Beschaffung IT-Tool zur Automatisierung der KYC- und Screeningprozesse sowie zur Risikosteuerung der Geldwäscheprävention

NRW.BANK AöR | Vergabekammer Westfalen C/O Bezirksregierung Münster | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)Münster, Nordrhein-WestfalenVeröffentlicht: 14. Juli 2026

Angebotsfrist: 24. Juli 2026

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Die NRW.BANK (Förderbank von Nordrhein-Westfalen) sucht eine cloudbasierte Software-as-a-Service-Lösung (SaaS), die ihre bisher weitgehend manuellen Prozesse zur Kundenprüfung (KYC), zum Sanktions- und PEP-Screening sowie zur Risikosteuerung in der Geldwäscheprävention automatisiert und workflow-gestützt abwickelt.

Das System muss rund 100.000 Kunden (90.000 natürliche und 10.000 juristische Personen inkl. Kommunen, Stiftungen, internationale Gesellschaften) abdecken, Schnittstellen zu SAP GP bieten und regulatorische Anforderungen (GwG, MaRisk, BAIT, DORA, DSGVO) erfüllen. On-Premise-Lösungen sind ausgeschlossen – die Cloud-Infrastruktur muss in EU/EWR betrieben werden.

Die Vertragslaufzeit beträgt 4 Jahre mit Verlängerungsoption um bis zu 3 Jahre. Angebote werden ausschließlich elektronisch über das Vergabeportal evergabe.nrw.de eingereicht.

Bieter müssen u.a. einen Mindestumsatz von 500.000 € netto nachweisen, mindestens 2 vergleichbare Referenzen vorlegen und verschiedene Zertifizierungen (ISO 27001 etc.) nachweisen.

