TendiGo
Jetzt starten →
Ausschreibungen Berlin

Rahmenvertrag Penetrationstests

degewo AG | Vergabekammer des Landes Berlin | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)Berlin, BerlinVeröffentlicht:
Angebotsfrist: heute

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Die degewo AG (Berliner Wohnungsbauunternehmen) schreibt EU-weit einen Rahmenvertrag für Penetrationstests und ergänzende Sicherheitsanalysen ihrer IT-Systeme und Anwendungen aus.

Bieter müssen Konzepte (8–10 Seiten) zu Testansatz, Reporting, Risikominimierung und Projektmanagement vorlegen, Personentagessätze für drei Rollen (Senior Consultant, Consultant, Junior Consultant) anbieten und nachweisen, dass sie die personellen und versicherungstechnischen Anforderungen erfüllen.

Angebote sind bis zum 22.09.2026, 10:00 Uhr, ausschließlich elektronisch über die Vergabeplattform einzureichen.

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert
Noch 0 Tage bis zur Angebotsfrist — 22. September 2026
HEUTE
Termin / FristSEP2026 MÄR SEP MÄR SEP MÄR SEP MÄR SEP
Bieterfragen-Frist15. Sep. 2026
Angebotsfrist22. Sep. 2026
Angebotsöffnung22. Sep. 2026
Bindefrist22. Sep. – 30. Nov. 2026
Vertragsbeginn1. Dez. 2026
Vertragslaufzeit (Mindestdauer)1. Dez. 2026 – 30. Nov. 2027
Verlängerung 1ca. 1. Dez. 2027 – 30. Nov. 2028
Verlängerung 2ca. 1. Dez. 2028 – 30. Nov. 2029
Verlängerung 3ca. 1. Dez. 2029 – 30. Nov. 2030
Vertragsende (max.)ca. 30. Nov. 2030
KündigungsfristDatum offen3 Monate zum Ablauf eines Kalendermonats; frühestens zum Ende der 12-monatigen Mindestvertragsdauer.
ZahlungszielDatum offenRechnungen sind monatlich fällig bis zum 15. des auf die Leistungserbringung folgenden Monats; elektronisch an rechnungen@degewo.de.
ServicezeitenDatum offenRegelarbeitszeit Mo–Fr 08:00–17:00 Uhr (außer Berliner Feiertage); Zuschläge 17:00–22:00 möglich, jedoch nicht wertungsrelevant.
vor Angebotsabgabenach Angebotsabgabegeschätzt

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen
Preis & Qualität8 Kriterien
Preis 65.2%Qualität 34.7%
  • Preis60%

    Bewertung des Gesamtpreises (netto) auf Basis der im Preisblatt angegebenen indikativen Personentage (120 PT) und Personentagessätze. Bestpreis erhält 120 Punkte, übrige Angebote linear proportional.

  • Qualität40%

    Bewertung der vom Bieter eingereichten Konzepte, Nachweise und Antworten zu den qualitativen Bewertungskriterien anhand einer fünfstufigen Skala.

Preis: Punkte Preis = (Bestpreis / Angebotspreis) × 120 (linear, keine Deckelung). Qualität: Punkte = Maximalpunkte × Faktor (Faktor: 1,0=sehr gut, 0,75=gut, 0,5=teilweise, 0,25=gering, 0=nicht erfüllt). Gesamtwertung = Preispunkte + Qualitätspunkte (max. 200).

KI-Hinweis: Alle Zuschlagskriterien (Preis 60%, Qualität 40%) mit Gewichtungen, Unterkriterien, Maximalpunkten und Bewertungsformel sind vollständig dokumentiert.

