02_P1003_Leistungsbeschreibung_V1.0.pdf

[Seite 1]

Projekt 1003

XML-Schema-Optimierung

XMLens

Leistungsbeschreibung

und Besondere Bewerbungsbedingungen

Version: 1.0

Datum: 21.07.2026

[Seite 2]

Bundesamt für Sicherheit in der Informationstechnik Postfach 20 03 63 53133 Bonn Internet: https://www.bsi.bund.de © Bundesamt für Sicherheit in der Informationstechnik 2023

Bundesamt für Sicherheit in der Informationstechnik 2

[Seite 3]

Inhaltsverzeichnis

Inhaltsverzeichnis

A Leistungsbeschreibung ...................................................................................................................................................... 5

1 Übersichtsinformationen zum Projekt ...................................................................................................................... 5

1.1 Auftraggeber ................................................................................................................................................................................. 5

1.2 Ausgangslage und Handlungsbedarf ................................................................................................................................ 5

1.3 Auftragsgegenstand und Projektziele .............................................................................................................................. 6

1.4 Projektstrukturplan .................................................................................................................................................................. 6

2 Beschreibung der Arbeitspakete .................................................................................................................................... 7

2.1 Arbeitspaket 1: Kickoff ............................................................................................................................................................ 7

2.2 Arbeitspaket 2: XSD- und Schematron-Analyse ......................................................................................................... 7

2.3 Arbeitspaket 3: XSD-Styleguide .......................................................................................................................................... 8

2.4 Arbeitspaket 4: Schematron-Best-Practice-Guide ..................................................................................................... 9

2.5 Arbeitspaket 5: Expertisekontingent für XML-Bedarfe ......................................................................................... 10

3 Zahlungs- und Meilensteinplan, Projektplan und Vergütung ...................................................................... 11

3.1 Vergütung .................................................................................................................................................................................... 11

3.2 Projektverlauf, Zahlungs- und Meilensteinplan ....................................................................................................... 11

4 Rahmen- und Ausführungsbedingungen ............................................................................................................... 13

4.1 Personal des Auftragnehmers ............................................................................................................................................ 13

4.1.1 Direktionsrecht und Disziplinargewalt .................................................................................................................... 13

4.1.2 Qualifikationen, Erfahrungen und sonstige Anforderungen ........................................................................ 13

4.1.3 Personaleinsatz und -austausch .................................................................................................................................. 14

4.2 Projektorganisation und Erreichbarkeit ....................................................................................................................... 14

4.3 Projektsprache ........................................................................................................................................................................... 14

4.4 Besprechungen .......................................................................................................................................................................... 14

4.5 Berichtswesen ............................................................................................................................................................................ 15

4.6 Formale Anforderungen an Projektdokumente ....................................................................................................... 15

4.7 Barrierefreie Gestaltung........................................................................................................................................................ 15

4.8 Verschlüsselung der Kommunikation ........................................................................................................................... 16

4.9 Einsatz von Unterauftragnehmern ................................................................................................................................. 16

4.10 Anforderungen an die Rechnungsstellung .................................................................................................................. 17

4.10.1 Zeitpunkt ................................................................................................................................................................................ 17

4.10.2 Elektronische Form ........................................................................................................................................................... 17

B Besondere Bewerbungsbedingungen ....................................................................................................................... 18

5 Bedingungen für die Zuschlagserteilung ................................................................................................................ 18

5.1 Gesetzliche Ausschlussgründe, Eignung und Ausführungsbedingungen .................................................... 18

5.2 Wirtschaftlichstes Angebot ................................................................................................................................................. 18

5.2.1 Bewertungspreis .................................................................................................................................................................. 19

Bundesamt für Sicherheit in der Informationstechnik 3

[Seite 4]

Fehler! Kein Text mit angegebener Formatvorlage im Dokument.

5.2.2 Leistung ................................................................................................................................................................................... 19

5.2.3 Erweiterte Richtwertmethode mit dem Entscheidungskriterium „Leistungspunkte“ ..................... 19

6 Erstellung des Angebots .................................................................................................................................................. 21

6.1 Angebotsformular ................................................................................................................................................................... 21

6.2 Anlagen zum Angebotsformular ...................................................................................................................................... 21

6.2.1 Anlage: Angebotsangaben gemäß den Besonderen Bewerbungsbedingungen .................................... 22

6.2.1.1 Einzelbieter / Mitglieder der Bietergemeinschaft ....................................................................................... 22

6.2.1.2 Unterauftragnehmer ................................................................................................................................................. 22

6.2.1.3 Eignungskriterien ....................................................................................................................................................... 23

6.2.1.4 Qualitative Zuschlagskriterien ............................................................................................................................. 25

6.2.2 Anlage: Bietergemeinschaftserklärung .................................................................................................................... 33

6.2.3 Anlage: Unterauftragnehmerverpflichtungserklärung(en) ............................................................................ 33

6.2.4 Anlage: Angaben zu vorliegenden Ausschlussgründen und zur Selbstreinigung im Sinne von § 125 GWB ........................................................................................................................................................................... 33

C Abkürzungsverzeichnis ................................................................................................................................................... 34

D Muster Leistungsnachweis ............................................................................................................................................. 35

4 Bundesamt für Sicherheit in der Informationstechnik

[Seite 5]

A Leistungsbeschreibung

1 Übersichtsinformationen zum Projekt

1.1 Auftraggeber

Als die Cybersicherheitsbehörde des Bundes gestaltet das Bundesamt für Sicherheit in der Informationstechnik (BSI) Informationssicherheit in der Digitalisierung durch Prävention, Detektion und Reaktion für Staat, Wirtschaft und Gesellschaft.

Das BSI wurde am 1. Januar 1991 gegründet und gehört zum Geschäftsbereich des Bundesministeriums des Innern. Derzeit sind dort ca. 1.700 Mitarbeitende beschäftigt. Seinen Hauptsitz hat das BSI in Bonn.

Das BSI ist die zentrale, unabhängige und neutrale Stelle für Fragen zur IT-Sicherheit. Das BSI schützt die Netze des Bundes; es richtet sich jedoch zugleich auch an gewerbliche und private Anbieter wie Nutzer von Informationstechnik. Das breite Aufgabenspektrum des BSI ist im BSI-Gesetz geregelt.

1.2 Ausgangslage und Handlungsbedarf

Das Entry-/Exit-System (EES) der Europäischen Union, welches seit dem 12. Oktober 2025 stufenweise in Betrieb ging, ersetzt die bisherige manuelle Stempelung von Reisedokumenten bei der Ein- und Ausreise von Drittstaatsangehörigen durch eine elektronische Erfassung. Dabei werden sowohl alphanumerische Daten (Name, Geburtsdatum, Reisedokumentdaten) als auch biometrische Merkmale (Gesichtsbilder, Fingerabdrücke) erhoben und in einer zentralen EU-Datenbank gespeichert. Durch diese Maßnahme sollen Aufenthaltsdauern eindeutig erfasst, Überziehungen lückenlos erkannt sowie Identitätsbetrug und irreguläre Migration eingedämmt werden. Parallel dazu bereitet die EU die Einführung des European Travel Information and Authorisation Systems (ETIAS) vor, welches laut aktueller Planung (Stand 05/2026) im letzten Quartal 2026 in Betrieb gehen wird. ETIAS soll Reisende aus visumsbefreiten Drittstaaten einer verpflichtenden Vorabprüfung unterziehen und somit einen weiteren Beitrag zur Sicherheit in der EU leisten.

Die BSI TR-03156 dient dazu, die übergreifenden Prozesse des hoheitlichen Identitätsmanagements effizient und sicher zu planen und fortzuentwickeln. Mit Hilfe dessen wird dem gesetzlichen Anspruch des Artikel 38 Absatz 4 der EES Verordnung in Verbindung mit dem EES-DG § 4 und ETIAS-DG § 4 nachgekommen, Fachlogging der Grenz- sowie Inlandskontrollvorgänge zu betreiben, um somit die gesetzlichen Verpflichtungen des BSI einzuhalten. Innerhalb der TR-03156 erfolgt eine Gliederung in ein Logging von Ereignisdaten, systemischen Kommunikationsdaten und Identitätsdaten. Dabei bindet die BSI TR-03156 als wesentlichen Bestandteil die BSI TR-03121 und BSI TR-03135 im Kontext der Biometrieaufnahmen und - prüfungen sowie Dokumentenprüfungen ein. Um dieses Logging technisch zu realisieren, werden XML- Schemata im BSI angefertigt, die neben dem Bundesverwaltungsamt und der Bundespolizei weiteren Stakeholdern als Umsetzungsvorgabe zur Verfügung gestellt werden. Um sowohl für die externen Behörden in der Implementierung als auch für das BSI zu Auswertezwecken eine transparente und konsistente Grundlage der Schemata zu schaffen, ist eine Vereinheitlichung zwischen und Optimierung der Technischen Richtlinien zu forcieren. Es sei hierbei darauf hingewiesen, dass sich die Technische Richtlinie über mehr Schema Dateien erstreckt, als auf der BSI-Webseite hochgeladen sind.

