eIDAS-konforme Workflow-Signatur-Lösung für die Stadt Halle (Saale)

Bereitstellung einer cloudbasierten SaaS-Lösung mit eIDAS-konformem Trust Service. Unterstützt werden müssen einfache elektronische Signaturen, qualifizierte elektronische Fernsignaturen, qualifizierte Fernsiegel sowie das Gegenzeichnen durch externe Personen.

Die Lösung ist in bestehende Workflows der Stadtverwaltung zu integrieren. Erforderlich sind eine rollen- und bereichsbasierte Benutzerverwaltung, Vertretungsregelungen, Mehrfach- und Stapelsignaturen, ein Dashboard für den Workflow-Status sowie die Einbindung externer Personen ohne Software-Installation oder Benutzerkonto.

Zu unterstützen sind die Formate Word, PDF und PDF/A. Vorgesehen sind eine REST-Schnittstelle sowie optional CMIS und XDomea. Die Lösung muss BITV 2.0 entsprechen, ohne Plug-in-Zwang webbasiert und für mobile Geräte optimiert sein.

Erforderlich sind personenbezogene Benutzerkonten, rollenbasierte Berechtigungen, das Need-to-know- und Least-Privilege-Prinzip, Multi-Faktor-Authentisierung für Administrationszugänge und die unverzügliche Sperrung nicht mehr benötigter Zugänge. Die eID-Funktion des Personalausweises sowie Single Sign-on mit Microsoft Active Directory müssen unterstützt werden.

Die Leistung wird als Public Cloud bereitgestellt. Datenverarbeitung, Speicherung und Backups erfolgen ausschließlich in der EU; Metadaten werden ausschließlich in EU/EWR verarbeitet. Nutzung ist aus EU/EWR und der Schweiz möglich. Der Cloud-Service muss skalierbar sein, ohne Beschränkung der Benutzer- oder Speicherzahl.

Das Informationssicherheitsmanagement muss ISO 27001 und BSI-IT-Grundschutz berücksichtigen. Gefordert sind die C5-Basis- und Zusatzkriterien, Notfallmanagement nach BSI 100-4/200-4 oder ISO 22301, halbjährliche externe Penetrationstests und ein anlassunabhängiges Prüfungsrecht des Auftraggebers.

Die Lösung muss mindestens 99 % Systemverfügbarkeit pro Kalendermonat bei einer Betriebszeit von 06:00 bis 20:00 Uhr an Werktagen bieten. Vorhandene Reaktions- und Wiederherstellungszeiten sind im Leistungsverzeichnis beziehungsweise Hauptvertrag zu vervollständigen.

Zugriffe müssen mit Benutzer, Zeit, Dauer und Art protokolliert und revisionssicher aufbewahrt werden. Die Langzeitvalidierung muss mindestens 20 Jahre unterstützen. Berichte sollen unter anderem Sicherheitsvorfälle, Backup-Statistiken und Nutzungszahlen enthalten.

Auftraggeberdaten sind beim Auftragnehmer zu sichern. Export und Import müssen vertraglich geregelt sein. Nach Vertragsende sind die Daten vollständig und zuverlässig zu löschen und die Löschung schriftlich zu bestätigen.

Für Störungsmeldungen und Anfragen ist ein Ticketsystem des Auftragnehmers vorzusehen. Einmalige Leistungen ergeben sich aus Anlage 01 zum EVB-IT Cloudvertrag. Eine Testumgebung für die Stadt wird bereitgestellt.

Im Pilot werden 133 interne und 205 interne beziehungsweise externe Nutzer insgesamt erwartet. Die Lösung muss mit aktuellen Hauptversionen von Microsoft Edge und Google Chrome sowie mit Windows, Linux, macOS, iOS und Android kompatibel sein.

Je nach Teilnahmeweg ist die ausgefüllte Eigenerklärung zur Eignung für Liefer- und Dienstleistungen oder die Einheitliche Europäische Eigenerklärung einzureichen. Alternativ kann eine Eintragung in einem amtlichen Verzeichnis oder ein Zertifikat nach europäischen Zertifizierungsstandards vorgelegt werden. Auf Verlangen sind die Erklärungen durch Bescheinigungen zuständiger Stellen zu bestätigen; fremdsprachige Bescheinigungen sind ins Deutsche zu übersetzen.

Mindestens drei erfolgreich durchgeführte Referenzen zur Einführung einer E-Signatur-Lösung im Behördenkontext sind mit Umsetzungszeitraum, Leistungsempfänger und Kontaktdaten nachzuweisen.

Ein aktuelles C5-Testat oder ein gleichwertiger Prüfbericht ist vorzulegen. Es muss den konkret angebotenen Cloud-Service eindeutig abdecken; Geltungsbereich, Prüfzeitraum, Testatstyp, geprüfte Kriterien, Betriebsstandorte, Subdienstleister, Feststellungen, Einschränkungen und Kundenverantwortlichkeiten sind offenzulegen.

Die Lösung muss eIDAS-konform und DSGVO-konform sein, Datenverarbeitung und Trust Service in der EU ermöglichen, BITV 2.0 erfüllen und mindestens 99 % Systemverfügbarkeit pro Kalendermonat zwischen 06:00 und 20:00 Uhr an Werktagen bieten.

Bei Verarbeitung personenbezogener Daten ist eine Vereinbarung zur Auftragsverarbeitung abzuschließen. Die Verarbeitung darf nur nach Weisung des Auftraggebers erfolgen. Alle beteiligten Subdienstleister sind offenzulegen.

Der Bieter muss die Vorgaben des einschlägigen Tarifvertrags oder den geltenden Vergabemindestlohn einhalten. Leiharbeitnehmer sind für gleiche Tätigkeiten ebenso zu entlohnen wie Arbeitnehmer des eigenen Unternehmens. Tarifänderungen während der Ausführung sind zu berücksichtigen.

Eingesetzte Nachunternehmer oder Verleiher sind schriftlich oder elektronisch zu benennen. Sie müssen mindestens dieselben Arbeitsbedingungen wie der Auftragnehmer gewähren.

Bietergemeinschaften müssen eine Erklärung aller Mitglieder in Textform vorlegen; auf Verlangen ist eine von allen Mitgliedern unterzeichnete oder fortgeschritten beziehungsweise qualifiziert signierte Erklärung nachzureichen.

Erfolgreich durchgeführte Einführung einer E-Signatur-Lösung im Behördenkontext

Je Referenz Leistungsempfänger mit Kontaktdaten sowie Umsetzungszeitraum angeben.