Penetration-Testing Dienstleistungen im IT-Umfeld

Ziel des Vergabeverfahrens ist der Abschluss einer Rahmenvereinbarung mit (maximal) fünf RahmenvereinbarungspartnerInnen je Los betreffend Penetrationstests in 2 Losen: - Los 1: Infrastruktur und Application Security Testing Only - Los 2: Infrastruktur und Application Security Testing inklusive Lösungsworkshops Der Leistungsgegenstand des Los 1 umfasst neben den allgemeinen Leistungen (sh. Teil …

CPV: 72000000 Services de technologies de l'information, conseil, développement de logiciels, internet et appui, 72222100 Services d'analyse stratégique de systèmes ou de technologies de l'information, 72260000 Services relatifs aux logiciels, 72220000 Services de conseil en systèmes informatiques et conseils techniques, 72222300 Services de technologies de l'information, 72223000 Services d'analyse des exigences de la technologie de l'information, 72254000 Services d'essais de logiciels, 72254100 Services d'essais de systèmes, 72800000 Services d'audit informatique et services d'essai informatique, 72150000 Services de conseil en audit informatique et services de conseil en matériel informatique, 79417000 Services de conseil en matière de sécurité, 72820000 Services d'essai informatique
Lieu d'exécution:
Penetration-Testing Dienstleistungen im IT-Umfeld
Service d'adjudication:
WU Wien und weitere in Teil A, Pkt 1.3.2 genannte Abrufberechtigte, alle vertreten durch die vergebende Stelle ACOmarket GmbH, wiederum vertreten durch Schramm Öhler Rechtsanwälte GmbH
Numéro d'adjudication:
152014

1. Beschaffer

1.1 Beschaffer

Offizielle Bezeichnung : WU Wien und weitere in Teil A, Pkt 1.3.2 genannte Abrufberechtigte, alle vertreten durch die vergebende Stelle ACOmarket GmbH, wiederum vertreten durch Schramm Öhler Rechtsanwälte GmbH
Rechtsform des Erwerbers : Einrichtung des öffentlichen Rechts
Tätigkeit des öffentlichen Auftraggebers : Bildung

2. Verfahren

2.1 Verfahren

Titel : Penetration-Testing Dienstleistungen im IT-Umfeld
Beschreibung : Ziel des Vergabeverfahrens ist der Abschluss einer Rahmenvereinbarung mit (maximal) fünf RahmenvereinbarungspartnerInnen je Los betreffend Penetrationstests in 2 Losen: - Los 1: Infrastruktur und Application Security Testing Only - Los 2: Infrastruktur und Application Security Testing inklusive Lösungsworkshops
Kennung des Verfahrens : 200cfc7f-7d6d-42f3-bc6e-0e87318c0471
Interne Kennung : 152014
Verfahrensart : Verhandlungsverfahren mit vorheriger Veröffentlichung eines Aufrufs zum Wettbewerb/Verhandlungsverfahren
Begründung des beschleunigten Verfahrens :
Zentrale Elemente des Verfahrens :

2.1.1 Zweck

Art des Auftrags : Dienstleistungen
Haupteinstufung ( cpv ): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung
Zusätzliche Einstufung ( cpv ): 72222100 Strategische Prüfung von Informationssystemen oder -technologie
Zusätzliche Einstufung ( cpv ): 72260000 Dienstleistungen in Verbindung mit Software
Zusätzliche Einstufung ( cpv ): 72220000 Systemberatung und technische Beratung
Zusätzliche Einstufung ( cpv ): 72222300 Informationstechnologiedienste
Zusätzliche Einstufung ( cpv ): 72223000 Prüfung von Informationstechnologieanforderungen
Zusätzliche Einstufung ( cpv ): 72254000 Softwaretests
Zusätzliche Einstufung ( cpv ): 72254100 Systemprüfung
Zusätzliche Einstufung ( cpv ): 72800000 Computerrevision und -prüfung
Zusätzliche Einstufung ( cpv ): 72150000 Beratung im Bereich Computerprüfung und Hardwareberatung
Zusätzliche Einstufung ( cpv ): 79417000 Sicherheitsberatung
Zusätzliche Einstufung ( cpv ): 72820000 Computerprüfung

2.1.4 Allgemeine Informationen

Rechtsgrundlage :
Richtlinie 2014/24/EU

2.1.5 Bedingungen für die Auftragsvergabe

Bedingungen für die Einreichung :
Höchstzahl der Lose, für die ein Bieter Angebote einreichen kann : 2

