Innerstädtische Verbindungen der Kommunen und Internetaccess mit DDoS Absicherung

Erklärung zu geeigneten Referenzleistungen über früher ausgeführte Liefer- und Dienstleistungen die mit Bezug auf die ausgeschriebenen Leistungen Aufschluss über die technische und berufliche Leistungsfähigkeit geben [Eigenerklärung zu geeigneten Referenzen] mit. Zu jeder Referenz müssen mindestens folgende Angaben gemacht werden: — Kurzbezeichnung der Referenz, — vollständiger Name einschließlich Postadresse und Kontaktdaten des Auftraggebers (=Referenzauftraggeber), — Auftragswert, — öffentlicher oder privater Auftraggeber, — Leistungszeitraum (Liefer- bzw. Erbringungszeitpunkt), — termingerechter Projektabschluss, — Beschreibung des Leistungsanteils des Ausführenden am Referenzprojekt in Prozent, — Stellung des Ausführenden im Referenzprojekt (Alleinunternehmer, Generalunternehmer, Ressourcengeber, Mitglied einer Bietergemeinschaft, — Anzahl der für den Bewerber im Rahmen des Projektes tätigen Personen. Aus der Beschreibung der Referenz muss klar erkennbar sein, welche Leistungen der Bewerber, was Mitglied einer Bewerbergemeinschaft oder ein Dritter, auf dessen technische und berufliche Leistungsfähigkeit abgestellt wird, selbst durchgeführt hat. Die bloße untergeordnete Mitwirkung bzw. die Überwachung eines Referenzprojekts sind hierbei nicht ausreichend. Die vorzulegenden Referenzen müssen eindeutig demjenigen Unternehmen als Auftragnehmer/ Durchführungsverantwortlichen zugeordnet werden können, der sie zum Nachweis seiner technischen und beruflichen Leistungsfähigkeit mit dem Angebot vorlegt. Die Einreichung einer Bescheinigung des Referenzauftraggebers ist nicht erforderlich. Der Auftraggeber behält sich aber die Überprüfung der gemachten Angaben bei Referenzauftraggebern sowie eigene Ermittlungen vor, deren Ergebnisse Berücksichtigung im Rahmen der Eignungsprüfung berücksichtigt werden. Zu den geforderten Nachweisen werden für alle geforderten Erklärungen Erfassungsformulare zur Verfügung gestellt, die unter Beachtung der Ausfüllhinweise zu verwenden sind. Geforderte Eignungsnachweise (gem. §§ 122 ff. GWB, §§ 42 ff. VgV), die in Form anerkannter Präqualifikationsnachweise (u. a. HPQR) vorliegen, werden zugelassen und anerkannt, wenn die Präqualifikationsnachweise in Form und Inhalt den geforderten Eignungsnachweisen entsprechen. Mindestanforderungen: Die Referenzprojekte müssen: • innerhalb der letzten fünf Jahre produktiv betrieben worden sein, • eine Mindestvertrags- oder Betriebsdauer von zwölf Monaten aufweisen, • Leistungen für Behörden, öffentliche Auftraggeber, KRITIS-Betreiber oder vergleichbare Organisationen mit verteilten Standorten umfassen, • Managed-Service-Leistungen einschließlich Implementierung, Betrieb, Entstörung und Service-Management beinhaltet haben, • durch den jeweiligen Referenzkunden auf Anfrage bestätigt werden können. Anforderungen an die Referenzen je Los: Los 1: Der Bieter weist durch mindestens drei Referenzprojekte Erfahrungen in der Pla-nung, Implementierung und dem Betrieb von Standortvernetzungslösungen für Organisationen mit mehreren Standorten nach. Jede Referenz muss mindestens 20 vernetzte Standorte umfassen. Die Leistungen müssen den Betrieb eines Weit-verkehrsnetzes (WAN), die Bereitstellung von Leistungsübergabepunkten sowie Service- und Entstörungsleistungen umfasst haben. Los 2: Der Bieter weist durch mindestens drei Referenzprojekte Erfahrungen in der Be-reitstellung und dem Betrieb von DDoS-Schutzdiensten für Internetanbindungen von Organisationen mit erhöhten Anforderungen an Verfügbarkeit und Informa-tionssicherheit nach. Die Referenzprojekte müssen einen dauerhaft betriebenen DDoS-Schutzservice einschließlich Erkennung, Analyse und Einleitung von Ge-genmaßnahmen umfasst haben. Mindestens eine Referenz soll den Schutz einer zentralen Internetanbindung eines öffentlichen Auftraggebers, KRITIS-Betreibers oder einer vergleichbaren Organisation dokumentieren. Los 3: Der Bieter weist durch mindestens drei Referenzprojekte Erfahrungen in der Be-reitstellung und dem Betrieb von

