143/2025

1. Beschaffer

1.1.

Beschaffer

Offizielle Bezeichnung: Klinik IT eG

E-Mail: f.siebler@gvw.com

Rechtsform des Erwerbers: Öffentliches Unternehmen

Tätigkeit des öffentlichen Auftraggebers: Gesundheit

2. Verfahren

2.1.

Verfahren

Titel: Ausschreibung für den Aufbau und das Vorhalten einer IR-Hotline sowie Leistungen zur Analyse

Beschreibung: Ausschreibung einer Rahmenvereinbarung für den Aufbau und das Vorhalten einer Incident Response Hotline sowie Leistungen zur Analyse der Informationssicherheit von Krankenhäusern

Kennung des Verfahrens: e7dcbe83-5daf-4bf4-92df-1b81bafdaad9

Interne Kennung: n.def.

Verfahrensart: Verhandlungsverfahren mit vorheriger Veröffentlichung eines Aufrufs zum Wettbewerb/Verhandlungsverfahren

Das Verfahren wird beschleunigt: nein

2.1.1.

Zweck

Art des Auftrags: Dienstleistungen

Haupteinstufung (cpv): 72220000 Systemberatung und technische Beratung

2.1.2.

Erfüllungsort

Land, Gliederung (NUTS): München, Kreisfreie Stadt (DE212)

Land: Deutschland

2.1.4.

