Leistungsbeschreibung_0_Übergreifende-Anforderungen-V1.1.pdf

[Seite 1]

Leistungsbeschreibung

Losübergreifende Anforderungen

Vergabenummer ekom21-2026-0004

ekom21 – KGRZ Hessen Carlo-Mierendorff-Straße 11 35398 Gießen

[Seite 2]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Änderungshistorie

11.09.2026 Seite II Version 1.1

[Seite 3]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Inhaltsverzeichnis

1 Ausgangslage .......................................................................................................... 1 1.1 Endkunden ...............................................................................................................................1 1.2 Standorte ..................................................................................................................................1 1.3 SD-WAN ....................................................................................................................................1 2 Allgemeine Anforderungen ................................................................................... 2 2.1 Informationssicherheit (losübergreifend)......................................................................2 2.1.1 Digitale X.509v3-Zertifikate ..................................................................................2 2.1.2 Sicherheit eingesetzter Kryptoverfahren .........................................................2 2.1.3 Management von Sicherheitsvorfällen .............................................................3 2.1.4 Schwachstellenmanagement ................................................................................3 2.1.5 Meldung von Sicherheitsvorfällen......................................................................3 2.1.6 Change- und Patch-Management .....................................................................3 2.1.7 ISMS des AUFTRAGNEHMERS .............................................................................4 2.1.8 Backups der Konfiguration ...................................................................................4 2.1.9 Authentifizierung und Autorisierung ................................................................5 2.2 Datensicherheit (losübergreifend) ...................................................................................6 2.2.1 Zugriff auf Informationen ......................................................................................6 2.2.2 Löschkonzept .............................................................................................................6 2.3 Hard- und Software-Anforderungen (losübergreifend) ..........................................7 2.4 Monitoring und Management (losübergreifend) .......................................................8 2.5 Lesender Zugang zu Komponenten (losübergreifend) ............................................8 2.6 Kalkulatorische Hinweise (Lose 1 und 2) .......................................................................9 3 Implementierung und Migration (losübergreifend) ........................................ 10 3.1 Implementierungsleistungen .......................................................................................... 10 3.1.1 Standortvernetzung .............................................................................................. 10 3.1.2 DDoS-Mitigation-Lösung ................................................................................... 11 3.1.3 Statelliteninternetanbindungen ....................................................................... 12 3.2 Migrationsleistungen ......................................................................................................... 12 3.3 Phasen der Leistungserbringung .................................................................................. 12 4 Wartung, Service und Instandhaltung ............................................................... 15 4.1 Allgemeines (losübergreifen) ......................................................................................... 15 4.2 Wartung ................................................................................................................................. 15 4.2.1 Wartungsarbeiten (Los 1 und Los 2) .............................................................. 15 4.2.2 Wartungsfenster (losübergreifen) ................................................................... 15 4.3 Leistungsanpassung (losübergreifen) .......................................................................... 15 4.4 Statusmeetings (Lose 1 und 2) ....................................................................................... 16 4.5 Statusreports (Lose 1 und 2) ........................................................................................... 16

11.09.2026 Seite III Version 1.1

[Seite 4]

ekom21 – KGRZ Hessen Leistungsbeschreibung

4.6 Service Level Manager (Lose 1 und 2) ......................................................................... 17 4.7 Software-Support (losübergreifen) .............................................................................. 17 4.8 Remote-Support / Fernwartungszugang (losübergreifen) .................................. 17 4.9 Pauschale Services und Wartungsleistungen (losübergreifen) .......................... 18 4.10 Beratungsdienstleistungen (Lose 1 und 2) ................................................................ 18 4.11 Ersatzteile (losübergreifen) .............................................................................................. 18 4.12 Service Desk (losübergreifen) ......................................................................................... 19 4.12.1 Leistungsumfang ................................................................................................... 19 4.12.2 Trouble Ticket System.......................................................................................... 19 4.13 Web-Plattform (losübergreifen) .................................................................................... 20 4.14 Personal und Qualifikation (losübergreifen) ............................................................. 20 4.15 Dokumentation (Lose 1 und 2) ...................................................................................... 21 5 Service-Level-Anforderungen (losübergreifend) ............................................. 23 5.1 Serviceparameter ................................................................................................................ 23 5.1.1 Systembetriebszeit ................................................................................................ 23 5.1.2 Serviceannahme ..................................................................................................... 23 5.1.3 Auftragsannahme .................................................................................................. 23 5.1.4 Servicebereitschaft ................................................................................................ 23 5.1.5 Reaktionszeit ........................................................................................................... 23 5.1.6 Wiederherstellungszeit ........................................................................................ 23 5.1.7 Zwischenmeldung ................................................................................................. 24 5.1.8 Standard-Wartungsfenster ................................................................................ 24 5.1.9 Ankündigungen von Standardwartungen bzw. Notfallwartungen ..... 24 5.1.10 Verfügbarkeit .......................................................................................................... 24 5.1.11 Festlegung der gewünschten Serviceparameter ........................................ 25 5.2 Proaktive Störungsinformationen ................................................................................. 25 5.3 Eskalation ............................................................................................................................... 25 5.4 Servicegutschriften ............................................................................................................. 25 5.4.1 Unterschreitung der Serviceverfügbarkeit ................................................... 26 5.4.2 Überschreitung der Reaktionszeit (Los 2) ..................................................... 26 5.4.3 Obergrenzen für Servicegutschriften ............................................................. 26

11.09.2026 Seite IV Version 1.1

[Seite 5]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Tabellenverzeichnis

Tabelle 1: Ausdrücke normativer Festlegungen gemäß RFC2119 ...................................... viii Tabelle 2: Eskalationsstufen ............................................................................................................... 25

Index der A-Kriterien

A.Ü.1 Geplante Wartungsarbeiten ................................................................................................... 15

Index der B-Kriterien

B.Ü.1 Nachweisbare Umsetzung des ISMS ......................................................................................4 B.Ü.2 Lesender Zugang zu Komponenten .......................................................................................9 B.Ü.3 Schwellwertgrenze pauschale Ausbaugebühr ....................................................................9 B.Ü.4 Synergieeffekte bei Beauftragung mehrerer Lose ......................................................... 15

11.09.2026 Seite V Version 1.1

[Seite 6]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Vorbemerkung

Das vorliegende Dokument beinhaltet alle Anforderungen, die an die anzubietende Standortvernetzungs- bzw. DDoS-Mitigation-Lösung für die ekom21 – KGRZ Hessen (Körperschaft des öffentlichen Rechts, folgend: AUFTRAGGEBER) gestellt werden.

Abgesehen von erläuternden Bildern und Tabellen setzen sich die Kapitel des vorliegenden Dokuments aus den folgenden Elementen zusammen:

• Fließtext: Beschreibung des Vorhabens und Formulierung der grundsätzlichen Anforderungen sowie späteren AUFTRAGNEHMER-Pflichten. Anforderungen mit einer sinngemäßen Formulierung wie MUSS, DARF NICHT, VERPFLICHTEND gelten mit Abgabe des finalen Angebots bei Zuschlag als vertraglich zugesagt und bindend. Alle diesbezüglichen Unklarheiten MÜSSEN durch den BIETER im Rahmen der Angebotserstellung durch Bieterfragen geklärt werden. Diese Klärungen fließen für alle BIETER gültig und bindend in die Vergabeunterlagen ein. Eine MUSS- Anforderung ist nur dann ein A-Kriterium, wenn sie explizit als solches ausgewiesen ist.

• A-Kriterien: Mindestkriterien, welche bei Nichterfüllung zum Ausschluss des BIETERS vom Verfahren führen. A-Kriterien sind nicht verhandelbar. A-Kriterien sind als solche im vorliegenden Leistungsverzeichnis optisch hervorgehoben und mit einer laufenden Nummer versehen (A.#).

• B-Kriterien: Zuschlagskriterien bzw. deren Beantwortung durch den BIETER stellen die fachliche Bewertungsgrundlage der Ausschreibung dar. B-Kriterien sind als solche im vorliegenden Leistungsverzeichnis optisch hervorgehoben und mit einer laufenden Nummer versehen (B.#). Im Rahmen von B-Kriterien gegebene Antworten dürfen Anforderungen aus A-Kriterien nicht widersprechen. Angaben im Preisblatt beinhalten eine Umsetzung des Vergabegegenstandes wie durch die Beantwortung des B-Kriteriums angegeben.

• I-Kriterien: Informationskriterien bzw. deren Beantwortung sollen den AUFTRAGGEBER in die Lage versetzen, sich ein Gesamtbild der anzubietenden Lösung zu verschaffen. Eine Bewertung auf Basis der I-Kriterien findet nicht statt.

Zu allen Anforderungen (Fließtext, A-, B- und I-Kriterien) MUSS der BIETER im Rahmen des zu liefernden Angebots eine Erklärung zur Erfüllung und Umsetzung abgeben. Für die Beantwortung von Zuschlags- oder Informationskriterien MUSS der BIETER ein separates Dokument einreichen. Für die Mindestkriterien MUSS die Datei „Kriterienkatalog“ genutzt werden.

11.09.2026 Seite VI Version 1.1

[Seite 7]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Die zusammenfassende Beantwortung von mehreren B- und / oder I-Kriterien ohne klare Abgrenzung und Zuordnung ist unzulässig. Ein Verweis auf Produktdatenblätter oder Handbücher ist ohne deutlich ausgewiesenen Bezug (z. B. auf Seite, Kapitel oder Absatz) nicht zulässig.

Der Verweis auf bereits gegebene Antworten zu anderen B- und / oder I-Kriterien ist zulässig, sofern ein klarer und eindeutiger Bezug hergestellt wird.