Aus der beschriebenen Ausgangslage ist ersichtlich, dass die drei Technischen Richtlinien als Kernelemente für den gesetzlichen Anspruch auf XML-Schemata basieren. Sie bilden die fachlichen Anforderungen vollständig und valide ab und stellen eine zentrale Grundlage für die strukturierte Protokollierung dar. Aufgrund der kontinuierlichen Weiterentwicklung der Systeme und der damit verbundenen Erweiterungen hat sich im Zeitverlauf eine Vielzahl von Modellierungsansätzen und Darstellungsweisen etabliert.

5 Bundesamt für Sicherheit in der Informationstechnik

[Seite 6]

Die beschriebenen komplexen Grenz- und Inlandssysteme werden aus verschiedenen Perspektiven abgebildet. Um die langfristige Nutzbarkeit und Pflege sicherzustellen, ist eine Harmonisierung und Vereinheitlichung der Schemata untereinander zu erhöhen. Ziel ist es, durch die Einführung und verbindliche Anwendung eines Styleguides die Konsistenz der Schemata zu erhöhen und zugleich Verständlichkeit, Wiederverwendbarkeit und Implementierung zu optimieren. Dies umfasst insbesondere:

• Die einheitliche Anwendung von Modellierungsmustern und Schreibweisen • Die Anpassung an aktuelle fachliche und technische Anforderungen • Die Sicherstellung einer konsistenten Darstellung innerhalb und zwischen den Schemata

Mit der Umsetzung dieser Maßnahmen werden wesentliche Voraussetzungen geschaffen, um die Qualität der Schemata nachhaltig zu sichern, ihre Weiterentwicklung effizient zu gestalten und eine durchgängige Standardisierung zwischen den beteiligten Systemen zu gewährleisten.

1.3 Auftragsgegenstand und Projektziele

Das Projekt verfolgt eine strukturelle und ganzheitliche Vereinheitlichung der Log-Schemata oben genannter Technischer Richtlinien sowie darauf basierenden Schematron-Dateien, um die Lesbarkeit und das Verständnis zu optimieren. Ziel ist es, eine einheitliche und wartbare Struktur für die Schemata zu schaffen, um die zukünftige Entwicklung und Integration bzw. Umsetzung effizienter zu gestalten. Als Resultat werden alle Analyseschritte und Ergebnisse in einem ausgearbeiteten Dokument aufbereitet.

Um eine konsistente Grundlage für die XSD-Schemata-Modellierung zu schaffen, erarbeitet der Auftragnehmer (AN) anhand der BSI TR-03156 einen sogenannten Styleguide. In diesem Dokument werden vereinheitlichte Vorgaben aufgeschlüsselt, um unmissverständlich zu definieren, wie für die Zukunft eine XSD anzufertigen ist. Darüber hinaus wird der Prozess zur Veröffentlichung der XSD inklusive deren Dokumentation einer Qualitätssicherung unterzogen und ebenfalls in diesem Dokument festgehalten. Ziel ist eine transparente, standardisierte und nachvollziehbare Bereitstellung der Schemata für interne und externe Nutzer sicherzustellen.

Ein weiteres Ergebnis dieses Projekts ist die Verbesserung der Schematron-Nutzung. Mittels Schematron werden durch semantische Prüfungen systematische Fehlerquellen in den eingehenden Datensätzen gefunden und minimiert. Die derzeitige Implementierung ist praxisorientiert umgesetzt, muss jedoch deutlich erweitert werden. Ein hierfür ebenfalls entsprechend angefertigter Styleguide durch den AN als Ergebnisdokument hält eine Dokumentation der Best-Practice fest. Diese ist zugeschnitten auf die bestehenden Schematron-Testfälle zur BSI TR-03156.

Über diese klar definierten Ziele hinaus, stellt der AN ein Expertisekontingent zur Verfügung. Gemeint ist, die strukturierte Klärung offener Fragen zu geplanten oder neu zu modellierenden Änderungen bzw. Erweiterungen der XML-Schemata zu gewährleisten. Es muss neben der Überarbeitung aktueller Modelle auch ein Grundgerüst für kommende Logging-Projekte des BSI gesetzt werden. Ziel ist es, Anforderungen zu erfassen, technische Machbarkeit zu prüfen und Umsetzungsmöglichkeiten abzustimmen. Das Vorgehen stellt sicher, dass neue XSD konsistent in die bestehenden Technischen Richtlinien integriert und diese optimal erweitert werden können.

1.4 Projektstrukturplan

Im Rahmen der Leistungserbringung sind folgende Arbeitspakete (AP) vorgesehen:

• Arbeitspaket 1: Kickoff • Arbeitspaket 2: XSD- und Schematron-Analyse • Arbeitspaket 3: XSD-Styleguide • Arbeitspaket 4: Schematron-Best-Practice-Guide • Arbeitspaket 5: Expertisekontingent für XML-Bedarfe

6 Bundesamt für Sicherheit in der Informationstechnik

[Seite 7]

2 Beschreibung der Arbeitspakete

Der Auftragnehmer (AN) hat die in den folgenden Arbeitspaketen dargestellten Leistungen zu erbringen.

2.1 Arbeitspaket 1: Kickoff

Zu Beginn des Projekts findet ein halbtägiger, virtueller Kickoff-Workshop zwischen Auftraggeber (AG) und allen wesentlich am Projekt beteiligten Mitgliedern des Projektteams des Auftragnehmers (AN) statt. Es wird vorausgesetzt, dass sich die Teilnehmer vor der Besprechung umfassend mit dem Projekt auseinandergesetzt haben. Im Vorfeld des Meetings werden bereits durch den AG die Schema-Dokumente der BSI TR-03156 zur Verfügung gestellt.

In der Auftaktbesprechung werden dem AN durch den AG die Hintergründe der Designentscheidungen der einzelnen XSD-Schemata dargestellt. Gleichzeitig werden auch die Hauptinteressen des Loggings präsentiert. Der AN ist soweit vorbereitet, dass er seine Vorgehensweise bei der Untersuchung der einzelnen Dateien nachvollziehbar dargestellt. Dem AN wird während der Vorbesprechung auch die Verwendung von Schematron gezeigt, wie sie derzeit durch den AG vollzogen wird. Dabei wird im Wesentlichen auch auf die Anwendungsfälle der Nutzung eingegangen. Vor- und Nachbereitung des Workshops erfolgt durch den AN. Verbleibende offene Fragen werden zwischen AG und AN diskutiert und verbindlich geklärt.

Ferner sind die Kommunikationswege zu etablieren und die Erreichbarkeit der beteiligten Personen seitens AN und AG abzustimmen.

Der AN erstellt ein Besprechungsprotokoll, welches am Ende des Kickoff-Meetings zusammen durchgegangen wird, und legt dieses binnen drei Arbeitstage nach dem Termin dem AG vor.

2.2 Arbeitspaket 2: XSD- und Schematron-Analyse

Die bestehenden XML-Schemata (XSD) sind durch den AN hinsichtlich Struktur, Wiederverwendbarkeit und Performance zu analysieren. Ziel ist eine einheitliche und wartbare Struktur für die Schemata zu schaffen, um die zukünftige Entwicklung und Integration bzw. Umsetzung effizienter zu gestalten. Die in diesem Arbeitspaket durchzuführende Analyse stellt die Grundlage für das nachfolgende Arbeitspaket 3: XSD- Styleguide dar.

Der AG stellt dem AN in der Anlage eine Auswahl von neun XSD-Schemata zur Analyse zur Verfügung. Dies sind:

• abclog2v1, • base6v1, • bcklog6v1, • bcl9v1, • eucomlog5v1, • idobjlog6v1, • igalog6v1, • natcomlog5v1 und • ssslog6v1.

Zu einigen der Schemata existieren bereits Schematron-Testfälle. Dies sind in Zahlen: 1 Testfall für bcklog6v1, 1 Testfall für igalog6v1 sowie 28 Testfälle für erd2v1. Auch diese sowie das Schema erd2v1 sind in der Anlage mitgegeben. Das Schema erd2v1 ist nicht im Rahmen der Analyse in diesem AP zu berücksichtigen, sondern dient lediglich dem Verständnis der zugehörigen Testfälle.