Allgemeine Informationen

Zusätzliche Informationen: 1. Die Vergabeunterlagen für das gegenständliche Verfahren können unter dem Direktlink der eVergabeplattform abgerufen werden und sind gemäß §§ 41 Abs. 1, 9 VgV unentgeltlich, uneingeschränkt, vollständig und direkt auf der eVergabeplattform verfügbar. Eine Bewerbung um die Teilnahme am Verhandlungsverfahren (Teilnahmeantrag) ist ausschließlich mittels des vorgegebenen Bewerbungsformulars (Teil C der Vergabeunterlagen) nebst den dazugehörigen Anlagen möglich. Mit dem Teilnahmeantrag sind sämtliche geforderten Angaben, Erklärungen und Nachweise einzureichen. Angaben, Erklärungen und Nachweise, die von einem Bewerber nicht bis zum Ablauf der Bewerbungsfrist vorgelegt wurden, können bis zum Ablauf einer von den Auftraggebern zu bestimmender Nachfrist bei dem Bewerber angefordert werden. Reicht der Bewerber die geforderten Angaben, Erklärungen und Nachweise nicht innerhalb einer verbindlich gesetzten Nachfrist ein, so wird der Teilnahmeantrag ausgeschlossen. Die Auftraggeber sind nicht verpflichtet, dem Bewerber Gelegenheit zur Ergänzung seiner Angaben nach Ablauf der Bewerbungsfrist zu geben. Der Teilnahmeantrag muss alle geforderten Unterlagen und Nachweise enthalten und ist gemäß § 53 Abs. 1 VgV i. V. m. § 126b BGB in Textform elektronisch zu übermitteln. Das heißt, die verbindlichen Erklärungen im Teilnahmeantrag müssen dabei durch Unterschrift, Nachbildung der Unterschrift (Faksimile), eingescannte Unterschrift oder Nennung des Namens des Erklärenden ersichtlich sein. Teilnahmeanträge, die den vorstehenden Anforderungen nicht entsprechen, werden nicht berücksichtigt. Eine Übermittlung des Teilnahmeantrages per Post/Boten, Telefax oder E-Mail ist ausgeschlossen. Für den Fall einer Bewerbung als Bewerbergemeinschaft muss jedes einzelne Mitglied das Bewerbungsformular (Teil C der Vergabeunterlagen) nebst den dazugehörigen Anlagen ausfüllen und gemäß den vorgenannten Vorgaben auf der angegebenen eVergabeplattform zusammen mit dem Teilnahmeantrag der anderen Mitglieder der Bewerbergemeinschaft in Textform gemäß § 53 Abs. 1 VgV i. V. m. § 126b BGB einreichen, wobei auf die vorstehenden Ausführungen zur Einreichung des Teilnahmeantrags verwiesen wird. Weitere Verfahrensbedingungen ergeben sich aus den Vergabeunterlagen, dort in den Teilen A („Allgemeine Verfahrensbedingungen“), B („Bewerbungsbedingungen für den Teilnahmewettbewerb“) und D („Vergabebedingungen für Angebots- und Verhandlungsphase“). 2. Öffentliche Aufträge sind gemäß § 122 GWB i.V.m. § 42 VgV an fachkundige und leis-tungsfähige (geeignete) Unternehmen zu vergeben, die zudem nicht nach den §§ 123, 124 GWB ausgeschlossen worden sind. Um festzustellen, ob ein Unternehmen geeignet ist, haben die Auftraggeber nach Maßgabe der vergaberechtlichen Bestimmungen auf der Grundlage der ihm zum Zeitpunkt der Eignungsprüfung verfügbaren Informationen eine in die Zukunft auf die mögliche Auftragsausführung gerichtete Prognose vorzunehmen. Daraus ergeben sich für das Vergabeverfahren die folgende Prüfreihenfolge und der dargestellte Umfang der Prüfung bzw. Wertung durch die Auftraggeber. (1) Keine Ausschlussgründe gemäß §§ 123, 124 GWB (1. Prüfungsstufe): Im ersten Schritt prüfen die Auftraggeber anhand der form- und fristgerecht eingegangenen Teilnahmeanträge (Bewerbungen) der einzelnen Bewerber bzw. Bewerbergemeinschaften, ob Ausschlussgründe gemäß §§ 123, 124 GWB einschlägig sind bzw. – falls dies der Fall sein sollte –, ob wirksame Selbstreinigungsmaßnahmen nach Maßgabe von § 125 GWB durchgeführt und