TendiGo
Jetzt starten →
Ausschreibungen IT-Security

Unterstützung und Beratung bei der Erstellung bzw. Aktualisierung von IT-Sicherheitskonzepten

Freistaat Bayern, vertreten durch das Bayerische Staatsministerium der Justiz | Regierung von Oberbayern - Vergabekammer Südbayern | Der Präsident des Oberlandesgerichts München | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)München, BayernVeröffentlicht:
Angebotsfrist:

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Der Freistaat Bayern (Bayerisches Staatsministerium der Justiz) sucht ein IT-Beratungsunternehmen, das die Stabsstelle IT-Sicherheitsmanagement bei der Erstellung und Aktualisierung von IT-Sicherheitskonzepten nach BSI IT-Grundschutz (Standards 200-2 und 200-3) unterstützt. Gearbeitet wird mit dem ISMS-Tool HiScout.

Die Leistung wird auf Abruf erbracht (mindestens 50 Personentage pro Jahr, geplant 200, maximal 900 insgesamt). Vertragslaufzeit: 01.01.2027 bis 31.12.2030.

Zwingend sind zwei Schlüsselpersonen einzusetzen: IT-Sicherheitsberater Nr. 1 mit Sicherheitsüberprüfung nach § 9 SÜG und IT-Sicherheitsberater Nr. 2 mit Sicherheitsüberprüfung nach § 8 SÜG. Beide benötigen mindestens einen Bachelor-Abschluss (DQR/EQR Niveau 6) und nachgewiesene HiScout-Kenntnisse.

Angebote müssen elektronisch über die Vergabeplattform www.evergabe.bayern.de eingereicht werden, spätestens bis zum 06.07.2026 um 10:00 Uhr.

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert
Angebotsfrist: 06. Juli 2026
Termin / FristMAI2026 NOV MAI NOV MAI NOV MAI NOV MAI NOV
Veröffentlichung28. Mai 2026
Bieterfragen-Frist25. Juni 2026
Angebotsfrist6. Juli 2026
Angebotsöffnungca. 6. Juli 2026
Rügeobliegenheitca. 6. Juli 2026
Bindefrist6. Juli – 30. Okt. 2026
Vertragsabschlussca. 6. Juli – 31. Dez. 2026
Vorabinformation6. Aug. 2026
Vergabekammer-Fristca. 6. Aug. 2026
Sicherheitsüberprüfung bis1. Jan. 2027
Vertragsbeginn1. Jan. 2027
Rahmenvertrag Laufzeit1. Jan. 2027 – 31. Dez. 2030
Ausführungsbeginnca. 1. Jan. – 1. Feb. 2027
Mindestabnahme pro Jahrca. 1. Jan. 2027 – 31. Dez. 2030
Vertragsende31. Dez. 2030
Geheimhaltungsfristca. 31. Dez. 2030 – 31. Dez. 2033bis 2033
vor Angebotsabgabenach Angebotsabgabegeschätzt

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen
Unbekannt0 Kriterien
KI-Hinweis: Das Dokument enthält ausschließlich eine detaillierte Bewertungsmatrix für Personalprofile (IT-Sicherheitsberater) mit Einzelgewichtungen von 0,10 bis 0,15. Es fehlen jegliche Angaben zu übergeordneten Zuschlagskriterien, deren Gesamtgewichtung (Preis vs. Qualität) und der Vergabeart, sodass keine Zuschlagskriterien extrahiert werden können.

Leistungsumfang

Aus den Vergabeunterlagen

Kernleistung: Sicherheitskonzepte nach BSI IT-Grundschutz

Was zu tun ist:

Erstellung und Aktualisierung von IT-Sicherheitskonzepten für Anwendungen der bayerischen Justiz nach BSI-Standard 200-2 (IT-Grundschutz-Methodik) und 200-3 (Risikoanalyse)Nutzung des IT-Grundschutzkompendiums bzw. dessen NachfolgeversionenSicherstellung der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit (CIA)Anwendung der BSI-Methode der Standard-AbsicherungBerücksichtigung der bayerischen Schutzbedarfsmatrix

Werkzeug:

HiScout ist das verbindliche Standardwerkzeug der bayerischen StaatsverwaltungZugang über VPN-Einwahl mit Token; Schulungsnachweis oder nachgewiesene praktische Erfahrung mit HiScout GRC Suite (Module Grundschutz/ISM)

