Anlagen, die nur durch Zustimmung akzeptiert werden (keine Einreichung erforderlich)
Neue passende Ausschreibungen per E-Mail
Erhalten Sie ähnliche Vergabeverfahren, sobald sie veröffentlicht werden.
Kostenlos · jederzeit abbestellbar
Auf einen Blick
Auftraggeber
NRW.BANK AöR | Vergabekammer Westfalen C/O Bezirksregierung Münster | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)
Anschrift
48145 Münster
Ort
48145 Münster
Kategorie
Nordrhein-Westfalen
Veröffentlicht
Angebotsfrist
Auftraggeber-Website
www.nrwbank.de ↗Weitere Ausschreibungen Nordrhein-Westfalen
Alle anzeigen →Nordrhein-Westfalen