16https://www.deutsche-evergabe.deORG-0001LEG gGmbHRudolf-Diesel-Str.10Buxtehude21614DE939DEU11513+49 4141972457Emma.vonEitzen@leggmbh.deORG-0002LEG GmbHRudolf-Diesel-Str.10Buxtehude21614DE939DEUfbd895cc-c47d-4d9b-8100-767871ffbd2f+49 4141972457Emma.vonEitzen@leggmbh.deORG-0003Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)Bonn53119DEA22DEU0204:994-DOEVD-83+49228996100noreply.esender_hub@bescha.bund.de00455207-2024146/20242024-07-29+02:002.3eforms-sdk-1.72ed40692-036d-4e10-9d6e-8eefce7fe8c52ed40692-036d-4e10-9d6e-8eefce7fe8c52024-07-26+00:0008:27:00+00:00012024-07-26+00:0032014L0024cn-standardDEUhttps://www.deutsche-evergabe.depub-underthealthORG-0001ted-esenORG-0003vgvmisrepresentTäuschung oder unzulässige Beeinflussung des VergabeverfahrensbankruptcyInsolvenzbankr-natMit Insolvenz vergleichbares VerfahrencorruptionBestechlichkeit, Vorteilsgewährung und Bestechungcred-arranMit Insolvenz vergleichbares Verfahrencrime-orgBildung krimineller VereinigungendistorsionWettbewerbsbeschränkende Vereinbarungenenvir-lawVerstöße gegen umweltrechtliche Verpflichtungenfinan-laundGeldwäsche oder TerrorismusfinanzierungfraudBetrug oder Subventionsbetrughuman-trafficMenschenhandel, Zwangsprostitution, Zwangsarbeit oder AusbeutunginsolvencyZahlungsunfähigkeitlabour-lawVerstöße gegen arbeitsrechtliche Verpflichtungenliq-adminInsolvenznati-groundRein nationale Ausschlussgründepartic-conflInteressenkonfliktprep-conflWettbewerbsverzerrung wegen Vorbefassungprof-misconductSchwere VerfehlungsanctionMangelhafte Erfüllung eines früheren öffentlichen Auftragssocsec-lawVerstöße gegen sozialrechtliche Verpflichtungensusp-actEinstellung der beruflichen Tätigkeitterr-offenceBildung terroristischer Vereinigungenneg-w-call2024-019Security Operations Center (SOC)Einführung und Betrieb eines Security Operations Center (SOC) inklusive einer SIEM-Plattform.services5000007225000072316000DEF0EDEULOT-0001sui-act-KO-Kriterium: Angabe zur Mitgliedschaft bei der Berufsgenossenschaft. -KO-Kriterium: Angabe, dass keine schweren Verfehlungen begangen wurden, die die Zuverlässigkeit in Frage stellt. -KO-Kriterium: Angaben zur Eintragung im Berufs- und/oder Handelsregister. (Im Zeitpunkt des Ablaufs der Teilnahmefrist nicht älter als 6 Monate) -KO-Kriterium: Eigenerklärung darüber, dass für das Unternehmen kein Eintrag im Wettbewerbsregister erfolgt ist bzw. unmittelbar bevorsteht, der eine Zuschlagserklärung in Frage stellt. -KO-Kriterium: Der Leistungserbringer betreibt ein ISMS nach ISO27001.usedtrueef-stand-Umsatz des Leistungserbringers in den letzten drei Geschäftsjahren. -Angaben, dass die Verpflichtung zur Zahlung von Steuern, Abgaben und Beiträge zur gesetzl. Sozialversicherung erfüllt sind. -Angaben, ob ein Insolvenzverfahren besteht o. ob das Unternehmen sich in Liquidation befindet. -Nachweis einer Betriebshaftpflicht in Höhe von 5 Mio. EUR p. a. SACHSCHÄDEN. (Bescheinigung des Versicherungsgebers oder Bescheinigung eines Versicherungsgebers) -Nachweis einer Betriebshaftpflicht in Höhe von 0,5 Mio. EUR p. a. PERSONENSCHÄDEN. (Bescheinigung des Versicherungsgebers oder