DFP mit 3 Losen: Softwarelizenzen, Implementierung und Application Management Services

Die nCino-Plattform wird als SaaS-Lösung (Cloud) bereitgestellt und löst das bestehende SAP-CRM-System ab, dessen Wartung am 31.12.2027 endet. Ziel ist eine standardisierte, skalierbare und moderne Abwicklung des DEG-Finanzierungsgeschäfts (Darlehen, Bonds, Beteiligungen, Sicherheiten).

Geltende Regelungen für alle Lose:

• Regulatorische Anforderungen: DORA (EU 2022/2554), BAIT Kap. 10, MaRisk AT 9, DSGVO, LkSG
• Datenschutz: Auftragsverarbeitungsvereinbarung (AVV) gemäß Art. 28 DSGVO; Drittlandsverarbeitung grundsätzlich ausgeschlossen
• Informationssicherheit: ISMS nach ISO 27001 oder gleichwertig; bei Cloud zusätzlich BSI C5
• IKT-Incident-Meldepflicht: schwerwiegende Vorfälle innerhalb von 12 Stunden, sonstige Vorfälle innerhalb von 48 Stunden
• Eskalations- und Notfallmanagement mit definierten Reaktions- und Wiederherstellungszeiten
• Projektsprache: Deutsch und Englisch
• Vertraulichkeit und Geheimhaltung (auch über Vertragsende hinaus)
• Vergütungsmodelle: Time & Material (Beratertag mind. 8 Stunden) oder Pauschal je nach Los

Im Rahmen der Implementierung sind die bestehenden DEG-Daten aus SAP CRM (R/3) und CML/TRM (S/4) in nCino zu überführen. Datenbestand: ca. 1.000 Kunden, ca. 10.000 Geschäftspartner, ca. 400 Anbahnungs-Engagements, ca. 1.000 Investitionen. Die Integration erfolgt über API-Web-Application-Firewall (API-WAF) und SAP-PO-Middleware mittels REST/SOAP/MQ-Verbindungen. 3–4 vollständig separierte Umgebungen (Dev/Test/PreProd/Prod) mit eigenem AD/Entra ID. Für Tätigkeiten mit Produktivdaten gilt: Onshore/Nearshore im EU/EWR.

Der Bieter darf nicht wegen folgender Ausschlussgründe vom Verfahren ausgeschlossen werden:

• Straftaten nach §§ 129, 129a, 129b StGB (kriminelle/terroristische Vereinigungen), § 89c StGB (Terrorismusfinanzierung), § 261 StGB (Geldwäsche), §§ 263, 264 StGB (Subventionsbetrug/Betrug zulasten EU-Haushalt), §§ 299, 108e StGB (Bestechung), §§ 333, 334, 335a StGB (Vorteilsgewährung), §§ 232, 233, 233a StGB (Menschenhandel)
• Verstoß gegen Umwelt-, Sozial- oder Arbeitsrecht
• Insolvenz, Liquidation, Zahlungsunfähigkeit
• Schwere Verfehlung, die die Integrität infrage stellt
• Wettbewerbsbeschränkende Vereinbarungen
• Interessenkonflikt im Vergabeverfahren
• Wettbewerbsverzerrung durch Einbezug in Verfahrensvorbereitung
• Mangelhafte Ausführung früherer Aufträge
• Täuschung oder Zurückhalten von Informationen
• Unzulässige Einflussnahme
• Russland-Bezug gem. Art. 5k VO (EU) 833/2014 (Hauptbieter sowie Unterauftragnehmer/Lieferanten mit >10% Auftragswert)

Nachweis: Anlage 2 (Erklärung §§ 123, 124 GWB), Anlage 17 (Russland-Sanktionen), jeweils ausgefüllt und unterschrieben.

• Berufs-/Betriebshaftpflichtversicherung: Mindestdeckungssummen je Schadensereignis (zweifach maximiert pro Jahr): ≥5 Mio. EUR Personen-/Sachschäden, ≥5 Mio. EUR Vermögensschäden, inkl. IT-/Cyber-Risiken. Verbindliche Bestätigung des Versicherers mit Angebot (Vollnachweis kann nach Zuschlag/NDA erfolgen).
• Durchschnittlicher Jahresumsatz der letzten 3 abgeschlossenen Geschäftsjahre: mind. 5 Mio. EUR (Los 1 und Los 2) bzw. mind. 1,1 Mio. EUR (Los 3).
• Bei Eignungsleihe bzgl. wirtschaftlicher/finanzieller Leistungsfähigkeit: gemeinsame Haftung gem. § 47 Abs. 3 VgV (Anlage 4 erforderlich).

• ISMS-Nachweis: Wirksames Informationssicherheitsmanagementsystem nach ISO/IEC 27001 oder gleichwertig. Gültige Zertifizierung oder Auditberichte/Policies/Prozessdokumentation.
• Erklärung zu wesentlichen Abweichungen ("Major Non-Conformities") im letzten Audit inkl. fristgerechter Behandlung.
• ISMS muss relevante Organisationseinheiten/Services (nCino-Implementierung und/oder -Betrieb, -Support) umfassen.
• Benennung eines Informationssicherheitsbeauftragten mit direkter Berichtslinie zur Geschäftsleitung.
• DORA-Konformität: IKT-Incident-Meldung 12h, sonstige Vorfälle 48h, Nachweise nach Art. 17, 19 (Los 1) bzw. Art. 28 ff. (Los 2/3).
• Nachweisform: Anlage 7 (Selbstauskunft Informationssicherheit).

• Bietergemeinschaften sind zulässig, sofern Wettbewerb nicht eingeschränkt wird; Gesamtschuldner-Haftung aller Mitglieder; von allen Mitgliedern unterschriebene Erklärung (ARGE-Bildung, Bevollmächtigter, Vertretungsbefugnis).
• Eignungsleihe möglich: Verpflichtungserklärung (Anlage 3) erforderlich; bei wirtschaftlicher/finanzieller Eignungsleihe zusätzlich Mithaftungserklärung (Anlage 4).
• Subunternehmen dürfen eingesetzt werden; Anlage 7 auch durch Subunternehmen ausfüllen lassen, falls diese DEG-Informationen verarbeiten.
• Vertragsdokumente: Anpassung der DEG-Muster (Anlagen 8-16, 23) oder eigene Vertragsmuster unter Beachtung der Mindestanforderungen aus Anlage 5 und Anlage 6.
• Zwingend: Bereitschaft zur Unterzeichnung einer AVV gem. Art. 28 DSGVO.
• LkSG: Einhaltung Lieferkettensorgfaltspflichtengesetz.