Bundesamt für Sicherheit in der Informationstechnik 7

[Seite 8]

Zu Beginn des AP stimmen sich AG und AN über die syntaktischen und semantischen Prüfaspekte ab und erweitern bzw. konkretisieren diese bei Bedarf. Die abgestimmte Liste dient dem AN als Grundlage zur Analyse der Schemata und beinhaltet u.a. die nachfolgenden Prüfaspekte:

• Syntaktische Analyse: Techniken zur Prüfung der formalen und technischen Korrektheit o Namenskonventionen o Struktur und Modellierung, Modularisierung und Redundanzen o Namespace-Design o Dokumentation & Lesbarkeit o Validierungsregeln & Constraints o Konsistenz & Harmonisierung, Vermeidung semantischer Doppelungen o Erweiterbarkeit & Zukunftssicherheit, dies schließt ein, dass die Schemata so konzipiert sind, dass o eine geringfügige Änderung in einem der Schema-Dokumente wenige bis keine Auswirkungen auf die anderen Schemata hat Allgemeingültigkeit des Schemas in Bezug auf die Bibliotheken die bei der Erstellung der XML- o Logs benötigt werden Performance & Komplexität, Verschachtelung o Konformität mit Standards und Normen o • Semantische Analyse: Formale und technische Korrektheit o Struktur und Herangehensweise bei der Erstellung der Schematron-Dokumente o Vorgehen bei der Analyse von mehreren XML-Dokumenten verschiedener XSD-Schemata mit o einem Schematron-Test Dokumentation & Lesbarkeit o Konsistenz & Harmonisierung o Erweiterbarkeit & Zukunftssicherheit o Performance & Komplexität, bzw. Vereinfachung durch Generalisierung oder o Wiederverwendbarkeit Konformität mit Standards und Normen o Zur Dokumentation der Findings erstellt der AN eine Vorlage und stimmt die Struktur und inhaltliche Ausrichtung mit dem AG einvernehmlich ab. Die abgestimmte Vorlage dient dann dem AN zu Erstellung der Reports zur Dokumentation der Findings. Die Dokumentation erfolgt in DocBook-XML mit der vom AG bereitgestellten DocBook-Toolchain.

Auf Basis des abgestimmten Reportformats werden dann zu den o.g. XSD- und Schematron-Schemata jeweils ein separater Report durch den AN erstellt:

• Je ein Reportdokument für jedes der oben angegebenen Schemata (insgesamt neun Reportdokumente) Dies dient zur Vorbereitung auf den jeweiligen XSD-Styleguide in Arbeitspaket 3: XSD-Styleguide. • Ein Reportdokument für alle oben genannten Schematron-Dateien. Dies dient zur Vorbereitung auf den jeweiligen Schematron Best-Practice Guide in Arbeitspaket 4: Schematron-Best-Practice-Guide.

Der AN stellt dem AG die Reports in einem Meeting vor und erläutert die Befunde. Der AG hat anschließend drei Wochen Zeit um die Reports seinerseits zu sichten und ggf. Korrekturen oder weitere Anpassungsbedarfe ggü. dem AN zu formulieren. Der AN erstellt daraufhin die finalen Fassungen.

2.3 Arbeitspaket 3: XSD-Styleguide

Um eine konsistente Grundlage für XSD-Schema-Modellierung für Logging der Inlands- und Grenzkontrollsysteme zu schaffen, wird anhand der BSI TR-03156 ein sogenannter Styleguide durch den AN erarbeitet. In diesem Dokument müssen vereinheitlichte Vorgaben aufgeschlüsselt sein, um unmissverständlich zu definieren, wie für die Zukunft eine XSD anzufertigen ist. Ziel ist eine transparente,

8 Bundesamt für Sicherheit in der Informationstechnik

[Seite 9]

standardisierte und nachvollziehbare Bereitstellung der Schemata für interne und externe Nutzer sicherzustellen. Für das Schreiben des Styleguides ist die vom AG bereitgestellten DocBook-Toolchain zu verwenden. Adressat des Ergebnisdokuments ist dabei ein Entwickler, der bereits sicher im Umgang mit XML- und XSD-Dateien ist. Dadurch müssen nicht die grundlegenden Begrifflichkeiten und allgemein bekannte XML-Basics dargestellt werden, sondern die für das BSI und dieses Projekt zugeschnittenen Themen eruiert werden.

Die Struktur wird vom AN vorgeschlagen und mit dem AG abgestimmt. Es wird auf die Reports aus dem vorigen Arbeitspaket aufgebaut, in diesem Fall jedoch ein einziges Styleguide-Dokument, basierend auf den zuvor erstellten Reports.

Der AN verfasst in diesem Zusammenhang einen verbindlichen XSD-Styleguide, insbesondere mit Inhalten zu den folgenden Themen:

• Definition einheitlicher Namens-, Struktur- und Modellierungskonventionen für XSD • Festlegung von Standards für Namespace-Design und Versionierung • Vorgaben zur Modularisierung und Wiederverwendung von Schema-Komponenten • Regelungen zum Einsatz von Validierungsmechanismen und XSD-Funktionalitäten • Festlegung verbindlicher Dokumentationsstandards • Definition zulässiger und unzulässiger XSD-Features • Beschreibung empfohlener Best Practices zur Wartbarkeit, Erweiterbarkeit und Interoperabilität • Regelungen zu Major- und Minor-Releases • Dokumentation von Änderungen (Changelogs) inkl. dessen Erstellungstechniken • Einbinden aller Informationen der Reports, geclustert nach XML-Themen, nicht nach Schemata

Der Styleguide wird zudem Aussagen dazu enthalten, wie die darin definierten Vorgaben technisch in automatisierte Prüfprozesse (z.B. im Rahmen von Build-, Test- oder Freigabeprozessen / CI/CD-Pipelines) integriert werden können. Hierzu sind insbesondere geeignete Werkzeuge, Prüf- und Validierungsschritte sowie deren Einbindung in bestehende Prozessabläufe darzustellen.

Der Styleguide ist so auszugestalten, dass er eine eindeutige und vor allem langfristig tragfähige Grundlage für die zukünftige Erstellung von XSD-Schemata bildet. Der AN stellt dem AG den Report in einem virtuellen Meeting vor und erläutert die darin enthaltenen Anforderungen. Der AG hat anschließend drei Wochen Zeit um die Reports seinerseits zu sichten und ggf. Korrekturen oder weitere Anpassungsbedarfe ggü. dem AN zu formulieren. Der AN erstellt daraufhin die finale Fassung.

2.4 Arbeitspaket 4: Schematron-Best-Practice-Guide

Mittels Schematron werden durch semantische Prüfungen systematische Fehlerquellen in den eingehenden Datensätzen gefunden und minimiert. Die derzeitige Implementierung ist praxisorientiert umgesetzt, muss jedoch deutlich erweitert werden. Ein hierfür ebenfalls entsprechend angefertigter Styleguide durch den AN als Ergebnisdokument hält eine Dokumentation der Best-Practice fest. Diese ist zugeschnitten auf die bestehenden Schematron-Testfälle zur BSI TR-03156. Auch für diesen Styleguide ist die Nutzung von DocBook durch den AG vorgegeben. Adressat des Ergebnisdokuments ist dabei ein Entwickler, der bereits sicher im Umgang mit XML- und Schematron-Dateien ist. Dadurch müssen nicht die grundlegenden Begrifflichkeiten und allgemein bekannte Schematron-Basics dargestellt werden, sondern die für das BSI und dieses Projekt zugeschnittenen Themen eruiert werden.

Der Best-Practice-Schematron-Guide ist dabei ein einzelnes Dokument welches auf den Reports zu Schematron aus Arbeitspaket 2: XSD- und Schematron-Analyse aufbaut. Diesmal jedoch ein einziges Styleguide-Dokument basierend auf allen drei Reports. Die Struktur wird vom AN vorgeschlagen und mit dem AG abgestimmt.

Der AN verfasst in diesem Zusammenhang einen verbindlichen Schematron-Best-Practice-Guide insbesondere mit Inhalten zu den folgenden Themen:

Bundesamt für Sicherheit in der Informationstechnik 9

[Seite 10]

• Definition einheitlicher Namens-, Struktur- und Modellierungskonventionen • Festlegung von Standards für den korrekten Namespace-Import bei der Zusammenführung mehrerer Log-Fragmente • Festlegung von korrekter Nutzung von Fehlerhierarchien • Regelung der korrekten Nutzung von Phasen, Pattern, Rules und Reports • Vorgaben zur XProc-Nutzung • Festlegung von Standards für Versionierung • Vorgaben zur Modularisierung und Wiederverwendung von Schematron-Komponenten • Regelungen zum Einsatz von Validierungsmechanismen und Tests der Schematron-Regeln • Festlegung verbindlicher Dokumentationsstandards • Beschreibung empfohlener Best Practices zur Wartbarkeit, Erweiterbarkeit und Interoperabilität • Kompatibilitäts- und Migrationsstrategien bei Schema-Aktualisierung um ein Neuschreiben der Tests für jede Schema Veröffentlichung zu verhindern bzw. Änderungen am Schema schnell zu identifizieren und die bestehenden Tests anzupassen. • Definieren, wie die Herangehensweise zum Finden neuer Tests anhand der bestehenden Schemata vereinheitlicht wird. • Einbinden aller Informationen der Reports, geclustert nach Schematron-Themen, nicht nach Schemata

Der Best-Practice-Guide muss zudem Aussagen dazu enthalten, wie die darin definierten Vorgaben technisch in automatisierte Prüfprozesse (z.B. im Rahmen von Build-, Test- oder Freigabeprozessen / CI/CD-Pipelines) integriert werden können. Hierzu sind insbesondere geeignete Werkzeuge, Prüf- und Validierungsschritte sowie deren Einbindung in bestehende Prozessabläufe darzustellen.

