81295075-Beratungstätigkeit zur Informationssicherheit auf Basis ISO2700x in internationalen Projekten der GIZ

Die Deutsche Gesellschaft für Internationale Zusammenarbeit (GIZ) GmbH ist eine staatliche Entwicklungszusammenarbeitsorganisation der Bundesrepublik Deutschland. Der GIZ kommt die Aufgabe der Ausführung der durch den Auftraggeber vereinbarten Technischen Zusammenarbeit zu. Die Technische Zusammenarbeit besteht vor allem aus Beratung, Finanzierungsbeiträgen, Entwicklungsleistungen, Aufbau und Förderung von Projektträgern, Bereitstellung von Ausrüstung und Material und der Erstellung von Studien und Gutachten.

Die GIZ hat zwei Unternehmenssitze in Deutschland: Einen in Bonn und einen in Eschborn bei Frankfurt am Main. Daneben hat die GIZ Repräsentanzen in Berlin und Brüssel und ist in weiteren deutschen Städten vertreten. Außerdem hat das Unternehmen etwa 90 Standorte weltweit.

Die GIZ ist als Bundesunternehmen, privat-rechtlich als GmbH organisiert; die Bundesrepublik (vertreten durch das BMZ und das BMF) ist Alleingesellschafterin. Im Gegensatz zu einigen anderen Geberländern hat sich die Bundesregierung dafür entschieden, mit der GIZ eine eigene Durchführungsorganisation für die Umsetzung von Maßnahmen der EZ/IZ vorzuhalten. Während andere Geberländer die Umsetzung von Maßnahmen zum Teil ausschreiben und durch externe Auftragnehmer umsetzen lassen, kann der Bund sich somit seiner eigenen Durchführungsorganisation bedienen. Die GIZ wird nicht institutionell gefördert. Sie wird in der Regel von der Bundesregierung sowie von anderen öffentlichen und privaten Auftraggebern in Deutschland und in aller Welt beauftragt, um Ideen für politische, gesellschaftliche und wirtschaftliche Veränderungen mit ihnen gemeinsam zu entwickeln, konkret zu planen und (international) umzusetzen. Diese Beauftragungen laufen unter dem Begriff Vorhaben und teilen sich auf in klassische bilateral finanzierte Vorhaben, Globalvorhaben, sowie Vorhaben in fragilen Kontexten und/oder komplexen Kofinanzierungen anderer Geber, in dessen Rahmen gemeinsam mit Partnern in den nationalen Regierungen weltweit sowie mit Kooperationspartnern aus Wirtschaft, Wissenschaft und Zivilgesellschaft flexibel an wirksamen Lösungen, die Menschen Perspektiven bieten und deren Lebensbedingungen dauerhaft verbessern, gearbeitet wird.

1.2 Informationssicherheit im Unternehmen - Ausgangslage der Ausschreibung

Durch die voranschreitende Digitalisierung und die stärkere Vernetzung von Informationsverbünden über das Internet, steigt auch die Bedrohungslage für diese Informationsverbünde erheblich an. Potentielle negative Auswirkungen auf die Infrastruktur in den Vorhaben der GIZ schlagen sich in Risiken für Partnerorganisationen und Zielgruppen in den Partnerländern als auch der GIZ als Unternehmen nieder. Diesen Risiken gilt es durch einen strukturierten Ansatz zur Informationssicherheit zu begegnen.

2. Aufgabenstellung für den Auftragnehmer

Gegenstand dieser Ausschreibung ist die Erbringung von Beratungsleistungen zur Informationssicherheit während der Vertragslaufzeit. Als interner Dienstleister berät das Kompetenzcenter Digital Gesellschaft verschiedene Vorhaben (Projekte im Bereich der Leistungserbringung), die mit politischen Partnern der GIZ in Partnerländern der Entwicklungszusammenarbeit durchgeführt werden. Der AN berät das Kompetenzcenter Digitale Gesellschaft (KC) oder gemeinsam mit Kolleg*innen des KC GIZ-Vorhaben zu Informationssicherheit.

Ziel der Beratungen zur Informationssicherheit ist die Verbesserung der Informationssicherheit in spezifischen Projektkonstellationen.

Hauptort der Ausführung: Deutsche Gesellschaft für Internationale Zusammenarbeit (GIZ) GmbH Dag-Hammarskjöld-Weg 1 - 5 65760 Eschborn

Aufgabenstellung für den Auftragnehmer

Gegenstand dieser Ausschreibung ist die Erbringung von Beratungsleistungen zur Informationssicherheit während der Vertragslaufzeit.

Als interner Dienstleister berät das Kompetenzcenter Digital Gesellschaft verschiedene Vorhaben (Projekte im Bereich der Leistungserbringung), die mit politischen Partnern der GIZ in Partnerländern der Entwicklungszusammenarbeit durchgeführt werden. Der AN berät das Kompetenzcenter Digitale Gesellschaft (KC) oder gemeinsam mit Kolleg*innen des KC GIZ-Vorhaben zu Informationssicherheit.