Leistungsumfang

Aus den Vergabeunterlagen

Testarten und Umfang

Der Auftragnehmer übernimmt folgende Testarten (Mengen und Schwerpunkte gemäß Leistungsbeschreibung):

Externe Infrastruktur (Blackbox): bis zu 40 extern erreichbare IP-Adressen – Analyse von Ports/Diensten, Schnittstellen, Schutzmechanismen, Fehlkonfigurationen, Schwachstellen und reale AngriffsnachstellungInterne Infrastruktur (Greybox): ca. 350 Server, 1.100 Clients, 80 VLANs – Rollen/Berechtigungen, Authentifizierung/Autorisierung, API-Endpoints, Session- und Token-Sicherheit, Schwachstellenanalyse (vor Ort + remote)WLAN-Netzwerke: 4 SSIDs – Standards, Authentifizierung, Segmentierung, Client-Isolation, Verschlüsselung, Management-Schnittstellen, Firmwarestand, inkl. Vor-Ort-SignalvermessungHardening-Check (Whitebox): 5 exemplarische Systeme (Linux/Windows Server, Windows Client) – Abgleich mit CIS-Benchmarks und Best PracticesMobile Applikationen: 4 Apps (Android/iOS) – dynamische Analyse, Datenschutz, Kryptographie, Authentifizierung, Reverse EngineeringWebanwendungen/Webservices: 5 Web-Apps, REST-APIs, SOAP-Services – Authentifizierung, Autorisierung, Session-Management, Injection-Angriffe, Konfigurationssicherheit

Zusätzliche Leistungen und Abwicklung

Jährliches Maximalvolumen: ca. 120 Personentage (unverbindliche Planungsgrundlage, keine Mindestabnahme)Optionale Leistungen auf Anforderung: SAP-Penetrationstests, Cloud-Security-Assessments, Mobile-App-Pentests, Source-Code-Reviews, Red-Teaming, Social-Engineering, OT-/IoT-SicherheitsprüfungenLeistungserbringung: remote oder vor Ort nach Absprache; vor Ort am Standort Potsdamer Str. 60, 10785 BerlinPhasen je Einzelabruf: Vorbereitung 2–4 Wochen, Testphase 4–6 Wochen, Auswertung/Reporting ca. 4 WochenMethodik: nach BSI-Durchführungskonzept, OWASP, CIS, BSI IT-Grundschutz, NISTReporting: nachvollziehbare Dokumentation, Beispielberichte je Testart in Deutsch, Risikobewertung mit CVSS und kontextbezogener Priorisierung, konkrete Maßnahmen zur RisikominimierungErgänzend: Vorschläge für weitere Tests mit nachvollziehbarem Mehrwert sind möglichKeine Lose: Die Ausschreibung ist nicht in Lose aufgeteilt.

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Persönliche Eignung – Ausschlussgründe

Bieter dürfen nicht von Ausschlussgründen betroffen sein:

Keine schweren Verfehlungen (relevante Straftatbestände, Freiheitsstrafe > 3 Monate oder Geldstrafe > 90 Tagessätze in den letzten 2 Jahren)Keine Verstöße gegen Schwarzarbeitsbekämpfungsgesetz, AEntG oder MiLoG (Geldbuße ab 2.500 EUR)Kein Eintrag im Wettbewerbsregister (Bundeskartellamt)Kein eröffnetes/beantragtes Insolvenzverfahren, nicht in LiquidationGewerberechtliche Voraussetzungen erfülltKeine Personen/Unternehmen mit Bezug zu Russland gemäß EU-VO 833/2014

Wirtschaftliche und finanzielle Eignung

Betriebshaftpflichtversicherung: Nachweis mit mindestens 3.000.000 EUR Deckungssumme (Ausschlusskriterium bei Fehlen)Steuern & Abgaben: Eigenerklärung oder Unbedenklichkeitsbescheinigung des Finanzamts (max. 1 Jahr alt am 22.09.2026)Sozialversicherung: Eigenerklärung zur ordnungsgemäßen Anmeldung und Beitragserfüllung bei Krankenkasse und Berufsgenossenschaft (oder Bescheinigung)Alternativ: Gültige ULV-Eintragung (Senatsverwaltung Berlin / Auftragsberatungsstelle BB/Sachsen/Sachsen-Anhalt/MV) oder PQ-Eintragung ersetzt die vorgenannten EigenerklärungenBankerklärung: Kann vor Zuschlagserteilung angefordert werden

