Security Advisory Service

Landesbetrieb Information und Technik NRW | Vergabekammer WestfalenDüsseldorf, Nordrhein-WestfalenVeröffentlicht: 16. August 2026

Angebotsfrist: 15. September 2026

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Beschaffung eines Security-Advisory-Dienstes für das Land Nordrhein-Westfalen (vertreten durch IT.NRW, Düsseldorf).

Der Auftragnehmer liefert täglich per E-Mail und über ein Webportal Informationen zu Sicherheitslücken in Hard- und Software möglichst aller Hersteller, einschließlich Details zu Patches und Workarounds. Die Leistung umfasst deutschsprachige Advisories, eine deutschsprachige Hotline (werktags 8–17 Uhr) und eine Bereitstellung im XML-Format mit S/MIME-Signatur.

Die maximale Vertragslaufzeit beträgt 4 Jahre (Leistungsbeginn 01.10.2026).

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert

Angebotsfrist: 15. September 2026

Termin / FristAUG2026SEPOKTNOV

Veröffentlichung16. Aug. 2026

Bieterfragen-Frist4. Sep. 2026

Angebotsfrist15. Sep. 2026

Bindefrist15. Sep. – 30. Nov. 2026

Ausführungsbeginn1. Okt. 2026

Mindestvertragsdauer1. Okt. 2026 – 30. Sep. 2027bis 2027

Vertragslaufzeit1. Okt. 2026 – 30. Sep. 2030bis 2030

Rügefrist (Nachprüfung)Datum offen10 Kalendertage vor Einreichung eines Nachprüfungsantrags gem. § 160 Abs. 3 GWB – konkrete Datierung hängt vom Vergabeverlauf ab.

BeschwerdefristDatum offen15 Kalendertage nach Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen – Datum hängt vom Vergabeverlauf ab.

VergabebekanntmachungDatum offenBekanntmachung der Zuschlagserteilung max. 30 Tage nach Zuschlag gem. § 39 VgV – Datum hängt vom Vergabeverlauf ab.

KündigungsfristDatum offen3 Monate zum Vertragsjahresende – konkretes Datum hängt vom jeweiligen Kündigungszeitpunkt ab.

RechnungszahlungDatum offenZahlung 30 Tage nach Eingang einer prüffähigen Rechnung – Datum hängt von Rechnungseingang ab.

Vorlauf FunktionsänderungenDatum offenMindestens 4 Wochen Vorlauf bei Änderungen am Funktionsumfang – konkreter Zeitpunkt vertraglich nicht festgelegt.

Vorlauf LösungseinstellungDatum offenMindestens 6 Monate Vorlauf bei Abkündigung der Lösung/Bestandteile – konkreter Zeitpunkt vertraglich nicht festgelegt.

Portfolio-ErgänzungDatum offenAuf Nachfrage Ergänzung des Softwareportfolios innerhalb von 5 Werktagen.

Speicherfrist VergabeunterlagenDatum offenAufbewahrung der Vergabe-/Angebotsdaten 5 Jahre nach Ablauf des letzten Beschaffungsvorfalls gem. VV zu § 79 LHO NRW.

vor Angebotsabgabenach Angebotsabgabe

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen

Preis & Qualität2 Kriterien

Preis
Jährliche Pauschale für den Advisory Dienst
Angebotene Produktmenge
Anzahl der über die in Anlage A genannten Pflicht-Softwareprodukte hinaus zusätzlich abgedeckten Softwareprodukte durch den Security Advisory Service

Quotient aus Preis und zusätzlich angebotenen Produkten; das Angebot mit dem niedrigsten Quotienten erhält den Zuschlag. Bei Gleichstand entscheidet das Los. Konkrete Gewichtungen werden nicht angegeben.

KI-Hinweis: Es wird nur eine Bewertungsformel (Quotient aus Preis und angebotenen Produkten) angegeben, aber keine expliziten prozentualen Gewichtungen der einzelnen Kriterien; die Formel ist ohne weitere Erläuterung nicht eindeutig.

Leistungsumfang

Aus den Vergabeunterlagen

Kernleistung: Security Advisories

Regelmäßige Versorgung mit Informationen über bekannte Sicherheitslücken in Hard- und Software möglichst aller Hersteller sowie über die Verfügbarkeit von Sicherheitsupdates (Patches) und mögliche Workarounds.