Bescheinigung eines Versicherungsgebers) -Unternehmensbeschreibung gegliedert nach: a) Geschäftsstruktur b) Gründungsjahr c) Hauptgeschäftsbereich d) Hauptsitz e) Anzahl Mitarbeiter gesamt -KO-Kriterium: BAS-Zertifikat (Berechtigung nach § 21 Absatz 5 Satz 1 Krankenhausstrukturfonds-Verordnung (KHSFV)) eines wesentlichen an der Beschaffung oder Umsetzung beteiligten Mitarbeiters des Anbieter ist gegeben und beizufügen. usedtruetp-abil-KO-Kriterium: Die Datenhaltung und Bearbeitung finden ausschließlich und DSGVO-konform innerhalb der EU / DACH-Region (Rechenzentrum) statt. -KO-Kriterium: Die Kommunikationssprache während des normalen Betriebes ist Deutsch. -KO-Kriterium: Das Analystenteam des Anbieters unterstützt in deutscher Sprache, der Kontaktpunkt im Krisenfall ist deutschsprachig (mind. C2-Niveau) und der angebotene SLA ist für den deutschsprachigen Kontakt gültig. -KO-Kriterium: Der Standort (physische Sitz) der Analysten des SOC-Services liegt in Deutschland. -KO-Kriterium: Es sind mindestens 3 Referenzkunden im Bereich Krankenhäuser / Kliniken einzureichen. -Der Anbieter verfügt über mindestens 10 MDR/SOC-Analysten. -Eigenerklärung zur VERORDNUNG (EU) 2022/576 DES RATES vom 8. April 2022 zur Änderung der Verordnung (EU) Nr. 833/2014 über restriktive Maßnahmen angesichts der Handlungen Russlands, die die Lage in der Ukraine destabilisieren (Art. 5k EU-VO Nr. 833/2014)usedtruefalsenot-allowedeu-fundsnot-requfalsenot-allowed2ed40692-036d-4e10-9d6e-8eefce7fe8c5non-restricted-documentDEUhttp://www.deutsche-evergabe.de/dashboards/dashboard_off/2ed40692-036d-4e10-9d6e-8eefce7fe8c5late-noneBitte beachten: Um einen eventuellen Ausschluss des Angebotes zu vermeiden, legen Sie bitte die geforderten Nachweise und Erklärungen dem Angebot unbedingt vollständig bei.nonot-allowednot-allowedfalsetruepoi-exa40qualityQualität (Erreichte Punktzahl in Anlage Bewertungsmatrix - T0)Qualität (Erreichte Punktzahl in Anlage Bewertungsmatrix - T0)poi-exa15qualityBewertung der Bieterpräsentation (Nutzerbewertung)Bewertung der Bieterpräsentation (Nutzerbewertung)poi-exa15qualityBewertung Referenzhausbesuch (Nutzerbewertung)Bewertung Referenzhausbesuch (Nutzerbewertung)poi-exa30costBewertung der Investitions- u. lfd. Kosten zuzüglich Dienstleistungen für 3 Jahre (Preis)Bewertung der Investitions- u. lfd. Kosten zuzüglich Dienstleistungen für 3 Jahre (Preis)ORG-0001http://www.deutsche-evergabe.de/dashboards/dashboard_off/2ed40692-036d-4e10-9d6e-8eefce7fe8c5ORG-0001278(1) Etwaige Vergabeverstöße muss der Bewerber/Bieter gemäß § 160 Abs. 3 Nr. 1 GWB innerhalb von 10 Tagen nach Kenntnisnahme rügen. (2) Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, sind nach § 160 Abs. 3 Nr. 2 GWB spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Abgabe der Bewerbung oder der Angebote gegenüber dem Auftraggeber zu rügen. (3) Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, sind nach § 160 Abs. 3 Nr. 3 GWB spätestens bis zum Ablauf der Frist zur Bewerbungs- oder Angebotsabgabe gegenüber dem Auftraggeber zu rügen. (4) Ein Vergabenachprüfungsantrag ist nach § 160 Abs. 