Ausschreibungen Berlin
Rahmenvertrag Penetrationstests
degewo AG | Vergabekammer des Landes Berlin | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)Berlin, BerlinVeröffentlicht:
Angebotsfrist:
Zusammenfassung
Automatisch erstellt aus den VergabeunterlagenDie degewo AG (Berliner Wohnungsbauunternehmen) schreibt EU-weit einen Rahmenvertrag für Penetrationstests und ergänzende Sicherheitsanalysen ihrer IT-Systeme und Anwendungen aus.
Bieter müssen Konzepte (8–10 Seiten) zu Testansatz, Reporting, Risikominimierung und Projektmanagement vorlegen, Personentagessätze für drei Rollen (Senior Consultant, Consultant, Junior Consultant) anbieten und nachweisen, dass sie die personellen und versicherungstechnischen Anforderungen erfüllen.
Angebote sind bis zum 22.09.2026, 10:00 Uhr, ausschließlich elektronisch über die Vergabeplattform einzureichen.
Zeitplan & Fristen
Aus den Vergabeunterlagen extrahiertTermin / FristSEP2026 MÄR SEP MÄR SEP MÄR SEP MÄR SEP
Bieterfragen-Frist15. Sep. 2026
Angebotsfrist22. Sep. 2026
Angebotsöffnung22. Sep. 2026
Bindefrist22. Sep. – 30. Nov. 2026
Vertragsbeginn1. Dez. 2026
Vertragslaufzeit (Mindestdauer)1. Dez. 2026 – 30. Nov. 2027
Verlängerung 1ca. 1. Dez. 2027 – 30. Nov. 2028
Verlängerung 2ca. 1. Dez. 2028 – 30. Nov. 2029
Verlängerung 3ca. 1. Dez. 2029 – 30. Nov. 2030
Vertragsende (max.)ca. 30. Nov. 2030
KündigungsfristDatum offen3 Monate zum Ablauf eines Kalendermonats; frühestens zum Ende der 12-monatigen Mindestvertragsdauer.
ZahlungszielDatum offenRechnungen sind monatlich fällig bis zum 15. des auf die Leistungserbringung folgenden Monats; elektronisch an rechnungen@degewo.de.
ServicezeitenDatum offenRegelarbeitszeit Mo–Fr 08:00–17:00 Uhr (außer Berliner Feiertage); Zuschläge 17:00–22:00 möglich, jedoch nicht wertungsrelevant.
vor Angebotsabgabenach Angebotsabgabegeschätzt
Zuschlagskriterien
Gewichtung laut VergabeunterlagenPreis & Qualität8 Kriterien
Preis 65.2%Qualität 34.7%
- Preis60%
Bewertung des Gesamtpreises (netto) auf Basis der im Preisblatt angegebenen indikativen Personentage (120 PT) und Personentagessätze. Bestpreis erhält 120 Punkte, übrige Angebote linear proportional.
- Qualität40%
Bewertung der vom Bieter eingereichten Konzepte, Nachweise und Antworten zu den qualitativen Bewertungskriterien anhand einer fünfstufigen Skala.
Preis: Punkte Preis = (Bestpreis / Angebotspreis) × 120 (linear, keine Deckelung). Qualität: Punkte = Maximalpunkte × Faktor (Faktor: 1,0=sehr gut, 0,75=gut, 0,5=teilweise, 0,25=gering, 0=nicht erfüllt). Gesamtwertung = Preispunkte + Qualitätspunkte (max. 200).
KI-Hinweis: Alle Zuschlagskriterien (Preis 60%, Qualität 40%) mit Gewichtungen, Unterkriterien, Maximalpunkten und Bewertungsformel sind vollständig dokumentiert.