Sechs Leistungsphasen je Sicherheitskonzept

1. Strukturanalyse – Erfassung von Prozessen, Daten, Anwendungen, IT-Systemen und Kommunikationsbeziehungen; Erstellung bereinigter Netzplan

2. Schutzbedarfsfeststellung – nach BSI-Definition und bayerischer Schutzbedarfsmatrix; Vererbung auf Zielobjekte

3. Modellierung – Identifikation der relevanten BSI-Bausteine aus dem IT-Grundschutz-Kompendium

4. IT-Grundschutz-Check – GAP-Analyse, Interviews mit Systemverantwortlichen, Soll-Umsetzungsbeschreibungen

5. Risikoanalyse – Schadensszenarien, Brutto-/Netto-Risiken, Risikomatrix des Auftraggebers

6. Realisierungsplan – Maßnahmen, Termine, Kosteneinschätzung, Priorisierung, Verantwortlichkeiten

Wichtig: Abweichungen von BSI-Standards sind frühzeitig mit dem Auftraggeber abzustimmen.

Einführungsunterstützung BSI-Grundschutz++

Beratende und orientierende Tätigkeit zur Vorbereitung auf künftige Anforderungen aus BSI-Grundschutz++Einordnung neuer methodischer AnsätzeKeine verpflichtende Erstellung von Konzepten nach Grundschutz++, solange der Standard nicht finalisiert istEnge Abstimmung mit dem Auftraggeber über Weiterentwicklungen

Beratung zu VS-IT und Informationsverbünden

Praktische Beratung zur Umsetzung von VS-IT (Verschlusssachen-IT) nach VSA Bayern / VSA BundErstellung von Realisierungsplänen für VS-IT-InfrastrukturenUnterstützung für mehrere Informationsverbünde (Clusterung aufgrund der Größe des Justizressorts)Einbindung der Berater in die Stabsstelle IT-Sicherheitsmanagement

Liefergegenstände und Dokumentation

Basisdokumentation im Tool HiScoutManteldokument (zusammenfassender Managementbericht)Bearbeitbare digitale Dokumente (MS Office o. ä.)Eingebettete Zeichnungen/Pläne digital weiterverarbeitbar (z. B. Visio, Project, Mindmaps)Finale abnahmefähige Dokumente als PDFRegelmäßige Jour-Fixe-Termine alle 14 Tage (ca. 60 Minuten)

Leistungsmodus: Abrufstruktur

Leistungen werden ausschließlich auf Abruf erbracht (keine regelmäßig wiederkehrende Leistung)Reaktionszeit: Spätestens 20 Arbeitstage nach Aufforderung müssen die Berater startenDrei-Monats-Planung: Auftraggeber plant die Beraterressourcen in 3-Monats-Blöcken mit 20 Arbeitstagen VorlaufMindestabnahme: 50 Personentage pro Jahr (verbindliche Vergütungspflicht)Geplante Abnahme: 200 Personentage pro JahrObergrenze: maximal 900 Personentage insgesamt (entspricht 7.200 Personenstunden)Bei Erreichen der Obergrenze endet der Vertrag automatisch

Leistungsort und -zeiten

Überwiegend am Sitz des Auftragnehmers oder remoteGelegentlich an Standorten des Bayerischen Staatsministeriums der Justiz (i. d. R. München)Leistungserbringung muss aus dem Hoheitsgebiet der Bundesrepublik Deutschland erfolgen (auch durch Unterauftragnehmer)Zuschlagsfreie Zeiten: Mo–Fr 07:30–18:00 UhrBis zu 10 Stunden pro Kalendertag abrechenbar (mit Nachweis)Reisekostenpauschale optional (für vom AG veranlasste Reisen)

Eingesetztes Personal

Zwei Schlüsselpersonen sind Pflicht: IT-Sicherheitsberater Nr. 1 und Nr. 2Weitere Berater dürfen bei Bedarf hinzugezogen werdenBerater bleiben organisatorisch beim Auftragnehmer (keine Arbeitnehmerüberlassung)Auftraggeber kann fachliche Anforderungen konkretisieren und Arbeitsergebnisse abstimmenKeine Unterauftragnehmer für die Schlüsselpositionen (auch keine 100%-Tochtergesellschaften)

