Zusammenfassung
Automatisch erstellt aus den VergabeunterlagenDie Stadt Marktheidenfeld sucht einen Dienstleister, der das bestehende, integrierte Informationssicherheits- und Datenschutzmanagementsystem (nach VdS 10000/VdS 10010) übernimmt, betreibt und weiterentwickelt. Der Auftragnehmer stellt externe Personen für die Rollen Datenschutzbeauftragte/r, stellvertretende/r Datenschutzbeauftragte/r, Informationssicherheitsbeauftragte/r und stellvertretende/r Informationssicherheitsbeauftragte/r. Gefordert sind unter anderem Erfahrung mit bayerischen Behörden, Zusammenarbeit mit LSI und BayLfD, Siegelbegleitung, Schulungen sowie eine deutschsprachige Arbeitsprobe und ein monatliches Festpreisangebot.
Zeitplan & Fristen
Aus den Vergabeunterlagen extrahiertZuschlagskriterien
Gewichtung laut Vergabeunterlagen- Preis25%
Wertungssumme des Angebotes unter Berücksichtigung günstigerer Grund- oder Wahlpositionen sowie eines eventuellen Nachlasses ohne Bedingungen. Maximal 100 Punkte, normiert auf Skala 0-10 (10 Pkt. = niedrigster Preis, 0 Pkt. = 2-facher niedrigster Preis).
- Personalqualität25%
Qualifikation, Erfahrung und fachliche Kompetenz der konkret für die Leistungserbringung angebotenen Personen. Maximal 100 Punkte.
- Referenzen25%
Vergleichbarkeit der vom Bieter nachgewiesenen Referenzprojekte mit den Anforderungen des ausgeschriebenen Auftrags. Maximal 100 Punkte.
- Qualität der Arbeitsprobe25%
Qualität, Nachvollziehbarkeit, Praxistauglichkeit und auftragsbezogene Eignung der dargestellten Konzepte, Methoden und Vorgehensweisen. Maximal 100 Punkte.
Preis: 10 Punkte für niedrigsten Preis, 0 Punkte für 2-fachen des niedrigsten Preises, lineare Interpolation mit bis zu 3 Stellen nach dem Komma. Qualitätskriterien: 10 Punkte = optimale Erfüllung, 7,5 Punkte = überdurchschnittliche Erfüllung, 5 Punkte = normale Erfüllung (Mindestanforderungen). Bei Punktgleichheit entscheidet der niedrigere Angebotspreis, danach Losentscheid.
Leistungsumfang
Aus den VergabeunterlagenGegenstand und Ziel
Übernahme und Fortführung des bereits produktiv betriebenen, integrierten Informationssicherheits- und Datenschutzmanagementsystems nach VdS 10000 i.V.m. VdS 10010. Keine grundlegende Neuorganisation, sondern unmittelbare Übernahme bestehender Prozesse, Nachweisstrukturen, Behördenkontakte und Managementverfahren.
Zu besetzende Rollen
Externe Wahrnehmung folgender Funktionen für die gesamten Anwendungsbereiche der Kommunalen Allianz (14 Städte/Gemeinden, Schulverbände, Zweckverband, Allianz e.V., ca. 30.000 Bürger, ca. 1.000 Beschäftigte):
Operative Aufgaben ISB/DSB gemeinsam
Zusätzliche Aufgaben ISB
Wahrnehmung aller operativen ISB-Aufgaben nach den einschlägigen Artikeln des BayDiG, strategische/organisatorische Aufgaben (Leitlinie, Sicherheitsstrategien, Rollen), Risikomanagement (BIA, Risikoanalysen, Risikoregister), Sicherheitsrichtlinien und -maßnahmen, Incident- und Notfallmanagement inkl. BCM, Audit und Kontrolle, Umsetzung der KI-VO.
Zusätzliche Aufgaben DSB
Wahrnehmung aller operativen DSB-Aufgaben nach Art. 37–39 DSGVO, § 38 BDSG, Art. 12–15 BayDSG: Unterrichtung, Beratung und Überwachung, datenschutzrechtliche Aufgaben wie Rechenschaftspflicht, Löschkonzept, Betroffenenrechte, Auftragsverarbeitungsmanagement, Verzeichnis der Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzung, Meldungen.
Service-Level und Erreichbarkeit
Wiederkehrende Termine (operativ)
Erfüllungsort und Leistungserbringung
Erfüllungsort Marktheidenfeld (PLZ 97828, DE26A). Ein Großteil der Leistungen kann remote erbracht werden; Vor-Ort-Termine bei Bedarf (z. B. Audits, Schulungen, persönliche Treffen). Sämtliche Reise-, Fahrt-, Übernachtungs-, Aufenthalts- und Nebenkosten sind im monatlichen Festpreis enthalten.
Vertragslaufzeit
Beginn 01.01.2027, feste Laufzeit 4 Jahre bis 31.12.2030, Verlängerung durch den Auftraggeber bis zu zweimal um je ein Jahr (max. 6 Jahre Gesamtlaufzeit), Kündigungsfrist 3 Monate vor Ablauf.
Eignungskriterien
Geforderte Nachweise laut VergabeunterlagenPersönliche Lage / Ausschlussgründe
Keine Ausschlussgründe gemäß §§ 123, 124 GWB; Eigenerklärung Bezug Russland gemäß VO (EU) 2022/576; keine Insolvenz/Liquidation; ordnungsgemäße Erfüllung der Steuer-, Abgaben- und Sozialversicherungspflichten; ausreichende personelle und wirtschaftliche Ressourcen für die gesamte Vertragslaufzeit.