2.1.6 Ausschlussgründe

Der Zahlungsunfähigkeit vergleichbare Lage gemäß nationaler Rechtsvorschriften : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Konkurs : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Korruption : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Beteiligung an einer kriminellen Vereinigung : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Vereinbarungen mit anderen Wirtschaftsteilnehmern zur Verzerrung des Wettbewerbs : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Verstoß gegen umweltrechtliche Verpflichtungen : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Geldwäsche oder Terrorismusfinanzierung : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Betrugsbekämpfung : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Kinderarbeit und andere Formen des Menschenhandels : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Zahlungsunfähigkeit : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Verstoß gegen arbeitsrechtliche Verpflichtungen : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Interessenkonflikt aufgrund seiner Teilnahme an dem Vergabeverfahren : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Direkte oder indirekte Beteiligung an der Vorbereitung des Vergabeverfahrens : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Schwere Verfehlung im Rahmen der beruflichen Tätigkeit : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Vorzeitige Beendigung, Schadensersatz oder andere vergleichbare Sanktionen : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Verstoß gegen sozialrechtliche Verpflichtungen : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Zahlung der Sozialversicherungsbeiträge : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Einstellung der gewerblichen Tätigkeit : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Entrichtung von Steuern : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.
Terroristische Straftaten oder Straftaten im Zusammenhang mit terroristischen Aktivitäten : Gemäß den entsprechenden nationalen vergaberechtlichen Vorgaben.

5. Los

5.1 Technische ID des Loses : LOT-3336

Titel : Los 1: Infrastruktur und Application Security Testing Only
Beschreibung : Der Leistungsgegenstand des Los 1 umfasst neben den allgemeinen Leistungen (sh. Teil A, Pkt. 1.1.2.1): Infrastruktur-Sicherheitsüberprüfungen, Umgebung und Technologien: IT Infrastruktur Security, Applikation Security, Cloud Security (Plattform), Follow-Up und Retests (detaillierte Beschreibung: siehe Teilnahmeunterlagen). Hauptsächlich eingesetzte Programmiersprachen: Java, .NET C#, C und C++, Python, PHP, Pearl und R; weitere Programmiersprachen sind nicht ausgeschlossen.
Interne Kennung : 1

5.1.1 Zweck

Art des Auftrags : Dienstleistungen
Haupteinstufung ( cpv ): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung
Zusätzliche Einstufung ( cpv ): 72222100 Strategische Prüfung von Informationssystemen oder -technologie
Zusätzliche Einstufung ( cpv ): 72260000 Dienstleistungen in Verbindung mit Software
Zusätzliche Einstufung ( cpv ): 72220000 Systemberatung und technische Beratung
Zusätzliche Einstufung ( cpv ): 72222300 Informationstechnologiedienste
Zusätzliche Einstufung ( cpv ): 72223000 Prüfung von Informationstechnologieanforderungen
Zusätzliche Einstufung ( cpv ): 72254000 Softwaretests
Zusätzliche Einstufung ( cpv ): 72254100 Systemprüfung
Zusätzliche Einstufung ( cpv ): 72800000 Computerrevision und -prüfung
Zusätzliche Einstufung ( cpv ): 72150000 Beratung im Bereich Computerprüfung und Hardwareberatung
Zusätzliche Einstufung ( cpv ): 79417000 Sicherheitsberatung
Zusätzliche Einstufung ( cpv ): 72820000 Computerprüfung

5.1.2 Erfüllungsort

Land, Gliederung (NUTS) : Extra-Regio NUTS 3 ( ATZZZ )
Land : Österreich
Zusätzliche Informationen : Zum NUTS-Code: Der NUTS-Code „Extra-Regio NUTS 3“ wurde gewählt, weil neben allen österreichischen Universitäten auch Fachhochschulen, Privatuniversitäten, Pädagogische Hochschulen, die Institute of Science and Technology Austria (IST Austria), die Österreichische Akademie der Wissenschaften und das BMBWF aus der abzuschließenden Rahmenvereinbarung jedenfalls abrufberechtigt sind. Eine vollständige Liste aller abrufberechtigten Organisationen findet sich in Punkt 1.2.2., Teil A der Ausschreibungsunterlagen.

5.1.3 Geschätzte Dauer

Datum des Beginns : 01/08/2025
Laufzeit : 60 Monat

5.1.4 Verlängerung

Maximale Verlängerungen : 1

5.1.5 Wert

Höchstwert der Rahmenvereinbarung : 8 000 000 Euro

5.1.6 Allgemeine Informationen

Auftragsvergabeprojekt nicht aus EU-Mitteln finanziert
Die Beschaffung fällt unter das Übereinkommen über das öffentliche Beschaffungswesen : ja
Diese Auftragsvergabe ist auch für kleine und mittlere Unternehmen (KMU) geeignet
Zusätzliche Informationen : Zum Höchstwert der Rahmenvereinbarung: Das maximale Abrufvolumen aus dieser Rahmenvereinbarung beträgt über beide Lose EUR 8.000.000 exkl USt (wertgesichert nach dem Verbraucherpreisindex 2020, wobei der im Monat des Endes der Teilnahmefrist verlautbarte Indexwert die Ausgangsbasis darstellt).

