App-Katalog zum App-Security-Check; LSI

Freistaat Bayern vertreten durch das Bayerische Landesamt für Steuern - Zentrale Vergabestelle - | Regierung von Oberbayern - Vergabekammer Südbayern | Bayerisches Landesamt für SteuernNürnberg, BayernVeröffentlicht: 18. Mai 2026

Angebotsfrist: 03. Juli 2026

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Das bayerische Landesamt für Sicherheit in der Informationstechnik (LSI) sucht ein Unternehmen, das Smartphone-Apps (Android und iOS) automatisiert auf Sicherheitslücken prüft und die Ergebnisse in einem App-Katalog bereitstellt.

Was ist zu tun?

Aufbau und Betrieb einer Webanwendung mit App-Katalog (mind. 1.000 Apps)Automatisierte Sicherheitsprüfungen (statisch + dynamisch) nach OWASP-StandardsBereitstellung einer API für die Anbindung an das LSI-PortalRegelmäßige Re-Prüfungen, Berichte, SBOM-Bereitstellung, Barrierefreiheit

Was wird vom Bieter erwartet?

Mindestens 2 vergleichbare Referenzen (max. 5 Jahre alt)Spezifischer Jahresumsatz ≥ 100.000 € netto, Gesamtumsatz ≥ 200.000 € nettoErfahrung in automatisierter App-Prüfung seit mindestens 2023Mindestens 4 qualifizierte Mitarbeitende

Rahmenbedingungen

1 Los, Erfüllungsort NürnbergVertragslaufzeit: 24 Monate + bis zu 3× 12 Monate VerlängerungEinreichung elektronisch über evergabe.bayern.de bis 03.07.2026, 11:00 UhrAngebotsabgabe: Pauschalfestpreis, Wertung über Preis und Qualität

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert

Angebotsfrist: 03. Juli 2026

Termin / FristMAI2026 NOV MAI NOV MAI NOV MAI NOV MAI

Veröffentlichung19. Mai 2026

Bieterfragen-Frist22. Juni 2026

Angebotsfrist3. Juli 2026

Bindefrist3. Juli – 30. Sep. 2026

Zuschlagca. 20. Juli – 26. Juli 2026

Vertragsbeginnca. 1. Sep. 2026

Vertragslaufzeitca. 1. Sep. 2026 – 31. Aug. 2028

Verlängerung 1ca. 1. Sep. 2028 – 31. Aug. 2029

Verlängerung 2ca. 1. Sep. 2029 – 31. Aug. 2030

Verlängerung 3ca. 1. Sep. 2030 – 31. Aug. 2031bis 2031

vor Angebotsabgabenach Angebotsabgabegeschätzt

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen

Preis & Qualität7 Kriterien

Preis 100%Qualität 0%

Preis30%
Fiktiver Angebotspreis netto gemäß Preiszusammenstellung (Anlage 06a), berechnet auf Basis eines geschätzten Abrufvolumens der optionalen Leistungspositionen über die Mindestvertragslaufzeit und Verlängerungsoptionen (Vertragsjahr 3, 4 und 5). Angebotswertung erfolgt auf Grundlage der angebotenen Bruttopreise.
Leistung (Bewertungsmatrix App-Katalog)70%
Bewertung der fachlichen Leistungsfähigkeit anhand der Bewertungsmatrix (Anlage 06c) mit A-Kriterien (Ausschluss-/Zulassungskriterien, z.B. Sprache der Webanwendung, Prüfdetails) und B-Kriterien (Bewertungskriterien mit Zielerfüllungsgraden, z.B. Sprache, Bearbeitungszeiten).

KI-Hinweis: Die genaue Aufteilung 30% Preis / 70% Leistung wird in den vorliegenden Auszügen nicht explizit mit Gewichtungsangaben belegt; zudem fehlen detaillierte Angaben zu Anzahl, Inhalt und Gewichtung aller B-Kriterien der Bewertungsmatrix (Anlage 06c), da nur einzelne Kriterien (2.3, 2.4, 2.8, 2.9) referenziert werden.

