MXDR-Lösung

Bereitstellung, Implementierung, Betrieb und fortlaufende Betreuung einer Managed-XDR-Lösung für 350 geschützte Systeme beziehungsweise Assets.

Der vollständige Betrieb soll zeitnah nach Zuschlagserteilung aufgenommen werden. Die Lösung muss individuelle Schutz- und Anpassungsmöglichkeiten bieten und über eine lokale Schutzkomponente im Agenten auch im Offline-Betrieb Sicherheitsfunktionen bereitstellen.

Kontinuierliche Überwachung der 350 Assets mit automatisierter und KI-gestützter Bedrohungserkennung sowie Erkennung, Analyse und Bewertung sicherheitsrelevanter Ereignisse.

Geeignete Reaktionsmaßnahmen sind gemäß den vereinbarten Prozessen und Service-Leveln einzuleiten oder zu unterstützen. Die Lösung soll die Transparenz über die Sicherheitslage erhöhen und eine zeitnahe Reaktion auf Bedrohungen ermöglichen.

Kostenlose Incident Compromise Checks dienen der reaktiven Einschätzung von Verdachtsfällen, die von Kunden gemeldet werden.

Individuelles, deutschsprachiges Onboarding der IT- und Sicherheitsmitarbeiter sowie deutschsprachiger telefonischer und schriftlicher 24/7-Support.

Ein deutschsprachiger Technical Account Manager wird für die Implementierung und den Betrieb bereitgestellt. Die Leistung wird in einem definierten Service- und Eskalationsmodell erbracht.

Für kritische, hohe sowie mittlere und niedrige Vorfälle sind zugesicherte SLA-Reaktionszeiten anzugeben. Die Leistungsbeschreibung enthält dafür drei Bewertungsstufen je Incident-Kategorie; insgesamt sind mindestens 15 Punkte erforderlich, andernfalls wird das Angebot ausgeschlossen.

Die Datenverarbeitung ist datenschutzkonform und datensparsam umzusetzen. Die Lösung muss Privacy by Design und Privacy by Default berücksichtigen und personenbezogene Daten automatisch pseudonymisieren.

Personenbezogene Daten dürfen ausschließlich für Angriffsanalysen sowie die Identifikation und Abwehr von Bedrohungen verwendet werden. Für die Speicherung und Verarbeitung in Deutschland ist ein Fallback-System vorzusehen.

Bei Cloud- oder Rechenzentrumsbetrieb ist während der gesamten Laufzeit eine C5-Zertifizierung erforderlich.

Der Vertrag wird auf unbestimmte Zeit geschlossen. Eine Kündigung ist frühestens nach einer Mindestvertragslaufzeit von 36 Monaten ab Zuschlagserteilung möglich.

Erfüllungsort ist das Rathaus der Stadt Wetter (Ruhr), Kaiserstraße 170, 58300 Wetter (Ruhr). Die Leistung wird jährlich abgerechnet.

Es sind drei vergleichbare MXDR-Referenzen als Eigenerklärung vorzulegen. Die Auftraggeber müssen aus dem öffentlichen Bereich sein und dürfen für die drei Referenzen nicht identisch sein.

Je Referenz sind mindestens 350 geschützte Endgeräte, eine Vertragslaufzeit von mindestens drei Jahren und ein Auftragswert von mindestens 100.000 Euro netto für drei Jahre nachzuweisen. Mindestens zwei Jahre der Leistungserbringung müssen im Zeitraum ab Februar 2021 liegen.

Bei Bietern, die bereits für die Stadt Wetter (Ruhr) tätig waren oder sind, besteht keine Befreiung.

Der Bieter hat eine Berufs- und Betriebshaftpflichtversicherung nachzuweisen. Die Deckung je Schadensereignis bei Vermögensschäden muss mindestens 5.000.000 Euro betragen und mindestens zwei Schadensfälle pro Jahr abdecken.

Die Erklärung muss das Versicherungsunternehmen und die Versicherungshöhen enthalten.

Der Bieter muss eine ISO-27001-Zertifizierung nachweisen. Das MXDR-Produkt benötigt eine AV-Comparatives-Zertifizierung oder eine gleichwertige Zertifizierung.

Bei Cloud- oder Rechenzentrumsnutzung sind zusätzlich eine C5-Zertifizierung und die Bestätigung erforderlich, dass das Rechenzentrum nicht dem US Cloud Act unterliegt. Bei On-Prem-Betrieb sind ISO/IEC 27001 sowie ein Nachweis der Umsetzung nach BSI IT-Grundschutz vorzulegen.

Das für die Sicherheitsüberwachung eingesetzte SOC- beziehungsweise SOS-Team muss mindestens 50 Personen umfassen. Der Nachweis ist auf Anforderung als Eigenerklärung vorzulegen.

Der zuständige SOC-Dienstleister muss ein freigegebener APT Response Partner des BSI sein. Für die SOC-Leistungen eingesetztes Personal muss mindestens drei Jahre Berufserfahrung in der IT-Sicherheitsanalyse besitzen; der Nachweis wird auf Anforderung geführt.

Die Lösung muss eine lokale Schutzkomponente im Agenten mit Schutzfunktionen im Offline-Betrieb, individuelles deutschsprachiges Onboarding, individuelle Anpassungsmöglichkeiten, 24/7-Support in deutscher Sprache und einen deutschsprachigen Technical Account Manager bieten.

Außerdem sind eine No-Backdoor-Garantie, kostenlose Incident Compromise Checks, DSGVO-konforme Datenverarbeitung, Datenminimierung, ein Fallback für die Verarbeitung in Deutschland, Privacy by Design, Privacy by Default und automatische Pseudonymisierung einzuhalten.

Die Eigenerklärung zur Eignung nach Formblatt 124_LD ist auszufüllen. Gefordert sind unter anderem Angaben zu vergleichbaren Leistungen, verfügbarem Personal, Berufsregistereintragung, Insolvenz und Liquidation, Zuverlässigkeit sowie ordnungsgemäßer Zahlung von Steuern, Abgaben und Sozialversicherungsbeiträgen.

Zudem ist die gewerberechtliche Eignung für die angebotene Leistung zu bestätigen. Die Anforderungen an die Bietergemeinschaft sind mit Formblatt 234 zu erfüllen, sofern eine Bietergemeinschaft das Angebot abgibt.

Fehlende oder nicht fristgerecht vorgelegte Nachweise können zum Ausschluss des Angebots führen. Bei einer Auftragssumme von mehr als 30.000 Euro wird der vorgesehene Zuschlagsempfänger nach Zuschlag zur Bestätigung durch einen Auszug aus dem Gewerbezentralregister aufgefordert.

Für ein Angebot einer Werkstätte für Behinderte ist deren Eigenschaft mit dem Angebot nachzuweisen.