Leistungsumfang
Aus den VergabeunterlagenTestarten und Umfang
Der Auftragnehmer übernimmt folgende Testarten (Mengen und Schwerpunkte gemäß Leistungsbeschreibung):
Externe Infrastruktur (Blackbox): bis zu 40 extern erreichbare IP-Adressen – Analyse von Ports/Diensten, Schnittstellen, Schutzmechanismen, Fehlkonfigurationen, Schwachstellen und reale AngriffsnachstellungInterne Infrastruktur (Greybox): ca. 350 Server, 1.100 Clients, 80 VLANs – Rollen/Berechtigungen, Authentifizierung/Autorisierung, API-Endpoints, Session- und Token-Sicherheit, Schwachstellenanalyse (vor Ort + remote)WLAN-Netzwerke: 4 SSIDs – Standards, Authentifizierung, Segmentierung, Client-Isolation, Verschlüsselung, Management-Schnittstellen, Firmwarestand, inkl. Vor-Ort-SignalvermessungHardening-Check (Whitebox): 5 exemplarische Systeme (Linux/Windows Server, Windows Client) – Abgleich mit CIS-Benchmarks und Best PracticesMobile Applikationen: 4 Apps (Android/iOS) – dynamische Analyse, Datenschutz, Kryptographie, Authentifizierung, Reverse EngineeringWebanwendungen/Webservices: 5 Web-Apps, REST-APIs, SOAP-Services – Authentifizierung, Autorisierung, Session-Management, Injection-Angriffe, Konfigurationssicherheit
Zusätzliche Leistungen und Abwicklung
Jährliches Maximalvolumen: ca. 120 Personentage (unverbindliche Planungsgrundlage, keine Mindestabnahme)Optionale Leistungen auf Anforderung: SAP-Penetrationstests, Cloud-Security-Assessments, Mobile-App-Pentests, Source-Code-Reviews, Red-Teaming, Social-Engineering, OT-/IoT-SicherheitsprüfungenLeistungserbringung: remote oder vor Ort nach Absprache; vor Ort am Standort Potsdamer Str. 60, 10785 BerlinPhasen je Einzelabruf: Vorbereitung 2–4 Wochen, Testphase 4–6 Wochen, Auswertung/Reporting ca. 4 WochenMethodik: nach BSI-Durchführungskonzept, OWASP, CIS, BSI IT-Grundschutz, NISTReporting: nachvollziehbare Dokumentation, Beispielberichte je Testart in Deutsch, Risikobewertung mit CVSS und kontextbezogener Priorisierung, konkrete Maßnahmen zur RisikominimierungErgänzend: Vorschläge für weitere Tests mit nachvollziehbarem Mehrwert sind möglichKeine Lose: Die Ausschreibung ist nicht in Lose aufgeteilt.
Eignungskriterien
Geforderte Nachweise laut VergabeunterlagenPersönliche Eignung – Ausschlussgründe
Bieter dürfen nicht von Ausschlussgründen betroffen sein:
Keine schweren Verfehlungen (relevante Straftatbestände, Freiheitsstrafe > 3 Monate oder Geldstrafe > 90 Tagessätze in den letzten 2 Jahren)Keine Verstöße gegen Schwarzarbeitsbekämpfungsgesetz, AEntG oder MiLoG (Geldbuße ab 2.500 EUR)Kein Eintrag im Wettbewerbsregister (Bundeskartellamt)Kein eröffnetes/beantragtes Insolvenzverfahren, nicht in LiquidationGewerberechtliche Voraussetzungen erfülltKeine Personen/Unternehmen mit Bezug zu Russland gemäß EU-VO 833/2014
Wirtschaftliche und finanzielle Eignung
Betriebshaftpflichtversicherung: Nachweis mit mindestens 3.000.000 EUR Deckungssumme (Ausschlusskriterium bei Fehlen)Steuern & Abgaben: Eigenerklärung oder Unbedenklichkeitsbescheinigung des Finanzamts (max. 1 Jahr alt am 22.09.2026)Sozialversicherung: Eigenerklärung zur ordnungsgemäßen Anmeldung und Beitragserfüllung bei Krankenkasse und Berufsgenossenschaft (oder Bescheinigung)Alternativ: Gültige ULV-Eintragung (Senatsverwaltung Berlin / Auftragsberatungsstelle BB/Sachsen/Sachsen-Anhalt/MV) oder PQ-Eintragung ersetzt die vorgenannten EigenerklärungenBankerklärung: Kann vor Zuschlagserteilung angefordert werden
Fachliche Eignung – Personal
Mindest-Personalstärke:
Mindestens 3 PenetrationstesterMindestens 1 Projektmanager
Erfahrung der Penetrationstester:
Mindestens 3 Jahre praktische Erfahrung in der Durchführung von Penetrationstests
Zertifizierungen (Ausschlusskriterium bei Fehlen): Jeder Pentester muss mindestens eine der folgenden Zertifizierungen nachweisen:
OSCP oder OSCP+HTB CAPEOSWEGIAC/SANS (z. B. GPEN/CREST)CompTIADas Team muss in Summe die Kompetenzen für alle geforderten Testarten (Infrastruktur, Mobile, Web) abdecken
Sprachkenntnisse (Ausschlusskriterium): Deutsch mindestens GER-Niveau C1 für das gesamte vorgesehene Personal – inklusive Projektleitung und Vertretung.
