Digitalagentur Smarte Grenzregion GmbH, KielRegion GmbH - SH-Navi - Los 2 - DevOps und Betrieb

Was ist SH-Navi?

Eine zentrale Cloud-Plattform, die Mobilitätsangebote in Schleswig-Holstein bündelt (ÖPNV/SPNV, On-Demand, Sharing, Rad, Auto). Sie liefert Nutzenden Routenplanung, Echtzeit-Infos, Tarifauskünfte und standortbasierte Übersichten.

Rolle von Los 2:

Los 2 liefert NICHT die Anwendungssoftware selbst (das macht Los 1), sondern stellt die Cloud-Infrastruktur und den laufenden Betrieb bereit und sorgt dafür, dass neue Software-Stände automatisiert und reproduzierbar in Produktion gehen.

Wer ist Auftraggeber?

• Digitalagentur Smarte Grenzregion GmbH, Flensburg (federführend)
• KielRegion GmbH, Kiel (leistungsberechtigt)

• Public Cloud als Mindestanforderung; Private/Hybrid nur, wenn alle Anforderungen vollständig erfüllt sind.
• Bereitstellung und Betrieb einer Testumgebung und einer Produktivumgebung (geplant außerdem eine separate Graph-Build-Instanz für den Routing-Graph).
• Richtwerte für Umgebungsgrößen:
• Staging: 2–4 vCPU, 16–32 GB RAM, 100–200 GB SSD
• Produktion: 8–16 vCPU, 96–128 GB RAM, 500 GB – 1 TB SSD
• Graph-Build: 8–16 vCPU, 128 GB RAM, 500 GB – 1 TB SSD
• Web-Zugriff per HTTPS, mobile Apps für iOS und Android (jeweils aktuelles und vorheriges Major-Release).
• Speicher dynamisch skalierbar, keine Limitierung des Speicherumfangs.
• Mehr als zwei georedundante Standorte.
• Datenverarbeitung auch in Drittstaaten mit EU-Angemessenheitsbeschluss möglich; Metadaten nur in EU/EWR.
• Keine Begrenzung der Nutzerzahl.

• Aufbau und Betrieb von CI/CD-Pipelines zur Integration der Software-Artefakte aus Los 1.
• Kontrollierte Deployments mit technischer und fachlicher Vor-Prüfung, automatisierte Rollbacks auf stabile Softwarestände.
• Versionierung und Dokumentation aller Deployments, Releases und Rollbacks.
• Übergabeprozess: Los 1 liefert lauffähige Container/Pakete plus Installations- und Konfigurationsanleitungen; Los 2 übernimmt die deploybare Version.

• Einrichtung und Betrieb von Monitoring, Logging und Sicherheitsmechanismen.
• Backup: mindestens täglich für Test- und Produktivumgebung; mindestens 3 logisch getrennte Datenkopien, räumlich getrennt, davon mind. eine georedundant.
• Wiederherstellungszeiten: max. 24 Stunden RTO und RPO.
• Penetrationstests: halbjährlich durch unabhängige Dritte.
• Sicherheitspatches je nach Kritikalität:
• Kritisch: innerhalb 3 Stunden
• Hoch: innerhalb 3 Tage
• Mittel: innerhalb 1 Monat
• Niedrig: innerhalb 3 Monate
• ISMS-Zertifikat (z. B. ISO/IEC 27001 oder IT-Grundschutz) ist Pflicht.
• Notfall-Management nach BSI 100-4 / 200-4 oder ISO 22301 ist Pflicht.

• Ticketsystem des Auftragnehmers für Störungsmeldungen, 24/7 erreichbar (für Meldung/Klassifizierung).
• Bearbeitung der Incidents innerhalb der Servicezeiten (siehe nächster Abschnitt).
• Reaktionszeiten im Regelbetrieb (ab V2.0):
• Kategorie 1 (schwerwiegend): 4 Stunden
• Kategorie 2 (erheblich): 8 Stunden
• Kategorie 3 (leicht): 24 Stunden
• Bei softwarebedingten Fehlern: Koordination mit Los 1 (Fehlerbehebung verbleibt dort).

• Servicezeiten:
• Testumgebung: Mo–Fr 09:00–17:00 Uhr
• MVP-Phase: Mo–Fr 08:00–18:00 Uhr
• Regulärer Produktivbetrieb (ab V2.0): Mo–Fr 07:00–20:00 Uhr
• Gesetzliche Feiertage in Schleswig-Holstein sind keine Servicezeit.
• Monatliches Reporting gemäß EVB-IT Cloud-AGB: Neue Releases, Nutzungsstatistik, Sicherheitsvorfälle, Backups/Datenexporte.

