Identity- und Accessmanagement Phase 3: Implementierung des Systems inkl. Abschluss eines Rahmenvertrags für weitere Leistungen sowie Überlassung und Pflege der dazugehörigen Lizenzen.

Die Deutsche Sporthochschule Köln (AG) beabsichtigt die Anschaffung eines neuen Identity und Access Managements (IAM) Systems, mit dem Ziel, eine selbstentwickelte IDM-Lösung, die seit zwei Jahren als Interimslösung zu einem veralteten IDM-System genutzt wird, abzulösen.

Bis zum Ende des Jahres 2024 soll, auf Basis eines bereits vorliegenden Feinkonzeptes, die Standardsoftware "CoreOne Suite" des Herstellers ITSENSE AG installiert, betriebsbereit sowie an alle Quell- und Zielsysteme angebunden sein.

Im Zusammenhang mit der Beschaffung der CoreOne Suite soll ein Dienstleistungsrahmenvertrag für die Implementierung und der daran anschließenden Betriebsunterstützung für die Dauer von 144 Monaten abgeschlossen werden sowie ein EVB-IT Überlassungsvertrag Typ A (Langfassung mit Pflege) zur Überlassung und Pflege der dazugehörigen Lizenzen.

Die Beschaffung besteht aus den folgenden Dienst- und Lieferleistungen:

- Überlassung der Software "CoreOne Suite" auf Dauer (Kauf) auf Basis eines EVB-IT Überlassungsvertrags Typ A (Langfassung mit Pflege): Überlassung der notwendigen Lizenzen auf Dauer für alle Nutzer*innen (= Standard Identität), Module und Konnektoren

- Erstellung des Systems, auf Basis eines Dienstvertrags, durch Installation der Software auf den Servern der Auftraggeberin, Erstellung von Schnittstellen zu diversen Quell- und Zielsystemen, Integration dieser Quell- und Zielsysteme, Konfiguration des Systems, Funktionstests vor Übergabe an den Auftraggeber, Schulung der DSHS-IAM-Administratoren, Durchführung der mehrstufigen Produktivschaltung, Bereitstellung Supportpersonal für Hypercare-Phase

- Systemservice: Wartung, Support und Pflege nach Inbetriebnahme des Systems für die maximale Dauer von 144 Monaten

o Pflege der Software,

o Unterstützung beim Einspielen von Patches und Updates,

o Incident Management

o Fehleranalyse und -behebung

- Abschluss eines Rahmenvertrags für die maximale Dauer von 144 Monaten für die Erbringung von weiteren Leistungen:

- Weiterentwicklung und Optimierung des IAM,

- Anpassung des IAM an Änderungen in der Systemumgebung*, insbesondere Anbindung an neue weitere Systeme der Auftraggeberin,

- Schulung,

- Beratung im Zusammenhang mit dem IAM

Kontingent: monatlich 2PT (Technical Consultant oder vergleichbar)

Beschreibung der Optionen:

Erläuterung:

Die Deutsche Sporthochschule Köln (AG) beabsichtigt die Anschaffung des Identity und Access Managements (IAM) Systems „CoreOne Suite“ des Herstellers ITSENSE AG.

Zu diesem Zweck beabsichtigt die Deutsche Sporthochschule Köln, nach Durchführung eines Verhandlungsverfahrens ohne Teilnahmewettbewerb, den Auftrag zur Überlassung der Software und Lizenzen sowie zur Installation des Systems auf den Servern der AG, Herbeiführung der Betriebsbereitschaft und der Erbringung weiterer Leistungen (z.B. Systemservice, Weiterentwicklung des Systems) an den Hersteller der Software zu erteilen und mit diesem einen EVB-IT Überlassungsvertrag Typ A (Langfassung mit Pflege) sowie einen Dienstleistungsvertrag (inkl. einem rahmenvertraglichen Teil) abzuschließen.

Die Auftraggeberin ist der Ansicht, dass die Voraussetzungen zur Durchführung einer Verhandlungsvergabe mit nur einem Unternehmen, unter Anwendung des § 14 Absatz 4 Nummer 2b) VgV in Verbindung mit §14 Absatz 6 VgV, erfüllt sind, da aus technischen Gründen für das Produkt „CoreOne Suite“ kein Wettbewerb vorhanden ist und die Auftragsvergabe somit ohne vorherige Veröffentlichung einer Bekanntmachung im Amtsblatt der Europäischen Union zulässig ist.

Diese Ansicht beruht auf den Ergebnissen eines Vorprojektes, in dem die Deutsche Sporthochschule Köln mit der Unterstützung eines externen Dienstleisters, der auf eine herstellerneutrale Beratung im Bereich IAM-Systeme spezialisiert ist, ihren Beschaffungsbedarf ausführlich untersucht hat.

Das Ziel dieses Projektes war die Erstellung eines produktneutralen Anforderungskatalogs an ein IAM-System.

Bei dem IAM-System handelt es sich um ein zentrales System der AG, an das eine Vielzahl weiterer Systeme angeschlossen werden und das zur Identifizierung der verschiedenen Nutzer*innen dieser Systeme und zur Steuerung ihrer Rechte eingesetzt wird.

Es muss daher vermieden werden, dass im laufenden Betrieb Komplikationen entstehen, die durch Erweiterungen oder Änderungen am Standard-System entstehen oder durch neue Programmstände, insbesondere durch solche, die die Sicherheit des Systems betreffen, und in denen die individuellen Besonderheiten des DSHS-Systems nicht berücksichtigt werden.

Bedingt durch die beabsichtigte lange Nutzungsdauer des Systems von zwölf Jahren könnten somit auch viele kleine Fehler in der Gesamtheit dafür sorgen, dass im Betrieb und Wartung deutliche Mehraufwände oder das massive Sicherheitslücken entstehen, die angesichts der knappen Ressourcen im IT-Bereich und der hohen Relevanz des System für die DSHS vermieden werden müssen.

Eine Kernforderung der AG bestand daher in der Anforderung, dass ein IAM-System auf einem Datenbankmodell besteht, das bereits im Standard den Hochschulbetrieb (Abbildung verschiedener Vertragsmodelle für Studierende, Mitarbeiter*innen, Dozent*innen, …) abbildet.

Im Anschluss an die Anforderungserhebung erfolgte ein Abgleich des Anforderungskatalogs mit einer Vielzahl an IAM-Systemen, bei dem als Ergebnis herauskam, dass lediglich das System „CoreOne Suite“ des Herstellers ITSENSE AG sämtliche Anforderungen, insbesondere die Kernanforderung, bereits im Standard erfüllt.

Der Verzicht auf diese Kernanforderung würde zwar den Kreis der möglichen Produkte erweitern, diese stellen allerdings aufgrund der Nichterfüllung dieser Anforderung keine vernünftigen Alternativen im Sinne des §14 Absatz 6 VgV dar.

Da dieses Produkt ausschließlich durch den Hersteller vertrieben wird, der auch als einziges Unternehmen den notwendigen Systemservice erbringen kann, sind die vergaberechtlichen Anforderungen an die Möglichkeit zur Durchführung einer Verhandlungsvergabe mit nur einem Unternehmen nach Ansicht der AG somit erfüllt.