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Persönliche Eignung / Ausschlussgründe

Keine Ausschlussgründe nach §§ 123, 124 GWB (z. B. Korruption, wettbewerbsbeschränkende Absprachen)Ordnungsgemäße Zahlung von Steuern, Abgaben und SozialversicherungsbeiträgenEinhaltung von Mindestlohngesetz (MiLoG), Arbeitnehmerentsendegesetz (AEntG), SchwarzarbeitsbekämpfungsgesetzEigenerklärung Russlandbezug (EU-VO 833/2014)Keine Ausschlussgründe nach Lieferkettensorgfaltspflichtengesetz (LkSG)

Wirtschaftliche und finanzielle Leistungsfähigkeit

Nachweis einer Berufshaftpflichtversicherung über mindestens 5 Mio. EUR (auf Verlangen zum Vertragsbeginn)Nachweis Jahresumsatz mit Beratungsleistungen IT-Sicherheitskonzepte 2023–2025Nachweis Gesamtumsatz 2023–2025Mindestumsatz 500.000 EUR/Jahr für IT-Sicherheitsberatung in 2023–2025 (K.O.-Kriterium)Mindestens 10 festangestellte Mitarbeiter seit Januar 2023 (K.O.-Kriterium)Verpflichtung zur Vorlage von Jahresabschlüssen auf Anforderung

ISMS-Zertifizierung des Unternehmens

Gültige Zertifizierung nach ISO/IEC 27001 oder BSI IT-GrundschutzDer zertifizierte Scope muss die hier ausgeschriebenen IT-Sicherheitsberatungsleistungen ganz oder in relevanten Teilen umfassenNachweis mit Angabe von Scope, Zertifizierungsstelle und LaufzeitReine Prüfberichte, Teilstandards oder branchenspezifische Nachweise sind nicht ausreichendBei Verlust der Zertifizierung während der Vertragslaufzeit wird eine angemessene Nachfrist zur Rezertifizierung eingeräumtBSI-zertifizierter IT-Sicherheitsdienstleister (IS-Revision / IS-Beratung / IS-Penetrationstest) kann als gleichwertig gelten, sofern IT-Grundschutz-Umsetzung nachgewiesen oder IS-Kurzrevision erfolgreich + VS-NfD-Befähigung

Referenzen nach Kriterium K5.6.2

Mindestens 1 Referenz, maximal 2 ReferenzenJede Referenz muss einzeln die Merkmale 1–5 erfüllen:

1. Erstellung/Aktualisierung von Sicherheitskonzepten nach BSI IT-Grundschutz

2. Durchgeführte Audits nach BSI IT-Grundschutz

3. Erfahrung mit BSI-Standards 200-2 und 200-3

4. Mind. 2 Personen eingesetzt, Projektvolumen mind. 500.000 EUR, Projektzeitraum mind. 2 Jahre, abgeschlossen in den letzten 4 Jahren

5. Nachprüfbarer Ansprechpartner beim Auftraggeber (kein anonymer Verweis)

Merkmale 6–9 können kumulativ von den beiden Referenzen erfüllt werden:

6. IT-Sicherheitskonzepte basieren auf BSI IT-Grundschutz

7. Mindestens ein Sicherheitskonzept für Informationsverbünde mit Verschlusssachen (VS-Klassifizierung zwingend)

8. Zugehöriger Informationsverbund wurde nach Erstellung erfolgreich BSI-Grundschutz zertifiziert

9. HiScout umfassend im Referenzprojekt selbst eingesetzt (keine Gleichstellung mit anderen ISMS-Tools)

Sammelreferenzen aus Rahmenverträgen mit vergleichbaren Einzelprojekten sind zulässigVertrauliche Referenzen können als VS-NfD-konform PGP-verschlüsselte Anlage eingereicht werden