Leistungsumfang

Aus den Vergabeunterlagen

App-Katalog – Inhalt und Umfang

Bereitstellung und laufende Pflege eines App-Katalogs mit mindestens 1.000 Apps (davon ≥ 400 Android und ≥ 400 iOS).Nutzer des LSI-Portals können weitere Apps hinzufügen – die Plattform muss perspektivisch mindestens 1.000 weitere Apps aufnehmen können.Jede App wird automatisiert geprüft – sowohl statische als auch dynamische Sicherheitsanalysen sind durchzuführen.

Prüfumfang und Prüfmethodik

Prüfungen nach OWASP Testing Guide (Stand Oktober 2025).Konkrete Prüfpunkte u. a.:Ausführung von JavaScript-Code (MASTG-TEST-0076)Lokales Dateisystem, Tastatur-Cache, Backups, Logs, Arbeitsspeicher, IPC-MechanismenRegelmäßige Re-Prüfungen – mindestens einmalig sowie anlassbezogen bei Versions-Updates der App.Penetrationstests werden durch das LSI selbst durchgeführt.

Webanwendung & API

Webanwendung: öffentlich erreichbar über HTTPS, deutsch/englisch (Deutsch bevorzugt), intuitiv bedienbar, barrierefrei (BayDiV).Webservice (API) für die Anbindung an das LSI-Portal.Rollen: Benutzer und Administrator.Mehr-Faktor-Authentifizierung für administrative Zugänge.Verfügbarkeit: ≥ 96 % an Arbeitstagen (Mo–Fr, 6–20 Uhr).

Prüfergebnisse & Dokumentation

Bereitstellung einer Zusammenfassung, Gesamtbewertung und Detail-Informationen je Prüfung.Ergebnisdetails in deutscher oder englischer Sprache.Ausgabeformate: HTML, JSON/XML, PDF – in Echtzeit abrufbar.Bereitstellung einer SBOM (Software Bill of Materials).DSGVO-konforme Verarbeitung.

Projektkommunikation

Regelmäßige Arbeitsbesprechungen mit dem LSI.Kommunikation in Deutsch (Englisch nur in begründeten Ausnahmen).

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Ausschlusskriterien (zwingend)

Keine Ausschlussgründe nach § 123 GWB (z. B. Straftaten, schwere Verfehlungen, schwere Menschenrechtsverstöße, schwere Steuer- oder Sozialversicherungsverstöße, Insolvenz).Keine fakultativen Ausschlussgründe nach § 124 GWB (z. B. wettbewerbswidriges Verhalten, frühere Vertragsverletzungen).Keine russische Beteiligung im Sinne der EU-Verordnung 833/2014 (Art. 5k).Keine Scientology-Verbindung.

Wirtschaftliche Eignung

Durchschnittlicher Jahresumsatz (bereinigtes Netto) der letzten 3 abgeschlossenen Geschäftsjahre ≥ 200.000 € (bei Bietergemeinschaft addiert).Spezifischer Jahresumsatz im Bereich automatisierte technische Sicherheitsüberprüfungen für Android- und iOS-Apps der letzten 3 Jahre ≥ 100.000 €.

Technische und fachliche Eignung

Mehrjährige Erfahrung in der automatisierten sicherheitstechnischen Prüfung von Android- und iOS-Apps – Tätigkeit mindestens seit dem Jahr 2023.Personalstärke: durchschnittlich mindestens 4 Mitarbeitende, die überwiegend im Bereich der automatisierten sicherheitstechnischen Prüfungen für Android- und iOS-Apps tätig sind.Bestätigung, dass die Leistungen während der gesamten Vertragslaufzeit in vollem Umfang erbracht werden können.

Referenzen

Mindestens 2 nachprüfbare Referenzen über vergleichbare Aufträge (automatisiert, Android + iOS).Projektabschlüsse dürfen nicht älter als 5 Jahre sein.Pflichtangaben je Referenz: Auftraggeber (Name, Branche), Kontakt (Funktionspostfach oder Ansprechpartner), Auftragswert (gerundet auf Tausend EUR), Auftragszeitraum (Monat/Jahr), Vergleich mit dem Auftragsgegenstand.Die Vergabestelle kann die Angaben beim Referenzkunden verifizieren.