Der Best-Practice-Guide ist so auszugestalten, dass er eine eindeutige und vor allem langfristig tragfähige Grundlage für die zukünftige Erstellung von Schematron-Dokumenten bildet. Der AN stellt dem AG den Guide in einem virtuellen Meeting vor und erläutert die darin enthaltenen Anforderungen. Der AG hat anschließend drei Wochen Zeit um den Guide seinerseits zu sichten und ggf. Korrekturen oder weitere Anpassungsbedarfe ggü. dem AN zu formulieren. Der AN erstellt daraufhin die finale Fassung.

2.5 Arbeitspaket 5: Expertisekontingent für XML-Bedarfe

Neue XSD-, XML- und Schematron-Dateien müssen durch das BSI konsistent in die bestehenden Technischen Richtlinien integriert und erweitert werden. Daher besteht latenter Bedarf an Beratungs- und Entwicklungsunterstützung in XML-Themen. Der AN stellt dem AG ein umfassendes Expertisekontingent zur Unterstützung der Projektumsetzung zur Verfügung.

Im Rahmen dieses Arbeitspakets unterstützt der AN daher den AG im Bedarfsfall bei der Entwicklung und Umsetzung von u.a. XML, XSD, XSLT- und Schematronbasierter Aufgaben. Die genauen Tätigkeiten und damit die zu erbringenden Leistungen und abnahmerelevanten Kriterien werden zwischen AN und AG jeweils einvernehmlich abgestimmt.

Um eine Idee dafür zu bekommen welche Tätigkeiten dies sein könnten, werden nachfolgend Beispiele beschrieben, die in der Vergangenheit aufgetreten sind. Die formulierten Beispiele dienen hier nur dem Verständnis und sind so nicht konkret umzusetzen:

• Unterstützung beim konkreten Designentscheidungen vor der Erstellung einer neuen Reihe Schematron-Testfälle • Unterstützung bei XSLT-Skripten zur Konvertierung von XML-Dokumenten • Einschätzungen und Hinweise bei neu einzuführenden XSD-Ansätzen.

10 Bundesamt für Sicherheit in der Informationstechnik

[Seite 11]

3 Zahlungs- und Meilensteinplan, Projektplan und

Vergütung

Die nachfolgenden Kapitel geben einen Überblick über die Vergütung und den zeitlichen Projektverlauf.

3.1 Vergütung

Die Vergütung erfolgt abhängig von den einzelnen Arbeitspaketen entweder als Festpreis oder nach Aufwand bis zu einer maximalen Obergrenze (siehe die verbindlichen Vorgaben in Kapitel 3.2, Tabelle 1 - Zahlungs- und Meilensteinplan, Spalte „Art der Vergütung“).

Das AP 1 wird per Festpreis vergütet.

Die übrigen Arbeitspakete werden nach Aufwand mit Obergrenze vergütet. Die jeweiligen Obergrenzen der einzelnen AP (mit Ausnahme des AP 5) ergeben sich aus den vom AN kalkulierten Personentagen und dem angebotenen Tagessatz / den angebotenen Tagessätzen (siehe Kapitel 6.1.1.1, Zuschlagskriterium „Kalkulation der maximalen Obergrenzen).

Der AG legt für das AP 5 ein Abrufkontingent in Höhe von 56 Personentagen fest. Die maximale Obergrenze ergibt sich bei diesem AP somit aus der vorgegebenen Kontingentgröße und den im Angebot anzugebenden Tagessätzen (siehe Kapitel 6.2.1.4, Zuschlagskriterium „Kalkulation der maximalen Obergrenzen“).

Gemeinkosten, Materialkosten, Reisekosten sowie sonstige Kosten werden nicht gesondert vergütet und müssen daher bereits in den veranschlagten Tagessätzen enthalten sein.

Je Kalendertag wird pro Person nicht mehr als ein Tagessatz vergütet. Der vereinbarte Tagessatz kann nur dann in Rechnung gestellt werden, wenn mindestens acht Zeitstunden geleistet wurden. Werden weniger als acht Zeitstunden pro Tag geleistet, sind diese anteilig (viertelstundengenau) in Rechnung zu stellen.

Abrufe aus diesem Kontingent erfolgen durch den AG in Textform. Der AN erstellt für den jeweiligen Abruf eine Kalkulation der Personentage. Erst nach Freigabe dieser Kalkulation durch den Auftraggeber gilt der Abruf als getätigt. Während der Leistungsdurchführung ist ein Leistungsnachweis zu erstellen (Muster siehe Kapitel D). Leistungen die außerhalb des Abrufs geleistet werden, werden nicht vergütet. Wird das Leistungsziel ohne Erfüllung zusätzlicher Leistungen/Personentage nicht erreicht, ist dies unverzüglich nach Kenntnisnahme dem Auftraggeber zu kommunizieren. Nach Prüfung durch den Auftraggeber erfolgt ggf. eine Aufstockung der für den betroffenen Abruf zur Verfügung stehenden Personentage.

Wird im Rahmen eines Abrufs der tatsächliche Aufwand die vereinbarte Anzahl von Personentagen unterschreiten, werden die freien Ressourcen wieder dem verbleibenden Kontingent zugerechnet.

3.2 Projektverlauf, Zahlungs- und Meilensteinplan

Die Projektlaufzeit beginnt mit dem Datum der Auftragserteilung (Projektstart) und endet 6 Kalenderwochen nach der durch den AG festgelegten Dauer für die Auftragsdurchführung. Für die Fertigstellung des Projektes wird vom AG dabei ein Zeitrahmen von maximal 36 Kalendermonaten verbindlich vorgegeben. Bei einer Auftragsänderung verschiebt sich das Projektende entsprechend der Änderung. Bei erforderlichen Nachbesserungen endet die Projektlaufzeit erst mit vollständiger Abnahme der Gesamtleistung.

Kam es bei der Auftragserteilung zu zeitlichen Verschiebungen (vgl. Kapitel 6.2.1.4, Zuschlagskriterium „Zahlungs- und Meilensteinplan“) so werden die daraus ggf. resultierenden Terminverschiebungen verbindlich zwischen AN und AG abgestimmt. Die Terminverschiebungen müssen sich innerhalb der Projektlaufzeit befinden. Der aktualisierte Meilensteinplan ist vom AN mit dem Besprechungsprotokoll, jedoch spätestens 6 Kalenderwochen nach der Auftragserteilung schriftlich oder in Textform vorzulegen. Nach Freigabe durch die BSI-Projektleitung (in Textform) wird der aktualisierte Meilensteinplan

Bundesamt für Sicherheit in der Informationstechnik 11

[Seite 12]

Vertragsbestandteil. Liegt innerhalb von 6 Kalenderwochen kein abgestimmter geänderter Meilensteinplan vor, so bleibt der mit dem Angebot vorgelegte Meilensteinplan gültig.

Die Auftaktbesprechung ist seitens des AN in Abstimmung mit dem AG spätestens vier Kalenderwochen nach Auftragserteilung anzusetzen.

Das AP 2 muss spätestens 11 Monate nach dem offiziellen Projektstart abgeschlossen werden. AP 3 ist danach innerhalb eines Monats zu bearbeiten, AP4 anschließend innerhalb drei Monaten.

Da die Arbeitspakete AP 1 bis AP 4 jeweils aufeinander aufbauen, sind diese zwingend nacheinander zu bearbeiten. AP 5 ist bereits acht Monate nach Beginn des Projekts parallel auszuführen.

Jedes der Arbeitspakete wird einem Meilenstein zugeordnet. Ein Meilenstein gilt als erreicht, sobald die ihm zugeordneten Arbeitspakete erbracht und vom AG abgenommen wurden. Grundsätzlich können nur vollständig erbrachte Arbeitspakete abgenommen werden. Eine Rechnungslegung ist erst nach Erreichen eines Meilensteins zulässig (siehe auch Kapitel 4.10). Der Rechnung sind die Abnahmeprotokolle für die Arbeitspakete bzw. das Abnahmeprotokoll für den Meilenstein beizufügen.

Das AP 5 - „Expertisekontingent für XML-Bedarfe“ erstreckt sich über nahezu die gesamte Projektlaufzeit. Dieses ist zwar einem Meilenstein zugeordnet, abweichend von der oben genannten Regelung ist jedoch bei diesem AP eine quartalsweise Rechnungslegung für die erbrachten Leistungen möglich.

Bei einer Vergütung nach Aufwand (siehe Kapitel 3.1) sind die tatsächlich angefallenen Aufwände bei Rechnungsstellung zu belegen. Mit der elektronischen Rechnung (siehe Kapitel 4.10.2) ist zusätzlich ein Leistungsnachweis einzureichen (Muster siehe Kapitel D).

