Unterstützung und Beratung bei der Erstellung bzw. Aktualisierung von IT-Sicherheitskonzepten

Freistaat Bayern, vertreten durch das Bayerische Staatsministerium der Justiz | Regierung von Oberbayern - Vergabekammer Südbayern | Der Präsident des Oberlandesgerichts München | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)München, BayernVeröffentlicht: 29. Juni 2026

Angebotsfrist: 06. Juli 2026abgelaufen

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Der Freistaat Bayern (Bayerisches Staatsministerium der Justiz) sucht ein IT-Beratungsunternehmen, das die Stabsstelle IT-Sicherheitsmanagement bei der Erstellung und Aktualisierung von IT-Sicherheitskonzepten nach BSI IT-Grundschutz (Standards 200-2 und 200-3) unterstützt. Gearbeitet wird mit dem ISMS-Tool HiScout.

Die Leistung wird auf Abruf erbracht (mindestens 50 Personentage pro Jahr, geplant 200, maximal 900 insgesamt). Vertragslaufzeit: 01.01.2027 bis 31.12.2030.

Zwingend sind zwei Schlüsselpersonen einzusetzen: IT-Sicherheitsberater Nr. 1 mit Sicherheitsüberprüfung nach § 9 SÜG und IT-Sicherheitsberater Nr. 2 mit Sicherheitsüberprüfung nach § 8 SÜG. Beide benötigen mindestens einen Bachelor-Abschluss (DQR/EQR Niveau 6) und nachgewiesene HiScout-Kenntnisse.

Angebote müssen elektronisch über die Vergabeplattform www.evergabe.bayern.de eingereicht werden, spätestens bis zum 06.07.2026 um 10:00 Uhr.

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert

Die Angebotsfrist ist abgelaufen.

HEUTE

Termin / FristMAI2026 NOV MAI NOV MAI NOV MAI NOV MAI NOV

Veröffentlichung28. Mai 2026

Bieterfragen-Frist25. Juni 2026

Angebotsfrist6. Juli 2026

Angebotsöffnungca. 6. Juli 2026

Rügeobliegenheitca. 6. Juli 2026

Bindefrist6. Juli – 30. Okt. 2026

Vertragsabschlussca. 6. Juli – 31. Dez. 2026

Vorabinformation6. Aug. 2026

Vergabekammer-Fristca. 6. Aug. 2026

Sicherheitsüberprüfung bis1. Jan. 2027

Vertragsbeginn1. Jan. 2027

Rahmenvertrag Laufzeit1. Jan. 2027 – 31. Dez. 2030

Ausführungsbeginnca. 1. Jan. – 1. Feb. 2027

Mindestabnahme pro Jahrca. 1. Jan. 2027 – 31. Dez. 2030

Vertragsende31. Dez. 2030

Geheimhaltungsfristca. 31. Dez. 2030 – 31. Dez. 2033bis 2033

vor Angebotsabgabenach Angebotsabgabegeschätzt

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen

Unbekannt0 Kriterien

KI-Hinweis: Das Dokument enthält ausschließlich eine detaillierte Bewertungsmatrix für Personalprofile (IT-Sicherheitsberater) mit Einzelgewichtungen von 0,10 bis 0,15. Es fehlen jegliche Angaben zu übergeordneten Zuschlagskriterien, deren Gesamtgewichtung (Preis vs. Qualität) und der Vergabeart, sodass keine Zuschlagskriterien extrahiert werden können.

Leistungsumfang

Aus den Vergabeunterlagen

Kernleistung: Sicherheitskonzepte nach BSI IT-Grundschutz

Was zu tun ist:

Erstellung und Aktualisierung von IT-Sicherheitskonzepten für Anwendungen der bayerischen Justiz nach BSI-Standard 200-2 (IT-Grundschutz-Methodik) und 200-3 (Risikoanalyse)Nutzung des IT-Grundschutzkompendiums bzw. dessen NachfolgeversionenSicherstellung der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit (CIA)Anwendung der BSI-Methode der Standard-AbsicherungBerücksichtigung der bayerischen Schutzbedarfsmatrix

Werkzeug:

HiScout ist das verbindliche Standardwerkzeug der bayerischen StaatsverwaltungZugang über VPN-Einwahl mit Token; Schulungsnachweis oder nachgewiesene praktische Erfahrung mit HiScout GRC Suite (Module Grundschutz/ISM)

Sechs Leistungsphasen je Sicherheitskonzept

1. Strukturanalyse – Erfassung von Prozessen, Daten, Anwendungen, IT-Systemen und Kommunikationsbeziehungen; Erstellung bereinigter Netzplan

2. Schutzbedarfsfeststellung – nach BSI-Definition und bayerischer Schutzbedarfsmatrix; Vererbung auf Zielobjekte

3. Modellierung – Identifikation der relevanten BSI-Bausteine aus dem IT-Grundschutz-Kompendium

4. IT-Grundschutz-Check – GAP-Analyse, Interviews mit Systemverantwortlichen, Soll-Umsetzungsbeschreibungen

5. Risikoanalyse – Schadensszenarien, Brutto-/Netto-Risiken, Risikomatrix des Auftraggebers

6. Realisierungsplan – Maßnahmen, Termine, Kosteneinschätzung, Priorisierung, Verantwortlichkeiten

Wichtig: Abweichungen von BSI-Standards sind frühzeitig mit dem Auftraggeber abzustimmen.

Einführungsunterstützung BSI-Grundschutz++

Beratende und orientierende Tätigkeit zur Vorbereitung auf künftige Anforderungen aus BSI-Grundschutz++Einordnung neuer methodischer AnsätzeKeine verpflichtende Erstellung von Konzepten nach Grundschutz++, solange der Standard nicht finalisiert istEnge Abstimmung mit dem Auftraggeber über Weiterentwicklungen

Beratung zu VS-IT und Informationsverbünden

Praktische Beratung zur Umsetzung von VS-IT (Verschlusssachen-IT) nach VSA Bayern / VSA BundErstellung von Realisierungsplänen für VS-IT-InfrastrukturenUnterstützung für mehrere Informationsverbünde (Clusterung aufgrund der Größe des Justizressorts)Einbindung der Berater in die Stabsstelle IT-Sicherheitsmanagement

Liefergegenstände und Dokumentation

Basisdokumentation im Tool HiScoutManteldokument (zusammenfassender Managementbericht)Bearbeitbare digitale Dokumente (MS Office o. ä.)Eingebettete Zeichnungen/Pläne digital weiterverarbeitbar (z. B. Visio, Project, Mindmaps)Finale abnahmefähige Dokumente als PDFRegelmäßige Jour-Fixe-Termine alle 14 Tage (ca. 60 Minuten)

Leistungsmodus: Abrufstruktur

Leistungen werden ausschließlich auf Abruf erbracht (keine regelmäßig wiederkehrende Leistung)Reaktionszeit: Spätestens 20 Arbeitstage nach Aufforderung müssen die Berater startenDrei-Monats-Planung: Auftraggeber plant die Beraterressourcen in 3-Monats-Blöcken mit 20 Arbeitstagen VorlaufMindestabnahme: 50 Personentage pro Jahr (verbindliche Vergütungspflicht)Geplante Abnahme: 200 Personentage pro JahrObergrenze: maximal 900 Personentage insgesamt (entspricht 7.200 Personenstunden)Bei Erreichen der Obergrenze endet der Vertrag automatisch

Leistungsort und -zeiten

Überwiegend am Sitz des Auftragnehmers oder remoteGelegentlich an Standorten des Bayerischen Staatsministeriums der Justiz (i. d. R. München)Leistungserbringung muss aus dem Hoheitsgebiet der Bundesrepublik Deutschland erfolgen (auch durch Unterauftragnehmer)Zuschlagsfreie Zeiten: Mo–Fr 07:30–18:00 UhrBis zu 10 Stunden pro Kalendertag abrechenbar (mit Nachweis)Reisekostenpauschale optional (für vom AG veranlasste Reisen)

