TendiGo
Jetzt starten →
Ausschreibungen Berlin

Unterstützungsleistungen im Bereich Informationssicherheit

Common Codes GmbH | Vergabekammer des Bundes | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)Berlin, BerlinVeröffentlicht:
Angebotsfrist:

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Die Common Codes GmbH (im Auftrag des Bundesministeriums für Digitales und Staatsmodernisierung, BMDS) schreibt eine Rahmenvereinbarung über Beratungs-, Analyse-, Konzeptionierungs- und Unterstützungsleistungen zur Informationssicherheit und Usability der europäischen digitalen Identitätsbrieftasche (EUDI-Wallet) für Deutschland aus.

Bieter erbringen Leistungen entlang des gesamten Entwicklungs- und Einführungszyklus der EUDI-Wallet – von Risikoanalysen und Sicherheitskonzepten über eIDAS-2.0-Compliance bis zu Nutzer- und Barrierefreiheitsstudien.

Verfahren: beschleunigtes offenes Verfahren, geschätzter Auftragswert 3.200.000 EUR netto (Höchstwert 3.500.000 EUR über 4 Jahre inkl. Verlängerungsoptionen), keine Mindestabnahme, Abruf über Einzelaufträge.

Angebote sind bis spätestens 03.09.2026, 10:00 Uhr MESZ elektronisch über die Vergabeplattform DTVP einzureichen.

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert
Angebotsfrist: 03. September 2026
Termin / FristAUG2026 FEB AUG FEB AUG FEB AUG FEB AUG
Veröffentlichung18. Aug. 2026
Veröffentlichung Bieterfragen-Antworten V125. Aug. 2026
Veröffentlichung Bieterfragen-Antworten V227. Aug. 2026
Bieterfragen-Frist28. Aug. 2026
Angebotsfrist3. Sep. 2026
Sonderkündigungsrecht30. Nov. 2026
Angebotsöffnung3. Sep. 2026
Bindefrist3. Sep. – 30. Nov. 2026
Meldepflicht Sicherheitsvorfälle3. Sep. 2026 – 15. Okt. 2030
Beschwerdefrist (Rüge)ca. 3. Sep. – 13. Sep. 2026
Nachprüfungsantragca. 18. Sep. 2026
Zuschlagca. 15. Okt. 2026
Vertragslaufzeitca. 15. Okt. 2026 – 15. Okt. 2028
Abnahmefrist Lieferobjekteca. 15. Okt. 2026 – 15. Okt. 2030
Verlängerung 1ca. 15. Okt. 2028 – 15. Okt. 2029
Verlängerung 2ca. 15. Okt. 2029 – 15. Okt. 2030
Vertraulichkeitsfristca. 15. Okt. 2030 – 15. Okt. 2035bis 2035
vor Angebotsabgabenach Angebotsabgabegeschätzt

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen
Preis & Qualität6 Kriterien
  • Preis40%

    Gewichteter Preis je Personentag (Durchschnitt der drei Leistungsbausteine), netto. 40 Punkte für niedrigsten Preis, 0 Punkte ab 200% des niedrigsten Preises, lineare Interpolation dazwischen. Max. 40 Gesamtpunkte.

  • Erfahrung/ Qualifikation des eingesetzten Personals60%

    Bewertung von 4 Mitarbeiterprofilen anhand von Projektreferenzen je Leistungsbaustein. Je Leistungsbaustein werden 0-20 Punkte vergeben (herausragend=20, umfangreich=16, einige=12, geringe=8, sehr geringe=4, keine=0). Summe ergibt max. 60 Punkte. Mindestpunktzahl: 30 gesamt sowie 20 summiert in Bausteinen 1+2, sonst Ausschluss.

Preis: 40 Punkte für niedrigsten gewichteten Preis, 0 Punkte für 200% des niedrigsten Preises oder darüber, lineare Interpolation dazwischen. Qualifikation: Je Leistungsbaustein 0-20 Punkte (0,4,8,12,16,20) nach Systematik, Summe ergibt max. 60 Punkte. Gesamtpunktzahl max. 100.

KI-Hinweis: Alle Zuschlagskriterien, Gewichtungen, Punktesystematiken und Formeln sind vollständig dokumentiert.