Tabelle 1 - Zahlungs- und Meilensteinplan

Der hier dargestellte und nicht vollständig befüllte Zahlungs- und Meilensteinplan dient als Übersicht über den derzeit vom AG als sinnvoll erachteten Projektverlauf. Bei den Angaben in der Spalte „Termin nach Projektstart (Beginn, Ende)“ handelt es sich um unverbindliche Schätzwerte des AG. Im Rahmen des Angebotes ist ein konkreter und verbindlicher Zahlungs- und Meilensteinplan in der obenstehenden Darstellungsform vorzulegen (siehe Kapitel 6.2.1.4, Zuschlagskriterium „Zahlungs- und Meilensteinplan“). Dabei sind die Spalten „Beginn“, „Ende“ sowie „Höhe der maximalen Obergrenze“ zu befüllen. Die verbindlichen Vorgaben aus Kapitel 3.1 und 3.2 sind zwingend zu beachten.

12 Bundesamt für Sicherheit in der Informationstechnik

[Seite 13]

4 Rahmen- und Ausführungsbedingungen

In diesem Kapitel sind die Rahmen- und Ausführungsbedingungen für die Projektdurchführung festgelegt. Deren Einhaltung wird durch Abgabe eines Angebotes automatisch von den Bietern bestätigt (siehe Angebotsformular, Ziffer 3 „Erklärungen des Bieters“).

4.1 Personal des Auftragnehmers

4.1.1 Direktionsrecht und Disziplinargewalt

AG und AN werden durch organisatorische Maßnahmen gewährleisten, dass die jeweils von Ihnen abgestellten Personen für die Leistungserbringung ausschließlich dem Direktionsrecht und der Disziplinargewalt des jeweiligen Arbeitsgebers unterstehen. Weisungen erfolgen ausschließlich im Rahmen der vereinbarten Aufgabenverteilung.

4.1.2 Qualifikationen, Erfahrungen und sonstige Anforderungen

Die zur Erbringung der Leistungen eingesetzten Personen müssen vereinbarungsgemäß, unabhängig davon jedoch mindestens dem Vertragszweck und der Aufgabenstellung entsprechend, qualifiziert sein. Unabhängig davon wird der AN gewährleisten, dass die für die Leistungserbringung vorgesehenen Personen über die Qualifikation verfügen, die mindestens seinen diesbezüglichen Angaben sowie den Anforderungen des AG im Vergabeverfahren entspricht.

Für die einzelnen vorgesehenen Rollen gelten die nachfolgend aufgelisteten Mindestanforderungen. Deren Erfüllung ist im Angebot mit geeigneten Referenzen zu belegen (siehe Kapitel 6.2.1.4).

a) Projektleitung (PL):

− Zertifiziert für Projekt-Management (z.B. IPMA® Level C, PMP®-Zertifikat oder vergleichbare Nachweise)

− Erfolgreiche Leitung von mindestens einem Projekt mit Schwerpunkt XML-Beratung, welches mit der hier zu vergebenden Leistung vergleichbar ist (Dauer, Umfang, Inhalt) oder darüber hinaus geht

− Praktische Erfahrung im Bereich XML durch maßgebliche Mitwirkung an mindestens drei Projekten / Aufträgen in diesem Themenbereich

b) Entwickler/in / Autor/in des Dokuments

− Praktische Erfahrung im Bereich XML, XSD und Schematron durch maßgebliche Mitwirkung an mindestens drei Projekten / Aufträgen in diesem Themenbereich

− Innerhalb der letzten drei Jahre maßgebliche Beteiligung an mindestens zwei Projekten, in denen eine Beratungstätigkeit im Zusammenhang mit der technischen Realisierung von XML bestanden hat.

c) mindestens 1 Person des Projektteams / Teamqualifikation

Die folgenden Mindestanforderungen können von verschiedenen Personen des Projektteams abgedeckt werden.

− Veröffentlichung eines Whitepapers oder einer wissenschaftlichen Arbeit mit Bezug zu XML, XSD oder Schematron innerhalb der letzten 5 Jahre. Die Person muss in der Lage sein, technische Sachverhalte abstrahiert und verständlich in deutscher oder englischer Sprache mit korrektem Satzbau und Grammatik textlich darstellen zu können. Dabei muss ein Fachpublikum adressiert werden.

− Erweiterte Kenntnisse im Umgang mit DocBook.

Bundesamt für Sicherheit in der Informationstechnik 13

[Seite 14]

4.1.3 Personaleinsatz und -austausch

Der AN hat zwingend mindestens das Personal einzusetzen, das er im Rahmen seines Angebots (Anlage: „Angebotsangaben gemäß den Besonderen Bewerbungsbedingungen“) als konkret einzusetzendes Personal mit Qualifikationsprofilen angeboten hat. Unabhängig davon hat er nur solches Personal einzusetzen, das für die jeweils zu erbringende Leistung hinreichend qualifiziert ist. Für jede Person, die eingesetzt wird, hat der AN spätestens eine Woche vor dem geplanten Einsatz ein Qualifikationsprofil einzureichen, es sei denn, es liegt betreffend der jeweiligen Person ein solches Qualifikationsprofil beim AG bereits vor. Ein Austausch von Personal ist nur nach vorheriger Zustimmung durch den AG zulässig.

Der AG wird seine Zustimmung im Fall eines berechtigten Grundes und wenn ein gleich- oder höherwertiger Ersatz angeboten wird erteilen. Ein berechtigter Grund liegt beispielsweise vor, wenn der Austausch aufgrund Krankheit oder Ausscheiden der betreffenden Person aus dem Unternehmen oder vergleichbarer Umstände, bedingt ist. Die Umstände sind vom AN darzulegen und plausibel zu machen. Kein berechtigter Grund ist der Einsatz der betreffenden Person in einem anderen Projekt oder ein Umzug des Standorts des Unternehmens. Die Gleichwertigkeit des Ersatzes orientiert sich anhand des für die auszutauschende Person vormals eingereichten Qualifikationsprofils, soweit ein solches vorliegt, andernfalls nach billigem Ermessen.

Eine höhere Qualifikation der Ersatzperson begründet keinen Anspruch auf Erhöhung der Vergütung.

Die durch den Austausch und die Einarbeitung der Ersatzperson entstehenden Kosten gehen zu Lasten des AN.

Das eingetauschte Personal ist unverzüglich auf Kosten des AN vollumfänglich einzuarbeiten. Soweit möglich arbeitet die ausscheidende Person die Ersatzperson ein.

4.2 Projektorganisation und Erreichbarkeit

Durch den AN ist eine qualifizierte Person als Projektleitung zur Verfügung zu stellen, die sich mit der Projektleitung des AG abstimmt und die durchzuführenden Arbeiten auf Seiten des AN koordiniert.

Die Projektleitung muss während der üblichen Arbeitszeiten (Montag bis Freitag, jeweils mindestens von 9:30 bis 15:30 Uhr) regelmäßig telefonisch oder per E-Mail erreichbar sein. Ist die Projektleitung verhindert, muss jeweils eine Vertreterin oder ein Vertreter benannt werden.

Seitens des AG wird das Projekt vom Referat D 31 geleitet. Ansprechpartner/-innen werden bei Erteilung des Zuschlags mitgeteilt.

4.3 Projektsprache

Die Projektsprache ist grundsätzlich Deutsch. Sofern ein nicht im deutschsprachigen Raum angesiedeltes Unternehmen zum AN ernannt wird, kann grundsätzlich auch in allen Besprechungen und Ergebnisdokumenten die englische Sprache verwendet werden. Die Schemadokumente sind jedoch in einer Kombination aus deutschen und englischen Texten verfasst, sodass die Kenntnis beider Sprachen für das Verständnis unabdingbar ist.

4.4 Besprechungen

Die Auftaktbesprechung sowie die Abschlusspräsentationen der Teilschritte finden virtuell statt.

Zudem sind im Rahmen aller Arbeitspakete weitere virtuelle (Video- oder Telefonkonferenz) Arbeitstreffen einzuplanen. Darüber hinaus stattfindende Meetings zur Diskussion von Zwischenergebnissen finden nach Absprache ebenfalls virtuell statt.

14 Bundesamt für Sicherheit in der Informationstechnik

[Seite 15]

Zu jedem Arbeitstreffen ist ein schriftliches Protokoll anzufertigen, in dem die Beschlüsse und Ergebnisse festgehalten werden. Das unfertige Protokoll wird am Ende des Termins noch einmal kurz durchgesprochen. Das Protokoll ist dem AG spätestens drei Arbeitstage nach Stattfinden des jeweiligen Arbeitstreffens zur Freigabe vorzulegen.

Struktur und Format der Besprechungsprotokolle werden im Rahmen der Auftaktbesprechung festgelegt. Die Arbeitstreffen sind durch den AN nach Absprache mit dem AG in einem geeigneten virtuellen Format zu organisieren.

4.5 Berichtswesen

Im Rahmen des Berichtwesens erhält der AG vom AN alle 30 Tage einen tabellarischen, fortlaufend zu erweiternden und aussagekräftigen Kurzbericht per E-Mail über den Verlauf. Mögliche Probleme im Projektverlauf sind sofort anzuzeigen und dem AG gegenüber besonders hervorzuheben. Die vertraglichen Regelungen in Ziffer 9 des Projektvertrages bleiben unberührt.

Struktur und Format der regelmäßigen Berichte werden im Rahmen der Auftaktbesprechung festgelegt.

