[Seite 1]
Rechenzentrum
Ausschreibung
Rahmenvertrag
Greenbone Schwachstellenscanner
Teil 1
Allgemeine Hinweise
und
Leistungsbeschreibung
Ausschreibung: RZ26-00357
Ostfalia Hochschule für angewandte Wissenschaften – Hochschule Braunschweig/Wolfenbüttel Salzdahlumer Str. 46/48 • 38302 Wolfenbüttel www.ostfalia.de
[Seite 3]
1
Abschnitt A
Hinweise zu den Vergabeunterlagen und zum Verfahren
A.1. Einleitung
Die Rechenzentren der unter Punkt A.4. genannten Universitäten und Hochschulen betreiben jeweils eine Netzwerk-Infrastruktur für IT-Anwendungen und Applikationen in Lehre, Forschung und Verwal- tung.
Diese Datennetze mit ihren Subnetzen und die daran angeschlossenen Server und Rechner sind einer ständigen Bedrohung durch das Internet ausgesetzt: z. B. DoS-Attacken, Viren, Phishing, Bots, etc. Diese Bedrohungen werden durch den Einsatz von Firewall-Systemen im Netzwerkbereich als auch von auf den Rechnern installierten Virenscannern und lokalen Firewalls aufgefangen.
Eine weitere Bedrohungsebene stellen Sicherheitslücken (Schwachstellen, „vulnerabilities”) in der auf den Rechnern und Rechnersystemen eingesetzten Software (Betriebssysteme. Anwendungssoftware aber auch Firmware) dar. Um diese Bedrohungsebene zu behandeln, arbeiten die Ostfalia und die an anderen Einrichtungen seit vielen Jahren eng zusammen und setzen das freie Schwachstellen- managementsystem „OpenVAS“ und seit einiger Zeit auch die kostenfreie Version Greenbone OPENVAS Community ein.
Aufgrund der immer komplexeren Hard- und Software-Systeme stoßen die „kostenlosen“ Schwach- stellenmanagementsysteme mittlerweile an ihre Grenzen und bieten nicht die Funktionen, die zur ef- fektiven Erkennung von Schwachstellen nötig wären. Aus diesem Grund sehen sich die Ostfalia die anderen Einrichtungen gezwungen aufzurüsten und mit der kommerziellen Version von Greenbone OPENVAS ein leistungsfähiges Schwachstellenmanage- mentsystem einzusetzen, das der aktuellen Bedrohungslage die nötige Funktionalität und Leistungs- fähigkeit entgegen setzen kann.
Die Auswahl der Produkte des Anbieters Greenbone basiert auf einer langen und intensiven landesin- ternen Diskussion. Aus unterschiedlichen technischen und sicherheitsrelevanten Gründen hat die sich die LANIT-Arbeitsgruppe Informationssicherheit dafür ausgesprochen, eine einheitliche Lösung für alle Universitäten und Hochschulen in Niedersachsen - einige Universitäten haben bereits die kommerzi- elle Version von Greenbone OPENVAS im Einsatz (welche im Netzwerk dort hoch integriert ist) – zu wählen.
So bleibt die notwendige Kompatibilität im Falle von Angriffen sowie ein Erfahrungsaustausch über entsprechende Schwachstellen Universitäts- und Hochschulübergreifend gewährleistet. Unabhängig davon sind die Greenbone-Produkte ursprünglich vom Bundesamt für Sicherheit in der Informations- technik (BSI) mit entwickelt und gefördert worden und genießen entsprechend eine hohe Vertrauens- würdigkeit. Hinzu kommt, und das ist besonders im Hochschulkontext von Belang, die DSGVO- Konformität von OPENVAS sowie die ISO9001- und ISO27001-Zertifizierung der Firma Greenbone.
Die Mandantenfähigkeit von OPENVAS ermöglicht zudem den Einsatz in dezentralen Strukturen verschiedener Fakultäten. Im universitären Umfeld ist auch der Open-Source-Weg von Greenbone im Gegensatz zu Closed Source-Produkten ein weiterer wichtiger Aspekt, da alle niedersächsischen Universitäten und Hochschulen eine Open-Source-Strategie verfolgen. Dazu gehört auch, das der Betrieb von „Sicherheitssoftware“ – und dazu gehört ein Schwachstellenmanagementsystem – „on premise“ Betrieben werden kann, was alle Universitäten und Hochschulen als Kriterium setzen. Und nicht zuletzt unterstreicht die BSI-Partnerschaft zudem die Eignung für öffentliche Einrichtungen.
