I. Leistungsbeschreibung.pdf

[Seite 1]

Leistungsbeschreibung SaaS

Leistungsbeschreibung für

Software as a Service

zum Vertrag

„Einführung IT Financial Management (ITFM)“

1

[Seite 2]

Leistungsbeschreibung SaaS

Inhalt

1 Einsatzzweck............................................................................................................. 4 2 Leistungsüberblick .................................................................................................... 5 3 Funktionsumfang der Software ................................................................................ 5 4 Nutzungsumfang und -voraussetzungen .................................................................. 5 Komponenten 5 Abrechnungs-Metrik 5 Umgebungen 6 Zugangs- und/oder Nutzungsvoraussetzungen 6 Dokumentation 6

5 Einführungsprojekt zur Bereitstellung der Software .............................................. 10 Projektinitialisierung 10 Projektvorgehen 11

Hypercare-Phase 13 Abnahme 13 Mitwirkung der KfW 13 Projektteam 14 6 Softwarebetrieb ...................................................................................................... 18 Technische Vorgaben 18

Aktualisierung der Software 19 Service Desk und Servicezeit 20 Störungsbearbeitung 21

2

[Seite 3]

Leistungsbeschreibung SaaS

Service Level Agreements und Folgen von SLA-Verstößen 23

7 Beratung zum Einsatz und zur Konfiguration der Software (Bedarfspositionen) .. 27 8 Besprechungen ....................................................................................................... 29 9 Beendigungsunterstützung .................................................................................... 30

3

[Seite 4]

Leistungsbeschreibung SaaS

1 Einsatzzweck Die KfW IT beabsichtigt die Beschaffung einer am Markt verfügbaren und für den produktiven Einsatz geeigneten IT-Financial-Management-(ITFM-)Software zur Unterstützung des bestehenden sowie zur Umsetzung des von der KfW definierten Zielbilds für IT- Kostenmanagement und IT-Controlling. Die Software soll als zentrale Lösung für die Planung, Steuerung, Analyse, Verrechnung und transparente Darstellung der IT-Kosten und IT- Leistungen eingesetzt werden. Die Lösung soll insbesondere die Abbildung und Weiterentwicklung eines an etablierten Standards, insbesondere dem Technology Business Management (TBM) Framework, orientierten IT-Kostenmanagements ermöglichen. Hierzu sollen unter anderem Kosten- und Leistungsdaten aus unterschiedlichen Quellsystemen integriert, harmonisiert und entlang definierter Strukturen ausgewertet werden können. Die Software soll damit eine einheitliche und transparente Grundlage für Planung, Forecasting, Costing, Benchmarking sowie Reporting von IT-Kosten und IT-Leistungen schaffen, um technologiebezogene Entscheidungen datenbasiert, effizient und geschäftsorientiert zu steuern. Die Software wird insbesondere durch die mit IT-Controlling, IT-Steuerung, Planung und angrenzenden Aufgaben betrauten Mitarbeitenden der KfW genutzt. Je nach Berechtigungs- und Rollenmodell können darüber hinaus weitere interne Nutzerinnen und Nutzer, insbesondere aus IT, Finance und Fachbereichen, auf für sie relevante Funktionen und Informationen zugreifen. Die Nutzung erfolgt entsprechend den jeweiligen fachlichen Aufgaben und Berechtigungen. Die Software soll für einen langfristigen, produktiven Einsatz innerhalb der KfW bereitgestellt und in die bestehende System- und Prozesslandschaft integriert werden. Hierbei sind insbesondere die bestehenden organisatorischen, technischen, gesetzlichen und regulatorischen Rahmenbedingungen der KfW als Förderbank zu berücksichtigen. Die Implementierung und Einführung der angebotenen ITFM-Software ist Bestandteil der ausgeschriebenen Leistung und erfolgt durch den Auftragnehmer im Rahmen eines strukturierten Einführungsprojekts. Dieses umfasst insbesondere die erforderliche fachliche und technische Konzeption, Konfiguration, Integration, Datenübernahme sowie die Unterstützung bei Tests, Schulung und Produktivsetzung der Lösung. Die Nutzung der Software erfolgt innerhalb der KfW-internen IT- und Systemlandschaft. Dabei sind insbesondere die Anforderungen an Informationssicherheit, Datenschutz, gesetzliche und regulatorische Vorgaben für Finanzunternehmen, bestehende IT-Governance sowie die Vorgaben der KfW für den Einsatz und Betrieb von Softwarelösungen zu berücksichtigen. Die Software ist so bereitzustellen und zu betreiben, dass die für den vorgesehenen Einsatzzweck erforderlichen Nutzungs-, Zugriffs-, Verarbeitungs- und Administrationsrechte gewährleistet sind. Unbeschadet der unter diesem Dokument beschriebenen Bereitstellung der vertragsgegenständlichen Software as a Service und der dazu eingeräumten Nutzungsrechte hat die Bereitstellung der Software so zu erfolgen, dass sie dem Einsatzzweck genügt. Auch stehen der KfW mindestens die Nutzungsrechte zu, die erforderlich sind, um dem Einsatzzweck zu genügen.

4

[Seite 5]

Leistungsbeschreibung SaaS

2 Leistungsüberblick Der Auftragnehmer schuldet die folgenden Leistungen: i. Bereitstellung einer Software im Funktions- und Nutzungsumfang, wie in Kapitel 3 und 4 beschrieben ii. Durchführung eines Projekts zur Einführung der Software bei der KfW, wie in Kapitel 5 beschrieben iii. Betrieb der Software „as a Service“, wie in Kapitel 6 beschrieben iv. Fachliche und technische Unterstützung während der Betriebsphase, wie in Kapitel 7 beschrieben v. Beendigungsunterstützung, wie in Kapitel 9 beschrieben

3 Funktionsumfang der Software Der vertraglich geschuldete Funktionsumfang der Software setzt sich zusammen aus den MUSS-Anforderungen und den durch den Auftragnehmer im verbindlichen finalen Angebot (Best and final offer, nachfolgend BAFO) angebotenen KANN- Anforderungen. Die MUSS- und KANN-Anforderungen der KfW ergeben sich aus den Kapiteln „2. Fachlicher Funktionsumfang“ und „3. Technischer Funktionsumfang“ der Anlage „Verfahrensbedingungen_Anlage Wertungsmatrix Kriterienkatalog“. Die MUSS- Anforderungen sind integraler Bestandteil der Leistungsbeschreibung. Die im BAFO gemachten Angaben und Ausführungen des Auftragnehmers zur Umsetzung der einzelnen MUSS- und KANN-Anforderungen sind verbindlicher Vertragsbestandteil.

4 Nutzungsumfang und -voraussetzungen Komponenten Der Auftragnehmer stellt die nach Kapitel 3 geschuldeten Funktionalitäten durch den Einsatz des in seinem Angebot beschriebenen Produkts in der Betriebsform Software-as-a-Service bereit. Die Bezeichnung der Software sowie die Versionsnummer, ggf. auch eine Produktnummer, ergeben sich aus dem Angebot. Der Auftragnehmer stellt den Zugang zur Software auf Grundlage der in Kapitel 4.2 definierten Abrechnungs-Metrik bereit.

Abrechnungs-Metrik Volumenbasierte Metrik Die Abrechnung der ITFM-Software erfolgt auf Basis einer volumenbasierten Metrik. Diese orientiert sich am Umfang der durch die angebotene Lösung verwalteten IT-Ausgaben („IT Spend under Management“) und stellt einen marktüblichen Ansatz für die Lizenzierung von ITFM-Lösungen dar. Der Auftragnehmer hat die seiner Preisgestaltung zugrunde liegende volumenbasierte Abrechnungsmetrik transparent darzustellen. Dies umfasst insbesondere die Definition des maßgeblichen IT-Ausgabenvolumens sowie die eindeutige Abgrenzung sämtlicher in die Berechnung einbezogenen Kostenbestandteile. Die Berechnungsgrundlage muss für die KfW nachvollziehbar und prüfbar sein.

5

[Seite 6]

Leistungsbeschreibung SaaS

Umgebungen Der Auftragnehmer hat der KfW die ITFM Software in einer Produktionsumgebung zur Verfügung zu stellen. Für diese Umgebung gelten die Servicelevel gemäß Kapitel 6.5. Neben der produktiven Instanz hat der Auftragnehmer die ITFM Software für Testzwecke der KfW in einer zusätzlichen Testumgebung zur Verfügung zu stellen. Die Testumgebung hat der Auftragnehmer der KfW mit dem gleichen Funktionsumfang wie die Produktionsumgebung, jedoch nicht mit produktiven personenbezogenen Daten, bereitzustellen. Abweichungen sind nur zulässig, wenn die KfW diesen explizit zugestimmt hat bzw. wenn diese durch die laufende Weiterentwicklung und notwendigen Tests und Freigaben vor Umsetzung auf der Produktionsumgebung notwendig sind (im Folgenden „KfW-Testumgebung“). Die KfW sowie der Auftragnehmer werden die KfW-Testumgebung für das Einführungsprojekt und in der Betriebsphase nutzen. Die KfW-Testumgebung dient dabei insbesondere der Durchführung und Dokumentation der Tests, bevor Änderungen in der Produktionsumgebung vorgenommen werden. Die KfW-Testumgebung muss daher u. a. geeignet sein zur:

• Bereitstellung fertig konfigurierter / angepasster Stände der ITFM Software durch den Auftragnehmer,
• Bereitstellung der Weiterentwicklungen der Software, insbesondere solcher Releases, die ggf. von der KfW getestet werden,
• Einbindung, sofern erforderlich auch Konfiguration der Schnittstellen zur KfW IT- Infrastruktur (bspw. E-Mail-Versand, Provisionierung) und
• Vorbereitung und zur Durchführung aller Tests. Der Auftragnehmer stellt der KfW die dafür notwendigen Zugänge in ausreichender Menge zur Verfügung, wie sie für die Durchführung der Tests notwendig sind. Grundsätzlich werden KfW- Nutzer aber in deutlich geringerer Anzahl die KfW-Testumgebung verwenden. Der Auftragnehmer erhält keine gesonderte Vergütung für die Bereitstellung der KfW- Testumgebung und der notwendigen Zugänge. Für beide Umgebungen muss eine Anbindung in die KfW-Infrastruktur vorgenommen werden.