Die fachlichen Anforderungen werden in drei Losen beschrieben. Das erste Los beinhaltet die Lösung zur Standortvernetzung (beschrieben in den fachlichen Anforderungen an Los 1). Das zweite Los umfasst die DDoS-Mitigation-Lösung (beschrieben in den fachlichen Anforderungen an Los 2). Das dritte Los umfasst die Anbindung von Standorten an das öffentliche Internet per Satellit (beschrieben in den fachlichen Anforderungen an Los 3).

Der AUFTRAGGEBER behält sich vor, die Lose nach Auswertung der Angebote getrennt voneinander an unterschiedliche BIETER oder alle Lose an einen BIETER zu vergeben.

Die restlichen Kapitel dieser Leistungsbeschreibung gelten jeweils für alle drei Lose.

Der BIETER hat sich über alle Einzelheiten der funktionalen Anforderungen und der vorgesehenen Leistungen unter Berücksichtigung aller Verhältnisse, die zur Erfüllung der funktionalen Anforderungen maßgebend sind, in eigener Verantwortung Klarheit zu verschaffen.

Bestehen nach Ansicht des BIETERS mehrere Auslegungsmöglichkeiten der aufgeführten Anforderungen bzw. erscheint etwas unklar, so MUSS der BIETER eine Klärung herbeiführen. Spätere Berufung auf Irrtum oder Nichtwissen ist ausgeschlossen.

Alle über einen Dritthersteller bzw. -BIETER (Third Party) realisierten Leistungsmerkmale und Funktionen MÜSSEN als solche eindeutig ausgewiesen werden.

Sofern eine Forderung der Ausschreibung ein hohes kalkulatorisches Risiko nach sich zieht, ist vom BIETER selbstständig eine Klärung herbeizuführen.

Anforderungen als Ausdruck normativer Festlegungen werden durch die in Großbuchstaben geschriebenen deutschen Schlüsselworte MUSS / MÜSSEN, DARF NICHT / DÜRFEN NICHT, VERPFLICHTEND, SOLLTE / SOLLTEN, EMPFOHLEN, SOLLTE NICHT / SOLLTEN NICHT, KANN / KÖNNEN / DARF / DÜRFEN, und OPTIONAL gekennzeichnet. Die verwendeten Schlüsselworte sind auf Basis der folgenden Übersetzungstabelle gemäß RFC2119 zu interpretieren:

11.09.2026 Seite VII Version 1.1

[Seite 8]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Tabelle 1: Ausdrücke normativer Festlegungen gemäß RFC2119

Die Leistungsbeschreibung geht nach Auftragsvergabe in den Vertag über und bildet das Pflichtenheft für den AUFNEHMER. Daher wird im folgenden Text sowie in den Leistungsbeschreibungen für die beiden Lose die Bezeichnung AUFTRAGNEHMER verwendet, auch wenn es sich zum Zeitpunkt der Angebotserstellung um den BIETER handelt. AUFTRAGNEHMER und BIETER sind daher synonym zu verstehen.

11.09.2026 Seite VIII Version 1.1

[Seite 9]

ekom21 – KGRZ Hessen Leistungsbeschreibung

1 Ausgangslage

Der AUFTRAGGEBER ist das größte kommunale IT-Dienstleistungsunternehmen in Hessen und zählt zu den drei größten BSI-zertifizierten kommunalen IT-Dienstleistungsunternehmen in Deutschland.

In den Bereichen Digitalisierung und eGovernment nimmt der AUFTRAGGEBER eine Vorreiterrolle ein und sorgt mit innovativen Technologien für mehr Effizienz in der Verwaltung und für Fortschritt sowie Bürgerfreundlichkeit.

Sitz des AUFTRAGGEBERS ist Gießen; weitere Geschäftsstellen befinden sich in Darmstadt, Kassel und Fulda. Rund 720 Mitarbeiterinnen und Mitarbeiter werden an diesen Standorten (und im Homeoffice) beschäftigt.

In den folgenden Kapiteln wird die Ausgangslage beim AUFTRAGGEBER beschrieben.

1.1 Endkunden Zu den mehr als 500 Mitgliedern in Hessen und weiteren Kunden bundesweit gehören rund 29.000 Endanwender aus Kommunalverwaltungen und anderen öffentlichen Einrichtungen, z. B. Landkreise, Städte, Gemeinden, kommunale Eigenbetriebe, Zweckverbände, Anstalten, Krankenhäuser und Heime. Im staatlichen Bereich betreut der AUFTRAGGEBER zahlreiche Landesverbände, Ministerien und Regierungspräsidien.

Für diese Endkunden stellt der AUFTRAGGEBER digitale Dienstleistungen in seinen Rechenzentren bereit und bietet Zugang zu verschiedenen Warenkörben im Bereich der IT-Dienstleistungen.

1.2 Standorte Der AUFTRAGNEHMER MUSS für alle Kunden des AUFTRAGGEBERS im Bundesland Hessen und Deutschlandweit sowie an den Standorten des AUFTRAGGEBERS die geforderten Nutzungsprofile der Standortanbindungen bereitstellen können.

1.3 SD-WAN In einem parallelen Rahmenvertrag bezieht der AUFTRAGGEBER ein Managed SD-WAN von einem Dienstleister als Overlay-Netzwerk. SD-WAN bzw. das Overlay-Netzwerk sind nicht Gegenstand dieser Vergabe.

11.09.2026 Seite 1 von 26 Version 1.1

[Seite 10]

ekom21 – KGRZ Hessen Leistungsbeschreibung

2 Allgemeine Anforderungen

2.1 Informationssicherheit (losübergreifend) Folgende Regelungen zur Informationssicherheit finden bei der Leistungserbringung Anwendung:

2.1.1 Digitale X.509v3-Zertifikate Digitale Zertifikate werden insbesondere für folgende Zwecke eingesetzt:

• Verschlüsselung bzw. sicherer Austausch von Sitzungsschlüsseln

• Authentifizierung

Für die Erzeugung der digitalen Zertifikate MÜSSEN aktuelle Kryptoverfahren eingesetzt werden. Dazu MÜSSEN standardisierte und geeignete Kryptoverfahren verwendet werden (siehe Kapitel 2.1.2). Es DÜRFEN KEINE Eigenentwicklungen eingesetzt werden.

Digitale Zertifikate kommen mindestens in den in den folgenden Unterkapiteln beschriebenen Szenarien zum Einsatz.

2.1.1.1 Web-Plattformen Die digitalen Zertifikate für die Nutzerschnittstellen der Web-Plattformen (siehe Kapitel 4.13) des AUFTRAGNEHMERS MÜSSEN von einer Zertifizierungsstelle ausgestellt worden sein, die in den Listen der vertrauenswürdigen Zertifizierungsstellen von aktuellen Versionen von Windows-Betriebssystemen oder Browsern enthalten sind.

2.1.2 Sicherheit eingesetzter Kryptoverfahren Die für angebotene Dienste eingesetzten Kryptoverfahren MÜSSEN einem zum Zeitpunkt der Umsetzung aktuellen Stand entsprechen. Verfahren, die zu diesem Zeitpunkt bereits als unsicher und / oder kompromittiert gelten (z. B. RC4, DES, MD5), DÜRFEN NICHT eingesetzt werden.

Gleiches gilt für die eingesetzten Schlüssel- bzw. Prüfsummenlängen bei den für die Verschlüsselung bzw. Prüfsummenbildung vorgesehenen Kryptoverfahren. Schwache Kryptoverfahren und -protokolle (z. B. kleiner TLS 1.2) MÜSSEN deaktiviert werden, um Downgrading zu verhindern.

Als aktueller Stand der Technik können die Ausführungen angesehen werden, die vom BSI in der Technischen Richtlinie 02102 „Kryptographische Verfahren: Empfehlungen

11.09.2026 Seite 2 von 26 Version 1.1

[Seite 11]

ekom21 – KGRZ Hessen Leistungsbeschreibung

und Schlüssellängen“ (Teile 1 bis 4) beschrieben werden. Die aktuelle Version 2024-01 ist auf dem Stand vom 02.02.20241.

Es DÜRFEN NUR Kryptoverfahren eingesetzt werden, die nach Einschätzung des BSI auch über das Jahr 2029 hinaus als sicher angesehen werden können.

2.1.3 Management von Sicherheitsvorfällen Der Prozess zur Erkennung, Priorisierung, Behandlung und Dokumentation von Sicherheitsvorfällen (Security Incidents) und anderen Störungen MUSS die zentrale Erfassung und Auswertung von relevanten Log-Informationen beinhalten.

2.1.4 Schwachstellenmanagement Der AUFTRAGNEHMER MUSS ein Verfahren zur Erkennung, Bewertung (z. B. CVSS), Priorisierung, Beseitigung und Dokumentation von Schwachstellen für die bereitgestellte Leistung umsetzen.

Der AUFTRAGNEHMER MUSS an den AUFTRAGGEBER regelmäßig (mindestens alle 6 Monate) über die für die zu erbringende Leistung relevanten erkannten Schwachstellen sowie deren Bewertung und Beseitigung berichten.

2.1.5 Meldung von Sicherheitsvorfällen Der AUFTRAGNEHMER MUSS den AUFTRAGGEBER unverzüglich und in angemessener Form über Informationssicherheitsvorfälle informieren, die (auch) Informationen des AUFTRAGGEBERS betreffen.

Spätestens in der Phase „Abstimmung“ (siehe Kapitel 3.3) MUSS der AUFTRAGNEHMER mit dem AUFTRAGGEBER den Kommunikationsweg und die Form für die unverzügliche Meldung festlegen.

Ein Informationssicherheitsvorfall ist ein Ereignis, durch welches eine Beeinträchtigung der Informationssicherheit möglich oder bereits erfolgt ist, z. B. durch unberechtigte Einsichtnahme / Weitergabe von Informationen (Verlust der Vertraulichkeit), Modifikation von Informationen (Verlust der Integrität) oder Löschen von Informationen / Behinderung des Zugriffs auf Informationen (Verlust der Verfügbarkeit).