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert

Angebotsfrist: 24. Juli 2026

Termin / FristJUN2026 DEZ JUN DEZ JUN DEZ JUN DEZ JUN DEZ JUN DEZ JUN DEZ JUN

Veröffentlichung23. Juni 2026

Bieterfragen-Frist23. Juni – 2. Juli 2026

Angebotsfrist13. Juli 2026

Bindefristca. 13. Juli – 13. Sep. 2026

Phase 1 – Betriebsbereitschaftca. 13. Aug. – 31. Dez. 2026

Vertragsbeginnca. 13. Aug. 2026

Vertragslaufzeitca. 13. Aug. 2026 – 13. Aug. 2030

Rahmenvertrag Laufzeitca. 13. Aug. 2026 – 13. Aug. 2033

Meilenstein 4 – Go-Liveca. 13. Nov. 2026 – 13. Feb. 2027

Phase 2 – SAP-Anbindung1. Jan. – 30. Juni 2027

Meilenstein 5 – SAP-Schnittstellenca. 13. Feb. – 13. Aug. 2027

Verlängerung 1ca. 13. Aug. 2030 – 13. Aug. 2031

Verlängerung 2ca. 13. Aug. 2031 – 13. Aug. 2032

Verlängerung 3ca. 13. Aug. 2032 – 13. Aug. 2033

Cloud-Exit-Unterstützungca. 13. Aug. 2033 – 13. Feb. 2034bis 2034

Löschbestätigungca. 13. Aug. – 27. Aug. 2033

vor Angebotsabgabenach Angebotsabgabegeschätzt

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen

Preis & Qualität8 Kriterien

Preis 7.7%Qualität 92.4%

A.1 Funktionalitäten der Software200%
Bewertung der funktionalen Anforderungen an die KYC-Software anhand einer Anforderungsliste mit Muss/Soll/Kann-Priorisierung und Individualisierungsgrad (Produktstandard, -konfiguration, Standardkonforme Programmierung, individuelle Programmierung). Formel: erzielte Punkte / erzielbare Punkte * 200.
A.2 IT spezifische Kriterien200%
Bewertung der IT-spezifischen Anforderungen (Muss/Soll/Kann sowie Erfüllungsgrad: erfüllt, in Umsetzung, geplant, nicht umsetzbar). Formel: erzielte Punkte / erzielbare Punkte * 200.
B.1 Fachliches Angebot400%
Beschreibender Teil – Fachliches Angebot: u.a. anlassbezogene Funktionen, Onboarding neuer Kunden, Dokumentation der KYC-Prüfungsergebnisse, Workflows, Schnittstelle SAP GP und Datenmigration. Bewertung mit Schulnoten (1-6), Multiplikator 2. Formel: erzielte Punkte / 30 * 400.
B.2 Herbeiführen der Betriebsbereitschaft400%
Beschreibender Teil – Weitere Umgebungen, Zeitraum der Releaseunterstützung, Exit-Strategie. Bewertung mit Schulnoten, Multiplikator 1. Eingebettet in 400-Punkte-Gesamtwertung des Beschreibenden Teils.
B.3 Entwicklungsstand der Software und Vision400%
Beschreibender Teil – Inhalt vergangener Releases, Planung & Vision. Bewertung mit Schulnoten, Multiplikator 1. Eingebettet in 400-Punkte-Gesamtwertung des Beschreibenden Teils.
B.4 Einführung der Software400%
Beschreibender Teil – Einführung, Einführungsreihenfolge, Qualitätssicherung/Test, Einführung und Schulung des Tools. Bewertung mit Schulnoten, Multiplikator 1.
B.5 Datenschutz und Datensicherheit400%
Beschreibender Teil – Datenschutzkonzept im Anwendungskontext, Aufbewahrung/Sperrung/Löschung von Daten, Nachvollziehbarkeit und Reporting im KYC-/AML-Kontext. Bewertung mit Schulnoten, Multiplikator 1.
C. Preis (innerhalb der ersten 7 Jahre)200%
Angebotsvergleichspreis (AVP) über die ersten 7 Jahre. Günstigster Preis erhält 200 Punkte, doppelter Preis oder mehr erhält 0 Punkte, lineare Interpolation dazwischen. Formel: 200 * (2,0*PreisBest – PreisAngebot) / (1,0*PreisBest).

Preiskriterium: Punktzahl = 200 * (2,0*PreisBest – PreisAngebot) / (1,0*PreisBest); linear interpoliert zwischen niedrigstem Preis (200 Pkt.) und doppeltem niedrigsten Preis (0 Pkt.). Anforderungskriterien: (erzielte Punkte / erzielbare Punkte) * 200. Beschreibender Teil: (erzielte Punkte / 30) * 400. Ausschluss: Bei einer der Kategorien A-E wird im Durchschnitt 1,5 oder weniger erreicht, erfolgt Ausschluss.

KI-Hinweis: Alle Zuschlagskriterien, Gewichtungen und Bewertungsformeln sind aus der Bewertungsmatrix und dem Tabellenblatt 'Bewertung Beschreibener Teil' vollständig dokumentiert; die Bieterpräsentation ist ausdrücklich ungewichtet (0 Punkte).

Leistungsumfang

Aus den Vergabeunterlagen

Kernfunktionen KYC und Screening

Kundenannahme und KYC-Prüfung: Erfassung aller relevanten Datenfelder gemäß GwG, § 154 AO und AML-VO (inkl. erweiterter Felder für wirtschaftlich Berechtigte, PEPs, Stiftungen, nominelle Anteilsigner etc.)Sanktionslisten-Screening: Automatisierter Abgleich gegen EU-, UN-, US- und weitere Sanktionslisten inkl. dynamischem Rescreening und TreffermanagementPEP- und RCA-Prüfung: Identifikation politisch exponierter Personen, Familienangehöriger und NahestehenderAdverse-Media-Screening: Negative-News-Prüfung über externe DatenbankenErmittlung wirtschaftlich Berechtigter (UBO/wE): Grafische Darstellung gesellschaftsrechtlicher Strukturen, Abgleich mit Transparenzregister, UnstimmigkeitsmeldungenRisikoklassifizierung: Regelbasiertes Modell mit mindestens 3 Klassen (niedrig/mittel/hoch), manuelle Übersteuerung möglichDaten- und Dokumentenbeschaffung: Anbindung nationaler und internationaler Register (insb. Transparenzregister), Auskunfteien, Dokumentenupload, VolltextsucheVeränderungsmonitoring: Automatische Erkennung von Änderungen und Auslösung anlassbezogener Prüfprozesse