Referenzen
Mindestens 2 vergleichbare Referenzen aus den letzten 5 Kalenderjahren (2021–2025)Erfolgreich beendet oder seit mindestens 2 Jahren laufendJeweils mindestens 50.000 EUR AuftragsvolumenLeistung muss Penetrationstests umfassenIdealerweise Erfahrung in der Immobilienwirtschaft oder vergleichbaren regulierten BranchenReferenzen müssen vom eigenen Unternehmen oder dessen Rechtsvorgänger erbracht worden sein (keine Mitarbeiter-Referenzen aus früheren Anstellungen)
Konzept und Berichtswesen
Vorlage eines Konzepts (max. 8–10 Seiten), das die folgenden Punkte behandelt:
Scope & Testansatz mit eingesetzten Tools und Methoden (Infrastruktur, Web, APIs, Apps)Risikobewertung mit CVSS und kontextbezogener Priorisierung, ReportingstrukturUmgang mit produktiven Systemen, Minimierung von Betriebsrisiken, Testfenster, EskalationOrganisatorische Einbindung: Stakeholder-Management, Freigabeprozesse, KommunikationskonzeptProjektmanagement: fester Projektleiter inkl. Vertretung, Status-Updates, Zusammenarbeit via MS TeamsVorgehen nach Standards (BSI, OWASP, CIS, BSI IT-Grundschutz, NIST)Detaillierte Projekt- und Testplanung unter Berücksichtigung von AbhängigkeitenBeispielberichte je Testart (Infrastruktur, Mobile, Webapplikationen) in Deutsch
Datenschutz, Compliance und soziale Standards
Datenschutz/Geheimhaltung: Verpflichtungserklärung zur Einhaltung von DSGVO und GeschGehG; Abschluss eines Auftragsverarbeitungsvertrags (AVV) mit technisch-organisatorischen MaßnahmenFrauenförderung: Verpflichtungserklärung erforderlich ab Auftragswert 25.000 EUR netto und mehr als 10 BeschäftigtenILO-Kernarbeitsnormen: Erklärung erforderlich ab Auftragswert 10.000 EUR nettoLieferkettensorgfaltspflichtengesetz (LkSG): Erklärung über Einhaltung der Sorgfaltspflichten (inkl. Angabe des NACE-Codes)Mindestlohn/Tariftreue: Eigenerklärung zur Einhaltung von MiLoG, AEntG und BerlAVG
Ausschlusskriterien (Übersicht)
Ein Angebot wird unabhängig von der Konzeptqualität ausgeschlossen, wenn folgende Nachweise fehlen:
Referenzen bzw. gefordertes AuftragsvolumenDeutschniveau C1 beim FachpersonalZertifizierung des FachpersonalsVersicherungsnachweise (Betriebshaftpflicht, mind. 3 Mio. EUR)
Hinweise zu Bietergemeinschaften und Unterauftragnehmern
Bietergemeinschaften: Erklärung aller Mitglieder in Textform, von allen unterzeichnet (bevollmächtigter Vertreter, Gesamtschuldnerhaftung). Alle Eignungsnachweise sind auch von allen Mitgliedern einzureichen.Unterauftragnehmer: Art und Umfang der Leistungen im Angebot angeben; bei Nachweis der Eignung über Nachunternehmer: Erklärung des Nachunternehmers über Zurverfügungstellung der Mittel erforderlich.Verbindene Unternehmen: Gleiche Anforderungen wie für Bietergemeinschaften.