Fachliche Eignung – Personal

Mindest-Personalstärke:

Mindestens 3 PenetrationstesterMindestens 1 Projektmanager

Erfahrung der Penetrationstester:

Mindestens 3 Jahre praktische Erfahrung in der Durchführung von Penetrationstests

Zertifizierungen (Ausschlusskriterium bei Fehlen): Jeder Pentester muss mindestens eine der folgenden Zertifizierungen nachweisen:

OSCP oder OSCP+HTB CAPEOSWEGIAC/SANS (z. B. GPEN/CREST)CompTIADas Team muss in Summe die Kompetenzen für alle geforderten Testarten (Infrastruktur, Mobile, Web) abdecken

Sprachkenntnisse (Ausschlusskriterium): Deutsch mindestens GER-Niveau C1 für das gesamte vorgesehene Personal – inklusive Projektleitung und Vertretung.

Referenzen

Mindestens 2 vergleichbare Referenzen aus den letzten 5 Kalenderjahren (2021–2025)Erfolgreich beendet oder seit mindestens 2 Jahren laufendJeweils mindestens 50.000 EUR AuftragsvolumenLeistung muss Penetrationstests umfassenIdealerweise Erfahrung in der Immobilienwirtschaft oder vergleichbaren regulierten BranchenReferenzen müssen vom eigenen Unternehmen oder dessen Rechtsvorgänger erbracht worden sein (keine Mitarbeiter-Referenzen aus früheren Anstellungen)

Konzept und Berichtswesen

Vorlage eines Konzepts (max. 8–10 Seiten), das die folgenden Punkte behandelt:

Scope & Testansatz mit eingesetzten Tools und Methoden (Infrastruktur, Web, APIs, Apps)Risikobewertung mit CVSS und kontextbezogener Priorisierung, ReportingstrukturUmgang mit produktiven Systemen, Minimierung von Betriebsrisiken, Testfenster, EskalationOrganisatorische Einbindung: Stakeholder-Management, Freigabeprozesse, KommunikationskonzeptProjektmanagement: fester Projektleiter inkl. Vertretung, Status-Updates, Zusammenarbeit via MS TeamsVorgehen nach Standards (BSI, OWASP, CIS, BSI IT-Grundschutz, NIST)Detaillierte Projekt- und Testplanung unter Berücksichtigung von AbhängigkeitenBeispielberichte je Testart (Infrastruktur, Mobile, Webapplikationen) in Deutsch

Datenschutz, Compliance und soziale Standards

Datenschutz/Geheimhaltung: Verpflichtungserklärung zur Einhaltung von DSGVO und GeschGehG; Abschluss eines Auftragsverarbeitungsvertrags (AVV) mit technisch-organisatorischen MaßnahmenFrauenförderung: Verpflichtungserklärung erforderlich ab Auftragswert 25.000 EUR netto und mehr als 10 BeschäftigtenILO-Kernarbeitsnormen: Erklärung erforderlich ab Auftragswert 10.000 EUR nettoLieferkettensorgfaltspflichtengesetz (LkSG): Erklärung über Einhaltung der Sorgfaltspflichten (inkl. Angabe des NACE-Codes)Mindestlohn/Tariftreue: Eigenerklärung zur Einhaltung von MiLoG, AEntG und BerlAVG

Ausschlusskriterien (Übersicht)

Ein Angebot wird unabhängig von der Konzeptqualität ausgeschlossen, wenn folgende Nachweise fehlen:

Referenzen bzw. gefordertes AuftragsvolumenDeutschniveau C1 beim FachpersonalZertifizierung des FachpersonalsVersicherungsnachweise (Betriebshaftpflicht, mind. 3 Mio. EUR)

