17/2026

1. Beschaffer

1.1.

Beschaffer

Offizielle Bezeichnung: Kassenärztliche Vereinigung Nordrhein

E-Mail: Einkauf@kvno.de

Rechtsform des Erwerbers: Von einer lokalen Gebietskörperschaft kontrolliertes öffentliches Unternehmen

Tätigkeit des öffentlichen Auftraggebers: Gesundheit

2. Verfahren

2.1.

Verfahren

Titel: Beratungs- und Unterstützungsleistung für das Informationssicherheitsmanagement der KV Nordrhein

Beschreibung: Beratungs- und Unterstützungsleistungen für das Informationssicherheitsmanagement der KV Nordrhein

Kennung des Verfahrens: eb81e15a-38d8-4521-8cf0-13cd701d41e0

Interne Kennung: X-KVNO-2026-0002

Verfahrensart: Offenes Verfahren

Das Verfahren wird beschleunigt: nein

2.1.1.

Zweck

Art des Auftrags: Dienstleistungen

Haupteinstufung (cpv): 79410000 Unternehmens- und Managementberatung

Zusätzliche Einstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung, 79417000 Sicherheitsberatung

2.1.2.

Erfüllungsort

Postanschrift: Tersteegenstraße 9

Stadt: Düsseldorf

Postleitzahl: 40474

Land, Gliederung (NUTS): Düsseldorf, Kreisfreie Stadt (DEA11)

Land: Deutschland

2.1.4.

Allgemeine Informationen

Rechtsgrundlage:

Richtlinie 2014/24/EU

vgv -

2.1.6.

Ausschlussgründe

Quellen der Ausschlussgründe: Bekanntmachung, Auftragsunterlagen

Der Zahlungsunfähigkeit vergleichbare Lage gemäß nationaler Rechtsvorschriften:

Korruption:

Beteiligung an einer kriminellen Vereinigung:

Vereinbarungen mit anderen Wirtschaftsteilnehmern zur Verzerrung des Wettbewerbs:

Verstoß gegen umweltrechtliche Verpflichtungen:

Geldwäsche oder Terrorismusfinanzierung:

Betrug:

Kinderarbeit und andere Formen des Menschenhandels:

Zahlungsunfähigkeit:

Verstoß gegen arbeitsrechtliche Verpflichtungen:

Verwaltung der Vermögenswerte durch einen Insolvenzverwalter:

Täuschung, Zurückhaltung von Informationen, Unfähigkeit zur Vorlage erforderlicher Unterlagen oder Erlangung vertraulicher Informationen zu dem Verfahren:

Interessenkonflikt aufgrund seiner Teilnahme an dem Vergabeverfahren:

Direkte oder indirekte Beteiligung an der Vorbereitung des Vergabeverfahrens:

Schwerwiegendes berufliches Fehlverhalten:

Vorzeitige Beendigung, Schadensersatz oder andere vergleichbare Sanktionen:

Verstoß gegen sozialrechtliche Verpflichtungen:

Verstoß gegen die Verpflichtung zur Entrichtung von Sozialversicherungsbeiträgen:

Einstellung der gewerblichen Tätigkeit:

Verstoß gegen die Verpflichtung zur Entrichtung von Steuern:

Terroristische Straftaten oder Straftaten im Zusammenhang mit terroristischen Aktivitäten:

5. Los

5.1.

Los: LOT-0000

Titel: Beratungs- und Unterstützungsleistung für das Informationssicherheitsmanagement der KV Nordrhein