• Stufenweise Betriebsaufnahme mit zunehmender Funktionsreife:
• MVP: bis Ende September 2026
• Version 1.0: bis Q1/2027
• Regulärer Produktivbetrieb ab Version 2.0: bis Q3/2027
• Bereitstellung der jeweiligen Version in Pauschalen (MVP, V1.0, V2.0, weitere Zwischenversionen) gemäß Preisblatt.

• Bereitstellung qualifizierter Personen für Leistungen auf Aufwand:
• DevOps Engineer (mind. 3 Jahre Berufserfahrung), Tagessatz 8 Std.
• Incident & Support Manager (mind. 3 Jahre Berufserfahrung), Tagessatz 8 Std.
• Berater (mind. 3 Jahre Berufserfahrung), Tagessatz 8 Std.
• Projektleiter (mind. 7 Jahre Berufserfahrung), Tagessatz 8 Std.
• Bis zu 10 Stunden pro Personentag abrechenbar.
• Reisekosten und Reisezeiten werden nicht gesondert vergütet.

• Exit-Strategie: 3 Monate nach Vertragsbeginn zu erstellen, fortlaufend zu aktualisieren.
• Exit-Tests: alle 24 Monate sowie bei wesentlichen Änderungen oder absehbarem Vertragsende.
• Datenbereitstellung im Standardformat CSV (maschinenlesbar, inkl. Metadaten, Konfigurationen, Protokolldaten) – innerhalb 10 Kalendertagen nach Anforderung, nach Vertragsende spätestens 30 Kalendertage.
• Datenexport-Schnittstelle bleibt 3 Monate nach Vertragsende verfügbar.

• Keine Ausschlussgründe nach §§ 123 und 124 GWB (Selbstreinigung nach § 125 GWB möglich, Frist 10 Kalendertage nach Rüge).
• Russland-Sanktionen: Erklärung gemäß Art. 5k VO (EU) 833/2014 (keine russische Staatsangehörigkeit, keine Niederlassung in Russland, keine Gesellschafter mit >50 % russischem Bezug); Eignungsverleiher/Nachunternehmer/Lieferanten mit Russland-Bezug nur bis max. 10 % des Auftragswerts.
• Angaben zum Bieter (Name, Anschrift, Register, USt-IdNr., Gesellschafter, Tochtergesellschaften).
• Bei Bietergemeinschaften: Bietergemeinschaftserklärung (Bevollmächtigter, Gesamtschuldner-Haftung).
• Bei Eignungsleihe: Verpflichtungserklärung; bei Eignungsleihe technischer Leistungsfähigkeit muss der Verleiher die Leistung auch als Nachunternehmer erbringen.
• Nachunternehmer müssen vor Zuschlag namentlich benannt werden.
• Mehrfachbeteiligungen sind unzulässig.

• Haftpflichtversicherung (entweder vorhanden oder im Auftragsfall abzuschließen):
• 1,5 Mio. EUR Mindestdeckung für Personenschäden
• 1,0 Mio. EUR Mindestdeckung für Sach- und Vermögensschäden
• Ersatzleistung mindestens das Zweifache der Deckungssummen pro Jahr
• Nettogesamtumsatz der letzten 3 Geschäftsjahre (2023, 2024, 2025) mit vergleichbaren Leistungen (DevOps und Betrieb).
• Bei Bietergemeinschaften werden die Umsätze addiert.

• Deutsche Sprachkenntnisse in Wort und Schrift (Korrespondenz, Konzepte, Dokumentation, Software, Schulungen, Handbücher) sowie deutschsprachige eigene Mitarbeiter mit direktem Kundenkontakt.
• Personalnachweis: jahresdurchschnittliche Beschäftigtenzahl 2023–2025 im auftragsrelevanten Bereich, gegliedert nach:
• Geschäftsführung / Inhaber
• DevOps Engineer
• Incident & Support Manager
• Sonstige Beschäftigte
• Referenzprojekte: mindestens 2 Projekte im Bereich Cloud-Betrieb UND mindestens 2 Projekte im Bereich DevOps/Deployment (Anforderungen a und b; ab 01.01.2021, produktiv oder abgeschlossen).

• ISMS-Zertifikat (ISO/IEC 27001, IT-Grundschutz oder vergleichbar); Nachweis darf bei Abgabefrist max. 12 Monate alt sein.
• Notfall-Management-Nachweis (BSI-Standard 100-4 / 200-4 oder ISO 22301 oder vergleichbar).
• Alternativ werden Zertifikate des Rechenzentrumsbetreibers anerkannt, sofern sie die Anforderungen vollständig abdecken.