Leistungsumfang

Aus den Vergabeunterlagen

Rahmenbedingungen

Vertragsart: Rahmenvereinbarung mit Einzelaufträgen über ein Ticketsystem, keine Mindestabnahme.Laufzeit: 2 Jahre ab Zuschlag, optional zweimalige Verlängerung um je 1 Jahr (max. +2 Jahre); Gesamthöchstdauer 4 Jahre.Auftraggeber / Erfüllungsort: Common Codes GmbH, Zionskirchstraße 73a, 10119 Berlin.Abrufberechtigt: Common Codes GmbH, verbundene Unternehmen sowie das BMDS.Preismodell: Tagessätze je Personentag (netto) für die gesamte Vertragslaufzeit; ein Personentag = 8 Arbeitsstunden. Reisekosten sind nicht erstattungsfähig und müssen in die Tagessätze einkalkuliert werden.Sicherheitsvorfälle: Meldung an Auftraggeber spätestens 24 Stunden nach Bekanntwerden.Auditrecht: Planmäßiges Audit max. 1× pro 12 Monate; anlassbezogene Audits zusätzlich möglich.Compliance-Reports: Mindestens 1× jährlich bereitstellen.

Gemeinsame Leistungsbausteine

Die Leistungen gliedern sich in drei verbindliche Leistungsbausteine und einen optionalen vierten Baustein:

LB 3.1 – Sichere Systementwicklung für mobile Identitäten: fortlaufende Risikoanalyse und Sicherheitskonzept; technischer Entwurf für Schwachstellenmanagement (Android/iOS); Dokumentation von Sicherheitsarchitektur und kryptografischen Methoden; Begleitung der Entwicklung der technischen EUDI-Wallet-Architektur (Build/Runtime-Sicherheit, Hardening, Secure Storage, Attestation).LB 3.2 – Compliance zu eIDAS 2.0 und nationale eIDAS-Umsetzung: fortlaufende Konformitätsanalyse der Architektur (TR-03107-1); Begleitung des Austauschs mit BSI, BfDI und behördlichem DSB; Begleitung von Bewertungs- und Zertifizierungsprozessen (BSI BSZ, FiTCEM, EUCC).LB 3.3 – Nutzbarkeit für sichere mobile Identitäten: qualitative und quantitative Nutzer- und Akzeptanzstudien; Analyse der Barrierefreiheit (iOS & Android, Expertenreviews, Nutzerstudien).LB 3.4 – Sonstige IT-Security-Zukunftsthemen (optional, bedarfsgerecht): SOC-Unterstützung bei Cybersicherheitsvorfällen; Differential Privacy, Zero-Knowledge-Verfahren, Zero-Trust-Architekturen; quantencomputerresistente Kryptografie und Kryptoagilität; Absicherung von Machine-Learning-Verfahren.

Typische Lieferobjekte

Risikoanalyseberichte und SicherheitskonzepteKonformitätsanalysen (TR-03107-1), GAP-Analysen, MaßnahmenpläneArchitektur- und Kryptodokumentationen, Datenfluss-/SequenzdiagrammeZielbilder Vulnerability-Management, Betriebs- und SLA-KonzepteTechnische Design Reviews, Attestation-Guides, Hardening-GuidelinesSecurity Targets und weitere ZertifizierungsdokumenteProtokolle, Runbooks, Playbooks, Onboarding-GuidesBerichte zu Nutzer-/Akzeptanzstudien und Barrierefreiheitsanalysen

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Ausschlussgründe und formale Eignung

Keine zwingenden Ausschlussgründe nach § 123 GWB.Keine fakultativen Ausschlussgründe nach § 124 GWB.Verpflichtungen zur Zahlung von Steuern, Abgaben und gesetzlicher Sozialversicherung erfüllt.Keine Verstöße gegen § 21 SchwarzArbG, § 21 AEntG, § 19 MiLoG, § 14 BTTG.Eintragung im Handelsregister oder vergleichbarem Register (Auszug max. 90 Tage alt bei Angebotsfrist).Kein Bezug zu Russland gem. Art. 5k VO (EU) 833/2014.Kein Ausschlussgrund nach § 22 LkSG (bzw. nicht vom Anwendungsbereich erfasst).Präqualifikation und Einheitliche Europäische Eigenerklärung (EEE) sind zugelassen.