Zugangs- und/oder Nutzungsvoraussetzungen Ist die vertragsgemäße Nutzung der Software abhängig von der Bereitstellung von Werkzeugen (Tools), Lizenzschlüsseln, Codes, Zugangsdaten, Zertifikaten oder sonstigen Unterlagen an die KfW, hat der Auftragnehmer diese der KfW in ausreichender Menge und ausreichendem Umfang bereitzustellen. Sind bestimmte Mengen oder bestimmte Umfänge vereinbart und konnte der Auftragnehmer erkennen, dass diese für den Bedarf der KfW nicht ausreichen, hat er ohne gesonderte Vergütung Ergänzungen vorzunehmen. Sofern die KfW z.B. durch unbeabsichtigte Löschung, höhere Gewalt oder sonstige Ereignisse nicht mehr über die voranstehenden Voraussetzungen verfügt, hat der Auftragnehmer unentgeltlich Ersatz zu leisten. Zugangsvoraussetzungen und Nutzungssperren sind nur aus Sicherheitsgründen zulässig oder soweit der Auftragnehmer diese in seinem Angebot benannt hat. Heimliche Zugangsvoraussetzungen oder Nutzungssperren sind ausgeschlossen.

Dokumentation Der Auftragnehmer ist verpflichtet, im Rahmen der Einführung der Software an der Erstellung einer vollständigen Dokumentation mitzuwirken. Dies umfasst die Bereitstellung von herstellerseitigen Unterlagen und einer Schulungsunterlage sowie die Mitwirkung an individuell zu erstellenden Unterlagen der KfW, die nachfolgend spezifiziert sind.

6

[Seite 7]

Leistungsbeschreibung SaaS

Der Auftragnehmer hat die Lieferung der herstellerseitigen Dokumentation und die Schulungsunterlagen sowie seine Mitwirkung an der Erstellung der KfW-spezifischen Dokumentation als Teil seiner Hauptleistungspflicht zu erbringen.

Herstellerseitige Dokumentation Der Auftragnehmer ist verpflichtet, der KfW eine Herstellerdokumentation der Software zur Verfügung zu stellen. Diese hat insbesondere alle notwendigen Informationen zu enthalten für:

• die fachliche und technische Nutzung der Software, • die durch die KfW zu erstellenden Integrations-Schnittstellen sowie • die technischen Voraussetzungen für die Nutzung der Software durch die KfW. Die Herstellerdokumentation umfasst mindestens:

• eine Benutzerdokumentation (Benutzerhandbuch), • eine Integrationsdokumentation für technische Schnittstellen sowie • ein Security-Whitepaper. Der Auftragnehmer stellt für die Software eine vollständige, verständliche und in sich schlüssige Benutzerdokumentation zur Verfügung. Diese ist mindestens in elektronischer Form bereitzustellen, entweder als online zugreifbare Hilfe oder als Dokument im PDF-Format. Die Benutzerdokumentation muss so formuliert sein, dass ein durchschnittlicher Benutzer die Software ohne Unterstützung durch den Auftragnehmer gemäß den Vorgaben dieser Leistungsbeschreibung nutzen kann. Der Auftragnehmer stellt sicher, dass die Benutzerdokumentation spätestens zum Zeitpunkt der Abnahme des Einführungsprojektes verfügbar ist und sämtliche Funktionen der jeweils bereitgestellten Softwareversion abdeckt. Der Auftragnehmer hat die Benutzerdokumentation im Rahmen der üblichen Release-Zyklen zu aktualisieren, sodass diese stets die Funktionen der jeweils freigegebenen Hauptversion zutreffend beschreibt.

4.5.1.1 Schulungsunterlagen Der Auftragnehmer ist verpflichtet, für die im Rahmen des Vorhabens eingeführte Software eine Schulungsunterlage in deutscher oder in englischer Sprache zu liefern. Der Auftragnehmer hat die Schulungsunterlage in einem gängigen digital bearbeitbaren Dateiformat (z. B. DOCX, PPTX oder einem gleichwertigen offenen Format) zur Verfügung zu stellen; abweichend davon kann der Auftragnehmer mit vorheriger Zustimmung der KfW die Schulungsunterlage als PDF-Dokument liefern. Der Auftragnehmer muss die Schulungsunterlage so aufbereiten, dass sie sich inhaltlich und strukturell von der Benutzerdokumentation unterscheidet und die Benutzer schrittweise in die praktische Nutzung der Software einführt. Der Auftragnehmer hat sicherzustellen, dass die Schulungsunterlage mindestens folgende Inhalte umfasst:

• eine modular aufgebaute Gliederung, die aufeinander aufbauende Schulungseinheiten vorsieht, • Schritt-für-Schritt-Anleitungen zur Durchführung typischer Anwendungsfälle sowie • zusammenfassende Übersichten, Checklisten oder Merkhilfen. Der Auftragnehmer stellt sicher, dass die Schulungsunterlagen spätestens zum Zeitpunkt der Durchführung der Schulungen verfügbar sind.

7

[Seite 8]

Leistungsbeschreibung SaaS

KfW-spezifische Dokumentation Der Auftragnehmer ist verpflichtet, die KfW bei der Erstellung der, für die Nutzung der Software erforderlichen, KfW-spezifischen Dokumentation zu unterstützen und an deren Erstellung mitzuwirken. Als KfW-spezifische Dokumentation gelten insbesondere a) die Fachlichen und Technischen Dokumentation (FuTD) oder der Produktsteckbrief inkl. Testkonzept, b) das IT-Sicherheitskonzept, c) das applikationsspezifisches Berechtigungskonzept, d) die Anwenderdokumentation, e) die Checkliste und die Datenschutz-Leitplanken für den Einsatz von KI-Software sowie f) das Löschkonzept. Der Auftragnehmer hat während des Einführungsprojektes seine Mitwirkung nach Maßgabe dieser Leistungsbeschreibung sowie der einschlägigen Unterkapitel zu erbringen und hierzu insbesondere alle, für die Erstellung der KfW-spezifischen Dokumentation, benötigten technischen und fachlichen Informationen vollständig, korrekt und nachvollziehbar zur Verfügung zu stellen. Dabei ist der Ist-Zustand der vom Auftragnehmer bereitgestellten Software zum Zeitpunkt des Endes des Einführungsprojektes relevant. Die Ergebnisverantwortung für die KfW-spezifische Dokumentation verbleibt bei der KfW. Während der Betriebsphase und der gesamten Vertragslaufzeit ist der Auftragnehmer verpflichtet, im Rahmen des vertraglich vereinbarten Leistungsumfangs an der Sicherstellung der Aktualität der KfW‑spezifischen Dokumentation mitzuwirken, indem er alle relevanten Änderungen der technischen, funktionalen und sicherheitsrelevanten Ausgestaltung der Software gegenüber der KfW dokumentiert und erläutert. Relevante Änderungen sind solche, die Auswirkungen auf die im IT‑Sicherheitskonzept, im applikationsspezifischen Berechtigungskonzept oder in den KI‑Dokumenten beschriebenen Eigenschaften, Risiken oder Maßnahmen haben. Die Parteien gehen davon aus, dass der hierfür erforderliche Aufwand regelmäßig einen Umfang von höchstens 2 (zwei) Personentagen pro Jahr nicht überschreitet; darüberhinausgehende Mitwirkung ist gesondert zu beauftragen und zu vergüten. Der Auftragnehmer übermittelt die Informationen zu den relevanten Änderungen über die üblichen Informationskanäle (z. B. Release Notes, Produkt‑Newsletter, Kundenportal). Diese Informationen gelten als Grundlage für etwaige Anpassungen der KfW‑spezifischen Dokumentation. Der Auftragnehmer informiert die KfW im Rahmen des Governance‑Meetings mindestens einmal jährlich über die im zurückliegenden Zeitraum vorgenommenen relevanten Änderungen und beantwortet hierzu etwaige Fragen der KfW. Die Bewertung, ob und in welchem Umfang die KfW‑spezifische Dokumentation anzupassen ist, obliegt ausschließlich der KfW. Fachliche und Technische Dokumentation (FuTD) oder Produktsteckbrief inkl. Testkonzept: Dies umfasst insbesondere die Unterstützung des Auftragnehmers in Bezug auf die folgenden Punkte:

• Datenschutz- und IT-sicherheitsrelevante Eigenschaften der Software, • Beschreibung von Test und Abnahme der Software, • ggf. Installationsanleitung.

