[Seite 1]

Landratsamt Erzgebirgskreis · Paulus-Jenisius-Str. 24 · 09456 Annaberg-Buchholz 23320 Abteilung 2 - Finanzen, Digitalisierung und Kultur Referat Liegenschaften und Zentrale Dienste Leiter Zentrale Vergabestelle

Bearbeiter/in: Herr Lein an alle Bewerber zum Verfahren Dienstgebäude: Klosterstraße 7 60101/2/6/26/706 09456 Annaberg-Buchholz Zimmer-Nr.: 2017 Telefon: 03733 831-1934 Telefax: 03733 831-85 1934 E-Mail: christopher.lein@kreis-erz.de Ihre Zeichen: __ Ihre Nachricht: Unsere Zeichen: 60101/2/6/26/706 Datum: 10.03.2026

Offenes Verfahren nach VgV

Landratsamt Erzgebirgskreis Referat Digitalisierung und IT -Beschaffung eines Managed Detection & Response System (MDR)- Vergabenummer: 60101/2/6/26/706

__ Hier: 7. Bewerberinformation

Sehr geehrte Damen und Herren,

durch Bewerber wurden folgende Fragen zu oben genannter Ausschreibung eingereicht:

[…] Sehr geehrte Damen und Herren, __

zur rechtssicheren Angebotskalkulation und zur Wahrung der Chancengleichheit bitten wir um Klarstellung bzw. Anpassung einzelner Mindestanforderungen (A-Kriterien/KO). Soweit Anforderungen aus unserer Sicht unklar oder unverhältnismäßig wettbewerbsbe- schränkend wirken, erheben wir diese Hinweise vorsorglich als Rüge und bitten um Ab- hilfe/Präzisierung.

A.6 Vertragskonstrukt „Direktvertrag AG ↔ Hersteller“ / „kein zwischengeschalteter MSP“ (Bewerberinformation 3)

Sprechzeiten Kontakt Bankverbindung M o, Fr 08:00 – 12:00 Uhr Telefon 03733 831-0 Erzgebirgssparkasse Di 08:00 – 18:00 Uhr Telefax 03733 22164 IBAN DE30 8705 4000 3318 0029 67 Do 08:00 – 16:00 Uhr E-Mail info@kreis-erz.de BIC WELADED1STB USt-IdNr. DE260587011 Die Zugangsvoraussetzungen für elektronisch signierte und verschlüsselte elektronische Nachrichten finden Sie unter www.erzgebirgskreis.de. Ihre Informationsrechte nach Art. 13 Datenschutzgrundverordnung finden Sie unter www.erzgebirgskreis.de/datenschutz.

[Seite 2]

Seite 2 von 2 Landratsamt Erzgebirgskreis

Hintergrund / Zielkonstrukt: Wir beabsichtigen, die geforderte Gesamtleistung (Lizenzen/Subscriptions inkl. MDR-Service sowie ggf. Einführungs-/Integrationsleistungen) als Auftragnehmer anzubieten und kommer- ziell abzuwickeln (Angebot, Vertrag, Abrechnung über den Bieter). Die technische und organisatorische Leistungserbringung (MDR/SOC „aus einer Hand“) soll dabei vollständig durch den Hersteller erfolgen (z. B. Herstellerservice/Hersteller-SOC), d. h. der Bieter erbringt keine eigenen MDR/SOC-Leistungen, sondern agiert als Reseller/Integra- tor. Je nach Ausgestaltung kann der Auftraggeber zusätzlich einen direkten Herstellerver- trag/EULA/Order Form für die Nutzung der Hersteller-Cloud-/MDR-Services erhalten, obwohl die kaufmännische Abrechnung über den Bieter läuft. __

a) Bitte definieren Sie verbindlich, welche Konstellationen als zulässig gelten (bitte jeweils ausdrücklich zulässig/unzulässig):

Modell R (Resell/Gesamtvertrag über Bieter, Hersteller erbringt Service):

AG ↔ Bieter: Vertrag + Abrechnung der Gesamtleistung (Lizenzen/Subscriptions + MDR-Ser- vice)
Bieter ↔ Hersteller: Back-to-back Bezug der Herstellerleistungen
Hersteller erbringt MDR/SOC-Services operativ direkt gegenüber dem AG
optional: AG ↔ Hersteller erhält zusätzlich EULA/Order Form (Nutzungsrechte/Audit/War- ranty), ohne dass der Hersteller Rechnungsteller gegenüber dem AG ist Frage: Ist Modell R zulässig, oder ist bereits die kaufmännische Abwicklung/Abrechnung über

__ den Bieter als „zwischengeschaltetes Unternehmen mit vertragsrechtlichen Aufgaben“ im Sinne A.6 unzulässig – auch wenn der Hersteller die Services direkt erbringt?

