Managed SOC und Digital Forensics and Incident Response (DFIR)

kommunit IT-Zweckverband Schleswig-Holstein | Vergabekammer Schleswig-Holstein beim Ministerium für Wirtschaft, Verkehr, Arbeit, Technologie und Tourismus | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)Elmshorn, Schleswig-HolsteinVeröffentlicht: 21. Oktober 2026

Angebotsfrist: —

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Worum es geht: Der kommunale IT-Zweckverband kommunit Schleswig-Holstein sucht Dienstleister für zwei IT-Sicherheitsleistungen, die getrennt beauftragt, aber beim gleichen Anbieter gebündelt werden können.

Los 1 – Managed SOC (24/7): Betrieb einer Sicherheitszentrale (SOC-Level 1) zur rund-um-die-Uhr-Überwachung der Systemlandschaft auf Basis der bestehenden CrowdStrike-Lösung.Los 2 – DFIR: Bereitstellung von Kapazitäten für forensische Analyse und strukturierte Reaktion auf schwere Sicherheitsvorfälle (auf Abruf).

Verfahren: Verhandlungsverfahren mit Teilnahmewettbewerb (zweistufig). Erst Teilnahmeantrag, später Angebot. Vertragslaufzeit 48 Monate.

Wichtig: Angebote werden ausschließlich elektronisch über die Vergabeplattform Deutsche eVergabe eingereicht. Die Vergabenummer lautet I20260706-0559.

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert

Termin / FristOKT2026 APR OKT APR OKT APR OKT APR OKT

Teilnahmefrist19. Okt. 2026

Einladungsfrist28. Okt. 2026

Bieterfragen-Frist7. Nov. 2026

Angebotsfrist13. Nov. 2026

Bindefrist13. Nov. – 31. Dez. 2026

Vertragsbeginn1. Jan. 2027

Vertragslaufzeit1. Jan. 2027 – 31. Dez. 2030

Ausführungsbeginn1. Jan. 2027

Vertragsende31. Dez. 2030

Aufklärungsgespräche/PräsentationDatum offenAb Kalenderwoche 47/2026 (voraussichtlich 16.11.2026) finden Aufklärungsgespräche/Präsentationen statt.

AngebotsöffnungDatum offenÖffnung der eingegangenen Angebote; genauer Termin nicht in den Unterlagen genannt, erfolgt nach Angebotsabgabe.

ZuschlagDatum offenZuschlagserteilung erfolgt nach Ablauf der Bindefrist, konkreter Termin nicht genannt.

Einführungsworkshop SOCDatum offenVerpflichtender Einführungsworkshop zu Beginn des Managed SOC vor Betriebsaufnahme; konkreter Termin nicht genannt.

Einführungsworkshop DFIRDatum offenVerpflichtender Einführungsworkshop vor erstmaliger Inanspruchnahme von DFIR-Leistungen; konkreter Termin nicht genannt.

vor Angebotsabgabenach Angebotsabgabe

Leistungsumfang

Aus den Vergabeunterlagen

Gemeinsamer Rahmen für beide Lose

Systemlandschaft des Auftraggebers: ca. 1.700 Server (davon ca. 200 Linux), ca. 8.000 Benutzer, jährliches Wachstum ca. 5 %.

Bestehende Sicherheitslösung: CrowdStrike, genutzt als SIEM auf der CrowdStrike CID des Auftraggebers. Der Auftragnehmer muss diese bestehende Lösung nutzen und unterstützen – nicht ersetzen.

Event-Volumen: durchschnittlich ca. 1.200 Events/Monat, davon ca. 50 sicherheitsrelevante Vorfälle.

Datenquellen, die verarbeitet werden: Endpoint Security, Identity Protection, Data Protection, NDR sowie kundenspezifische Use Cases.

Sprache: Deutschsprachige Ansprechpartner auf allen Positionen (C1 in Wort und Schrift).

Verfügbarkeit: Vor-Ort-Verfügbarkeit im Rechenzentrum des Auftraggebers innerhalb von 4 Stunden.

Verpflichtender Einführungsworkshop vor Betriebsaufnahme (SOC) bzw. vor erstmaliger DFIR-Beauftragung.

Dokumentation aller Vorfälle, Maßnahmen und Entscheidungen direkt im CrowdStrike-SIEM.

Datenschutz / Compliance: Auftragsverarbeitung nach Art. 28 DSGVO; Datenverarbeitung, Hosting und Support ausschließlich in Deutschland bzw. unter EU-DSGVO; jährliche Bestätigung der NIS-2-Konformität; Meldepflicht für Sicherheitsvorfälle innerhalb von 24 Stunden nach Bekanntwerden; ISMS nach ISO 27001 / BSI IT-Grundschutz; technische Mindestkontrollen (Patch-Management, MFA, Verschlüsselung, umfassendes Logging).

Optional: Beratungs- und Unterstützungsleistungen im SIEM-Umfeld.

Optional: Unterjähriger Workshop bei Bedarf.

Preisliche Mengen (Preisblatt, Teil A und Teil B): monatliche Leistungen über 48 Monate; Bereitschaftszeiten (Retainer) für DFIR; fiktive 100 Stunden als Kostenvergleichs-Position für DFIR-Einzelbeauftragung; fiktive 100 Stunden für optionale SIEM-Beratung.