Der AUFTRAGNEHMER DARF NUR solche Fachkräfte einsetzen, die vertrauenswürdig und den gestellten Aufgaben gewachsen sind sowie die notwendigen Fach- und Landeskenntnisse besitzen. Der AUFTRAGNEHMER MUSS sicherstellen, dass die eingesetzten Fachkräfte über die vertraglichen Regelungen zur Informationssicherheit (siehe Kapitel 2.1) angemessen unterrichtet sind. Die Fachkräfte MÜSSEN mit dem AUFTRAGGEBER in deutscher Sprache (Gemeinsamer Europäischer Referenzrahmen für Sprachen mindestens Niveau C1) kommunizieren. Dabei wird zwischen den folgenden Aufgabenbereichen bzw. Qualifikationsstufen der Mitarbeiter unterschieden: • Systemingenieur / Projektleiter • Beispielhafte Tätigkeiten: Projektmanagement, Planung der Gesamtlösung und Service Level Management • Qualifikation: i.d.R. Hochschulabschluss oder Fachabschluss im Bereich Nachrichtentechnik, min. 3 Jahre Berufserfahrung, Erfahrung als Systemingenieur / Projektleiter, Lösungskompetenz in Fachfragestellungen und Teamfähigkeit • Systemspezialist • Beispielhafte Tätigkeiten: Planung und Durchführung der Inbetriebnahme, Systemkonfiguration und Administration sowie Inbetriebnahme der angebotenen Komponenten • Qualifikation: mind. 1-3 Jahre Berufserfahrung, Erfahrung als Systemspezialist für die angebotene Hard- und Software, Lösungskompetenz in Administrationsfragestellungen und Teamfähigkeit • DDoS-Analyst (nur Los 2) • Beispielhafte Tätigkeiten: Analysieren von erkannten oder gemeldeten volumenbasierten Angriffen wie Denial-of-Service (DoS) oder Distributed-Denial-of-Service (DdoS) auf die IP-Netze des AUFTRAGGEBERS • Qualifikation: mind. 3 Jahre Berufserfahrung, Erfahrung als Netzwerkspezialist bei Internet-Service-Providern, Lösungskompetenz in Fachfragestellungen sowie Kommunikations- und Teamfähigkeit

[Eigenerklärung zum Informations-Sicherheits-Managementsystem] Eigenerklärung, aus der ersichtlich ist, welche Maßnahmen zum Informations-Sicherheits-Managementsystem im Unternehmen für die ausschreibungsrelevanten Bereiche angewendet werden (Erfassungsformular - "Erklärung Informations-Sicherheits-Managementsystem"). Der AUFTRAGNEHMER MUSS über ein angemessenes, dokumentiertes und implementiertes Informations-Sicherheits-Management-System (ISMS) verfügen, das dem Standard ISO/IEC 27001:2022 (bzw. aktuelle Folgeversionen) oder vergleichbar entspricht. Das ISMS MUSS die zu erbringende Leistung inklusive der zu verarbeitenden Informationen mit den dazu notwendigen infrastrukturellen, organisatorischen, personellen und technischen Komponenten umfassen. Entspricht das ISMS noch dem Vorgängerstandard von 2017, so MUSS der AUFTRAGNEHMER einen Zeitplan benennen können, nach welchem die Zertifizierung auf die neue Version angehoben wird.

Erklärung des Unternehmens, dass für den Fall des Zuschlags eine Berufs- oder Betriebshaftpflichtversicherung mit den aufgestellten Mindeststandards für die Dauer der Vertragslaufzeit abgeschlossen wird bzw. - falls bereits vorhanden - eine solche besteht und für die Dauer der Auftragsausführung aufrechterhalten wird [Eigenerklärung zur Berufs- oder Betriebshaftpflichtversicherung]. Erforderlicher Mindestversicherungsschutz von 1,5 Mio. Euro für Personen- und Sachschäden und 1 Mio. Euro für Vermögensschäden jeweils bei zumindest doppelter Jahreshöchstleistung.