Hinweise zu Bietergemeinschaften und Unterauftragnehmern

Bietergemeinschaften: Erklärung aller Mitglieder in Textform, von allen unterzeichnet (bevollmächtigter Vertreter, Gesamtschuldnerhaftung). Alle Eignungsnachweise sind auch von allen Mitgliedern einzureichen.Unterauftragnehmer: Art und Umfang der Leistungen im Angebot angeben; bei Nachweis der Eignung über Nachunternehmer: Erklärung des Nachunternehmers über Zurverfügungstellung der Mittel erforderlich.Verbindene Unternehmen: Gleiche Anforderungen wie für Bietergemeinschaften.
Referenzprojekte
mindestens 2 ReferenzenZeitraum: letzte 5 Kalenderjahre (2021–2025), erfolgreich beendet oder seit mind. 2 Jahren laufendVolumen: jeweils mind. 50.000 EUR Auftragsvolumen

Vergleichbare Referenzen über Penetrationstests

Leistung muss Penetrationstests umfassen; idealerweise Erfahrung in Immobilienwirtschaft oder vergleichbar regulierten Branchen; Pflichtangaben je Referenz: Projektbezeichnung, Auftraggeber (Adresse, Ansprechpartner, Telefon, E-Mail), Art und Umfang der Leistungen, Leistungszeitraum; Referenzen müssen vom eigenen Unternehmen (oder Rechtsvorgänger) erbracht worden sein

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.

Wettbewerb & Angebotsprognose

Erwartete Konkurrenz auf Basis vergleichbarer Vergaben
1–3Angebote erwartet
Median vergleichbarer Vergaben: rund 2 Angebote
Geringe Konkurrenz
Wahrscheinliche Bieterzahl
1–3 · 41%4–10 · 28%11+ · 32%
Checkliste zur AngebotsabgabeKonkrete Schritte laut Vergabeunterlagen0 von 28 erledigt
Formale Angebotsunterlagen
Eignung & Referenzen
Technisches Konzept
Preisblatt & Preisangaben
Datenschutz & Compliance
Bietergemeinschaften & Unterauftragnehmer
Bieterfragen
Mit TendiGo
Finden Sie weitere passende Ausschreibungen und prüfen Sie mit KI, ob Ihr Unternehmen die Anforderungen erfüllt.
Zur Original-Ausschreibung ↗

Auf einen Blick

Auftraggeber
degewo AG | Vergabekammer des Landes Berlin | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)
Anschrift
10785 Berlin
Ort
10785 Berlin
Kategorie
Berlin
Veröffentlicht
Angebotsfrist
Auftraggeber-Website
www.degewo.de ↗

Erfüllungsort

Ort der Leistung
10785 Berlin
Berlin

Weitere Ausschreibungen Berlin

Alle anzeigen →
Berlin

Dachklempnerarbeiten

degewo Köpenicker Wohnungsgesellschaft mbH · BerlinFrist: noch 35 TageBerlin

Lieferung eines Standautoklaven

Forschungsverbund Berlin e.V. · BerlinFrist: noch 14 TageBerlin

Starkstromtechnik, CBF, Geb. 5013

Charité - Universitätsmedizin Berlin · BerlinFrist: noch 17 TageBerlin

Wiederkehrende Prüfungen Hydranten

Messe Berlin GmbH · BerlinFrist: noch 16 TageBerlin

Außenanlagen Spielplatzbau

degewo Aktiengesellschaft · BerlinFrist: noch 44 TageBerlin

Standortentwicklungskonzept und Bedarfsprogramm Schulerweiterungsbau Heinrich-von-Stephan-Gemeinschaftsschule

Bezirksamt Mitte von Berlin, Stadtentwicklungsamt, FB Stadtplanung · BerlinFrist: noch 14 Tage

Bereit für die Zukunft der Vergabe?

Setzen Sie auf den neuen technologischen Standard und verschaffen Sie sich den entscheidenden Vorsprung in der Auftragsakquise.

806+ VergabequellenMit Experten entwickeltSofort einsatzbereit