Unternehmensdarstellung

Darstellung des Unternehmens, Leistungsportfolio, Tätigkeitsschwerpunkte der letzten 3 Jahre, Bezug zur Ausschreibung und Erfahrungen mit öffentlicher Verwaltung.Format: PDF, 1–4 DIN A4 Seiten, Arial 11 Pkt., Zeilenabstand 1,5.

Form der Nachweise

Bewertungsmatrix Eignung (Anlage 06b) vollständig ausfüllen (alle grünen Felder).Sämtliche Belege als gesonderte Anlagen (PDF oder Excel) im Arbeitsschritt „Eigene Anlagen" hochladen.Positionsnummern in den PDF-Anlagen für die Zuordnung vermerken.Anforderungstyp: late-all – alle Eignungskriterien müssen erfüllt sein, andernfalls Ausschluss.

Referenzprojekte

mindestens 2 ReferenzenZeitraum: Projektabschluss darf nicht älter als 5 Jahre seinVolumen: nicht vorgegeben

Nachprüfbare Referenzen über vergleichbare Aufträge: automatisierte sicherheitstechnische Prüfung von Android- und iOS-Apps

Name und Branche des Auftraggebers, Funktionspostfach oder Ansprechpartner (keine Privatadresse), Auftragswert in EUR (gerundet auf Tausend), Auftragsbeginn/-ende (Monat/Jahr), Vergleich mit dem Auftragsgegenstand. Vergabestelle kann beim Referenzkunden verifizieren.

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.

Wettbewerb & Angebotsprognose

Erwartete Konkurrenz auf Basis vergleichbarer Vergaben

11+Angebote erwartet

Median vergleichbarer Vergaben: rund 15 Angebote

Hohe Konkurrenz

Wahrscheinliche Bieterzahl

1–3 · 28%4–10 · 28%11+ · 43%

Unternehmen mit ähnlichen Zuschlägen

Aus vergleichbaren, bereits vergebenen Vergaben (KI-Ähnlichkeit)

1Deutsche Telekom Security GmbH5 ähnliche Ausschreibungen gewonnen↗2SRC Security Research & Consulting GmbH3 ähnliche Ausschreibungen gewonnen↗3atsec information security GmbH2 ähnliche Ausschreibungen gewonnen↗4Open Reply GmbH2 ähnliche Ausschreibungen gewonnen↗5Telekom Deutschland GmbH1 ähnliche Ausschreibung gewonnen↗

Checkliste zur AngebotsabgabeKonkrete Schritte laut Vergabeunterlagen0 von 24 erledigt

Fristen & Einreichung

Pflicht-Anlagen (Excel-Dateien)

Eigenerklärungen & Nachweise

Eignungsnachweise (gemäß Anlage 06b)

Technische Antworten im Leistungskatalog

Verlauf dieser Vergabe

3 Bekanntmachungen

22.07.2026Vergabebekanntmachung
Verfahren aufgehoben (22.07.2026)
18.05.2026Ausschreibung
- Abgabefrist: 03.07.2026 → 19.06.2026
- Frist für Fragen: 22.06.2026 → 08.06.2026
18.05.2026Ausschreibungauf dieser Seite

Mit TendiGo

Finden Sie weitere passende Ausschreibungen und prüfen Sie mit KI, ob Ihr Unternehmen die Anforderungen erfüllt.

Diese Ausschreibung mit KI prüfen

Zur Original-Ausschreibung ↗

Auf einen Blick

Auftraggeber

Freistaat Bayern vertreten durch das Bayerische Landesamt für Steuern - Zentrale Vergabestelle - | Regierung von Oberbayern - Vergabekammer Südbayern | Bayerisches Landesamt für Steuern

Anschrift

80333 München

Ort

90489 Nürnberg

Kategorie

IT-Sicherheits- & Beratungsdienstleistungen

Veröffentlicht

18. Mai 2026

Angebotsfrist

03. Juli 2026

Auftraggeber-Website

www.auftraege.bayern.de ↗

Auftraggeber-Profil ansehen

Erfüllungsort

Ort der Leistung

90489 Nürnberg

Bayern

Weitere Ausschreibungen IT-Security

Alle anzeigen →