Hosting des Melde- und Informationsportals 2 ab 2027

Beschaffungsamt des BMIBonn, Nordrhein-WestfalenVeröffentlicht: 06. Oktober 2026

Angebotsfrist: 05. November 2026

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Das Beschaffungsamt des BMI schreibt im Auftrag des Bundesamts für Sicherheit in der Informationstechnik (BSI) das Hosting des Melde- und Informationsportals 2 (MIP2) aus. Über MIP2 können Behörden, Unternehmen und Privatpersonen Sicherheitsvorfälle und Schwachstellen an das BSI melden.

Gesucht wird ein IT-Dienstleister, der ab 2027 eine Betriebs- und Testumgebung bereitstellt, das Portal deployt und über mehrere Jahre sicher betreibt. Der bestehende Hosting-Vertrag endet im Februar 2027.

Kernleistung: Aufbau und Betrieb der Hosting-Umgebung (2x Produktivumgebung redundant, 1x Testumgebung) mit PaaS-/Cloud-Leistungen in deutschen Rechenzentren. Vertragslaufzeit zunächst 1 Jahr (Pflicht), optionale Verlängerung um bis zu 3 weitere Jahre.

Angebotsfrist: 05.11.2026, 11:30 Uhr

Verfahrensart: Öffentliche Ausschreibung nach UVgO

Vergabestelle: Beschaffungsamt des BMI, Bonn

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert

Angebotsfrist: 05. November 2026

Termin / FristOKT2026 APR OKT APR OKT APR OKT

Veröffentlichung6. Okt. 2026

Angebotsfrist5. Nov. 2026

Vertragsende bestehender Vertrag28. Feb. 2027

Zuschlag14. Dez. 2026

Aufbau Umgebungen (AP 1)ca. 1. Jan. – 31. Jan. 2027

Vertragsbeginnca. 1. Feb. 2027

Vertragslaufzeitca. 1. Feb. 2027 – 31. Jan. 2028

Verlängerung 1ca. 1. Feb. 2028 – 31. Jan. 2029

Verlängerung 2ca. 1. Feb. 2029 – 31. Jan. 2030

Verlängerung 3ca. 1. Feb. 2030 – 31. Jan. 2031bis 2031

Kündigungsfrist VerlängerungenDatum offenJeweils 3 Monate vor Ende des vorhergehenden Arbeitspakets; ohne Kündigung verlängert sich der Vertrag automatisch.

Subunternehmer-VorankündigungDatum offenMindestens 4 Wochen vor Beauftragung eines Subunternehmers ist das BSI zu unterrichten (Vereinbarung zur Auftragsverarbeitung, § 8).

vor Angebotsabgabenach Angebotsabgabegeschätzt

Leistungsumfang

Aus den Vergabeunterlagen

Arbeitspakete und Vertragslaufzeit

Die Leistung gliedert sich in 5 Arbeitspakete:

AP 1 – Aufbau der Umgebungen (Pauschalpreis): Aufbau der Test- und Betriebsumgebung, Deployment MIP2, Datenimport, Erstellung IT-Sicherheitskonzept, IS-Webcheck durch Auftraggeber. Zeitraum: 01.01.2027 – 31.01.2027.AP 2 – Betrieb Hosting-Umgebung (Pflicht, 1 Jahr): Betrieb und Wartung inkl. Sicherheitsupdates, SLA-Erfüllung. Zeitraum: 01.02.2027 – 31.01.2028.AP 3 (optional) – Betrieb +1 Jahr: 01.02.2028 – 31.01.2029.AP 4 (optional) – Betrieb +1 Jahr: 01.02.2029 – 31.01.2030.AP 5 (optional) – Betrieb +1 Jahr: 01.02.2030 – 31.01.2031.

Optionale Jahre verlängern sich automatisch, sofern nicht 3 Monate vor Ende des vorhergehenden AP gekündigt wird.

Infrastruktur und Rechenzentrum

Bereitstellung und Betrieb je 1+1 redundanter virtueller Maschinen für Webserver und Datenbankserver (Produktiv- und Testumgebung).Zwei geographisch getrennte Rechenzentren in Deutschland, Mindestabstand 30 km.Redundante VMs auf getrennten physischen Servern (Hypervisoren).Rechenzentrums-Zertifizierung: ISO 27001 auf Basis von IT-Grundschutz oder nativ (oder vergleichbar); gültiges Zertifikat oder Nachweis angemeldeter (Re-)Zertifizierung.Bandbreiten: Internet ≥ 100 MBit/s, interne Netze ≥ 1 GBit/s.Verfügbarkeit: 99,9 % im Jahresmittel.Service Desk: 0:00 – 24:00 Uhr, Mo–So.Reaktionszeiten: Critical 1 h, Medium 4 h, Low 24 h.

