Recovery Retainer

Die Wiederherstellung umfasst Microsoft Active Directory, DNS, Veeam Backup & Replication, Microsoft Hyper-V sowie Microsoft SQL Server mit Failover Cluster Instances und AlwaysOn Availability Groups.

Erfasst wird außerdem die für den Betrieb und die Wiederherstellung dieser Dienste erforderliche Netzwerk- und Sicherheitsinfrastruktur, insbesondere Layer-3-Konnektivität, Routing, relevante Firewalls sowie zugehörige Routing-, NAT- und Firewall-Regelwerke.

Nach Beauftragung ist innerhalb von 21 Kalendertagen ein Onboarding-Kick-off mit bestätigtem Protokoll durchzuführen. Es umfasst die Abstimmung der Zusammenarbeit, Kommunikationsstrukturen, Eskalationswege, Rollen sowie der organisatorischen und technischen Rahmenbedingungen.

Innerhalb von 21 Kalendertagen nach dem Kick-off ist ein Initial Readiness Assessment bereitzustellen. Dieses bewertet die vorhandene IT-Infrastruktur, Prozesse, Dokumentation und Notfallvorsorge und identifiziert Risiken, Abhängigkeiten und Verbesserungsmöglichkeiten. Dabei sind insbesondere DR- und Backup-Konzepte zu prüfen, Abhängigkeiten zu ermitteln, Eskalationswege festzulegen und der Notfallzugang einzurichten.

Ab dem Service Commencement Date ist eine deutschsprachige Notfallhotline mit deutscher Telefonnummer durchgehend 24 Stunden an sieben Tagen pro Woche und 365 Tage pro Jahr bereitzustellen. Die Hotline ist während der vereinbarten Servicezeiten durch eine fachkundige Person innerhalb von 120 Sekunden aufzunehmen; Zielwert ist eine Pick-up Time von mindestens 99,5 Prozent.

Die Hotline ist halbjährlich zu testen. Die Kontakt- und Eskalationsliste ist mindestens quartalsweise zu aktualisieren. Zugänge und Notfallzugänge sind jährlich zu testen.

Nach einer qualifizierten Notfallmeldung wird der Eingang innerhalb von 30 Minuten in Textform bestätigt. Remote-Support muss innerhalb von 2 Stunden beginnen; das Vor-Ort-Team muss innerhalb von 6 Stunden in Mainz eintreffen.

Ein Recovery Lead ist innerhalb von 60 Minuten zu benennen. Innerhalb von 4 Stunden ist eine deutschsprachige Recovery-Strategie mit priorisierten Recovery-Wellen, technischen und organisatorischen Abhängigkeiten, Zuständigkeiten, Reihenfolge der wiederherzustellenden Systeme, Backup-Integritätsprüfung, klinischer Validierung für den Mindestbetrieb, Zeitplanung und relevanten Risiken vorzulegen.

Die Leistung ist durch ein Recovery-Team mit festgelegten Rollen sicherzustellen. Vorgesehen sind ein Recovery Lead, ein Backup Spezialist, ein Datenbank Spezialist, drei Netzwerk Spezialisten Senior und drei System Spezialisten Senior für Windows und Linux.

Das Team muss die Wiederherstellung, Fehler- und Ursachenanalyse, Unterstützung eines Clean Rebuild, die Integritätsprüfung und Wiederinbetriebnahme von Datenbanken, den Wiederaufbau von Servern und Applikationen sowie VLANs, Routing, Firewalls, VPN und Segmentierung abdecken. Direkter Kontakt mit der Auftraggeberin muss auf Deutsch mit einem Sprachniveau von mindestens C1 erfolgen.

Während der aktiven Recovery-Phase sind mindestens alle vier Stunden Status- und Lageberichte bereitzustellen. Diese umfassen den Wiederherstellungsstatus, abgeschlossene und laufende Maßnahmen, Risiken, Hindernisse, nächste Schritte und Auswirkungen auf die Wiederanlaufziele.

Kritische Risiken, fehlgeschlagene Wiederherstellungen, nicht verfügbare oder beschädigte Backups, fehlende Ressourcen und erhebliche Verzögerungen sind innerhalb von 30 Minuten zu eskalieren. Innerhalb von 14 Kalendertagen nach Abschluss der Wiederherstellung ist ein Lessons-Learned-Report mit Ursachen, Verlauf, Wirksamkeit der Maßnahmen und konkreten Handlungsempfehlungen vorzulegen.

Die Service Levels sind möglichst automatisiert, objektiv, revisionssicher und prüfbar zu messen und zu dokumentieren. Messdaten, Datenquellen, Zeitstempel und Berechnungen müssen nachvollziehbar sein. Auf Anfrage ist innerhalb von 14 Kalendertagen ein detaillierter Service-Level-Bericht bereitzustellen.

