See the notice on TED website
1. Beschaffer
1.1.
Beschaffer
Offizielle Bezeichnung: Ministerium für Heimat, Kommunales, Bau und Digitalisierung des Landes Nordrhein-Westfalen (MHKBD)
Rechtsform des Erwerbers: Regionale Gebietskörperschaft
Tätigkeit des öffentlichen Auftraggebers: Wohnungswesen und kommunale Einrichtungen
2. Verfahren
2.1.
Verfahren
Titel: Cybersicherheitsanalysen
Beschreibung: Am 30.10.2023 gab es einen Ransomware-Angriff auf die Südwestfalen-IT (SIT). Die SIT ist ein kommunales Rechenzentrum mit Sitz in Hemer und Siegen, das als Dienstleister insbesondere die IT für 72 Kommunen – darunter alle Kommunen in Südwestfalen – betreibt. Aufgrund dieser Tätigkeit waren neben der SIT selbst auch all diese Kommunen von dem Angriff betroffen. Die IT ist in 72 Kommunen mit 22.000 Arbeitsplätzen ausgefallen, darunter alle Kommunen im Hochsauerlandkreis, Märkischen Kreis, Kreis Olpe, Kreis Siegen-Wittgenstein, Kreis Soest (einschließlich dieser Kreise selbst) sowie mehrere Kommunen im Rheinisch-Bergischen Kreis und einige kommunale Unternehmen. Auch einige Städte im Ruhrgebiet und im südlichen Münsterland waren betroffen. Der Ransomware-Angriff zwang die kommunalen Einrichtungen dazu, einen Großteil ihrer IT-Systeme abzuschalten, was sich in erheblichem Maße einschränkend auf die Leistungsfähigkeit der Kommunen auswirkte. Mitunter beeinträchtigte der Angriff die Verwaltungsabläufe und verschiedene Bürgerdienste. Die kommunalen Einrichtungen waren teilweise nicht arbeitsfähig. Rathäuser blieben mehrheitlich geschlossen, Termine mit Bürgern mussten abgesagt werden. Der Angriff zeigte, dass akuter und dringlicher Handlungsbedarf im Themenfeld IT-Sicherheit besteht. Das Ministerium für Heimat, Kommunales, Bau und Digitalisierung des Landes Nordrhein-Westfalen (MHKBD) muss für die Kommunen deshalb dringend eine vom Land getragene Initiative anbieten, damit alle Kommunen eine Cybersicherheitsanalyse als Fremdbild auf ihre IT-Sicherheitssituation erhalten und in die Lage versetzt werden, Maßnahmen abzuleiten und diese zu priorisieren. Vor diesem Hintergrund plant das MHKBD, den Kommunen für ein Jahr pauschal zu bepreisende Cybersicherheitsanalysen anzubieten. Um den Risiken für die IT-Sicherheit der Kommunen schnellstmöglich zu begegnen, beabsichtigt das MHKBD den entsprechenden Auftrag im Wege eines Verhandlungsverfahrens ohne Teilnahmewettbewerb direkt an die Bechtle AG (Bechtle) zu vergeben. Ziel der von Bechtle zu konzipierenden Cybersicherheitsanalysen soll insbesondere sein, in den teilnehmenden Kommunen zu ermitteln, ob die bereits getroffenen Schutzvorkehrungen eine ausreichende Widerstandsfähigkeit gegen Cyberangriffe gewährleisten. Gleichzeitig sollen den Systembetreuern Hilfsmittel und Handlungsvorschläge an die Hand gegeben werden, um ein möglichst hohes Grundniveau an IT-Sicherheit zu erreichen und langfristig sicherzustellen.
Kennung des Verfahrens: 8fafef7e-b97e-4aba-b502-dbe1cb03281a
Interne Kennung: Cybersicherheitsanalysen
Verfahrensart: Verhandlungsverfahren ohne Aufruf zum Wettbewerb
2.1.1.