8

[Seite 9]

Leistungsbeschreibung SaaS

Der Auftragnehmer stellt der KfW vorhandene Standard‑Testfälle, Testpläne und Dokumentation zur Installation und Abnahme der Software zur Verfügung und erläutert diese auf Anforderung. IT-Sicherheitskonzept: Der Auftragnehmer hat der KfW eine schriftliche Dokumentation der sicherheitsrelevanten Eigenschaften der Software und der zugrunde liegenden Cloud-Umgebung in elektronischer Form zur Verfügung zu stellen, einschließlich folgender Inhalte in angemessener Detaillierung:

• Technische Beschreibung (z. B. Architektur, Komponenten, Schnittstellen, Firewall Regeln), • Physische und umgebungsbezogene Sicherheit (z. B. Zutrittskontrolle), • Zugangs- und Zugriffskontrolle (z. B. Benutzervergabeprozess, Passwortmanagement), • Protokollierung, • Datensicherung und Wiederherstellung, • Besondere Sicherheitsmaßnahmen (z. B. Schutz vor Schadcode, Patch- und Releasemanagement). Applikationsspezifisches Berechtigungskonzept: Der Auftragnehmer berät, wie die Anforderungen an Berechtigungen bestmöglich fachlich und technisch in der Software umgesetzt werden können und liefert Informationen für die Erstellung eines internen Berechtigungskonzepts. Anwenderdokumentation: Die Anwenderdokumentation ist eine KfW‑spezifische, prozess‑ und fachlich ausgerichtete Dokumentation, die die Nutzung der Software im Kontext der Geschäftsprozesse, der gesetzlichen Anforderungen und ihres internen Kontrollsystems beschreibt. Dies umfasst insbesondere die Unterstützung des Auftragnehmers in Bezug auf die folgenden Punkte:

• Use Cases, Datenflüsse und Business Rules (welche Daten wo erfasst, wie verarbeitet und ausgegeben werden), • Konfigurations- und Customizing-Optionen, inkl. exportierbarer Übersichten zu Parametern, Schlüsseln, Rollenmodellen. Checkliste und Datenschutz-Leitplanken für den Einsatz von KI-Software: Dies umfasst insbesondere die Unterstützung des Auftragnehmers in Bezug auf die folgenden Punkte:

• Risikoklasse und Rolle der KfW gemäß EU-KI-Verordnung 2024/1689 • Details zu den verwendeten KI-Modellen • Anwendungszweck und Auswirkungen auf natürliche Personen • Fairness, Bias und Diskriminierungsfreiheit • Datenschutz und Vertraulichkeit von Daten • Informationssicherheit, technische Robustheit und Systemintegrität • Governance, Dokumentation und rechtliche/regulatorische Compliance. Löschkonzept: Der Auftragnehmer muss die KfW beraten, wie die Anforderungen an DSGVO-konforme Löschkonzepte für in der Software verarbeitete personenbezogene Daten funktionell und technisch am besten umgesetzt werden können. Das Konzept dient als Grundlage für die Implementierung innerhalb der Software.

9

[Seite 10]

Leistungsbeschreibung SaaS

5 Einführungsprojekt zur Bereitstellung der Software Der Auftragnehmer schuldet die erfolgreiche Einführung der Software als werkvertragliche Leistung. Dieses Kapitel regelt die Zusammenarbeit zwischen der KfW und dem Auftragnehmer während des Einführungsprojektes sowie die vom Auftragnehmer geschuldeten Leistungen. Diese sind in den nachfolgenden Unterkapiteln beschrieben. Der geschuldete Erfolg richtet sich nach dem mit seinem Angebot eingereichten und vom Auftragnehmer gemäß den Vorgaben dieser Leistungsbeschreibung umzusetzenden Konzept des Einführungsprojekts. Der Auftragnehmer stellt in seinem Konzept insbesondere dar bzw. plant und beschreibt: • Die Umsetzung der in Kapitel 5.2 dargestellten Arbeitspakete, • sein Vorgehen bei der Einführung der Lösung einschließlich Projektmethodik, • die vorgesehenen Rollen und Verantwortlichkeiten im Einführungsprojekt, • eine realistische und nachvollziehbare Projektdauer, • die erforderlichen Mitwirkungsleistungen der KfW, • einen Projektplan einschließlich wesentlicher Meilensteine. Der Auftragnehmer setzt das im Angebot enthaltene Konzept „Einführungsprojekt“ um. Er entwickelt und konkretisiert dieses Konzept im Einvernehmen mit der KfW fort, unter Berücksichtigung der Ergebnisse der mit der KfW im Projekt durchgeführten Workshops. Die Verantwortung für die termin- und qualitätsgerechte Herbeiführung des geschuldeten Erfolgs liegt beim Auftragnehmer.

Projektinitialisierung Der Auftragnehmer erstellt und aktualisiert im Rahmen des Einführungskonzepts den detaillierten Projektplan einschließlich der wesentlichen Meilensteine, Abhängigkeiten und Termine bis zur Abnahme des Einführungsprojekts. Der Auftragnehmer initiiert und steuert das Projekt eigenverantwortlich zunächst nach Maßgabe des mit dem Angebot eingereichten Projektplans und, sobald dieser vorliegt, nach Maßgabe des mit der KfW vereinbarten detaillierten Projektplans in der jeweils aktuellen Fassung. Der Auftragnehmer verpflichtet sich, die Detailplanung mit der KfW abzustimmen und nach Bedarf anzupassen, sodass eine Freigabe durch die KfW erteilt werden kann. Hierzu gehört insbesondere

• die Ressourcenplanung und -steuerung auf seiner Seite

• die Steuerung und Überwachung der Einhaltung aller Planwerte des Projekts (Zeit, Kosten und Qualität)

• die Durchführung eines wöchentlichen Status JF vor Ort bei der KfW oder Remote inkl. Status-Reporting in Textform über den Projektfortschritt

• die Erfassung, Definition, Dokumentation und Kommunikation der Projektänderungen innerhalb des Projektteams und an die KfW

• die Einforderung vereinbarter Mitwirkung der KfW, insbesondere das Einholen erforderlicher Informationen und Freigaben

• die Abstimmung der Anforderungen an die Dokumentation

• die Steuerung von Eskalationen auf Seiten des Auftragnehmers

10

[Seite 11]

Leistungsbeschreibung SaaS

Die für die Projektsteuerung erforderlichen Regelmeetings werden vom Auftragnehmer initialisiert. Der Auftragnehmer führt das erforderliche Kick-Off-Meeting spätestens vier (4) Wochen nach Zuschlag durch.

Projektvorgehen Die nachfolgenden Unterkapitel enthalten mindestens notwendige Arbeitspakete des Einführungsprojekts. Die Ausgestaltung obliegt dem Anbieter im Rahmen des einzureichenden Einführungskonzepts.

Paket 1: Bereitstellung des Systems Die technische Anbindung ist gemäß den Anforderungen in Abstimmung mit den durch die KfW benannten Ansprechpartnern zu planen, umzusetzen und zu testen. Hierbei soll die technische Anbindung der Software an die bestehende IAM-/SSO-Landschaft der KfW durch ein Single Sign On (SSO)-Verfahren umgesetzt werden. Die Einrichtung und Erprobung der Anbindung erfolgt zunächst in der Testumgebung.

Paket 2: Technische Konfiguration Der Auftragnehmer hat die notwendige technische Konfiguration für die Einrichtung des Mandanten, des Rollen- und Berechtigungskonzepts, der vereinbarten Sicherheits- und Datenschutzeinstellungen vorzunehmen und zu dokumentieren.

Paket 3: Fachliche Konzeption und Konfiguration Der Auftragnehmer erstellt und stimmt im Projekt das fachliche Lösungskonzept ab, welches insbesondere die Abbildung der relevanten ITFM-Prozesse, Funktionen und Anforderungen umfasst. Der Auftragnehmer setzt das Konzept zur Konfiguration der ITFM-Lösung um (insbesondere TBM-Taxonomie, Kostenmodelle, Hierarchien, Zuordnungs- und Allokationslogiken sowie relevante Kennzahlen) und dokumentiert die Umsetzung.

Paket 4: Technische Datenanbindung Der Auftragnehmer bindet eine von der KfW bereitgestellte unternehmensinterne Ablage an die ITFM-Lösung an. Die gemeinsame Ablage wird innerhalb des Unternehmens für die Fachbereiche eingerichtet und dient als strukturierter Eingangspunkt für Dateien/Daten, die anschließend in die ITFM-Lösung übertragen und dort hochgeladen werden. Der Leistungsumfang stellt sicher, dass die bereitgestellten Daten nach definierten Regeln verarbeitet, übertragen und in der Lösung korrekt importiert werden. Zur Leistung gehören: • Konzeption und Implementierung eines sicheren End-to-End-Übertragungs- und Upload- Prozesses von der gemeinsamen Ablage in die ITFM-Lösung • Bereitstellung bzw. Umsetzung der hierfür erforderlichen Komponenten und Schnittstellen • Umsetzung der Upload-/Importlogik auf Basis der mit dem Auftraggeber konzipierten Zielstruktur sowie fachlichen/technischen Regeln • Definition und Umsetzung von Upload-Regeln (triggerbasiert, zeitgesteuert oder manuell freigegeben, soweit vorgesehen) • Datenvalidierung vor dem Upload (Format-/Strukturprüfung, Mindestanforderungen an Konsistenz und Plausibilität)

11

[Seite 12]

Leistungsbeschreibung SaaS

Paket 5: Funktionstests Für die Erteilung der Produktionsfreigabe prüft die KfW die für sie konfigurierte Lösung und stellt dabei sicher, dass keine wesentlichen Mängel im Sinne der Funktionsfähigkeit und der Informationssicherheit sowie der operationalen Einsatzfähigkeit (ICT-Resilienz) festgestellt werden.