nachgewiesen sind oder ob die Höchstfristen für einen Ausschluss nach § 126 GWB überschritten sind. Zudem prüfen die Auftraggeber, ob der Bewerber bzw. die Bewerbergemeinschaft einen Bezug zu Russland im Sinne der Verordnung (EU) 2022/576 des Rates vom 8. April 2022 zur Änderung der Verordnung (EU) Nr. 833/2014 über restriktive Maßnahmen angesichts der Handlungen Russlands, die die Lage in der Ukraine destabilisieren, aufweist. (2) Erfüllung der Mindestanforderungen an die Eignung (2. Prüfungsstufe): Im zweiten Schritt prüfen die Auftraggeber anhand der form- und fristgerecht eingegangenen Teilnahmeanträge (Bewerbungen) der einzelnen Bewerber bzw. Bewerbergemeinschaften – die auf der 1. Prüfungsstufe nicht vom weiteren Vergabeverfahren auszuschließen waren – die Erfüllung der Mindestanforderungen an die Eignung. Solche Anforderungen sind ausdrücklich als „Mindestanforderung“ gekennzeichnet. Die Nichterfüllung der Mindestanforderungen an die Eignung führt zum Ausschluss vom weiteren Vergabeverfahren. (3) Grad der Vergleichbarkeit der eingereichten Referenzen (3. Prüfungsstufe): (a) Im dritten Schritt prüft der Auftraggeber anhand der form- und fristgerecht eingegangenen Teilnahmeanträge (Bewerbungen) der einzelnen Bewerber bzw. Bewerbergemeinschaften – die auf der 1. und 2. Prüfungsstufe nicht vom weiteren Vergabeverfahren auszuschließen waren – den Grad der Vergleichbarkeit der mindestens drei eingereichten und den Mindestanforderungen entsprechenden Referenzen. (b) Wesentliche Kriterien für diese Bewertung der Referenzangaben der einzelnen Bewerber sind die nachfolgenden Festlegungen anhand derer eine Rangfolge ermittelt wird. Die Punktwerte – jeweils 1 Punkt (zugleich die Erfüllung der Mindestanforderung) bis 6 Punkte – werden anhand der wertungsfähigen Referenzen des Bewerbers (bzw. der Bewerbergemeinschaft) in den Kategorien 1 – 4 nach folgenden Maßgaben vergeben. (aa) Aufbau und Betrieb einer Incident Response Hotline samt Unterstützungsleistungen (Addition aus den angegebenen Referenzprojekten): 1 Punkt bei einer Referenz, 2 Punkte bei zwei Referenzen und drei Punkte bei 3 Referenzen (bb) Erhebung und Dokumentation von IT-Infrastrukturen (Addition aus den angegebenen Referenzprojekten): 1 Punkt bei einer Referenz, 2 Punkte bei zwei Referenzen und drei Punkte bei 3 Referenzen (cc) Erarbeitung von IT-Notfallplänen (Addition aus den angegebenen Referenzprojekten): 1 Punkt bei einer Referenz, 2 Punkte bei zwei Referenzen und drei Punkte bei 3 Referenzen (dd) Auftraggeber ist ein Krankenhaus oder eine Einrichtung im Gesundheitsbereich (Addition aus den angegebenen Referenzprojekten): 1 Punkt bei einer Referenz, 2 Punkte bei zwei Referenzen und drei Punkte bei 3 Referenzen (c) Die in den einzelnen Kategorien 1 bis 4 ermittelten Punktwerte bis zu jeweils 6 Punkten werden addiert, sodass insgesamt maximal 24 Punkte („Gesamtpunktzahl“) erreicht werden können. Der Bewerber (bzw. Bewerbergemeinschaft) mit der höchsten Gesamtpunktzahl erhält den ersten Rang. Bewerber (bzw. Bewerbergemeinschaften) mit gleicher bzw. niedrigerer Gesamtpunktzahl werden absteigend auf die nachfolgenden Rangplätzen verteilt, bis die Rangplätze 1 bis 3 ermittelt sind. (d) Für den Fall, dass zwei oder mehr Bewerber (bzw. Bewerbergemeinschaften) dieselbe Gesamtpunktzahl erreichen und damit mehr als drei Bewerber (bzw. Bewerbergemeinschaften) die Rangplätze 1 bis 3 belegen könnten, wird in analoger Anwendung § 75 Abs. 6 VgV eine Losentscheidung unter den Bewerbern (bzw. Bewerbergemeinschaften) mit derselben Gesamtpunkzahl herbeigeführt.