[Seite 4]
2
A.2. Ziel dieser Ausschreibung
Mit den in der Einleitung genannten Aspekten wird ein Auftragnehmer zur Lieferung und zur Unter- stützung der Universitäten und Hochschulen gesucht, der bei der Einführung des Schwachstellen- scanner-Systems Greenbone OPENVAS die jeweilige Einrichtung unterstützt sowie Beratung und Hilfestellung bei der Konfiguration des Schwachstellenscanners gibt, insbesondere bei der Adap- tierung des Systems an die jeweilige Netzwerkumgebung der Einrichtungen, damit das Schwach- stellenscanner-System mit hoher Erkennungssicherheit und Effizienz betrieben werden kann.
Hierfür soll ein Rahmenvertrag einerseits die entsprechende finanzielle Planungssicherheit gewähr- leisten und andererseits die erforderlichen Beschaffungsvorgänge für notwendige Hard- und Softwar- komponenten sowie damit in Zusammenhang stehenden Dienstleistungen erleichtern.
Der Rahmenvertrag wird mit einer Laufzeit von vier Jahren als offenes Verfahren (siehe A.5.3.) ausge- schrieben. Die Ostfalia Hochschule und die anderen Einrichtungen sind Bezugsberechtigte für Leis- tungen aus diesem Vertrag.
Der Auftragnehmer soll nach einer Einarbeitungszeit in die jeweiligen IT-Systeme und die Netzstruktu- ren der abrufberechtigten Einrichtungen bei der Einführung und Konfiguration des Schwachstellen- scanner-Systems unterstützen und das Personal in die Benutzung des Schwachstellenscanners ein- führen. Außerdem soll der Dienstleister bei Rückfragen zu Vorfällen, Problemen oder Konfigurationsänderun- gen zur Verfügung stehen und die Betreiber zu Änderungen der aktuellen Sicherheitslage, bezogen auf notwendige Änderungen an der Konfiguration des Schwachstellenscanners, beraten.
Die individuellen und besonderen Anforderungen der jeweiligen Einrichtungen mit mehreren Tausend Studierenden und mehreren Hundert Mitarbeitenden sind dabei zu berücksichtigen. Hierbei ist beson- ders die teilweise sehr starke Dezentralität der IT mit vielen Organisationseinheiten, die alle mehr oder weniger ausgeprägt eigene IT-Systeme betreiben, zu beachten. Daraus und aus den sehr diversen Anforderungen an die IT in den verschiedenen Organisationen, ergibt sich ebenfalls eine sehr große Diversität der eingesetzten Systeme. Diese Komplexität ist bei der Einführung zu berücksichtigen.
Die Beschaffung der Greenbone-Schwachstellenscanner-Komponenten und damit verbundener Leis- tungen regelt der abzuschließende Rahmenvertrag in Teil 2 dieser Unterlagen.
Eine Abnahmeverpflichtung bzw. Mindestabnahmemenge besteht nicht (§ 1 Ziff 1.2. und Ziff 1.3. des Rahmenvertrages).
A.3. Auftraggeber
A.3.1. Öffentlicher Auftraggeber
Öffentlicher Auftraggeber dieses Verfahrens (Vergabestelle) ist die
Ostfalia Hochschule für angewandte Wissenschaften
in Wolfenbüttel (Ostfalia).