2.1.6 Change- und Patch-Management Der AUFTRAGNEHMER MUSS ein Test-, Change- und Patch-Management in Anlehnung an gängige Standards (z. B. ITIL) umsetzen, das die sichere, regelmäßige

1 siehe https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und- Zertifizierung/Technische-Richtlinien/TR-nach-Thema-sortiert/tr02102/tr02102_node.html

11.09.2026 Seite 3 von 26 Version 1.1

[Seite 12]

ekom21 – KGRZ Hessen Leistungsbeschreibung

(mindestens jährliche) und anlassbezogene unverzügliche Implementierung von (Sicherheits-)Patches und Updates für die bereitgestellte Leistung gewährleistet.

Changes, die Auswirkungen auf die Verfügbarkeit der Anschlüsse zur Folge haben können, MÜSSEN durch den AUFTRAGNEHMER rechtzeitig gemeldet werden (siehe Kapitel 5.1.11).

2.1.7 ISMS des AUFTRAGNEHMERS Der AUFTRAGNEHMER MUSS über ein angemessenes, dokumentiertes und implementiertes Informations-Sicherheits-Management-System (ISMS) verfügen, das dem Standard ISO/IEC 27001:2022 (bzw. aktuelle Folgeversionen) oder vergleichbar entspricht. Das ISMS MUSS die zu erbringende Leistung inklusive der zu verarbeitenden Informationen mit den dazu notwendigen infrastrukturellen, organisatorischen, personellen und technischen Komponenten umfassen. Entspricht das ISMS noch dem Vorgängerstandard von 2017, so MUSS der AUFTRAGNEHMER einen Zeitplan benennen können, nach welchem die Zertifizierung auf die neue Version angehoben wird.

Der AUFTRAGNEHMER MUSS spätestens nach Zuschlag eine/n Informationssicherheitsbeauftragte/n (Chief Information Security Officer) benennen, welche/r über die erforderliche Fachkunde verfügt. Er teilt dem AUFTRAGGEBER dessen / deren Kontaktdaten auf Anforderung mit.

Der AUFTRAGGEBER wird einen Kontakt als ausschließliche/n Ansprechpartner/in in allen Fragen des AUFTRAGNEHMERS bezüglich der Informationssicherheit benennen.

B.Ü.1 Nachweisbare Umsetzung des ISMS Der AUFTRAGNEHMER bestätigt, dass er ein Informations-Sicherheits-Management-System (ISMS) für den zur Leistungserbringung erforderlichen Informationsverbund im Einsatz hat und damit sicherstellt, dass er über den Vertragszeitraum mindestens die Anforderungen der Standardabsicherung des BSI IT-Grundschutzes (oder vergleichbar) umsetzt. Er beschreibt zusätzlich, ob er die Umsetzung entweder intern auditiert oder durch eine externe Zertifizierung (z. B. DIN EN ISO/IEC 27001) nachweisen kann. Zum Nachweis der Zertifizierung durch eine akkreditierte Stelle reicht er das Zertifikat mit seinem Angebot ein.

2.1.8 Backups der Konfiguration Der AUFTRAGNEHMER MUSS sicherstellen, dass regelmäßig bzw. anlassbezogen Datensicherungen der Konfigurationen der Leistungsübergabepunkte erstellt sowie revisionssicher und zentral abgelegt werden. Dadurch SOLL er sicherstellen, dass der Betrieb bei einem Hardwareausfall oder bei Störungen nach einem Change schnell wiederhergestellt werden kann.

11.09.2026 Seite 4 von 26 Version 1.1

[Seite 13]

ekom21 – KGRZ Hessen Leistungsbeschreibung

2.1.9 Authentifizierung und Autorisierung

2.1.9.1 Mitarbeiter des AUFTRAGNEHMERS mit Zugriff auf Lösungskomponenten des AUFTRAGGEBERS Der AUFTRAGNEHMER MUSS ein Verfahren zur Verwendung, zum sicheren Wechsel, Austausch, Speichern und Hinterlegen von Authentisierungsmitteln sowie eine Regelung zum sicheren Umgang mit Authentisierungsmitteln (z. B. Passwörter, MFA, TOTP) umsetzen.

Der Missbrauch von Authentisierungsmitteln MUSS als Sicherheitsvorfall bewertet und behandelt werden.

Der AUFTRAGNEHMER MUSS über eine Benutzer- und Rechteverwaltung verfügen. In dieser MUSS der Zugriff auf die Lösung geregelt sein, sodass nur ein berechtigter Personenkreis in berechtigten Fällen (z. B. Service Ticket) Zugriff auf die Lösungskomponenten hat.

Es MUSS das „Least Privilege“-Prinzip angewendet werden: Benutzerkonten werden nur die Rechte zugewiesen, die Nutzende für die Erledigung ihrer Aufgaben benötigen.

Es DÜRFEN ausschließlich personenbezogene Accounts verwenden werden. Technische Accounts DÜRFEN NICHT durch Personen verwendet werden.

Zugriffe auf die Komponenten und Änderungen MÜSSEN protokolliert werden. Änderungen außerhalb einer geplanten Wartung oder eines Service Tickets MÜSSEN als Sicherheitsvorfall gewertet und behandelt werden.

Der AUFTRAGNEHMER MUSS eine sichere Authentisierung der berechtigten personenbezogenen Accounts nach dem Stand der Technik (z. B. „Regelung des Passwortgebrauchs“ (BSI-Grundschutzkompendium ORP.4.A8) sicherstellen.

2.1.9.2 Mitarbeiter des AUFTRAGGEBERS mit Zugriff auf Management- oder Serviceplattformen der Lösung(en) Der AUFTRAGNEHMER MUSS mehrere personenbezogene Accounts für den Zugriff von Mitarbeitenden des AUFTRAGGEBERS auf Management- oder Serviceplattformen des AUFTRAGNEHMERS ermöglichen.

Der AUFTRAGNEHMER SOLL dabei unterschiedliche Rechte bzw. Rollen für die einzelnen Nutzenden beim Zugriff auf die Informationen (z. B. nur lesender Zugriff auf Statistiken, Zugriff auf Ticketsystem, Zugriff auf Rechnungen) vergeben können.

Die auf den Plattformen verwalteten Benutzer MÜSSEN sich über eine eindeutige Identifikation und eine sichere Authentifizierung anmelden können.

11.09.2026 Seite 5 von 26 Version 1.1

[Seite 14]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Die Plattformen MÜSSEN die Empfehlungen des BSI zur „Regelung des Passwortgebrauchs“ (BSI-Grundschutzkompendium ORP.4.A8) technisch sinnvoll umsetzen. Folgende Anforderungen werden an die von der Lösung verwendeten Passwörter mindestens gestellt:

• Eine Passwort-Policy MUSS eingerichtet und umgesetzt werden. Technisch MÜSSEN folgende Einflussfaktoren einstellbar sein:

• Passwortlänge

• Komplexität

• Historie

• Fehlversuche / Sperrung

• Ein sicherer Prozess zur Vergabe und zum Zurücksetzen von Passwörtern SOLL während der Phase „Abstimmung“ (siehe Kapitel 3.3) durch den AUFTRAGNEHMER gemeinsam mit dem AUFTRAGGEBER erarbeitet werden.

Die Anmeldung SOLL ggf. zusätzlich per Muli-Faktor-Authentisierung (MFA) mit gängigen MFA-Providern (z. B. Google Authenticator, Microsoft Authenticator) abgesichert werden können.

2.2 Datensicherheit (losübergreifend) Der AUFTRAGNEHMER MUSS die gesetzlichen Anforderungen aus der Europäischen Datenschutzgrundverordnung (EU-DSGVO) sowie dem Telekommunikation-Digitale- Dienste-Datenschutz-Gesetz (TDDDG) vollumfänglich erfüllen.

In der Phase „Abstimmung“ (siehe Kapitel 3.3) MUSS der AUFTRAGNEHMER eine vollständige Liste der verarbeiteten personenbezogenen Daten inkl. Zweck der Verarbeitung und Dauer der Speicherung liefern.

2.2.1 Zugriff auf Informationen Der AUFTRAGNEHMER DARF NUR auf die im Rahmen der Leistungserbringung spezifizierten Informationen analog oder über technische Zugänge zugreifen.

Der AUFTRAGNEHMER DARF NICHT auf davon abweichende Bereiche und Informationen zugreifen.

Der AUFTRAGGEBER legt bei Bedarf fest, wie der AUFTRAGNEHMER mit Metadaten umzugehen hat (unter Berücksichtigung des Vertraulichkeitsprinzips; Need-to-Know).

2.2.2 Löschkonzept Der AUFTRAGNEHMER MUSS ein Verfahren für die Rückgabe, das vollständige Löschen (d. h. nicht rekonstruierbar) und das Vernichten von Daten umsetzen, sodass vom

11.09.2026 Seite 6 von 26 Version 1.1

[Seite 15]

ekom21 – KGRZ Hessen Leistungsbeschreibung

AUFTRAGGEBER als „nicht mehr benötigt“ klassifizierte Daten umgehend gelöscht werden, sofern sie keiner gesetzlichen oder vertraglichen Aufbewahrungs- oder Sperrfrist unterliegen und eine Löschung mit technisch vertretbarem Aufwand möglich ist.

Insbesondere MUSS dieses Verfahren Anwendung finden für Informationen des AUFTRAGGEBERS bei der geplanten oder ungeplanten Beendigung der Leistungserbringung.

Die Löschung MUSS dem AUFTRAGGEBER auf Verlangen durch entsprechende Erklärung oder anderweitig nachgewiesen werden. Das Löschverfahren MUSS auf Anforderung nachgewiesen werden.