Lieferung mindestens einmal täglich per E-Mail an vom Auftraggeber benannte AdressenMeldungen in deutscher SpracheIntegrität und Authentizität per S/MIME gesichertMeldungen im Body der E-Mail im XML-Format (automatisch auswertbar)Unaufgeforderte Ergänzung des Portfolios bei öffentlich bekannten SchwachstellenErgänzung des Softwareportfolios auf Nachfrage innerhalb von 5 Werktagen

Mindestinhalt einer Advisory-Meldung

Jede Meldung muss mindestens folgende Angaben enthalten:

Eindeutige ReferenznummerTyp der Meldung (Neu/Update) mit ÄnderungshistorieTitel und Datum der MeldungSchlagworte (CPE-Tags)Betroffene Software mit VersionsbezeichnungBetroffene PlattformenAuswirkung, Schwachstellentyp (z.B. SQL-Injection, XSS, CSRF), Angriffsvektor, Risikoeinstufung (niedrig/mittel/hoch/kritisch)CVE-Nummern, CVSS-Vektoren und Scores (sofern vorhanden)Produktbeschreibung, Patch-Verfügbarkeit, Workarounds, Exploit-InformationenRevisions-Historie und Quellen/Referenzen

Webportal

Webbasiertes Portal im Internet mit:

Beliebig vielen Accounts und MandantenBeliebig vielen Verteilerlisten je AccountBeliebig vielen E-Mail-Empfängern je VerteilerlisteAuthentifizierung per Benutzername/Passwort über HTTPSOptional: Zwei-Faktor-Authentifizierung

Hotline

Deutschspachige Hotline an Werktagen (Mo–Fr) von 08:00 bis 17:00 Uhr, ausgenommen Feiertage am Erfüllungsort (NRW).

Pflicht-Plattformen und -Softwareprodukte

Plattformen (mindestens abzudecken):

Linux: Debian, Fedora, Red Hat (RHEL), SuSE (openSUSE, SLES)Unix: IBM AIX, FreeBSD, NetBSD, OpenBSD, Oracle SolarisWindows: Alle unterstützten Server- und Desktop-Betriebssysteme, Microsoft Office, Microsoft-Bibliotheken, sonstige Microsoft-SoftwareVirtualisierung: VMware (alle unterstützten Produkte)Netzwerkhardware: Cisco, HP, TP-Link, MikroTik, D-Link, Netgear, Allied TelesisPC-Hardware: Apple, Toshiba, Lenovo, HP, Dell, Microsoft, Acer, Asus, SamsungServer: HP, IBM, Dell, Cisco, Fujitsu

Softwareprodukte (mindestens abzudecken, Anlage A):

Adobe Acrobat, Adobe, Apache, Apple, Canonical, Cisco, Citrix, ClamAV, Debian, Docker, Drupal, Foxit, FreeBSD, Google, HP, IBM, ISC (BIND, DHCP), Joomla!, Juniper, McAfee, Microsoft, MIT Kerberos, Mozilla, NetBSD, Novell, OpenBSD, openSUSE, Oracle, PostgreSQL, Red Hat, SQLite, SUSE, Symantec, Typo3, VMware, WordPress, Xen.

Transparenz- und Meldepflichten des Auftragnehmers

Änderungen Funktionsumfang: mindestens 4 Wochen VorlaufAbkündigung der Lösung oder von Bestandteilen: mindestens 6 Monate VorlaufDatenentwendung/Sicherheitsvorfälle beim Auftragnehmer: unverzügliche Meldung (telefonisch und schriftlich)Fehler/Schwachstellen in der eigenen Leistung: kurzfristige Meldung je nach Schweregrad

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

K.O.-Kriterien (MUSS-Anforderungen)

Folgende Anforderungen sind zwingend zum Vertragsbeginn zu erfüllen:

Bereitstellung aller in Anlage A genannten SoftwareprodukteDeutschsprachige Hotline an Werktagen Mo–Fr, 8–17 UhrTägliche Lieferung der Advisories per E-MailBereitstellung eines WebportalsS/MIME-Signierung der E-Mail-KommunikationKeine AGB im AngebotKeine Änderungen oder Ergänzungen an den Verdingungsunterlagen

Zusätzliche Anforderungen (KANN, bewertungsrelevant)

Zwei-Faktor-Authentifizierung für das Webportal (optional)Alternative Bewertungsformen für Schwachstellen, z.B. andere als CVSS v3

Ausschlussgründe

Es gelten die Ausschlussgründe nach § 123 GWB (persönliche) und § 124 GWB (situative). Bewerber/Bieter müssen erklären, dass keine Ausschlussgründe vorliegen (Eigenerklärung Formular 521 EU).

Wirtschaftliche und finanzielle Leistungsfähigkeit

Nachweis der wirtschaftlichen und finanziellen Leistungsfähigkeit ist erforderlich. Kann durch Eignungsleihe nach § 47 VgV erbracht werden, ggf. mit gemeinsamer Haftung.

Technische und berufliche Leistungsfähigkeit

Nachweis der technischen und beruflichen Leistungsfähigkeit ist erforderlich. Kapazitäten anderer Unternehmen können nach § 47 VgV eingebracht werden (Eignungsleihe).

Präqualifikation und Eigenerklärungen

Eintragung in https://amtliches-verzeichnis.ihk.de/ oder www.pq-verein.de mit Registrierungsnummer und Zugriffscode ODERAbgabe einer Einheitlichen Europäischen Eigenerklärung (EEE) als vorläufiger Nachweis; auf Verlangen durch Bescheinigungen zu bestätigenFremdsprachige Bescheinigungen: beglaubigte deutsche Übersetzung beifügenEigenerklärung Sanktionspaket 5 (Formular 523 EU)Eignung für kleine und mittlere Unternehmen ist gegeben

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.