Erklärung des Unternehmens, zur Befähigung und Erlaubnis zur Berufsausübung nach § 44 VgV [Eigenerklärung Befähigung und Erlaubnis zur Berufsausübung]. Nachweis der Eintragung im Berufs- oder Handelsregister, ggf. eidesstattliche Erklärung oder vergleichbare Bescheinigung einer Behörde des Mitgliedsstaates, in dem der Bewerber ansässig ist (Vorlage Kopie). Gewerbean- und ggf. -ummeldung, wenn keine Eintragungspflicht im Handels- bzw. Berufsregister besteht (Vorlage Kopie).

Erklärung zu geeigneten Referenzleistungen über früher ausgeführte Liefer- und Dienstleistungen die mit Bezug auf die ausgeschriebenen Leistungen Aufschluss über die technische und berufliche Leistungsfähigkeit geben [Eigenerklärung zu geeigneten Referenzen] mit. Zu jeder Referenz müssen mindestens folgende Angaben gemacht werden: — Kurzbezeichnung der Referenz, — vollständiger Name einschließlich Postadresse und Kontaktdaten des Auftraggebers (=Referenzauftraggeber), — Auftragswert, — öffentlicher oder privater Auftraggeber, — Leistungszeitraum (Liefer- bzw. Erbringungszeitpunkt), — termingerechter Projektabschluss, — Beschreibung des Leistungsanteils des Ausführenden am Referenzprojekt in Prozent, — Stellung des Ausführenden im Referenzprojekt (Alleinunternehmer, Generalunternehmer, Ressourcengeber, Mitglied einer Bietergemeinschaft, — Anzahl der für den Bewerber im Rahmen des Projektes tätigen Personen. Aus der Beschreibung der Referenz muss klar erkennbar sein, welche Leistungen der Bewerber, was Mitglied einer Bewerbergemeinschaft oder ein Dritter, auf dessen technische und berufliche Leistungsfähigkeit abgestellt wird, selbst durchgeführt hat. Die bloße untergeordnete Mitwirkung bzw. die Überwachung eines Referenzprojekts sind hierbei nicht ausreichend. Die vorzulegenden Referenzen müssen eindeutig demjenigen Unternehmen als Auftragnehmer/ Durchführungsverantwortlichen zugeordnet werden können, der sie zum Nachweis seiner technischen und beruflichen Leistungsfähigkeit mit dem Angebot vorlegt. Die Einreichung einer Bescheinigung des Referenzauftraggebers ist nicht erforderlich. Der Auftraggeber behält sich aber die Überprüfung der gemachten Angaben bei Referenzauftraggebern sowie eigene Ermittlungen vor, deren Ergebnisse Berücksichtigung im Rahmen der Eignungsprüfung berücksichtigt werden. Zu den geforderten Nachweisen werden für alle geforderten Erklärungen Erfassungsformulare zur Verfügung gestellt, die unter Beachtung der Ausfüllhinweise zu verwenden sind. Geforderte Eignungsnachweise (gem. §§ 122 ff. GWB, §§ 42 ff. VgV), die in Form anerkannter Präqualifikationsnachweise (u. a. HPQR) vorliegen, werden zugelassen und anerkannt, wenn die Präqualifikationsnachweise in Form und Inhalt den geforderten Eignungsnachweisen entsprechen. Mindestanforderungen: Die Referenzprojekte müssen: • innerhalb der letzten fünf Jahre produktiv betrieben worden sein, • eine Mindestvertrags- oder Betriebsdauer von zwölf Monaten aufweisen, • Leistungen für Behörden, öffentliche Auftraggeber, KRITIS-Betreiber oder vergleichbare Organisationen mit verteilten Standorten umfassen, • Managed-Service-Leistungen einschließlich Implementierung, Betrieb, Entstörung und Service-Management beinhaltet haben, • durch den jeweiligen Referenzkunden auf Anfrage bestätigt werden können. Anforderungen an die Referenzen je Los: Los 1: Der Bieter weist durch mindestens drei Referenzprojekte Erfahrungen in der Pla-nung, Implementierung und dem Betrieb von Standortvernetzungslösungen für Organisationen mit mehreren Standorten nach. Jede Referenz muss mindestens 20 vernetzte Standorte umfassen. Die Leistungen müssen den Betrieb eines Weit-verkehrsnetzes (WAN), die Bereitstellung von Leistungsübergabepunkten sowie Service- und Entstörungsleistungen umfasst haben. Los 2: Der Bieter weist durch mindestens drei Referenzprojekte Erfahrungen in der Be-reitstellung und dem Betrieb von DDoS-Schutzdiensten für Internetanbindungen von Organisationen mit erhöhten Anforderungen an Verfügbarkeit und Informa-tionssicherheit nach. Die Referenzprojekte müssen einen dauerhaft betriebenen DDoS-Schutzservice einschließlich Erkennung, Analyse und Einleitung von Ge-genmaßnahmen umfasst haben. Mindestens eine Referenz soll den Schutz einer zentralen Internetanbindung eines öffentlichen Auftraggebers, KRITIS-Betreibers oder einer vergleichbaren Organisation dokumentieren. Los 3: Der Bieter weist durch mindestens drei Referenzprojekte Erfahrungen in der Be-reitstellung und dem Betrieb von

