216/2025

1.1.

Beschaffer

Offizielle Bezeichnung: ekom21 - Kommunales Gebietsrechenzentrum Hessen

E-Mail: vergabestelle@ekom21.de

Rechtsform des Erwerbers: Von einer lokalen Gebietskörperschaft kontrollierte Einrichtung des öffentlichen Rechts

Tätigkeit des öffentlichen Auftraggebers: Allgemeine öffentliche Verwaltung

2.1.

Verfahren

Titel: Informationssicherheitsleistungen 2025

Beschreibung: Die ekom21 - Kommunales Gebietsrechenzentrum Hessen ist eine Körperschaft des öffentlichen Rechts nach dem Hessischen Datenverarbeitungsverbundgesetz (DV-VerbundG). Sie ist zentraler IT-Dienstleister für die hessischen Kommunen und ihre Einrichtungen. Von den Standorten in Gießen, Darmstadt und Kassel versorgt sie Ihre Endkunden umfassend mit modernen Informations- und Kommunikationsdienstleistungen (IuK) aller Art. Zu den rund 500 Mitgliedern in Hessen und weiteren Kunden bundesweit gehören ca. 29.000 Endanwender aus Kommunalverwaltungen und anderen öffentlichen Einrichtungen, wie z. B. Landkreise, Städte, Gemeinden, kommunale Eigenbetriebe, Zweckverbände, Anstalten, Krankenhäuser und Heime. Im staatlichen Bereich betreut die ekom21 zahlreiche Landesverbände, Ministerien und Regierungspräsidien. Insgesamt erbringt die ekom21 damit Services für sechs Millionen Bürger. Das Aufgabenspektrum der ekom21 wächst und verändert sich kontinuierlich, womit eine stetige Zunahme der Mitarbeiterzahlen einhergeht. Aktuell beschäftigt die ekom21 rund 850 Mitarbeiter/innen. Als gemeinsame Sicherheitsoffensive des Landes Hessen, der kommunalen Spitzenverbände Hessens und der ekom21 wurde das Kommunale Dienstleistungszentrum Cybersicherheit, kurz KDLZ-CS, 2016 ins Leben gerufen. Das KDLZ-CS stellt seine Dienstleistungen den hessischen Kommunen zur Verfügung. Das KDLZ-CS unterstützt Landkreise, Städte und Gemeinden auf Augenhöhe mit dem Ziel die Informationssicherheit im Land Hessen kontinuierlich zu verbessern. Hierfür sollen ein eLearning für Informationssicherheit sowie für Datenschutz und eine Phishing-Simulation angeboten werden.

Kennung des Verfahrens: 257cad87-7bd8-45d9-8788-19cd3375a61d

Interne Kennung: ekom21-2025-0022

Verfahrensart: Offenes Verfahren

Das Verfahren wird beschleunigt: nein

2.1.1.

Zweck

Art des Auftrags: Dienstleistungen

Haupteinstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung

Zusätzliche Einstufung (cpv): 72222300 Informationstechnologiedienste

2.1.2.

Erfüllungsort

Stadt: Gießen

Postleitzahl: 35398

Land, Gliederung (NUTS): Kassel, Kreisfreie Stadt (DE731)

Land: Deutschland

2.1.4.

Allgemeine Informationen

Zusätzliche Informationen: 1. Alle in der Bekanntmachung oder in der Vergabeunterlage geforderten Unterlagen (Nachweise, Erklärungen und sonstige Dokumente) müssen — soweit bei dem betreffenden Nachweis nicht ausdrücklich anders angegeben — fristgerecht und in der vorgegebenen Form — z. B. unter Verwendung der Erfassungsformulare — mit dem Angebot eingereicht werden. 2. Zusätzlich zu den in der Vergabebekanntmachung getroffenen Vorgaben gelten die für dieses Vergabeverfahren aufgestellten Bewerbungsbedingungen, dieTeil der elektronisch bereitgestellten Vergabeunterlagen sind. 3. Der Bieter hat die Eigenerklärung zum Artikel 5k der EU-Verordnung 833/2014 (Datei "Erklärung Art. 5k EU Verordnung 833-2014") ausgefüllt mit seinem Angebot einzureichen. 4. Die weiteren Erfüllungsorte liegen am Sitz und am Standort der Abrufberechtigen. 5. Der Bieter hat die "Technischen und Organisatortischen Maßnahmen" (TOM) mit seinem Angebot einzureichen. 6. Näheres ist den Vergabeunterlagen zu entnehmen.