3 Nr. 4 GWB innerhalb von 15 Kalendertagen nach der Mitteilung des Auftraggebers, einer Rüge nicht abhelfen zu wollen, bei der Vergabekammer einzureichen.ORG-0002DEUfalsefalserequiredtruefalse2024-09-03+00:002024-08-26+00:0009:00:00+00:00true33falsenonenone0001Security Operations Center (SOC)1.Allgemeine Informationen zur Auftragsvergabe 1.1 Information zum Auftraggeber „Das Klinikum Itzehoe ist ein Krankenhaus der Schwerpunktversorgung, zudem ist es eines der größten Krankenhäuser in Schleswig-Holstein. Dazu zählen neben 15 Fachkliniken auch drei medizinische Versorgungszentren, ein ambulanter Pflegedienst, ein Seniorenzentrum, so-wie eine Gesundheits- und Krankenpflegeschule. Träger des Klinikum Itzehoe ist ein Zweck-verband bestehend aus dem Kreis Steinburg und der Stadt Itzehoe. Das Klinikum Itzehoe fungiert als Akademisches Lehrkrankenhaus der medizinischen Fakultäten der Universitäten Hamburg, Kiel und Lübeck. Neben dem ärztlichen Personal bildet das Klinikum Itzehoe auch Pflegepersonal und Physiotherapeuten aus. Im Klinikum Itzehoe arbeiten rund 2500 Mitarbeiter in verschiedenen Bereichen.“ Jährlich werden ca. 29 Tsd. vollstationäre Fälle und 50 Tsd. ambulante Fälle behandelt, das Umsatzvolumen beträgt ca. 180 Mio. Euro. 1.2 Beschreibung Auftragsgegenstand Das Klinikum Itzehoe möchte seine IT-Systeme weiter absichern und mittels eines Monitorings durch ein Security Operation Center in Form eines Managed Service („Managed SOC“) erweitern. Externe Analysten und Experten analysieren dabei Aktivitäten innerhalb der Systeme und Netze mit Hilfe u.a. der korrelierten Log-Dateien. Dies kann helfen, Cyber-Angriffe zu erkennen und zeitnah einzudämmen, bspw. bevor Angreifer Systeme kompromittieren. Die derzeitige Architektur der IT-Sicherheit beruht maßgeblich auf der Absicherung der Endgeräten auf Basis TrendMicro mit ApexOne, unterstützt durch TrendMicro DDI. Weitere Informationen zur derzeitigen IT-Infrastruktur und Architektur sind in der Anlage „Information zur IT-Infrastruktur“ detailliert beschrieben. Eine kurze Zusammenfassung der Bausteine: - Lizenzen: Die SIEM-Lösung wird durch den AN bereitgestellt und betrieben. Die Lizenzen bzw. Subscriptions sind vom AN anzubieten. Die SIEM-Lösung bleibt damit Eigentum des AN und befindet sich bis auf notwendige Kollektoren und Sensoren, welche ggf. AG Eigentum sind bzw. werden, in der Infrastruktur des AN (Cloud). - Anbindung Log-Quellen: der AN ist für die initiale Anbindung und Normalisierung der Log-Quellen, der Information aus der Endpointsicherheitslösung sowie relevanter Tools und Quellen an die SIEM-Lösung (Security Information and Event Management) zu-ständig. Der SOC-Partner hat dem AG in der Implementierungs-Phase die notwendigen bzw. präferierten Quellen zu nennen, um eine ausreichende Visibilität für qualifizierte Services zu erreichen. Die relevante Dokumentation und ein Betriebshandbuch sind Teil des Umfangs. - Betrieb der SIEM-Lösung: Der Betrieb der Lösung liegt vollständig beim AN. - Der AN bringt Regeln und Use-Cases in die SIEM-Lösung ein und übernimmt die Überwachung. Dazu