Schlüsselpersonal – gemeinsame Anforderungen

Akademischer Abschluss Bachelor oder höher (DQR/EQR Niveau 6); gleichgestellt: Staatlich geprüfter Techniker, Diplomingenieur (FH)Sprachnachweis Deutsch C2 (GER)HiScout-Kompetenz: Schulungsnachweis der bayerischen Staatsverwaltung ODER nachgewiesene praktische Erfahrung mit HiScout GRC Suite (Module Grundschutz/ISM)Bayern-LSI-attestierte Schulungen werden anerkannt; Attestierungen durch andere bayerische Landesministerien nur bei Bestätigung durch LSI BayernEigene fest angestellte Mitarbeiter des Bieters bzw. der Bietergemeinschaft – keine Unterauftragnehmer, auch keine 100%-TochtergesellschaftenSicherheitsüberprüfung muss spätestens zur Aufnahme der sicherheitsempfindlichen Tätigkeit vorliegen; SÜG-Bund wird als gleichwertig zu BaySÜG anerkanntMit dem Angebot genügt eine Eigenerklärung; abgeschlossene SÜ zum Angebotszeitpunkt nicht erforderlich

IT-Sicherheitsberater Nr. 1

Sicherheitsüberprüfung nach § 9 SÜG (Ü2 / erhöhte Überprüfung)Signifikantes Wissen zu VS-IT und praktische Umsetzung nach VSA Bayern / VSA BundBefähigung zur Bearbeitung von Verschlusssachen bis VS-NfDBewertet: Jahre Berufserfahrung Informationssicherheit, Anzahl selbst erstellter BSI-konformer Sicherheitskonzepte, Schwachstellenanalyse-Erfahrung, VSA-Projekte, BSI-Zertifikat, Anzahl durchgeführter Audits, Fortschreibungserfahrung

IT-Sicherheitsberater Nr. 2

Sicherheitsüberprüfung nach § 8 SÜG (Ü1 / einfache Überprüfung)Signifikantes Wissen zu VS-IT und praktische Umsetzung nach VSA Bayern / VSA BundBewertet: Jahre Berufserfahrung, BSI-Sicherheitskonzepte, VSA-Projekte, Schwachstellenanalyse, BSI-Zertifikat, Audit-Anzahl, FortschreibungserfahrungGleiche formalen Anforderungen wie Berater Nr. 1 (Bachelor, Deutsch C2, HiScout)
Referenzprojekte
mindestens 1, maximal 2 ReferenzenZeitraum: aus den letzten 4 Jahren, abgeschlossen zum Angebotsfristende (06.07.2026); Projektzeitraum mind. 2 JahreVolumen: mind. 500.000 EUR (Erstellung/Aktualisierung Sicherheitskonzepte bzw. Bieteranteil)

Erstellung und Aktualisierung von IT-Sicherheitskonzepten nach BSI IT-Grundschutz (K5.6.2, Merkmale 1–5 je Referenz)

Nachprüfbarer Ansprechpartner beim Auftraggeber; mind. 2 eingesetzte Mitarbeiter; Formblatt 'Vorlage_Referenz_Kriterium K5.6.2- IT-Sicherheit.docx'

mindestens 1 Referenz ReferenzenZeitraum: s. o.Volumen: s. o.

Sicherheitskonzepte für Informationsverbünde mit Verschlusssachenverarbeitung (K5.6.2 Merkmal 7)

VS-Klassifizierung zwingend; erhöhter Schutzbedarf allein gilt nicht als Äquivalent

mindestens 1 Referenz ReferenzenZeitraum: s. o.Volumen: s. o.

Umfassender Einsatz des ISMS-Tools HiScout im Referenzprojekt selbst (K5.6.2 Merkmal 9)

Andere ISMS-Tools werden nicht gleichgestellt; personenbezogene HiScout-Erfahrung allein reicht nicht

kann kumulativ über max. 2 Referenzen erfüllt werden ReferenzenZeitraum: s. o.Volumen: s. o.

Erfolgreiche BSI-Grundschutz-Zertifizierung des zugehörigen Informationsverbunds nach Konzepterstellung

Sammelreferenzen aus Rahmenverträgen mit vergleichbaren Einzelprojekten sind zulässig

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.