Fallmanagement und Dokumentation

Case Management & Workflow: End-to-End-Workflow inkl. Self-Service, automatisierten Zuweisungen, Plausibilitätsprüfungen, Eskalationen und FreigabeverfahrenRe-KYC und Ongoing Due Diligence: Risikobasierte periodische Wiedervorlagen sowie eventgetriebene Reviews; automatisierte Kundenkommunikation mit Benachrichtigungs- und EskalationsmechanismenPrüfungsdokumentation & Audit-Trail: Revisionssichere Dokumentation aller KYC-Ergebnisse und DatenänderungenReporting & regulatorische Meldungen: Standardisierte und Ad-hoc-Berichte, Export als CSV/PDF, Vorbereitung von BehördenmeldungenDatenarchivierung/-löschung: Compliance-konforme, revisionssichere Löschroutinen gemäß GwG und Datenschutzrecht, Kontrollreports vor Löschung

Schnittstellen und Datenhaltung

SAP-GP-Anbindung: Bidirektionaler Real-Time-Datenaustausch als 'Single Point of Truth'; Migration der Bestandsdaten aus SAPeAkte-Anbindung: Übergabe/Empfang von DokumentenExchange/Outlook inkl. MS Graph: Automatisierter E-Mail-VersandSSO über ADFS/SAML 2.0 (optional Entra ID)Active Directory: BenutzerverwaltungMehr-Mandanten-FähigkeitREST-API-Schnittstelle für SAPPerspektivisch: Anbindung OneIdentity und weitere BanksystemeJIRA-Integration

Technische Anforderungen und IT-Sicherheit

ISMS: ISO/IEC 27001 oder gleichwertiger NachweisDORA-Konformität: Einsatz gilt als wesentliche Auslagerung gemäß Art. 30 Abs. 2 DORACloud-Standort: Ausschließlich EU/EWR (gemäß EVB-IT Cloud)IAM/SSO: SAML 2.0/ADFS, optional Entra ID, MFA via TOTP/HOTPVerschlüsselung: TLS 1.2/1.3 (Transport), AES-256 (Data-at-Rest)Netzwerksicherheit: Firewall, VPN, DoS/DDoS-Schutz, NetzwerksegmentierungSIEM und 24x7 SOCSchwachstellenmanagementDatensicherung: RPO < 4 Stunden, jährliche Restore-TestsMandantenfähigkeit und automatische SkalierbarkeitVerfügbarkeit: mindestens 99% (Soll: ≥ 99,5%); Betriebszeit Mo–Fr 05:00–22:00 UhrDSGVO-Konformität: Auftragsverarbeitung gemäß Art. 28, Datenhaltung in EU/EWR/Schweiz

KI-Einsatz und Transparenz

KI-Komponenten sind nur im vertraglich vereinbarten Umfang zulässigVollständige Transparenz gegenüber der AuftraggeberinDeaktivierbarkeit ohne Einschränkung des KernbetriebsKein Training mit KundendatenKein Einsatz vertraulicher Daten als Input

Projekteinführung und Meilensteine

Phase 1 (bis 31.12.2026): Betriebsbereitschaft inkl. SaaS, SSO/ADFS und Modellierung bankinterner KYC-ProzessePhase 2 (Januar–Juni 2027): Weitere Schnittstellen, insb. bidirektionale SAP-GP-AnbindungMeilenstein 1: Projekt-Kick-OffMeilenstein 2: Testumgebung und DatenmigrationMeilenstein 3: Testmanagement und QMMeilenstein 4 (Go-Live): 3 Monate nach AuftragserteilungMeilenstein 5: SAP-Schnittstellen – 6 Monate nach Go-LiveMeilenstein 6: Übergabe in laufenden Betrieb inkl. Schulung und HypercareIndividualentwicklungen/Customizing: 9–12 Monate nach AuftragserteilungTest- und Produktivumgebungen: Mindestens 2 Umgebungen, dreistufiges Testkonzept empfohlen

