Ausschreibungen Nordrhein-Westfalen
Durchführung von Penetrationstests
Medizinischer Dienst Westfalen-Lippe | Vergabekammer Westfalen, Bezirksregierung Münster | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)Münster, Nordrhein-WestfalenVeröffentlicht:
Angebotsfrist:
Zusammenfassung
Automatisch erstellt aus den VergabeunterlagenWorum es geht: Der Medizinische Dienst Westfalen-Lippe (Münster) beschafft netzbasierte Penetrationstests seiner IT-Infrastruktur.
Was zu tun ist: Bieter müssen ein Angebot für IT-Sicherheitsprüfungen abgeben, die monatlich, quartalsweise und jährlich durchgeführt werden. Geprüft werden IT-Komponenten (z. B. Router, Firewalls, Mailserver, DMZ-Systeme, Webserver) aus Sicht externer und interner Angreifer.
Was Sie mit dem Angebot einreichen müssen:
Vollständig ausgefülltes Preisblatt und LeistungsverzeichnisEigenerklärungen (Formular 124, Anlagen 3–6)Nachweise zu Eignung, Referenzen und Zertifizierungen (z. B. ISO 27001, BSI-APT-Responder)Profile von Projektleiter und StellvertretungVertragsunterlagen (EVB-IT, AVV, NDA)
Frist: 16.11.2026, 10:00 Uhr – elektronisch über das Deutsche Ausschreibungsblatt.
Zeitplan & Fristen
Aus den Vergabeunterlagen extrahiertTermin / FristOKT2026NOVDEZJAN2027
Ausführungsbeginn1. Okt. 2026
Veröffentlichung15. Okt. 2026
Bieterfragen-Frist29. Okt. 2026
Beantwortung Bieterfragen30. Okt. 2026
Angebotsfrist16. Nov. 2026
Bindefrist15. Jan. 2027
Empfangsbestätigung AuftragDatum offen14 Kalendertage nach Absendung des Auftrags bzw. Zuschlags; Absendedatum ist noch offen.
VertragslaufzeitDatum offen48 Monate ab Zuschlagserteilung laut Leistungsbeschreibung; das Zuschlagsdatum ist noch offen.
MindestvertragsdauerDatum offen72 Monate ab Vertragsbeginn laut EVB-IT-Dienstleistungsvertrag; weicht von den anderen Laufzeitangaben ab.
VertragslaufzeitDatum offen96 Monate laut Stammdaten und Preisblatt; widerspricht der Leistungsbeschreibung mit 48 Monaten.
Verlängerung max.Datum offenEinmalige Verlängerung um 12 Monate; die schriftliche Erklärung ist 3 Monate vor Vertragsende abzugeben.
Projektplan nach ZuschlagDatum offenProjektplan ist binnen 1 Woche nach Zuschlag vorzulegen; das Zuschlagsdatum ist noch offen.
SicherheitsleistungDatum offenBinnen 18 Werktagen nach Vertragsschluss; laut Besonderen Vertragsbedingungen nur ausnahmsweise ab 50.000 Euro Auftragssumme ohne USt.
Abruf monatliche LeistungenDatum offenAbruf bis zum 15. des Vormonats laut EVB-IT-Dienstleistungsvertrag.
Abruf quartalsweise LeistungenDatum offenAbruf bis zum 15. des Monats vor Quartalsbeginn, also 15.03., 15.06., 15.09. und 15.12.
Abruf kalenderjährliche LeistungenDatum offenAbruf jährlicher Leistungen bis zum 15. Juni des jeweiligen Jahres.
Mindestvorlauf AbrufDatum offenEin Abruf muss mindestens 1 Arbeitstag im Voraus erfolgen.
ServicezeitenDatum offenMo bis Fr 07:00 bis 17:00 Uhr laut EVB-IT; die Leistungsbeschreibung nennt 08:00 bis 16:00 Uhr MEZ.
Lieferung PrüfberichtDatum offenBinnen 5 Arbeitstagen (Mo bis Fr) nach Abschluss jeder Prüfung.
StundennachweiseDatum offenWöchentlich einzureichen, erstmals 12 Werktage nach Beginn.
Bereitstellung KundendatenDatum offenBinnen 1 Woche nach Anforderung durch den Auftragnehmer.
