Abschluss eines Managed-Service-Vertrages über Cloud-, Betriebs- und Unterstützungsleistungen für den IT-Betrieb des AWB Bad Kreuznach

Der Auftragnehmer übernimmt ein ganzheitliches Cloud- und Managed-Service-Modell – keine isolierte Bereitstellung einzelner Ressourcen, sondern ein durchgängiges Betriebsmodell bestehend aus:

• Cloud-Infrastruktur (Private Cloud, EU/EWR)
• Migration der bestehenden IT-Umgebung in das Cloud-Modell
• Sicherheit (Architektur, Segmentierung, Firewall, Workload-Schutz)
• Backup & Recovery
• Monitoring & Reporting
• Support (Service Desk, Eskalation, Patch/Change)
• Dokumentation
• Vor-Ort-Serviceleistungen

Ziel ist die Unterstützung der Verwaltungs-, Abrechnungs-, Kommunikations- und Betriebsprozesse des AWB sowie eine Grundlage für die weitere technische und organisatorische Entwicklung des IT-Betriebs. Vertragsgrundlage: EVB-IT-Cloudvertrag.

• Bereitstellung einer sicheren Cloud-/RZ-Umgebung mit mindestens 2 Standorten in EU-Mitgliedsstaaten
• Primäres Rechenzentrum (RZ1): Identität, Berechtigungen, Fachverfahren, Daten, Remote-Zugriff, Arbeitsplatz, Security, Segmentierung
• Backup-/Recovery-Standort (RZ2): Backup, Archiv/Objektspeicher, getrennte Sicherungsdaten, Replikation, Wiederanlauf/Notfallvorsorge
• Räumliche Trennung ≥ 100 km zwischen RZ1 und RZ2
• Verarbeitung ausschließlich in EU/EWR
• Großvater-Vater-Sohn-Backup-Strategie mit RPO/RTO-Zielen
• Anbindung an die Kreisverwaltung, Cloud-Kollaboration (E-Mail, Identität, Lizenzen), Fachverfahrenshersteller und berechtigte Dritte über gesicherte Standort-, Remote- und Drittzugriffe

• Planung, Aufbau, Überführung und Inbetriebnahme der Zielumgebung
• Strukturiertes Migrations- und Umstellungskonzept mit Meilensteinen, Cutover-Punkten, Test- und Abnahmeverfahren
• Übergang in den Regelbetrieb inkl. geregelter Verantwortungsübergabe

• Vollständige Betriebsverantwortung: Operation, Patch/Change, Wartung, Monitoring, Reporting, Service Desk und Exit
• Serviceorganisation mit geregelten Eskalations-, Patch- und Change-Prozessen
• Vor-Ort-Serviceleistungen für Clients, Peripherie sowie lokale Netzwerk- und Zugriffsthemen an den AWB-Standorten
• Service-Level: Verfügbarkeit, Reaktions- und Bearbeitungszeiten, Priorisierungsmodell
• Sicherheitspatches: kritisch (CVSS 9.0–10.0) ≤ 3 h, hoch (7.0–8.9) ≤ 3 Tage, mittel (4.0–6.9) ≤ 1 Monat, niedrig (0.1–3.9) ≤ 3 Monate

• Sicherheitsarchitektur: Netzwerksegmentierung, Firewall, Workload-Schutz, Monitoring-Schnittstelle für AWB
• Informationssicherheit: ISMS nach ISO 27001, ISO 27017 (und ISO 27018 bei personenbezogenen Daten)
• Datenschutz: DSGVO-konforme Auftragsverarbeitung, Datenstandort EU/EWR, ggf. EU-U.S. Data Privacy Framework bei Drittlandbezug
• CLOUD Act: Cloud-Betreiber darf US CLOUD Act nicht unterliegen – andernfalls gültiges EU-U.S. Data Privacy Framework-Zertifikat erforderlich
• BSI C5: Anstreben oder Vorlage eines C5-Testats; 12-Monats-Anpassungsfrist bei neuen Anforderungen

• Erstellung, Pflege und Übergabe der technischen und betrieblichen Dokumentation
• Leistungsänderungen während der Vertragslaufzeit auf Abruf
• Exit-Konzept: Datenrückgabe, geordnete Übergabe an neuen Dienstleister/Auftraggeber, Unterstützung bei Migration nach Vertragsende, sichere Löschung

• Mitarbeitende: ca. 30
• Persönliche Nutzerkonten / Cloud-/Kollaborationslizenzen: ca. 30
• Standort 1: Verwaltungsstandort / Kreisverwaltung, Salinenstr. 47, 55543 Bad Kreuznach
• Standort 2: Kompostwerk, An der Sandmühle 1, 55543 Bad Kreuznach
• Notebooks, mobile/externe Zugriffe, gesicherte Remote- und Drittzugriffe

• Kein Insolvenzverfahren, gewerberechtlich ordnungsgemäße Anmeldung, keine Verfehlungen, die die Zuverlässigkeit in Frage stellen (z. B. Preisabsprachen)
• Erfüllung der Steuer-, Abgaben- und Sozialversicherungspflichten
• Keine rechtskräftige Verurteilung nach § 123 GWB
• Haftpflichtversicherung mit Mindestdeckungssummen: Personenschaden ≥ 1,5 Mio. €, Sachschaden bis 0,5 Mio. € je Schadensfall (max. 1 Mio. € je Vertrag), Vermögensschäden bis 10 % der Gesamtvergütung
• Einhaltung DGUV 1, Anti-Korruption, Verschwiegenheit, Datenschutzschulung des Personals, Deutschkenntnisse, Personalverpflichtung nach Verpflichtungsgesetz