2.3 Hard- und Software-Anforderungen (losübergreifend) Alle Komponenten, die beim AUFTRAGGEBER installiert werden sollen, MÜSSEN für den Einbau in 19"-Schränke geeignet sein. Alle für den Einbau erforderlichen Materialien MÜSSEN durch den AUFTRAGNEHMER gestellt und im Angebotspreis enthalten sein. Der AUFTRAGGEBER bevorzugt eine Montage mit Rackmount-Kit gegenüber einem Desktop-Formfaktor, welcher auf einem 19"-Einlegeboden im Schrank montiert wird.

Die Spannungsversorgung MUSS über Wechselstrom-Netzteile (230 V, 50-60 Hz) erfolgen. Diese SOLLEN in der Hardware-Komponente integriert sein. Mindestens bei Hardware für Bandbreiten von mehr als 1 Gbit/s MÜSSEN zwei Wechselstrom-Netzteile für eine redundante Stromversorgung in der Hardware-Komponente integriert sein. Die Stromversorgung wird durch den AUFTRAGGEBER sichergestellt und per USV gepuffert. Der AUFTRAGNEHMER MUSS entsprechende Stromleitungen mit CEE-7/4- Stecker bereitstellen.

Die Leistungsübergabepunkte MÜSSEN innerhalb der Gebäude in einem Raum nach Vorgabe des AUFTRAGGEBERS installiert werden.

Für die Verbindung zwischen Hauseinführungspunkten und Leistungsübergabepunkten MÜSSEN eine durch den AUFTRAGGEBER bereitgestellte Verkabelungsinfrastruktur und Patchpanels verwendet werden.

Sind für die Verlegung des Kabels zwischen Hauseinführungspunkt und Leistungsübergabepunkt bauliche Maßnahmen (Kabelführungssysteme, Brandschutzmaßnahmen, Kernbohrungen usw.) erforderlich, entscheidet der AUFTRAGGEBER, wer mit der fachgerechten Ausführung der baulichen Maßnahmen und der Verlegung der Kabel zwischen Hauseinführungspunkt und Leistungsübergabepunkt beauftragt wird.

11.09.2026 Seite 7 von 26 Version 1.1

[Seite 16]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Die technischen Parameter zu den Kabelverbindungen bzw. Leitungsführungssystemen MÜSSEN durch den AUFTRAGNEHMER vorgegeben sowie vor Installation des Leistungsübergabepunktes geprüft und dokumentiert werden.

Die Planung der Durchführung der Arbeiten durch den AUFTRAGNEHMER MUSS in Abstimmung mit dem AUFTRAGGEBER erfolgen.

Der technische Nachweis der Funktionsfähigkeit MUSS im Anschluss an die Installation schriftlich festgehalten werden.

2.4 Monitoring und Management (losübergreifend) Der AUFTRAGNEHMER MUSS die Leitungen der Standortvernetzung (siehe Fachspezifische Anforderungen Los 1) und der Internetanbindung für die DDoS- Mitigation-Lösung (siehe Fachspezifische Anforderungen Los 2) sowie die entsprechenden Leistungsübergabepunkte proaktiv in Bezug auf Leistung und Verfügbarkeit überwachen. Die Leistungsinformationen SOLLEN in die regelmäßigen Serviceberichte (siehe Kapitel 4.5) einfließen und bei Fehlern MUSS proaktiv ein Ticket eröffnet und mit der Entstörung begonnen werden.

Die Zugänge für Monitoring und Management MÜSSEN mit sicheren Protokollen, verschlüsselt und authentifiziert realisiert werden (z. B. SNMPv3, SSH, HTTPS). Es MÜSSEN standardisierte und geeignete Kryptoverfahren eingesetzt werden (siehe Kapitel 2.1.2). Eigenentwicklungen DÜRFEN NICHT eingesetzt werden.

2.5 Lesender Zugang zu Komponenten (losübergreifend) Der AUFTRAGNEHMER SOLL dem AUFTRAGGEBER einen lesenden Zugang auf die Komponenten gewähren, um diese überwachen zu können. Der Zugang SOLL über die interne Ethernet-Schnittstelle oder über eine eigene Out-of-Band-Schnittstelle möglich sein.

Die Zugänge für den lesenden Zugriff MÜSSEN mit sicheren Protokollen, verschlüsselt und authentifiziert realisiert werden (z. B. SNMPv3, SSHv2, HTTPS). Es MÜSSEN standardisierte und geeignete Kryptoverfahren eingesetzt werden (siehe Kapitel 2.1.2). Eigenentwicklungen DÜRFEN NICHT eingesetzt werden.

Die Authentisierung der Benutzer des AUFTRAGGEBERS SOLL über eine zentrale Benutzerverwaltung für individualisierte Benutzer erfolgen können (z. B. RADIUS oder TACACS+).

11.09.2026 Seite 8 von 26 Version 1.1

[Seite 17]

ekom21 – KGRZ Hessen Leistungsbeschreibung

B.Ü.2 Lesender Zugang zu Komponenten Der AUFTRAGNEHMER bestätigt, dass er dem AUFTRAGGEBER lesenden Zugriff auf die Komponenten ermöglichen kann. Er bestätigt außerdem, dass eine zentralisierte Benutzerverwaltung angebunden werden kann.

2.6 Kalkulatorische Hinweise (Lose 1 und 2) Grundsätzlich sind alle in Kapitel 2.2 der losspezifischen Anforderungen an die Lösung zur Standortvernetzung sowie in den Kapiteln 2.2.1 und 2.2.2 der losspezifischen Anforderungen an die DDoS-Mitigation-Lösung genannten Umsetzungsvarianten aus Sicht des AUFTRAGGEBERS denkbar.

Innerhalb der Preispositionen im Preisblatt MÜSSEN die geforderten Leistungen vollständig betriebsbereit bepreist werden. Der AUFTRAGGEBER kann zu diesem Zeitpunkt noch keine Angaben zu genauen Standorten machen, an denen die Leistungen bezogen werden soll. Einzige Ausnahme ist die in Kapitel 2.2.1 der losspezifischen Anforderungen an die DDoS-Mitigation-Lösung genannte Lokation, die gesondert im Preisblatt abgefragt wird. Sollten für die Anbindung Bau- und Einrichtungskosten (z. B. durch Verlegung einer neuen Glasfaseranbindung) entstehen, MÜSSEN diese bis zu einer durch den AUFTRAGNEHMER zu nennenden Schwellwertgrenze pauschal bepreist und in der Mindestvertragslaufzeit auf die monatlichen Betriebsentgelte umgelegt werden.

B.Ü.3 Schwellwertgrenze pauschale Ausbaugebühr Der AUFTRAGNEHMER gibt an, bis zu welchem Schwellwert die Anbindungskosten der primären Leitung (in Euro) als monatliche Pauschale auf die Betriebsentgelte umgelegt werden können.

Ausbaukosten oberhalb der genannten Schwellwertgrenze DÜRFEN dem AUFTRAGGEBER gesondert in Rechnung gestellt werden. Dies gilt auch für einen kanten- und knotendisjunkten Zweitanschluss (getrennte Leitungswege / Trassen und Netzknoten). In diesen Fällen MUSS der AUFTRAGNEHMER dem AUFTRAGGEBER bei Anfrage einer neuen Leitung eine detaillierte Kalkulation über die geplanten Ausbaukosten in einem individuellen Angebot vorlegen.

11.09.2026 Seite 9 von 26 Version 1.1

[Seite 18]

ekom21 – KGRZ Hessen Leistungsbeschreibung

3 Implementierung und Migration (losübergreifend)

Die Implementierung der Lösung findet getrennt nach Lösungsbestandteil statt. Nach Beauftragung findet zunächst eine Abstimmungsphase (siehe Kapitel 3.3) statt, in der die wesentlichen Modalitäten für die Zusammenarbeit während der Vertragslaufzeit geklärt werden. Außerdem werden die Warenkörbe für die Standortvernetzung festgelegt und geplant. Anschließend wird in einer Pilotinstallation die geplante Konfiguration getestet.

Der Abruf neuer Standortvernetzungen findet über die gesamte Rahmenvertragslaufzeit statt. Sobald ein Endkunde des AUFTRAGGEBERS eine neue Standortvernetzung anfragt, startet ein Teilprojekt zur Umsetzung der entsprechenden neuen Standortvernetzung. Dabei kann es sich sowohl um Migrationen von vorhandenen Standortvernetzungen als auch um Implementierungen neuer Standortvernetzungen handeln. In beiden Fällen wird eine Standortvernetzung gemäß Warenkorb abgefragt und der AUFTRAGNEHMER prüft die Standortverfügbarkeit, bevor das Teilprojekt in die Umsetzung startet.

Die Umsetzung der redundanten Internetanbindung sowie die DDoS-Mitigation- Lösung ist ausschließlich direkt beim AUFTRAGGEBER vorgesehen. Die Implementierung startet kurzfristig nach der Abstimmungsphase.

3.1 Implementierungsleistungen Implementierungsleistungen fallen dann an, wenn ein Endkunde des AUFTRAGGEBERS eine neue Standortvernetzung oder einen neuen redundanten Internetzugang mit DDoS-Mitigation beauftragt. Aus dem Rahmenvertrag wird eine neue Einzelbeauftragung abgerufen und bildet dann ein eigenes Teilprojekt.

3.1.1 Standortvernetzung Der AUFTRAGNEHMER MUSS in der Abstimmungsphase Fachworkshops mit dem Fachpersonal des AUFTRAGGEBERS und ggf. von diesem beauftragten Dritten organisieren, um die notwendigen Konfigurationen und Parameter zur Erstellung eines Warenkorbs und der Festlegung von Standardkonfigurationen zu besprechen, Optionen zu identifizieren und Entscheidungen herbeizuführen. Außerdem MUSS der AUFTRAGNEHMER einen Testplan erstellen und mit dem AUFTRAGGEBER abstimmen. Die festgelegten Entscheidungen MÜSSEN durch den AUFTRAGNEHMER dokumentiert und durch den AUFTRAGGEBER freigegeben werden.