Zweck
Art des Auftrags: Dienstleistungen
Haupteinstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung
Zusätzliche Einstufung (cpv): 35120000 Überwachungs- und Sicherheitssysteme und -einrichtungen
2.1.2.
Erfüllungsort
Stadt: Düsseldorf
Land, Gliederung (NUTS): Düsseldorf, Kreisfreie Stadt (DEA11)
Land: Deutschland
2.1.4.
Allgemeine Informationen
Rechtsgrundlage:
Richtlinie 2014/24/EU
vgv -
5. Los
5.1.
Los: LOT-0001
Titel: Cybersicherheitsanalysen
Beschreibung: Am 30.10.2023 gab es einen Ransomware-Angriff auf die Südwestfalen-IT (SIT). Die SIT ist ein kommunales Rechenzentrum mit Sitz in Hemer und Siegen, das als Dienstleister insbesondere die IT für 72 Kommunen – darunter alle Kommunen in Südwestfalen – betreibt. Aufgrund dieser Tätigkeit waren neben der SIT selbst auch all diese Kommunen von dem Angriff betroffen. Die IT ist in 72 Kommunen mit 22.000 Arbeitsplätzen ausgefallen, darunter alle Kommunen im Hochsauerlandkreis, Märkischen Kreis, Kreis Olpe, Kreis Siegen-Wittgenstein, Kreis Soest (einschließlich dieser Kreise selbst) sowie mehrere Kommunen im Rheinisch-Bergischen Kreis und einige kommunale Unternehmen. Auch einige Städte im Ruhrgebiet und im südlichen Münsterland waren betroffen. Der Ransomware-Angriff zwang die kommunalen Einrichtungen dazu, einen Großteil ihrer IT-Systeme abzuschalten, was sich in erheblichem Maße einschränkend auf die Leistungsfähigkeit der Kommunen auswirkte. Mitunter beeinträchtigte der Angriff die Verwaltungsabläufe und verschiedene Bürgerdienste. Die kommunalen Einrichtungen waren teilweise nicht arbeitsfähig. Rathäuser blieben mehrheitlich geschlossen, Termine mit Bürgern mussten abgesagt werden. Der Angriff zeigte, dass akuter und dringlicher Handlungsbedarf im Themenfeld IT-Sicherheit besteht. Das Ministerium für Heimat, Kommunales, Bau und Digitalisierung des Landes Nordrhein-Westfalen (MHKBD) muss für die Kommunen deshalb dringend eine vom Land getragene Initiative anbieten, damit alle Kommunen eine Cybersicherheitsanalyse als Fremdbild auf ihre IT-Sicherheitssituation erhalten und in die Lage versetzt werden, Maßnahmen abzuleiten und diese zu priorisieren. Vor diesem Hintergrund plant das MHKBD, den Kommunen für ein Jahr pauschal zu bepreisende Cybersicherheitsanalysen anzubieten. Um den Risiken für die IT-Sicherheit der Kommunen schnellstmöglich zu begegnen, beabsichtigt das MHKBD den entsprechenden Auftrag im Wege eines Verhandlungsverfahrens ohne Teilnahmewettbewerb direkt an die Bechtle AG (Bechtle) zu vergeben. Ziel der von Bechtle zu konzipierenden Cybersicherheitsanalysen soll insbesondere sein, in den teilnehmenden Kommunen zu ermitteln, ob die bereits getroffenen Schutzvorkehrungen eine ausreichende Widerstandsfähigkeit gegen Cyberangriffe gewährleisten. Gleichzeitig sollen den Systembetreuern Hilfsmittel und Handlungsvorschläge an die Hand gegeben werden, um ein möglichst hohes Grundniveau an IT-Sicherheit zu erreichen und langfristig sicherzustellen.
Interne Kennung: Cybersicherheitsanalysen
5.1.1.
Zweck
Art des Auftrags: Dienstleistungen
Haupteinstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung
Zusätzliche Einstufung (cpv): 35120000 Überwachungs- und Sicherheitssysteme und -einrichtungen
Menge: 1
5.1.2.