4.6 Formale Anforderungen an Projektdokumente

Der AN übermittelt die Projektergebnis-Dokumente in elektronischer Form im BSI-DocBook Roh-Format an den AG. Der AN stellt sicher, dass die Dokumente mit dem vom AG in der aktuellen Version bereitgestellten Umwandlungstool fehlerfrei zu PDF konvertierbar sind. Besprechungsprotokolle werden als kompilierte PDF-Dateien mit dem BSI-DocBook Format gebildet, und Sachstands-Berichte werden in Markdown formatiert.

Alle Projektdokumente sind übersichtlich strukturiert und enthalten (wenn sinnvoll) ein Inhaltsverzeichnis, eine Zusammenfassung, eine Dokumenten-Version, eine Änderungshistorie mit Erstellungs- und Bearbeitungs-Datum sowie der Liste der Autoren, so dass Erstellung und Änderung des jeweiligen Dokuments nachvollziehbar sind. Sämtliche Dateien – unabhängig vom Dateityp, also sowohl Text als auch Bilddatei etc.– müssen vom AN von Metadaten bereinigt werden. Es dürfen in den Metadaten weder personenbezogene Daten enthalten sein, noch Informationen zur eingesetzten Software.

Die sprachliche Qualität ist von großer Bedeutung. Im Durchschnitt sind pro Textseite maximal vier sprachliche Fehler; das heißt grammatikalische Fehler oder Rechtschreibfehler zulässig.

Zudem ist darauf zu achten, dass mindestens Ergebnisdokumente, welche (möglicherweise) zur Veröffentlichung vorgesehen sind, in geschlechtergerechter Sprache zu erstellen sind. Dabei sind mindestens die Anforderung für Gesetzestexte (siehe Handbuch der Rechtsförmlichkeit des BMJ: http://hdr.bmj.de/page_b.1.html#an_110) zu erfüllen, es dürfen jedoch nur die offiziell zugelassen Möglichkeiten der deutschen Sprache (also kein Genderstern, Doppelpunkt oder Unterstrich) verwendet werden.

4.7 Barrierefreie Gestaltung

Die folgenden Projektdokumente / Lieferleistungen sind barrierefrei zu erstellen:

− XSD-Styleguide

− Best-Practice-Guide-Schematron

Dabei sind die Vorgaben der aktuellen Barrierefreie-Informationstechnik-Verordnung (BITV 2.0, https://www.gesetze-im-internet.de/bitv_2_0/BJNR184300011.html) zwingend einzuhalten.

Bundesamt für Sicherheit in der Informationstechnik 15

[Seite 16]

Da sich nur ein von Anfang an gut strukturiertes Dokument ohne größere Probleme in ein barrierefreies PDF umwandeln lässt, ist bereits das Dokument in seinem editierbaren Ursprungsformat barrierefrei zu erstellen. Folgende Anforderungen an das PDF-Endprodukt sind zu erfüllen:

1. Das PDF-Dokument muss für handelsübliche Screenreader geeignet sein und sinnvoll vorgelesen werden können.
2. Das PDF-Dokument muss die Prüfung nach PDF/UA durch den PDF Accessibility Checker (PAC) fehlerfrei bestehen (kostenfreies Tool zur Verwendung auf Windows-PCs).
3. PDFs müssen durch Lesezeichen strukturiert sein.
4. Das Dokument muss über ein getaggtes Inhaltsverzeichnis sowie eine korrekte Überschriftenstruktur verfügen.
5. Die Dokumenteigenschaften müssen fehlerfrei eingetragen und konfiguriert sein (Hauptsprache, Titel, Autor, Tags, Kommentare).
6. Die Lesereihenfolge und die Tag-Struktur müssen sinnvoll angeordnet sein.
7. Alle Bilder (Ausnahme: Hintergrundgrafiken/Artefakte) müssen sinnvolle Titel und Alternativtexte (Bildbeschreibung – keine Bildunterschrift) haben.
8. Bilder und Texte müssen im Wesentlichen kontrastreich verarbeitet werden (z. B. keine dunkle Schrift auf dunklem Hintergrund, gut differenzierbare Verwendung von Farben in Diagrammen, etc.).
9. Listenelemente müssen (auch seitenübergreifend) sinnvoll gegliedert sein
10. Tabellen müssen korrekt ausgezeichnet (Kopfzeilen, Lesereihenfolge) und strukturiert (TH, TD, Colspan, Rowspan) sein.
11. Seitenübergreifende Tabellen müssen als eine Tabelle erkannt werden.
12. Linkverweise zu Webseiten (insbesondere Mehrzeilige) müssen auf korrekte Funktionsweise getestet werden.
13. Die Schriften müssen korrekt im PDF eingebettet sein als „eingebettete Untergruppe“. Die Gegebenheiten werden durch das Nutzen von BSI-DocBook bereits als Voraussetzung für das erfolgreiche Umwandeln in PDF gestellt. Eine Erläuterung der gesetzlichen Prüfroutine mit allen Details und Hinweisen für Web und PDF-Dateien findet sich unter https://bitvtest.de/test-methodik/web/beschreibung-des-pruefverfahrens

4.8 Verschlüsselung der Kommunikation

Im Rahmen dieses Projektes erfolgt die E-Mail-Kommunikation (Versand und Empfang) verschlüsselt und signiert nach dem OpenPGP- oder S/MIME-Standard.

Für den vertraulichen Austausch von Dokumenten zwischen dem BSI und dem AN ist von diesem eine zugelassene Lösung, z. B. GnuPG VS-Desktop Version 3.X oder cryptovision GreenShield Version V1R3, zu verwenden. Die aktuelle Liste der für bis hin zur VS-Kommunikation zugelassenen Produkte ist beispielsweise unter https://www.bsi.bund.de/DE/Themen/Oeffentliche-Verwaltung/Zulassung/Liste- zugelassener-Produkte/liste-zugelassener-produkte_node.html verfügbar. Dabei ist vom AN zu beachten, dass die angegebenen Zulassungen sich immer auf bestimmte Programmversionen beziehen und zeitlich befristet sind. Ein Schlüsselaustausch erfolgt im Rahmen der Auftaktbesprechung.

4.9 Einsatz von Unterauftragnehmern

Der AN kann zur Leistungserbringung Unterauftragnehmer nur einsetzen oder eingesetzte Unterauftragnehmer nur auswechseln, wenn der AG dem ausdrücklich vorher zustimmt. Die Zustimmung kann nicht aus sachwidrigen Gründen verweigert werden.

Die Einarbeitung des neuen Unterauftragnehmers erfolgt auf Kosten des AN. Für die im Angebot des AN benannten Unterauftragnehmer gilt die Zustimmung des AG als erteilt.

16 Bundesamt für Sicherheit in der Informationstechnik

[Seite 17]

Die Weitergabe von Projektteilen an nicht zugelassene Unterauftragnehmer ist verboten.

4.10 Anforderungen an die Rechnungsstellung

4.10.1 Zeitpunkt

Um dem AG eine ordnungsgemäße Bewirtschaftung der ihm vom Gesetzgeber zugewiesenen Haushaltsmittel zu ermöglichen, sind die vom AN erbrachten Leistungen frühestmöglich nach Eintreten des entsprechenden vertraglich vereinbarten Meilensteins, spätestens jedoch 30 Kalendertage nach dessen Eintreten, in Rechnung zu stellen.

Bei abnahmefähigen Leistungen setzt das Eintreten eines Meilensteines eine erfolgreiche Abnahme voraus.

4.10.2 Elektronische Form

Gemäß § 3 i.V.m. § 11 der E-Rechnungsverordnung (E-RechV) sind Rechnungen zwingend in elektronischer Form auszustellen und zu übermitteln. Hierbei ist grundsätzlich der Datenaustauschstandard XRechnung in der jeweils aktuellen Fassung zu verwenden (§ 4 E-RechV).

Erforderliche Anlagen sind immer die Abnahmeprotokolle für die abzurechnenden Leistungen sowie bei Leistungen nach Aufwand zusätzlich die entsprechenden Leistungsnachweise.

Rechnungsformate, welche nicht den Anforderungen der europäischen Norm für die Rechnungsstellung (EN-16931) entsprechen sowie Rechnungen, die nicht über die Rechnungseingangsplattform des Bundes (https://xrechnung-bdr.de) zugestellt wurden, werden nicht berücksichtigt.

Nähere Informationen zu den formalen Anforderungen sind dem in den Vergabeunterlagen enthaltenen Dokument „Die Rechnungseingangsplattformen des Bundes“ (Version September 2025) zu entnehmen.

Bundesamt für Sicherheit in der Informationstechnik 17

[Seite 18]

B Besondere Bewerbungsbedingungen

5 Bedingungen für die Zuschlagserteilung

In diesem Kapitel sind die Bedingungen für die Zuschlagserteilung festgelegt, die bei der Erstellung eines Angebots gemäß Kapitel 6 zu berücksichtigen sind.

5.1 Gesetzliche Ausschlussgründe, Eignung und

Ausführungsbedingungen

Öffentliche Aufträge werden nur an fachkundige und leistungsfähige (geeignete) Unternehmen vergeben, die nicht nach den §§ 123 oder 124 GWB ausgeschlossen worden sind (§ 122 Abs. 1 GWB, § 31 Abs. 1 UVgO).