5.1.9 Eignungskriterien

Kriterium :
Art : Wirtschaftliche und finanzielle Leistungsfähigkeit
Kriterium :
Art : Eignung zur Berufsausübung
Kriterium :
Art : Technische und berufliche Leistungsfähigkeit

5.1.11 Auftragsunterlagen

Frist für die Anforderung zusätzlicher Informationen : 13/05/2025 12:00 +02:00
Internetadresse der Auftragsunterlagen : https://schramm-oehler.vergabeportal.at/List

5.1.12 Bedingungen für die Auftragsvergabe

Bedingungen für die Einreichung :
Elektronische Einreichung : Erforderlich
Adresse für die Einreichung : https://schramm-oehler.vergabeportal.at/List
Sprachen, in denen Angebote oder Teilnahmeanträge eingereicht werden können : Deutsch
Elektronischer Katalog : Nicht zulässig
Frist für den Eingang der Teilnahmeanträge : 30/05/2025 12:00 +02:00
Frist, bis zu der das Angebot gültig sein muss : 5 Monat
Auftragsbedingungen :
Die Auftragsausführung muss im Rahmen von Programmen für geschützte Beschäftigungsverhältnisse erfolgen : Nein
Elektronische Rechnungsstellung : Zulässig
Aufträge werden elektronisch erteilt : ja
Zahlungen werden elektronisch geleistet : ja
Informationen über die Überprüfungsfristen : Siehe §§ 327 ff BVergG 2018.

5.1.15 Techniken

Rahmenvereinbarung :
Rahmenvereinbarung, teilweise mit erneutem Aufruf zum Wettbewerb, teilweise ohne erneuten Aufruf zum Wettbewerb
Höchstzahl der teilnehmenden Personen : 5
Begründung der Laufzeit der Rahmenvereinbarung : Laufzeit der Rahmenvereinbarung: Die Laufzeit der Rahmenvereinbarung beträgt fünf Jahre. Die Rahmenvereinbarung kann einmalig um weitere zwei Jahre verlängert werden. Somit ergibt sich eine maximale Laufzeit von sieben Jahren; diesfalls erhöht sich auch das maximale Abrufvolumen entsprechend. Die Leistungen aufgrund der erfolgten Abrufe können auch über die Laufzeit der Rahmenvereinbarung hinausgehen. Begründung der Laufzeit der Rahmenvereinbarung: Alle abrufberechtigten Organisationen haben exponierte IT-Systeme, die Ziele für Hacker, Crawler, Scraper und Bots sind. Im Zuge dieser Ausschreibung streben die abrufberechtigten Organisationen daher den Abschluss einer Rahmenvereinbarung (in 2 Losen) mit geeigneten Unternehmen an, die ihre öffentlichen IT-Systeme durch Simulation realer Angriffe auf Sicherheitslücken und Konfigurationsfehler scannen, um die Wirksamkeit bestehender IT-Sicherheitsmaßnahmen zu überprüfen und mögliche Angriffe und damit verbundene Schäden zu verhindern. Da alle abrufberechtigten Organisationen mit personenbezogenen (teilweise sensiblen) Daten arbeiten, die vor unberechtigtem Zugriff geschützt werden müssen, ist eine umfassende und effektive Sicherheitsüberprüfung der IT-Infrastruktur laufend zu gewährleisten. Die Laufzeit von fünf Jahren mit einer einmaligen Verlängerungsoption um weitere zwei Jahre wurde aufgrund des mit einem Wechsel des Dienstleisters verbundenen Sicherheitsrisikos bzw des höheren auftraggeberseitigen Aufwands gewählt.
Informationen über das dynamische Beschaffungssystem :
Kein dynamisches Beschaffungssystem
Elektronische Auktion : nein

5.1.16 Weitere Informationen, Schlichtung und Nachprüfung

Überprüfungsstelle : Bundesverwaltungsgericht

5.1 Technische ID des Loses : LOT-7147

Titel : Los 2: Infrastruktur und Application Security Testing inklusive Lösungsworkshops
Beschreibung : Der Leistungsgegenstand des Los 2 umfasst neben den allgemeinen Leistungen (sh. Teil A, Pkt. 1.1.2.1) und den Leistungen von Los 1 auch: Lösungsworkshops, in denen der Kunde die Lösung erklärt und die Umsetzung vorbereitet bekommt bzw. bei der Umsetzung geführt wird.
Interne Kennung : 2