[Seite 5]
3
A.3.2. Bezugsberechtigte
Die Ostfalia führt diese Ausschreibung für sich und zugleich für die 20 Universitäten, Hochschulen und wissenschaftlichen Einrichtungen in Niedersachen (Reihenfolge rein zufällig)
• Hochschule für Bildende Künste Braunschweig (HBK) • 3Landesmuseen Braunschweig • Universität Osnabrück • Stiftung Universität Hildesheim • Stiftung Tierärztliche Hochschule Hannover • Hochschule für angewandte Wissenschaft und Kunst Hildesheim/Holzminden/Göttingen (HAWK) • Universität Vechta • Hochschule Emden/Leer • Hochschule Osnabrück • Technische Universität Braunschweig • Technische Universität Clausthal • Gottfried Wilhelm Leibniz Universität Hannover • GWDG – Gesellschaft für wissenschaftliche Datenverarbeitung Göttingen mbH • Georg-August-Universität Göttingen • Hochschule für Musik, Theater und Medien Hannover • Carl von Ossietzky Universität Oldenburg • Jade-Hochschule • Leuphana Universität Lüneburg • Hochschule Hannover • Medizinische Hochschule Hannover
laut Anlage 1 des Rahmenvertrages als Bezugsberechtigte durch.
Sofern durch Strukturänderungen oder durch Ausgründungen weitere Einrichtungen der vorgenannten Bezugsberechtigten während der Vertragslaufzeit entstehen, können auch diese als Bezugsberechtig- te den vorliegenden Rahmenvertrag nutzen. Ebenfalls können Tochterunternehmen oder Einrichtun- gen, an denen die oder einer der Bezugsberechtigten beteiligt ist, in den Rahmenvertrag einbezogen werden.
Bestellungen von Komponenten und Leistungen (Abrufe) für die genannten Bezugsberechtigten erfol- gen direkt durch die jeweilige Einrichtung. Die Einrichtungen werden in diesem Fall unmittelbarer Auf- traggeber/Vertragspartner des Auftragnehmers.
[Seite 6]
4
A.4. Hinweise zum Verfahren
A.4.1. Ausschreibungsunterlagen
Die Ausschreibungsunterlagen zu diesem Verfahren umfassen die folgenden Teile:
Teil 1 Allgemeine Hinweise und Leistungsbeschreibung (dieses Dokument) Teil 2 Rahmenvertrag mit den in § 3 aufgeführten Anlagen Teil 3 Nachweis zur Eignung des Bieters Teil 4 Preisblatt Teil 5 Auswertungskriterien Teil 6 Eigenerklärungen Teil 7 Bewerbungsbedingungen für die Vergabe von Leistungen Teil 8 Zusätzliche Vertragsbedingungen des Landes Niedersachsen für die Ausführung von Lieferungen und Leistungen Teil 9 Angebotsschreiben
Enthalten die Vergabeunterlagen oder sonstigen Informationen (einschließlich der Antworten auf Bie- terfragen) Unklarheiten oder verstoßen diese nach Auffassung des Bieters gegen geltendes Recht, so ist der Bieter verpflichtet, den Auftraggeber hierauf unverzüglich über das Vergabeportal hinzuweisen. Anderenfalls kann er sich auf die Unklarheit oder den Rechtsverstoß nicht berufen. Fortbestehende Unklarheiten hat der Bieter als von ihm zu tragende Risiken zu übernehmen und in sein Angebot ein- zukalkulieren.
A.4.2. Nebenangebote und Änderungsvorschläge
Nebenangebote und Änderungsvorschläge sind nicht zugelassen.
A.4.3. Aufteilung der Leistung in Lose
Eine Aufteilung in Lose ist nicht vorgesehen.
A.4.4 Anzahl der Angebote
Bieter dürfen nur ein Angebot abgeben. Wird mehr als ein Angebot abgegeben, wird keines davon in die Wertung einbezogen.
A.4.5. Bieter
Der Auftragnehmer muss aufgrund seiner technischen, wirtschaftlichen und personellen Vorausset- zungen in der Lage sein, die geforderten Leistungen zu erbringen. Dazu sind die im Teil 3 und Teil 6 der Vergabeunterlagen geforderten Angaben und Erklärungen zur Beurteilung der Fachkunde, der Leistungsfähigkeit und der Zuverlässigkeit (Eignungsprüfung) des Bieters erforderlich und grundsätz- lich bis zum Ablauf der Angebotsfrist vorzulegen. Hierzu sind die Vordrucke auszufüllen, zu unter- zeichnen und soweit gefordert mit entsprechenden Unterlagen und Nachweisen zu ergänzen.
