Vergabeverfahren zum Abschluss einer Rahmenvereinbarung über Dienstleistungen im Bereich Identity- und Access-Management

Eintragung in einem Handelsregister Der Wirtschaftsteilnehmer ist in den einschlägigen Handelsregistern seines Niederlassungsmitgliedstaats verzeichnet;

Andere wirtschaftliche und finanzielle Anforderungen Der Wirtschaftsteilnehmer hat eine Haftpflichtversicherung in angemessener Höhe, mindestens aber mit einer Deckungssumme von: - 2.500.000 EUR für Personenschäden - 1.000.000 EUR für Sach- und Vermögensschäden pro Schadensfall abgeschlossen. Die Gesamtleistung für alle Versicherungsfälle eines Versicherungsjahres beträgt das 2-fache der vereinbarten Versicherungssumme.

Spezifischer Jahresumsatz Der spezifische Jahresumsatz des Wirtschaftsteilnehmers in dem vom Auftrag abgedeckten Geschäftsbereich betrug in der verlangten Anzahl von Geschäftsjahren: Jeweils pro Jahr: 350.000 EUR (Anzugebende Jahre: 2022, 2023, 2024) Gründung des Wirtschaftsteilnehmers Sind die Informationen zum spezifischen Umsatz nicht für den gesamten vorgegebenen Zeitraum erhältlich, geben Sie bitte an, an welchem Datum das Unternehmen des Wirtschaftsteilnehmers gegründet wurde oder seine Tätigkeit aufgenommen hat.

Ausführung von Dienstleistungen der genannten Art Im Bezugszeitraum hat der Wirtschaftsteilnehmer mind. die folgenden wesentlichen Dienstleistungen der genannten Art ausgeführt. Die nachfolgenden Referenzanforderungen sind nicht kumulativ im Sinne voneinander unabhängiger Referenzprojekte zu verstehen. Referenzprojekte, die die Anforderungen mehrerer Abschnitte erfüllen, können mehrfach berücksichtigt werden. o Der Bieter hat mindestens drei in den letzten drei Jahren (2022-2024) durchgeführte Identity- und Access-Management-(IAM)-Projekte (User-Management) mit einem Auftragsvolumen von jeweils mindestens 200.000 EUR für Implementierungsdienstleistungen nachzuweisen. Davon müssen mindestens zwei Referenzprojekte jeweils mehr als 10.000 verwaltete Benutzerkonten umfassen. o Der Bieter hat mindestens zwei in den letzten drei Jahren erfolgreich abgeschlossene Referenzprojekte nachzuweisen, die in Art und Umfang mit der ausgeschriebenen Leistung vergleichbar sind. Die Vergleichbarkeit setzt voraus, dass die Projekte unter Einsatz der Evolveum-MidPoint-Technologie umgesetzt wurden und mindestens drei der nachfolgend genannten Leistungsbestandteile Gegenstand der Leistungserbringung waren: o Lifecycle Management der Identitäten o Ablösung Altsystem o Konzept, Umsetzung LDAP-Anbindungen und Personenstammdaten o Anbindung Microsoft Active Directory o Unterstützung Role-Based Access Control (RBAC) o Statistik & Reporting