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Ausschlussgründe

Keine Ausschlussgründe gemäß § 123, § 124 GWB, § 21 Schwarzarbeitsbekämpfungsgesetz, §§ 19, 21 MiLoG, §§ 21, 23 AEntG, § 98c AufenthG, § 81 GWB. Keine laufenden Insolvenz- oder Liquidationsverfahren.

Zusätzlich (5. EU-Sanktionspaket): Weder Bieter noch Nachunternehmer dürfen unter Art. 5k VO (EU) 833/2014 fallen (russische Sanktionen). Dasselbe gilt für Eignungsleihgeber, sofern mehr als 10 % des Auftragswerts auf betroffene Unternehmen entfallen.

Zuverlässigkeit und finanzielle Situation

Bescheinigung Finanzamt und Unbedenklichkeitserklärung Krankenkassen, jeweils nicht älter als 12 Monate.Handelsregisterauszug, nicht älter als 6 Monate (oder Nachweis der Nichtverpflichtung).Erklärung zu Insolvenzverfahren / Liquidation.

Fachliche Eignung – Personal

Zertifizierte SOC-Analysten (z. B. GCIA, GCIH, CEH oder vergleichbar).Zertifizierte DFIR-Spezialisten (z. B. GCFE, GCFA, CHFI oder vergleichbar).Eingesetztes Personal verfügt über Deutschkenntnisse C1 in Wort und Schrift.Vor-Ort-Verfügbarkeit im Rechenzentrum des Auftraggebers innerhalb von 4 Stunden.Nachweis ausreichender Mitarbeiter für vergleichbare Leistungen (letzte 3 Jahre).

Wirtschaftliche und technische Eignung

Nachweis Umsatz der letzten 3 Jahre (Gesamtumsatz + vergleichbare Leistungen).Nachweis Berufs-/Betriebshaftpflichtversicherung (Police oder Zusage innerhalb 7 Werktagen nach Zuschlagsmitteilung).ISO 27001 und SOC 2 Zertifizierung (Kopien beifügen).ISMS nach ISO 27001 / 2700x oder BSI IT-Grundschutz.Patch-Management, MFA, Verschlüsselung, umfassendes Logging nach ISO 27001 oder BSI IT-Grundschutz.Dokumentiertes Schwachstellenmanagement, BCM/Notfallmanagement, Secure Development Lifecycle, dokumentierte Risikoanalyse für Lieferanten, Audit- und Prüfrechte vertraglich zugesichert.ISMS-Fortlauf: regelmäßige Risikoüberprüfung, Penetrationstests, strukturierte Berichte zum Sicherheitsstatus.

Referenzen (3, optional 4)

3 vergleichbare Referenzprojekte aus den letzten 3 Kalenderjahren, optional ein viertes. Bewertet werden inhaltliche Vergleichbarkeit (max. 65 P./Referenz) und Zugehörigkeit des Auftraggebers (max. 10 P.: öffentlich = 10, privat = 5). Pflichtangaben je Referenz: Projektbezeichnung, Auftraggeber, Sektor, Ansprechpartner mit Telefonnummer, Leistungsbeschreibung, Volumen, Zeitraum.

Bietergemeinschaften und Unteraufträge

Bei Bietergemeinschaften: bevollmächtigter Vertreter, rechtsverbindlich für alle Mitglieder, Gesamtschuldnerhaftung. Jedes Mitglied muss Eignungsnachweise erbringen.Unterauftragnehmer / Eignungsleihe: Offenlegung mit Name, Anschrift und Leistungsbeschreibung, Verpflichtungserklärung beifügen, Eigenerklärung zu Ausschlussgründen je Nachunternehmer spätestens vor Vertragsschluss.

Datenschutz und NIS-2

AVV nach Art. 28 DSGVO wird Vertragsbestandteil; technisch-organisatorische Schutzmaßnahmen erforderlich.Datenverarbeitung, Hosting und Support ausschließlich in Deutschland / unter EU-DSGVO.Meldepflicht für Sicherheitsvorfälle innerhalb von 24 Stunden.Privacy by Default, Privacy by Design; rollenbasierte Zugriffskontrolle; Passwortkomplexität (mind. 13 Zeichen, 4 Komplexitäten, Sperrung nach 3 Fehlversuchen); 2-Faktor-Authentifizierung für privilegierte User; Mandantenfähigkeit; Trennung von Entwicklung/Test/Produktion.Vollständiger Auskunftsprozess nach Art. 15 DSGVO; Datenexport nach Art. 20 DSGVO; Protokollierung aller Eingaben/Änderungen personenbezogener Daten (nicht löschbar); Liste der Sub-Dienstleister mit vergleichbarem Standard.Jährliche Erklärung NIS-2-Konformität.

Referenzprojekte

3 (optional 4) ReferenzenZeitraum: letzte 3 Kalenderjahre

3 vergleichbare Referenzprojekte aus den letzten 3 Kalenderjahren (optional 4.); Bezug zum Auftragsgegenstand (Managed SOC und/oder DFIR, idealerweise mit Unterstützung/Beratung Transition)

Bewertet wird inhaltliche Vergleichbarkeit (max. 65 Punkte pro Referenz) und Zugehörigkeit des Referenzauftraggebers (max. 10 Punkte pro Referenz: 10 = öffentlicher Auftraggeber i.S.d. GWB, 5 = Privatwirtschaft). Pflichtangaben je Referenz: Projektbezeichnung, Auftraggeber, Sektor, Ansprechpartner mit Telefonnummer, Beschreibung Art/Umfang der Leistung, Auftragsvolumen, Zeitraum.

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.