RechnungseinreichungDatum offenSpätestens 18 Werktage nach Beendigung der Leistung.
Vorbehaltserklärung SchlusszahlungDatum offenVorbehalt gegen die Schlusszahlung innerhalb von 14 Tagen nach deren Eingang.
SkontofristDatum offen14 Tage ab Eingang einer prüfungsfähigen Rechnung, für den Skontoabzug.
ZahlungsfristDatum offen30 Tage ab Eingang einer prüfungsfähigen Rechnung laut Zusätzlichen Vertragsbedingungen.
Zahlung nach RechnungseingangDatum offenZahlung 1 Monat nach Eingang der vertragsgemäßen Rechnung laut Leistungsbeschreibung.
RückforderungsfristDatum offen14 Kalendertage ab Zugang des Rückforderungsschreibens bei Überzahlung.
Kündigung bei BehinderungDatum offenKündigung ist möglich, wenn eine Behinderung länger als 3 Monate dauert.
Kündigungsfrist nach BehinderungDatum offen30 Tage nach Ablauf der 3-Monats-Behinderung.
Gütliche EinigungDatum offenBinnen 2 Monaten nach Auftreten von Meinungsverschiedenheiten.
Rüge / NachprüfungsantragDatum offen15 Kalendertage nach der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen (§ 160 Abs. 3 Nr. 4 GWB).
Anzeige UnterauftragnehmerDatum offenMindestens 2 Wochen vor Unterzeichnung der Vereinbarung mit dem Unterauftragnehmer anzuzeigen.
Widerspruchsfrist UnterauftragnehmerDatum offenDer Auftraggeber kann innerhalb von 3 Wochen ab Zugang der Anzeige widersprechen.
Aufbewahrung TOM-VereinbarungenDatum offen5 volle Kalenderjahre nach Ende der Geltungsdauer.
Rückbau Hardware und EntsorgungDatum offenMaximal 3 Monate nach Vertragsende.
Nachweis datenschutzkonforme LöschungDatum offenNachweis der Löschung innerhalb von 4 Monaten nach Vertragsende.
vor Angebotsabgabenach Angebotsabgabe
Leistungsumfang
Aus den VergabeunterlagenMethodik und Prüfansatz
Methodik auf Basis des BSI-Leitfadens für PenetrationstestsBlack-Box- und White-Box-Tests; im Kalenderjahr auf alle Kernsysteme mindestens ein White-Box-TestZwei Prüfperspektiven: externer Angreifer (aus dem Internet) und interner Angreifer (aus dem internen Netz)Ganzheitlicher Ansatz statt rein toolbasiert; IT-forensische Fähigkeiten erforderlichDer Auftragnehmer schuldet alle zur Zielerreichung erforderlichen Leistungen, auch wenn nicht explizit beschriebenAbnahmemengen im Preisblatt sind Höchstmengen ohne Abnahmeanspruch; bei Erschöpfung der Auftragssumme endet der Vertrag automatischBerichtslegung nach jeder Prüfung; bei Ergebnissen mit hohem Schadenspotenzial sofortige telefonische Mitteilung; Übermittlung verschlüsselt
Monatliche Leistungen (max. 1,5 Personentage/Monat)
Penetrationstest von außen auf alle öffentlichen IPs, alle Ports, mit Serviceerkennung und invasiven SchwachstellenscansAudit der SSL-Zertifikate (Schlüssellänge, Zertifikatskette, Gültigkeit, Cipher Suites)Prüfung Mailserver (SMTP): TLS, SPF-RecordsPrüfung der geschützten Bereiche / Firewallregeln
Quartalsweise Leistungen (max. 3 Personentage/Quartal)
Penetrationstests aus den internen Netzen (DMZ, Server, Storage, MPLS); alle aktiven Subnetze mindestens 1× jährlichSicherheitsaudit der Firewalls (Regelwerk, Firmware, Lizenzen, Module)
Jährliche Leistungen (Budget 10 Personentage/Jahr)
Fortentwicklung des Prüfkonzepts inklusive WorkshopPasswort-Audit (viermal jährlich; Liste kompromittierbarer Konten)Notebook-Audit (mindestens 1× jährlich, Szenarien: Verlust/Diebstahl und interner Angreifer)Prüfung der Webserver (HTTP/S, alle Ports, invasiver Scan, Exploit-Prüfung)IT-Forensik: Netzwerkprüfung auf Kompromittierungen, mindestens 2 Wochen am Hauptstandort mit bereitgestellter HardwareZusätzliche Prüfleistungen nach Bedarf (Budget 10 Tage/Jahr)
Inbetriebnahme und Projektorganisation
Projektplan binnen 1 Woche nach ZuschlagWöchentliche Berichte im ProjektstartÜbergabe bei InbetriebnahmeServicemanager und Service Center (SPOC) als zentrale Ansprechpartner; Service Center werktags 8:00–16:00 Uhr MEZ, deutschsprachigProjektleitung mit Stellvertretung