5.1.1 Zweck

Art des Auftrags : Dienstleistungen
Haupteinstufung ( cpv ): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung
Zusätzliche Einstufung ( cpv ): 72222100 Strategische Prüfung von Informationssystemen oder -technologie
Zusätzliche Einstufung ( cpv ): 72260000 Dienstleistungen in Verbindung mit Software
Zusätzliche Einstufung ( cpv ): 72220000 Systemberatung und technische Beratung
Zusätzliche Einstufung ( cpv ): 72222300 Informationstechnologiedienste
Zusätzliche Einstufung ( cpv ): 72223000 Prüfung von Informationstechnologieanforderungen
Zusätzliche Einstufung ( cpv ): 72254000 Softwaretests
Zusätzliche Einstufung ( cpv ): 72254100 Systemprüfung
Zusätzliche Einstufung ( cpv ): 72800000 Computerrevision und -prüfung
Zusätzliche Einstufung ( cpv ): 72150000 Beratung im Bereich Computerprüfung und Hardwareberatung
Zusätzliche Einstufung ( cpv ): 79417000 Sicherheitsberatung
Zusätzliche Einstufung ( cpv ): 72820000 Computerprüfung

5.1.2 Erfüllungsort

Land, Gliederung (NUTS) : Extra-Regio NUTS 3 ( ATZZZ )
Land : Österreich
Zusätzliche Informationen : Zum NUTS-Code: Der NUTS-Code „Extra-Regio NUTS 3“ wurde gewählt, weil neben allen österreichischen Universitäten auch Fachhochschulen, Privatuniversitäten, Pädagogische Hochschulen, die Institute of Science and Technology Austria (IST Austria), die Österreichische Akademie der Wissenschaften und das BMBWF aus der abzuschließenden Rahmenvereinbarung jedenfalls abrufberechtigt sind. Eine vollständige Liste aller abrufberechtigten Organisationen findet sich in Punkt 1.2.2., Teil A der Ausschreibungsunterlagen.

5.1.3 Geschätzte Dauer

Datum des Beginns : 01/08/2025
Laufzeit : 60 Monat

5.1.4 Verlängerung

Maximale Verlängerungen : 1

5.1.5 Wert

Höchstwert der Rahmenvereinbarung : 8 000 000 Euro

5.1.6 Allgemeine Informationen

Auftragsvergabeprojekt nicht aus EU-Mitteln finanziert
Die Beschaffung fällt unter das Übereinkommen über das öffentliche Beschaffungswesen : ja
Diese Auftragsvergabe ist auch für kleine und mittlere Unternehmen (KMU) geeignet
Zusätzliche Informationen : Zum Höchstwert der Rahmenvereinbarung: Das maximale Abrufvolumen aus dieser Rahmenvereinbarung beträgt über beide Lose EUR 8.000.000 exkl USt (wertgesichert nach dem Verbraucherpreisindex 2020, wobei der im Monat des Endes der Teilnahmefrist verlautbarte Indexwert die Ausgangsbasis darstellt).

5.1.9 Eignungskriterien

Kriterium :
Art : Wirtschaftliche und finanzielle Leistungsfähigkeit
Kriterium :
Art : Eignung zur Berufsausübung
Kriterium :
Art : Technische und berufliche Leistungsfähigkeit

5.1.11 Auftragsunterlagen

Frist für die Anforderung zusätzlicher Informationen : 13/05/2025 12:00 +02:00
Internetadresse der Auftragsunterlagen : https://schramm-oehler.vergabeportal.at/List

5.1.12 Bedingungen für die Auftragsvergabe

Bedingungen für die Einreichung :
Elektronische Einreichung : Erforderlich
Adresse für die Einreichung : https://schramm-oehler.vergabeportal.at/List
Sprachen, in denen Angebote oder Teilnahmeanträge eingereicht werden können : Deutsch
Elektronischer Katalog : Nicht zulässig
Frist für den Eingang der Teilnahmeanträge : 30/05/2025 12:00 +02:00
Frist, bis zu der das Angebot gültig sein muss : 5 Monat
Auftragsbedingungen :
Die Auftragsausführung muss im Rahmen von Programmen für geschützte Beschäftigungsverhältnisse erfolgen : Nein
Elektronische Rechnungsstellung : Zulässig
Aufträge werden elektronisch erteilt : ja
Zahlungen werden elektronisch geleistet : ja
Informationen über die Überprüfungsfristen : Siehe §§ 327 ff BVergG 2018.