Wirtschaftliche und finanzielle Leistungsfähigkeit
Eigenerklärung zur wirtschaftlichen und finanziellen Leistungsfähigkeit (Formblatt 9); Nachweis der dauerhaften Leistungsfähigkeit über die gesamte Vertragslaufzeit inkl. Verlängerungsoptionen.
Berufshaftpflichtversicherung
Mindestdeckungssumme 500.000 EUR für Vermögensschäden je Schadensfall und 2.000.000 EUR für Personen- und Sachschäden je Schadensfall.
Unabhängigkeit
Eigenerklärung über Nichtvorliegen von Interessenkonflikten gemäß Art. 38 DSGVO; Bieter, die gleichzeitig operative IT-Dienstleistungen für die Anwendungsbereiche erbringen, sind ausgeschlossen, soweit die Unabhängigkeit gefährdet wäre; Anzeigepflicht bei Interessenkonflikten während der Vertragslaufzeit.
Organisatorische Leistungsfähigkeit
Nachvollziehbare Darstellung der Sicherstellung der Reaktionszeiten (4h/8h) und der 6-Stunden-Vor-Ort-Einsatzbereitschaft (z. B. Bereitschaftsregelungen, Eskalationskonzept, Vertretungsregelungen, Startort des Personals, vorgesehene Verkehrsmittel).
Personelle Qualifikation der Schlüsselpersonen
Für jede der vier Rollen (ISB, stellv. ISB, DSB, stellv. DSB) zwingend nachzuweisen:
Mindestens zwei verschiedene Mitarbeitende sind zu benennen; verbindliche Verfügbarkeitszusage über die gesamte Vertragslaufzeit. Reine Unterstützungs-, Beratungs-, Dokumentations- oder Zuarbeitstätigkeiten werden nicht anerkannt.
Technische und berufliche Leistungsfähigkeit (Mindestreferenzen)
Jeweils mindestens eine Referenz aus den letzten 5 Jahren zu allen fünf Bereichen (für ISB/DSB je betroffene Rolle):
1. Bayerischer Behördenkontext: ISB/DSB-Tätigkeit mit federführender Verantwortung in bayerischen Behörden, Kommunen, kommunalen Unternehmen oder öffentlichen Stellen des Freistaates Bayern; Anwendung bayerischer fachgesetzlicher Vorgaben; Zusammenarbeit mit Aufsichtsbehörden.
2. Integriertes Managementsystem: eigenverantwortlicher Betrieb, Pflege, Fortschreibung und Weiterentwicklung eines ISMS/DSMS nach VdS 10000/VdS 10010; mindestens eine Person mit Funktion ISB, stellv. ISB, DSB oder stellv. DSB.
3. LSI-Zusammenarbeit (ISB/stellv. ISB): Informationssicherheitsvorfälle, Sicherheitsmeldungen, Beratungsverfahren, Siegelverfahren.
4. Bayerisches Siegel „Kommunale IT-Sicherheit": federführende/wesentliche Begleitung bei Erlangung oder Fortschreibung; Planung, Steuerung, Koordination, Auditbegleitung.
5. BayLfD-Zusammenarbeit (DSB/stellv. DSB): Datenschutzverletzungen Art. 33 DSGVO, Vorabkonsultationen Art. 36 DSGVO, Anfragen/Prüfverfahren, Beanstandungen.
Gleichwertigkeitsregelung
Erfahrungen außerhalb Bayerns sowie andere Systeme als VdS 10000/VdS 10010 sind grundsätzlich zugelassen. Der Bieter hat die Gleichwertigkeit jedoch substantiiert, prüffähig und strukturiert darzulegen (rechtliche Rahmenbedingungen, Organisationsstrukturen, Entscheidungsprozesse, Aufgaben/Verantwortlichkeiten, Verfahrensabläufe, Melde-/Kommunikationsprozesse, Struktur-/Prozess-/Reifegrad-/Integrationsvergleich). Über die Anerkennung der Gleichwertigkeit entscheidet allein der Auftraggeber.
Praktische Erfahrung als ISB, DSB oder vergleichbare Funktion in bayerischen Behörden/Kommunen mit federführender fachlicher Verantwortung
Bezeichnung Kommune, Projektgegenstand, Leistungszeitraum, Rolle, fachlicher Ansprechpartner mit Kontaktdaten; strukturiertes Gleichwertigkeits-Papier bei außerbayerischer Erfahrung
Eigenverantwortlicher Betrieb, Pflege, Fortschreibung und Weiterentwicklung eines integrierten ISMS/DSMS nach VdS 10000 i.V.m. VdS 10010
Mind. eine Person mit Funktion ISB, stellv. ISB, DSB oder stellv. DSB; gleichwertige Systeme mit Struktur-/Prozess-/Reifegrad-/Integrationsvergleich
Zusammenarbeit mit dem Bayerischen Landesamt für Sicherheit in der Informationstechnik (LSI) – Informationssicherheitsvorfälle, Sicherheitsmeldungen, Beratungs-/Siegelverfahren
Rolle ISB oder stellv. ISB; Gleichwertigkeit außerhalb Bayerns mit strukturierter Gegenüberstellung der Verfahrensabläufe
Maßgebliche Begleitung einer bayerischen öffentlichen Stelle bei Erlangung oder Fortschreibung des Siegels „Kommunale IT-Sicherheit"
Federführende oder wesentliche fachliche/organisatorische Verantwortung; Tätigkeitsnachweis Planung, Steuerung, Koordination, Auditbegleitung
Zusammenarbeit mit dem Bayerischen Landesbeauftragten für den Datenschutz (BayLfD) – Datenschutzverletzungen Art. 33 DSGVO, Vorabkonsultationen Art. 36 DSGVO, Prüfverfahren
Rolle DSB oder stellv. DSB; Gleichwertigkeit mit strukturierter Gegenüberstellung der aufsichtsrechtlichen Anforderungen