Dienstleistung eines Audits des Informationsverbundes HIL nach ISO 27001 auf Basis IT-Grundschutz

Folgende Kernleistungen darf der Auftragnehmer NICHT an Unterauftragnehmer vergeben und muss selbst erbringen:

Operative Zuarbeit, Durchführung von Teil-Prüfungen vor Ort, Datenerhebung sowie die Überprüfung spezifischer technischer oder physischer Sicherheitsmaßnahmen dürfen an Unterauftragnehmer vergeben werden. Die Zusammenführung, Bewertung, Gesamtsteuerung und finale Validierung verbleiben immer in der Verantwortung des Auftragnehmers.

Das Projektteam muss aus mindestens 8 und maximal 10 Personen bestehen:

Das gesamte Personal muss Deutschkenntnisse auf Level C1 (GER) nachweisen.

Erfüllungsort ist Bonn, Josef-Wirmer-Straße 2–8, 53123. Abstimmungsgespräche finden in Bonn statt (Präsenz oder remote). Datenverarbeitung, Support und Speicherung müssen in Deutschland bzw. der EU erfolgen; Remote-Zugriff aus Drittstaaten ist ohne adäquates Datenschutzniveau ausgeschlossen. Die Leistung erfordert den Umgang mit VS-NfD (Verschlusssachen – Nur für den Dienstgebrauch); das eingesetzte Personal muss sich bereit erklären, sich ggf. einer Sicherheitsüberprüfung Ü1/Ü2 zu unterziehen.

Für Bewerber, Mitglieder von Bewerbergemeinschaften und Unterauftragnehmer gelten Ausschlussgründe nach §§ 23, 24 VSVgV in Verbindung mit §§ 123 und 124 GWB, § 19 MiLoG, § 22 LkSG sowie die Russland-Sanktionen gemäß Art. 5k VO (EU) 833/2014. Unternehmen außerhalb der EU sowie nicht mit der EU assoziierte Staaten erfüllen die rechtlichen Voraussetzungen grundsätzlich nicht.

Eintrag im Handels- oder Berufsregister (oder gleichwertige Bescheinigung gemäß Anhang XI RL 2014/24/EU), der bei Abgabe des Teilnahmeantrags nicht älter als 6 Monate ist.

Nachweis einer Berufs-/Betriebshaftpflichtversicherung (nicht älter als 12 Monate) mit Deckung von mindestens 2 Mio. € für Personenschäden und 1 Mio. € für Sach-/sonstige Schäden, jeweils zweifach maximiert pro Versicherungsjahr.

Bereitschaft zur Stellung einer Vertragserfüllungsbürgschaft in Höhe von 10 % des Vertragswertes, falls der Creditreform-Bonitätsindex über 250 liegt.

Gesamtumsatz (netto) der Jahre 2023, 2024 und 2025 jeweils über 2.000.000 € mit vergleichbaren Leistungen.

Mindestens 3 Jahre aktive Geschäftstätigkeit mit Schwerpunkt Informationssicherheit inklusive Tätigkeitsbeschreibung im KRITIS-regulatorischen Umfeld (§ 8a BSIG) der letzten 3 Jahre.

Listung als qualifizierter IT-Sicherheitsdienstleister beim BSI (Stellen-ID oder Laboratory ID); gilt auch bei Eignungsleihe oder Unterauftragnehmer für das operativ ausführende Unternehmen.

Gültige Zertifikate nach ISO 9001 und ISO 27001 (beide von akkreditierter Stelle, ISO 27001 muss die ausgeschriebene Leistung abdecken).

Auf Anforderung polizeiliche Führungszeugnisse für alle projektbeteiligten Mitarbeitenden vorlegen, die ab Zuschlag nicht älter als 6 Monate sind.

Nach dem Teilnahmewettbewerb werden maximal 5 Bewerber zur Angebotsphase zugelassen. Bei mehr als 5 geeigneten Bewerbern entscheidet ein Punktesystem (maximal 65 Punkte), bei Gleichstand das Losverfahren. Bewertet werden unter anderem: Umsatz mit vergleichbarem Auftragsgegenstand (bis 10 Punkte), Projektleiter-Beteiligung in Referenzen (bis 30 Punkte), Defence-Bereich (bis 5 Punkte), erfolgreiche Auditierung (bis 5 Punkte) und Log-Sys-BW-Bezug (bis 15 Punkte).

Bei Bewerbergemeinschaften muss jedes Mitglied die Eignungsnachweise erbringen; gesamtschuldnerische Haftung und ein bevollmächtigter Vertreter sind erforderlich.

Eignungsleihe ist zulässig (außer für Kernleistungen); das eignungsleihende Unternehmen muss die Eignungskriterien ebenfalls erfüllen und unterliegt der Eignungsprüfung im Umfang der zu erbringenden Leistung.

Beim Einsatz von Unterauftragnehmern sind deren Fachkunde, Leistungsfähigkeit und Zuverlässigkeit nachzuweisen; eine vollständige Auftragsdurchführung durch Unterauftragnehmer ist nicht zulässig.