[Seite 7]
5
Sollten die vorstehend geforderten Angaben und Erklärungen unvollständig sein, behält sich der Auf- traggeber vor, sie im Rahmen der Angebotswertung mit kurzer Fristsetzung nachzufordern. Werden die betreffenden Angaben und Erklärungen innerhalb der Frist nicht vorgelegt, kann dies zum Aus- schluss des Angebots führen. Der Auftraggeber behält sich ferner vor, von den Bietern Nachweise (z.B. Bilanzen und Bescheinigungen) über die Richtigkeit ihrer Angaben und Erklärungen zu fordern.
A.4.6 Aufbau, Form und Inhalt des Angebotes
• Das Angebot ist komplett über das niedersächsische Vergabeportal einzureichen. • Das Angebot inkl. seiner Anlagen ist vollständig in deutscher Sprache zu erstellen. Begleitende Dokumente können in englischer Sprache beigelegt werden, so sie nicht für die Bewertung des Angebots notwendig sind. • Nachfolgende Unterlagen sind durch den Bieter einzureichen: Vollständig ausgefülltes und unterschriebenes Angebotsschreiben (Teil 9) ausgefüllte und unterschriebene Formulare zur Eignung (Teil 3) und die Eigenerklärun- gen (Teil 6), gemäß Ziffer A.4.5 das vollständig ausgefüllte und unterschriebene Preisblatt (Teil 4)
Änderungen und Ergänzungen der Vergabeunterlagen sind unzulässig. Stellt der Auftraggeber nach Unterzeichnung des Vertrages fest, dass vom Auftragnehmer Änderungen oder Ergänzungen in den Vergabeunterlagen vorgenommen wurden, ist der Auftraggeber berechtigt, den Vertrag aus wichtigem Grund ohne Einhaltung einer Frist schriftlich zu kündigen.
Der Bieter erklärt sich mit Abgabe des Angebotes bereit, im Bedarfsfall sein Angebot in angemesse- nem Umfang kostenfrei zu erläutern.
A.4.7. Preise - Preisblatt
Das Preisblatt (Teil 4) ist durch den Bieter in Bezug auf das Angebot vollständig auszufüllen. Alle ge- forderten Preisangaben sind auf der Grundlage dieser Vergabeunterlagen zu kalkulieren und in den entsprechenden Feldern verbindlich einzutragen. Preise sind netto in Euro (ohne Mehrwertsteuer) an- zugeben. Die Preise sind mit einer Zahlungsfrist von 30 Tagen und ohne Skonti zu kalkulieren. Das Preisblatt wird als Anlage 3 Bestandteil des Rahmenvertrags (§ 3).
A.4.8. Mengenabschätzung und Abrufvolumen Ein Abrufvolumen über die Laufzeit der nach diesem Vertrag vom Auftragnehmer zu erbringenden Leistungen kann nur schätzungsweise genannt werden, da das tatsächliche Volumen vom konkreten Bedarf des Auftraggebers und der weiteren Bezugsberechtigten abhängt.
Geschätztes Abrufvolumen über die Laufzeit des Rahmenvertrages: 7,2 Mio Euro bis 7,6 Mio Euro.
Als maximales Auftragsvolumen (EuGH-Urteil vom 17.06.2021 (C-23/20 – Simonsen & Weel)) wird ei- ne Summe von 11,4 Mio Euro vereinbart (§ 1.2. des Rahmenvertrages). Das Überschreiten des maxi- malen Auftragsvolumens führt dazu, dass der Rahmenvertrag seine Gültigkeit verliert (§ 4.6.).
[Seite 8]
6
A.4.8. Eignungs- und Wertungskriterien
Bei der Auswahl der Angebote, die für den Zuschlag in Betracht kommen, werden nur Bieter berück- sichtigt, die für die Erfüllung der vertraglichen Verpflichtungen die erforderliche Fachkunde und Leis- tungsfähigkeit besitzen und nicht nach §§ 123 und 124 GWB ausgeschlossen werden.
Die Eignung der Bieter wird anhand der in der Bekanntmachung zu dieser Ausschreibung und den in Ziffer A.4.5. und A.4.6. genannten Angaben und Nachweisen geprüft.
Die Auswertung der Angebote ist in Teil 5 dieser Unterlage beschrieben.
