13464 Managed Security Operations Center (SOC) für Kreisverwaltung Gütersloh, Abteilung Gesundheit

Leistungsumfang

Beschafft wird der Aufbau und der laufende Betrieb eines Managed Security Operations Center für die Abteilung Gesundheit der Kreisverwaltung Gütersloh. Der Auftragnehmer richtet das SOC zunächst vollständig ein und berücksichtigt dabei die vorhandene Umgebung des Kreises, betreibt es anschließend fortlaufend und erbringt Monitoring sowie Incident-Response-Dienste. Zum Lieferumfang gehören die erforderlichen Daten- und Informationsquellen sowie die Analyseumgebung, denn eine SIEM-Lösung ist bisher nicht vorhanden und muss neu konzipiert werden.

Der Kreis Gütersloh hat rund 370.000 Einwohner, die Abteilung Gesundheit sitzt in Gütersloh und unterhält Außenstellen unter anderem in Rheda-Wiedenbrück, Halle und Verl. Große Teile der IT sind an externe Dienstleister ausgelagert, diese Systeme sind ausdrücklich nicht Gegenstand der Ausschreibung. Klassische Schutzmaßnahmen wie Firewall und Virenschutz sind bereits im Einsatz, ein SOC dagegen nicht.

Das Preisblatt gliedert die Leistung in technische Einrichtung, fachliche Einrichtung mit Konzept, Schulung und Projektmanagement, Nebenkosten, Softwarelizenzen, laufenden SOC-Betrieb einschließlich Personal sowie Service und Wartung. Die Beschaffung ist Teil des Förderprogramms Digitales Gesundheitsamt 2025 und dient der Dimension IT-Sicherheit im Reifegradmodell des öffentlichen Gesundheitsdienstes.

Anforderungen an die Leistung

• Das SOC muss initial vollständig funktionsfähig eingerichtet und danach dauerhaft betrieben werden.
• Monitoring und Incident Response sind rund um die Uhr an sieben Tagen der Woche zu erbringen.
• Ein erkannter Vorfall soll innerhalb von 15 Minuten qualifiziert und mit Handlungsempfehlung übermittelt werden.
• Für die Kommunikation rund um die Uhr ist ein deutschsprachiger Ansprechpartner zwingend erforderlich.
• Schriftliche Dokumentation muss in deutscher Sprache erfolgen, genutzte Software mit deutschsprachiger Oberfläche.
• Zugelassen sind sowohl Lösungen im eigenen Rechenzentrum als auch als Dienst aus der Cloud.
• Personenbezogene Daten dürfen ausschließlich in der Europäischen Union verarbeitet werden.
• Die Lösung muss die vorhandene Umgebung aufnehmen, obwohl der Auftraggeber deren Details nicht offenlegt.
• Logs der Systeme und der Infrastruktur sind zu sammeln und für die Analyse bereitzustellen, da bisher kein SIEM existiert.
• Die Leistung muss die Ziele des Reifegradmodells des öffentlichen Gesundheitsdienstes in der Dimension IT-Sicherheit erfüllen.
• Zur fachlichen Einrichtung gehören Konzept, Schulung und Projektmanagement.
• Reporting, Dokumentation und Datenschutz sind als eigenständige Anforderungskapitel ausgestaltet.

Vertrag und Vergütung

Die Vergabeunterlagen sehen den Abschluss auf Grundlage der EVB-IT-Verträge vor und regeln daneben Lizenzmanagement, Lieferumfang, Funktionserweiterungen und eine Höchstgrenze des Auftragsvolumens. Für die Ausführung gelten die Allgemeinen Vertragsbedingungen für die Ausführung von Leistungen sowie Besondere und Zusätzliche Vertragsbedingungen des Vergabehandbuchs. Die Vergütung wird über ein Preisblatt abgefragt, das zwischen einmaligen Kosten, laufenden Kosten und Personentagen unterscheidet, sämtliche Angaben sind Nettopreise.

Softwarepflege und Wartung sowie ein Service Level Agreement mit Reaktionszeiten und Reporting sind eigene Kapitel des Leistungsverzeichnisses. Bei Verstoß gegen die Tariftreuepflichten kann der Auftraggeber fristlos kündigen und eine Vertragsstrafe von einem bis fünf von Hundert des Auftragswertes verlangen. Für den Fall einer wettbewerbsbeschränkenden Absprache sieht das Angebotsschreiben einen pauschalen Schadensersatz von 15 Prozent der Bruttoabrechnungssumme vor.

Die konkrete Vertragslaufzeit ist in den vorliegenden Unterlagen nicht beziffert, der Auftraggeber verweist auf die Laufzeit von x Monaten.

Ablauf des Verfahrens

Das Verfahren läuft als EU-Vergabe nach der Vergabeverordnung mit dem Formblatt 631 EU als Aufforderung zur Angebotsabgabe. Die Kommunikation und die Angebotsabgabe erfolgen elektronisch über die Vergabeplattform der Vergabestelle. Bieterfragen wurden in einer fortlaufend ergänzten Tabelle beantwortet, deren letzter Stand vom 11. Dezember 2024 datiert. Angebotsfrist und Bindefrist sind in den vorliegenden Formularen nicht ausgefüllt und ergeben sich aus der Auftragsbekanntmachung.

Für Nachprüfungsanträge ist die Vergabekammer nach § 156 GWB zuständig.

Was Vergabestellen daraus mitnehmen können

Das Verfahren zeigt, wie sich ein SOC ausschreiben lässt, ohne die eigene Sicherheitsarchitektur offenzulegen: Der Kreis Gütersloh beantwortet Fragen nach Herstellern und Systemen bewusst nicht und beschreibt stattdessen den Zielzustand. Wer das übernimmt, sollte damit rechnen, dass Bieter die Kalkulation über Annahmen absichern, und deshalb Mengengerüste wie Anzahl der Standorte und Nutzer sauber vorgeben.

Übertragbar ist die Gliederung des Preisblatts in einmalige Einrichtung, laufenden Betrieb, Lizenzen sowie Service und Wartung, weil sie Angebote vergleichbar macht und spätere Nachträge begrenzt. Ein zweiter Blick lohnt bei den Reaktionszeiten: Die geforderten 15 Minuten bis zur qualifizierten Meldung wurden von einem Bieter als kaum erfüllbar bezeichnet, solche Vorgaben verengen das Bieterfeld oder treiben den Preis.

Bemerkenswert ist die Zulassung anonymisierter Referenzen, die im Sicherheitsumfeld sonst regelmäßig zu Ausschlüssen führt und den Wettbewerb spürbar öffnet.