Erfüllungsort
Land, Gliederung (NUTS): Düsseldorf, Kreisfreie Stadt (DEA11)
Land: Deutschland
5.1.3.
Geschätzte Dauer
Laufzeit: 1 Jahr
5.1.6.
Allgemeine Informationen
Die Beschaffung fällt unter das Übereinkommen über das öffentliche Beschaffungswesen: ja
5.1.7.
Strategische Auftragsvergabe
Ziel der strategischen Auftragsvergabe: Keine strategische Beschaffung
5.1.10.
Zuschlagskriterien
Kriterium:
Art: Preis
Bezeichnung: Preis
Kategorie des Gewicht-Zuschlagskriteriums: Gewichtung (Prozentanteil, genau)
Zuschlagskriterium — Zahl: 100
5.1.15.
Techniken
Informationen über das dynamische Beschaffungssystem:
Kein dynamisches Beschaffungssystem
5.1.16.
Weitere Informationen, Schlichtung und Nachprüfung
Überprüfungsstelle: Vergabekammer Rheinland
Informationen über die Überprüfungsfristen: Genaue Angaben zu den Fristen für die Einlegung von Rechtsbehelfen: Die Frist zur Einreichung eines Nachprüfungsantrages bei der Vergabekammer Rheinland, um den Abschluss des Vertrages zu verhindern, beträgt zehn Kalendertage, gerechnet ab dem Tag nach Veröffentlichung dieser Bekanntmachung. Auf § 135 Abs. 3 GWB wird hingewiesen.
TED eSender: Beschaffungsamt des BMI
6. Ergebnisse
Direktvergabe:
Begründung der Direktvergabe: Dringende Gründe im Zusammenhang mit für den Beschaffer unvorhersehbaren Ereignissen
Sonstige Begründung: Ein Verhandlungsverfahren ohne Teilnahmewettbewerb gemäß § 14 Abs. 4 Nr. 3 VgV ist zulässig, da angesichts des Ransomware-Angriffs auf die Südwestfalen-IT (SIT) eine äußerste Dringlichkeit vorliegt. Für das Ministerium für Heimat, Kommunales, Bau und Digitalisierung des Landes Nordrhein-Westfalen (MHKBD) ist es aus äußerst dringlichen und zwingenden Gründen nicht möglich, die Mindestfristen für die wettbewerblichen Verfahren einzuhalten. Denn angesichts des Ransomware-Angriffs auf die SIT ist deutlich, dass die Daseinsvorsorge der kommunalen Einrichtungen sowie Leib und Leben der Allgemeinheit akut gefährdet sind. Infolge des Ransomware-Angriffs waren Notruf-Instrumente außer Betrieb gesetzt (NORA-App) und existenziell wichtige finanzielle Transaktionen (u. a. Bürgergeld) zeitweise nicht möglich. Die entsprechenden IT-Sicherheitsvorrichtungen der Kommunen müssen deshalb schnellstmöglich überprüft und gestärkt werden. Da es sich bei der zu vergebenden Leistung um eine Maßnahme der Gefahrenabwehr handelt, die die Daseinsvorsorge sicherstellen soll, sind die Vorhersehbarkeit und die Zurechenbarkeit der Umstände, die zur Dringlichkeit führen, unerheblich. Ungeachtet dessen waren diese Umstände für das MHKBD allerdings ohnehin weder vorhersehbar noch sind sie dem Verhalten des MHKBD zurechenbar. Bei einem Angriff solchen Ausmaßes handelt es sich nicht um eine wiederkehrende Gefahr, die das MHKBD in Betracht zu ziehen hatte. Vielmehr beruht der Angriff auf externen strafrechtlich relevanten Einflüssen einer Hackergruppe. Hierbei handelt es sich um ein Ereignis, das mit dem üblichen wirtschaftlichen sowie sozialen Leben nicht