Rechtsgrundlage:

Richtlinie 2014/24/EU

vgv -

2.1.6.

Ausschlussgründe

Quellen der Ausschlussgründe: Bekanntmachung

Täuschung, Zurückhaltung von Informationen, Unfähigkeit zur Vorlage erforderlicher Unterlagen oder Erlangung vertraulicher Informationen zu dem Verfahren:

Der Zahlungsunfähigkeit vergleichbare Lage gemäß nationaler Rechtsvorschriften:

Korruption:

Beteiligung an einer kriminellen Vereinigung:

Vereinbarungen mit anderen Wirtschaftsteilnehmern zur Verzerrung des Wettbewerbs:

Verstoß gegen umweltrechtliche Verpflichtungen:

Geldwäsche oder Terrorismusfinanzierung:

Betrug:

Kinderarbeit und andere Formen des Menschenhandels:

Zahlungsunfähigkeit:

Verstoß gegen arbeitsrechtliche Verpflichtungen:

Verwaltung der Vermögenswerte durch einen Insolvenzverwalter:

Verstoß gegen die in den rein innerstaatlichen Ausschlussgründen verankerten Verpflichtungen:

Interessenkonflikt aufgrund seiner Teilnahme an dem Vergabeverfahren:

Direkte oder indirekte Beteiligung an der Vorbereitung des Vergabeverfahrens:

Schwerwiegendes berufliches Fehlverhalten:

Vorzeitige Beendigung, Schadensersatz oder andere vergleichbare Sanktionen:

Verstoß gegen sozialrechtliche Verpflichtungen:

Verstoß gegen die Verpflichtung zur Entrichtung von Sozialversicherungsbeiträgen:

Einstellung der gewerblichen Tätigkeit:

Verstoß gegen die Verpflichtung zur Entrichtung von Steuern:

Terroristische Straftaten oder Straftaten im Zusammenhang mit terroristischen Aktivitäten:

5. Los

5.1.