Rechtsgrundlage:

Richtlinie 2014/24/EU

vgv -

Anzuwendende grenzübergreifende Rechtsvorschrift: Es gilt das Recht des Landes Hessen.

2.1.6.

Ausschlussgründe

Quellen der Ausschlussgründe: Bekanntmachung, Auftragsunterlagen

Der Zahlungsunfähigkeit vergleichbare Lage gemäß nationaler Rechtsvorschriften: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Korruption: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Beteiligung an einer kriminellen Vereinigung: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Vereinbarungen mit anderen Wirtschaftsteilnehmern zur Verzerrung des Wettbewerbs: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Verstoß gegen umweltrechtliche Verpflichtungen: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Geldwäsche oder Terrorismusfinanzierung: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Betrug: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Kinderarbeit und andere Formen des Menschenhandels: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Zahlungsunfähigkeit: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Verstoß gegen arbeitsrechtliche Verpflichtungen: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Verwaltung der Vermögenswerte durch einen Insolvenzverwalter: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Täuschung, Zurückhaltung von Informationen, Unfähigkeit zur Vorlage erforderlicher Unterlagen oder Erlangung vertraulicher Informationen zu dem Verfahren: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Interessenkonflikt aufgrund seiner Teilnahme an dem Vergabeverfahren: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Direkte oder indirekte Beteiligung an der Vorbereitung des Vergabeverfahrens: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Schwerwiegendes berufliches Fehlverhalten: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Vorzeitige Beendigung, Schadensersatz oder andere vergleichbare Sanktionen: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Verstoß gegen sozialrechtliche Verpflichtungen: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Verstoß gegen die Verpflichtung zur Entrichtung von Sozialversicherungsbeiträgen: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Einstellung der gewerblichen Tätigkeit: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Verstoß gegen die Verpflichtung zur Entrichtung von Steuern: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

Terroristische Straftaten oder Straftaten im Zusammenhang mit terroristischen Aktivitäten: Darüber hinaus gelten sämtliche in den Vergabeunterlagen genannten Ausschlussgründe, insbesondere die gesetzlichen Ausschlussgründe nach §§ 123 bis 126 GWB.

5.1.