Eingesetztes Personal

Zwei Schlüsselpersonen sind Pflicht: IT-Sicherheitsberater Nr. 1 und Nr. 2Weitere Berater dürfen bei Bedarf hinzugezogen werdenBerater bleiben organisatorisch beim Auftragnehmer (keine Arbeitnehmerüberlassung)Auftraggeber kann fachliche Anforderungen konkretisieren und Arbeitsergebnisse abstimmenKeine Unterauftragnehmer für die Schlüsselpositionen (auch keine 100%-Tochtergesellschaften)

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Persönliche Eignung / Ausschlussgründe

Keine Ausschlussgründe nach §§ 123, 124 GWB (z. B. Korruption, wettbewerbsbeschränkende Absprachen)Ordnungsgemäße Zahlung von Steuern, Abgaben und SozialversicherungsbeiträgenEinhaltung von Mindestlohngesetz (MiLoG), Arbeitnehmerentsendegesetz (AEntG), SchwarzarbeitsbekämpfungsgesetzEigenerklärung Russlandbezug (EU-VO 833/2014)Keine Ausschlussgründe nach Lieferkettensorgfaltspflichtengesetz (LkSG)

Wirtschaftliche und finanzielle Leistungsfähigkeit

Nachweis einer Berufshaftpflichtversicherung über mindestens 5 Mio. EUR (auf Verlangen zum Vertragsbeginn)Nachweis Jahresumsatz mit Beratungsleistungen IT-Sicherheitskonzepte 2023–2025Nachweis Gesamtumsatz 2023–2025Mindestumsatz 500.000 EUR/Jahr für IT-Sicherheitsberatung in 2023–2025 (K.O.-Kriterium)Mindestens 10 festangestellte Mitarbeiter seit Januar 2023 (K.O.-Kriterium)Verpflichtung zur Vorlage von Jahresabschlüssen auf Anforderung

ISMS-Zertifizierung des Unternehmens

Gültige Zertifizierung nach ISO/IEC 27001 oder BSI IT-GrundschutzDer zertifizierte Scope muss die hier ausgeschriebenen IT-Sicherheitsberatungsleistungen ganz oder in relevanten Teilen umfassenNachweis mit Angabe von Scope, Zertifizierungsstelle und LaufzeitReine Prüfberichte, Teilstandards oder branchenspezifische Nachweise sind nicht ausreichendBei Verlust der Zertifizierung während der Vertragslaufzeit wird eine angemessene Nachfrist zur Rezertifizierung eingeräumtBSI-zertifizierter IT-Sicherheitsdienstleister (IS-Revision / IS-Beratung / IS-Penetrationstest) kann als gleichwertig gelten, sofern IT-Grundschutz-Umsetzung nachgewiesen oder IS-Kurzrevision erfolgreich + VS-NfD-Befähigung

Referenzen nach Kriterium K5.6.2

Mindestens 1 Referenz, maximal 2 ReferenzenJede Referenz muss einzeln die Merkmale 1–5 erfüllen:

1. Erstellung/Aktualisierung von Sicherheitskonzepten nach BSI IT-Grundschutz

2. Durchgeführte Audits nach BSI IT-Grundschutz

3. Erfahrung mit BSI-Standards 200-2 und 200-3

4. Mind. 2 Personen eingesetzt, Projektvolumen mind. 500.000 EUR, Projektzeitraum mind. 2 Jahre, abgeschlossen in den letzten 4 Jahren

5. Nachprüfbarer Ansprechpartner beim Auftraggeber (kein anonymer Verweis)

Merkmale 6–9 können kumulativ von den beiden Referenzen erfüllt werden:

6. IT-Sicherheitskonzepte basieren auf BSI IT-Grundschutz

7. Mindestens ein Sicherheitskonzept für Informationsverbünde mit Verschlusssachen (VS-Klassifizierung zwingend)

8. Zugehöriger Informationsverbund wurde nach Erstellung erfolgreich BSI-Grundschutz zertifiziert

9. HiScout umfassend im Referenzprojekt selbst eingesetzt (keine Gleichstellung mit anderen ISMS-Tools)

Sammelreferenzen aus Rahmenverträgen mit vergleichbaren Einzelprojekten sind zulässigVertrauliche Referenzen können als VS-NfD-konform PGP-verschlüsselte Anlage eingereicht werden

