Rahmenvereinbarung über den Bezug von Public Cloudleistungen zur Erlangung der digitalen Souveränität für den SWR und weitere Bezugsberechtigte

Bereitgestellt werden SaaS-, PaaS-, IaaS-, FaaS- und Serverless-Dienste sowie zugehörige Managed Cloud Services, soweit vereinbart. Die Leistungen werden über Einzelabrufe, ein Self-Service-Portal, APIs und Infrastructure-as-Code mit mindestens Terraform oder OpenTofu bereitgestellt.

Anlegen, Konfigurieren, Skalieren und Löschen der Cloud-Ressourcen müssen durch die Bezugsberechtigten selbst möglich sein. Die Nutzung erfolgt nutzungsabhängig und steht nach der Buchung sofort zur Verfügung.

Das Leistungsprofil umfasst IaaS-Compute mit mehreren VM-Klassen und Verteilung über mehrere Verfügbarkeitszonen, flashbasierten Block- und S3-kompatiblen Objektspeicher, Dateispeicher, virtuelle Netze, Load Balancer, WAF, VPN-Gateway und DNS.

PaaS umfasst relationale und NoSQL-Datenbanken, Managed Kubernetes, Message- und Event-Streaming, Monitoring, Logging, Key-Management, Secrets-Management und BYOK. Der physische und logische Betrieb des Haupt- und Backup-Rechenzentrums muss ohne Unterauftragnehmer im eigenen Betrieb des Bieters erfolgen.

Die Clouddienste unterstützen standortunabhängige Medienproduktion, agile Redaktionssysteme, Archivierung und hochverfügbares Streaming. Die Dienste sind für die öffentlich-rechtlichen Rundfunkanstalten und weitere Bezugsberechtigte gemeinsam nutzbar.

Vorgesehen sind durchgehende Verschlüsselung, eigene Schlüsselverwaltung beziehungsweise BYOK, logische Mandantentrennung, Identitäts- und Zugriffsmanagement, Integration mit Keycloak, Trennung von Benutzer- und technischen Konten sowie rollenbasierte Zugriffskontrolle. Hinzu kommen fortlaufendes Compliance-Monitoring nach EU-SEAL, ein Informationssicherheitsmanagementsystem, Notfallmanagement, Schwachstellen- und Patchmanagement sowie kontinuierliches Monitoring.

Kritische Sicherheitspatches werden ab ihrer Verfügbarkeit innerhalb der vorgegebenen Fristen eingespielt: bei kritischer Einstufung innerhalb von drei Stunden, bei hoher innerhalb von drei Tagen, bei mittlerer innerhalb eines Monats und bei niedriger innerhalb von drei Monaten.

Das Supportmodell umfasst drei Stufen. Basis-Support ist werktags von 09:00 bis 17:00 Uhr CET/CEST verfügbar, mittlerer Support von 08:00 bis 18:00 Uhr und Premium-Support unter anderem 24/7 für Störungen der Kritikalität 1. Für hohe Priorität gelten maximale Reaktionszeiten von vier Stunden im Basis-Support, zwei Stunden im mittleren Support und 30 Minuten im Premium-Support.

Leistungen umfassen Störungsbeseitigung, Service- und Wiederherstellungsprozesse, monatliches beziehungsweise quartalsweises Reporting, technische Reviews, Support in deutscher Sprache sowie im Premium-Support kostenfreier Event-Support. Zudem sind dedizierter europäisch basierter Support und garantierte Service Level Agreements für den öffentlich-rechtlichen Rundfunkbetrieb gefordert.

Beratungsleistungen umfassen unter anderem die Profile Cloud-Consultant, Cloud-Architect und Security-Architect. Ergänzend sind Trainings- und Zertifizierungsprogramme für Einsteiger und Fortgeschrittene, ein jährlicher virtueller Regeltermin, ein Kundenportal zur Kosteneinsicht und eine quartalsweise tabellarische Konsolidierung der Abrufdaten vorgesehen.

Datenimport und Datenexport müssen möglich sein. Kosten- und Verbrauchsdaten sollen im FOCUS-Standard oder einem kompatiblen Format exportierbar sein. Die Barrierefreiheit ist nach den in den Vergabeunterlagen genannten europäischen Standards nachzuweisen.

Optional kann der Auftragnehmer den Betrieb von SAP-RISE-Umgebungen übernehmen. Der Abruf dieser Zusatzleistung erfolgt durch den Auftraggeber beziehungsweise die Bezugsberechtigten; ein Abnahmeanspruch des Auftragnehmers besteht nicht.

Der Teilnahmeantrag muss form- und fristgerecht eingehen. Alle geforderten oder nachgeforderten Unterlagen müssen vorliegen. Die Vergabeunterlagen dürfen nicht geändert werden; Korrekturen sind ausschließlich als vollständige neue Einreichung möglich. Bewerbungen und Angebote sind in deutscher Sprache abzufassen.

Mit TLW Anlage 2 ist zu erklären, dass keine zwingenden oder fakultativen Ausschlussgründe bestehen. Erfasst sind unter anderem bestimmte Verurteilungen und Geldbußen, Verstöße gegen Umwelt-, Sozial- und Arbeitsrecht, schwere berufliche Fehlhandlungen, unzulässige wettbewerbsbeschränkende Absprachen, Täuschung oder Zurückhalten von Informationen, unzulässige Einflussnahme, kurzfristige Änderung gemeldeter Umstände sowie rechtskräftige Geldbußen ab 2.500 EUR aus den im Formblatt genannten arbeitsrechtlichen Verstößen.

Zusätzlich ist TLW Anlage 10 zu den Russlandsanktionen abzugeben. Die dort genannten Einschränkungen müssen auch für Unterauftragnehmer, Lieferanten und Eignungsleihe eingehalten werden.