Die zwingenden Ausschlussgründe (§ 123 GWB) und die fakultativen Ausschlussgründe (§ 124 GWB) können unter den folgenden Quellen nachgelesen werden:

− https://www.gesetze-im-internet.de/gwb/__123.html

− https://www.gesetze-im-internet.de/gwb/__124.html

Mit der Abgabe des Angebots erklären die Bieter, dass keine der in §§ 123, 124 GWB genannten Gründe im Hinblick auf ihre Person oder Unternehmen vorliegen, soweit nicht eine Erklärung zu den §§ 123, 124 GWB eingereicht wurde (siehe Kapitel 6.2.4). Das BSI schließt ein Unternehmen jedoch zu jedem Zeitpunkt des Vergabeverfahrens von der Teilnahme aus, wenn es Kenntnis davon erhält, dass ein Ausschlussgrund nach § 123 GWB vorliegt. Ein Ausschluss kommt gleichermaßen bei Kenntnis über einen Ausschlussgrund nach § 124 GWB in Betracht. Die Möglichkeit der Selbstreinigung nach § 125 GWB bleibt unberührt.

Das BSI prüft, ob die Bieter die festgelegten Eignungskriterien (siehe Kapitel 6.2.1.3) und etwaig festgelegte Mindestanforderungen erfüllen (§ 122 Abs. 2 GWB1, § 31 Abs. 2 UVgO). Wird eine Mindestanforderung an die Eignung nicht erfüllt, ist das Angebot auszuschließen. Im Übrigen prüft das BSI auf Grundlage der Eignungskriterien, ob die vorgelegten Belege den Schluss zulassen, dass der Bieter den Auftrag ordnungsgemäß erfüllen kann.

Ausführungsbedingungen betreffen die Vertragsausführung und stellen vom BSI festgelegte Bedingungen dar, die vom AN einzuhalten sind. Der Transparenz halber ist von den Bietern bereits im Vergabeverfahren zu versichern, dass sie im Rahmen der Auftragsausführung die vom BSI vorgesehenen Bedingungen einhalten werden (siehe Angebotsformular, Ziffer 3 „Erklärungen des Bieters“).

5.2 Wirtschaftlichstes Angebot

Der Zuschlag wird auf das wirtschaftlichste Angebot erteilt. Grundlage dafür ist eine Bewertung des BSI, ob und inwieweit das Angebot die vorgegebenen Zuschlagskriterien erfüllt. Das wirtschaftlichste Angebot bestimmt sich nach dem besten Preis-Leistungs-Verhältnis. Zu dessen Ermittlung können neben dem Preis oder den Kosten auch qualitative, umweltbezogene oder soziale Aspekte berücksichtigt werden (§ 127 Abs. 1 GWB, § 43 Abs. 1 und 2 UVgO).

Für die Ermittlung der Wirtschaftlichkeit eines Angebotes wendet das BSI die „erweiterten Richtwertmethode“ über die Faktoren „Bewertungspreis“ (siehe Kapitel 5.2.1) und „Leistung“ (siehe Kapitel 5.2.2) an.

1 Jeweils in Verbindung mit den Regelungen der §§ 42 ff. VgV oder §§ 7, 21 ff VSVgV.

18 Bundesamt für Sicherheit in der Informationstechnik

[Seite 19]

5.2.1 Bewertungspreis

Der Bewertungspreis umfasst die folgenden Komponenten (siehe auch Kapitel 6.1):

Bewertungspreis = Angebotsnettopreis + anfallende (Einfuhr-/)Umsatzsteuer ohne Rücksicht auf die Steuerschuldnerschaft

Der Angebotsnettopreis umfasst dabei sämtliche Einzelpositionen (siehe Kapitel 3.2, Tabelle 1).

5.2.2 Leistung

Die „Leistung“ der einzelnen Angebote wird vom BSI anhand der festgelegten qualitativen Zuschlagskriterien (siehe Kapitel 6.2.1.4) bewertet.

Bei den qualitativen Zuschlagskriterien wird zwischen Ausschlusskriterien (A-Kriterien) und Bewertungskriterien (B-Kriterien) differenziert.

Während bei einem A-Kriterium lediglich geprüft wird, ob die Ausführungen des Bieters die definierten Mindestanforderungen erfüllen (Prüfergebnis: Ja oder Nein), werden die Ausführungen des Bieters bei einem B-Kriterium anhand einer durchgängigen Wertungsskala von 0 bis 4 Bewertungspunkten (BP) bewertet:

Zur Orientierung werden bei jedem B-Kriterium die Voraussetzungen angegeben, die erfüllt sein müssen, damit das Angebot bzgl. dieses Kriteriums vom BSI mit 0 BP, 1 BP oder 4 BP bewertet wird.

Bei den B-Kriterien muss das Angebot jeweils mindestens 1 BP (BP = 1) erzielen (Mindestanforderung). min

Erfüllt ein Angebot bei mindestens einem A-Kriterium oder bei mindestens einem B-Kriterium nicht die definierte Mindestanforderung, so wird dieses Angebot von der Wertung ausgeschlossen.

Bei den verbleibenden Angeboten ergeben sich die für die erweiterte Richtwertmethode maßgeblichen Leistungspunkte (LP) aus dem Produkt der bei den einzelnen B-Kriterien erzielten BP und der vom BSI für die jeweiligen B-Kriterien vorgegebenen Gewichtungsfaktoren (GF, siehe Kapitel 6.2.1.4).

5.2.3 Erweiterte Richtwertmethode mit dem Entscheidungskriterium

„Leistungspunkte“

Bei der erweiterten Richtwertmethode wird in einem ersten Schritt für jedes der Angebote eine individuelle Kennzahl, welche aus dem Quotient zwischen den erzielten Leistungspunkten (siehe Kapitel 5.2.2) und dem Bewertungspreis (siehe Kapitel 5.2.1) besteht, ermittelt.

Bundesamt für Sicherheit in der Informationstechnik 19

[Seite 20]

Ausgehend vom Angebot mit der höchsten Kennzahl wird in einem nächsten Schritt ein Schwankungsbereich von 10 % definiert. Alle Angebote, die mit Ihrer Kennzahl unterhalb dieses Schwankungsbereiches liegen, können bei der Zuschlagserteilung nicht berücksichtigt werden.

Bei den verbleibenden Angeboten erfolgt die Zuschlagserteilung auf das Angebot mit der höchsten Leistungspunktzahl. Ist die Leistungspunktzahl identisch, erfolgt der Zuschlag auf das preislich günstigere Angebot.

20 Bundesamt für Sicherheit in der Informationstechnik

[Seite 21]

6 Erstellung des Angebots

Ein vollständiges Angebot besteht aus folgenden Unterlagen:

− Angebotsformular (siehe Kapitel 6.1)

− Anlagen zum Angebotsformular

− Angebotsangaben gemäß den besonderen Bewerbungsbedingungen (siehe Kapitel 6.2.1).

Wird im Rahmen einzelner Eignungskriterien und / oder Zuschlagskriterien explizit die Einreichung weiterer Dokumente (z.B. Kopie einer offiziellen Bescheinigung oder eines amtlichen Nachweises, etc.) gefordert, so sind diese nach Möglichkeit an der entsprechenden Stelle in diese Anlage zu integrieren. Ist eine Integration nicht möglich, so bilden diese eine eigenständige Anlage.

− ggf. Bietergemeinschaftserklärung (siehe Kapitel 6.2.2)

− ggf. Unterauftragnehmerverpflichtungserklärung (siehe Kapitel 6.2.3)

− ggf. Angaben zu vorliegenden Ausschlussgründen und zur Selbstreinigung im Sinne von § 125 GWB (siehe Kapitel 6.2.4)

− ggf. weitere individuelle Anlagen des Bieters (siehe Kapitel 6.2)

Die Anzahl der geforderten Anlagen ist dabei abhängig von der Bieterkonstellation (siehe Kapitel 6.2.2), der geplanten Einbindung von Unterauftragnehmern (siehe Kapitel 6.2.3) sowie dem Vorliegen von gesetzlichen Ausschlussgründen (siehe Kapitel 6.2.4).

Das BSI ist rechtlich verpflichtet, die eingereichten Angebote mindestens drei Jahre ab dem Tag der Zuschlagserteilung aufzubewahren. Reichen Sie daher alle für die Angebotswertung relevanten Informationen in archivierbarer Form ein. Verzichten Sie z.B. in der Anlage „Angebotsangaben gemäß den Besonderen Bewerbungsbedingungen“ auf die Angabe von URLs bzw. auf deren Verweisung.

Bitte fügen Sie nach Möglichkeit alle Anlagen zum Angebotsformular zu einer „Gesamtdatei“ (PDF) zusammen (jedoch ohne das Angebotsformular, vgl. Kapitel 6.1).

6.1 Angebotsformular

Das in den Vergabeunterlagen enthaltene Angebotsformular ist gemäß den dort aufgeführten Vorgaben auszufüllen.