Incident Response und Vertraulichkeit
Bereitstellung eines Incident-Response-ServiceVertraulichkeit gemäß NDA; Rückbau und zertifizierte Löschung nach VertragsendeMöglicher Zugriff auf Sozialdaten und weitere personenbezogene Daten; Auftragsverarbeitung gemäß AVVErfüllungsort: remote oder am Zentralen Service des Auftraggebers in Münster bzw. weiteren Standorten im Netz des Auftraggebers
Eignungskriterien
Geforderte Nachweise laut VergabeunterlagenPersönliche Lage – Ausschlussgründe
Keine Ausschlussgründe nach §§ 123, 124 GWBEigenerklärung gemäß Formular 124Eigenerklärung Art. 5k VO (EU) 2022/576 (Russland-Sanktionen, Anlage 3)Eigenerklärung Korruption (Anlage 4)Eigenerklärung Mindestlohn nach § 19 Abs. 3 MiLoG (Anlage 5)Zustimmung zur Veröffentlichung der Vergabeentscheidung (Anlage 6)Bei Bietergemeinschaften/Nachunternehmern müssen die vorgenannten Erklärungen von jedem Mitglied bzw. Nachunternehmer vorgelegt werden
Befähigung und Erlaubnis zur Berufsausübung
Wirtschaftliche und finanzielle Leistungsfähigkeit
Betriebshaftpflichtversicherung: 5 Mio. € Personenschäden, 5 Mio. € Sachschäden, 1 Mio. € Vermögensschäden je EinzelschadenUmsatzentwicklung der letzten 3 abgeschlossenen Geschäftsjahre im Tätigkeitsbereich (Gesamtumsatz und Umsatz im ausschreibungsrelevanten Bereich)Bei Eignungsleihe: gesamtschuldnerische Haftungserklärung auf Verlangen
Technische und berufliche Leistungsfähigkeit – Unternehmen
Unternehmensbeschreibung (max. 1.486 Zeichen) inkl. bisheriger Tätigkeit, Historie und MarktpositionMindestens 3 vergleichbare Referenzen mit Auftragszeitraum, -volumen und Auftraggeber (mit Anschrift)Mindestens 10 Mitarbeiter gesamt, davon:mindestens 2 in Forschung/Produktentwicklungmindestens 3 in Beratung/Kundenunterstützung vor Ortmindestens 3 für Softwarewartung/Incident- und Problem-ManagementMindestens 4 Zertifizierungen im Bereich NetzwerkforensikNetzwerkforensik-System für mindestens 3 Analysten (Nachweis)Qualifikation als BSI APT-Response-Dienstleister gemäß § 3 BSIGMindestens 3 Veröffentlichungen zu neuem Schadcode / AngriffstaktikenMindestens 5 Jahre Pen-Testing-ErfahrungNachweis IT-forensischer FähigkeitenGanzheitlicher Ansatz statt toolbasierter Vorgehensweise
Technische und berufliche Leistungsfähigkeit – Personal
Projektleiter: mindestens 2 Jahre Berufserfahrung im Bereich Netzwerkforensik, fließend Deutsch und Englisch, mindestens 1 Referenz (Anzahl begleiteter Projekte als Nachweis zulässig)Stellvertretender Projektleiter: mindestens 2 Jahre IT-technische Berufserfahrung im Bereich Netzwerkforensik und deren Integration, fließend Deutsch und Englisch, mindestens 1 ReferenzProfile je max. 1.486 Zeichen; Person muss über Kennung ermittelbar sein
Zertifizierungen und technisch-organisatorische Maßnahmen
ISO-27001-ZertifizierungBeschreibung der technisch-organisatorischen Maßnahmen gemäß Anlage 1 zum AV-VertragAuftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO und Art. 80 SGB X mit Anlage 1 (TOM), Anlage 2 (weisungsberechtigte Person/Datenschutzbeauftragter) und ggf. Anlage 3 (Unterauftragnehmer)Benennung Datenschutzbeauftragter; Vertraulichkeitsverpflichtung der eingesetzten Beschäftigten
Referenzprojekte
3 (Unternehmen) + 1 (Projektleiter) + 1 (stellv. Projektleiter) ReferenzenZeitraum: Nicht angegebenVolumen: Vergleichbares Auftragsvolumen
Mindestens 3 Referenzen mit vergleichbarem Auftragsvolumen für den Bieter; je 1 Referenz für Projektleiter und stellvertretenden Projektleiter
Angabe von Auftragszeitraum, -volumen und Auftraggeber (mit Anschrift); bei BG/Nachunternehmern: Zuordnung pro Mitglied angeben
KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.