Laufender Betrieb, Support und Service

Vollständige Verwaltung durch den Auftragnehmer: Wartung, Updates, SupportHotline/Ticket-System: Mo–Fr 08:00–18:00 UhrReaktionszeiten gemäß EVB-IT Kriterienkatalog:Betriebsverhindernder Mangel: Reaktion < 1 Std., Wiederherstellung < 24 Std.Betriebsbehindernder Mangel: Reaktion < 2 Std., Wiederherstellung < 48 Std.Leichter Mangel: Reaktion < 4 Std., Wiederherstellung < 72 Std.Service-Meetings: monatlich (anfangs), später quartalsweiseService-Manager mit StellvertretungBarrierefreie Bedienung (insb. Rot-Grün-Sehschwäche)Dokumentation in Deutsch: Benutzer-, Administrator- und Betriebsdokumentation

Beratungskontingent und Migration

Abrufkontingent: 350 Beratertage über die Vertragslaufzeit, erweiterbar um weitere 100 Tage bei VertragsverlängerungBeraterqualifikation: Junior (bis 3 Jahre Erfahrung), Berater (mind. 3 Jahre KYC-Erfahrung), Senior (mind. 5 Jahre KYC-Erfahrung bei Finanzdienstleistern)Datenmigration: Übernahme der Bestandskundendaten aus SAP in maschinell verarbeitbaren FormatenPersonalunion: Benannter Single Point of Contact; Deutschkenntnisse mind. C1 für alle Projektmitarbeitenden

Cloud-Exit und Vertragsende

Datenexport: in interoperablem Format gemäß EU Data ActLöschung: NIST-800-88-konformUnterstützung nach Vertragsende: bis zu 6 Monate (max. 20 Personentage/Monat)Löschbestätigung: auf Verlangen der NRW.BANK innerhalb von 14 TagenAbrufkontingent: erweiterbar um weitere 100 Tage bei Vertragsverlängerung

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Zuverlässigkeit und Ausschlussgründe

Keine Ausschlussgründe gemäß §§ 123, 124 GWB (Eigenerklärung erforderlich)Keine EU/NRW-Sanktionsverstöße (Eigenerklärung)Erklärung zum Steuerabzug gemäß § 50a EStGBei Eignungsleihe: gemeinsame Haftung und Eigenerklärung aller Eignungsleiher

Befähigung und Erlaubnis zur Berufsausübung

Eintragung im Berufs- oder Handelsregister des Niederlassungsstaates (oder gleichwertiger Nachweis der erlaubten Berufsausübung)Gilt für jedes Mitglied einer Bietergemeinschaft und jeden Nachunternehmer zum Zeitpunkt seiner BenennungHandelsregisterauszug darf nicht älter als 6 Monate ab Auftragsbekanntmachung sein

Wirtschaftliche und finanzielle Leistungsfähigkeit

Mindestumsatz: durchschnittlich mindestens 500.000 € netto in den letzten 3 Geschäftsjahren vor Veröffentlichung der Auftragsbekanntmachung (maßgeblich ist der Durchschnittswert, nicht jeder Einzeljahr-Betrag)Falls für 2025 noch keine endgültigen Zahlen vorliegen, ist eine Schätzung zulässig

Technische und berufliche Leistungsfähigkeit

Personalstärke: durchschnittlich mindestens 10 Vollzeitäquivalente in den Kalenderjahren 2023, 2024 und 2025Sprachanforderung: Deutschkenntnisse (Muttersprache oder C2 GER) für sämtlichen Kundenkontakt – auch für SubunternehmerISMS-Zertifizierung: ISO/IEC 27001:2022 (Full Scope) ODER ISO 27001 nach BSI IT-Grundschutz ODER gleichwertiges Konzept mit Beschreibung von Geltungsbereich, Risikomanagement, Maßnahmen, Vorfallmanagement, BCM und kontinuierlicher VerbesserungCloud-Zertifizierung: ISO/IEC 27001 in Kombination mit ISO/IEC 27017 und ISO/IEC 27018 (oder BSI-Äquivalent); zusätzlich Vereinbarung mit dem Cloud-Anbieter, in der dieser die Clouddienstleistungen übernimmtReferenzen: mindestens 2 vergleichbare Projekte mit allen Pflichtmerkmalen (s. Referenzprojekte)