Modell D (reines Direktgeschäft für Lizenzen/MDR, Bieter nur für Zusatzleistungen):

AG ↔ Hersteller: Vertrag + Abrechnung der Lizenzen/Subscriptions und MDR-Service direkt
AG ↔ Bieter: separater Vertrag nur für Einführungs-/Integrations-/Unterstützungsleistun- gen (ohne Reselling/Billing der Herstellerleistungen) Frage: Ist Modell D zulässig und ggf. das einzig zulässige Modell nach Ihrer Auslegung von A.6? __

b) Bitte konkretisieren Sie den Begriff „vertragsrechtliche Aufgaben“ (jeweils ja/nein) und da- mit die Abgrenzung „zwischengeschaltet“:

Gilt als unzulässig bereits Reselling/Billing (Rechnung über den Bieter/Distributor) der Li- zenzen/Subscriptions/MDR-Leistung?
Gilt als unzulässig, wenn der Bieter Vertragspartner des AG für die Lizenzen/MDR ist, obwohl der Hersteller die Leistung operativ erbringt?
Sind Tätigkeiten zulässig wie Bestellabwicklung im Auftrag des AG, Lizenz-/Contract-Ma- nagement, Renewal-Handling, Supportkoordination, zentrale Ansprechpartnerrolle (SPOC), Ticketannahme/Triage/Weiterleitung, Reporting/Service-Management – ohne eigene MDR/SOC-Leistung?
Sind Subunternehmer-/Nachunternehmerkonstellationen zulässig, wenn der Auftraggeber dennoch direkt Vertragspartner des Herstellers bleibt (z. B. Modell D) bzw. wenn der Hersteller als Nachunternehmer des Bieters die MDR-Leistung erbringt (Modell R)?

[Seite 3]

Seite 3 von 2 Landratsamt Erzgebirgskreis

c) Bitte erläutern Sie die sachliche Begründung, warum MSP-Modelle zwingend ausgeschlos- sen werden (z. B. Audit-/Durchgriffsrechte, Warranty, Hersteller-IR, Datenschutz, direkte Leis- tungsdurchsetzung), damit wir das Angebotsmodell nicht nur formal, sondern zielkonform ausrichten können.

d) Bitte stellen Sie klar, wie die Vorgabe A.6 mit Herstellerbedingungen (EULA/Cloud Terms) zusammenwirkt:

Werden Herstellerbedingungen im Direktvertragsmodell akzeptiert (Modell D)?
Falls Modell R zulässig sein sollte: Ist es ausreichend, dass der AG zusätzlich eine EULA/Order Form für Nutzungsrechte/Audit/Warranty erhält, obwohl die Abrechnung über den Bieter läuft? __
Müssen Herstellerbedingungen vollständig durch das Vertragswerk des Auftraggebers er- setzt/übersteuert werden?

=> Rügehinweis: Die aktuelle Formulierung ist aus unserer Sicht zu unbestimmt („vertragsrechtliche Aufga- ben“) und kann – je nach Auslegung – marktübliche Vertriebs-/Integrationsmodelle (insb. Re- sell mit Herstellerleistungserbringung) unverhältnismäßig beschränken. Wir bitten daher um klare, prüffähige Abgrenzung zulässiger Vertrags- und Leistungsmodelle sowie um sachliche Begründung.

„Breach Protection Warranty bis 1 Mio. USD“ (KO) a) Bitte definieren Sie die geforderte Warranty konkret:

Muss es ein Herstellerprogramm („Warranty“) sein oder genügt eine vertragliche Kosten- übernahme-/Freistellungsregelung für IR-Maßnahmen bis zu einer Obergrenze? b) Bitte erläutern Sie, welche Kostenarten umfasst sein müssen (IR-Services, Wiederherstel- lung, Forensik, externe Dienstleister etc.). c) Bitte erklären Sie, warum die Anforderung zwingend in USD und in der Höhe 1 Mio. ausge- staltet ist, und ob eine gleichwertige Absicherung (z. B. Versicherung/Bankbürgschaft/ver- tragliche Kostenzusage) anerkannt wird. d) Bitte bestätigen Sie, ob die Warranty ohne zusätzliche Bedingungen gelten muss oder ob marktübliche Voraussetzungen/Ausschlüsse zulässig sind (z. B. Mindestkonfiguration, Patch- __ stand, Mitwirkungspflichten).

=> Rügehinweis: Die fixe Vorgabe eines spezifischen kommerziellen Warranty-Programms kann den Markt er- heblich verengen. Wir bitten um Begründung und Öffnung für funktional gleichwertige Absi- cherungsmodelle.