A.4.9. Vertraulichkeit
A.4.9.1. Allgemeines Der Auftraggeber sichert eine vertrauliche Behandlung der Angebote zu. Der Auftraggeber ist berech- tigt, Rechtsberater und andere Sachverständige zur Prüfung und Wertung der Angebote einzuschal- ten. Diese werden ebenfalls zur Vertraulichkeit verpflichtet, sofern sie nicht bereits berufsrechtlich zur Verschwiegenheit verpflichtet sind.
Unterlagen, die dem Bieter im Zusammenhang mit dem Vergabeverfahren überlassen werden, dürfen nicht ohne Zustimmung des Auftraggebers für andere Zwecke verwendet, vervielfältigt oder Dritten zu- gänglich gemacht werden.
A.4.9.2. Akteneinsicht im Nachprüfungsverfahren Die Bieter werden aufgefordert, in ihren Angeboten diejenigen Teile zu kennzeichnen, die als Ge- schäftsgeheimnisse anzusehen sind und daher im Fall eines etwaigen Nachprüfungsverfahrens den Verfahrensbeteiligten nicht zugänglich gemacht werden dürfen. In Ermangelung einer solchen Kenn- zeichnung geht der Auftraggeber von einer Zustimmung des Bieters zur Einsichtnahme aus.
[Seite 9]
7
Abschnitt B
Leistungsbeschreibung
Diese Leistungsbeschreibung wird als Anlage 2 Bestandteil des Rahmenvertrages (§ 3.1.)
B.1. Zu erbringende Leistungen
Wenn nicht anders festgelegt, ist die Sprache auf allen Ebenen Deutsch.
B.1.1. Beratung der Einrichtungen vor der Beschaffung, Angebot Entschließt sich eine abrufberechtigte Einrichtung, ein Greenbone-Schwachstelllenscanner-System einzusetzen, berät der Auftragnehmer im Rahmen der Angebotserstellung, wie das System auszule- gen und zu dimensionieren ist. Dazu stellt die abrufberechtigte Einrichtung die lokale Netzwerkstruk- tur, Größe, etc. dem Auftraggeber zur Verfügung. Der Auftragnehmer formuliert daraus ein schriftliches Angebot und berücksichtigt ggf. einen zusätzli- chen Projektrabatt nach § 7.3. des Rahmenvertrages oder auch Sonderpreise. Nimmt die abrufberechtigte Einrichtung das Angebot an und erteilt den Auftrag (Erteilung eine Abrufs, §§5.2d, 5.3 des Rahmenvertrages), wird sie direkter Vertragspartner des Auftragnehmers.
B.1.2. Grundsätzliche Anforderungen an das Schwachstelllenscanner-System
• Installation/Betrieb on premise auf vorhandener Hardware, VM oder Container • Betrieb on premise als Appliance-System • in der Cloud
B.1.3. Lieferung Der Auftragnehmer liefert nach Beauftragung durch die Abrufberechtige die Komponenten des Schwachstelllenscanner-Systems: • Hardware – wenn Appliance(s) bestellt • Software • Lizenzen • und alle dazugehörigen Dokumente (Handbücher, etc) • Die abrufberechtigte Einrichtung erhält direkten Zugang zum Support des Herstellers
Die Lieferung erfolgt jeweils frei Verwendungsstelle bei der Bezugsberechtigten bzw. an den durch die Bezugsberechtigte benannten Installationsort innerhalb ihres Verantwortungsbereichs im Gebiet der Bundesrepublik Deutschland.
B.1.4. Consulting Neben der Lieferung der Schwachstelllenscanner-Systeme muß der Auftragnehmer auch Consulting- und Unterstützungsleistungen anbieten, die die Abrufberechtigten je nach Bedarf separat beauftragen können. Es wird erwartet, dass der Auftragnehmer nur qualifiziertes Personal einsetzt. Siehe dazu auch B.1.6.2.