Ist die Steuerschuldnerschaft aufgrund von § 13b USTG auf den AG übergegangen (reverse charge), so weisen Sie im Angebot einen Steuersatz von 0 % aus. In diesem Fall wird die von AG abzuführende Umsatzsteuer bei der Bewertung des Angebotes berücksichtigt (siehe Kapitel 5.2.1).

6.2 Anlagen zum Angebotsformular

Die nachfolgenden Unterkapitel geben einen Überblick über die einzelnen Anlagen sowie über deren inhaltliche Anforderungen.

Falls aus Sicht des Bieters erforderlich, so kann das Angebot um weitere Anlagen ergänzt werden.

Alle zum Angebot gehörenden Anlagen sind auf Seite 2 des Angebotsformulars aufzuführen.

Bundesamt für Sicherheit in der Informationstechnik 21

[Seite 22]

6.2.1 Anlage: Angebotsangaben gemäß den Besonderen

Bewerbungsbedingungen

Die von jedem Bieter individuell zu erstellende Anlage „Angebotsangaben gemäß den Besonderen Bewerbungsbedingungen“ fungiert neben dem Angebotsformular als zentraler Bestandteil des Angebotes.

Halten Sie sich bei der Erstellung dieser Anlage an die Vorgaben in den Kapiteln 6.2.1.1 bis 6.2.1.4 sowie an die vorgegebene Reihenfolge. Achten Sie darauf, die geforderten Angaben unmittelbar bei den einzelnen Kriterien aufzuführen.

Achtung: Verzichten Sie auf nicht geforderte Angaben, insbesondere zu den vertraglichen Regelungen (siehe Ziffer 4.2 der Allgemeinen Bewerbungsbedingungen).

Die vollständige Abdeckung des in der Leistungsbeschreibung geforderten Leistungsumfangs inkl. der Einhaltung sämtlicher in Kapitel 4 der Leistungsbeschreibung definierten Rahmen- und Ausführungsbedingungen wird durch Abgabe eines Angebotes automatisch bestätigt (siehe Angebotsformular, Ziffer 3 „Erklärungen des Bieters“).

6.2.1.1 Einzelbieter / Mitglieder der Bietergemeinschaft

Erstellen Sie vom Einzelbieter bzw. vom jedem Mitglied der Bietergemeinschaft ein aussagekräftiges Firmenprofil. Die Darstellung muss in tabellarischer Form erfolgen und folgende Punkte umfassen:

− Offizielle Bezeichnung

− Rechtsform

− Firmensitz und Standorte

− Struktur und Organisation

− z.B. Abbildung des Organigramms

− Geschäftsfelder

− Auflistung der einzelnen Geschäftsfelder

− Benennung der Geschäftsfelder, die für den hier zu vergebenden Auftrag relevant sind (auftragsbezogene Geschäftsfelder)

− ggf. nähere Ausführungen / Erläuterungen zu den auftragsbezogenen Geschäftsfeldern

− Anzahl der Mitarbeiter in den auftragsbezogenen Geschäftsfeldern

− Gesamtumsatz in den letzten drei Geschäftsjahren (Angabe pro Jahr), sofern entsprechende Angaben verfügbar sind.

− Umsatz in den auftragsbezogenen Geschäftsfeldern in den letzten drei Geschäftsjahren (Angabe pro Jahr), sofern entsprechende Angaben verfügbar sind.

Gehen Sie im Falle einer Bietergemeinschaft zudem auf die Aufteilung der zu erbringenden Leistung auf die einzelnen Mitglieder der Bietergemeinschaft ein.

6.2.1.2 Unterauftragnehmer

Werden wesentliche Teile der angebotenen Leistung von einem oder mehreren Unterauftragnehmern erbracht (siehe Ziffer 2.1 des Angebotsformulars), so sind diese Unternehmen inkl. der von ihnen durchzuführenden Leistungen genau zu benennen. Erstellen Sie von jedem Unterauftragnehmer zudem ein aussagekräftiges Firmenprofil inkl. der folgenden Angaben:

− Offizielle Bezeichnung

− Rechtsform

22 Bundesamt für Sicherheit in der Informationstechnik

[Seite 23]

− Firmensitz und Standorte

− auftragsbezogene Geschäftsfelder

− Anzahl der Mitarbeiter in den auftragsbezogenen Geschäftsfeldern

− durchzuführende Leistungen

Wird die Leistung ohne Mitwirkung von einem oder mehreren Unterauftragnehmern erbracht, so geben Sie an dieser Stelle Ihres Angebotes bitte lediglich „Kein Unterauftragnehmer“ an.

Die Weitergabe von wesentlichen Projektteilen an nicht genannte Unterauftragnehmer ist verboten.

6.2.1.3 Eignungskriterien

Bundesamt für Sicherheit in der Informationstechnik 23

[Seite 24]

24 Bundesamt für Sicherheit in der Informationstechnik

[Seite 25]

6.2.1.4 Qualitative Zuschlagskriterien

Bundesamt für Sicherheit in der Informationstechnik 25

[Seite 26]

26 Bundesamt für Sicherheit in der Informationstechnik

[Seite 27]

Bundesamt für Sicherheit in der Informationstechnik 27

[Seite 28]

28 Bundesamt für Sicherheit in der Informationstechnik

[Seite 29]

Bundesamt für Sicherheit in der Informationstechnik 29

[Seite 30]

30 Bundesamt für Sicherheit in der Informationstechnik

[Seite 31]

Bundesamt für Sicherheit in der Informationstechnik 31

[Seite 32]

32 Bundesamt für Sicherheit in der Informationstechnik

[Seite 33]

6.2.2 Anlage: Bietergemeinschaftserklärung

Wird das Angebot von einer Bietergemeinschaft abgegeben, so ist dem Angebot eine entsprechende Erklärung beizufügen (siehe standardisiertes Formular in den Vergabeunterlagen). Diese Erklärung ist von allen Mitgliedern der Bietergemeinschaft zu signieren (siehe Ziffern 3.4.2 und Ziffer 6.2 der Allgemeinen Bewerbungsbedingungen).

6.2.3 Anlage: Unterauftragnehmerverpflichtungserklärung(en)

Sollen wesentliche Teile der angebotenen Leistung von einem oder mehreren Unterauftragnehmern für den Bieter erbracht werden, so ist dem Angebot pro Unterauftragnehmer eine entsprechende Verpflichtungserklärung beizufügen (siehe standardisiertes Formular in den Vergabeunterlagen). Diese sind von den Unterauftragnehmern zu signieren (siehe Ziffern 3.4.2 und Ziffer 6.3 der Allgemeinen Bewerbungsbedingungen).

6.2.4 Anlage: Angaben zu vorliegenden Ausschlussgründen und zur

Selbstreinigung im Sinne von § 125 GWB

Liegt mindestens ein zwingender oder fakultativer gesetzlicher Ausschlussgrund bei dem Bieter, bei einem Mitglied der Bietergemeinschaft oder bei einem Unterauftragnehmer vor (siehe Kapitel 5.1), so ist dem Angebot eine entsprechende Erklärung als Anlage beizufügen. Diese muss mindestens die folgenden Angaben enthalten:

− Abschließende Auflistung aller vorliegenden Ausschlussgründe im Sinne von den § 123 und § 124 GWB

− Detaillierte Erläuterungen zu den vorliegenden Ausschlussgründen. Insbesondere enthalten die Erläuterungen Angaben zur Art der Straftat, zur Höhe des fraglichen Betrages, zum Datum einer rechtskräftigen Gerichtsentscheidung / bestandskräftigen Verwaltungsentscheidung, zur Dauer des festgelegten Ausschlusszeitraums sowie zu den eingegangenen Verpflichtungen im Sinne von § 123 Abs. 4 Satz 2 GWB.

− Getroffene Maßnahmen zur Selbstreinigung im Sinne von § 125 GWB.

Die Anlage ist zu signieren (siehe Ziffern 3.4.2 der Allgemeinen Bewerbungsbedingungen).

Bundesamt für Sicherheit in der Informationstechnik 33

[Seite 34]

C Abkürzungsverzeichnis2

2 Das Abkürzungsverzeichnis erhebt keinen Anspruch auf Vollständigkeit. Auch kann dieses standardisierte Verzeichnis ggf. Abkürzungen und Begriffe zu inhaltlichen Punkten enthalten, die nicht Gegenstand der hier vorliegenden Leistungsbeschreibung sind (z.B. SÜG).

34 Bundesamt für Sicherheit in der Informationstechnik

[Seite 35]

D Muster Leistungsnachweis

Im Folgenden finden Sie ein Beispiel für den Aufbau eines Leistungsnachweises und welche Informationen dieser erhalten muss. Auf Wunsch wird das Muster als elektronisches Dokument nach Auftragsvergabe von der Projektleitung zur Verfügung gestellt.

Hinweis: Leistungsnachweise müssen ausschließlich bei Vergütung nach Aufwand mit der Rechnung eingereicht werden.

Bundesamt für Sicherheit in der Informationstechnik 35