Los: LOT-0001

Titel: Ausschreibung für den Aufbau und das Vorhalten einer IR-Hotline sowie Leistungen zur Analyse

Beschreibung: 1. Der Auftraggeber ist ein sog. Shared Service Center und wurde im Mai 2023 als Genossenschaft gegründet, um richtungsweisende Digitalisierungsprojekte voranzutreiben, die einzelne Krankenhausträger und deren Einrichtungen allein nicht bewältigen können. Dabei übernimmt der Auftraggeber regelmäßig die konzeptionelle Vorbereitung und operative Durchführung von Vergabeverfahrens sowie der Begleitung der Projektrealisierung mitsamt der Projektkoordination und dem -management („PMO“). Daneben schreibt der Auftraggeber auch selbst Leistungen als Auftraggeber aus. 2. Hintergründe Krankenhäuser sehen sich einer steigenden Bedrohung aus dem Cyberraum gegenüber. Ebenso nehmen die regulatorischen Anforderungen an die Absicherung und Resilienz der IT-Strukturen von Krankenhäusern zu. Gleichzeitig ist es in hochspezialisierten Fachgebieten wie der IT-Sicherheit schwer, eine ausreichende Anzahl an qualifizierten Fachkräften zu gewinnen und zu finanzieren, die nötig wäre, um IT-Sicherheits- und IT-Notfallmanagementkompetenz an jedem Krankenhausstandort vorzuhalten. Der Auftraggeber hat sich zum Ziel gesetzt, diese Herausforderungen anzugehen und durch Bündelung von Bedarfen und Verbundausschreibungen Technologie und Services zu beschaffen und zentral zu steuern und zur Verfügung zu stellen. Die vorliegende Ausschreibung ist ein erster Schritt zum Aufbau einer gemeinsamen Sicherheitsstruktur der Krankenhäuser, die zukünftig um weitere technische und organisatorische Maßnahmen ergänzt wird. Durch die Erhebung der Systemverbünde und Netzwerkstrukturen soll Transparenz über die zu schützenden Strukturen auf hohem Level geschaffen werden und durch die Einrichtung einer zentralen Kontakt- und Beratungsstelle soll erste grundlegende Unterstützung bei Cyber-Vorfällen verfügbar gemacht werden, während der weitere Ausbau der gemeinsamen Sicherheitsstrukturen vorangetrieben wird. 3. Zielsetzung Die Mitgliedsunternehmen der Klinik IT eG wollen ihre Fähigkeiten zur Reaktion auf Cyber-Incidents steigern, indem eine zentrale Hotline für erste Unterstützungsleistungen und damit in Zusammenhang stehende weitere Dienstleistungen verfügbar gemacht werden. Bei Auftreten eines Cyber-Incidents soll es den teilnehmenden Krankenhäusern möglich sein, über eine zentrale Rufnummer eine Hotline zu erreichen, die während der ersten Schritte in der Einschätzung und Bewältigung des Vorfalls unterstützt und dabei fachmännischen Rat geben kann. Sollte das Krankenhaus für die Bewältigung weitere Fachressourcen benötigen, sollen diese über die Incident Response Hotline angefordert werden können zu vorab vereinbarten Konditionen. Damit die Krankenhäuser bei einem Vorfall qualifiziert unterstützt werden können, sind im Vorfeld Informationen zu den jeweiligen Systemverbünde und Netzstrukturen der Krankenhäuser zu erheben und Ablaufpläne für das IT-Notfallmanagement zu erarbeiten. Durch diese Bestandteile soll die Reaktionsfähigkeit auf Cyber-Angriffe der über die KIG zusammengeschlossenen Krankenhäuser gesteigert werden. 4. Fördermittel Der Auftraggeber hat für die Umsetzung des Projekts Fördermittel aus dem sog. Digitalisierungsbudget des Freistaats Bayern erhalten. 5. Gegenstand des Vergabeverfahrens Mit dem gegenständlichen Beschaffungsvorhaben wird die Rahmenvereinbarung für für den Aufbau und das Vorhalten einer Incident Response Hotline sowie Leistungen zur Analyse der Informationssicherheit von Krankenhäusern ausgeschrieben. Dabei ist zwischen Grundleistungen (lit. a)) und anlassbezogenen Leistungen (lit. b)) wie folgt zu unterscheiden: a) Grundleistungen Zu den wesentlichen Grundleistungen, die vom Auftragnehmer zu erbringen sind, zählen u.a.: • Einrichtung und Betrieb einer Hotline für telefonische Incident-Unterstützung; • Erfassung von Systemverbünden und Netzstrukturen der Krankenhäuser, sowie • Erarbeitung von IT-Notfallplänen. Eine detaillierte Beschreibung der Leistungsanforderungen ist hierbei der Leistungsbeschreibung (Anlage 1 des Teils E der Vergabeunterlagen („Angebotsunterlagen (Rahmenvereinbarung nebst Anlagen)“) zu entnehmen. Der Abruf der Grundleistungen erfolgt jeweils durch Beauftragung des Auftragnehmers durch den Auftraggeber anhand einer vorhabenspezifischen Projektierung im Wege eines Einzelabrufs. Der Auftraggeber hat das Recht, die beim Auftragnehmer abgerufenen Leistungen an die weiteren Krankenhäuser, welche genossenschaftliche Mitglieder des Auftraggebers sind, gegen Entgelt weiterzureichen, die dann unmittelbar Empfänger der Leistungen des Auftragnehmers werden („Service-Distributor-Modell“). Eine Liste der derzeitigen genossenschaftlichen Mitglieder des Auftraggebers ist den Vergabeunterlagen informatorisch beigefügt. Der Abruf der Grundleistungen durch den Auftraggeber aus der Rahmenvereinbarung ist im Umfang auf einen Wert von maximal EUR 2,0 Mio. (netto) (Höchstabnahme) begrenzt. b. Anlassbezogene Leistungen Daneben hat der Auftragnehmer auch anlassbezogene Leistungen zu erbringen. Hierzu zählt die Bereitstellung von Icident Response Ressourcen nach Maßgabe von Ziffer 3.4 der Leistungsbeschreibung (Anlage 1 des Teils E der Vergabeunterlagen („Angebotsunterlagen (Rahmenvereinbarung nebst Anlagen)“). Der Abruf der anlassbezogenen Leistungen erfolgt jeweils durch Beauftragung des Auftragnehmers anhand einer vorhabenspezifischen Projektierung im Wege eines Einzelabrufs. Der Abruf der anlassbezogenen Leistungen aus der Rahmenvereinbarung ist im Umfang auf einen Wert von maximal EUR 2,0 Mio. (netto) (Höchstabnahme) begrenzt. 6. Hinsichtlich der weiteren Leistungsinhalte wird im Übrigen insbesondere auf die Vorgaben der Leistungsbeschreibung (Anlage 1 des Teil E) verwiesen.

Interne Kennung: 0001

5.1.1.

Zweck

Art des Auftrags: Dienstleistungen

Haupteinstufung (cpv): 72220000 Systemberatung und technische Beratung

5.1.2.

Erfüllungsort

Land, Gliederung (NUTS): München, Kreisfreie Stadt (DE212)

Land: Deutschland

5.1.3.

