EUDI-Wallet Support Organisation Technische Infrastruktur der EUDI Wallet Support Organisation (EWSO) - "Tooling"

Die Infrastruktur ist cloud-nativ und vollständig automatisiert. Sie wird in EU-Rechenzentren betrieben, die ISO 27001 zertifiziert sind – ohne US-CLOUD-Act-Exposure. Alle Nutzer-Frontends müssen WCAG 2.1 (mind. AA) entsprechen. Die Architektur folgt API-first mit offenen Standards; Breaking Changes sind mit mindestens 90 Tagen Vorlauf anzukündigen. Datenverarbeitung erfolgt DSGVO-konform, mit Datenportabilität, rollenbasierter Zugriffskontrolle (RBAC) und klarer Mandanten-/Bereichstrennung.

Zu liefern sind: ein Ticket-/CRM-System (mit SLA-Tracking, B2C/B2B-Trennung, RBAC), eine öffentliche Knowledge Base mit FAQ-Portal (DE/EN, barrierefrei), ein In-App-Bot (Integration in die EUDI-Wallet-App, Webseite und das EUDI Hub), Telefonie und IVR (24/7, BPO-Weiterleitung, Notfallleitung, Barrierefreiheit), ein B2B-Partner-Portal (Hub Ticketing für Verifier/Issuer), ein zentrales Event-Log-System (System-, Anwendungs-, Zugriffs- und Sicherheitslogs, manipulationssicher, kryptografisch gesichert), ein IAM-System (RBAC, MFA, Zero Trust, Trennung BPO/internes Team), ein Live-Chat als Ramp-up-Komponente, ein Schwärzungs-/Redaktionssystem (Ziel: Falsch-Negativ-Rate ≤ 5 % pro Monat) sowie Monitoring/Alerting.

Der Auftragnehmer richtet alle Komponenten ein, konfiguriert SLA-Regeln, Routing-Logik und RBAC-Rollen, integriert die Schnittstellen zu Los 1 (BPO/Contact Center), Los 3 (VoC/Analytics) und zum Wallet-Dev-Team und führt vor dem Go-Live Funktionstests, Integrationstests, einen externen Penetrationstest sowie ein WCAG-Audit durch. Im laufenden Betrieb übernimmt er Monitoring, Incident Response, Patch- und Release-Management sowie Kapazitätsplanung und leistet technischen 2nd-Level-Support für das interne Team und die BPO-Agenten. Schulungen für Administratoren, Schlüsselpersonen und BPO-Funktionsträger sind eingeschlossen. Nach Abschluss des Wissenstransfers (spätestens Q2 2027) geht die operative Systemhoheit geordnet an das interne Team über.

Systemverfügbarkeit ≥ 99,5 %, RTO ≤ 4 Stunden, RPO ≤ 15 Minuten, automatisierte Deployments über CI/CD mit Rollback unter 15 Minuten. Logs sind online mindestens 12 Monate und insgesamt mindestens 36 Monate manipulationssicher aufzubewahren. Sicherheitsvorfälle/Datenschutzverletzungen sind innerhalb von 2 Stunden nach Kenntnisnahme zu melden. KI-Komponenten dürfen ausschließlich EU-gehostet, DSGVO-konform, auditierbar und jederzeit abschaltbar betrieben werden – kein PII in KI-Modellen.

Closed-Beta im Q4 2026, Public Launch/Go-Live im Januar 2027. Leistungsbeginn voraussichtlich 01.11.2026. Basisvertragslaufzeit 24 Monate ab Vertragsbeginn mit einmaliger einseitiger Verlängerungsoption um 12 Monate (Mitteilung mindestens 6 Monate vor Ablauf). Sonderkündigungsrecht des Auftraggebers bis 31.12.2026 (nur bei haushaltsbedingten Einschränkungen; Mitteilung bis spätestens 30.11.2026).

Zugelassen sind natürliche und juristische Personen sowie Bietergemeinschaften gemäß EU-Vergaberecht. Es dürfen keine Ausschlussgründe nach §§ 123, 124 GWB vorliegen (Eigenerklärung erforderlich). Außerdem dürfen keine Ausschlussgründe nach § 21 AEntG, § 98c AufenthG, § 19 MiLoG, § 21 SchwarzArbG, § 22 LkSG und § 14 BTTG bestehen. Für Unterauftragnehmer und Eignungsleihe gelten dieselben Ausschlussgründe. Präqualifizierungen und die Einheitliche Europäische Eigenerklärung (EEE) sind zugelassen. KMU sind laut Stammdaten nicht besonders geeignet (suitableforsmes: false).

Nachweis stabiler Geschäftstätigkeit. Mindestjahresumsatz 1.000.000,00 EUR jährlich im Tätigkeitsbereich des Auftrags, nachzuweisen für die Kalenderjahre 2023, 2024 und 2025.

Gültige ISO-27001-Zertifizierung oder eine als gleichwertig begründete Zertifizierung ist nachzuweisen.

Berufs- bzw. Betriebshaftpflichtversicherung mit Mindestdeckungen von 5.000.000,00 EUR je Schadensfall für Personen- und Sachschäden sowie 5.000.000,00 EUR je Schadensfall für Vermögensschäden (jeweils einfach maximiert pro Jahr), entweder vorhanden oder per Bereitschaftserklärung zum Abschluss im Zuschlagsfall.

Handelsregisterauszug oder gleichwertiger Registerauszug (nicht älter als 90 Tage zur Angebotsfrist). Erklärung zu EU-Russland-Sanktionen (Art. 5k VO (EU) 833/2014); für Unterauftragnehmer mit mehr als 10 % Auftragswert gilt dies gleichermaßen.

Mindestens 3 Referenzen aus dem Zeitraum seit 01.01.2023 mit jeweils mindestens 12 Monaten Vertragsdauer (laufende Referenz: mindestens 6 Monate bereits erbracht). Mindestens 1 Referenz muss von einem öffentlichen oder Sektorenauftraggeber i.S.d. §§ 99, 100 GWB stammen; die weiteren können auch von privaten Auftraggebern stammen. Referenzgeber muss im Europäischen Wirtschaftsraum (EWR) ansässig sein. Jede Referenz muss alle vier inhaltlichen Anforderungen erfüllen: API-Integration (Ticketsystem/Chatbot/Telefonie/IAM), WCAG-konforme Web-Frontends, Durchführung von Barrierefreiheits-Audits sowie Implementierung und Inbetriebnahme von IT-Systemen (CRM, Ticketsysteme, IAM, Kommunikationsplattformen oder vergleichbar).

Während Implementierungs- und Hypercare-Phase mindestens 3 Personen in Vollzeit: 1 IT-Projektleitung, 1 IT-Systemadministrator:in Plattformbetrieb, 1 IT-Sicherheitsadministrator:in. Sprachanforderungen je nach Rolle: Deutsch mind. B2, Englisch mind. B2 (z.B. IT-PL: mind. B2 in beiden Sprachen).