Wettbewerb & Angebotsprognose
Erwartete Konkurrenz auf Basis vergleichbarer Vergaben1–3Angebote erwartet
Median vergleichbarer Vergaben: rund 3 Angebote
Wahrscheinliche Bieterzahl
1–3 · 55%4–10 · 36%11+ · 9%
Checkliste zur AngebotsabgabeKonkrete Schritte laut Vergabeunterlagen0 von 35 erledigt
Pflichtformulare und Eigenerklärungen
Angebotsunterlagen und Preisangaben
Eignungsnachweise – fachlich und persönlich
Referenzen
Falls Nachunternehmer oder Eignungsleihe
Formale Anforderungen
Verlauf dieser Vergabe
3 Bekanntmachungen- 22.10.2026Ausschreibungauf dieser Seite
- 18.10.2026Ausschreibung
- Abgabefrist: 16.11.2026 → 18.11.2026
- 15.10.2026Ausschreibung
Mit TendiGo
Finden Sie weitere passende Ausschreibungen und prüfen Sie mit KI, ob Ihr Unternehmen die Anforderungen erfüllt.
Zur Original-Ausschreibung ↗Auf einen Blick
Auftraggeber
Medizinischer Dienst Westfalen-Lippe | Vergabekammer Westfalen, Bezirksregierung Münster | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)
Anschrift
48153 Münster
Ort
48153 Münster
Kategorie
Nordrhein-Westfalen
Veröffentlicht
Angebotsfrist
Erfüllungsort
Ort der Leistung
48153 Münster
Nordrhein-Westfalen
Weitere Ausschreibungen Nordrhein-Westfalen
Alle anzeigen →Nordrhein-Westfalen
Beschaffung von 70 iPad (20 x MD7F4TY/A + 50 x MD7K4TY/A) + Zubehör für den Rettungsdienst des Hochsauerlandkreises
Hochsauerlandkreis · 59872 MeschedeFrist: Nordrhein-WestfalenErweiterung OGS Voiswinkel, Fliesenarbeiten
Gemeinde Odenthal · 51519 OdenthalFrist: Nordrhein-WestfalenErweiterung OGS Voiswinkel, Parkettarbeiten 1.BA
Gemeinde Odenthal · 51519 OdenthalFrist: Nordrhein-WestfalenErrichtung einer PV-Anlage
Lippeverband · 45711 DattelnFrist: Nordrhein-WestfalenNeubau Serviceannahme Betriebsgelände Madrider Ring 20
Stadt Aachen - Zentrale Vergabestelle FB60/310 · 52078 AachenFrist: Nordrhein-WestfalenLieferung eines Pick-Up mit Doppelkabine und Allradantrieb
Stadt Aachen - Zentrale Vergabestelle FB60/310 · 52078 AachenFrist:Bereit für die Zukunft der Vergabe?
Setzen Sie auf den neuen technologischen Standard und verschaffen Sie sich den entscheidenden Vorsprung in der Auftragsakquise.
806+ VergabequellenMit Experten entwickeltSofort einsatzbereit