Diese Prüfung umfasst:

• einen technischen Test aller Funktionen (Systemtest – ST),
• einen technischen Test aller Schnittstellen (Systemintegrationstest – SIT) einschließlich sicherer und belastbarer Schnittstellenkommunikation (z. B. Authentifizierung, Autorisierung, Integrität, Verfügbarkeit sowie Schnittstellen- Fehlerbehandlung), und
• einen fachlichen Test (User Acceptance Test – UAT) inklusive der für den Betrieb erforderlichen fachlichen und kontrollbezogenen Abläufe.

Die Produktionsfreigabe setzt ferner voraus, dass die Sicherheitsanforderungen, die in der Vertragsdokumentation sowie in den für die KfW maßgeblichen DORA-/ICT-Anforderungen festgelegten Test- und Nachweisanforderungen erfüllt sind und keine offenen kritischen/hohen Schwachstellen bestehen.

Sofern die Lösung eine KI-Komponente enthält, prüft die KfW zusätzlich die nach EU AI Act erforderliche Konformitätsunterstützung und technische Umsetzbarkeit auf Basis der vom Auftragnehmer vorzulegenden Nachweise.

Der Auftragnehmer hat die KfW im erforderlichen Umfang bei den Tests zu unterstützen. Der Auftragnehmer ist verpflichtet, die aufgetretenen Mängel zu analysieren und zu beseitigen und die Software der KfW erneut zur Durchführung vollständiger Tests bereitzustellen. Sofern erforderlich, werden Auftragnehmer und Auftraggeber gemeinsam eine Priorisierung der abzuarbeitenden Abweichungen vornehmen. Der Auftragnehmer hat sicherzustellen, dass

• ausreichend Spezialisten für eine zügige Fehleranalyse und -behebung zur Verfügung stehen und
• während der Testphase eine dedizierte Ansprechperson (einschließlich Vertretung) zur Verfügung steht, die über die für diese Aufgabe erforderliche Erfahrung und Entscheidungskompetenz verfügt. Die KfW dokumentiert die Testdurchführung und -ergebnisse. Festgestellte Mängel sind vom Auftragnehmer unverzüglich zu beheben; die Behebung ist durch Nachtests nachzuweisen. Die Funktionstests gelten als erfolgreich abgeschlossen, wenn keine Mängel mehr offen sind, die die Nutzbarkeit der Software mehr als nur unerheblich einschränken. Für eine erfolgreiche Produktivstellung ist das Vorliegen der für die KfW internen Prozesse notwendige Dokumentationen, insbesondere Fachliches und Technisches Design, applikationsspezifisches Berechtigungskonzept, Sicherheitskonzept, Betriebs- und Administrationsdokumentation sowie Anwender- und Administrationshandbuch zwei Wochen vor Produktivstellung notwendige Voraussetzung. Der Auftragnehmer hat bei der Erstellung in geeigneter Form mitzuwirken. Die Fertigstellung berücksichtigt den notwendigen erfolgreichen Review durch einen internen KfW nicht fachfremden Teammitarbeiter. Die KfW wird gemäß den KfW internen Prozessen die Produktionsfreigabe erteilen, woraufhin der Auftragnehmer die Zurverfügungstellung der ITFM-Software in der Produktionsumgebung schuldet (Go Live).

12

[Seite 13]

Leistungsbeschreibung SaaS

Paket 6: Produktive Bereitstellung Nach erfolgreichem Abschluss der Funktionstests hat der Auftragnehmer der KfW die Betriebsbereitschaft der Software in der Produktivumgebung in Textform anzuzeigen (Bereitstellungsanzeige) und die Abnahmereife zu erklären. Die Bereitstellung umfasst die produktive Freischaltung für den vereinbarten Benutzerkreis einschließlich der aktivierten Anbindung an das zentrale Berechtigungsmanagement und an den Mandanten der KfW.

Paket 7: Wissensvermittlung und Schulungen Der Auftragnehmer schuldet mindestens die Schulung der fachlichen und technischen „Administratoren“ in der KfW-Testumgebung durch einen Trainer (Remote über Videokonferenz) und durch Online-Tutorials vor Produktivstellung der ITFM Software. Ziel ist es, dass die KfW-seitigen fachlichen und technischen „Administratoren“ der Plattform nach Abschluss der Schulung in der Lage sind, die ITFM Software in der KfW eigenständig ohne Hinzuziehung des Herstellers zu nutzen. Der Auftragnehmer schuldet dabei die Umsetzung seines im Angebot enthaltenen Schulungskonzeptes in dem jeweils aktuellen, zwischen den Parteien abgestimmten, weiterentwickelten Stand.

Hypercare-Phase Der Auftragnehmer schuldet

• während der achtwöchigen Hypercare-Phase, die nach dem Go Live beginnt, die Bereitstellung einer ausreichenden Anzahl an Spezialistinnen bzw. Spezialisten für die notwendigen Prüfungs- und Überwachungsaktivitäten und etwaige Fehlerbehebungen und
• die Bereitstellung einer dedizierten Ansprechperson einschließlich Vertretung, die über die für diese Rolle erforderlichen Erfahrungen und Entscheidungskompetenzen verfügt. Die Hypercare-Phase ist Teil des Einführungsprojekts und dient der Begleitung des produktiven Einsatzes der Software bis zur Abnahme.

Abnahme Voraussetzung für die Abnahme ist der erfolgreiche Abschluss der Hypercare-Phase. Die Abnahme durch die KfW erfolgt gemäß Ziffer 7 der Allgemeinen Vertragsbedingungen. Unwesentliche Mängel und noch ausstehende Teile der Anwenderdokumentation stehen der Abnahme nicht entgegen; sie sind in einem Abnahmeprotokoll festzuhalten und unverzüglich, jedenfalls aber innerhalb der dort vereinbarten Fristen zu beheben bzw. nachzuliefern. Mit der Abnahme beginnt der Regelbetrieb; ab diesem Zeitpunkt gelten die Regelungen zum Betrieb, zum Support und zu den Servicelevels gemäß Kapitel 6.

Mitwirkung der KfW Die KfW wirkt im Rahmen des Einführungsprojekts mindestens wie folgt mit:

• Bereitstellung der für die Anbindung an das zentrale Berechtigungsmanagement erforderlichen Informationen innerhalb angemessener Frist nach Anforderung durch den Auftragnehmer, • Durchführung der in ihrem Verantwortungsbereich liegenden Freischaltungen und Konfigurationen oder Installationen innerhalb angemessener Frist nach Anforderung durch den Auftragnehmer sowie

13

[Seite 14]

Leistungsbeschreibung SaaS

• Prüfung der geschuldeten Dokumente innerhalb angemessener Fristen.

Der Auftragnehmer hat seine Leistungserbringung so zu organisieren, dass die Mitwirkung der KfW auf das erforderliche Maß beschränkt bleibt. Kann der Auftragnehmer eine Leistung wegen einer ausstehenden Mitwirkung nicht erbringen, hat er dies der KfW unverzüglich in Textform anzuzeigen; unterbleibt die Anzeige, kann sich der Auftragnehmer auf die fehlende Mitwirkung nicht berufen.

Projektteam Die Leitung des Einführungsprojekts obliegt dem Auftragnehmer. Die Parteien werden unmittelbar nach Abschluss des vorliegenden Vertrags den Projektleiter (Auftragnehmer) bzw. einen verantwortlichen Ansprechpartner (KfW) im Projekt benennen, die als Hauptansprechpartner fungieren und notwendige Entscheidungen für die jeweilige Partei rechtsverbindlich treffen oder herbeiführen können. Auftragnehmer und KfW werden sich bemühen, Meinungsverschiedenheiten in Bezug auf das Projekt zunächst auf Ebene dieser Ansprechpartner beizulegen.

Kernteam Für die Durchführung des Einführungsprojekts stellt der Auftragnehmer ein deutschsprachiges Kernteam bereit. Das Kernteam umfasst mindestens die nachfolgend beschriebenen Rollen: • Projektmanager • Business Consultant / ITFM Consultant • Technical Consultant / Solution Architect Die Mitglieder des Kernteams müssen jeweils die für ihre Rolle festgelegten Mindestanforderungen an Qualifikation und Erfahrung erfüllen.

Projektmanager Referenzen • Mindestens 2 erfolgreich abgeschlossene Referenzprojekte für die Implementierung der angebotenen SaaS-Lösung in der Rolle des Projektmanagers. • Die genannten Referenzprojekte müssen jeweils einen vergleichbaren Gesamtprojektumfang mit einer Kundengröße von mindestens 2.000 Mitarbeiter*innen aufweisen; als vergleichbar gilt ein Projektumfang von mindestens 150 Personentagen für alle am Projekt beteiligten Parteien. Erfahrungen im Bereich Finanzdienstleistungen sind dabei von Vorteil. • Mindestens 5 Jahre Berufserfahrung im Projektmanagement von IT-Einführungs- bzw. Implementierungsprojekten. • Erfahrung in der Steuerung von Projekten mit mehreren fachlichen und technischen Stakeholdern. • Erfahrung in der Steuerung von Projekten mit Schnittstellen zu Vorsystemen, Datenmigration und Integration.