Netzwerk- und Sicherheitskomponenten

Load Balancer inkl. Intrusion Prevention in Rechenzentrum A; Cold-Standby-Load-Balancer in Rechenzentrum B.VPN-Gateway für Zugriff Auftraggeber auf GitLab und Testumgebung (kein Zugriff auf Produktivumgebung).GitLab Enterprise Edition in Rechenzentrum A für Deployment.Logserver in Rechenzentrum A (Speicherdauer 3 Monate, read-only, durchsuchbar, z.B. via Lucene-Syntax).Netzwerksegmente durch professionelles Firewall-System gesichert.DDoS-Mitigation muss bereitstehen und aktivierbar sein.TLS gemäß BSI TR-02102-2 (Version 2026-1 oder neuer); SSH gemäß BSI TR-02102-4.Erreichbarkeit über IPv4 und IPv6.Trennung Produktivumgebung (öffentlich) und interne Netze (Datenbanken).

Technische Plattform

DBMS: MariaDB, synchronisiert zwischen beiden Datenbankservern.Dateisynchronisation zwischen beiden Webservern (für hochgeladene Dateien).Erwartete Last: bis zu 10.000 Nutzer-Accounts mit ca. 2 Vorfallsmeldungen pro Nutzer/Jahr.Speicherbedarf (ungefähr): ca. 50 GB Dokumente, ca. 1 GB Datenbank, ca. 3 GB Docker-Container.

Nicht im Leistungsumfang / Schnittstellen

Nicht enthalten: Wartung, Pflege und Weiterentwicklung der Anwendung MIP2 selbst (durch BSI oder separaten Dienstleister).Durch Auftraggeber gestellt: SSL-Zertifikate für den Produktiv-Webserver.Datenimport aus dem Altsystem erfolgt im Rahmen von AP 1.

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Wirtschaftliche und finanzielle Leistungsfähigkeit

Mindestumsatz: ≥ 200.000 EUR pro Jahr im Tätigkeitsbereich des Auftrags, nachgewiesen für die letzten 3 Geschäftsjahre (Jahresabschluss muss noch nicht erfolgt sein).Nachweis: Eigenerklärung in Form einer vom Bieter erstellten Liste.Bei berechtigten Gründen kann ein Alternativnachweis akzeptiert werden (Entscheidung Beschaffungsamt).

Technische und berufliche Leistungsfähigkeit

Referenzen: Mindestens 3 geeignete Referenzen, max. 3 Jahre alt (siehe Referenzprojekte).Rechenzentrums-Zertifizierung: ISO 27001 (IT-Grundschutz oder nativ) für alle Rechenzentren, in denen MIP2-Hardware betrieben wird; gültig oder mit nachgewiesener (Re-)Zertifizierungsanmeldung; alternativ vergleichbare Zertifizierung.Serverstandorte: Ausschließlich in Deutschland.Personalprofile: Nachweis der Mindestanforderungen gem. Kapitel 2.1.2 der Leistungsbeschreibung (Anlage Personalprofile, max. 2 DIN-A4-Seiten pro Person).

Rechtliche und sonstige Anforderungen

Keine Ausschlussgründe gem. §§ 123 oder 124 GWB (Eigenerklärung).Soziale Nachhaltigkeit: Erklärung zur Einhaltung von ILO-Arbeitsnormen bei IT-Aufträgen.Auftragsverarbeitung: Eigenerklärung zur Bereitschaft, die Anforderungen der Vereinbarung zur Auftragsverarbeitung (DSGVO Art. 28) einzuhalten.Haftpflichtversicherung: Nachweis gem. Ziffer 21 EVB-IT Cloud-AGB.Informationsabfluss: Erklärung, dass keine Offenlegungspflichten an ausländische Sicherheitsbehörden bestehen (Ziffer 9.1 EVB-IT Cloud-AGB).

Anforderungen bei Bietergemeinschaften / Eignungsleihe / Unteraufträgen

Bietergemeinschaft: Bietergemeinschaftserklärung; Eigenerklärung Ausschlussgründe und Anlage Unternehmensdaten für jedes Mitglied; Eigenerklärung Auftragsverarbeitung für jedes Mitglied.Eignungsleihe (verleihendes Unternehmen): Verpflichtungserklärung Eignungsleihe/Unteraufträge; Eigenerklärung Ausschlussgründe; Anlage Unternehmensdaten.Unteraufträge: Anlage Unteraufträge; Verpflichtungserklärung Eignungsleihe/Unteraufträge; Eigenerklärung Ausschlussgründe (mit Angebot oder spätestens vor Zuschlag). Unterauftragnehmer müssen spätestens vor Zuschlagserteilung namentlich benannt sein.

Referenzprojekte

mindestens 3 ReferenzenZeitraum: nicht älter als 3 Jahre (gerechnet vom Datum der letzten Leistungserbringung bis zum Tag der Veröffentlichung)Volumen: nicht beziffert (Auftragswert in Margen zulässig)

Mindestens 3 geeignete Referenzen über Hosting-/IT-Betriebsleistungen mit vergleichbarer Komplexität zum MIP2-Hosting

Beschreibung der ausgeführten Leistungen, Auftragswert (z.B. > 100.000 €), Zeitraum, Kontaktdaten Referenzgeber, vergleichbare Komplexität; Vordruck 0119-26_08 nutzen; grundsätzlich abgeschlossene Projekte

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.