Los: LOT-0000

Titel: Informationssicherheitsleistungen 2025

Beschreibung: Ziel des Vergabeverfahrens ist der Abschluss einer Rahmenvereinbarung mit einem Wirtschaftsteilnehmer. Die Rahmenvereinbarung soll - ohne Begründung einer Abnahmeverpflichtung - den bedarfsgerechten Abruf von Informationssicherheitsleistungen ermöglichen. Der Ausschreibungsgegenstand umfasst folgende Dienstleistungen: • Beratung zum Thema Informationssicherheit nach BSI-Grundschutz und BSI-KritisV • Durchführung von Bestandsaufnahmen beim Kunden • Entwicklung und Präsentation von Maßnahmenempfehlungen • Erstellung eines Berichts mit Maßnahmenempfehlungen • Entwicklung, Präsentation und Dokumentation von Sicherheitskonzepten • Durchführung von Audits • Vorbereitung, Durchführung und Auswertung von Pentests (Hardware, Software, Netzwerke) • regelmäßiger Austausch mit Projektleitung des KDLZ-CS Die durchzuführenden Dienstleistungen ausschließlich von eigenen Mitarbeitenden des Auftragnehmers durchzuführen, der Einsatz von Nachunternehmern und/ oder externen Fachkräften ist nicht zulässig. Der Ausschreibungsgegenstand umfasst insbesondere folgende Leistungen: • Beratungsdienstleistungen für Informationssicherheit • eLearnings zu den Themen Informationssicherheit und Datenschutz • Phishing-Simulationen • Incident Response Service • Managed Services zu den Bereichen Firewall, SOC und SIEM • Identity und Access Management (IAM) • Digitales Signieren Die durchzuführenden Dienstleistungen ausschließlich von eigenen Mitarbeitenden des Auftragnehmers durchzuführen, der Einsatz von Nachunternehmern und/ oder externen Fachkräften ist nicht zulässig. Über die Laufzeit der Rahmenvereinbarung veranschlagt der Auftraggeber eine Höchstwert von 25 Mio. € (netto). Der veranschlagte Gesamtwert basiert auf den Erfahrungen der letzten Jahre einschließlich geschätzter Mehrbedarfe. Näheres ist den Vergabeunterlagen zu entnehmen.

Interne Kennung: LOT-0000

5.1.1.

Zweck

Art des Auftrags: Dienstleistungen

Haupteinstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung

Zusätzliche Einstufung (cpv): 72222300 Informationstechnologiedienste

Optionen:

Beschreibung der Optionen: Die Auftraggeberin ist berechtigt, die Rahmenvereinbarung einmal um bis zu zwölf Monate zu verlängern. Die Option ist gegenüber dem Auftragnehmer mindestens in Textform zu erklären und hat die beabsichtigte Übergangszeit anzugeben.

5.1.3.

Geschätzte Dauer

Laufzeit: 48 Monate

5.1.6.

Allgemeine Informationen

Vorbehaltene Teilnahme:

Teilnahme ist nicht vorbehalten.

Die Namen und beruflichen Qualifikationen des zur Auftragsausführung eingesetzten Personals sind anzugeben: Erforderlich für das Angebot

Auftragsvergabeprojekt nicht aus EU-Mitteln finanziert

Die Beschaffung fällt unter das Übereinkommen über das öffentliche Beschaffungswesen: ja

Diese Auftragsvergabe ist auch für kleine und mittlere Unternehmen (KMU) geeignet: nein

5.1.7.

Strategische Auftragsvergabe

Ziel der strategischen Auftragsvergabe: Keine strategische Beschaffung

5.1.9.

Eignungskriterien

Quellen der Eignungskriterien: Bekanntmachung, Auftragsunterlagen

Kriterium: Umweltmanagementmaßnahmen

Beschreibung des Eignungskriteriums: Der Bieter verfügt über nachhaltige Umweltschutzmaßnahmen. Nachweis mittels Umweltschutz Management ISO 14001:2015 oder vergleichbar.

Kriterium: Maßnahmen zur Sicherstellung der Qualität

Beschreibung des Eignungskriteriums: Der Bieter verfügt über ein ausgeprägtes Qualitätsmanagement (QMS). Nachweis mittels ISO 9001:2015 oder vergleichbar.