[Seite 10]
8
B.1.4.1 Consulting-Leistungen Zu den Consulting-Leistungen zählen
• Unterstützung bei der Planung des Einsatzes des Schwachstellenscanners • Beratung zur sinnvollen Platzierung der Analysepunkte im Netz • Unterstützung bei der Inbetriebnahme und des on boardings • Unterstützung bei der Implementierung und Pflege eines definierten Standard-Sets an geeigneten Konfigurationen zur Erkennung von Schwachstellen unter Berücksichtigung der vorhandenen Quellen, sowie das kontinuierliche Anpassen der implementierten Konfigurationen, Reports und Dashboards. • Bereitstellung und Integration konfigurierbarer Feeds für neue Erkennungmuster. • Unterstützung beim Ausrollen auf die gesamte Einrichtung • Unterstützung und Schulung/Training beim Betrieb des Schwachstellenscanners: ◦ Konfiguration ◦ Optimierung der Laufzeiten ◦ Best practices • Einführung geeigneter Prozesse beim Umgang mit Alarmen: ◦ Konfiguration von Alarmen ◦ Dashboards & Reports • Anbindung an ein SIEM/XDR-System • Unterstützung bei der Implementierung ggf. notwendiger Skripte zur Abfrage von Daten aus dem Schwachstellenscanner bzw. Import von Daten in den Schwachstellenscanner und Konfiguration des Schwachstellenscanner via API • Regelmäßige Plausibilitätsprüfung der Konfiguration/Regelsätze, um diese so effizient und sinnvoll wie möglich zu halten. • Unterstützung bei der Implementierung ggf. notwendiger Skripte zur Abfrage von Daten aus dem Schwachstellenscanner bzw. Import von Daten in den Schwachstellenscanner und Konfiguration des Schwachstellenscanner via API • usw.
Neben dem oben genannten Unterstützungsbedarf werden die Einrichtungen außerdem fachliche Un- terstützung bei akuten IT-Sicherheitsvorfällen in den folgenden Bereichen benötigen:
• Analyse der Meldungen aus dem Schwachstellenscanner • Feintuning der Konfiguration des Schwachstellenscanners • Regelmäßige Überprüfung des Regelwerks/der Konfiguration auf Sinnhaftigkeit
Der genaue Leistungsumfang wird durch die jeweiligen Bezugsberechtigten im Rahmen des Abrufs der Consulting- und Dienst-Leistungen mit dem Auftragnehmer abgesprochen und festgelegt.
B.1.4.2 Dokumentation Im Verlauf der Zusammenarbeit muss der Auftragnehmer Informationen bzw. Dokumentationen in der folgenden Weise zur Verfügung stellen:
• Nach Workshops, insbesondere in der Initialisierungsphase erstellt der Auftragnehmer eine Workshop-Dokumentation. • Wenn für die Sicherheit bestimmter IT-Systeme angebracht, liefert der Auftragnehmer Konfigu- rationsdokumentation(en). Ein geeignetes Verfahren ist mit der zuständigen Stelle der abrufen- den Einrichtung abzustimmen.
Die Dokumentation muss in Schriftform in digitalen Dokumenten (ODF, PDF) erfolgen. Bilder und schematische Darstellungen zur Veranschaulichung sind in die Dokumentation einzubinden und auf
[Seite 11]
9
Nachfrage als PNG-Datei zur Verfügung zu stellen. Entworfene Software ist im Quellcode-Format und
- sofern vorhanden - als Binärdatei zur Verfügung zu stellen.
B.1.5. Incidence Response Support / Analyse-Support Auf Anfrage unterstützt der Auftragnehmer die abruferechtigte Einrichtung bei der Analyse der Be- richte des Schwachstellenscanners und beim Vorfallmanagement durch Bereitstellung von quali- fizierten Experten für Analyse und Untersuchungen von Meldungen. Diese Experten unterstützen in Hinblick auf eine möglicherweise notwendige Untersuchung bei Anfangsverdachten und arbeiten der abrufberechtigten Einrichtung bei der Beseitigung der Schwachstellen zu.
B.1.6. Qualifikation
B.1.6.1. Qualifikation des Auftragnehmers Der Auftragnehmer muss eine umfassende Erfahrung im Einsatz und Betrieb von Greenbone- Schwachstellensanner-Systemen haben und seitens des Herstellers zertifiziert sein. Dabei wird besonderer Wert auf Erfahrung mit großen und nicht homogenen IT-Systemen mit vielen Beteiligten gelegt. Erfahrungen im Hochschulumfeld werden favorisiert.
