Betreuung und Weiterentwicklung des Datenportals Bus

Das bestehende Datenportal Bus wird zu Beginn geprüft, unter anderem nach dem AWS Well Architected Framework und den Vorgaben der EVB-IT Service-AGB. Dabei werden insbesondere Sicherheitslücken und Aktualisierungsbedarfe identifiziert.

Die Einarbeitung in Systemarchitektur und Projektdokumentation sowie die Übernahme in den Regelbetrieb erfolgen vor dem Leistungsbeginn am 01.01.2027. Umfang und Dauer werden während der Vertragsanbahnung abgestimmt; die Einarbeitungs- und Übergabephase muss spätestens zu diesem Zeitpunkt abgeschlossen sein.

Der Auftragnehmer stellt Betrieb, Erreichbarkeit und dauerhafte Nutzbarkeit des Datenportals sicher und überwacht Anwendung und Infrastruktur laufend. Fehler und Störungen werden analysiert, priorisiert und behoben; Korrekturmaßnahmen dienen der Wiederherstellung des ordnungsgemäßen Betriebs. Nutzer- und Systemmeldungen werden unterstützt.

Der Support gilt montags bis freitags von 08:00 bis 17:00 Uhr; bundesweite Feiertage, Heiligabend und Silvester sind ausgenommen. Kritische Störungen werden innerhalb von zwei Stunden reagiert und innerhalb von acht Stunden behoben. Bei nicht-kritischen Störungen beträgt die Reaktionszeit ein Werktag und die Behebungszeit drei Werktage.

Daten und Systemkonfigurationen werden automatisiert regelmäßig gesichert. Ein Disaster-Recovery-Konzept wird erstellt, dokumentiert und gepflegt. Frameworks, Bibliotheken, Laufzeitumgebungen und sonstige Drittkomponenten werden beobachtet und erforderliche Aktualisierungen selbstständig identifiziert.

Updates, Sicherheitsupdates und Patches werden eingespielt. Sicherheitslücken und Schwachstellen werden beseitigt und die Kompatibilität aller Komponenten untereinander sowie mit den genutzten AWS-Diensten gewahrt. Technische Schulden sollen vermieden und Wartbarkeit, Sicherheit und Stabilität langfristig sichergestellt werden.

Für bedarfsorientierte Weiterentwicklungen werden Anforderungen analysiert, Aufwände geschätzt und technische Konzepte erstellt. Bestehende Funktionen, Benutzeroberflächen, Eingabeprozesse, Datenvalidierungen und automatisierte Prozesse können erweitert oder angepasst werden. Neue Funktionen sind ebenfalls umzusetzen.

Technische Optimierungen dienen der Nutzbarkeit, Wartbarkeit, Performance und Skalierbarkeit. Änderungen aufgrund geänderter fachlicher, rechtlicher oder organisatorischer Anforderungen sind möglich. Die Kompatibilität mit der bestehenden Systemarchitektur sowie Stabilität, Wartbarkeit, Sicherheit und Leistungsfähigkeit des Gesamtsystems müssen erhalten bleiben. Kleinere Anpassungen und größere, gesondert zu planende Änderungspakete werden vor Umsetzung schriftlich beauftragt und priorisiert.

Für kleinere Anpassungen sind eine Reaktionszeit von zwei Werktagen und eine Umsetzungszeit von zehn Werktagen gewünscht. Bei größeren Änderungspaketen sollen innerhalb von drei Werktagen eine Aufwandsschätzung, ein Umsetzungsvorschlag und ein Zeitplan vorgelegt werden; die Umsetzung erfolgt entsprechend dem abgestimmten Zeitplan.

Getrennte Test- und Produktivumgebungen sind vorzuhalten. Änderungen werden zunächst in der Testumgebung auf technische sowie fachliche und funktionale Anforderungen geprüft. Funktions- und Regressionstests erfolgen vor jeder Bereitstellung. Nach Freigabe werden Änderungen kontrolliert in die Produktivumgebung überführt.

Geplante Releases, ihre Inhalte, betrieblichen Auswirkungen und erforderlichen Wartungsfenster werden communicated. Rollback-Verfahren ermöglichen eine schnelle Wiederherstellung funktionsfähiger Systemzustände. Von der Auftraggeberin angefragte Abstimmungstermine sind innerhalb von fünf Werktagen zu ermöglichen. Geplante Wartungsarbeiten werden rechtzeitig abgestimmt und möglichst außerhalb der üblichen Nutzungszeiten von 08:00 bis 17:00 Uhr durchgeführt.

Anforderungen, Fehlermeldungen und Änderungswünsche werden nachvollziehbar dokumentiert und verfolgt. Die Zusammenarbeit erfolgt in der von der Auftraggeberin bereitgestellten Microsoft-Teams-Umgebung.

