Penetrationtesting und Threat-Modeling

2.1 Nachweis einer Berufs-/Betriebshaftpflichtverischerung - "2.1 Nachweis einer Berufs-/Betriebshaftpflichtversicherung: Abgabe einer Eigenerklärung des Bieters, dass eine Berufs- oder Betriebshaftpflichtversicherung vorhanden ist, bzw. im Auftragsfall abgeschlossen wird und diese während der gesamten Vertragslaufzeit aufrecht erhalten wird (Nachzuweisen durch Eigenerklärung: Anlage A2, Ziffer 2.1), Im Fall einer Bietergemeinschaft muss eine entsprechende Versicherung von mindestens einem Mitglied oder alternativ von der Bietergemeinschaft selbst vorhanden sein. Inhaltliche Mindestanforderung: Bestehen einer im Rahmen und Umfang marktüblichen Industriehaftpflichtversicherung oder einer vergleichbaren Versicherung aus einem Mitgliedsstaat der EU."

2.2 Eigenerklärung zu den Unternehmensumsätzen - "2.2 Eigenerklärung zu den Unternehmensumsätzen: Abgabe einer Eigenerklärung des Bieters/von jedem Mitglied einer Bietergemeinschaft über seine Gesamt- sowie tätigkeitsbezogenen Umsatzerlöse der letzten drei abgeschlossenen Geschäftsjahre (Nachzuweisen durch Eigenerklärung: Anlage A2, Ziffer 2.2). Inhaltliche Mindestanforderung: "

3.1 Eigenerklärung über geeignete Unternehmensreferenzen - "3.1 Eigenerklärung über geeignete Unternehmensreferenzen: Abgabe einer Eigenerklärung über geeignete Referenzen über früher ausgeführte Aufträge, die mit dem Ausschreibungsgegenstand vergleichbar sind. Eine Referenz ist vergleichbar, wenn sie die nachfolgenden Bedingungen erfüllt: - Das Referenzprojekt entspricht im wesentlichen den hier ausgeschriebenen Leistungen. - Projektbeginn und -ende nicht länger als 3 Kalenderjahre (gerechnet ab Angebotsfristende) zurückliegend - Das Penetrationstesting oder Threat-Modeling muss erfolgreich abgeschlossen sein. (Nachzuweisen durch Eigenerklärung: Anlage A2, Ziffer 3.1). Inhaltliche Mindestanforderung: Es sind mindestens 6 vergleichbare Referenzprojekte nachzuweisen: I. Threat-Modeling Es sind mindestens 3 Referenzprojekte mit dem Inhalt Threat-Modeling einzureichen, die die folgenden Mindestanforderungen kumulativ erfüllen müssen: - Die Architektur eines verteilten, technischen Systems wurde anhand von Design-Dokumenten untersucht. Dabei wurden Schwachstellen identifiziert und beschrieben. - Es wurde ein Bedrohungsmodell in Form eines Diagrams erstellt. Hierfür wurden anerkannte Modellierungstechniken eingesetzt, beispielsweise das C4 Model. - Die Referenzprojekte müssen für einen Kunden außerhalb des eigenen Unternehmens durchgeführt worden sein. Zwei der mindestens 3 Refrenzprojekte müssen zusätzliche folgender Kriterien erfüllen: - Es wurde ein Workshop fürs Threat-Modeling mit mindestens 4 Teilnehmern durchgeführt. Im Rahmen des Workshops wurden zusammen Diagramme erstellt oder ergänzt, anhand derer mögliche Schwachstellen identifiziert werden konnten. Die Termine können Remote stattgefunden haben. II. Penetrationtesting Es sind mindestens 3 Referenzprojekte mit dem Inhalt Penetrationtesting einzureichen, die die folgenden Mindestanforderungen kumulativ erfüllen müssen: - Aus den vorlegten Refernzprojekten muss jedes der folgenden Themengebiete mindestens einmal belegt werden können: Smartphone-Apps (z.B. für iOS oder Android), Web-Applications, Cloud-Umgebungen und Netzwerke - Sie haben einen Umfang von mindestens 5 Personentagen - Sie müssen für einen Kunden außerhalb des eigenen Unternehmens durchgeführt worden sein. HINWEIS: Die Erfüllung sämtlicher Mindestkriterien muss sich aus der inhaltlichen Beschreibung der erbrachten Leistungen in der Eigenerklärung in Anlage A2, Ziffer 3.1 ergeben."

3.2 Eigenerklärung zur Menge durchgeführter Threat-Modelings - "3.2 Eigenerklärung zur Menge durchgeführter Threat-Modelings: Abgabe einer Eigenerklärung des Bieters / der Bietergemeinschaft, dass im Zeitraum der letzten 3 Jahre mindestens 10 Threat-Modelings durchgeführt wurden. (Nachzuweisen durch Eigenerklärung: Anlage A2, Ziffer 3.2). Inhaltliche Mindestanforderung: Die Threat-Modelings müssen vergleichbar sein mit den Anforderungen dieser Ausschreibung an Threat-Modelings, beschrieben in Kapitel 4.9 der B1_Leistungsbeschreibung."