Schlüsselpersonal – gemeinsame Anforderungen

Akademischer Abschluss Bachelor oder höher (DQR/EQR Niveau 6); gleichgestellt: Staatlich geprüfter Techniker, Diplomingenieur (FH)Sprachnachweis Deutsch C2 (GER)HiScout-Kompetenz: Schulungsnachweis der bayerischen Staatsverwaltung ODER nachgewiesene praktische Erfahrung mit HiScout GRC Suite (Module Grundschutz/ISM)Bayern-LSI-attestierte Schulungen werden anerkannt; Attestierungen durch andere bayerische Landesministerien nur bei Bestätigung durch LSI BayernEigene fest angestellte Mitarbeiter des Bieters bzw. der Bietergemeinschaft – keine Unterauftragnehmer, auch keine 100%-TochtergesellschaftenSicherheitsüberprüfung muss spätestens zur Aufnahme der sicherheitsempfindlichen Tätigkeit vorliegen; SÜG-Bund wird als gleichwertig zu BaySÜG anerkanntMit dem Angebot genügt eine Eigenerklärung; abgeschlossene SÜ zum Angebotszeitpunkt nicht erforderlich

IT-Sicherheitsberater Nr. 1

Sicherheitsüberprüfung nach § 9 SÜG (Ü2 / erhöhte Überprüfung)Signifikantes Wissen zu VS-IT und praktische Umsetzung nach VSA Bayern / VSA BundBefähigung zur Bearbeitung von Verschlusssachen bis VS-NfDBewertet: Jahre Berufserfahrung Informationssicherheit, Anzahl selbst erstellter BSI-konformer Sicherheitskonzepte, Schwachstellenanalyse-Erfahrung, VSA-Projekte, BSI-Zertifikat, Anzahl durchgeführter Audits, Fortschreibungserfahrung

IT-Sicherheitsberater Nr. 2

Sicherheitsüberprüfung nach § 8 SÜG (Ü1 / einfache Überprüfung)Signifikantes Wissen zu VS-IT und praktische Umsetzung nach VSA Bayern / VSA BundBewertet: Jahre Berufserfahrung, BSI-Sicherheitskonzepte, VSA-Projekte, Schwachstellenanalyse, BSI-Zertifikat, Audit-Anzahl, FortschreibungserfahrungGleiche formalen Anforderungen wie Berater Nr. 1 (Bachelor, Deutsch C2, HiScout)

Referenzprojekte

mindestens 1, maximal 2 ReferenzenZeitraum: aus den letzten 4 Jahren, abgeschlossen zum Angebotsfristende (06.07.2026); Projektzeitraum mind. 2 JahreVolumen: mind. 500.000 EUR (Erstellung/Aktualisierung Sicherheitskonzepte bzw. Bieteranteil)

Erstellung und Aktualisierung von IT-Sicherheitskonzepten nach BSI IT-Grundschutz (K5.6.2, Merkmale 1–5 je Referenz)

Nachprüfbarer Ansprechpartner beim Auftraggeber; mind. 2 eingesetzte Mitarbeiter; Formblatt 'Vorlage_Referenz_Kriterium K5.6.2- IT-Sicherheit.docx'

mindestens 1 Referenz ReferenzenZeitraum: s. o.Volumen: s. o.

Sicherheitskonzepte für Informationsverbünde mit Verschlusssachenverarbeitung (K5.6.2 Merkmal 7)

VS-Klassifizierung zwingend; erhöhter Schutzbedarf allein gilt nicht als Äquivalent

mindestens 1 Referenz ReferenzenZeitraum: s. o.Volumen: s. o.

Umfassender Einsatz des ISMS-Tools HiScout im Referenzprojekt selbst (K5.6.2 Merkmal 9)

Andere ISMS-Tools werden nicht gleichgestellt; personenbezogene HiScout-Erfahrung allein reicht nicht

kann kumulativ über max. 2 Referenzen erfüllt werden ReferenzenZeitraum: s. o.Volumen: s. o.