Geschätzte Dauer

Laufzeit: 15 Monate

5.1.4.

Verlängerung

Maximale Verlängerungen: 1

Weitere Informationen zur Verlängerung: Der Auftraggeber ist berechtigt, diesen Vertrag zweimal um jeweils weitere 12 Monate durch einseitige schriftliche Erklärung gegenüber dem Auftragnehmer spätestens sechs Monate vor Ablauf der jeweils geltenden Vertragslaufzeit zu verlängern (einseitiges Optionsrecht). Die maximale Laufzeit des Vertrages beträgt damit 39 Monate (Maximallauf-zeit).

5.1.6.

Allgemeine Informationen

Die Namen und beruflichen Qualifikationen des zur Auftragsausführung eingesetzten Personals sind anzugeben: Erforderlich für das Angebot

Auftragsvergabeprojekt nicht aus EU-Mitteln finanziert

Die Beschaffung fällt unter das Übereinkommen über das öffentliche Beschaffungswesen: ja

Diese Auftragsvergabe ist auch für kleine und mittlere Unternehmen (KMU) geeignet: nein

5.1.7.

Strategische Auftragsvergabe

Ziel der strategischen Auftragsvergabe: Keine strategische Beschaffung

5.1.9.

Eignungskriterien

Quellen der Eignungskriterien: Bekanntmachung

Kriterium: Andere wirtschaftliche oder finanzielle Anforderungen

Beschreibung des Eignungskriteriums: Folgende Angaben/Nachweise/Erklärungen sind vom Bewerber bzw. der Bewerbergemeinschaft mit dem Teilnahmeantrag einzureichen: (1) Nachweis (Kopie der Versicherungspolice bzw. Bestätigung durch Versicherungsunternehmen) über eine gültige Betriebs- und Vermögensschadenhaftpflichtversicherung für Personen-, Sach- und Vermögensschäden – im Zeitpunkt der Einreichung nicht älter als 12 Monate – von einem in der Europäischen Union zugelassenen Versicherungsunternehmen. Diese Versicherung muss nachfolgende Anforderungen erfüllen (Mindestanforderungen): (a) Deckungssumme von mindestens EUR 5,0 Mio. bei einer 2-fachen Maximierung pro Versicherungsjahr; (b) Erfassung von Personen-, Sach- und Vermögensschäden; (c) Nachhaftungsfrist von mindestens zwei Jahren im Fall der Liquidation des Versicherungsnehmers. Sofern eine Betriebs- und Vermögensschadenshaftpflichtversicherung die Mindestanforderungen nicht erfüllt, ist als Nachweis eine Eigenerklärung (Bestätigung durch Versicherungsunternehmer) vorzulegen, wonach sich der Bewerber bzw. die Bewerbergemeinschaft zum Abschluss bzw. Erweiterung einer Versicherung gemäß diesen Anforderungen im Falle der Auftragserteilung verpflichtet; (2) Erklärung über den Gesamtumsatz in Deutschland in EUR (netto) des Bewerbers in den Jahren 2022, 2023 und 2024 und Angaben zur Dauer des jeweiligen Geschäftsjahres (falls nicht mit Kalenderjahr identisch) sowie zum Beginn der Geschäftstätigkeit (bei Aufnahme der Geschäftstätigkeit nach 2022); (3) Erklärung über den Umsatz in Deutschland in EUR (netto) mit vergleichbaren Leistungen, d.h. mit Leistungen im Zusammenhang mit dem Aufbau und dem Vorhalten einer Incident Response Hotline sowie Leistungen zur Analyse der Informationssicherheit von Krankenhäusern, in den Jahren 2022, 2023 und 2024 und Angaben zur Dauer des jeweiligen Geschäftsjahres (falls nicht mit Kalenderjahr identisch) sowie zum Beginn der Geschäftstätigkeit (bei Aufnahme der Geschäftstätigkeit nach 2022).