Zertifizierung / Informationssicherheit

ISO 27001, SOC 2 Typ 2 oder gleichwertiges Informationssicherheits-Managementsystem (Pflicht für Auftragnehmer).Zertifikate und Management Summaries der Überwachungsaudits sind dem Auftraggeber jährlich unaufgefordert bereitzustellen.Eigene Geschäftsprozesse dürfen nicht im Widerspruch zur ISO/IEC 27001 stehen.Privacy by Design und Privacy by Default sind bei der gesamten Leistungserbringung zu gewährleisten.Alternativen für Unterauftragnehmer: BSI IT-Grundschutz-Zertifizierung (Geltungsbereich muss Leistungen vollumfänglich abdecken) oder ein dokumentiertes, an ISO 27001 ausgerichtetes ISMS (Informationssicherheitsrichtlinie, SoA, internes Audit ≤12 Monate, Management-Review ≤12 Monate). Reines Self-Assessment wird nicht akzeptiert.

Wirtschaftliche / finanzielle Eignung

Betriebshaftpflichtversicherung mit 2-fach maximiert pro Jahr, mind. 3,0 Mio. € für Personen-, Sach- und Vermögensschäden.Eignungsleihe nach § 47 VgV ist zulässig; bei Inanspruchnahme wirtschaftlicher/finanzieller Leistungsfähigkeit anderer Unternehmen gilt gemeinsame Haftung.

Fachliche / persönliche Eignung des eingesetzten Personals

Es sind genau 4 Mitarbeiterprofile einzureichen (sonst Ausschluss). Jedes Profil muss:mindestens 6 Jahre Berufserfahrung im Bereich IT-Security-Consulting (beratend, analysierend, konzeptionell oder forschend) nachweisen;Deutsch und Englisch mindestens auf C1-Niveau (GER) in Wort und Schrift belegen;zwischen 1 und 5 Projektreferenzen enthalten (mind. 3 Personenmonate je Referenz, in Deutschland, mind. teilweise ab 01.06.2023);einem oder zwei der drei Leistungsbausteine zugeordnet sein.2 Profile je Leistungsbaustein erforderlich; ein Profil darf max. zwei Bausteinen zugeordnet werden.Benannte Personen stehen voll für den Einsatz zur Verfügung; Wechsel nur in begründeten Ausnahmefällen mit Zustimmung des Auftraggebers.Fundiertes Expertenwissen in digitalen Identitäten, mobilen eID-Lösungen und eIDAS-Verordnung wird vorausgesetzt.

Referenzen (Mindestanforderung)

3 Referenzprojekte des Bieters zu Unterstützungsleistungen im Bereich Informationssicherheit mit Bezug zu mobilen eID-Lösungen / EUDI-Wallet / eIDAS in Deutschland.Je Referenz mind. 8 Personenmonate; Referenzgeber im EWR; seit 01.06.2023.Über die 3 Referenzen müssen zusätzlich die spezifischen Nachweise zu LB 3.1 (Risikoanalyse/Sicherheitskonzept/Schwachstellenmanagement/Sicherheits-/Krypto-Dokumentation/EUDI-Wallet-Architektur), LB 3.2 (Konformitätsanalyse TR-03107-1/Behörden-Austausch/Bewertungs- und Zertifizierungsprozesse) und LB 3.3 (Nutzer-/Akzeptanzstudien/Barrierefreiheitsanalyse) abgedeckt sein.

Verfahrens- und Abgabebedingungen

Verfahrensart: beschleunigtes offenes Verfahren.Angebote sind elektronisch über die Plattform DTVP einzureichen.Sprache: Deutsch für das Vergabeverfahren; Englisch (mind. C1) und Deutsch für Projektarbeit und Stakeholder-Austausch.Es sind die vom Auftraggeber bereitgestellten Vordrucke (unverändert) zu verwenden.Der Auftraggeber kann fehlende Unterlagen nach § 56 VgV nachfordern.Keine Sicherheitsleistung / Kaution erforderlich.
Referenzprojekte
3 ReferenzenZeitraum: Referenzaufträge seit 01.06.2023 (mindestens ein Teil der Leistung ab diesem Datum)Volumen: Je Referenz mindestens 8 Personenmonate (1 PM = 20 Personentage = 160 Arbeitsstunden)