Erfolgreiche BSI-Grundschutz-Zertifizierung des zugehörigen Informationsverbunds nach Konzepterstellung

Sammelreferenzen aus Rahmenverträgen mit vergleichbaren Einzelprojekten sind zulässig

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.

Wettbewerb & Angebotsprognose

Erwartete Konkurrenz auf Basis vergleichbarer Vergaben

1–3Angebote erwartet

Median vergleichbarer Vergaben: rund 2 Angebote

Geringe Konkurrenz

Wahrscheinliche Bieterzahl

1–3 · 38%4–10 · 32%11+ · 29%

Unternehmen mit ähnlichen Zuschlägen

Aus vergleichbaren, bereits vergebenen Vergaben (KI-Ähnlichkeit)

Checkliste zur AngebotsabgabeKonkrete Schritte laut Vergabeunterlagen0 von 31 erledigt

Formale Eigenerklärungen und Pflichtdokumente

Eignung des Unternehmens

Schlüsselpersonal – IT-Sicherheitsberater Nr. 1 und Nr. 2

Referenzprojekte nach K5.6.2

Leistungsbeschreibung und Preis

Mit TendiGo

Alle Vergabeunterlagen, KI-Analyse der Eignungskriterien und ein Angebots-Check — direkt zu dieser Ausschreibung.

Ausschreibung prüfen & bewerben

Zur Original-Ausschreibung ↗

Vergabeunterlagen abrufenKI prüft EignungskriterienKI hilft bei der Bewerbung

Neue passende Ausschreibungen per E-Mail

Erhalten Sie ähnliche Vergabeverfahren, sobald sie veröffentlicht werden.

Kostenlos · jederzeit abbestellbar

Auf einen Blick

Auftraggeber

Freistaat Bayern, vertreten durch das Bayerische Staatsministerium der Justiz | Regierung von Oberbayern - Vergabekammer Südbayern | Der Präsident des Oberlandesgerichts München | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)

Anschrift

80335 München

Ort

80335 München

Kategorie

IT-Security

Auftragsvolumen

1,3 Mio €

Veröffentlicht

29. Juni 2026

Angebotsfrist

06. Juli 2026

Auftraggeber-Website

www.justiz.bayern.de/ ↗

Erfüllungsort

Ort der Leistung

80335 München

Bayern

Weitere Ausschreibungen IT-Security

Alle anzeigen →

IT-Sicherheits- & Beratungsdienstleistungen

Bereit für die Zukunft der Vergabe?

Setzen Sie auf den neuen technologischen Standard und verschaffen Sie sich den entscheidenden Vorsprung in der Auftragsakquise.

806+ VergabequellenMit Experten entwickeltSofort einsatzbereit

Unterstützung und Beratung bei der Erstellung bzw. Aktualisierung von IT-Sicherheitskonzepten

Zusammenfassung

Zeitplan & Fristen

Zuschlagskriterien

Leistungsumfang

Kernleistung: Sicherheitskonzepte nach BSI IT-Grundschutz

Sechs Leistungsphasen je Sicherheitskonzept

Einführungsunterstützung BSI-Grundschutz++

Beratung zu VS-IT und Informationsverbünden

Liefergegenstände und Dokumentation

Leistungsmodus: Abrufstruktur

Leistungsort und -zeiten

Eingesetztes Personal

Eignungskriterien

Persönliche Eignung / Ausschlussgründe

Wirtschaftliche und finanzielle Leistungsfähigkeit

ISMS-Zertifizierung des Unternehmens

Referenzen nach Kriterium K5.6.2

Schlüsselpersonal – gemeinsame Anforderungen

IT-Sicherheitsberater Nr. 1

IT-Sicherheitsberater Nr. 2

Wettbewerb & Angebotsprognose

Unternehmen mit ähnlichen Zuschlägen

Auf einen Blick

Erfüllungsort

Weitere Ausschreibungen IT-Security

IT-Beratungsleistungen Informationssicherheit

IT Security Consulting Services

IT Security Consulting Services

Awareness-Plattform

Externer Dienstleister Fortführung Projekt BSI-IT-Grundschutz

Vergabe von Seminaren und Webinaren

Bereit für die Zukunft der Vergabe?