B.1.6.2. Qualifikation der Consultants Vom Auftragnehmer wird erwartet, dass dieser nur erfahrenes und gut geschultes Personal als Mitar- beitende einsetzt. Die eingesetzten Beraterinnen und Berater müssen die vom Hersteller des Systems vorgesehenen Qualifizierungen und Schulungen absolviert haben und dies mit einem Zertifikat des Herstellers belegen können.
Mindestens eine Person, die im Projekt eingesetzt wird, muss über die höchste Zertifizierung des Her- stellers verfügen.
Die eingesetzten Berater und Beraterinnen, müssen mindestens an zwei, nachweislich erfolgreichen Projekten zur Implementierung und Inbetriebnahme einer vergleichbaren Lösung beteiligt gewesen sein. Ihr Anteil an der gesamten externen Beratungsleistung in diesen Projekten muss dabei jeweils bei mindestens 25% gelegen haben.
B.1.7. Rechtliches
B.1.7.1. Ort der Leistungserbringung Die Leistungserbringung erfolgt ausschließlich innerhalb der Bundesrepublik Deutschland.
B.1.7.2. Rechtliche Grundlagen Bei allen Arbeiten sind die einschlägigen geltenden Gesetze und Verordnungen zur Informations- sicherheit und Datenschutz mit in die Betrachtung aufzunehmen, u.a. der für Behörden maßgebliche BSI Grundschutz in der jeweils gültigen Fassung.
B.1.7.3. Auftragsdatenverarbeitung Sofern eine abrufberechtige Einrichtung sich für die Greenbone OPENVAS Cloud-Lösung entscheidet, ist zwingend ein Auftragsdatenverarbeitungsvertrag (s. § 8.12 des Rahmenvertrages) abzuschließen. Ein Muster/Formulierungshilfe dazu findet sich in Anlage 9 des Rahmenvertrages.
[Seite 12]
10
B.1.8. Basis der Leistungserbringung Basis für die Leistungen ist der EVB-IT-Dienstvertrag (Rahmenvertrag § 3 Ziff h und Anlage 7). Die Leistungserbringung erfolgt ausschließlich innerhalb des Geltungsbereichs der EU-DSGVO.
Werden Leistungen vor Ort erbracht, so sind diese an den Tagen Montag bis Freitag im Zeitfenster von 07:00 Uhr bis 20:00 Uhr (Servicezeit) zu erbringen. Tätigkeiten außerhalb dieses Zeitraums sind im Einzelfall vorab schriftlich oder in Textform mit der beauftragenden bezugsberechtigten Einrichtung zu vereinbaren.
Innerhalb der Servicezeit dienen sämtliche Tätigkeiten ausschließlich der Erbringung der vereinbarten Dienstleistungen. Tätigkeiten, die anderen Zielen oder Dritten dienen, sind auf dem Gelände der Be- zugsberechtigten zu unterlassen oder im Vorfeld schriftlich oder in Textform zu vereinbaren.
Für Telefonate innerhalb Deutschlands, die zur Erfüllung der Dienstleistung notwendig sind, kann auf die Infrastruktur der Bezugsberechtigten zugegriffen werden. Des Weiteren kann auf die Infrastruktur der Bezugsberechtigten für Internetverbindungen, die zur Erfüllung der Dienstleistung notwendig sind, zugegriffen werden.
Notwendige Ressourcen wie Materialien, Geräte, Laptops, Unterlagen usw. sind zu stellen. Defekte Ressourcen oder Ressourcen, die während des Einsatzes einen Defekt erleiden, gehen nicht zu Las- ten der beauftragenden Bezugsberechtigten. Zeit und Aufwand für Reparatur oder Ersatzteilbeschaf- fung kann nicht in Rechnung gestellt werden. Zeiten zur Beschaffung von Ressourcen, die der Dienstleister zu stellen hat, gehen zu Lasten des Dienstleisters.
B.1.9. Vergütung In den im Preisblatt (Teil 4) im Abschnitt 3 vom Auftragnehmer anzugebenden Preisen für die Consul- ting- und Dienstleistungen müssen sämtliche Zuschläge und sämtliche weiteren Leistungen enthalten sein. Ein späteres in Rechnung stellen von Zuschlägen und weiteren Leistungen ist nicht möglich.