3 vergleichbare Referenzprojekte zu Unterstützungsleistungen im Bereich Informationssicherheit, mit Bezug zu mobilen eID-Lösungen / EUDI-Wallet / eIDAS-Verordnung (Einführung mobiler eID-Lösungen in Deutschland oder Umsetzung der eIDAS-Verordnung in Deutschland)

Referenzgeber im Europäischen Wirtschaftsraum (EWR) ansässig; öffentlicher oder privater Auftraggeber; zusätzlich müssen in den 3 Referenzen insgesamt nachgewiesen werden: Risikoanalyse/Sicherheitskonzept, Schwachstellenmanagement-Architektur, Sicherheits-/Krypto-Dokumentation, Begleitung EUDI-Wallet-Architektur; Konformitätsanalyse TR-03107-1, Stakeholder-Management BSI/BfDI, Bewertungs-/Zertifizierungsprozesse; Nutzer-/Akzeptanzstudien, Barrierefreiheitsanalyse. FIDO2-, Banking-, Forschungs- und CVE-Referenzen werden einzelfallbezogen geprüft.

Bis zu 5 je Profil ReferenzenZeitraum: Mindestens teilweise ab 01.06.2023Volumen: Je Referenz mindestens 3 Personenmonate Beteiligung des Mitarbeitenden

Pro Mitarbeiterprofil (4 Profile): bis zu 5 Projektreferenzen mit Bezug zu den jeweiligen Leistungsbausteinen

Durchführung in Deutschland; Projekttitel, Kunde, Personenmonate (Gesamt und Anteil des Mitarbeitenden), detaillierte Beschreibung (max. 2000 Zeichen) zur fachlichen Relevanz

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.

Wettbewerb & Angebotsprognose

Erwartete Konkurrenz auf Basis vergleichbarer Vergaben
11+Angebote erwartet
Median vergleichbarer Vergaben: rund 15 Angebote
Hohe Konkurrenz
Wahrscheinliche Bieterzahl
1–3 · 33%4–10 · 31%11+ · 36%
Checkliste zur AngebotsabgabeKonkrete Schritte laut Vergabeunterlagen0 von 16 erledigt
Pflichtformulare Teil A
Pflichtformulare Teil D (Preise & Personal)
Eignungsnachweise
Technisches Angebot
Formales & Abgabe

Verlauf dieser Vergabe

2 Bekanntmachungen
  1. 22.10.2026Vergabebekanntmachung
  2. 18.08.2026Ausschreibungauf dieser Seite
Mit TendiGo
Finden Sie weitere passende Ausschreibungen und prüfen Sie mit KI, ob Ihr Unternehmen die Anforderungen erfüllt.
Diese Ausschreibung mit KI prüfen
Zur Original-Ausschreibung ↗

Auf einen Blick

Auftraggeber
Common Codes GmbH | Vergabekammer des Bundes | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)
Anschrift
10119 Berlin
Ort
10119 Berlin
Kategorie
Berlin
Veröffentlicht
Angebotsfrist
Auftraggeber-Profil ansehen

Erfüllungsort

Ort der Leistung
10119 Berlin
Berlin

Weitere Ausschreibungen Berlin

Alle anzeigen →
Berlin

Technisch-wirtschaftlicher Vergleich von Wärmeversorgungssystemen für Berliner Bestandsgebäude

BEN Berlin Energie und Netzholding GmbH · 10829 BerlinFrist: Berlin

Fassadenarbeiten

GESOBAU AG · 13187 BerlinFrist: Berlin

Energiemanagementsystem

Berliner Hochschule fuer Technik · 13353 BerlinFrist: Berlin

Graffitientfernung 2027 ff.

Gruen Berlin GmbH · 10963 Berlin KreuzbergFrist: Berlin

210.04_Herrichten, Freimachen Standort Wollenberger Str.

Senatsverwaltung fuer Stadtentwicklung, Bauen und Wohnen · 10707 BerlinFrist: Berlin

Verlängerung Swyx Flex Lizenzen

Forschungsverbund Berlin e.V. · Leibniz- Institut für Zoo- und Wildtierforschung im Forschungsverbund Berlin e.V. Alfred-Kowalke-Straße 17 10315 BerlinFrist:

Bereit für die Zukunft der Vergabe?

Setzen Sie auf den neuen technologischen Standard und verschaffen Sie sich den entscheidenden Vorsprung in der Auftragsakquise.

806+ VergabequellenMit Experten entwickeltSofort einsatzbereit