Erforderlich sind die Eintragung im Handels- oder Berufsregister und ein Handelsregisterauszug, der nicht älter als ein Jahr ist. Der Haftpflichtnachweis muss Sach- und Personenschäden einschließlich daraus folgender Vermögensschäden mit mindestens 3 Mio. EUR je Schadensereignis und 6 Mio. EUR Jahreshöchstersatzleistung sowie echte Vermögensschäden mit mindestens 10 Mio. EUR je Schadensereignis und 20 Mio. EUR Jahreshöchstersatzleistung abdecken. Für IT-Haftpflicht gelten ebenfalls mindestens 10 Mio. EUR je Schadensereignis und 20 Mio. EUR Jahreshöchstersatzleistung.

Alternativ kann erklärt werden, dass Unterdeckungen im Auftragsfall angepasst werden. Erforderlich sind außerdem Bilanzen oder Bilanzauszüge, ein Bonitätsnachweis mindestens der Risikoklasse III sowie Darstellungen der Umsatz- und Mitarbeiterentwicklung der letzten drei Jahre. Ein gesonderter Mindestumsatz ist nicht festgelegt.

Das Rechenzentrum muss nach BSI C5 und SEAL Level 3 zertifiziert sein; der Bericht oder das Testat darf nicht älter als 12 Monate sein. Erforderlich sind außerdem ein zertifiziertes Qualitätsmanagement nach DIN EN ISO 9001:2015, ein zertifiziertes IT-Sicherheitsmanagement nach DIN EN ISO 27001:2022 sowie zertifizierte IT-Sicherheitskonzepte nach DIN EN ISO 27017 und 27018.

Der Bewerber muss ausschließlich der deutschen Gerichtsbarkeit unterliegen. Erforderlich ist ferner der SAP-Status als Strategic Cloud Infrastructure Partner und Hyperscaler für SAP RISE oder eine Erklärung der SAP AG zu einem entsprechenden, voraussichtlich bis 31.12.2026 erfolgreich abgeschlossenen Zertifizierungs- oder Autorisierungsprozess.

Die B-Kriterien werden mit 100 Punkten bewertet. Die Eigenkapitalquote wird mit bis zu 10 Punkten bewertet: unter 10 Prozent erhalten 0 Punkte, über 10 und unter 20 Prozent 5 Punkte und über 20 Prozent 10 Punkte. Für den Bonitätsnachweis sind Risikoklasse III mit 0 Punkten, Risikoklasse II mit 5 Punkten und Risikoklasse I mit 10 Punkten bewertet.

Eine tendenziell fallende Umsatz- oder Mitarbeiterentwicklung erhält jeweils 0 Punkte, eine gleichbleibende Entwicklung 5 Punkte und eine tendenziell steigende Entwicklung 10 Punkte.

Drei geeignete Referenzen aus den vergangenen drei Jahren sind nachzuweisen. Mindestens eine muss den Betrieb einer SAP-RISE-Umgebung belegen. Je Referenz werden elf Merkmale bewertet: BSI C5 beziehungsweise ISAE 3000/SOC 2, ISO/IEC 27001 einschließlich 27017/27018, BYOK/HYOK, IaaS, PaaS, SaaS/Managed ERP, ausschließlich EU/EWR-Datenhaltung, Verfügbarkeit von mindestens 99,95 % bei 24/7/365 und SAP-RISE-Betrieb.

Je Referenz werden 0 bis 5 Merkmale mit 0 Punkten, 6 bis 8 Merkmale mit 7,5 Punkten und 9 bis 11 Merkmale mit 15 Punkten bewertet. Insgesamt sind maximal 45 Referenzpunkte möglich.

Für zehn Profile ist die berufliche Befähigung nach TLW Anlage 4 nachzuweisen: zwei Projekt- beziehungsweise Servicemanager mit mindestens fünf Jahren IT-Service-Management-Erfahrung, ein Support Lead oder Support Manager mit mindestens drei Jahren Erfahrung in der Leitung oder Koordination von Support- und Service-Teams, zwei Cloud-Architekten mit mindestens drei Jahren IT-Architektur-Erfahrung einschließlich mindestens zwei Jahren Public-Cloud-Architektur, zwei Security-Architekten mit mindestens drei Jahren Informationssicherheits-Erfahrung einschließlich mindestens zwei Jahren Public-Cloud-Sicherheitsarchitektur sowie drei IT-Fachkräfte für Operations und Support mit jeweils mindestens drei Jahren Berufserfahrung.

Die zehn Profile werden einzeln bewertet; insgesamt sind 15 Punkte möglich.

Die Eignung wird festgestellt, wenn alle A-Kriterien uneingeschränkt erfüllt sind und bei den B-Kriterien für wirtschaftliche beziehungsweise finanzielle sowie technische und berufliche Leistungsfähigkeit insgesamt mehr als 65 Eignungspunkte erreicht werden. Bei mehr als drei geeigneten Bewerbern werden die drei Bewerber mit der höchsten Punktzahl zur Angebotsabgabe eingeladen; bei Gleichstand für den dritten Platz entscheidet das Los.

Bei einer Bewerbergemeinschaft sind Ausschlussgründe, Registereintragung sowie wirtschaftliche und finanzielle Leistungsfähigkeit von jedem Mitglied nachzuweisen; technische und berufliche Nachweise können entsprechend der Arbeitsteilung eingereicht werden. Für Unterauftragnehmer sind Teilleistungen, Umfang, Ausschlussgründe und technische Nachweise für die übertragenen Leistungen vorzulegen. Bei einer Eignungsleihe sind die genutzten Nachweise und Erklärungen beizufügen; für die wirtschaftliche und finanzielle Eignungsleihe ist zusätzlich TLW Anlage 7 erforderlich.