Sobald ein Endkunde des AUFTRAGGEBERS eine Standortvernetzung anfragt, startet ein eigenes Teilprojekt zur Implementierung. Der AUFTRAGNEHMER MUSS die Standortverfügbarkeit prüfen und ggf. ein Angebot zur Anbindung erstellen.

11.09.2026 Seite 10 von 26 Version 1.1

[Seite 19]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Anschließend werden notwendige individuelle Konfigurationen und Parameter mit dem Endkunden geklärt.

Der AUFTRAGNEHMER MUSS nach Beauftragung der Standortvernetzung die Leitungen errichten sowie die Leistungsübergabepunkte installieren und einrichten. Sobald die Verbindung hergestellt ist, MUSS der AUFTRAGNEHMER dem AUFTRAGGEBER den Übergang in die Testphase vermelden.

In der Testphase arbeitet der AUFTRAGGEBER den abgestimmten Testplan ab, schaltet ggf. die parallel beauftragte SD-WAN-Verbindung auf und bestätigt damit die einwandfreie Einrichtung. Anschließend wird das Teilprojekt abgenommen und kann in den Produktivbetrieb überführt werden.

3.1.2 DDoS-Mitigation-Lösung Der AUFTRAGNEHMER MUSS in der Abstimmungsphase Fachworkshops mit dem Fachpersonal des AUFTRAGGEBERS und ggf. von diesem beauftragten Dritten organisieren, um die notwendigen Konfigurationen und Parameter zur Einrichtung des redundanten Internetzugangs und der DDoS-Mitigation-Lösung zu besprechen, Optionen zu identifizieren und Entscheidungen herbeizuführen. Außerdem MUSS der AUFTRAGNEHMER einen Testplan erstellen und mit dem AUFTRAGGEBER abstimmen. Die festgelegten Entscheidungen MÜSSEN durch den AUFTRAGNEHMER dokumentiert und durch den AUFTRAGGEBER freigegeben werden. Der AUFTRAGNEHMER unterstützt den AUFTRAGGEBER bei der Beantragung des eigenen autonomen Systems bei der RIPE NCC.

In der Folge startet die Umsetzung. Der AUFTRAGNEHMER MUSS die Leitungen errichten sowie die Leistungsübergabepunkte installieren und einrichten. Für die Inbetriebnahme einer neuen Standortvernetzung (inkl. der primären Leitungsanbindung) MUSS der AUFTRAGNEHMER eine pauschale Bereitstellungsgebühr gestaffelt nach der angeforderten Bandbreite berechnen. Sobald die Verbindung hergestellt und das autonome System eingerichtet ist, MUSS der AUFTRAGNEHMER dem AUFTRAGGEBER den Übergang in die Testphase vermelden.

In der Testphase arbeitet der AUFTRAGGEBER den abgestimmten Testplan ab und bestätigt damit die einwandfreie Einrichtung. Anschließend wird das Teilprojekt abgenommen und kann in den Produktivbetrieb überführt werden.

11.09.2026 Seite 11 von 26 Version 1.1

[Seite 20]

ekom21 – KGRZ Hessen Leistungsbeschreibung

3.1.3 Statelliteninternetanbindungen Optionale Leistungen zur Integration der Satelliteninternetanschlüsse sind in den losspezifischen Anforderungen in Kapitel 2.7 beschrieben und gesondert im Preisblatt abgefragt.

3.2 Migrationsleistungen Migrationen werden in Teilprojekten der Standortvernetzungen erwartet, wenn Endkunden des AUFTRAGGEBERS ihre bestehenden Standortvernetzungen aus dem hier beschriebenen Rahmenvertrag qualitativ oder quantitativ erweitern. Bei einer qualitativen Erweiterung soll eine bestehende Standortvernetzung mit neuen Leistungsmerkmalen (z. B. eine höhere Bandbreite oder eine redundante Standortanbindung) ausgestattet werden. Bei einer quantitativen Erweiterung soll bei einem bestehenden Endkunden eine zusätzliche Standortverbindung in Betrieb genommen werden (z. B. zusätzliche Lokation im Peer-to-Multipeer-Verbund).

Ein besonderer Fall der Migration liegt vor, wenn ein Endkunde des AUFTRAGGEBERS eine bestehende Standortvernetzungslösung, die außerhalb dieses Rahmenvertrags beauftragt und umgesetzt wurde, gegen eine Standortvernetzungslösung aus diesem Rahmenvertrag austauschen möchte. In diesen Fällen muss ggf. ein umfangreiches Migrationsprojekt durchgeführt werden, um Betriebsbeeinträchtigungen während der Umstellungsphase so gering wie möglich zu halten. Der AUFTRAGGEBER bevorzugt es, wenn die neue Standortvernetzung parallel zu einer bestehenden Vernetzung erfolgen kann. Andernfalls MUSS der AUFTRAGNEHMER die Umschaltung der bisherigen Standortvernetzung auf seine Lösung koordinieren.

Die Migrationsleistungen unterscheiden sich grundsätzlich nicht von den oben beschriebenen Implementierungsleistungen.

3.3 Phasen der Leistungserbringung Folgende Phasen der Leistungserbringung MÜSSEN durchlaufen werden:

• Phase „Abstimmung“:

• Alle zum Vertragsschluss noch offenen Punkte der Projektabwicklung und des Betriebs werden abschließend geklärt und dokumentiert. In gemeinsamen Workshops legen der AUFTRAGGEBER, von diesem ggf. beauftragte Dritte sowie der AUFTRAGNEHMER erforderliche Konzepte fest und dokumentieren diese.

• Gemeinsam mit dem AUFTRAGGEBER legt der AUFTRAGNEHMER den Warenkorb sowie die Standardkonfiguration für die Standortvernetzungen fest.

11.09.2026 Seite 12 von 26 Version 1.1

[Seite 21]

ekom21 – KGRZ Hessen Leistungsbeschreibung

• Spätestens in dieser Phase MUSS der AUFTRAGNEHMER einen Ansprechpartner (zzgl. zur Hotline) für die Phase der Inbetriebnahme benennen. Er verantwortet die Koordination der verschiedenen Beteiligten.

• Im Anschluss an die Abstimmungsphase sind alle Parameter für die Bestellung der Standortvernetzung sowie der DDoS-Mitigation-Lösung geklärt und die entsprechenden Komponenten können für die Endkunden geordert werden.

• Phase „Teilprojektbeginn“:

• Der AUFTRAGGEBER fragt für einen Endkunden eine neue Standortvernetzung oder DDoS-Mitigation-Lösung beim AUFTRAGNEHMER an.

• Der AUFTRAGNEHMER prüft die Kosten für die gewünschte Lokationsanbindung und unterbreitet ein individuelles Angebot basierend auf dem festgelegten Warenkorb des Rahmenvertrags.

• Der AUFTRAGGEBER beauftragt die Implementierung bzw. Migration auf Basis des individuellen Angebots.

• Im Anschluss werden zwischen AUFTRAGGEBER, Endkunde und AUFTRAGNEHMER in einem Termin alle Parameter für die individuelle Bestellung abgestimmt. Der AUFTRAGNEHMER verschafft sich in diesem Termin Klarheit über alle für die Ausführung notwendigen Informationen (z. B. Ansprechpartner beim Endkunden, Lokationen, Ausführungszeitraum). Mit diesem Termin startet das Teilprojekt aus dem Rahmenvertrag.

• Phase „Vorbereitung“ (je Teilprojekt):

• Der AUFTRAGNEHMER errichtet die Leitungen für die Lösung.

• Der AUFTRAGNEHMER richtet die Leistungsübergabepunkte ein und installiert diese.

• Der AUFTRAGNEHMER unterstützt bei Bedarf beratend bei der Beantragung und Einrichtung des autonomen Systems des Endkunden (nur in einem Teilprojekt der DDoS-Mitigation-Lösung).

• Der AUFTRAGNEHMER richtet die Kopplung zum autonomen System sowie die DDoS-Mitigation-Lösung ein (nur in einem Teilprojekt der DDoS-Mitigation- Lösung).

• Phase „Test“ (je Teilprojekt):

• Der AUFTRAGGEBER testet alle geforderten Leistungsmerkmale gemäß abgestimmtem Testkonzept zunächst mit ausgesuchten Testteilnehmern. Der AUFTRAGNEHMER unterstützt der AUFTRAGGEBER bei den Tests.

11.09.2026 Seite 13 von 26 Version 1.1

[Seite 22]

ekom21 – KGRZ Hessen Leistungsbeschreibung

• Phase „Produktivbetrieb“ (je Teilprojekt):

• Nach der erfolgreichen Abarbeitung des Testkonzepts erfolgt die Abnahme der Teilprojekt-Lösung durch den AUFTRAGGEBER.

• Die Teilprojekt-Lösung geht anschließend in den Produktivbetrieb über.

11.09.2026 Seite 14 von 26 Version 1.1

[Seite 23]

ekom21 – KGRZ Hessen Leistungsbeschreibung

4 Wartung, Service und Instandhaltung

4.1 Allgemeines (losübergreifen) Das Servicemanagement MUSS sich prinzipiell an einer Strukturierung der Servicedienstleistung nach ITIL4 orientieren.

B.Ü.4 Synergieeffekte bei Beauftragung mehrerer Lose Der BIETER bestätigt, dass sich bei der Serviceerbringung Synergieeffekte bei Beauftragung mehrerer Lose an einen AUFTRAGNEHER ergeben.