Beschreibung: Die KVNO gehört mit rund 24.000 Mitgliedern zu den größten Kassenärztlichen Vereinigungen im Bundesgebiet. Um den ihr übertragenen Gesetzesauftrag leistungs- und bedarfsgerecht nachkommen zu können, ist eine moderne und für die jeweiligen Anforderungen skalierbare IT-Infrastruktur erforderlich. Nur durch eine hohe Automatisierung und optimale Verzahnung von IT-gestützten Verfahren kann die KVNO ihren Mitgliedern ein optimales Leistungsportfolio anbieten. Dieser Anspruch ist gekoppelt mit der Erfordernis, neben einer bedarfsgerechten Bereitstellung von IT-Dienstleistungen auch die gesetzlichen Anforderungen an den Datenschutz sowie Best Practices hinsichtlich der Informationssicherheit zu beachten. Die KVNO trägt diesem Anspruch dadurch Rechnung, dass sie ein zertifiziertes Informationssicherheitsmanagementsystem nach ISO 27001 aufgebaut hat. Weiterhin orientiert sich die KVNO an den IT-Sicherheitsstandards des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Der Leiter der Stabsstelle "Informationssicherheit und Notfallmanagement" ist als Informationssicherheitsbeauftragter zuständig für alle Belange der Informationssicherheit innerhalb der KVNO. Er hat die Aufgabe, alle sicherheitsrelevanten Maßnahmen und Regelungen der KVNO zu planen, zu steuern und zu kontrollieren. Der Informationssicherheitsbeauftrage unterstützt den Vorstand und die Geschäftsführung bei ihren Aufgaben bezüglich der Informationssicherheit. Der Informationssicherheitsbeauftragte ist in seiner Rolle der Geschäftsführung der KVNO direkt unterstellt und berichtet direkt an diese. Zur Erfüllung der im Rahmen des IT-Sicherheitsprozesses notwendigen Aufgaben benötigt der Informationssicherheitsbeauftragte eine kompetente Beratung und Unterstützung im Informationssicherheitsmanagement sowie ein, zur sicherheitstechnischen Untersuchung von IT-Systemen, notwendiges Spezialwissen. Der Auftragnehmer muss in der Lage sein, die folgenden Beratungs- und Unterstützungsleistungen zur Informationssicherheit auf Anforderung zu erbringen: 1 Informationssicherheitsmanagement - Unterstützung bei der Aufrechterhaltung der ISO 27001 Zertifizierung - Unterstützung bei der Erstellung und Fortschreibung von Richtlinien und Reglungen zur Informationssicherheit - Durchführung von ISMS-Audits im Rahmen der ISO 27001 Zertifizierung - Unterstützung und Begleitung der externen ISO 27001 Audits (jeweils Mai/Juni) vor Ort bei der KV an den Standorten Düsseldorf und Köln. 2 Notfallmanagement - Beratung bei der Weiterentwicklung des Notfallmanagements (BSI-Standards 200-4 / ISO 22301: Business Continuity Management). - Planung, Begleitung und Review von Notfallübungen - Planung und Durchführung von Business Impact Analysen - Erstellung von Notfallhandbüchern und prozessspezifischen Geschäftsfortführungsplänen. 3 IT-Sicherheitskonzepte und -Standards - Erstellung und Weiterentwicklung von IT-Sicherheitskonzepten auf Basis des BSI IT-Grundschutz (BSI-Standard 200-2) sowie der ISO 27001. - Durchführung von Basis-Sicherheits-Checks sowie von Risikoanalysen nach ISO 27005 und BSI 200-3. - Überarbeitung/Erstellung von IT-Sicherheitsrichtlinien. 4 Durchführung von Penetrationstest - Durchführung von Penetrationstest gemäß anerkannten Best-Practice Vorgehen (BSI-Studie "Durchführungskonzept für Penetrationstests", OWASP) 5 Unterstützung bei der Herstellung einer NIS 2 Compliance - Fit-Gap-Analyse zur Vorbereitung auf eine NIS-2 Compliance. - Unterstützung bei der Umsetzung erforderlichen Maßnahmen und Konzepte 6 Unterstützung bei der Herstellung einer C5-Compliance - Um perspektivisch die Anforderungen an den C5 -Kriterienkatalog (Cloud Computing Compliance Criteria Catalogue) des BSI zu erfüllen, sind entsprechende Beratungsleistungen zu erbringen. - Fit-Gap-Analyse zur Vorbereitung auf eine C5-Compliance. 7 Definition von Sicherheitsanforderungen beim Einsatz von KI - Definition von Sicherheitsmaßnahmen für Leistungsbeschreibungen im Rahmen von Ausschreibungsverfahren. - Um einen sicherheitskonformen Einsatz von KI-Lösungen zu erreichen, sind entsprechende Beratungsleistungen zu erbringen. Alle mündlichen und schriftlichen Kommunikationen, Berichte und Dokumentationen müssen in deutscher Sprache verfasst werden. Fachbegriffe und technische Nachweise sind hiervon ausgenommen und können in Ihrer Ursprungsprache genutzt werden und bedürfen keiner Übersetzung.