Referenzprojekte
mindestens 2 ReferenzenZeitraum: letzte 5 Kalenderjahre (2021–2025), erfolgreich beendet oder seit mind. 2 Jahren laufendVolumen: jeweils mind. 50.000 EUR Auftragsvolumen
Vergleichbare Referenzen über Penetrationstests
Leistung muss Penetrationstests umfassen; idealerweise Erfahrung in Immobilienwirtschaft oder vergleichbar regulierten Branchen; Pflichtangaben je Referenz: Projektbezeichnung, Auftraggeber (Adresse, Ansprechpartner, Telefon, E-Mail), Art und Umfang der Leistungen, Leistungszeitraum; Referenzen müssen vom eigenen Unternehmen (oder Rechtsvorgänger) erbracht worden sein
KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.
Wettbewerb & Angebotsprognose
Erwartete Konkurrenz auf Basis vergleichbarer Vergaben1–3Angebote erwartet
Median vergleichbarer Vergaben: rund 2 Angebote
Wahrscheinliche Bieterzahl
1–3 · 41%4–10 · 28%11+ · 32%
Checkliste zur AngebotsabgabeKonkrete Schritte laut Vergabeunterlagen0 von 28 erledigt
Formale Angebotsunterlagen
Eignung & Referenzen
Technisches Konzept
Preisblatt & Preisangaben
Datenschutz & Compliance
Bietergemeinschaften & Unterauftragnehmer
Bieterfragen
Mit TendiGo
Finden Sie weitere passende Ausschreibungen und prüfen Sie mit KI, ob Ihr Unternehmen die Anforderungen erfüllt.
Zur Original-Ausschreibung ↗Auf einen Blick
Auftraggeber
degewo AG | Vergabekammer des Landes Berlin | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)
Anschrift
10785 Berlin
Ort
10785 Berlin
Kategorie
Berlin
Veröffentlicht
Angebotsfrist
Auftraggeber-Website
www.degewo.de ↗Erfüllungsort
Ort der Leistung
10785 Berlin
Berlin
Weitere Ausschreibungen Berlin
Alle anzeigen →Berlin
Technisch-wirtschaftlicher Vergleich von Wärmeversorgungssystemen für Berliner Bestandsgebäude
BEN Berlin Energie und Netzholding GmbH · 10829 BerlinFrist: BerlinFassadenarbeiten
GESOBAU AG · 13187 BerlinFrist: BerlinEnergiemanagementsystem
Berliner Hochschule fuer Technik · 13353 BerlinFrist: BerlinGraffitientfernung 2027 ff.
Gruen Berlin GmbH · 10963 Berlin KreuzbergFrist: Berlin210.04_Herrichten, Freimachen Standort Wollenberger Str.
Senatsverwaltung fuer Stadtentwicklung, Bauen und Wohnen · 10707 BerlinFrist: BerlinVerlängerung Swyx Flex Lizenzen
Forschungsverbund Berlin e.V. · Leibniz- Institut für Zoo- und Wildtierforschung im Forschungsverbund Berlin e.V. Alfred-Kowalke-Straße 17 10315 BerlinFrist:Bereit für die Zukunft der Vergabe?
Setzen Sie auf den neuen technologischen Standard und verschaffen Sie sich den entscheidenden Vorsprung in der Auftragsakquise.
806+ VergabequellenMit Experten entwickeltSofort einsatzbereit