Zusammenfassung
Automatisch erstellt aus den VergabeunterlagenBeschaffung einer On-Premise-Schwachstellen-Scanning-Plattform für die BWI GmbH (IT-Dienstleister der Bundeswehr) im offenen Verfahren.
Die Plattform soll monatlich ca. 70.000 IP-basierte Systeme (Webserver, Windows-/Linux-Clients, Mainframe, SAP) in vier vollständig getrennten Netzwerkumgebungen automatisch auf Sicherheitslücken prüfen. Sie muss sowohl agentenloses Network Scanning als auch agentenbasiertes Host Scanning unterstützen und wahlweise als VM (ESX) oder als Kubernetes-Container lauffähig sein.
Der Rahmenvertrag umfasst Lizenzen (Mindestabnahme 70.000 Assets, optional bis 270.000 Assets), Softwarepflege und Support, Implementierungsleistungen (25 Personentage) und Schulungen (25 Personentage). Geschätzter Auftragswert: ca. 4,0 Mio. € netto über 4 Jahre (Obergrenze 6,0 Mio. € netto).
Zeitplan & Fristen
Aus den Vergabeunterlagen extrahiertZuschlagskriterien
Gewichtung laut Vergabeunterlagen- Preis40%
Bewertung des Angebotspreises (Nettopreis in Euro) basierend auf dem geringsten Angebotspreis, normiert auf maximal 100 Punkte.
- Qualität60%
Bewertung der angebotenen Leistung basierend auf den B-Kriterien im Leistungsblatt, normiert auf maximal 100 Punkte.
Angebot (Z) = 40% x (P) + 60% x (Q), wobei P der normierte Preiswert (max. 100 Punkte) und Q die normierte Leistungspunktzahl (max. 100 Punkte) ist.
Leistungsumfang
Aus den VergabeunterlagenLizenzmodell und Abnahmemengen
Vermietung (Miete) einer Vulnerability Scanning Platform – jede eindeutige IP-Adresse / jeder Host zählt als 1 Asset.
Scan-Funktionen und Erkennungsmechanismen
Agentenloses Network Scanning (Firewalls, Switches, Mainframe, SAP-Appliances, Netzwerkkomponenten) – alle UDP/TCP-Ports, TLS-Zertifikate, Systeminformationen, authentifizierte und unauthentifizierte Scans.
Agentenbasiertes Host Scanning auf physischen Geräten, VMs und Endgeräten (Windows, Linux, Mac) – mit WMI für Windows und os-spezifischen Checks; Softwareversionen, EOL/EOS-Erkennung (bei vom Hersteller öffentlich als solche gekennzeichneter Software).
Web Application Scanning nach OWASP Top 10 (SQL-Injection, CSRF, Cookie-Einstellungen), authentifiziert und unauthentifiziert.
Container Scanning in Kubernetes-Umgebungen (laufende Container, lokale Registries).
Erkennungsmechanismen: CVE/GCVE, Fehlkonfigurationen, Default Accounts, ungültige/veraltete Zertifikate, EOL/EOS.
Skalierbare Erkennung: >4.000 VLANs monatlich, IPv4 (/21–/30), ab 2027 zusätzlich bis zu 400.000 IPv6-Einzelziele.
Scan-Attribute: konfigurierbare Wartungsfenster, on-demand und automatische Scans, Drosselung, Timeout, Resume-Funktion, tägliche automatische Aktualisierung der Schwachstellendaten.
Einsatzumgebung und Deployment
On-Premise-Betrieb zwingend – vollständig in vom Auftraggeber verwalteter Umgebung, kein Cloud-/SaaS-Betrieb, kein Provider-Zugriff. Internetdownload für CVE-/Vulnerability-Daten zur internen Verarbeitung ist zulässig.
Verteilte Architektur: dezentralisierte Scan-Sensoren und Scan-Agents, die Ergebnisse an eine zentrale Instanz übermitteln. Redundanz pro Netzsegment (Active-Passive oder Active-Active) wird gewünscht.
Zwei getrennte Betriebsumgebungen:
Beide Plattformen werden voneinander getrennt betrieben. Ressourcen der Sensoren müssen individuell anpassbar sein (nicht nur Low/Medium/High); Ressourcenhoheit liegt beim Auftraggeber.