Interne Kennung: LOT-0000

5.1.1.

Zweck

Art des Auftrags: Dienstleistungen

Haupteinstufung (cpv): 79410000 Unternehmens- und Managementberatung

Zusätzliche Einstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung, 79417000 Sicherheitsberatung

Optionen:

Beschreibung der Optionen: Der Vertrag kann zweimal um jeweils zwöf Monate verlängert werden, wenn beide Vertragspartner die Verlängerung bis spätestens drei Monate vor dem jeweiligen Vertragsende schriftlich vereinbaren.

5.1.3.

Geschätzte Dauer

Laufzeit: 36 Monate

5.1.6.

Allgemeine Informationen

Vorbehaltene Teilnahme:

Teilnahme ist nicht vorbehalten.

Die Namen und beruflichen Qualifikationen des zur Auftragsausführung eingesetzten Personals sind anzugeben: Nicht erforderlich

Auftragsvergabeprojekt nicht aus EU-Mitteln finanziert

Die Beschaffung fällt unter das Übereinkommen über das öffentliche Beschaffungswesen: ja

Diese Auftragsvergabe ist auch für kleine und mittlere Unternehmen (KMU) geeignet: nein

5.1.7.

Strategische Auftragsvergabe

Ziel der strategischen Auftragsvergabe: Keine strategische Beschaffung

5.1.9.

Eignungskriterien

Quellen der Eignungskriterien: Bekanntmachung, Auftragsunterlagen

Kriterium: Referenzen zu bestimmten Dienstleistungen

Beschreibung des Eignungskriteriums: Weisen Sie nach, in den letzten drei Jahren mindestens fünf vergleichbare Beratungsprojekte bei unterschiedlichen Kunden durchgeführt zu haben, mit dem Ergebnis, dass der Kunde erfolgreich eine Zertifizierung oder Rezertifizierung nach "ISO 27001-Zertifikat auf der Basis von IT-Grundschutz" erreicht hat oder die zu der Ausstellung eines Zertifikates für das Managementsystem nach ISO 27001 geführt haben. Nachweis von 5 vergleichbaren Referenzprojekten unter Angabe von: - detaillierter Projektinhalt - Kundename - Projektlaufzeit von/bis (Monat/Jahr) - die seitens des Anbieters aufgewandten Personentage - Besonderheiten - auskunftsfähiger & auskunftsbereiter Ansprechpartner seitens des Auftraggebers des jeweiligen Referenzprojekts (einschließlich Telefonnummer) Als vergleichbar gelten Projekte, die folgende Merkmale aufweisen: • Beratung eines Informationssicherheitsbeauftragten oder der Geschäftsleitung/Behördenleitung • Umfang von mindestens 50 Personentagen • Thematischer Bezug zu ISMS, BSI IT-Grundschutz, ISO 27001 oder § 75b SGB V

Kriterium: Referenzen zu bestimmten Arbeiten

Beschreibung des Eignungskriteriums: Bestätigen Sie, dass Sie über mehrjährige Projekterfahrungen bei der Erstellung von ISO 27001 sowie der BSI Standards 200-1 bis 200-4 konformen Richtlinien und Konzepten verfügen. Legen Sie aktuelle Projektnachweise aus den letzten drei Jahren über insgesamt 5 von Ihnen erstellten IT-Sicherkonzepten nach den genannten Standards für unterschiedliche Unternehmen (vorzugsweise aus dem Gesundheitssektor) vor.