4.2 Wartung

4.2.1 Wartungsarbeiten (Los 1 und Los 2) Sollten Wartungsarbeiten (Einspielung von Patches etc.) in der Netzwerkinfrastruktur des AUFTRAGNEHMERS oder seiner Subunternehmer notwendig werden, die eine Nichtverfügbarkeit einzelner Anschlüsse zur Folge haben, so MÜSSEN diese rechtzeitig, mindestens jedoch 14 10 Kalendertage vor Ausführung beim AUFTRAGGEBER angekündigt werden.

A.Ü.1 Geplante Wartungsarbeiten Geplante Wartungsarbeiten, die eine Nichtverfügbarkeit einer redundant ausgeführten Standortanbindung zur Folge haben, dürfen grundsätzlich nur in enger terminlicher Abstimmung mit dem AUFTRAGGEBER geplant werden.

4.2.2 Wartungsfenster (losübergreifen) Die Wartungsarbeiten MÜSSEN innerhalb des in Kapitel 5.1.11 definierten Wartungsfensters ausgeführt werden. Abweichungen vom Wartungsfenster sind nur nach vorheriger Absprache mit dem AUFTRAGGEBER zulässig.

4.3 Leistungsanpassung (losübergreifen) Bei Bedarf beauftragt der AUFTRAGGEBER beim AUFTRAGNEHMER eine Anpassung der Leistung. Handelt es sich bei der Anpassung nicht um einen Standard-Change, MUSS der AUFTRAGNEHMER dem AUFTRAGGEBER ein individuelles Angebot über die Anpassung machen. Dieses berücksichtigt Dienstleistungsaufwände nach den im Preisblatt hinterlegten Stundensätzen sowie den neuen Betriebsentgelten für die entsprechend angepasste Leistungsklasse gemäß Preisblatt.

Als Standard-Changes werden durch den AUFTRAGGEBER folgende Anpassungen definiert:

• Anpassungen von IP-Adressen

11.09.2026 Seite 15 von 26 Version 1.1

[Seite 24]

ekom21 – KGRZ Hessen Leistungsbeschreibung

• Anpassungen der Lastverteilung

• Temporäre (De-)Aktivierung von Schnittstellen

4.4 Statusmeetings (Lose 1 und 2) Im Abstand von jeweils einem halben Jahr MUSS ein Statusmeeting zwischen dem AUFTRAGGEBER und dem AUFTRAGNEHMER stattfinden, bei dem die im Halbjahr zuvor aufgetretenen Fehler besprochen werden. Zudem MÜSSEN die SLA-Kennzahlen, die im Statusreport aufgeführt sind, diskutiert werden.

Der AUFTRAGNEHMER MUSS diesen Termin ohne Aufforderung koordinieren. Der AUFTRAGGEBER teilt dem AUFTRAGNEHMER den entsprechenden Teilnehmerkreis mit. Das Statusmeeting MUSS in den Räumen des AUFTRAGGEBERS oder per Webkonferenz stattfinden.

4.5 Statusreports (Lose 1 und 2) Zwei Wochen vor dem halbjährlich stattfindenden Statusmeeting MUSS der AUFTRAGNEHMER einen Statusreport an alle Teilnehmer des Statusmeetings verteilen. Der Statusreport MUSS in elektronischer Form (PDF) übergeben werden.

Dieser Statusreport MUSS die folgenden Kennzahlen enthalten und diese per Kalendermonat berichten:

• Auswertung und Zusammenfassung der Trouble Tickets, die im Halbjahr zuvor bearbeitet wurden (Störmelder, Ausfallzeit, Ticket-ID, SLA, Ursache und Fehlerbeseitigung)

• erledigte Tickets innerhalb / außerhalb der Wiederherstellungszeit

• Annahmezeit der Tickets in Bezug auf das geforderte SLA

• offene Tickets zum Ende des Berichtszeitraums

• ausführlicher Bericht zu allen vereinbarten SLA, deren Einhaltung und den aufgrund von Nichteinhaltung geschuldeten Servicegutschriften (siehe Kapitel 5.4) in der vergangenen Berichtsperiode

• sicherheitsrelevante Ereignisse

• Erkenntnisse aus dem Schwachstellenmanagement (siehe Kapitel 2.1.4)

Der AUFTRAGNEHMER KANN die o. g. Kennzahlen um andere Werte ergänzen. Sollte der AUFTRAGGEBER die Forderung stellen, die Statusreports in einem kürzen Zeitrahmen als 6 Monate zu erhalten, und diese Forderung durch eingetretene Störungen oder realisierte Wartungen berechtigt sein, so MUSS der AUFTRAGNEHMER diese kostenlos im definierten Format zur Verfügung stellen.

11.09.2026 Seite 16 von 26 Version 1.1

[Seite 25]

ekom21 – KGRZ Hessen Leistungsbeschreibung

4.6 Service Level Manager (Lose 1 und 2) Der AUFTRAGNEHMER MUSS spätestens nach dem Zuschlag in der Phase „Abstimmung“ (siehe Kapitel 3.3) namentlich einen Service Level Manager und dessen Stellvertreter mit den folgenden Aufgaben benennen:

• Kundenbetreuung und Vertrag

• Beratung in betriebsrelevanten Fragen

• Servicequalität

• Koordination von Erweiterungs- und Installationsaufgaben

• Sprache: Deutsch (Gemeinsamer Europäischer Referenzrahmen für Sprachen mindestens Niveau C1)

Aufgrund einer berechtigten Forderung MUSS der AUFTRAGNEHMER den Service Level Manager durch einen anderen Mitarbeiter des AUFTRAGNEHMERS austauschen (z. B. wenn die persönliche Zusammenarbeit gestört ist). Der AUFTRAGNEHMER behält jedoch grundsätzlich die Wahlfreiheit über die eingesetzten Mitarbeiter.

4.7 Software-Support (losübergreifen) Der AUFTRAGNEHMER MUSS über die Vertragslaufzeit sicherstellen, dass die Hard- und Software der Leistungsübergabepunkte auf einem aktuellen, durch den Hersteller freigegebenen Stand gehalten wird. Erreicht eine Komponente während der Vertragslaufzeit den Lebenszyklusmeilenstein „End of Life“ bzw. „End of Service“, so MUSS der AUFTRAGNEHMER die Komponente rechtzeitig vor Erreichen dieses Meilensteins kostenneutral austauschen.

4.8 Remote-Support / Fernwartungszugang (losübergreifen) Der AUFTRAGNEHMER MUSS sicherstellen, dass er Änderungen an der Konfiguration oder eine Fehlerbeseitigung bei der Standortvernetzung, der redundanten Internetanbindung sowie der DDoS-Mitigation auch fernwirkend ausführen kann, ohne dazu an einen der Standorte des AUFTRAGGEBERS vor Ort kommen zu müssen. Dazu MUSS der AUFTRAGNEHMER auf die Komponenten In-Band zugreifen können, ohne einen zusätzlichen dedizierten Fernwartungszugang (Out-of-Band) zu benötigen. Er MUSS dabei jederzeit sicherstellen, dass die Anbindung nicht durch anderen Verkehr blockiert wird.

11.09.2026 Seite 17 von 26 Version 1.1

[Seite 26]

ekom21 – KGRZ Hessen Leistungsbeschreibung

4.9 Pauschale Services und Wartungsleistungen (losübergreifen) Der AUFTRAGNEHMER MUSS in den monatlichen Betriebsentgelten bestimmte Services bzw. Wartungsdienstleitungen pauschal abdecken. Zu diesen pauschalen Dienstleistungen zählen:

• das Management von Sicherheitsvorfällen (siehe Kapitel 2.1.3),

• das Schwachstellenmanagement (siehe Kapitel 2.1.4),

• das Monitoring (inkl. proaktiver Störungsinformation) (siehe Kapitel 2.4 und 5.2),

• Wartungsarbeiten (inkl. Software-Support und Ersatzteile) (siehe Kapitel 4.2.1, 4.7 und 4.11),

• der Service Level Manager (inkl. Statusmeetings und Statusreports) (siehe Kapitel 4.4, 4.5 und 4.6),

• der Remote-Support (siehe Kapitel 4.8),

• der Service Desk (siehe Kapitel 4.12),

• die Aktualisierung der Dokumentation (siehe Kapitel 4.15),

• das Bereitschaftspersonal zur Behebung von Störungen während der Servicebereitschaftszeit (siehe Kapitel 5.1.11) sowie

• Standard-Changes (siehe Kapitel 4.3).

4.10 Beratungsdienstleistungen (Lose 1 und 2) Der AUFTRAGNEHMER MUSS während der Vertragslaufzeit Beratungsleistungen zu den vertragsgegenständlichen Produkten anbieten. Beratungsdienstleistungen MÜSSEN bei Bedarf und auf Abruf zu dem angebotenen Tagessatz der entsprechenden Qualifikation (siehe Kapitel 4.14) zu den üblichen Bürozeiten abgerufen werden können. Die Verrechnung MUSS mit der folgenden Monatsrechnung erfolgen, auch anteilig (auf 0,25 Stunden genau). Das vom AUFTRAGNEHMER eingesetzte Personal SOLL bereits mit der Infrastruktur des AUFTRAGGEBERS vertraut sein, wenn eine Beratungsleistung abgerufen wird. Zusätzliche Einarbeitungszeit des eingesetzten Personals in Themen, die dem AUFTRAGNEHMER über die Infrastruktur des AUFTRAGGEBERS bereits bekannt sind, DÜRFEN NICHT abgerechnet werden.