Die Verantwortung für die Einhaltung der Service Levels gilt auch bei Einsatz von Unterauftragnehmern und Cloud-Komponenten. Bei absehbaren SLA-Verfehlungen ist die Auftraggeberin unverzüglich zu informieren.

Der Notfallzugang ist über freigegebene PAM-Lösungen beziehungsweise Jump Hosts mit MFA zu organisieren. Rollen, Freigaben, sichere Aufbewahrung, Ausfall der primären Authentifizierung und Protokollierung sind zu regeln. Remote-Wartung ist revisionssicher in einem elektronischen Ticketsystem zu dokumentieren.

Bei Beendigung ist die Übergabe an einen möglichen Nachfolgedienstleister zu unterstützen, Zugangsdaten zurückzugeben, Daten zu löschen oder zurückzugeben und die erstellte Dokumentation einschließlich Service-Level-Berichten und Messdaten zu übergeben. Die Transition ist spätestens drei Monate vor dem planmäßigen Vertragsende einzuleiten; die Überleitungsunterstützung kann bis zu drei Monate dauern.

Mindestens eine Eignungsreferenz ist erforderlich. Sie muss einen tatsächlichen Einsatz zur Systemwiederherstellung für die Zielleistung belegen, nach dem 01.01.2020 abgeschlossen worden sein und in einem KRITIS-relevanten Unternehmen in Deutschland stattgefunden haben. Alternativ ist ein gleichwertiges Unternehmen im EWR mit nachvollziehbarem Nachweis der Gleichwertigkeit hinsichtlich regulatorischer Anforderungen und Versorgungs- beziehungsweise Leistungsindikator nach BSI-KritisV zulässig.

Optional können bis zu zwei weitere Referenzen eingereicht werden. Zusätzliche Referenzen werden mit maximal 20 Punkten bewertet.

Erforderlich sind insgesamt neun Schlüsselpersonen: 1 Recovery Lead, 1 Backup Spezialist, 1 Datenbank Spezialist, 3 Netzwerk Spezialisten Senior und 3 System Spezialisten Senior.

Das Personal muss im Notfall vorrangig und uneingeschränkt verfügbar sein. Für den direkten Kontakt mit der Auftraggeberin ist Deutsch mit mindestens C1 erforderlich. Eine deutschsprachige Notfallhotline mit deutscher Telefonnummer und Rufbereitschaft 24/7/365 muss sichergestellt sein.

Der Bieter muss über mindestens 50 technische IT-Fachkräfte in Vollzeitäquivalenten für Disaster Recovery, Rechenzentrumsbetrieb oder IT-Operations verfügen. Dies ist mit einer Eigenerklärung nachzuweisen.

Der Mindestnettoumsatz beträgt 1.400.000 Euro in jedem der letzten drei abgeschlossenen Geschäftsjahre. Eine Betriebshaftpflichtversicherung muss ungekündigt bestehen und je Versicherungsfall mindestens 1.500.000 Euro für Personenschäden, 1.500.000 Euro für Sachschäden und 1.500.000 Euro für Vermögensschäden einschließlich Datenverlust und Cyberdeckung abdecken.

Es ist ein ISMS nach ISO/IEC 27001:2022 oder eine gültige Folgenorm nachzuweisen. Der Geltungsbereich muss Disaster Recovery und IT-Operations umfassen. Zertifikat, Auditbericht oder gleichwertige Nachweise sind zulässig.

Die Verarbeitung personenbezogener Daten einschließlich Gesundheitsdaten ist ausschließlich innerhalb der EU beziehungsweise des EWR zulässig. Der Zugang muss über freigegebene PAM-Lösungen beziehungsweise Jump Hosts mit MFA und über einen geregelten Notfallzugang erfolgen.

Zusätzlich können folgende Fähigkeiten mit insgesamt maximal 40 Punkten bewertet werden:

Zertifizierungen und gleichwertige Partnerstatus sind durch Zertifikat, Auditbericht oder eine Darlegung der inhaltlichen Übereinstimmung nachzuweisen.

Es darf kein Ausschlussgrund nach den einschlägigen Vergabevorschriften bestehen. Gegebenenfalls sind Selbstreinigungsmaßnahmen, der zugrunde liegende Sachverhalt und deren Nachweis zu erläutern.

Die Eigenerklärung zu Russlandsanktionen ist abzugeben. Ein relevanter Russlandbezug ist auch bei beteiligten Unterauftragnehmern, Lieferanten und Eignungsnachweisunternehmen auszuschließen, soweit ihr Anteil am Auftragswert mehr als 10 Prozent beträgt. Die Erklärung gilt für alle Mitglieder einer Bietergemeinschaft und für die gesamte Vertragslaufzeit.

Ebenfalls zu erklären sind die Einhaltung der Arbeitnehmerentsendepflichten, des LTTG Rheinland-Pfalz und des Mindestlohngesetzes, die Einhaltung der Hausordnung sowie die Maßnahmen zur Einhaltung der Informationssicherheitsanforderungen.