Kriterium: Referenzen zu bestimmten Dienstleistungen

Beschreibung des Eignungskriteriums: Erklärung zu geeigneten Referenzleistungen über früher ausgeführte Liefer- und Dienstleistungen die mit Bezug auf die ausgeschriebenen Leistungen Aufschluss über die technische und berufliche Leistungsfähigkeit geben [Eigenerklärung zu geeigneten Referenzen] mit. Zu jeder Referenz müssen mindestens folgende Angaben gemacht werden: — Kurzbezeichnung der Referenz, — vollständiger Name einschließlich Postadresse und Kontaktdaten des Auftraggebers (=Referenzauftraggeber), —Auftragswert, — öffentlicher oder privater Auftraggeber, — Leistungszeitraum (Liefer- bzw. Erbringungszeitpunkt), — termingerechter Projektabschluss, — Beschreibung des Leistungsanteils des Ausführenden am Referenzprojekt in Prozent, — Stellung des Ausführenden im Referenzprojekt (Alleinunternehmer, Generalunternehmer, Ressourcengeber, Mitglied einer Bietergemeinschaft, — Anzahl der für den Bewerber im Rahmen des Projektes tätigen Personen. Aus der Beschreibung der Referenz muss klar erkennbar sein, welche Leistungen der Bewerber, was Mitglied einer Bewerbergemeinschaft oder ein Dritter, auf dessen technische und berufliche Leistungsfähigkeit abgestellt wird, selbst durchgeführt hat. Die bloße untergeordnete Mitwirkung bzw. die Überwachung eines Referenzprojekts sind hierbei nicht ausreichend. Die vorzulegenden Referenzen müssen eindeutig demjenigen Unternehmen als Auftragnehmer/Durchführungsverantwortlichen zugeordnet werden können, der sie zum Nachweis seiner technischen und beruflichen Leistungsfähigkeit mit dem Angebot vorlegt. Die Einreichung einer Bescheinigung des Referenzauftraggebers ist nicht erforderlich. Der Auftraggeber behält sich aber die Überprüfung der gemachten Angaben bei Referenzauftraggebern sowie eigene Ermittlungen vor, deren Ergebnisse Berücksichtigung im Rahmen der Eignungsprüfung berücksichtigt werden. Zu den geforderten Nachweisen werden für alle geforderten Erklärungen Erfassungsformulare zur Verfügung gestellt, die unter Beachtung der Ausfüllhinweise zu verwenden sind. Geforderte Eignungsnachweise (gem. §§ 122 ff. GWB, §§ 42 ff. VgV), die in Form anerkannter Präqualifikationsnachweise (u. a. HPQR) vorliegen, werden zugelassen und anerkannt, wenn die Präqualifikationsnachweise in Form und Inhalt den geforderten Eignungsnachweisen entsprechen. Mindestanforderung: Der Bieter muss bereits mindestens 100 Projekte erfolgreich abgeschlossen haben. Es sind mindestens drei Referenzleistungen einzureichen. Jeweils eine Referenz in den Bereichen Incident Response, SOC SIEM, Managed Firewall Service. Das Ende des Leistungszeitraums darf nicht vor dem 01.01.2022 liegen.

Kriterium: Relevante Bildungs- und Berufsqualifikationen

Beschreibung des Eignungskriteriums: Erfahrung in der Überprüfung von IT-Sicherheitsprodukten bzw. Hard- & Software nachweisen. Nachweis mittels akkreditierter CC / ITSEC Prüfstellen des BSI. Erfahrung in Penetrationstests von IT-Systemen nachweisen. Nachweis mittels Zertifizierung "IS-Penetrationstestdienstleister" des BSI. Erfahrung in Revision von IT-Systemen nachweisen. Nachweis mittels Zertifizierung "Dienstleister für IS-Revision/Beratung" des BSI. Erfahrung in der Vorfallbearbeitung nachweisen. Nachweis mittels Zertifizierung "Zertifizierter IT-Sicherheitsdienstleister in dem Geltungsbereich Vorfallbearbeitung" des BSI. Umfassende KRITIS-Erfahrung. Nachweis mittels eigener langjähriger KRITIS- Zugehörigkeit. Fähigkeiten im Bereich der Spionageabwehr. Nachweis mittels BSI Anerkennung IT-Sicherheitsdienstleister im Bereich Lauschabwehr. Fähigkeiten zur nachhaltigen Sicherung der Geschäftstätigkeit nachweisen. Nachweis mittels Zertifikat ISO 22301 Business Continuity Management (BCM) oder vergleichbar. Der Bieter verfügt über ein Datenschutzmanagement. Nachweis mittels Zertifikat ISO 27701 Datenschutz Management (PIMS) oder vergleichbar. Der Bieter verfügt über einen nachhaltigen Arbeits- und Gesundheitsschutz. Nachweis mittels ISO 45001:2018 oder vergleichbar. Der Bieter verfügt über ein systematisches Servicemanagement. Nachweis mittels ISO/IEC 20000-1 oder vergleichbar.