Technische Ausrüstungen und Maßnahmen zur Qualitätssicherung Der Wirtschaftsteilnehmer wendet folgende technische Ausrüstungen und Maßnahmen zur Qualitätssicherung an und verfügt über entsprechende Untersuchungs- und Forschungsmöglichkeiten. Im Rahmen der technischen und beruflichen Leistungsfähigkeit ist anzugeben, ob der Bieter über eine aktuell gültige Zertifizierung im Bereich Informationssicherheit verfügt. Als geeignete Zertifizierungen gelten insbesondere: - ISO/IEC 27001, - BSI IT-Grundschutz, - TISAX - oder eine gleichwertige Zertifizierung, die ein vergleichbares Niveau an Informationssicherheit nachweist. Diese Anforderung dient dem Nachweis der technischen und beruflichen Leistungsfähigkeit gemäß § 46 Abs. 3 Nr. 1 VgV. Der entsprechende Nachweis (z. B. Kopie des Zertifikats oder gleichwertige Unterlagen) ist dem Angebot beizufügen. Eine Zertifizierung gilt als gleichwertig, wenn sie den Aufbau und den laufenden Betrieb eines Informationssicherheitsmanagementsystems (ISMS) zum Gegenstand hat, insbesondere unter Berücksichtigung des Plan-Do-Check-Act-Zyklus, eines systematischen Risikomanagements, des Schutzes vertraulicher Informationen sowie der Umsetzung technischer, physischer und administrativer Sicherheitskontrollen. Ein Gütezeichen kann nur anerkannt werden, wenn es - die relevanten Merkmale der Leistung objektiv bewertet, - nach öffentlich zugänglichen, nichtdiskriminierenden Kriterien vergeben wird, - von einer unabhängigen Stelle entwickelt und kontrolliert wird, - allen interessierten Unternehmen offensteht, - sich auf die ausgeschriebene Produktkategorie bezieht und - auf Anforderungen beruht, die von einem Dritten festgelegt wurden, auf den das Unternehmen, das die Zertifizierung erwirbt, keinen maßgeblichen Einfluss ausüben konnte. Sofern keine formale Zertifizierung vorliegt, können gleichwertige Nachweise berücksichtigt werden, sofern diese - durch objektive und prüffähige Unterlagen belegt sind und - zusätzlich durch eine fachliche Stellungnahme oder geeignete Prüfzeugnisse einer unabhängigen, entsprechend qualifizierten sachverständigen Stelle abgesichert werden, die - soweit für den jeweiligen Prüfgegenstand verfügbar - akkreditiert ist oder nachweislich eine gleichwertige Qualifikation aufweist. Die sachverständige Stelle hat in ihrer Stellungnahme zu bestätigen, dass sie über die erforderliche Fachkunde zur Beurteilung der Vergleichbarkeit von Informationssicherheitsmanagementsystemen verfügt. Die Fachkunde ist in der Stellungnahme kurz darzulegen (z. B. durch Angabe einer bestehenden Akkreditierung, einer Tätigkeit als ISO/IEC-27001- oder IT-Grundschutz-Auditor oder durch vergleichbare Qualifikation und Erfahrung in der Auditierung einschlägiger Informationssicherheitsstandards). Die Stellungnahme muss bestätigen, dass die vorgelegten Unterlagen hinsichtlich Struktur und Sicherheitsniveau mit den genannten Zertifizierungen vergleichbar sind. Bloße Eigenerklärungen des Bieters, rein interne Konzepte oder ausschließlich vertragliche Regelungen (z. B. technische und organisatorische Maßnahmen - TOMs) ohne entsprechende externe Absicherung gelten nicht als ausreichender Nachweis der Eignung. Ein laufender Zertifizierungsprozess oder eine bloße Absicht zur Erlangung einer Zertifizierung stellt für sich genommen keinen gleichwertigen Nachweis im Sinne dieser Anforderung dar. Die Eignungsleihe gemäß § 47 VgV ist grundsätzlich zulässig. Hinsichtlich der Anforderungen an die Informationssicherheit gilt jedoch, dass der Nachweis (Zertifizierung oder gleichwertiger Nachweis) bei dem Unternehmen vorliegen muss, das die sicherheitskritischen Leistungen tatsächlich ausführt, insbesondere Tätigkeiten mit - administrativem Zugriff auf die IAM-Produktivumgebung, - sicherheitsrelevanten Konfigurationen, - Migrationen mit produktiven Identitätsdaten oder - Entwicklung und Wartung von Software. Ein allgemeiner Ausschluss der Eignungsleihe ist nicht vorgesehen; eine Einschränkung erfolgt ausschließlich tätigkeitsbezogen.

Technische Fachkräfte oder technische Stellen für die Qualitätssicherung Der Wirtschaftsteilnehmer kann - insbesondere für die Qualitätssicherung - auf folgende technische Fachkräfte oder technische Stellen zurückgreifen. Der Bieter muss über mindestens drei erfahrene Midpoint-Consultants verfügen, die über nachweislichen Kenntnisse und praktische Erfahrung in der Implementierung, Konfiguration und Betreuung von Midpoint-Systemen verfügen. Der Nachweis ist durch eine anonymisierte Qualifikationsübersicht oder eine Eigenerklärung zu erbringen, aus der hervorgeht: - Funktion und Qualifikation der vorgesehenen Fachkräfte, - Art und Umfang der ausgeübten Tätigkeiten im Rahmen früherer Projekte, - Beschreibung von mindestens drei relevanten Projekten, an denen die genannten Fachkräfte maßgeblich mitgewirkt haben (je Projekt: Kurzbeschreibung, Zeitraum, Aufgaben, ggf. Auftraggeber Branche, ohne personenbezogene oder vertrauliche Angaben). Die Darstellung kann anonymisiert erfolgen; Namen einzelner Mitarbeiter sind nicht erforderlich. Der Auftraggeber behält sich vor, bei Bedarf ergänzende Nachweise anzufordern.

Durchschnittliche jährliche Beschäftigtenzahl Die durchschnittliche jährliche Beschäftigtenzahl des Wirtschaftsteilnehmers und die Zahl seiner Führungskräfte in den letzten drei Jahren beliefen sich auf: o Der Wirtschaftsteilnehmer muss über ausreichende personelle Kapazitäten im IAM-Umfeld verfügen, um die ausgeschriebenen Leistungen ordnungsgemäß und parallel zu weiteren Projekten erbringen zu können. Der Bieter hat hierzu die durchschnittliche jährliche Beschäftigtenzahl im IAM-Umfeld der letzten drei Geschäftsjahre anzugeben.

Als Unterauftrag vergebener Anteil Der Wirtschaftsteilnehmer beabsichtigt, unter Umständen folgenden Teil (Prozentsatz) des Auftrags als Unterauftrag zu vergeben.