Wettbewerb & Angebotsprognose

Erwartete Konkurrenz auf Basis vergleichbarer Vergaben
1–3Angebote erwartet
Median vergleichbarer Vergaben: rund 2 Angebote
Geringe Konkurrenz
Wahrscheinliche Bieterzahl
1–3 · 38%4–10 · 32%11+ · 29%

Unternehmen mit ähnlichen Zuschlägen

Aus vergleichbaren, bereits vergebenen Vergaben (KI-Ähnlichkeit)
1adesso SE3 ähnliche Ausschreibungen gewonnen↗2msg systems AG3 ähnliche Ausschreibungen gewonnen↗3Sopra Steria SE2 ähnliche Ausschreibungen gewonnen↗4BearingPoint GmbH2 ähnliche Ausschreibungen gewonnen↗5RGE – Rolvering, Germann, Effing & Partner, Unternehmensberatung2 ähnliche Ausschreibungen gewonnen↗
Checkliste zur AngebotsabgabeKonkrete Schritte laut Vergabeunterlagen0 von 31 erledigt
Formale Eigenerklärungen und Pflichtdokumente
Eignung des Unternehmens
Schlüsselpersonal – IT-Sicherheitsberater Nr. 1 und Nr. 2
Referenzprojekte nach K5.6.2
Leistungsbeschreibung und Preis

Verlauf dieser Vergabe

7 Bekanntmachungen
  1. 18.08.2026Vergabebekanntmachung

    Zuschlag erteilt am 06.08.2026

  2. 29.06.2026Ausschreibungauf dieser Seite
  3. 24.06.2026Ausschreibung
    • Geschätzter Wert: ohne Angabe → 1,3 Mio €
  4. 18.06.2026Ausschreibung
    • Abgabefrist: 01.07.2026 → 06.07.2026
    • Frist für Fragen: 19.06.2026 → 25.06.2026
  5. 27.05.2026Ausschreibung
    • Abgabefrist: 03.07.2026 → 01.07.2026
    • Frist für Fragen: 23.06.2026 → 19.06.2026
  6. 27.05.2026Ausschreibung
  7. 27.05.2026Ausschreibung
Mit TendiGo
Finden Sie weitere passende Ausschreibungen und prüfen Sie mit KI, ob Ihr Unternehmen die Anforderungen erfüllt.
Diese Ausschreibung mit KI prüfen
Zur Original-Ausschreibung ↗

Auf einen Blick

Auftraggeber
Freistaat Bayern, vertreten durch das Bayerische Staatsministerium der Justiz | Regierung von Oberbayern - Vergabekammer Südbayern | Der Präsident des Oberlandesgerichts München | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)
Anschrift
80335 München
Ort
80335 München
Kategorie
IT-Security
Auftragsvolumen
1,3 Mio €
Veröffentlicht
Angebotsfrist
Auftraggeber-Website
www.justiz.bayern.de/ ↗
Auftraggeber-Profil ansehen

Erfüllungsort

Ort der Leistung
80335 München
Bayern

Weitere Ausschreibungen IT-Security

Alle anzeigen →
IT-Sicherheits- & Beratungsdienstleistungen

Rahmenvertrag Beratungs- und Unterstützungsdienstleistungen im IT-Infrastruktur-, System- und Netzwerk-Umfeld

Wivertis GmbH · WiesbadenFrist: IT-Security

Rahmenvereinbarung für IT-Netzwerk- und Sicherheitssysteme

Zuse-Institut Berlin | Vergabekammer des Landes Berlin | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI) · BerlinFrist: IT-Security

Rahmenvertrag Netzwerkkomponenten 2027, Verlängerung Cisco EA

Bayerische Staatsforsten AöR | Regierung von Mittelfranken - Vergabekammer Nordbayern | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI) · Alle Standorte der Bayerischen Staatsforsten AöR in Bayern und Österreich (St. Martin)Frist: IT-Sicherheits- & Beratungsdienstleistungen

IT-Dienstleistungen

Kliniken der Stadt Köln gGmbH | Vergabekammer Rheinland | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI) · KölnFrist: Sicherheitssoftware & -lizenzen

ITDZ Berlin: OV RV Datenschleuse

IT-Dienstleistungszentrum Berlin (AöR) | Vergabekammer des Landes Berlin · BerlinFrist: IT-Sicherheits- & Beratungsdienstleistungen

Implementierungs-, Projekt-, Beratungs- und Betriebsleistungen im Bereich IT-Infrastruktur sowie IT-Anwendungen

AOK Sachsen - Anhalt | Vergabekammern des Bundes beim Bundeskartellamt · MagdeburgFrist:

Bereit für die Zukunft der Vergabe?

Setzen Sie auf den neuen technologischen Standard und verschaffen Sie sich den entscheidenden Vorsprung in der Auftragsakquise.

806+ VergabequellenMit Experten entwickeltSofort einsatzbereit