Krypto-Plattform

Die Krypto-Plattform wird On-Premise in zwei örtlich getrennten Rechenzentren der TK betrieben. Die Lösung muss Hochverfügbarkeit mit automatischem Failover ohne Daten- oder Zeitverlust bieten. Sie ist an Microsoft Active Directory anzubinden und unterstützt RBAC. Zudem ist die Anbindung an die Ansible Automation Plattform sowie an externe Zertifizierungsstellen (DigiCert) erforderlich. Schlüssellängen ab 4K sowie ECC sind Pflicht, Post-Quantum-Kryptografie ist vorzubereiten.

Lieferung von Multi-Tenant-fähigen Hardware-Sicherheitsmodulen (nShield 5c 10G High) als Cluster-Lösung, betrieben in mehreren Rechenzentren. Es sind mindestens 5 eigene Secure-World-Umgebungen bereitzustellen. Die HSMs müssen Post-Quantum-Standards unterstützen und bei künftiger Standard-Festlegung per Softwareanpassung nachgezogen werden. Ein zentrales Management-Tool ist Pflicht. Hardware wird originalverpackt an die TK-Hauptzentrale (Hamburg, Habichtstraße 28) oder an die Rechenzentren RZ2/RZ4 (Grasweg 62, q.beyond AG) geliefert.

Entrust KMS Infrastruktur (On-Premise): Lifecycle-Management für Schlüssel und Geheimnis-Tresore, Compliance-Manager-Dashboard, Anbindung an Microsoft AD und RBAC.

PKI-Portal / Certificate Hub: Verwaltung von mindestens 30.000 Zertifikaten (Webserver- und Druckerzertifikate), erweiterbar auf mindestens 4 Domänen. Unterstützte Funktionen: Zertifikatsbestellung, CSR-Verarbeitung, Widerruf, Genehmigungsworkflows, PDF-Reports, Aktivitätsverlauf, Ablaufbenachrichtigungen. MDM-Integration (Microsoft Intune, Jamf) und ACME-v2-Schnittstelle. Bereitstellung als Windows Server 2025, RHEL 8/9 oder als Appliance.

Inbetriebnahme (einmalig): Inklusive automatisierter Migration der bestehenden Zertifikate, Lieferung 4 Wochen nach Zuschlag, Inbetriebnahme innerhalb von 30 Werktagen nach Abstimmung.

Assessment: Strukturiertes Assessment (3 Personentage einmalig) mit IST-Analyse und Migrationskonzept.

Wartung/Support auf Abruf: Ca. 2–4 Einsätze pro Jahr für Updates, Softwareanpassungen und Health-Checks, ausschließlich remote (MS Teams, TeamViewer, VPN), Support deutsch- oder englischsprachig. Dienstleistungskontingent: 250 Personentage à 8 Stunden auf Abruf.

Schulung: Individualisierte Schulung für bis zu 3 Personen à 3 Tage (einmalig).

Servicezeiten: Mo–Fr 06:00–20:00 Uhr (bundesweite Feiertage ausgenommen).

Die Lieferung muss u.a. folgende technische Anforderungen erfüllen: stille Installation (MSI, rpm, OVA, Docker), VMware-vSphere-kompatibel ab Version 9.0, Kompatibilität mit VEEAM-Backup, x86-Hardware mit Remote Management Board und 19-Zoll-Rack-Einbau, RFC-konforme Netzwerkprotokolle, IPv4-NAT-fähig. IT-Sicherheit: SSO über Entra ID, AD, SAML oder OpenID/OAuth2, TLS nach BSI TR-02102-2, Patch-Management, Schadsoftwarefreiheit, Passwortrichtlinien mit definierten Entropie-Anforderungen, sichere Cookie-Nutzung, Webclient-Kompatibilität (Chrome, Firefox, Edge, Safari – aktuelle und Vorgängerversion).

Im Preisblatt (Anlage A1) sind zusätzliche Lizenzen, Kapazitätserweiterungen und Hardware-Komponenten als Optionen aufgeführt. Diese Erweiterungen sind Schätzwerte, kein Anspruch auf Abruf bestimmter Mengen. Lieferzeit für optionale Erweiterungen: 8 Wochen nach Anforderung.

Eigenerklärung über den Gesamtumsatz (netto, in Euro) der letzten 3 abgeschlossenen Geschäftsjahre. Tabellarische Angabe je beteiligtes Unternehmen (Bieter, Bietergemeinschaftsmitglied, Drittunternehmen).

Das eingesetzte Personal muss in den letzten 2 Jahren an mindestens 2 Enterprise-Projekten mitgewirkt haben. Geforderte Qualifikationen:

Qualifikationsprofile sind auf Verlangen vorzulegen.

Mindestens 2 Referenzen aus den letzten 3 Jahren. Je Referenz müssen mindestens 2 der folgenden 4 Kriterien erfüllt sein; in Summe über alle Referenzen müssen alle 4 Kriterien abgedeckt werden:

1. Betrieb eines Entrust CSP-PKI-Portals

2. Verwaltung von mindestens 5.000 Zertifikaten

3. Betrieb und Anbindung eines Microsoft Active Directory Certificate Services (AD CS)

4. Einrichtung oder Betrieb eines Entrust HSM

Pflichtangaben je Referenz: Name des Auftragnehmers, Name des Auftraggebers, Leistungszeitraum, Erfüllung der Kriterien (Ja/Nein). Ansprechpartner mit Kontaktdaten sind auf Nachfrage bereitzustellen.