Kriterium: Relevante Bildungs- und Berufsqualifikationen

Beschreibung des Eignungskriteriums: Bestätigen Sie und weisen sie nach, dass die eingeplante Projektleitung über eine gültige BSI Zertifizierung als Auditteamleiter für ISO 27001-Audits auf der Basis von IT-Grundschutz verfügt oder über eine gültige Berufung zum ISO/IEC 27001 Lead Auditor bei einer DAkkS akkreditierten Zertifizierungsstelle verfügt. Bitte fügen Sie dazu den entsprechenden Nachweis dem Angebot bei.

Kriterium: Durchschnittliche jährliche Belegschaft

Beschreibung des Eignungskriteriums: Darlegung der Anzahl der Mitarbeitenden differenziert nach Tätigkeitsgebieten der Jahre 2023, 2024 und 2025

Kriterium: Informationssicherheit

Beschreibung des Eignungskriteriums: Bestätigen und weisen Sie nach, dass Sie über eine aktuell gültige Zertifizierung des BSI, als zertifizierter IT-Sicherheitsdienstleister mit dem Geltungsbereich IS-Revision und IS-Beratung verfügen. Die Daten (Patienten- und Diagnosedaten), die in der KV Nordrhein verarbeitet werden, unterliegen sehr hohen Schutzanforderungen, die es erforderlich machen, dass nur Dienstleister in Betracht kommen, die über eine aktuell gültige Zertifizierung des BSI, als zertifizierter IT-Sicherheitsdienstleister mit dem Geltungsbereich IS-Revision und IS-Beratung verfügen.

Kriterium: Finanzkennzahlen

Beschreibung des Eignungskriteriums: Positive Bonitätsbestätigung (z. B. Bankauskunft oder Selbstauskunft einer etablierten Auskunftsdatei) ist dem Angebot beizufügen.

5.1.10.

Zuschlagskriterien

Kriterium:

Art: Qualität

Bezeichnung: Qualität

Beschreibung: gem. Dokument Eignungs- und Zuschlagskriterien

Kategorie des Gewicht-Zuschlagskriteriums: Gewichtung (Prozentanteil, genau)

Zuschlagskriterium — Zahl: 50

Kriterium:

Art: Kosten

Bezeichnung: Preis

Beschreibung: gem. Dokument Preisblatt

Kategorie des Gewicht-Zuschlagskriteriums: Gewichtung (Prozentanteil, genau)

Zuschlagskriterium — Zahl: 50

5.1.11.

Auftragsunterlagen

Sprachen, in denen die Auftragsunterlagen offiziell verfügbar sind: Deutsch

Internetadresse der Auftragsunterlagen: https://www.deutsches-ausschreibungsblatt.de/VN/X-KVNO-2026-0002

5.1.12.

Bedingungen für die Auftragsvergabe

Bedingungen für die Einreichung:

Elektronische Einreichung: Zulässig

Adresse für die Einreichung: https://www.deutsches-ausschreibungsblatt.de/VN/X-KVNO-2026-0002

Sprachen, in denen Angebote oder Teilnahmeanträge eingereicht werden können: Deutsch

Elektronischer Katalog: Nicht zulässig

Varianten: Nicht zulässig

Die Bieter können mehrere Angebote einreichen: Zulässig

Frist für den Eingang der Angebote: 24/02/2026 10:00:00 (UTC+01:00) Mitteleuropäische Zeit, Westeuropäische Sommerzeit

Dauer, während der das Angebot gültig bleiben muss: 3 Monate

Informationen, die nach Ablauf der Einreichungsfrist ergänzt werden können:

Nach Ermessen des Käufers können alle fehlenden Bieterunterlagen nach Fristablauf nachgereicht werden.