4.11 Ersatzteile (losübergreifen) Der AUFTRAGNEHMER MUSS über die Vertragslaufzeit sicherstellen, dass defekte Hardware innerhalb der geforderten Wiederherstellungszeit (siehe Tabelle 5 für Los 1 bzw. Tabelle 1 für Los 2 in Kapitel 3.2 der jeweiligen losspezifischen Anforderungen) getauscht werden kann. Erreicht eine Komponente während der Vertragslaufzeit den

11.09.2026 Seite 18 von 26 Version 1.1

[Seite 27]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Lebenszyklusmeilenstein „End of Life“ bzw. „End of Service“, so MUSS der AUFTRAGNEHMER die Komponente rechtzeitig vor Erreichen dieses Meilensteins kostenneutral austauschen.

4.12 Service Desk (losübergreifen)

4.12.1 Leistungsumfang Der Service Desk MUSS eine Störung während der unten definierten Zeiten annehmen und eine Entstörung gemäß den vereinbarten Fristen einleiten bzw. selbst durchführen. Zudem MUSS der Service Desk den Melder der Störung während des Entstörprozesses und nach Störungsbeseitigung über die Entstörung in Kenntnis setzen.

Der Service Desk MUSS die folgenden Anforderungen erfüllen:

• entgeltfreie Erreichbarkeit aus dem deutschen Fest- und Mobilfunknetz

• Erreichbarkeit per Web-Portal und per E-Mail

• Meldung und Beantwortung der Tickets in deutscher Sprache (Gemeinsamer Europäischer Referenzrahmen für Sprachen mindestens Niveau C1)

• der Betrieb erfolgt innerhalb des Gebiets der Bundesrepublik Deutschland bzw. in einem Land des EU-DSGVO-Raums

Der AUFTRAGNEHMER MUSS mit dem AUFTRAGGEBER über alle Service-Level hinweg in deutscher Sprache (Gemeinsamer Europäischer Referenzrahmen für Sprachen mindestens Niveau C1) kommunizieren.

4.12.2 Trouble Ticket System Als Hilfsmittel zur Störungsnachverfolgung MUSS dem Service Desk ein Trouble Ticket System dienen. Dieses Trouble Ticket System MUSS bei jeder gemeldeten Störung ein Trouble Ticket mit einer eindeutigen Ticket-ID und einer Beschreibung der gemeldeten Störung öffnen und dieses dem Melder der Störung in elektronischer Form als E-Mail unverzüglich zusenden.

Ein Trouble Ticket DARF NICHT endgültig geschlossen werden, bevor der Melder einer Störung die Entstörung bestätigt. Als Zeitpunkt der erfolgreichen Entstörung für die SLA gilt dabei der Zeitpunkt, zu dem der Melder über die Entstörung unterrichtet wurde (z. B. E-Mail-Zeitstempel). Bestätigt der Melder die Entstörung nicht, so MÜSSEN die entsprechenden SLA-Zeiten unbeeinträchtigt weiterlaufen.

Nachdem das Trouble Ticket geschlossen wurde, MUSS dem Melder der Störung ein elektronischer Abschlussbericht zugesandt werden, der die Ursache der Störung und die geplanten Maßnahmen zur Entstörung enthält.

11.09.2026 Seite 19 von 26 Version 1.1

[Seite 28]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Es SOLL dem AUFTRAGGEBER möglich sein, auf eigene aktuelle Trouble Tickets über eine Web-Oberfläche zuzugreifen (siehe Kapitel 4.13).

4.13 Web-Plattform (losübergreifen) Alle in der Leistungsbeschreibung genannten Web-Plattformen SOLLEN über eine einzige, für alle Applikationen einheitliche Web-Oberfläche / Portal und Single-Sign-on (SSO) erreichbar sein.

Die Web-Plattformen MÜSSEN von jedem internetfähigen Rechner der Welt über den TCP-Port 443 (https) erreichbar sein. Die Web-Plattformen MÜSSEN digitale Zertifikate einer öffentlichen Zertifizierungsstelle verwenden (siehe Kapitel 2.1.1). Es MÜSSEN standardisierte und geeignete Kryptoverfahren eingesetzt werden (siehe Kapitel 2.1.2). Eigenentwicklungen DÜRFEN NICHT eingesetzt werden.

Es SOLL möglich sein, mehrere Benutzergruppen mit unterschiedlichen Berechtigungen und Ansichten einzurichten (z. B. nur Zugriff auf die Rechnungen, aber nicht auf die Tickets, Zugriff nur auf die Verwaltung der DDoS-Mitigation-Lösung).

Weiterhin SOLLEN die einzelnen relevanten Vertragsdaten sowie mindestens die letzten zwölf (12) Rechnungen des AUFTRAGGEBERS in elektronischer Form (PDF) kostenlos über das Portal abrufbar sein.

4.14 Personal und Qualifikation (losübergreifen) Der AUFTRAGNEHMER DARF NUR solche Fachkräfte einsetzen, die vertrauenswürdig und den gestellten Aufgaben gewachsen sind sowie die notwendigen Fach- und Landeskenntnisse besitzen. Der AUFTRAGNEHMER MUSS sicherstellen, dass die eingesetzten Fachkräfte über die vertraglichen Regelungen zur Informationssicherheit (siehe Kapitel 2.1) angemessen unterrichtet sind. Die Fachkräfte MÜSSEN mit dem AUFTRAGGEBER in deutscher Sprache (Gemeinsamer Europäischer Referenzrahmen für Sprachen mindestens Niveau C1) kommunizieren.

Dabei wird zwischen den folgenden Aufgabenbereichen bzw. Qualifikationsstufen der Mitarbeiter unterschieden:

• Systemingenieur / Projektleiter

• Beispielhafte Tätigkeiten: Projektmanagement, Planung der Gesamtlösung und Service Level Management

• Qualifikation: i.d.R. Hochschulabschluss oder Fachabschluss im Bereich Nachrichtentechnik, min. 3 Jahre Berufserfahrung, Erfahrung als Systemingenieur / Projektleiter, Lösungskompetenz in Fachfragestellungen und Teamfähigkeit

11.09.2026 Seite 20 von 26 Version 1.1

[Seite 29]

ekom21 – KGRZ Hessen Leistungsbeschreibung

• Systemspezialist

• Beispielhafte Tätigkeiten: Planung und Durchführung der Inbetriebnahme, Systemkonfiguration und Administration sowie Inbetriebnahme der angebotenen Komponenten

• Qualifikation: mind. 1-3 Jahre Berufserfahrung, Erfahrung als Systemspezialist für die angebotene Hard- und Software, Lösungskompetenz in Administrationsfragestellungen und Teamfähigkeit

• DDoS-Analyst (nur Los 2)

• Beispielhafte Tätigkeiten: Analysieren von erkannten oder gemeldeten volumenbasierten Angriffen wie Denial-of-Service (DoS) oder Distributed-Denial-of-Service (DdoS) auf die IP- Netze des AUFTRAGGEBERS

• Qualifikation: mind. 3 Jahre Berufserfahrung, Erfahrung als Netzwerkspezialist bei Internet- Service-Providern, Lösungskompetenz in Fachfragestellungen sowie Kommunikations- und Teamfähigkeit

4.15 Dokumentation (Lose 1 und 2) Der AUFTRAGNEHMER MUSS während der Phase „Abstimmung“ (siehe Kapitel 3.3) eine Ausführungs- und Projektdokumentation erstellen und über die Projektlaufzeit aktuell halten. Die Ausführungs- und Projektdokumentation wird durch den AUFTRAGGEBER abgenommen und freigegeben. Der AUFTRAGNEHMER DARF ohne erfolgte Freigabe der Projektdokumentation NICHT mit dem Rollout bzw. der Implementation der Lösungen beginnen.

Die Projektdokumentation muss insbesondere, aber nicht abschließend, folgende Inhalte umfassen:

• Ansprechpartner

• Eskalationsmatrix

• Leistungsbeschreibung

• Standortvernetzungen mit Angabe von:

• Standortbezeichnungen und Adressen

• Bandbreiten

• QoS-Parametern

11.09.2026 Seite 21 von 26 Version 1.1

[Seite 30]

ekom21 – KGRZ Hessen Leistungsbeschreibung

• Hard- und Software der Leistungsübergabepunkte (inkl. bekannter Lebenszyklusmeilensteine)

• Redundanz

• SLA-Parameter

• Redundante Internetverbindung mit Angabe von:

• Standortbezeichnungen und Adressen

• Bandbreiten

• Hard- und Software der Leistungsübergabepunkte (inkl. bekannter Lebenszyklusmeilensteine)

• Redundanz

• Informationen zum autonomen System

• SLA-Parameter

• DDoS-Mitigation mit Angabe von konfigurierten Maßnahmen

Der AUFTRAGNEHMER MUSS die Dokumentation in elektronischer Form zur Verfügung stellen und während der Vertragslaufzeit fortschreiben (z. B. wenn zusätzliche Standorte aufgenommen werden). Er MUSS sicherstellen, dass der AUFTRAGGEBER jederzeit Zugriff auf die aktuelle Version der Dokumentation hat. Zum Ende der Vertragslaufzeit MUSS die Dokumentation eingefroren und elektronisch beim AUFTRAGGEBER vor Ort permanent zur Verfügung gestellt werden.

11.09.2026 Seite 22 von 26 Version 1.1

[Seite 31]

ekom21 – KGRZ Hessen Leistungsbeschreibung

5 Service-Level-Anforderungen (losübergreifend)

5.1 Serviceparameter

5.1.1 Systembetriebszeit Die geforderten Leistungen der Standortanbindungen MÜSSEN grundsätzlich innerhalb des je Los definierten Zeitraums (Festlegung der gewünschten Serviceparameter) zur Verfügung stehen.

5.1.2 Serviceannahme Störungen MÜSSEN vom Service Desk (siehe Kapitel 4.12) innerhalb des je Los definierten Zeitraums (Festlegung der gewünschten Serviceparameter) entgegengenommen und in das Trouble Ticket System aufgenommen werden.