Fachliche Fähigkeiten

14

[Seite 15]

Leistungsbeschreibung SaaS

• Nachweisbare Erfahrung in der Einführung von SaaS-Lösungen. • Erfahrung in der Steuerung von Implementierungsprojekten mit fachlichen und technischen Arbeitspaketen. • Erfahrung im Management von Projektplan, Meilensteinen, Risiken, Abhängigkeiten, Änderungen und Projektressourcen. Diese können durch anerkannte Zertifizierungen nachgewiesen werden, z.B. SAFe, PMP, Prince2. • Erfahrung in der Vorbereitung und Steuerung von Tests, Go-Live, Cutover und Hypercare-/Stabilisierungsphasen. • Erfahrung in der Steuerung von Projekten mit einer vergleichbaren organisatorischen Komplexität, insbesondere bei mehreren beteiligten Organisationseinheiten.

Sonstige Fähigkeiten • Fließende Deutschkenntnisse (Mindestniveau C1) in Sprache und Schrift. • Gute Englischkenntnisse in Wort und Schrift. • Sicheres Auftreten gegenüber fachlichen und technischen Ansprechpartnern sowie auf Managementebene.

Business Consultant Referenzen • Mindestens 2 erfolgreich abgeschlossene Referenzprojekte für die Implementierung der angebotenen SaaS-Lösung in der Rolle des Business Consultants bzw. ITFM Consultants. • Die genannten Referenzprojekte müssen jeweils einen vergleichbaren Gesamtprojektumfang mit einer Kundengröße von mindestens 2.000 Mitarbeiter*innen aufweisen; als vergleichbar gilt ein Projektumfang von mindestens 150 Personentagen für alle am Projekt beteiligten Parteien. Erfahrungen im Bereich Finanzdienstleistungen sind erforderlich. • Mindestens 5 Jahre Berufserfahrung im Bereich IT-Financial-Management, IT- Controlling oder vergleichbaren Aufgabenstellungen. • Erfahrung in mindestens 2 ITFM-Implementierungsprojekten mit vergleichbarem fachlichem Umfang.

Fachliche Fähigkeiten • Fundierte Kenntnisse in IT Financial Management (ITFM) und IT-Kostenmanagement. • Erfahrung mit der TBM-Taxonomie bzw. vergleichbaren IT-Kostenmodellen sowie Modellierung entsprechender Strukturen, wie z.B.: • IT-Kostenstrukturen und Costpools, • IT-Towers, • IT-Services, • Applikationen, • Organisationseinheiten, • Kostenträgern, • direkten und indirekten Kosten.

15

[Seite 16]

Leistungsbeschreibung SaaS

• Erfahrung mit Kostenverrechnungs- und Allokationsmodellen einschließlich unterschiedlicher Allokationsschlüssel. • Erfahrung in der Umsetzung von Planungs- und Forecast-Prozessen im IT-Controlling. • Erfahrung mit der Konzeption und Umsetzung von Management- und ITFM-Reporting einschließlich Dashboards und Kennzahlen. • Erfahrung mit Benchmarking von IT-Kosten und IT-Leistungen ist wünschenswert. • Erfahrung in der Analyse, Harmonisierung und fachlichen Qualitätssicherung von Daten aus unterschiedlichen Quellsystemen. • Fähigkeit zur Übersetzung fachlicher ITFM-Anforderungen in eine konkrete Systemkonfiguration.

Sonstige Fähigkeiten • Fließende Deutschkenntnisse (mindestens Stufe C1) in Wort und Schrift. • Gute Englischkenntnisse in Wort und Schrift. • Ausgeprägte Fähigkeit zur Kommunikation mit Fachbereichen, IT und Management.

Technical Consultant Referenzen • Mindestens 2 erfolgreich abgeschlossene Referenzprojekte für die Implementierung der angebotenen SaaS-Lösung in der Rolle des Technical Consultants bzw. Solution Architects. • Die genannten Referenzprojekte müssen jeweils einen vergleichbaren Gesamtprojektumfang mit einer Kundengröße von mindestens 2.000 Mitarbeiter*innen aufweisen; als vergleichbar gilt ein Projektumfang von mindestens 150 Personentagen für alle am Projekt beteiligten Parteien. Erfahrungen im Bereich Finanzdienstleistungen sind dabei von Vorteil. • Mindestens 5 Jahre Berufserfahrung in der technischen Implementierung von SaaS- /Cloud-Lösungen. • Erfahrung mit der technischen Umsetzung von mindestens 2 vergleichbaren Integrations- bzw. Implementierungsprojekten.

Technische Fähigkeiten • Fundierte Kenntnisse der Architektur und technischen Konfiguration der angebotenen SaaS-Lösung. • Fundierte Kenntnisse in der Umsetzung technischer Anforderungen an SaaS-/Cloud- Lösungen und deren Anbindung an bestehende IT-Architekturen. • Erfahrung mit der Anbindung von SaaS-Lösungen an Unternehmenssysteme über APIs, Schnittstellen und ETL-/Integrationsmechanismen. • Erfahrung mit der Integration von ERP-, Finanz-, HR-, CMDB-, Procurement- oder vergleichbaren Quellsystemen. • Erfahrung in der Konzeption und Umsetzung von Datenmigrationen, einschließlich Datenmapping, Transformation, Validierung und Qualitätssicherung.

16

[Seite 17]

Leistungsbeschreibung SaaS

• Erfahrung in der technischen Umsetzung von Single Sign-on und Berechtigungskonzepten. • Erfahrung in der Konzeption und Umsetzung von Test-, Integrations- und Abnahmeszenarien. • Erfahrung in der Erstellung technischer Dokumentationen und Lösungskonzepte.

Sonstige Fähigkeiten • Fließende Deutschkenntnisse (mindestens Stufe C1) in Wort und Schrift. • Gute Englischkenntnisse in Wort und Schrift. • Fähigkeit zur Kommunikation zwischen Fachbereich, IT und Anbieter.

17

[Seite 18]

Leistungsbeschreibung SaaS

6 Softwarebetrieb Der Auftragnehmer muss die Software entsprechend dem vereinbarten Funktionsumfang der KfW zur Verfügung stellen und schuldet deren Betrieb als SaaS.

Technische Vorgaben

Physische Sicherheit Der Auftragnehmer gewährleistet die physische Sicherheit und Perimeterschutz der zur Leistungserbringung eingesetzten IT-Systeme mindestens durch folgende Maßnahmen: a) Der Auftragnehmer ist verpflichtet angemessene Schutzmaßnahmen zu ergreifen, um einen angemessen Perimeterschutz in Bezug auf seine Räumlichkeiten sicherzustellen, insbesondere um einen unbefugten Zutritt zu solchen Räumlichkeiten zu verhindern, die zur Leistungserbringung für die KfW genutzt werden bzw. von denen aus Zugriff auf für die Leistungserbringung für die KfW genutzte DV-Systeme möglich ist. Es müssen Maßnahmen umgesetzt sein, die eine Verletzung des Perimeters umgehend identifizieren können. b) Die von der KfW genutzten Software-Instanzen müssen als eigener Mandant technisch und organisatorisch von den Software-Instanzen anderer Kunden des Auftragnehmers abgegrenzt sein. Der Auftragnehmer hat die Software unter einer KfW-spezifischen Domain zur Verfügung zu stellen. c) Der Auftragnehmer hat Verbindungen auf für die Leistungserbringung eingesetzte DV- Systeme bzw. Ressourcen auf von der KfW zu benennende Netzwerke (IP-Whitelisting) einzuschränken.

Maßnahmen der Betriebskontinuität Der Auftragnehmer hat sicherzustellen, dass die zur Leistungserbringung eingesetzte IT- Infrastruktur über geeignete Backup oder Recovery Mechanismen für alle für die KfW erfassten Daten, Protokolle, Reportings und Benutzerverwaltung verfügt. Es wird ein tägliches Backup dieser Inhalte vorgenommen. Der Auftragnehmer muss der KfW unbeschadet sonstiger Verpflichtungen regelmäßig eine Sicherungskopie aller von ihm für die KfW verarbeiteten und verwalteten Daten übergeben. Sofern die KfW keine abweichenden Weisungen erteilt, sind ihr auf Anfrage in einem noch festzulegenden Format und Verfahren für die KfW lesbar (im CSV-Format) und in einem alternativen IT-System importierbar zur Verfügung zu stellen. Ergänzend gelten die Regelungen der BVB Cloud Ziffer 6. Der Auftragnehmer verfügt über ein dokumentiertes Disaster-Recovery-Konzept für die Lösung, das mindestens jährlich getestet wird. Die Ergebnisse der durchgeführten Tests sind der KfW auf Anfrage nachzuweisen.

Monitoring- und Dokumentationspflichten Der Auftragnehmer hat die Qualität seiner Leistungen, insbesondere die Einhaltung vereinbarter SLA fortlaufend und kontinuierlich zu messen sowie zu dokumentieren. Der Auftragnehmer stellt sicher, dass die Messung in marktüblicher Form, zuverlässig, richtig und vollständig erfolgt. Der Auftragnehmer kann seine Verpflichtungen auch dadurch erfüllen, dass der Hersteller des Systems entsprechende Messungen durchführt. Der Auftragnehmer gewährleistet, dass die Verfügbarkeit des Systems sowie die zur Leistungserbringung eingesetzte IT-Infrastruktur mit einer marktüblichen Software überwacht wird (Monitoring). Das Monitoring muss unterbrechungsfrei und automatisiert erfolgen und alle

18

[Seite 19]

Leistungsbeschreibung SaaS

performance- und sicherheitsrelevanten Ereignisse lückenlos aufzeichnen und auswertbar machen können. Die Daten müssen bis hin zu den Einzelwerten analysiert werden können. Das Monitoring umfasst auch die Einbindung in die KfW-Infrastruktur, bspw. die Überwachung von Verfügbarkeiten sowie Störungen bei den Schnittstellen. Die KfW muss einen Zugriff auf die Informationen aus dem Monitoring erhalten, um bei Bedarf die Einhaltung der vertraglichen Vereinbarungen selbst nachhalten zu können. Der Auftragnehmer erhält keine gesonderte Vergütung für das Monitoring und den Zugriff der KfW auf das Monitoring.

Aktualisierung der Software Die Software wird vom Auftragnehmer als SaaS betrieben, im Rahmen seiner Update- und Releaseplanung kontinuierlich weiterentwickelt und gepflegt. Der Auftragnehmer hat der KfW die Software in der jeweils aktuellen gepflegten Version so zur Verfügung zu stellen, dass alle Updates und Bugfixes, Sicherheits-Updates und Funktionserweiterungen im Rahmen der erworbenen Lizenzen der KfW jederzeit automatisch und ohne zusätzliche Kosten zur Verfügung stehen. Der Auftragnehmer muss die KfW regelmäßig, spätestens 2 (zwei) Wochen vor der Implementierung bei funktionalen Änderungen oder bei Änderungen mit Auswirkungen auf die Integration spätestens 3 (drei) Monate vor der Implementierung über Inhalt und Zeitplan der kommenden Releases schriftlich informieren. Sofern eine Änderung oder ein Update

• Auswirkungen auf die Grundkonfiguration der Software und damit auf die fachlichen oder technischen Anforderungen der KfW hat oder • grundlegende technische oder architektonische Änderungen enthält, die sich auf die technischen Konfigurationen (Einstellungen) aus dem Einführungsprojekt auswirken können (Integration der Software in die KfW IT-Infrastruktur, z. B. E-Mail-Versand, Provisionierung),

muss der Auftragnehmer der KfW eine angemessene, einvernehmlich vereinbarte Zeitspanne einräumen, diese vor der Implementierung in der Produktionsumgebung zu testen und freizugeben. Die seitens Auftragnehmer vorgenommenen oder geplanten Änderungen bzw. Aktualisierungen der Software müssen darüber hinaus in regelmäßigen Meetings (siehe Kapitel 8) zwischen der KfW und dem Auftragnehmer protokolliert werden. Die Bestimmungen der Kapitel 3 und 4, insbesondere hinsichtlich der funktionalen und nicht funktionalen Anforderungen sowie der Zugangs- und/oder Nutzungsvoraussetzungen, gelten auch für neue Versionen der Software. Der Auftragnehmer hat sicherzustellen, dass der vertraglich vereinbarte Funktionsumfang der Software (Kapitel 3) sowie die Voraussetzungen für den Einsatz bei der KfW (Kapitel 4) durch die Änderungen und Updates der Software gewahrt bleiben und dies auch durch die Planung, Durchführung und Dokumentation von Tests zu gewährleisten. Werden Änderungen oder Aktualisierungen der KfW-Infrastruktur (z. B. Zertifikatsänderungen oder Firewalls) vorgenommen, die Auswirkungen auf die Software haben, so sind die daraus resultierenden notwendigen Änderungen vom Auftragnehmer unter Mitwirkung der KfW vorzunehmen. Diese sind dem Auftragnehmer im Rahmen der regelmäßig stattfindenden (typischerweise operativen) Meetings mitzuteilen. Sind für die von der KfW gewünschten Änderungen Anpassungen in der Software oder Beratungsleistungen des Auftragnehmers erforderlich, so können diese von der KfW gemäß Kapitel 7 gesondert in Auftrag geben werden.

19

[Seite 20]

Leistungsbeschreibung SaaS

Service Desk und Servicezeit Der Auftragnehmer stellt einen Service Desk zur Verfügung, welcher während der Servicezeit telefonisch (gebührenfreie Nummer), per E-Mail oder über ein vom Auftragnehmer gehostetes Ticketsystem erreichbar sowie mit deutschsprachigem Personal besetzt ist. Die entsprechenden Kontaktdaten des Service Desk müssen entweder im finalen Angebot des Auftragnehmers angegeben worden sein oder der KfW im Zuge des Einführungsprojektes zur Verfügung gestellt werden.

Servicezeit: Der Auftragnehmer stellt definierte Support-/Servicezeiten und Support-/Servicekanäle bereit und gewährleistet die Bearbeitung von Anfragen gemäß festgelegten Service Levels und Reaktionszeiten. Die Servicezeit läuft von montags bis freitags (ausgenommen bundeseinheitliche Feiertage) von 07.00 Uhr – 18:00 Uhr MEZ/MESZ. Der Auftragnehmer ist verpflichtet, den Service Desk personell und technisch so auszustatten, dass innerhalb der vereinbarten Servicezeit eine ständige Erreichbarkeit gewährleistet ist. Er hat dabei das zu erwartende Aufkommen an Fragen zur Nutzung und Störungsmeldungen zu berücksichtigen und die Möglichkeit paralleler telefonischer Fragen bzw. Störungsmeldungen sicher zu stellen. Der Service Desk nimmt Störungsmeldungen der KfW per Telefon, E-Mail oder Chat entgegen, überführt diese in ein Ticketsystem (unabhängig davon, ob die Störung bereits im Telefonat behoben wurde oder nicht), initiiert die Behebung der Störung und erteilt auf Nachfrage Statusauskünfte zum Behebungsfortschritt. Kann die Beseitigung einer Störung bzw. die Beantwortung einer Anwenderfrage nicht durchgängig von demselben Mitarbeiter des Auftragnehmers bis zum erfolgreichen Abschluss betreut werden, ist der Vorgang und dessen Bearbeitungsfortschritt in einem Ticketsystem so zu protokollieren, dass durch den Mitarbeiterwechsel kein wesentlicher Zeitverlust entsteht. Ist die Bearbeitung in zumutbarer Zeit nicht gelungen, ist der Auftragnehmer verpflichtet

• die Fragen zur Nutzung anderweitig zu klären und die Antworten telefonisch und im Nachgang per E-Mail zu übermitteln bzw.

• die Störungsmeldung zur Störungsbeseitigung innerhalb seiner Supportorganisation weiterzuleiten und den Rücklauf gemäß dem vorstehenden Punkt an die KfW zu übermitteln. Die Beantwortung von Fragen zur Nutzung der Software über den Service Desk durch die fachliche und technische Systembetreuung des Auftraggebers wird nicht gesondert vergütet. Der Anbieter legt offen, ob und in welchem Umfang externe Servicepartner oder Subdienstleister für Support- und Serviceleistungen eingesetzt werden. Eingesetzte Servicepartner sind zu benennen und in die definierten Support- und Serviceprozesse eingebunden.

20

[Seite 21]

Leistungsbeschreibung SaaS

Störungsbearbeitung Für den Umgang mit den Betrieb einschränkenden Störungen und Fehlern stehen definierte Kommunikationskanäle zur Verfügung; diese decken sowohl Störungen und Fehler ab, die von der KfW identifiziert werden, als auch solche, die vom Auftragnehmer identifiziert werden.

Störungsmeldung durch die KfW und Bearbeitung durch den Auftragnehmer Die KfW stellt den First Level-/Anwender-Support für den Betrieb der Software. In Fällen, in denen eine Entstörung durch die KfW selbst nicht möglich sein sollte, wird die KfW entsprechende Störungsmeldungen dem Auftragnehmer übermitteln. Die Störungsmeldung der KfW erfolgt über den Service Desk und/oder das Ticketsystem des Auftragnehmers. Die Störungsmeldung der KfW enthält in der Regel nachfolgende Informationen:

• Störungsmelder inklusive Kontakt für Rückfragen (Telefon / E-Mail)

• Fehlerbeschreibung

• Einschätzung der Störungsklasse gemäß Klassifizierung in 6.4.3

• Incident-Nummer der KfW für die Identifizierung der Störung bei der Rückmeldung (falls bereits vorhanden) Alle eingehenden Störungsmeldungen sind durch den Auftragnehmer in einem eigenen Ticketsystem zu dokumentieren, das eine systematische Erfassung und Bearbeitung der Störungen und aller im Rahmen der Behandlung der Störung getroffenen Maßnahmen sicherstellt. Der Auftragnehmer bestätigt der KfW unverzüglich, spätestens innerhalb der gem. 6.5.2 festgelegten Reaktionszeiten (im Rahmen der Servicezeiten gem. 6.3) nach Zugang der Störungsmeldung, deren Eingang in Textform per E-Mail durch Mitteilung einer eindeutigen Ticketnummer.

Meldung einer Störung durch den Auftragnehmer und Bearbeitung Der Auftragnehmer hat die KfW unverzüglich über nicht von der KfW gemeldete Vorfälle der Software in Textform (E-Mail) zu informieren. Die Störungsmeldung des Auftragnehmers an die KfW enthält mindestens nachfolgende Informationen:

• die aussagekräftige Beschreibung der Störung,

• die eingeleiteten Maßnahmen und

• die voraussichtliche Ausfallzeit.

21

[Seite 22]

Leistungsbeschreibung SaaS

Klassifizierung von Incidents und Sicherheitsschwachstellen Der Auftragnehmer muss die folgenden Incidentklassen unterscheiden:

• Ein serviceverhindernder Incident liegt vor, wenn die Nutzung der Software unmöglich oder schwerwiegend eingeschränkt ist. • Ein servicebehindernder Incident liegt vor, wenn die Nutzung der Software erheblich eingeschränkt ist. Dies gilt auch, wenn geringfügige Vorfälle insgesamt zu einer nicht unerheblichen Einschränkung der Nutzung der Software führen. • Ein geringfügiger Vorfall liegt vor, wenn die Nutzung der Software ohne oder mit unwesentlichen Einschränkungen möglich ist. Gelangt der Auftragnehmer während der Störungsbearbeitung zu der Auffassung, dass die Störung einer abweichenden Störungsklasse unterliegt, teilt er dies der KfW unter Angabe der Gründe unverzüglich mit. Die KfW wird den Sachverhalt erneut prüfen. Die KfW kann der Änderung der Störungsklasse zustimmen oder diese mit Begründung ablehnen. Klassifizierung von Sicherheitsschwachstellen:

• Kritische Sicherheitsschwachstelle (CVSS-Score >= 7 oder bekannter Exploit oder EPSS-Score > 50%) • Hohe Sicherheitsschwachstelle (CVSS-Score von 5,0 bis 6,9 und EPSS-Score > 10 %)

Incident-Lösung Der Auftragnehmer hat Vorfälle der Software unter Einhaltung der vereinbarten Reaktions- und Wiederherstellungszeit gemäß Kapitel 6.5.2 zu beseitigen. Im Falle einer Behelfslösung muss der Auftragnehmer die endgültige Lösung unverzüglich, spätestens jedoch innerhalb von zwei (2) Wochen, zur Verfügung stellen. Während dieser Zeit hat der Auftragnehmer der KfW regelmäßig, soweit nicht anders vereinbart, an jedem Werktag (Montag bis Freitag) per E-Mail einen Statusbericht über den Stand der Incident-Bearbeitung zu senden. Unabhängig von der Wiederherstellungszeit verpflichtet sich der Auftragnehmer, die Vorfälle unverzüglich zu beheben.

22

[Seite 23]

Leistungsbeschreibung SaaS

Service Level Agreements und Folgen von SLA-Verstößen Die definierten SLAs sind vom Auftragnehmer für die Produktionsumgebung geschuldet, nachdem das Einführungsprojekt abgenommen wurde.

SL1: Verfügbarkeit Der Auftragnehmer gewährleistet die Verfügbarkeit der Software im Einklang mit den Vorgaben der Ziffer 6 der BVB Cloud auf seiner Infrastruktur bis zum Übergabepunkt in das Internet mit den vereinbarten Funktionen im Zeitraum von Montag bis Freitag von 07:00 – 20:00 Uhr (MEZ/MESZ). Der Auftragnehmer hat außerdem alle zumutbaren Anstrengungen zu unternehmen, um die Erreichbarkeit der SaaS-Lösung von außen (bis zu seinem Übergabepunkt aus dem Internet) zu ermöglichen und aufrechtzuerhalten. Der Auftragnehmer gewährleistet für die Software eine zugesicherte Verfügbarkeit pro Kalendermonat, ohne bundesweite Feiertage in Deutschland von >= 99,0 %. Messmethode: Die Verfügbarkeit wird als Verhältnis der tatsächlichen Betriebszeit zur gesamten geplanten Betriebszeit innerhalb des Messzeitraums gemessen (Messeinheit Minuten). Die SaaS-Lösung gilt als nicht verfügbar, wenn ein Service-Verhinderungsvorfall vorliegt. Die Lösung gilt als verfügbar, wenn keine betriebsverhindernde Störung vorliegt. Bei der Berechnung der Verfügbarkeit werden Ausfallzeiten je angefangene Minute berücksichtigt. Die Rechtsfolgen bei Unterschreitung der Verfügbarkeit (z.B. Servicegutschriften) sind anzugeben (siehe auch Kapitel 6.5.5). Geplante Wartungsfenster sind von der Verfügbarkeit ausgenommen. Diese werden mindestens zehn Arbeitstage im Voraus angekündigt und außerhalb der Kernarbeitszeiten (Montag bis Freitag, 07:00 – 20:00 Uhr) durchgeführt. Sie dürfen nur im Zeitraum von 20:00 Uhr bis 07:00 Uhr liegen und sind maximal 2 mal pro Monat zulässig. Bundesweite Feiertage in Deutschland sind von dieser Beschränkung ausgenommen. Sofern ungeplante Wartungsarbeiten zur Aufrechterhaltung des Betriebes dringend erforderlich werden, sind diese der KfW vorher anzukündigen. Während der Monats-, Quartals- und Jahresabschlussphasen der KfW werden keine planbaren Wartungsarbeiten durchgeführt. Ungeplante Wartungsarbeiten innerhalb der oben genannten Verfügbarkeitszeiten werden als Nichtverfügbarkeit gewertet.

23

[Seite 24]

Leistungsbeschreibung SaaS

SL2: Reaktionszeit und Wiederherstellungszeit Je nach Klassifizierung (siehe Kapitel 6.4.3) werden die folgenden Anforderungen an die Reaktionszeit und die Wiederherstellungszeit definiert:

Ist keine Wiederherstellungszeit angegeben, unternimmt der Auftragnehmer die ihm zumutbaren Anstrengungen, um die Vorfälle unverzüglich zum nächstmöglichen Zeitpunkt zu beseitigen. Unabhängig von der Wiederherstellungszeit verpflichtet sich der Auftragnehmer die Störungen unverzüglich zu beseitigen. Der Auftragnehmer führt regelmäßige Datensicherungen durch und beschreibt Häufigkeit, Aufbewahrungsdauer, Speicherort und Verschlüsselung der Sicherungen. Die Wiederherstellbarkeit wird mindestens jährlich getestet und nachgewiesen. Die Sicherungen werden ausschließlich innerhalb des EWR gespeichert.

SL3: Performance Die Antwortzeit (Zeitspanne von dem Auslösen einer Benutzerinteraktion bis zur Darstellung der Ergebnisse im Onlinedialog) innerhalb der Systemgrenzen des Auftragnehmers (ab Übergabepunkt des Internetproviders) beträgt innerhalb einer Berichtsperiode für mindestens 85% aller Benutzerinteraktionen maximal 3 (drei) Sekunden. Hiervon ausgenommen sind sämtliche Benutzerinteraktionen, die unmittelbar oder mittelbar eine Verarbeitung durch ein Sprachmodell auslösen sowie der Upload und Download von Dokumenten.

24

[Seite 25]

Leistungsbeschreibung SaaS

Anforderungen an die TEST-Umgebung Die in den Kapiteln 6.5.1, 6.5.2 und 6.5.3 definierten Service-Level gelten nicht für die TEST- Umgebung. Der Auftragnehmer schuldet jedoch eine technische Konfiguration dieser Umgebung, sodass die unterbrechungsfreie und ordnungsgemäße Durchführung von Tests möglich ist. Insbesondere hat der Auftragnehmer die Verfügbarkeit der TEST-Umgebung während der Kernbetriebszeiten montags bis freitags von 07:00 bis 20:00 Uhr sicherzustellen. Der Zielwert für die Verfügbarkeit dieser Umgebung während der Kernbetriebszeiten liegt bei 98%. Diese Umgebung gilt als verfügbar, wenn die KfW die Tests im vorgesehenen funktionalen und nicht-funktionalen Umfang durchführen kann. Geplante Wartungsfenster während Kernbetriebszeiten, in denen das Testsystem von der KfW nicht genutzt werden kann, sind der KfW vom Auftragnehmer mit einer Vorlaufzeit von mindestens fünf (5) Werktagen mitzuteilen.

Folgen von Service Level Verstößen Bei Nichteinhaltung des für SL 1 definierten Zielwertes mindert sich für jeden beginnenden Ausfall-Prozentpunkt die für den Bezugszeitraum vereinbarte Pauschalvergütung, d.h. 1/12 der jährlichen SaaS-Pauschale gemäß Preisblatt, pauschal um 3%. Ab einer Verfügbarkeit von 75% oder weniger beträgt die pauschalisierte Minderung 100%. Für jeden Fall der Nichteinhaltung der für SL2 vereinbarten Zielwerte (Reaktionszeit oder Wiederherstellungszeit) schuldet der Auftragnehmer eine Vertragsstrafe in Höhe von EUR 500. Für jeden Fall der Nichteinhaltung der für SL 3 vereinbarten Zielwerte (Performance) schuldet der Auftragnehmer eine Vertragsstrafe in Höhe von EUR 100. Für die allgemeinen Bestimmungen über Vertragsstrafen gilt die Ziffer 31 der Allgemeinen Vertragsbedingungen.

25

[Seite 26]

Leistungsbeschreibung SaaS

SLA-Berichterstattung Der Auftragnehmer hat der KfW während der Vertragslaufzeit quartalsweise einen schriftlichen SLA-Bericht in elektronischer Form vorzulegen, der die in den nachfolgenden Abschnitten festgelegten Inhalte vollständig enthält: Vorfall:

• Vorfallsnummer
• Ticketerstellungszeit
• Schweregrad
• Beschreibung
• Aktueller Verarbeitungsstatus
• Ticketerstellungszeit
• Reaktionszeit

Verfügbarkeit:

• Umgebung
• Verfügbarkeit

Sicherheit:

• Identifikator der Sicherheitslücke
• CVSS-Score
• EPSS-Score
• Auflösungszeit

Performance:

• Durchschnittliche Antwortzeit Das Reporting umfasst zudem etwaig geschuldete Gutschriften, wobei diese alternativ in der Abrechnung ausgewiesen werden können. Die KfW hat an den Reports Rechte gemäß Ziffer 9.1. der BVB Cloud, wobei die Nutzungsrechte zeitlich nicht beschränkt sind.

26

[Seite 27]

Leistungsbeschreibung SaaS

7 Beratung zum Einsatz und zur Konfiguration der Software (Bedarfspositionen) Sofern nicht an anderer Stelle in dieser Leistungsbeschreibung vereinbart, hat der Auftragnehmer auf Anforderung der KfW insbesondere folgende Leistungen zu erbringen. Die nachfolgend beschriebenen Leistungen können im Vertragszeitraum abrufweise beauftragt werden:

• Beratung zu Konfiguration und Customizing, • Beratung zur Anbindung weiterer Quelldaten, • Beratung zu Prozessentwurf und -optimierung in Verbindung mit dem Softwareeinsatz, • Konzeption und Umsetzung KfW-/kundenspezifischer Anpassungen an der vertragsgegenständlichen Software durch Konfiguration und Customizing, • Konzeption und Umsetzung KfW-/kundenspezifischer Anbindung weiterer Quelldaten und/oder • Konzeption und Umsetzung von Workflowanpassungen in der Software.

Nicht Gegenstand von Bedarfspositionen sind reine Leistungen des operativen SaaS-Betriebs, die abschließend geregelt sind. Soweit Anpassungen im Rahmen des Betriebs erforderlich sind, gelten die Regelungen dieses Kapitels nur, wenn die KfW dies ausdrücklich als Leistungen im Sinne von Kapitel 7 beauftragt. Der Abrufumfang ist insgesamt auf maximal 100 Personentage pro Jahr begrenzt. Ein Abruf erfolgt ausschließlich, wenn ein konkreter Bedarf vorliegt, der sich aus nachfolgenden Gründen ergibt:

• konkrete Erweiterungs-/Optimierungsziele der KfW im Zusammenhang mit der vertragsgegenständlichen Software und/oder • fachliche, betriebliche, technische oder regulatorische Anpassungserfordernisse.

Der Auftragnehmer ist zur Leistungserbringung nur verpflichtet, wenn der Bedarf in einem schriftlichen Leistungsabruf spezifiziert wird.“ Der Auftragnehmer muss für seine Leistungserbringung Personen mit den für die rechtzeitige, effiziente und kompetente Ausführung der Aufgabe erforderlichen Qualifikationen und Fähigkeiten einsetzen. Die im Kapitel 5.6 aufgeführten Rollen werden von der KfW zum Zweck der Vergütung definiert und entsprechen nicht unbedingt den Rollenbezeichnungen des Auftragnehmers. Der Auftragnehmer darf nur Personen zur Leistungserbringung einsetzen, die mindestens die im Kapitel 5.6 für jede Rolle aufgeführten Qualifikationen besitzen. Der Auftragnehmer muss angemessene Vorkehrungen treffen, um eine ordnungsgemäße Leistungserbringung bei kurzfristigen Änderungen und bei einer Erhöhung des für die Leistungserbringung erforderlichen Personaleinsatzes zu gewährleisten. Der Einsatz mehrerer Personen zur Abdeckung der Leistungen ist möglich (z. B. Tandem- oder Ersatzmodell) und wird gefördert. Die KfW wird Bedarfspositionen gesondert in Schriftform beauftragen und marktübliche Fristen für die Bereitstellung von Personen gewähren. Die Vergütung richtet sich nach den im Rahmen dieses Vergabeverfahren rollenspezifisch vereinbarten Preisen. Der Leistungsabruf enthält mindestens:

• Ziel/Problemstellung, • betroffener Softwarebereich/Scope, • erwartetes Ergebnis/Deliverables, • erforderliche Rollen,

27

[Seite 28]

Leistungsbeschreibung SaaS

• geschätzter Leistungsumfang (Personentage) und • Terminvorgaben.

Die im Leistungsabruf benannten Rollen sind durch den Auftragnehmer mit Personal zu besetzen, das die jeweils in Kap. 5.6 definierten rollenspezifischen Qualifikationsanforderungen nachweislich erfüllen. Abweichungen bedürfen der vorherigen Zustimmung der KfW.

28

[Seite 29]

Leistungsbeschreibung SaaS

8 Besprechungen

Der Auftragnehmer schuldet die Erfüllung der Anforderungen des nachfolgend beschriebenen Governance-Modells ohne gesonderte Vergütung. Dazu gehören regelmäßige Besprechungen zur Erörterung der Leistung. Für die Vertragslaufzeit hat der Auftragnehmer der KfW einen zentralen Ansprechpartner (Hauptansprechpartner) für übergreifende Themen, organisatorische Abläufe und Rückfragen zur Verfügung zu stellen. Bei Abwesenheit ist ein Stellvertreter zu benennen.

Der zentrale Ansprechpartner muss mit entsprechenden Kompetenzen ausgestattet sein, um die KfW und ihre Mitarbeiter proaktiv in allen Themen zu unterstützen und Entscheidungen über die Zusammenarbeit zu treffen. Der zentrale Ansprechpartner hat in regelmäßigen Abständen, mindestens vierteljährlich (sofern nichts anderes vereinbart), eine Besprechung (virtuell, telefonisch oder persönlich vor Ort in Frankfurt) zur Überprüfung der Leistungserbringung mit der KfW durchzuführen. Neben den regelmäßigen Treffen muss der Ansprechpartner auch ad hoc für Rückfragen, aktuelle Themen oder Fragen zur Verfügung stehen.

Der Auftragnehmer schuldet die Vorbereitung, Durchführung, Teilnahme und ggf. auch die Protokollierung von regelmäßigen Treffen sowohl auf operativer als auch auf Governance- Ebene. Die Sitzungen müssen in der Regel im Rahmen einer von der KfW initiierten Videokonferenz (derzeit WebEx) und ausnahmsweise vor Ort bei der KfW am Standort Frankfurt am Main stattfinden. Diese sind:

(i) Governance Meetings während der Betriebsphase: Während der Betriebsphase müssen der Auftragnehmer und die KfW mindestens vierteljährliche Service Review Meetings durchführen, um die allgemeine und SLA Performance zu besprechen. Darüber hinaus kann die KfW jederzeit themenbezogene Treffen oder eine direkte Kommunikation zwischen den Parteien verlangen. Die Tagesordnungspunkte müssen unter anderem Folgendes umfassen: • SLAs/Serviceunterbrechungen • Risikorelevante Vorfälle (Datenschutz, Informationssicherheit, Betriebsrisiko) • Subdienstleister • Prüfungen/Audits beim Dienstleister • Kontrolltätigkeiten durch KfW/Prüfungen vor Ort • Notfallplanung • Berechtigungsverwaltung • Änderungen der KfW-Vorgaben für den Dienstleister • Wartung/Patches • Personalbezogene Themen • Allgemeine und Fach-/Sachfragen Die Ergebnisse der Governance-Meetings sind vom Auftragnehmerin Form von Protokollen festzuhalten und den Teilnehmern zur Genehmigung zuzuleiten. Der Auftragnehmer hat ein von der KfW zur Verfügung gestelltes Template zu verwenden, das die KfW zur Verfügung stellen muss.

29

[Seite 30]

Leistungsbeschreibung SaaS

9 Beendigungsunterstützung

Der Auftragnehmer verfügt über ein dokumentiertes Exit- und Rückführungskonzept, das insbesondere die Datenportabilität in gängigen offenen und maschinenlesbaren Formaten, die vollständige Löschung der im Rahmen der Leistungserbringung verarbeiteten Daten nach Beendigung der Leistungserbringung, die Unterstützung des Auftraggebers beim Übergang zu einem Nachfolgesystem sowie definierte Fristen und Verantwortlichkeiten umfasst. Die Lösung unterstützt offene Standards und den Export der Daten und Datenstrukturen in gängigen Formaten. Der Auftragnehmer stellt der KfW bei Vertragsbeendigung sämtliche verarbeiteten Daten in einem gängigen, maschinenlesbaren und dokumentierten Format innerhalb einer definierten Frist zur Verfügung und weist die anschließende vollständige Löschung einschließlich der Sicherungen schriftlich nach.

30