Kriterium: Durchschnittliche jährliche Belegschaft

Beschreibung des Eignungskriteriums: Eigenerklärung aus der die durchschnittliche jährliche Anzahl der fest angestellten Beschäftigten des Unternehmens in den letzten drei Jahren ersichtlich ist [Eigenerklärung zur Personenkennzahlen]. Mindestanforderung: Gefordert sind mindestens 500 Beschäftigte und davon mindestens 40 Berater für Informationssicherheit (Fachkräfte).

Kriterium: Informationssicherheit

Beschreibung des Eignungskriteriums: Organisatorische Absicherung durch ein Informationssicherheitsmanagementsystem (ISMS). Nachweis mittels ISO 27001:2022 oder vergleichbar.

Kriterium: Berufliche Risikohaftpflichtversicherung

Beschreibung des Eignungskriteriums: Erklärung des Unternehmens, dass für den Fall des Zuschlags eine Berufs- oder Betriebshaftpflichtversicherung mit den aufgestellten Mindeststandards für die Dauer der Vertragslaufzeit abgeschlossen wird bzw. - falls bereits vorhanden - eine solche besteht und für die Dauer der Auftragsausführung aufrechterhalten wird [Eigenerklärung zur Berufs- oder Betriebshaftpflichtversicherung]. Erforderlicher Mindestversicherungsschutz von 1,5 Mio. Euro für Personen- und Sachschäden und 1 Mio. Euro für Vermögensschäden jeweils bei zumindest doppelter Jahreshöchstleistung.

Kriterium: Andere wirtschaftliche oder finanzielle Anforderungen

Beschreibung des Eignungskriteriums: Eigenerklärung zum Unternehmen mit aussagekräftiger Darstellung des Unternehmens insbesondere im Hinblick auf den ausgeschriebenen Auftrag (Kenndaten und Kennzahlen, aktuelle Geschäftsbereiche, Tätigkeitsfelder und Marktpositionierung etc.) [Eigenerklärung zum Unternehmen].

Kriterium: Durchschnittlicher Jahresumsatz

Beschreibung des Eignungskriteriums: Erklärung über den Gesamtumsatz des Unternehmens sowie den Umsatz im Tätigkeitsbereich des ausgeschriebenen Auftrags, jeweils bezogen auf die letzten drei Geschäftsjahre [Eigenerklärung zum Umsatz]. Erforderlich ist ein Umsatz pro Kalenderjahr im Tätigkeitsbereich des Ausschreibungsgegenstands in den letzten drei Jahren von mindestens: 10 Mio. Euro (netto).

Kriterium: Eintragung in das Handelsregister

Beschreibung des Eignungskriteriums: Erklärung des Unternehmens, zur Befähigung und Erlaubnis zur Berufsausübung nach § 44 VgV [Eigenerklärung Befähigung und Erlaubnis zur Berufsausübung]. Nachweis der Eintragung im Berufs- oder Handelsregister, ggf. eidesstattliche Erklärung oder vergleichbare Bescheinigung einer Behörde des Mitgliedsstaates, in dem der Bewerber ansässig ist (Vorlage Kopie). Gewerbean- und ggf. -ummeldung, wenn keine Eintragungspflicht im Handels- bzw. Berufsregister besteht (Vorlage Kopie).

5.1.10.

Zuschlagskriterien

Kriterium:

Art: Qualität

Bezeichnung: Leistungsmatrix

Beschreibung: Leistungsmatrix je Tätigkeitsfeld