Unterstützung und Beratung bei der Erstellung bzw. Aktualisierung von IT-Sicherheitskonzepten

Beratung und Unterstützung bei der Erstellung und Aktualisierung von IT-Sicherheitskonzepten für Anwendungen der bayerischen Justiz. Die Sicherheitskonzepte müssen die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit (CIA-Kriterien) gewährleisten.

Die Leistung erfolgt nach der IT-Grundschutz-Methodik des BSI:

Die Leistungserbringung erfolgt überwiegend im ISMS-Tool HiScout GRC, dem Standardwerkzeug der bayerischen Staatsverwaltung. Voraussetzungen dafür sind:

Für jedes zu erstellende oder zu aktualisierende Sicherheitskonzept sind folgende Phasen zu durchlaufen:

1. Strukturanalyse – Erfassung von Prozessen, Daten, Anwendungen, IT-Systemen, Kommunikationsbeziehungen, Netzen und Räumen; Erstellung eines bereinigten Netzplans

2. Schutzbedarfsfeststellung – nach BSI-Definition und bayerischer Schutzbedarfsmatrix (wird vom Auftraggeber bereitgestellt)

3. Modellierung – Identifikation der relevanten BSI-Bausteine mit Dokumentation jeder Zuordnung oder Ablehnung

4. IT-Grundschutz-Check – GAP-Analyse pro Baustein und Anforderung; Interviews mit Systemverantwortlichen; Soll-Umsetzungsbeschreibungen

5. Risikoanalyse – Schadensszenarien, Risikoeinstufung nach Risikomatrix des Auftraggebers (Brutto- und Netto-Risiken)

6. Realisierungsplan – nicht erfüllte Anforderungen, Maßnahmen, Terminplanung, Kosteneinschätzung, Priorisierung und Verantwortlichkeiten

Abweichungen sind frühzeitig mit dem Auftraggeber abzustimmen und von diesem bestätigen zu lassen.

Im Rahmen jedes Auftrags sind folgende Unterlagen zu liefern:

Das Leistungsverzeichnis enthält folgende Positionen:

| Position | Beschreibung | Menge |

|----------|--------------|-------|

| 1 | Stundensatz IT-Sicherheitsberater | max. 7.200 Personenstunden = max. 900 Personentage über die Vertragslaufzeit |

| 2 (optional) | Reisekostenpauschale | max. 16 Pauschalen |

Abrufmodell:

Folgende Schlüsselpositionen müssen mit eigenem festangestelltem Personal besetzt werden – der Einsatz von Unterauftragnehmern oder Personaldienstleistern ist hier nicht zulässig:

Beide Berater benötigen:

Mit dem Auftrag wird eine Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO (Anlage 7 zum Vertrag) abgeschlossen. Wichtige Pflichten des Auftragnehmers:

Folgende Ausschlussgründe führen zum Ausschluss vom Verfahren:

Als Ausschlusskriterien zu erfüllen:

Mindestens 1 Referenz ist vorzulegen. Jede Referenz muss alle folgenden Mindestanforderungen (Ausschlusskriterien) erfüllen:

Zusätzlich können mit maximal 2 weiteren Referenzen folgende Spezialanforderungen nachgewiesen werden (wünschenswert, nicht zwingend für Mindesteignung):

Formale Vorgaben für jedes Referenzformular:

Für beide IT-Sicherheitsberater gelten folgende Ausschlusskriterien (sonst Wertung mit 0 Punkten bzw. Angebotsausschluss):

| Kriterium | Anforderung |

|-----------|-------------|

| Akademischer Abschluss | Bachelor oder höherwertig (Urkunde in Kopie) |

| Deutschkenntnisse | Fließend, Niveau C2 nach Gemeinsamem Europäischem Referenzrahmen (GER) |

| Sicherheitsüberprüfung | Berater Nr. 1: mindestens § 9 SÜG (Ü3); Berater Nr. 2: mindestens § 8 SÜG (Ü1) |

| Anstellungsverhältnis | Eigenes festangestelltes Personal (kein Unterauftragnehmer, kein Personaldienstleister) |

Wichtiger Hinweis: Ohne Sicherheitsüberprüfung wird das Personalprofil abgelehnt – das Angebot wird in der Wertung ausgeschlossen.

Zusätzlich zu den Mindestanforderungen fließen folgende Qualifikationen in die Wertung (50 % Qualitätsanteil) ein. Die Bewertung erfolgt anhand einer Punkte-Matrix; pro Berater werden 50 % des Personalgewichts vergeben.

Berater IT-Sicherheit Nr. 1:

Berater IT-Sicherheit Nr. 2:

Hinweis zur Gleichwertigkeit von Zertifikaten: Eigenzertifikate werden nicht anerkannt; Foundation Level i. d. R. nicht gleichwertig zu Advanced Level; Gleichwertigkeit ist ausführlich zu begründen.

Folgende Voraussetzungen sind für die Leistungserbringung erforderlich:

Die Angebote werden nach folgenden Kriterien bewertet:

Es handelt sich um eine Rahmenvereinbarung ohne erneuten Aufruf zum Wettbewerb mit einem einzigen Auftragnehmer.

Wichtige Eckpunkte des Verfahrens:

Erstellung/Aktualisierung von BSI-konformen IT-Sicherheitskonzepten, mehrjährige Erfahrung

Formblatt Vorlage_Referenz K5.6.1; namentlicher, nachprüfbarer Ansprechpartner beim Auftraggeber (kein Vertrieb); Bieteranteil bei Einsatz mehrerer Unternehmen angeben

Spezialanforderung 1: IT-Sicherheitskonzepte basieren auf BSI IT-Grundschutz

Mindestanforderung gemäß K5.6.1; alle 4 Checkboxen müssen erfüllt sein

Spezialanforderung 2: mindestens ein Sicherheitskonzept zu Informationsverbünden mit Verschlusssachen wurde erstellt

Mindestanforderung gemäß K5.6.1

Spezialanforderung 3: Informationsverbund wurde nach Erstellung des Sicherheitskonzepts erfolgreich nach BSI-Grundschutz zertifiziert

Mindestanforderung gemäß K5.6.1

Spezialanforderung 4: ISMS-Tool HiScout wurde umfassend eingesetzt

Mindestanforderung gemäß K5.6.1