5.1.3 Auftragsannahme Angebotsaufforderungen, neue Aufträge oder Change-Aufträge MÜSSEN vom Service Desk (siehe Kapitel 4.12) innerhalb des je Los definierten Zeitraums (Festlegung der gewünschten Serviceparameter) entgegengenommen und der Aufforderungseingang unverzüglich bestätigt werden.

5.1.4 Servicebereitschaft Die Techniker zur Störungsbehebung MÜSSEN innerhalb des je Los definierten Zeitraums (Festlegung der gewünschten Serviceparameter) zur Verfügung stehen und Störungen, die beim Service Desk (siehe Kapitel 4.12) gemeldet wurden, beheben.

5.1.5 Reaktionszeit Der Service Desk (siehe Kapitel 4.12) MUSS den Melder der Störung innerhalb des je Los definierten Zeitraums (Festlegung der gewünschten Serviceparameter) nach Eingang der Störung über die geplanten Maßnahmen zur Entstörung informieren. Eine automatisch generierte Eingangsbestätigung erfüllt nicht die Erfordernisse zur Erfüllung des Serviceparameters Reaktionszeit.

Im Falle der DDoS-Mitigation-Lösung (Los 2) ist die Reaktionszeit die Zeit, in der nach Bekanntwerden eines Angriffs (durch proaktive Überwachung des AUFTRAGNEHMERS oder durch Meldung des Angriffs durch den AUFTRAGGEBER über den Service Desk) erste qualifizierte Maßnahmen (nachweisbare Gegenmaßnahmen) eingeleitet werden.

5.1.6 Wiederherstellungszeit Störungen MÜSSEN innerhalb der je Los definierten Zeiträume (Festlegung der gewünschten Serviceparameter) behoben worden sein.

11.09.2026 Seite 23 von 26 Version 1.1

[Seite 32]

ekom21 – KGRZ Hessen Leistungsbeschreibung

5.1.7 Zwischenmeldung Der Service Desk (siehe Kapitel 4.12) MUSS den Melder der Störung während der Entstörphase entsprechend der je Los definierten Intervalle (Festlegung der gewünschten Serviceparameter) über den Status der Entstörung sowie über die angelaufenen Maßnahmen und die geschätzte Zeit bis zur Entstörung informieren.

5.1.8 Standard-Wartungsfenster Regelmäßige Wartungen zur Aufrechterhaltung der Betriebsbereitschaft MÜSSEN während der je Los definierten Wartungsfenster (Festlegung der gewünschten Serviceparameter) durchgeführt werden.

5.1.9 Ankündigungen von Standardwartungen bzw. Notfallwartungen Werden die regelmäßigen Wartungsfenster für eine Standardwartung zur Aufrechterhaltung der Betriebsbereitschaft verwendet, MUSS der AUFTRAGNEHMER den AUFTRAGGEBER spätestens bis zum je Los definierten Stichtag vor der Wartung (Festlegung der gewünschten Serviceparameter) über die anstehende Wartung informieren. Ist eine Notfallwartung zur Abwendung einer unmittelbaren Gefahr für die Betriebssicherheit erforderlich, kann der Stichtag zur Ankündigung näher an der Wartung liegen.

Der AUFTRAGGEBER kann innerhalb eines Tages nach Ankündigung der geplanten Wartung widersprechen. Der AUFTRAGNEHMER MUSS diesen Wiederspruch berücksichtigen und eine Alternative vorschlagen.

5.1.10 Verfügbarkeit Die Verfügbarkeit wird auf Basis eines durchschnittlichen Berichtsmonats (30 Tage mit je 24 Stunden mit je 60 Minuten) definiert. Gemessen wird die Verfügbarkeit des Dienstes an den Leistungsübergabepunkten.

Die Verfügbarkeit auf Minutenbasis errechnet sich wie folgt:

43.200 𝑀𝑖𝑛.−∑𝑁𝑖𝑐ℎ𝑡𝑣𝑒𝑟𝑓ü𝑔𝑏𝑎𝑟𝑘𝑒𝑖𝑡 𝐷𝑖𝑒𝑛𝑠𝑡 𝑉𝑒𝑟𝑓ü𝑔𝑏𝑎𝑟𝑘𝑒𝑖𝑡 = × 100% 𝐷𝑖𝑒𝑛𝑠𝑡 43.200 𝑀𝑖𝑛.

∑𝑁𝑖𝑐ℎ𝑡𝑣𝑒𝑟𝑓ü𝑔𝑏𝑎𝑟𝑘𝑒𝑖𝑡 ist die Summe aller Ausfallzeiten des Dienstes im 𝐷𝑖𝑒𝑛𝑠𝑡 Berichtszeitraum. Diese wird anhand der Trouble Tickets, die im Berichtszeitraum eröffnet wurden, in Minuten ermittelt.

Ausfallzeiten während fristgerecht angekündigter Wartungsarbeiten innerhalb der festgelegten Wartungsfenster (siehe Kapitel 5.1.8) zählen nicht zur Nichtverfügbarkeit des Diensts.

11.09.2026 Seite 24 von 26 Version 1.1

[Seite 33]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Die Voraussetzungen für eine Nichtverfügbarkeit sind in den losspezifischen Anforderungen definiert.

5.1.11 Festlegung der gewünschten Serviceparameter Die Festlegung der gewünschten Serviceparameter erfolgt in den losspezifischen Anforderungen und stellt den Wunsch bzw. Vorschlag des AUFTRAGGEBERS dar.

5.2 Proaktive Störungsinformationen Der AUFTRAGNEHMER MUSS den AUFTRAGGEBER im Störungsfall (z. B. bei Ausfall einer Standortanbindung oder Störungen innerhalb seines Backbone-Netzes) proaktiv per E-Mail informieren.

5.3 Eskalation Eskalationen dienen zur Sicherung der vereinbarten Leistungen im Rahmen der definierten Wiederherstellungszeiten bei Störungen. Der Eskalationsprozess MUSS automatisch mit der Meldung der Störung beginnen und im Trouble Ticket dokumentiert werden.

Die in der nachfolgenden Tabelle genannten Zeiten geben die Zeitdauer ab Beginn der Störung an, nach der in die nächsthöhere Eskalationsstufe gewechselt werden MUSS.

Die erste Eskalationsstufe wird nach dem Erreichen der vereinbarten Wiederherstellungszeit eingeleitet.

Die Verantwortlichen für die einzelnen Eskalationsstufen MÜSSEN spätestens nach dem Zuschlag in der Phase „Abstimmung“ (siehe Kapitel 3.3) mit den erforderlichen Kontaktdaten (mindestens Name, Position, Telefonnummer, E-Mail-Adresse, Anschrift) benannt werden.

Tabelle 2: Eskalationsstufen

5.4 Servicegutschriften Werden die vereinbarten Serviceparameter nicht eingehalten, so schuldet der AUFTRAGNEHMER dem AUFTRAGGEBER Servicegutschriften, die mit der Rechnung der monatlichen Betriebsentgelte verrechnet werden, die auf den Zeitpunkt der Feststellung der Nichterfüllung folgt. Die Feststellung der Nichterfüllung erfolgt mit dem halbjährlichen Statusmeeting (siehe Kapitel 4.4) oder wenn in der Zwischenzeit

11.09.2026 Seite 25 von 26 Version 1.1

[Seite 34]

ekom21 – KGRZ Hessen Leistungsbeschreibung

zwischen den Statusmeetings eine Minderleistung durch den AUFTRAGGEBER erkannt und per Ticket gemeldet wurde. Der AUFTRAGGEBER kann den AUFTRAGNEHMER per Ticket bei Verdacht bzw. nach Bedarf anweisen, Serviceparameter zu kontrollieren, die er nicht selbst messen kann (z. B. Latenzzeit zwischen den festgelegten Netzknoten des vom AUFTRAGNEHMER genutzten ISP).

Berechnet werden die Servicegutschriften dabei jeweils für ein betroffenes Produkt. Produkte sind in diesem Kontext beispielsweise:

• eine spezifische Standortverbindung (Los 1 z. B. Lokation A<>Lokation B),

• eine spezifische redundante Internetanbindung (Los 2),

• die DDoS-Mitigation einer spezifischen redundanten Internetanbindung (Los 2) oder

• eine spezifische Standortanbindung an das Satellitennetzwerg (Los 3).

Eine Störung im IP-Backbone des vom AUFTRAGNEHMER genutzten ISP führt zu Servicegutschriften in allen davon betroffenen redundanten Internetanbindungen (Los 2) oder Satelliteninternetanbindungen (Los 3).

Das in diesem Kapitel beschriebene Servicegutschriftmodell stellt den Wunsch bzw. Vorschlag des AUFTRAGGEBERS dar.

5.4.1 Unterschreitung der Serviceverfügbarkeit Beim Unterschreiten der gewünschten Serviceverfügbarkeit schuldet der AUFTRAGNEHMER dem AUFTRAGGEBER je 60 Minuten geringerer Verfügbarkeit im Berichtsmonat den Gegenwert eines Tages (1/30) des Betriebsentgeltes für das betroffene Produkt.

5.4.2 Überschreitung der Reaktionszeit (Los 2) Überschreitet die Reaktionszeit den gewünschten Zeitraum, schuldet der AUFTRAGNEHMER dem AUFTRAGGEBER je 60 Minuten verspäteter qualifizierter Reaktion (nachweisbare Gegenmaßnahmen) den Gegenwert eines Tages (1/30) des Betriebsentgeltes für das betroffene Produkt.

5.4.3 Obergrenzen für Servicegutschriften Die Servicegutschriften für ein Produkt für einen Monat sind auf 100% des monatlichen Betriebsentgeltes für dieses Produkt gedeckelt.

11.09.2026 Seite 26 von 26 Version 1.1