Zusätzliche Informationen: Nachforderung wird nicht ausgeschlossen.

Auftragsbedingungen:

Die Auftragsausführung muss im Rahmen von Programmen für geschützte Beschäftigungsverhältnisse erfolgen: Nein

Elektronische Rechnungsstellung: Zulässig

Aufträge werden elektronisch erteilt: nein

Zahlungen werden elektronisch geleistet: nein

5.1.15.

Techniken

Rahmenvereinbarung:

Keine Rahmenvereinbarung

Informationen über das dynamische Beschaffungssystem:

Kein dynamisches Beschaffungssystem

5.1.16.

Weitere Informationen, Schlichtung und Nachprüfung

Überprüfungsstelle: Vergabekammer Westfalen

Informationen über die Überprüfungsfristen: Innerhalb von 15 Kalendertagen nach Eingang der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, kann ein Nachprüfverfahren bei der Vergabekammer beantragt werden (§ 160 Abs. 3 Nr. 4 GWB).

Organisation, die zusätzliche Informationen über das Vergabeverfahren bereitstellt: Kassenärztliche Vereinigung Nordrhein

Organisation, die Teilnahmeanträge entgegennimmt: Kassenärztliche Vereinigung Nordrhein

8. Organisationen

8.1.

ORG-7001

Offizielle Bezeichnung: Kassenärztliche Vereinigung Nordrhein

Registrierungsnummer: Leitweg-ID: 05111-99005-49

Postanschrift: Tersteegenstr. 9

Stadt: Düsseldorf

Postleitzahl: 40474

Land, Gliederung (NUTS): Düsseldorf, Kreisfreie Stadt (DEA11)

Land: Deutschland

Kontaktperson: Abteilung Einkauf

E-Mail: Einkauf@kvno.de

Telefon: +49 21159708434

Fax: +49 21159708320

Internetadresse: https://www.kvno.de

Rollen dieser Organisation:

Beschaffer

Organisation, die zusätzliche Informationen über das Vergabeverfahren bereitstellt

Organisation, die Teilnahmeanträge entgegennimmt

8.1.

ORG-7004

Offizielle Bezeichnung: Vergabekammer Westfalen

Registrierungsnummer: keine Angabe

Postanschrift: Albrecht-Thaer-Straße 9

Stadt: Münster

Postleitzahl: 48147

Land, Gliederung (NUTS): Münster, Kreisfreie Stadt (DEA33)

Land: Deutschland

E-Mail: vergabekammer@brms.nrw.de

Fax: +49 2514112165

Internetadresse: https://www.bezreg-muenster.de/themen/wirtschaft-kultur-und-kommunales/vergabekammer-westfalen

Rollen dieser Organisation:

Überprüfungsstelle

8.1.

ORG-7005

Offizielle Bezeichnung: Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)

Registrierungsnummer: 0204:994-DOEVD-83

Stadt: Bonn

Postleitzahl: 53119

Land, Gliederung (NUTS): Bonn, Kreisfreie Stadt (DEA22)

Land: Deutschland

E-Mail: noreply.esender_hub@bescha.bund.de

Telefon: +49228996100

Rollen dieser Organisation:

TED eSender

Informationen zur Bekanntmachung

Kennung/Fassung der Bekanntmachung: d21eddcd-832d-4535-99a5-05811b8965a9 - 01

Formulartyp: Wettbewerb

Art der Bekanntmachung: Auftrags- oder Konzessionsbekanntmachung – Standardregelung

Unterart der Bekanntmachung: 16

Datum der Übermittlung der Bekanntmachung: 23/01/2026 08:36:13 (UTC+01:00) Mitteleuropäische Zeit, Westeuropäische Sommerzeit

Sprachen, in denen diese Bekanntmachung offiziell verfügbar ist: Deutsch

Veröffentlichungsnummer der Bekanntmachung: 56609-2026

ABl. S – Nummer der Ausgabe: 17/2026

Datum der Veröffentlichung: 26/01/2026