Der AUFTRAGNEHMER DARF NUR solche Fachkräfte einsetzen, die vertrauenswürdig und den gestellten Aufgaben gewachsen sind sowie die notwendigen Fach- und Landeskenntnisse besitzen. Der AUFTRAGNEHMER MUSS sicherstellen, dass die eingesetzten Fachkräfte über die vertraglichen Regelungen zur Informationssicherheit (siehe Kapitel 2.1) angemessen unterrichtet sind. Die Fachkräfte MÜSSEN mit dem AUFTRAGGEBER in deutscher Sprache (Gemeinsamer Europäischer Referenzrahmen für Sprachen mindestens Niveau C1) kommunizieren. Dabei wird zwischen den folgenden Aufgabenbereichen bzw. Qualifikationsstufen der Mitarbeiter unterschieden: • Systemingenieur / Projektleiter • Beispielhafte Tätigkeiten: Projektmanagement, Planung der Gesamtlösung und Service Level Management • Qualifikation: i.d.R. Hochschulabschluss oder Fachabschluss im Bereich Nachrichtentechnik, min. 3 Jahre Berufserfahrung, Erfahrung als Systemingenieur / Projektleiter, Lösungskompetenz in Fachfragestellungen und Teamfähigkeit • Systemspezialist • Beispielhafte Tätigkeiten: Planung und Durchführung der Inbetriebnahme, Systemkonfiguration und Administration sowie Inbetriebnahme der angebotenen Komponenten • Qualifikation: mind. 1-3 Jahre Berufserfahrung, Erfahrung als Systemspezialist für die angebotene Hard- und Software, Lösungskompetenz in Administrationsfragestellungen und Teamfähigkeit • DDoS-Analyst (nur Los 2) • Beispielhafte Tätigkeiten: Analysieren von erkannten oder gemeldeten volumenbasierten Angriffen wie Denial-of-Service (DoS) oder Distributed-Denial-of-Service (DdoS) auf die IP-Netze des AUFTRAGGEBERS • Qualifikation: mind. 3 Jahre Berufserfahrung, Erfahrung als Netzwerkspezialist bei Internet-Service-Providern, Lösungskompetenz in Fachfragestellungen sowie Kommunikations- und Teamfähigkeit

[Eigenerklärung zum Informations-Sicherheits-Managementsystem] Eigenerklärung, aus der ersichtlich ist, welche Maßnahmen zum Informations-Sicherheits-Managementsystem im Unternehmen für die ausschreibungsrelevanten Bereiche angewendet werden (Erfassungsformular - "Erklärung Informations-Sicherheits-Managementsystem"). Der AUFTRAGNEHMER MUSS über ein angemessenes, dokumentiertes und implementiertes Informations-Sicherheits-Management-System (ISMS) verfügen, das dem Standard ISO/IEC 27001:2022 (bzw. aktuelle Folgeversionen) oder vergleichbar entspricht. Das ISMS MUSS die zu erbringende Leistung inklusive der zu verarbeitenden Informationen mit den dazu notwendigen infrastrukturellen, organisatorischen, personellen und technischen Komponenten umfassen. Entspricht das ISMS noch dem Vorgängerstandard von 2017, so MUSS der AUFTRAGNEHMER einen Zeitplan benennen können, nach welchem die Zertifizierung auf die neue Version angehoben wird.

Erklärung des Unternehmens, dass für den Fall des Zuschlags eine Berufs- oder Betriebshaftpflichtversicherung mit den aufgestellten Mindeststandards für die Dauer der Vertragslaufzeit abgeschlossen wird bzw. - falls bereits vorhanden - eine solche besteht und für die Dauer der Auftragsausführung aufrechterhalten wird [Eigenerklärung zur Berufs- oder Betriebshaftpflichtversicherung]. Erforderlicher Mindestversicherungsschutz von 1,5 Mio. Euro für Personen- und Sachschäden und 1 Mio. Euro für Vermögensschäden jeweils bei zumindest doppelter Jahreshöchstleistung.