5.1.15 Techniken

Rahmenvereinbarung :
Rahmenvereinbarung, teilweise mit erneutem Aufruf zum Wettbewerb, teilweise ohne erneuten Aufruf zum Wettbewerb
Höchstzahl der teilnehmenden Personen : 5
Begründung der Laufzeit der Rahmenvereinbarung : Laufzeit der Rahmenvereinbarung: Die Laufzeit der Rahmenvereinbarung beträgt fünf Jahre. Die Rahmenvereinbarung kann einmalig um weitere zwei Jahre verlängert werden. Somit ergibt sich eine maximale Laufzeit von sieben Jahren; diesfalls erhöht sich auch das maximale Abrufvolumen entsprechend. Die Leistungen aufgrund der erfolgten Abrufe können auch über die Laufzeit der Rahmenvereinbarung hinausgehen. Begründung der Laufzeit der Rahmenvereinbarung: Alle abrufberechtigten Organisationen haben exponierte IT-Systeme, die Ziele für Hacker, Crawler, Scraper und Bots sind. Im Zuge dieser Ausschreibung streben die abrufberechtigten Organisationen daher den Abschluss einer Rahmenvereinbarung (in 2 Losen) mit geeigneten Unternehmen an, die ihre öffentlichen IT-Systeme durch Simulation realer Angriffe auf Sicherheitslücken und Konfigurationsfehler scannen, um die Wirksamkeit bestehender IT-Sicherheitsmaßnahmen zu überprüfen und mögliche Angriffe und damit verbundene Schäden zu verhindern. Da alle abrufberechtigten Organisationen mit personenbezogenen (teilweise sensiblen) Daten arbeiten, die vor unberechtigtem Zugriff geschützt werden müssen, ist eine umfassende und effektive Sicherheitsüberprüfung der IT-Infrastruktur laufend zu gewährleisten. Die Laufzeit von fünf Jahren mit einer einmaligen Verlängerungsoption um weitere zwei Jahre wurde aufgrund des mit einem Wechsel des Dienstleisters verbundenen Sicherheitsrisikos bzw des höheren auftraggeberseitigen Aufwands gewählt.
Informationen über das dynamische Beschaffungssystem :
Kein dynamisches Beschaffungssystem
Elektronische Auktion : nein

5.1.16 Weitere Informationen, Schlichtung und Nachprüfung

Überprüfungsstelle : Bundesverwaltungsgericht

8. Organisationen

8.1 ORG-2530

Offizielle Bezeichnung : WU Wien und weitere in Teil A, Pkt 1.3.2 genannte Abrufberechtigte, alle vertreten durch die vergebende Stelle ACOmarket GmbH, wiederum vertreten durch Schramm Öhler Rechtsanwälte GmbH
Registrierungsnummer : 9110005462398
Postanschrift : Welthandelsplatz 1, AD
Stadt : Wien
Postleitzahl : 1020
Land, Gliederung (NUTS) : Wien ( AT130 )
Land : Österreich
Kontaktperson : RA Dr. Georg Zellhofer, Schramm Öhler Rechtsanwälte
Telefon : +43 14097609
Internetadresse : https://www.wu.ac.at/
Rollen dieser Organisation :
Beschaffer

8.1 ORG-6617

Offizielle Bezeichnung : Bundesverwaltungsgericht
Registrierungsnummer : 9110008059823
Postanschrift : Erdbergstraße 192-196
Stadt : Wien
Postleitzahl : 1030
Land, Gliederung (NUTS) : Wien ( AT130 )
Land : Österreich
Telefon : +43 160149
Internetadresse : https://www.bvwg.gv.at/
Rollen dieser Organisation :
Überprüfungsstelle

11. Informationen zur Bekanntmachung

11.1 Informationen zur Bekanntmachung

Kennung/Fassung der Bekanntmachung : 04fbe3c1-da55-4130-9b75-027586d400c7 - 01
Formulartyp : Wettbewerb
Art der Bekanntmachung : Auftrags- oder Konzessionsbekanntmachung – Standardregelung
Datum der Übermittlung der Bekanntmachung : 29/04/2025 15:13 +02:00
Sprachen, in denen diese Bekanntmachung offiziell verfügbar ist : Deutsch

11.2 Informationen zur Veröffentlichung

Veröffentlichungsnummer der Bekanntmachung : 00282067-2025
ABl. S – Nummer der Ausgabe : 85/2025
Datum der Veröffentlichung : 02/05/2025