Dies betrifft unter anderem folgende Zuschläge bzw. Leistungen (die Liste ist nicht vollständig):
Überstunden Nachtzuschläge Spätzuschläge Reisekosten Zuschläge oder Kosten für Reisezeiten Kilometerpauschalen Spesen Kosten für Übernachtungen/Unterbringungen Telefonkosten Reparaturkosten für eigene Ressourcen
Zur Rechnungsstellung siehe B.3.
[Seite 13]
11
B.2. Preisbildung und Änderungen des Sortiments
B.2.1. Preiskalkulation
Die Preise für die Greenbone-Lizenzen sollen sich nach der Anzahl der Studierenden der abrufberech- tigten Einrichtung richten. Kleine Einrichtungen dürfen bei der Preiskalkulation nicht benachteiligt werden.Der Gesamtpreis steigt mit zunehmender Anzahl der Studierenden mit abnehmender Rate.
Die Preise müssen insgesamt so kalkuliert sein, dass sie für zunächst zwei Jahre festen Bestand haben (§ 7.1. des Rahmenvertrages). Zu Beginn des dritten Jahres hat der Auftragnehmer die Möglichkeit, die Preise nach oben anzu- passen, aber nicht um mehr als 10%. Diese Preise haben dann Bestand für das dritte und vierte Jahr der Rahmenvertragslaufzeit. Preissenkungen sind jederzeit möglich. (§ 7.2.)
Preisanpassungen sind mindestens zwei Wochen vor Inkrafttreten dem Auftraggeber bekannt zu machen und in einem aktualisierten Preisblatt mitzuteilen.
Daneben besteht die Möglichkeit, das Auftragnehmer und abrufberechtigte Einrichtung Projektpreise vereinbaren (§7.3.).
B.2.2. Änderungen des Sortiments Der Auftragnehmer hat Technologieveränderungen und Weiterentwicklungen im Sortiment zu berück- sichtigen (§10 des Rahmenvertrages).
Nimmt der Hersteller neue Produkte in das Sortiment auf bzw. nimmt Produkte aus dem Sortiment, ist der Auftraggeber entsprechend zu informieren und ihm ein aktualisiertes Preisblatt zu übermitteln. Die Informationsfrist beträgt bei entfallenden Produkten mindestens vier Wochen vor Entfall des Produkts. Die Information über neue Produkte ist unverzüglich nach Aufnahme in das Sortiment mitzuteilen.
´
[Seite 14]
12
B.3. Rechnungsstellung
B.3.1. Rechnungen • Alle Rechnungen haben den steuerrechtlichen Erfordernissen, insbesondere den Anforderun- gen des § 14 UstG zu entsprechen. • In Rechnungen sind Nettopreise aufzuführen. • Die Umsatzsteuer ist gesondert auszuweisen. • Die Rechnung muss daneben enthalten: ◦ die jeweilige Bestellnummer/Auftragskennzeichen („Kundenreferenz“) der bestellenden Einrichtung ◦ die E-Mail-Adresse und den/die Ansprechpartner*in der bestellenden Einrichtung ◦ die Zahlungsbedingungen ◦ Ferner das Rechnungsleitkriterium - sofern bei der Bestellung angegeben. • Die Vergütung ist nach mangelfreier Lieferung bzw. Leistungserbringung und Eingang einer ordnungsgemäßen Rechnung bei der bezugsberechtigten Einrichtungen innerhalb von 30 (dreißig) Tagen zur Zahlung fällig. • Benötigt die beauftragende Einrichtung eine elektronische Rechnung (Pflicht ab 2027), teilt die Einrichtung dem Auftragnehmer die Art der benötigten elektronischen Rechnung (X-Rechnung, ZUGFeRD) sowie die Parameter (Leitweg-ID und Rechnungsleitkriterium) mit.
B.3.2. Monitoring und Reporting Der Auftragnehmer ist verpflichtet, das Abrufvolumen fortlaufend zu überwachen und quartalsweise dem Auftraggeber in Textform mitzuteilen.