in Zusammenhang steht und mit dem das MHKBD nicht zu rechnen hatte. Das MHKBD hält die negativen Auswirkungen auf den Wettbewerb so gering wie möglich, indem die Direktvergabe nur erste Maßnahmen im Sinne einer Interimslösung umfassen soll und damit hinsichtlich Umfang und Dauer auf das erforderliche Maß beschränkt ist. Der Abrufzeitraum beträgt ein Jahr. Sollte sich herausstellen, dass der Abrufzeitraum verlängert werden muss, wird das MHKBD den Auftrag europaweit ausschreiben und damit in den Wettbewerb stellen. Das MHKBD darf den Auftrag ausnahmsweise auch direkt an Bechtle vergeben, da das MHKBD die IT-Dienstleistungen von Bechtle bereits kennt und sie als für seine Zwecke geeignet bewertet hatte. Insbesondere verfügt Bechtle über jahrelange einschlägige Erfahrungen auf dem Gebiet der Cybersicherheitsanalyse. Bechtle führte entsprechende Analysen bereits erfolgreich mit 185 Kommunen des Landes Niedersachsen durch. Zudem ist Bechtle aufgrund ihrer Unternehmensgröße personell in der Lage, solche zeitkritischen Großprojekte schnellstmöglich effizient umzusetzen.
8. Organisationen
8.1.
ORG-0004
Offizielle Bezeichnung: Beschaffungsamt des BMI
Registrierungsnummer: 994-DOEVD-83
Stadt: Bonn
Postleitzahl: 53119
Land, Gliederung (NUTS): Bonn, Kreisfreie Stadt (DEA22)
Land: Deutschland
Telefon: +49228996100
Rollen dieser Organisation:
TED eSender
8.1.
ORG-0001
Offizielle Bezeichnung: Ministerium für Heimat, Kommunales, Bau und Digitalisierung des Landes Nordrhein-Westfalen (MHKBD)
Registrierungsnummer: 05111-08001-06
Postanschrift: Jürgensplatz 1
Stadt: Düsseldorf
Postleitzahl: 40219
Land, Gliederung (NUTS): Düsseldorf, Kreisfreie Stadt (DEA11)
Land: Deutschland
Telefon: 0211-8618-50
Rollen dieser Organisation:
Beschaffer
8.1.
ORG-0002
Offizielle Bezeichnung: Vergabekammer Rheinland
Registrierungsnummer: 05315-03002-81
Postanschrift: Zeughausstraße 2-10
Stadt: Köln
Postleitzahl: 50667
Land, Gliederung (NUTS): Köln, Kreisfreie Stadt (DEA23)
Land: Deutschland
Telefon: +49 221 147-3045
Rollen dieser Organisation:
Überprüfungsstelle
8.1.
ORG-0003
Offizielle Bezeichnung: Bechtle AG
Registrierungsnummer: DE143849458
Stadt: Neckarsulm
Postleitzahl: 74172
Land, Gliederung (NUTS): Heilbronn, Landkreis (DE118)
Land: Deutschland
Telefon: +49 7132 9810
Rollen dieser Organisation:
Bieter
Wirtschaftlicher Eigentümer:
Staatsangehörigkeit des Eigentümers: Deutschland
Informationen zur Bekanntmachung
Kennung/Fassung der Bekanntmachung: 05240ee1-9b86-4a6f-9863-e03cdd123b49 - 01
Formulartyp: Vorankündigung – Direktvergabe
Art der Bekanntmachung: Freiwillige Ex-ante-Transparenzbekanntmachung
Unterart der Bekanntmachung: 25
Datum der Übermittlung der Bekanntmachung: 16/01/2024 00:00:00 (UTC+01:00) Mitteleuropäische Zeit, Westeuropäische Sommerzeit
Sprachen, in denen diese Bekanntmachung offiziell verfügbar ist: Deutsch
Veröffentlichungsnummer der Bekanntmachung: 34356-2024
ABl. S – Nummer der Ausgabe: 13/2024
Datum der Veröffentlichung: 18/01/2024