Alle wesentlichen Tätigkeiten werden fortlaufend strukturiert dokumentiert. Dazu gehören Änderungen, Releases, Deployments, Updates, Patches, behobene Fehler einschließlich Ursachenanalyse, Weiterentwicklungen, Konfigurationsänderungen sowie Änderungen an Infrastruktur- und Deployment-Komponenten. Die Dokumentation wird zeitnah nach der jeweiligen Maßnahme in der bereitgestellten SharePoint-Umgebung abgelegt und muss in gängigen Formaten exportier- und herunterladbar sein.

Das Datenportal umfasst ein Web-Frontend, ein Backend mit Programmlogik und REST-API sowie Datenbanksysteme in einer AWS-Cloud. Das Backend wird als Flask-/Python-Anwendung über Zappa in AWS Lambda betrieben. Das Frontend verwendet Vue/JavaScript; statische Inhalte werden über AWS S3 und CloudFront bereitgestellt.

Eingesetzt werden unter anderem Python 3.13 mit geplanter Anhebung auf 3.14, Flask, SQLAlchemy, Zappa, Poetry, Vue 3, Vuetify 3, Vite, JavaScript, Node.js 18, Yarn, Docker, Terraform, PostgreSQL 14, Redis, AWS Cognito, AWS Lambda, AWS S3 und AWS CloudFront. Prüfregeln sind in YAML-Dateien definiert und anpassbar. Datenvalidierungen umfassen Vollständigkeits-, Format- und Plausibilitätskontrollen; bei fehlenden oder unvollständigen Datensätzen werden automatisierte Erinnerungs-E-Mails versendet. Dynamisch generierte Web-Formulare unterstützen die Datenerfassung.

Aktuell werden etwa 100 Zuwendungsempfänger und über 500 Busse bedient. Für die kommenden Jahre wird ein Anstieg auf etwa 300 bis 400 Nutzer erwartet. Betriebs- und Zuverlässigkeitsdaten werden monatlich beziehungsweise über tages- oder monatsscharfe Upload-Zyklen erfasst.

Bei Vertragsende werden der Quellcode einschließlich relevanter Versionen, die vollständige technische Dokumentation sowie Infrastruktur- und Deployment-Beschreibungen einschließlich Terraform-Konfigurationen übergeben. Zusätzlich werden Konfigurationsdateien, Skripte, Build- und Deployment-Pipelines sowie eine Übersicht über offene Fehler, bekannte Probleme und technische Schulden bereitgestellt.

Der Auftragnehmer unterstützt die Einarbeitung eines nachfolgenden Dienstleisters. Proprietäre Abhängigkeiten, die die Übergabe oder den Weiterbetrieb durch Dritte unverhältnismäßig erschweren, sind zu vermeiden.

Der Auftragnehmer muss ausreichend qualifiziertes Personal mit den erforderlichen fachlichen und technischen Kenntnissen bereitstellen. Erwartet werden Erfahrung in Entwicklung, Wartung und Betrieb webbasierter Anwendungen sowie Kenntnisse und praktische Erfahrungen mit den für das Datenportal relevanten Technologien und Systemumgebungen.

Eine Zertifizierung nach ISO 9001 und ISO 27001 soll beim Auftragnehmer vorliegen. Die eingesetzten Mitarbeitenden müssen sich in einer angemessenen Einarbeitungszeit mit Systemarchitektur und Projektdokumentation vertraut machen und die Leistungen eigenständig erbringen können.

Die Leistungen sind nach dem aktuellen Stand der Technik und nach anerkannten Methoden der Softwareentwicklung, des IT-Betriebs und der IT-Sicherheit zu erbringen. Der Auftragnehmer muss die Anforderungen an Informationssicherheit, Datenschutz und Vertraulichkeit einhalten und technische sowie organisatorische Maßnahmen zur Sicherstellung von Vertraulichkeit, Integrität und Verfügbarkeit ergreifen.

Bereitgestellte Dokumentationen, Quellcodes, Konfigurationen, Beispiel-Datensätze und sonstige Unterlagen sind vertraulich zu behandeln und ausschließlich zur Erbringung der vereinbarten Leistungen zu verwenden.

Wissen soll nicht bei einzelnen Mitarbeitenden gebunden sein. Eine dauerhafte Verfügbarkeit des Wissens ist durch Dokumentations- und Vertretungsregelungen sicherzustellen.

Der Bieter und jedes Mitglied einer Bewerbergemeinschaft müssen mit dem Formblatt bestätigen, dass keine Ausschlussgründe nach den dort genannten Regelungen zu Steuer- und Sozialabgaben, strafrechtlichen Verstößen, Insolvenz, Wettbewerbsverstößen, erheblichen Mängeln bei früheren Aufträgen, Täuschung oder unzulässiger Einflussnahme vorliegen.

Ebenfalls zu bestätigen ist die Einhaltung der Tariftreue, der Mindestentlohnung und der Sozialversicherungsbeiträge. Nachunternehmen sind entsprechend schriftlich zu verpflichten. Kann eine Erklärung nicht abgegeben werden, sind die Gründe und gegebenenfalls Selbstreinigungsmaßnahmen in einer selbst erstellten Anlage zu erläutern und nachzuweisen.