Berichtswesen, API und Benachrichtigungen
Pflichtexporte: JSON, XML, CSV, YAML, maschinenlesbare Formate (CVE JSON5, OSV, OVAL, CSAF), PDF sowie filterbares HTML.
Pflichtangaben je Schwachstelle: CVSS, EPSS, Severity Score, Priorisierung, CVE, QoD, CPE/PURL/SWID, EOL/EOS-Status, empfohlene Behebungsmaßnahmen.
Schwachstellendatenquellen: MITRE CWE, CVE, NIST NVD, CISA KEV, EPSS sowie europäische Quellen (CERT-EU DB, ENISA EUVD, BSI WID). Deduplizierung der Informationen, tägliche automatische Aktualisierung.
Benachrichtigungen: S/MIME-verschlüsselte E-Mail, Push/WebHooks.
REST-API: mindestens Richardson Maturity Model Stufe 2, mit deutsch- und englischsprachiger Dokumentation.
Schwachstellenmanagement: Override-Möglichkeiten auf Asset- und Assetgruppenebene (z. B. VLANs, Netzwerkbereiche), Risk Acceptance, False-Positive-Handling, Tagging, Bearbeitungsstatus, Dashboards, Performance-Übersicht.
Backup/Recovery: vollständige Wiederherstellung der Konfiguration (Ziele, Zeitpläne, Assets).
Softwarenahe Vertragsleistungen
Softwarepflege und Support (inhärenter Bestandteil des Mietmodells) – inkl. Update- und Patchlieferung, technischer Support, EOL-Vorabmeldung mindestens 6 Monate vor Produktlebenszyklusende und Bereitstellung eines Nachfolgeprodukts mindestens 3 Monate vor Auslauf des Vorgängerprodukts.
Implementierungsleistungen: 25 Personentage für Implementierung, Teststellung, Installation, Konfiguration, Integration und Tests. Plan: Implementierungsplan, Testumgebung, gemeinsame Abnahmeprüfung.
Schulungen: 25 Personentage für Betriebspersonal und Systemadministratoren, deutschsprachig, 8 Stunden pro Tag.
Unterstützungsleistungen: laufende Unterstützung im Betrieb, Monitoring-Schnittstellen (CPU/RAM-Auslastung mindestens per SNMP oder Monitoring Agent abrufbar).
Roadmap-Zusagen (falls Funktionen nicht ab Angebotsabgabe verfügbar):
Sprach-, Sicherheits- und Compliance-Anforderungen
Sprache der Scan-Reports: Deutsch (englische Fachbegriffe zulässig), Informationen zu Auswirkungen und Behebung zwingend auf Deutsch.
Benutzeroberfläche: Englisch (für administrative Oberflächen) oder Deutsch; Browser-Übersetzungsfunktion nicht zulässig. Dark Mode ist bereitzustellen.
Kundensupport: Deutsch und Englisch, ansässig im DACH-Raum (ursprünglich Deutschland, auf DACH erweitert).
Personal: Mitarbeiter mit direktem Kundenkontakt müssen Deutsch in Wort und Schrift fließend beherrschen.
Berechtigungskonzept: RBAC mit eigenen Benutzergruppen und individuellen Rechten.
CyberArk-Anbindung: ausschließlich zur Verwaltung von Zugangsdaten bei authentifizierten Scans.
Cyber Resilience Act (EU 2024/2847): Konformität ab Inkrafttreten; Security Advisories im CSAF-Format (maschinenlesbar).
Übergeordnete Sicherheit: Verarbeitung gemäß BSI-IT-Grundschutz / ISO 27002:2013, Anhang 6 zum Rahmenvertrag; VS-NfD-Anforderungen bei entsprechender Einstufung.
Eignungskriterien
Geforderte Nachweise laut VergabeunterlagenBefähigung und Erlaubnis zur Berufsausübung
Wirtschaftliche und finanzielle Leistungsfähigkeit
Technische und berufliche Leistungsfähigkeit
Pflichtige Erklärungen und Anlagen zum Angebot
Lieferung und/oder Betrieb einer Vulnerability-Scanning-Plattform mit Lizenzierung und Betrieb
unterschiedliche Auftraggeber, Nachweis über Template BB_Anlage 12 (bzw. Anlage 10) mit Zeitraum, Assetanzahl, Projektvolumen in Euro, ausführlicher Projektdarstellung und Auftraggeberanschrift