gehören Regeln, um in den Daten Korrelationen zu bilden und da-raus Alarme auf einen potenziellen Angriff zu erzeugen. Die Überwachung und Analyse der Alarme sind Teil der Leistung des AN (weitere Detaillierung zu den SOC-Leistungen in Kapitel 2.3). - Protokollierung: Der AN setzt die SIEM-Lösung für die Zwecke der Protokollierung und möglichen notwendigen forensischen Analyse auf. Die Daten-Retention erfolgt ausschließlich in der SIEM-Lösung, eine Speicherdauer von 12 Monaten ist geplant. - Reaktion: Die im Leistungsumfang geforderte und vom AG freigegebene Reaktion bei einem Sicherheitsvorfall durch den AN auf den Systemen des AG wird in der Implementierungsphase abgestimmt. Der AG verfügt über eine telefonische Bereitschaft. Eine direkte aktive Reaktion durch den SOC-Partner bspw. auf Endgeräte ist erforderlich (weitere Detaillierung in Kapitel 2.3). Im Falle eines kritischen Vorfalls stellt der AN ad-hoc Ressourcen (Incident Response Team) zur Eindämmung, Bewältigung und Aufbereitung des Vorfalls bereit. 1.3 Technische und organisatorische Rahmenbedingungen Als Einrichtung im Gesundheitswesen und der damit verbundenen Verarbeitung besonders sensibler personenbezogener Informationen und Gesundheitsinformationen der Patienten ist der Schutzbedarf des Klinikum Itzehoe besonders hoch und die Absicherung kritisch. Infrastruktur und Architektur: Die Absicherung der Endpoints läuft derzeit mit TrendMicro Apex One, unterstützt durch TrendMicro DDI. Das Mengengerüst für das Angebot ist der Anlage „Information zur IT-Infrastruktur“ zu entnehmen. Protokollierung: Derzeit werden Security-Daten inkl. Logs an unterschiedlichen Orten separat abgelegt. Daher gibt es Stand heute keine zentrale Datenerhebung bzw. keinen Security Data-Lake. Verfügbarkeit der IT: Das Security-Team des AG hat eine 7x24h Rufbereitschaft eingerichtet, um vom AN im Zuge des Managed Security Operations Center bei kritischen Vorfällen kontaktiert werden zu kön-nen. Datenaustausch Der Datenaustausch zwischen dem Auftraggeber und dem Auftragnehmer muss generell auf die Verwendung vertraulicher und technologisch sicherer Kommunikations- und Datenkanäle beschränkt sein. Für den Datenaustausch abseits der E-Mail-Kommunikation (beispielsweise sicherheitsrele-vante Dokumente, Programme, etc.) muss der Auftragnehmer eine Datenaustauschplattform zur Verfügung stellen. Sonstige Anforderungen Für die Erbringung des Leistungsumfangs muss der Auftragnehmer grundsätzlich in der Lage sein, die notwendigen Werkzeuge (Soft- und Hardware) - inkl. etwaig notwendiger Lizenzen oder anderer Rahmenbedingungen - in vollem Umfang eigenständig zur Verfügung zu stellen und uneingeschränkt beim Auftraggeber nutzen zu können (außer Windows-Lizenzen, VMWa-re-Umgebung wird von dem Klinikum Itzehoe zur Verfügung gestellt).servicesfalsenone500000.0072250000DEF0EDEU36im Preisblatt (Bewertungsmatrix - T3) sind folgende Verlängerungsoptionen anzugeben -Verlängerung des Vertrages um 1 weiteres Jahr (4 Jahre) -Verlängerung des Vertrages um 2 weitere Jahre (5 Jahre) -Verlängerung des Vertrages um 3 weitere Jahre (6 Jahre)