Regulatorische und betriebliche Anforderungen

Einhaltung von MaRisk, BAIT, FISG, DORA, DSGVO, AO, StGB, GwG, AML-VO einschließlich aktueller BaFin-AuslegungshinweiseSelbstständige Anpassung an regulatorische ÄnderungenEU/EWR-Cloud-Standort gemäß EVB-IT CloudDORA-Konformität: Einsatz gilt als wesentliche Auslagerung gemäß Art. 3 Nr. 22 DORA, IKT-Dienstleistung gemäß Art. 30 Abs. 2 DORABerufs- und Betriebshaftpflichtversicherung erforderlich (Personen-/Sachschäden 2 Mio. €, Vermögensschäden 0,2 Mio. €, jeweils zweifach maximiert p.a.)Wünschenswerte zusätzliche Zertifizierungen: C5 Typ 1/2, SOC 2 Typ 1/2, SOC 3, ISO 9001, ISO 22301, TSI, CSA STAR Level 2/3, ISAE 3000 Typ 2

Referenzprojekte

mindestens 2 ReferenzenZeitraum: Implementierung und Go-Live seit 06/2023; Betrieb von mindestens 6 LeistungsmonatenVolumen: mindestens 200 aktive Nutzer pro Referenz

Lieferung, Implementierung und Betrieb eines cloudbasierten KYC-Systems

Referenzkunde muss Institut im Sinne von § 1 KWG sein (oder vergleichbar nach nationalem Recht); eingeschlossen sind KfW, Landesförderinstitute, Landwirtschaftliche Rentenbank; bereits am Markt existierende Standardsoftware; Leistungsbestandteile: Customizing/Konfiguration, Go-live, systemspezifische Beratung; Ansprechpartner beim Referenzgeber namentlich benannt

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.

Wettbewerb & Angebotsprognose

Erwartete Konkurrenz auf Basis vergleichbarer Vergaben

4–10Angebote erwartet

Median vergleichbarer Vergaben: rund 6 Angebote

Mittlere Konkurrenz

Wahrscheinliche Bieterzahl

1–3 · 27%4–10 · 42%11+ · 31%

Checkliste zur AngebotsabgabeKonkrete Schritte laut Vergabeunterlagen0 von 42 erledigt

Pflichtformulare und Angebotsabgabe

Eignungsnachweise

Fachliche und technische Konzepte

Anlagen, die nur durch Zustimmung akzeptiert werden (keine Einreichung erforderlich)

Verlauf dieser Vergabe

6 Bekanntmachungen

03.11.2026Vergabebekanntmachung
14.07.2026Ausschreibungauf dieser Seite
- Abgabefrist: 20.07.2026 → 24.07.2026
08.07.2026Ausschreibung
- Abgabefrist: 13.07.2026 → 20.07.2026
23.06.2026Ausschreibung
11.06.2026Ausschreibung
- Abgabefrist: 16.07.2026 → 13.07.2026
11.06.2026Ausschreibung

Mit TendiGo

Finden Sie weitere passende Ausschreibungen und prüfen Sie mit KI, ob Ihr Unternehmen die Anforderungen erfüllt.

Diese Ausschreibung mit KI prüfen

Zur Original-Ausschreibung ↗

Auf einen Blick

Auftraggeber

NRW.BANK AöR | Vergabekammer Westfalen C/O Bezirksregierung Münster | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)

Anschrift

48145 Münster

Ort

48145 Münster

Kategorie

Nordrhein-Westfalen

Veröffentlicht

14. Juli 2026

Angebotsfrist

24. Juli 2026

Auftraggeber-Website

www.nrwbank.de ↗