Exploit-Prevention D.14 / E.11 (sehr konkrete Liste; „keine Verallgemeinerung“) a) Bitte bestätigen Sie, dass funktional gleichwertige technische Maßnahmen zulässig sind, auch wenn Herstellerbezeichnungen/Terminologie abweichen (Nachweis per Mapping). b) Bitte bestätigen Sie, dass ein tabellarisches Mapping (Anforderung → Produktfunktion → Doku-/Prüfbeleg) als ausreichender Nachweis anerkannt wird. c) Bitte definieren Sie, ob jede einzelne Position zwingend „verhindert und blockiert“ sein muss oder ob „erkennt + verhindert/unterbindet“ (kombinierte Controls) als Erfüllung gilt.

[Seite 4]

Seite 4 von 2 Landratsamt Erzgebirgskreis

=> Rügehinweis: Ohne ausdrückliche Anerkennung funktionaler Gleichwertigkeit besteht das Risiko einer un- zulässigen Produktvorgabe. Wir bitten um entsprechende Klarstellung.

„Keine Haftungsbegrenzung“ (Bewerberinfo 2) a) Bitte konkretisieren Sie, auf welchen Vertragsteil sich dies bezieht:

ausschließlich auf den Vertrag Auftraggeber↔Bieter (Integrations-/Projekt-/Supportleis- tungen),
oder auch auf den Direktvertrag Auftraggeber↔Hersteller (EULA/Cloud Terms)? b) Für den Fall eines Direktvertrags AG↔Hersteller:
Bitte stellen Sie klar, ob und wie Haftungsregelungen in Herstellerbedingungen behandelt __ werden (akzeptiert / zu übersteuern / abzulösen). c) Bitte bestätigen Sie, ob ein Angebot zwingend auszuschließen ist, wenn Herstellerbedin- gungen marktübliche Haftungsbegrenzungen enthalten, obwohl der Bieter selbst keine Haf- tungsbegrenzung fordert.

=> Rügehinweis: Die Kombination aus A.6 Direktvertrag und gleichzeitigem Ausschluss marktüblicher Haf- tungsbegrenzungen kann zu praktischen Widersprüchen führen und den Wettbewerb erheb- lich einschränken. Wir bitten daher um eindeutige Regelung des Zusammenspiels der Ver- tragswerke.

5.) Laut Vergabeunterlagen sind u.a. Nachweise/Zertifizierungen für ISO27001, ISO9001,

__ SOC2 einzureichen. Frage: führt die Nichtabgabe der geforderten Dokumente zum Ausschluss des Angebotes?

Wir bitten um Beantwortung über die Vergabeplattform. Vielen Dank. […]

Diese Fragen möchten wir nunmehr, nach Rücksprache mit dem zuständigen Fachamt, wie folgt beantworten:

Diese Bewerberfrage wurde bereits beantwortet und ist im Sinne einer Risiko-minimie- rung für den Auftraggeber (kein MSP) zu verstehen. Intern wurde fest-gelegt, dass die Lizenz dem AG gehören und auf das LRA reserviert sein muss. 2.a. Muss es ein Herstellerprogramm („Warranty“) sein oder genügt eine vertragli-che Kos- tenübernahme-/Freistellungsregelung für IR-Maßnahmen bis zu einer Obergrenze? 2.b. Angemessene Rechtskosten, Benachrichtigungskosten für betroffene Personen, Krisen- kommunikationskosten, regulatorische Bußgelder sowie Ransomware Lösegeld 2.c. Die Anforderung wurde aus Gründen der Vergleichbarkeit in USD angegeben und sollte mindestens in der gleichen Größenordnung liegen. 2.d. Marktübliche Voraussetzungen und Ausschlüsse sind zulässig. 3.a. Es handelt sich dabei um einen allgemeinen IT-Begriff, dieser ist nicht Herstellerspezi- fisch. Der Bewerber soll bei Bedarf erklären, was er damit meint. 3.b. ist erforderlich.

[Seite 5]

Seite 5 von 2 Landratsamt Erzgebirgskreis

3.c. Entscheidend ist, dass der Angriff über diesen Exploit unschädlich gemacht wird, unab- hängig von der verwendeten Anbieterbezeichnung. 4. Im Zuge der Bearbeitung dieser Bewerberanfrage wurde ein EVB-IT-Vertrag (Überlas- sungsvertag Typ B) erarbeitet, welcher den Vergabeunterlagen beigefügt wird. Dieser wird nach Auftragserteilung an den erfolgreichen Bieter auf der veröffentlichen Basis ge- schlossen.

Nochmals: Es wird KEINE Haftungsbegrenzung nach § 7 Nr. 2 (2) VOL/B vereinbart. 5. Verweis auf 6. Bewerberinformation vom 06.03.2026 – Frage/Antwort 1. Die geforderten Nachweise sollten mit dem Angebot eingereicht werden, deren (einma- lige) Nachforderung ist jedoch nicht ausgeschlossen. __

+++ Bitte beachten Sie diese Information entsprechend! +++

Mit freundlichen Grüßen

i. A.

Lein -Leiter Zentrale Vergabestelle- SG Zentraler Service

7. Bewerberinformation.pdf