• Mindestumsatz: durchschnittlicher Jahresumsatz ≥ 1.000.000 EUR netto in den letzten 3 abgeschlossenen Geschäftsjahren im Bereich Cloud-/IT-Betriebs-/Managed-Service-Leistungen (Ausschlusskriterium)
• Bonität: Creditreform-Bonitätsindex 215–255 („gute Bonität" Risikoklasse II), Auskunft max. 6 Monate alt – sowohl für den Bewerber (IT-Systemhaus/Betreiber) als auch den Cloud-Betreiber (bei Eigenbetrieb RZ)

• Unternehmensbeschreibung mit Ausrichtung auf Cloud-/Managed-Services, Organisationsstruktur, festem Ansprechpartner
• Rechenzentrumsstandorte: ausschließlich EU-Mitgliedsstaaten, mindestens 2 Standorte
• CLOUD Act: Cloud-Betreiber darf nicht dem US CLOUD Act unterliegen – andernfalls gültiges EU-U.S. Data Privacy Framework-Zertifikat
• Servicestandort: mindestens 1 Servicestandort innerhalb max. 250 km Fahrstrecke zum AWB-Hauptstandort (Salinenstr. 47, 55543 Bad Kreuznach) – spätestens bis Leistungsbeginn einzurichten

• Gültiges ISO 9001-Zertifikat (oder gleichwertig)
• Gültiges ISO/IEC 27001-Zertifikat (oder gleichwertig) für den IT-Betreiber
• Gültiges ISO/IEC 27001-Zertifikat (oder vergleichbar) für den RZ-Betreiber
• Bestellter Datenschutzbeauftragter und IT-Sicherheitsbeauftragter mit erforderlicher Fachkunde

• Zusammenarbeit mit Cloud-Betreiber (10 %): Dauer in Jahren; max. Punkte > 8 Jahre, gestaffelt bis 0 Punkte ≤ 1 Jahr
• BSI C5-Vorbereitungsstand (40 %): 10 Pkt. bei vorliegendem C5-Testat, 8 Pkt. bei beauftragter Prüfung (Erteilung bis 31.12.2026 erwartet), 6 Pkt. bei Gap-Analyse + Maßnahmenplan, 4 Pkt. bei internem Projektplan, 2 Pkt. bei grundsätzlicher Planung, 0 Pkt. = Ausschluss von der Wertung
• Referenzen (50 %): max. 3 Pkt. pro Referenz; 1 Sonderpunkt bei 3× voller Punktzahl

• Anzahl: mindestens 3 vergleichbare Referenzen (weniger → Teilnahmeausschluss)
• Zeitraum: innerhalb der letzten 3 Jahre vor Teilnahmefrist abgeschlossen ODER mind. 1 Jahr produktiv laufend
• Inhalt: Cloud- oder RZ-basierte Managed-Service-/Betriebs-/Unterstützungsleistung für eine produktive IT-Umgebung
• Ausschluss: reine Liefer-, Lizenz-, Hardware-, Beratungs- oder Projektierungsleistungen ohne anschließende Betriebsverantwortung
• Bewertungskriterien je Referenz (max. 3 Pkt.): Vergleichbarkeit des Leistungsgegenstands (0–1 Pkt.), Migration/Aufbau/Betriebsübergang (0–0,5 Pkt.), Betrieb/Support/Serviceorganisation (0–0,5 Pkt.), Sicherheit/Backup/Recovery/Compliance (0–0,5 Pkt.), vergleichbare organisatorische Rahmenbedingungen (0–0,5 Pkt.)
• Formales: Pflichtformular B19/B20; pro Referenz Ansprechpartner beim Referenzgeber, Rolle des Bewerbers, max. 5 DIN-A4-Seiten

• Bietergemeinschaften zulässig: gesamtschuldnerische Haftung, Benennung eines bevollmächtigten Mitglieds, Eignungsnachweise je Mitglied
• Bei Eignungsleihe: Verzeichnis B16 und Verpflichtungserklärung B17 erforderlich; Originale können nachgefordert werden
• Ausländische Bieter: gleichwertige Bescheinigungen des Herkunftslandes + beglaubigte deutsche Übersetzung

• Verfahren: Wettbewerblicher Dialog mit Teilnahmewettbewerb (competitive dialogue)
• Bewerberauswahl: max. 4 Bewerber; Bewerber auf Platz 5 oder schlechter erhalten Absage
• Mindestzahl Dialogphase: 3 Bewerber
• Bei Punktgleichstand: Losentscheid (§ 75 Abs. 6 VgV)
• Nachforderung: nur für nicht der Eignungsbewertung unterliegende Nachweise möglich (Kriterien 1.3.3, 1.3.6, 1.3.7 sind von der Nachforderung ausgeschlossen)
• Sprache: Deutsch, durchgängig elektronisch über https://www.subreport.de/E41711946
• Termine: Teilnahmeanträge bis 20.07.2026 10:00 Uhr; Bieterfragen bis 13.07.2026 23:59 Uhr; geplante Einladung zur Angebotsabgabe 20.08.2026