Ziel der Beratungen zur Informationssicherheit ist die Verbesserung der Informationssicherheit in spezifischen Projektkonstellationen. Dies erfolgt durch zwei Beratungsangebote an Projekte:

Ein sogenannter "Qualitätscheck": hierunter wird ein standardisierter Beratungsansatz verstanden. Ziel des Qualitätschecks ist es, den Informationsverbund des Projektes im Groben zu verstehen, Teile in ihren Risiken einzuschätzen und Empfehlungen für eine weitergehende Beratung innerhalb der GIZ oder über externe Dienstleister zu erteilen. Die Empfehlungen sind einer Zusammenfassung zu dokumentieren. Qualitätschecks werden als virtuelle Workshops stattfinden.

Beratungen zu spezifischen Anfragen mit Informationssicherheitsbezug aus Projekten, die von der Schutzbedarfsanalyse über Betriebskonzepte bis hin zur Beratung zu einem Informationssicherheitsmanagementsystem reichen können.

Wo möglich sollen dem AN Erkenntnisgewinne durch entsprechende Wissensdokumente zur Verfügung gestellt werden. Dies ist Gegenstand der Ausschreibung. Die Beratungsleistung wird in enger Abstimmung und Kooperation mit dem Auftraggeber GIZ, KC Digitale Gesellschaft (AG), erbracht. Der AN unterstützt den AG bei Anfragen von Vorhaben an das KC in den aufgeführten Schwerpunkten unter Position 2.1. Der AG beauftragt entsprechend und wählt aus den eingehenden Anfragen bzw. Aufgabenstellungen diejenigen individuellen Einzelfälle aus, in denen es einer Unterstützung bedarf. Zu Beginn der Zusammenarbeit erhält der AN alle Informationen im Rahmen einer Starteinweisung. Die Unterstützung des AN erfolgt auf Grundlage dieser inhaltlichen Starteinweisung.

Die genauen Bedarfe werden je Vorgang entsprechend definiert und kommuniziert. Die Koordination und Beauftragung der Arbeitspakete erfolgen immer zentral über das KC.

Zu Beginn jeder Beauftragung, außer der Qualitätschecks, wird es ein gemeinsames Meeting zur Auftragsklärung geben, in dem das Arbeitspaket zusammen mit allen vorhandenen Informationen übergeben und besprochen wird. Es werden offene Fragen geklärt und der Aufwand geschätzt. Für den Qualitätscheck gibt es eine standardisierte Vorgehensweise und einen pro Qualitätscheck definierten Aufwand für den AN.

Am Ende der Leistung steht ein Abschlussmeeting. Im Abschlussmeeting werden die Ergebnisse und die daraus abgeleiteten und zu treffenden Maßnahmen besprochen. Die gewonnenen Erkenntnisse werden dann zusammen mit einer durch den AN erstellten Dokumentation (Format mit AG abzustimmen) in das interne Wissensmanagement des AG übernommen. Die Dokumentation zur Abrechnung der erbrachten Leistung folgt in der Form den Vorgaben des AG.

Als Basis der Tätigkeit sind folgende Normen anzusehen: ISO/IEC 27001 und GIZ spezifische Leit- und Richtlinien zur Informationssicherheit.

Der AN ist für die Erbringung der folgenden Leistungen verantwortlich:

Qualitätscheck: Gestaltung und Mitwirkung an "Qualitätscheck" Workshops, Beratung zur fachlichen Einordnung, Zulieferungen zur Dokumentation, Finalisierung von Dokumentationen; Moderation von Qualitätscheck-Workshops

Beratungen zur Informationssicherheit: Schutzbedarfsanalyse des Informationsverbundes; Erweiterte Dokumentation Ist-Zustand (Bestandsaufnahme Informationsverbund); Beratung/Unterstützung bei der Erstellung von Maßnahmenkatalogen; Beratung zur Umsetzung von zu Sicherheitsmaßnahmen; Beratung/Unterstützung bei der Erstellung von Notfallkonzepten und Notfallhandbuch; Unterstützung beim Entwickeln des Sicherheitskonzepts; Erstellung bereinigter Netzpläne (Grafische Übersichten aller IT-Komponenten, Verbindungen zwischen Systemen innen und außen); Erarbeitung von Anforderungen zur Informationssicherheit für öffentliche Ausschreibungen; Prüfungen nach ISO 2700x und Dokumentation; Erstellung von Dokumentationen und Wissensdokumenten zu Beratungsinhalten und Erfahrungen

Systemchecks: Ermitteln von Schwachstellen mit Penetrationstests in Anwendungen, Webanwendungen, Webanwendungen und Informationsverbünden; Forensik nach erfolgten Angriffen/ Vorfällen; SIEM Checks in Informationsverbünden

Die Leistungen werden in enger Kooperation mit Vertretern des AN erbracht.

Preis - Gewichtung: 30.00

Anzahl der eingegangenen Angebote von KMU: 5

Anzahl der elektronisch eingegangenen Angebote: 9

Bekanntmachungs-ID: CXTRYY6Y1BUP0XWY

Genaue Angaben zu den Fristen für die Einlegung von Rechtsbehelfen: