Leistungsbeschreibung.pdf

Ausschreibung zur Auswahl eines

IT-Managed Service Providers (MSP)

Inhalt

1 Auftraggeber ..................................................................................................... 3

2 Hintergrund und Projektziel ................................................................................ 4

2.1 Zielbetriebsmodell und Verantwortlichkeiten ................................................ 4

2.1.1 Zielbetriebsmodell ............................................................................... 4

2.1.2 Rolle der Managed Service Provider ...................................................... 5

2.1.3 Leistungen der Encevo-Gruppe und Konzernfunktionen ......................... 5

2.1.4 Drittanbieter und Multi-Provider-Umfeld ................................................ 6

2.1.5 Service Ownership und Verantwortlichkeiten ......................................... 6

2.1.6 Räumliche Anforderungen an die Leistungserbringung ........................... 6

2.1.7 Anforderungen an die Unterauftragsvergabe bei der Leistungserbringung 7

2.2 Ausgangsbasis für Transition und Betriebsübernahme .................................. 7

2.2.1 Zielbild der Transition ........................................................................... 7

2.2.2 Transition Baseline .............................................................................. 8

2.2.3 Fortschreibung der Transition Baseline .................................................. 9

3 Regulatorischer und normativer Rahmen ............................................................ 9

3.1 Regulatorische Baseline ............................................................................. 9

3.1.1 Gesetzliche und regulatorische Anforderungen .................................... 10

3.1.2 Normen, Standards und bewährte Verfahren ....................................... 10

3.2 Grundsätze der Leistungserbringung .......................................................... 10

3.3 Vorrang der regulatorischen Anforderungen ................................................ 11

3.4 Zukünftige Weiterentwicklung ................................................................... 11

4 Gegenstand der Beauftragung .......................................................................... 11

4.1 Verantwortungsmatrix ............................................................................... 11

4.2 Los 01 – MSP-Service-Betrieb, Steuerung & IT-Beratung ............................... 14

4.2.1 L01M01 – Governance & Management ................................................ 15

4.2.2 L01M02 – Cyber Detection & Response ............................................... 15

4.2.3 L01M03 – Application Management .................................................... 16

4.2.4 L01M04 – Application Management – Energiewirtschaftsspezifisch ....... 16

1/22

4.2.5 L01M05 – IT-Service Management ....................................................... 16

4.2.6 L01M06 – Training .............................................................................. 17

4.2.7 L01M07 – Strategic Technology Enablement ........................................ 17

4.2.8 L01M08 – Integrated Governance & Performance ................................. 17

4.2.9 L01M09 – Souveränitäts-Management ................................................. 17

4.2.10 L01M10 Rahmenvertrag Beratungsleistungen ...................................... 18

4.3 L02 – MSP-Infrastruktur & Vor-Ort Betrieb ................................................... 18

4.3.1 L02M01 – IT-Operations ...................................................................... 18

4.3.2 L02M02 – IT-Infrastructure .................................................................. 18

5 Betriebsübergang und Transition ...................................................................... 19

6 Verfahrensablauf und Wertungskriterien ........................................................... 20

6.1 Gegenstand und Ablauf des Vergabeverfahrens. ......................................... 20

6.2 Teilnahmewettbewerb .............................................................................. 21

6.3 Angebotsphase ........................................................................................ 21

6.3.1 Erfüllungsgrad Qualitätskriterien für die fachlich-technische Leistungsfähigkeit ........................................................................................... 21

6.3.2 Bieterpräsentationen ......................................................................... 21

6.3.3 Vollständige Bewertungsmatrix ........................................................... 22

2/22

1 Auftraggeber

Die ENCEVO Deutschland GmbH (im Weiteren: ENCEVO) beschafft Transitions-, Be- triebs- und Beratungsleistungen für die deutschen Landesgesellschaften des luxembur- gischen Energiekonzerns Encevo S.A., namentlich Enovos, Creos und Teseos. ENCEVO ist die deutsche strategische und operative Dachgesellschaft mit Sitz in Saarbrücken und bündelt die gesamten Konzernaktivitäten in Deutschland, mit Schwerpunkt im Saarland und Rheinland-Pfalz.

Die Enovos hat die Aufgabe der Erzeugung von und der Versorgung mit grüner Energie. Hierzu gehören:

• Enovos Energie Deutschland GmbH: Vertrieb von Strom und Gas an Industrie, Stadtwerke und Filialisten mit dem Fokus auf grüner Energie • Enovos Renewables GmbH: Planung, Bau und Betrieb von Erneuerbare-Ener- gien-Anlagen • WES Green GmbH: Projektierung von PV-Freiflächenanlagen • Enovos Renewables O&M GmbH: Technische Betriebsführung bei Erneuerbare- Energien-Anlagen • Enovos Storage GmbH: Speicher von Gas im eigenen Speicher in Frankenthal

Die Creos verantwortet das Strom-, Gas- und Wasserstoffnetz sowie damit verbundene und energienetznahe Dienstleistungen. Hierzu gehören:

• Creos Deutschland GmbH: Management von eigenen Energienetzen zur Versor- gung von mehr als zwei Millionen Menschen im Saarland und in Rheinland-Pfalz mit Strom und Gas • Creos Deutschland Services GmbH: Energienetznahe Dienstleistungen für Stadtwerke, Industrie und Verbände im südwestdeutschen Raum • Creos Deutschland Wasserstoffgesellschaft mbH: Projektgesellschaft zur Um- setzung des grenzüberschreitenden Wasserstoffprojektes mosaHYc.

Die Teseos bietet mit ihren Tochterunternehmen ein Portfolio energietechnischer Dienst- leistungen entlang der gesamten Wertschöpfungskette an. Hierzu gehören:

• Wieland & Schultz Neustadt GmbH: Elektro-, Gebäude- und Systemtechnik für Industrie- und Gewerbekunden sowie öffentliche Auftraggeber • Wieland & Schultz Kaiserslautern GmbH: Elektro-, Gebäude- und Systemtech- nik für Industrie- und Gewerbekunden sowie öffentliche Auftraggeber • Libertas Energy GmbH: Ganzheitliche Energielösungen mit Photovoltaik, Wärme- und Speichertechnik für private, gewerbliche und öffentliche Kunden • Global Facilities Deutschland GmbH: Facility Management mit technischem Be- trieb und Wartung

3/22

Die Encevo-Gruppe unterliegt regulatorischen Anforderungen, u.a. NIS-2, KRITIS, EnWG sowie DSGVO. Die Creos Deutschland GmbH und die Enovos Renewables O&M sind ge- mäß der KRITIS-Verordnung als Betreiber kritischer Infrastrukturen eingestuft. Die Encevo Deutschland GmbH, die Creos Deutschland GmbH und die Enovos Energie Deutschland GmbH und die Enovos Renewables O&M GmbH sind gemäß dem NIS-2UmsuCG als be- sonders wichtige Einrichtungen eingestuft.

2 Hintergrund und Projektziel

ENCEVO beabsichtigt, wesentliche Teile des IT-Betriebs an Managed Service Provider (MSP) über die Ausschreibung von zwei Losen auszulagern. Aktuell werden Leistungen durch verschiedene Dienstleister oder die ENCEVO-IT selbst erbracht. Die MSP sollen diese Leistungen strukturiert im Rahmen eines geordneten Betriebsübergangs überneh- men. Sie sollen diese Transformation aktiv begleiten und mittel- bis langfristig als strate- gische Betriebspartner agieren. Darüber hinaus soll der MSP aus Los 1 über eine Rahmen- vereinbarung damit zusammenhängende Beratungsleistungen übernehmen. Die Ver- tragslaufzeit beträgt für beide Lose drei Jahre mit einer zweimaligen Verlängerungsoption um drei Jahre. Die Steuerung- und Compliance-Verantwortung verbleibt vollständig bei ENCEVO. Die MSP agieren als ausführende Dienstleister auf Weisung von ENCEVO.

Strategische Ziele umfassen u.a.

• die Orchestrierung der IT-Dienstleistungslandschaft durch einen verantwortlichen MSP, • die sichere und zukunftsfähige Weiterentwicklung der IT-Infrastruktur und den si- cheren Betrieb der Applikationen sowie deren Orchestrierung, • die Sicherstellung der gesetzlichen Compliance (u.a. NIS-2, KRITIS, CER, DSGVO, EnWG, CRA, EU AI Act), • die Evaluierung und ggf. Nutzung der Optimierungsmöglichkeiten eines SaaS- First-Modells mit Zero-Trust- und Defence-in-Depth-Architektur.

2.1 Zielbetriebsmodell und Verantwortlichkeiten

2.1.1 Zielbetriebsmodell

ENCEVO verfolgt ein hybrides Betriebsmodell, bei dem strategische Steuerungs-, Gover- nance- und Kontrollaufgaben beim Auftraggeber verbleiben und operative Betriebsleis- tungen durch die MSP erbracht werden.

Die Auftragnehmer übernehmen die operative Verantwortung für die im Rahmen dieser Ausschreibung definierten Leistungen. Die fachliche, regulatorische und wirtschaftliche Gesamtverantwortung verbleibt jederzeit beim Auftraggeber.

4/22

Dabei ist zu berücksichtigen, dass Leistungen innerhalb der Encevo-Gruppe, beste- hende Drittanbieterleistungen sowie Konzernvorgaben weiterhin Bestandteil des zukünf- tigen Betriebsmodells sein können. Das Zielbetriebsmodell basiert auf den Prinzipien:

• Klare Trennung von Steuerung und Betrieb • Nachvollziehbare Verantwortlichkeiten • Unterstützung regulatorischer Anforderungen • Vermeidung von Hersteller- und Providerabhängigkeiten • Sicherstellung eines geordneten Providerwechsels • Förderung digitaler Souveränität

2.1.2 Rolle der Managed Service Provider

Die MSP übernehmen die operative Leistungserbringung für die ausgeschriebenen Leis- tungen sowie die dafür erforderlichen Betriebs-, Unterstützungs-, Dokumentations- und Berichtspflichten. Dies umfasst insbesondere:

• Betrieb der beauftragten Services • Service Management • Betrieb des IAM in Abstimmung mit Konzernstrategien und -lösungen • Incident-, Problem- und Change-Management • Technische Betriebssteuerung • Umsetzung von Sicherheitsmaßnahmen • Unterstützungsleistungen bei Audits und Prüfungen • Unterstützung regulatorischer Nachweispflichten • Durchführung von Transition- und Transformationsleistungen • Bereitstellung vereinbarter Reports und Kennzahlen

Die Auftragnehmer handeln im Rahmen der vom Auftraggeber vorgegebenen Gover- nance-, Sicherheits- und Compliance-Anforderungen.

2.1.3 Leistungen der Encevo-Gruppe und Konzernfunktionen

Bestimmte Leistungen werden weiterhin durch Gesellschaften der Encevo-Gruppe oder durch zentrale Konzernfunktionen erbracht. Hierzu gehören insbesondere:

• Konzernweite Governance- und Compliance-Funktionen • Konzernweite Vorgaben für Informationssicherheit • Vorgaben für die gruppenweite Architektur- und Technologiestandards • Konzernübergreifende Plattformen und Services • Zentrale Beschaffungs- und Providerprozesse

Die Auftragnehmer haben diese Vorgaben und Abhängigkeiten in ihrer Leistungserbrin- gung zu berücksichtigen.

5/22

2.1.4 Drittanbieter und Multi-Provider-Umfeld

Der zukünftige Betrieb erfolgt in einem Multi-Provider-Umfeld. Neben den MSP können weitere Dienstleister Leistungen für den Auftraggeber erbringen.

Hierzu zählen insbesondere:

• Hersteller und Softwareanbieter • Cloud-Provider • Telekommunikationsanbieter • Spezialdienstleister • Prüf- und Auditdienstleister • Dienstleister für Penetrationstests • Dienstleister für regulatorische Überwachung

Die Auftragnehmer sind verpflichtet, eine strukturierte Zusammenarbeit mit diesen Par- teien sicherzustellen und notwendige Abstimmungen sowie die Behebung von Eskalati- onen zu unterstützen.

2.1.5 Service Ownership und Verantwortlichkeiten

Die Service-Owner-Rolle verbleibt grundsätzlich beim Auftraggeber. Der Service Owner verantwortet insbesondere:

• fachliche Anforderungen • Priorisierung • Serviceziele • Budgetverantwortung • Risikoentscheidungen • Freigaben wesentlicher Änderungen

Die Auftragnehmer übernehmen die operative Verantwortung für die vereinbarten Leis- tungen und unterstützen die Service Owner durch geeignete Betriebs-, Planungs-, Re- porting- und Dokumentationsleistungen.

Die detaillierte Zuordnung von Rollen, Verantwortlichkeiten sowie Verantwortungsmatri- zen wird im Rahmen der Leistungserbringung gemeinsam mit dem Auftraggeber definiert und fortgeschrieben.

2.1.6 Räumliche Anforderungen an die Leistungserbringung

Es ist erforderlich, dass die Auftragnehmer über einen Unternehmenssitz innerhalb der Europäischen Union verfügen, definierte Vor-Ort-Leistungen und Verfügbarkeiten sind für Los 01 und Los 02 zu gewährleisten.

Im regulären Service sollen folgende Standorte Vor-Ort betreut werden:

• Saarbrücken: Am Halberg 3, 66121 Saarbrücken

6/22

• Homburg: Am Zunderbaum 9, 66424 Homburg • Völklingen: Vorderster Berg 24, 66333 Völklingen • Saarbrücken: St. Johanner Straße 101–105, 66115 Saarbrücken • Berlin: Stralauer Platz 33–34, 10243 Berlin • Waghäusel: Schwetzinger Straße 22–26, 68753 Waghäusel • Wiesbaden: Bahnhofstraße 15–17, 65185 Wiesbaden • Föhren: Europa-Allee 6, 54343 Föhren • Frankenthal: Im Spitzenbusch 11, 67227 Frankenthal • Neustadt an der Weinstraße: Theodor-Haubach-Straße 12, 67433 Neustadt an der Weinstraße • Rodenbach: Am Tränkwald 33, 67688 Rodenbach • Großraum Saarbrücken

Ferner ist es für Los 01 erforderlich, dass der Auftragnehmer im Krisen- und Disaster- Recovery-Fall in der Lage ist, innerhalb von zwei Stunden an den nachfolgenden Stand- orten der Encevo-Gruppe vor Ort zu sein. Die Vor-Ort-Verfügbarkeit bei Krisen- und Di- saster-Recovery-Fällen betrifft folgende Standorte:

• Saarbrücken: Am Halberg 3, 66121 Saarbrücken • Homburg: Am Zunderbaum 9, 66424 Homburg • Völklingen: Vorderster Berg 24, 66333 Völklingen • Saarbrücken: St. Johanner Straße 101–105, 66115 Saarbrücken

2.1.7 Anforderungen an die Unterauftragsvergabe bei der Leistungserbrin- gung

In Los 01 und Los 02 ist eine Unterauftragsvergabe gestattet. Für Los 1 gelten dabei je- doch folgende Einschränkungen. Vom Bieter selbst erbracht werden müssen mindes- tens die Module:

• L01M01 – Governance & Management – • L01M02 – Cyber Detection & Response – • L01M05 – IT-Service Management – • L01M07 – Strategic Technology Enablement – • L01M08 – Integrated Governance & Performance – • L01M09 – Souveränitäts-Management – • L01M10 – Rahmenvertrag Beratungsleistungen –

2.2 Ausgangsbasis für Transition und Betriebsübernahme

2.2.1 Zielbild der Transition

Ziel des Betriebsübergangs ist die strukturierte, nachvollziehbare und risikoarme Über- nahme der ausgeschriebenen Leistungen durch die zukünftigen Auftragnehmer. Hierfür stellt der Auftraggeber den qualifizierten Bietern im Verlauf des Vergabeverfahrens die

7/22

für die Angebotserstellung und die spätere Transition erforderlichen Informationen zur Verfügung, insbesondere bezüglich des aktuellen Betriebsumfangs, bestehender Ab- hängigkeiten sowie der organisatorischen und technischen Rahmenbedingungen des zukünftigen Zielbetriebsmodells.

2.2.2 Transition Baseline

Die Transition Baseline beschreibt den zum Zeitpunkt der Ausschreibung bekannten Ausgangszustand der zu übernehmenden Leistungen und bildet die Grundlage für die Planung, Kalkulation und Durchführung der Betriebsübernahme. Die Transition Baseline umfasst insbesondere:

• Organisations- und Betriebsinformationen o bestehende Betriebs- und Supportorganisationen o Rollen und Verantwortlichkeiten o Service-Owner-Strukturen o Governance- und Entscheidungsprozesse o Standorte und organisatorische Einheiten • Dokumentation und Wissensbasis o Betriebsdokumentationen o Architektur- und Systemdokumentationen o Prozessbeschreibungen o Servicebeschreibungen o Notfall- und Betriebshandbücher o vorhandene Audit- und Compliance-Dokumentationen • Systeme und technische Plattformen o Infrastrukturkomponenten o Netzwerk- und Kommunikationsdienste o Cloud- und Rechenzentrumsservices o Sicherheitsplattformen o Arbeitsplatz- und Kollaborationslösungen o zentrale Betriebs- und Managementsysteme • Applikationen und Fachverfahren o geschäftskritische Anwendungen ▪ SAP ERP, GIS (VertiGIS), MS Exchange, M365, DATEV o energiewirtschaftliche Fachanwendungen ▪ Belvis (Kisters), Robotron, cpX.Energy, RWIN o Integrationen und Datenaustauschbeziehungen ▪ Biztalk (Microsoft), ▪ Datenbanken (Oracle, SQL), ▪ RAIDA ▪ FileServer o Schnittstellen zu internen und externen Systemen

8/22

▪ EEX, SRM System, Konzern-SAP ▪ konzernweit bereitgestellte Anwendungen und Plattformen ▪ MS SharePoint, Citrix, Systeme zur Angriffserkennung, private Cloud-Lösungen ▪ Gebäudeleittechnik ▪ MDM Systeme ▪ ADFS ▪ PAM • Dienstleister- und Providerlandschaft o bestehende Managed-Service-Provider o Hersteller und Softwarelieferanten o Cloud-Service-Provider o Telekommunikationsanbieter o Betriebspartner innerhalb der Encevo-Gruppe o sonstige vertragsrelevante Dienstleister • Verträge und Abhängigkeiten o laufende Service- und Wartungsverträge o Lizenz- und Nutzungsmodelle o technische Abhängigkeiten o organisatorische Abhängigkeiten o regulatorische und vertragliche Verpflichtungen

2.2.3 Fortschreibung der Transition Baseline

Die im Vergabeverfahren bereitgestellten Informationen stellen eine Planungsgrundlage dar. Die Auftragnehmer haben im Rahmen der Transition die Vollständigkeit und Aktuali- tät der übernommenen Informationen gemeinsam mit dem Auftraggeber zu überprüfen und Abweichungen zu dokumentieren.

Ziel ist die Herstellung eines gemeinsamen, abgestimmten Betriebsbildes als Grundlage für die Betriebsübernahme, die Leistungserbringung sowie einen späteren Provider- wechsel.

3 Regulatorischer und normativer Rahmen

3.1 Regulatorische Baseline

Einige Gesellschaften der Encevo Deutschland Gruppe (siehe oben) sind als kritischer Infrastrukturbetreiber eingestuft und unterliegen zahlreichen gesetzlichen, regulatori- schen sowie unternehmensinternen Anforderungen. Diese Anforderungen bilden die verbindliche Grundlage für das zukünftige Betriebsmodell, die Leistungserbringung, die Governance-Strukturen, die Sicherheitsmaßnahmen, die Betriebsprozesse sowie die kontinuierliche Weiterentwicklung der IT-Landschaft. Die Berücksichtigung dieser

9/22

Anforderungen ist nicht auf einzelne Leistungsmodule beschränkt, sondern gilt grund- sätzlich für sämtliche im Rahmen dieser Ausschreibung zu erbringenden Leistungen.

Die Auftragnehmer sind verpflichtet, den Auftraggeber bei der Einhaltung der nachfol- genden Anforderungen im Rahmen seiner Leistungserbringung aktiv zu unterstützen und seine Leistungen entsprechend auszurichten.

3.1.1 Gesetzliche und regulatorische Anforderungen

Die Leistungserbringung hat insbesondere die folgenden regulatorischen Anforderungen zu berücksichtigen:

• Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersi- cherheitsniveau in der Union (NIS-2) • Vorgaben für Kritische Infrastrukturen (KRITIS) • CER-Richtlinie (EU 2022/2557) / KRITIS-Dachgesetz • Energiewirtschaftsgesetz (EnWG) • Datenschutz-Grundverordnung (DSGVO) • Cyber Resilience Act (CRA) • EU AI Act • IT-Sicherheitskatalog der Bundesnetzagentur • Weitere während der Vertragslaufzeit in Kraft tretende regulatorische Anforderun- gen mit Bezug zur Leistungserbringung

3.1.2 Normen, Standards und bewährte Verfahren

Die Leistungserbringung hat sich darüber hinaus an anerkannten Standards und Best Practices zu orientieren, insbesondere:

• ISO/IEC 27001 Informationssicherheitsmanagement • ISO/IEC 27019 Informationssicherheit für Energieversorger • ISO 22301 Business Continuity Management • BSI-Grundschutz • IEC 62443 für industrielle Kommunikationsnetze und Automatisierungssysteme • ITIL bzw. vergleichbare Service-Management-Standards • anerkannte Verfahren des Risiko-, Notfall- und Krisenmanagements

Gleichwertige oder weiterentwickelte Standards dürfen angewandt werden, soweit diese mindestens ein vergleichbares Schutzniveau gewährleisten.

3.2 Grundsätze der Leistungserbringung

Die Auftragnehmer haben ihre Leistungen so zu erbringen, dass die regulatorische Kon- formität, Nachweisfähigkeit, Auditierbarkeit und Prüfbarkeit jederzeit unterstützt wer- den. Hierzu gehören insbesondere:

• Unterstützung interner und externer Audits

10/22

• nachvollziehbare Dokumentation von Betriebs- und Sicherheitsmaßnahmen • Bereitstellung regulatorisch erforderlicher Nachweise • Einhaltung definierter Melde- und Eskalationsverfahren • Unterstützung von Risiko- und Compliance-Bewertungen • Berücksichtigung regulatorischer Anforderungen bei Architektur-, Betriebs- und Transformationsentscheidungen

Die Projektsprache ist, je nach Anforderung des Auftraggebers, in Deutsch oder Englisch zu erbringen.

3.3 Vorrang der regulatorischen Anforderungen

Sofern zwischen betrieblichen, technischen oder wirtschaftlichen Zielsetzungen und re- gulatorischen Anforderungen Zielkonflikte entstehen, haben die regulatorischen Anfor- derungen grundsätzlich Vorrang.

Die Auftragnehmer haben den Auftraggeber frühzeitig auf erkannte Risiken, Abweichun- gen, Compliance-Verstöße oder regulatorische Auswirkungen geplanter Änderungen hinzuweisen und geeignete Maßnahmen zur Risikominimierung vorzuschlagen.

3.4 Zukünftige Weiterentwicklung

Die regulatorischen Anforderungen, die Bedrohungslage sowie technologische Rahmen- bedingungen unterliegen einer kontinuierlichen Veränderung. Die Auftragnehmer haben daher sicherzustellen, dass Betriebsprozesse, Sicherheitsmaßnahmen, Dokumentatio- nen und Leistungsbestandteile regelmäßig überprüft und an veränderte regulatorische, technische und organisatorische Anforderungen angepasst werden.

4 Gegenstand der Beauftragung

Die Leistungen umfassen zwei Lose:

Los 1 (L01) MSP Betrieb, Steuerung & IT-Beratung 10 Module

Los 2 (L02) MSP Infrastruktur & Vor-Ort-Betrieb 2 Module

Eine Kombination zwischen den beiden Losen L01 und L02 ist möglich. Teilangebote auf einzelne Module innerhalb von L01 oder L02 sind nicht zulässig.

4.1 Verantwortungsmatrix

Rollen und Kurzbeschreibung:

11/22

Los 01 MSP ist Steuerer und Leistungserbringer zugleich. In der RACI-Matrix wurden zwei Spalten gewählt, um dies sichtbar und steuerbar zu machen.

1 RACI-Matrix: R = Responsible (Durchführend), A = Accountable (Rechenschaftspflichtig), C = Consulted (Beratend), I = Informed (Informiert)

12/22

13/22

4.2 Los 01 – MSP-Service-Betrieb, Steuerung & IT-Beratung

Los 01 umfasst den vollständigen IT-Managed-Service-Betrieb sowie Beratungsleistun- gen und ist in Leistungsmodule (M01 – M10) unterteilt. Der MSP übernimmt die Betriebs- verantwortung für die Module M01 – M09 als einheitliche Gesamtleistung sowie die Or- chestrierung der gesamten Applikationslandschaft über alle Marktrollen und Wertschöp- fungsstufen von ENCEVO und ihrer operativen Gesellschaften. Los 01 umfasst demnach die Übernahme, Steuerung, Erbringung und kontinuierliche Weiterentwicklung sämtli- cher ausgeschriebener IT-Managed-Services. Des Weiteren erbringt der MSP die in Modul M10 definierten IT-Beratungsleistungen zur Weiterentwicklung der IT-Infrastruktur und deren Betriebskonzepte sowie der Applikationslandschaft.

Der Auftragnehmer übernimmt als Lead Provider die operative Verantwortung für die be- auftragten Leistungen und stellt deren koordinierte, sichere, regulatorisch konforme und wirtschaftliche Erbringung über alle beauftragten Leistungsmodule hinweg sicher. Dabei fungiert der Auftragnehmer als zentraler Ansprechpartner für den Auftraggeber und über- nimmt die Steuerung der operativen Leistungserbringung sowie die Integration aller be- troffenen Servicebereiche. Die fachliche, strategische, regulatorische und wirtschaftliche Gesamtverantwortung verbleibt beim Auftraggeber.

Eigenverantwortung:

Der Auftragnehmer erbringt die ausgeschriebenen Leistungen eigenverantwortlich inner- halb der durch den Auftraggeber vorgegebenen Governance-, Sicherheits-, Compliance- und Betriebsanforderungen. Die fachliche, strategische, regulatorische und wirtschaftli- che Gesamtverantwortung verbleibt beim Auftraggeber.

Leistungspflichten:

Der Auftragnehmer stellt die ordnungsgemäße, sichere, wirtschaftliche und regulatorisch konforme Erbringung der beauftragten Leistungen sicher. Hierzu gehören insbesondere die operative Leistungserbringung, die Unterstützung definierter Governance-Prozesse, die Zusammenarbeit mit weiteren Dienstleistern sowie die Unterstützung von Audit-, Nachweis- und Compliance-Anforderungen.

Liefergegenstände:

Der Auftragnehmer stellt die für die Leistungserbringung erforderlichen Betriebs-, Steue- rungs-, Dokumentations-, Reporting-, Nachweis- und Übergabeergebnisse in

14/22

angemessener Qualität und Aktualität bereit. Umfang und Detaillierungsgrad werden zu Beginn der Angebotsphase konkretisiert.

Steuerungsmodell:

Die Leistungserbringung erfolgt im Rahmen eines durch den Auftraggeber vorgegebenen Governance- und Service-Management-Modells. Der Auftragnehmer arbeitet mit dem Auftraggeber, Konzernfunktionen sowie weiteren beauftragten Dienstleistern zusammen und unterstützt die koordinierte Steuerung, Transparenz und kontinuierliche Weiterent- wicklung der ausgeschriebenen Leistungen.

4.2.1 L01M01 – Governance & Management

Modul 01 bildet das zentrale Steuerungs- und Managementframework für die ausge- schriebenen Leistungen. Es stellt die koordinierte, transparente und regelkonforme Er- bringung aller Leistungen sicher und schafft die organisatorischen Voraussetzungen für Governance, Service Integration, Providersteuerung, Reporting, Transition sowie die Ein- haltung regulatorischer und vertraglicher Anforderungen. Das Modul bildet die Grundlage für die Zusammenarbeit zwischen Auftraggeber, Auftragnehmer und weiteren beteiligten Dienstleistern im zukünftigen Betriebsmodell. Hierbei sollen regulatorische Risiken be- reits im Governance-Prozess berücksichtigt sowie Audit- und Prüfungsanforderungen un- terstützt werden.

Es beinhaltet die Themenbereiche:

• Governance & Service Management • Project & Program Management Office (PMO) • Service Integration & Management (SIAM) • Asset & Configuration Management • Monitoring & Observability • Transition & Transformation Management

4.2.2 L01M02 – Cyber Detection & Response

Modul 02 stellt die Erkennung, Bewertung, Behandlung und Nachverfolgung von Cyber- Bedrohungen und Sicherheitsvorfällen sicher. Es unterstützt den Auftraggeber bei der Aufrechterhaltung eines angemessenen Sicherheits- und Resilienzniveaus, der Einhal- tung regulatorischer Anforderungen sowie der Erkennung und Bewältigung sicherheits- relevanter Ereignisse im zukünftigen Betriebsmodell.

Es beinhaltet die Themenbereiche:

• Cyber Defense & Security Operations (SOC) • Incident Management • Backup, Recovery & Resilience • Vulnerability & Exposure Management • Threat Intelligence & Threat Management

15/22

• Identity & Access Management (IAM)

Dabei ist es insbesondere erforderlich, dass der Auftragnehmer

• die Nachweisfähigkeit gegenüber internen und externen Prüfern unterstützt, • an Krisen- und Lagebesprechungen des Auftraggebers vor Ort teilnimmt, • Sicherheitsereignisse an definierte Melde- und Eskalationsprozesse des Auftrag- gebers anbindet.

4.2.3 L01M03 – Application Management

Modul 03 umfasst die Leistungen zum Betrieb, zur Betreuung und zur kontinuierlichen Weiterentwicklung des Anwendungsportfolios des Auftraggebers. Ziel ist die Sicherstel- lung eines stabilen, sicheren und regulatorisch konformen Anwendungsbetriebs sowie die nachhaltige Unterstützung der Geschäfts- und Unterstützungsprozesse über den ge- samten Lebenszyklus der Anwendungen.

Es beinhaltet die Themenbereiche:

• Collaboration Services • Cloud Services

Dabei ist es insbesondere erforderlich, dass der Auftragnehmer regulatorische Anforde- rungen aus NIS-2 und KRITIS berücksichtigt.

4.2.4 L01M04 – Application Management – Energiewirtschaftsspezifisch

Modul 04 koordiniert den Betrieb und umfasst die Betreuung und die Weiterentwicklung energiewirtschaftlicher Fachanwendungen und unterstützt die zuverlässige Durchfüh- rung geschäftskritischer Prozesse entlang der energiewirtschaftlichen Wertschöpfungs- kette. Ziel ist die Sicherstellung eines stabilen, regulatorisch konformen und zukunftsfä- higen Betriebs der für den Auftraggeber wesentlichen Fachsysteme.

4.2.5 L01M05 – IT-Service Management

Modul 05 umfasst die Leistungen zur Planung, Steuerung und kontinuierlichen Verbesse- rung der IT-Services des Auftraggebers. Ziel ist die Sicherstellung eines transparenten, ef- fizienten und regulatorisch konformen Servicebetriebs sowie die Gewährleistung von Ver- fügbarkeit, Leistungsfähigkeit und Kontinuität der bereitgestellten Services.

Es beinhaltet die Themenbereiche:

• IT-Service Management (ITSM) • Capacity & Availability Management • License & Software Asset Management

Dabei ist es insbesondere erforderlich, dass der Auftragnehmer Resilienzbewertungen für KRITIS-relevante Services durchführt.

16/22

4.2.6 L01M06 – Training

Modul 06 umfasst die Planung, Durchführung und kontinuierliche Weiterentwicklung von Schulungs- und Sensibilisierungsmaßnahmen. Ziel ist die Förderung eines nachhaltigen Verständnisses für Informationssicherheit, Compliance, regulatorische Anforderungen und die sichere Nutzung von IT-Services zur Unterstützung eines resilienten und regelkon- formen Betriebs.

4.2.7 L01M07 – Strategic Technology Enablement

Modul 07 umfasst Leistungen zur strategischen Weiterentwicklung der IT-Landschaft des Auftraggebers. Ziel ist die Unterstützung einer zukunftsfähigen, sicheren und regula- torisch konformen Technologie- und Architekturentwicklung unter Berücksichtigung ge- schäftlicher, technologischer und regulatorischer Anforderungen.

Es beinhaltet die Themenbereiche:

• Integration & API Management • Data & Analytics Services • Security Engineering & Architecture

Dabei ist es insbesondere erforderlich, dass der Auftragnehmer

• regulatorische Anforderungen aus EnWG berücksichtigt, • regulatorische Anforderungen aus KRITIS, NIS-2 und EnWG in Architekturentschei- dungen integriert.

4.2.8 L01M08 – Integrated Governance & Performance

Modul 08 umfasst die Erfassung, Konsolidierung und Bereitstellung von Leistungs-, Ri- siko- und Steuerungsinformationen. Ziel ist die Schaffung von Transparenz über die Leis- tungserbringung sowie die Unterstützung einer faktenbasierten Steuerung, Entschei- dungsfindung und kontinuierlichen Verbesserung der ausgeschriebenen Leistungen.

Dabei ist es insbesondere erforderlich, dass der Auftragnehmer

• Reports für KRITIS-Anforderungen unterstützt, • Reports für NIS-2-Anforderungen unterstützt, • Reports für EnWG-Anforderungen unterstützt.

4.2.9 L01M09 – Souveränitäts-Management

Modul 09 umfasst die Leistungen zur Sicherstellung der digitalen Souveränität des Auf- traggebers über die ausgeschriebenen IT-Services. Ziel ist die langfristige Sicherung von Transparenz, Wissen, Dokumentation und Steuerungsfähigkeit sowie die Unterstützung eines geordneten Providerwechsels und der nachhaltigen Unabhängigkeit von einzelnen Dienstleistern oder Technologien.

Es beinhaltet die Themenbereiche:

17/22

• Knowledge & Documentation Management • Exit Management & Provider Transition

Dabei ist es insbesondere erforderlich, dass der Auftragnehmer

• Dokumentationen unabhängig von Herstellerwerkzeugen nutzen kann, • Wissensbestände unabhängig vom Dienstleister nutzen kann, • Nachweise zur Dokumentationsvollständigkeit bereitstellen kann.

Sämtliche Dokumentationen, Betriebsinformationen, Konfigurationen, Wissensbe- stände und Nachweise sind dabei stets Eigentum des jeweiligen Auftraggebers.

4.2.10 L01M10 Rahmenvertrag Beratungsleistungen

Modul 10 umfasst einen Rahmenvertrag für Beratungsleistungen, der eine strukturierte und reibungslose Transition sowie eine stetige Weiterentwicklung und Optimierung der IT-Infrastruktur und der Applikationslandschaft entsprechend der gesetzlichen und gruppenspezifischen Regeln bzw. Richtlinien und Vorgaben im Live-Betrieb sicherstellt. Ziel ist die bedarfsgerechte Bereitstellung von Fach-, Technologie-, Architektur-, Gover- nance- und Transformationskompetenz zur Unterstützung strategischer, regulatorischer und betrieblicher Vorhaben.

4.3 L02 – MSP-Infrastruktur & Vor-Ort Betrieb

4.3.1 L02M01 – IT-Operations

Modul 01 umfasst die operativen Leistungen für die Bereitstellung, Verwaltung und den sicheren Betrieb der digitalen Arbeitsumgebung des Auftraggebers. Ziel ist die Sicherstel- lung einer standardisierten, leistungsfähigen und regulatorisch konformen Nutzung von Identitäten, Endgeräten sowie Kollaborationsdiensten zur Unterstützung der Geschäfts- prozesse und der organisatorischen Handlungsfähigkeit des Auftraggebers.

Es beinhaltet den Themenbereich End User Services & Workplace.

Dabei ist es insbesondere erforderlich, dass der Auftragnehmer regulatorische Anforde- rungen aus NIS-2 und KRITIS berücksichtigt.

4.3.2 L02M02 – IT-Infrastructure

Modul 02 umfasst die Leistungen für den Betrieb, die Bereitstellung und die Weiterent- wicklung der technischen Infrastruktur des Auftraggebers. Ziel ist die Sicherstellung einer sicheren, stabilen, skalierbaren und regulatorisch konformen Infrastruktur als Grundlage für den Betrieb der Geschäftsprozesse, Anwendungen und digitalen Services des Auftrag- gebers.

Es beinhaltet die Themenbereiche:

• Network Services • Data Center

18/22

• Plattform & Infrastructure Services

Dabei ist es insbesondere erforderlich, dass der Auftragnehmer

• regulatorische Anforderungen aus NIS-2 und KRITIS berücksichtigt, • Infrastrukturservices in das KRITIS-, NIS-2- und Audit-Reporting integriert.

5 Betriebsübergang und Transition

Der Betriebsübergang in den ausgeschriebenen Leistungen erfolgt strukturiert nach ei- nem Parallelbetriebsmodell. Die vollständige Betriebsübernahme ist für Q2 2028 geplant und muss ohne ungeplante Serviceunterbrechungen realisiert werden.

Ziel der Transition ist die geordnete und risikoarme Übernahme der ausgeschriebenen Leistungen unter Sicherstellung der Betriebsstabilität, Informationssicherheit, Compli- ance und Servicequalität.

Die für die Transition erforderlichen Informationen werden den qualifizierten Bietern im weiteren Verlauf des Vergabeverfahrens zur Verfügung gestellt. Hierzu gehören insbe- sondere Informationen zu bestehenden Services, Systemen, Anwendungen, Dokumen- tationen, Dienstleistern sowie organisatorischen und technischen Abhängigkeiten.

Maßnahmen-/ Zeitplanung – Los 01, Managed IT-Services & Steuerung, Betrieb, Module 01 bis 09

Maßnahmen-/ Zeitplanung – Los 01, Managed IT-Services & Steuerung, IT-Beratung, Modul 10

19/22

Maßnahmen-/ Zeitplanung – Los 02, Managed IT-Services, Vor-Ort-Betrieb

6 Verfahrensablauf und Wertungskriterien

6.1 Gegenstand und Ablauf des Vergabeverfahrens.

Das Vergabeverfahren hat folgenden Zeitplan:

1. Teilnahmewettbewerb (Teilnahmeantragsfrist): KW 38 – KW 42
2. Aufforderung zur Angebotsphase: KW 44
3. Angebotsphase mit Angebotsfrist (im Falle der Zustimmung der ausgewählten Bieter auf 15 Tage verkürzt): KW 44 – KW 46
4. Verhandlungsrunden: KW 49 – KW 02 mit Bieterpräsentationen: KW 49 – KW 51
5. Benachrichtigung der unterlegenen Bieter: KW 03
6. Zuschlagserteilung: KW 5

Der Auftraggeber behält sich vor, den vorgesehenen Zeitplan sowie einzelne Verfahrens- schritte im Rahmen der gesetzlichen Möglichkeiten anzupassen. Änderungen werden den Bewerbern bzw. Bietern rechtzeitig über die Vergabeplattform mitgeteilt.

20/22

6.2 Teilnahmewettbewerb

Im Rahmen des Teilnahmewettbewerbs wird die Eignung der Bewerber gemäß §§ 40 ff. SektVO geprüft. Die Eignungsprüfung umfasst insbesondere die wirtschaftliche und fi- nanzielle Leistungsfähigkeit sowie die technische und fachliche Leistungsfähigkeit der Bewerber.

Die Zahl der zur Angebotsabgabe aufzufordernden Bewerber ist in Los 01 auf fünf und in Los 02 auf drei begrenzt. Erfüllen mehr als fünf bzw. drei Bewerber sämtliche Eignungs- kriterien, erfolgt die Auswahl anhand des veröffentlichten Auswahlverfahrens.

Die fünf bestplatzierten Bewerber in Los 01 und die drei bestplatzierten Bewerber in Los 02 werden zur Abgabe eines Angebots aufgefordert.

6.3 Angebotsphase

Die ausgewählten Bewerber werden nach Abschluss des Teilnahmewettbewerbs zur Ab- gabe eines Angebots aufgefordert.

Der Auftraggeber kann sodann in Verhandlungen über die Angebote eintreten. Die Be- wertung der (finalen) Angebote erfolgt anhand der nachfolgenden Zuschlagskriterien:

Nr. Kriterium Gewichtung 1 Preis/ Kosten 25 % 1.1 Gesamtangebotspreis 25 % 2 Fachlich-technische Leistungsfähigkeit 60 % 2.1 Erfüllungsgrad fachlich-technische Leistungsfä- 30 % higkeit 2.2 Bieterpräsentationen 30 % 3 Qualifikation Personal 15 % 3.1 Berufserfahrung und persönliche Referenzprojekte 15 % des eingesetzten Schlüsselpersonals Gesamt 100 %

6.3.1 Erfüllungsgrad Qualitätskriterien für die fachlich-technische Leis- tungsfähigkeit

Zur Bewertung der fachlich-technischen Leistungsfähigkeit dient ein für die zur Ange- botsphase zugelassenen Bewerber bereitgestellter losspezifischer Katalog von Quali- tätskriterien (z.B. Service-Level-Anforderungen). Die vollständige Beschreibung dieses Wertungskriteriums erfolgt mit der Angebotsaufforderung.

6.3.2 Bieterpräsentationen

Es werden Bieterpräsentationen im Zeitraum der Kalenderwochen 49 bis 51 stattfinden. Diese müssen vom Projekt- und stellvertretenden Projektleiter sowie dem designierten Projekt-Kernteam (in Summe maximal sechs Personen je Bieter) präsentiert werden. In

21/22

den Präsentationen werden auf Basis eines Themen-/ Fragenkataloges folgende Katego- rien abgeprüft, die über eine Bewertungsmatrix kriterien-gestützt bewertet werden:

Die Bieterpräsentationen für das Los 01 werden einen Umfang von sechs Stunden, zzgl. Pausen, haben und in Saarbrücken in Präsenz stattfinden. Folgende Bewertungs-/ Be- wertungsunterkriterien werden angewendet:

1. Fachliche Kompetenz (Gewichtung: 35 %)
2. Projektplanung (Gewichtung: 15 %)
3. Persönliche Kompetenzen des designierten Projektteams (Gewichtung: 35 %)
4. Angebotspräsentation (Gewichtung: 15 %)

Die Bieterpräsentationen für das Los 02 werden einen Umfang von drei Stunden, zzgl. Pausen, haben und in Saarbrücken in Präsenz stattfinden. Folgende Bewertungs-/ Be- wertungsunterkriterien werden angewendet:

1. Fachliche Kompetenz (Gewichtung: 35 %)
2. Projektplanung (Gewichtung: 15 %)
3. Persönliche Kompetenzen des designierten Projektteams (Gewichtung: 35 %)
4. Angebotspräsentation (Gewichtung: 15 %)

6.3.3 Vollständige Bewertungsmatrix Die vollständige Bewertungsmatrix über alle Bewertungskriterien hinweg wird mit der Aufforderung zur Angebotsabgabe den in die Angebotsphase übernommenen Bewer- bern mitgeteilt.

22/22