Information
| Name des Dokuments: | Anlage 1_Standardanforderungskatalog - Produktiv_2026-10092 Los 2.xlsx |
|---|---|
| Version: | 1.0 |
| Referenzierung: | Leistungsbeschreibung für die Vergabe einer Atlassian Lizenz und IT-Support |
| Vergabe-Nr.: | 2026-10092 |
| Datum: | |
| Information: | Diese Anlage zur Leistungsbeschreibung enthält standardisierte technische und nichttechnische Anforderungen, die an die zu liefernde Applikation und andere Nebenleistungen gestellten werden. Sie dient, gegebenenfalls zusammen mit weiteren funktionalen und nicht-funktionalen Anforderungen, als Basis für die Ausschreibung und Vertragsgestaltung, und bildet somit die Vorgabe für die Angebotserstellung. Kommt es zwischen Auftragnehmer und Auftraggeber zu einem Vertragsabschluss, ist die bestehende Leistungsbeschreibung rechtlich bindend, und wird Teil des Vertrages. |
| Bearbeitungshinweise: | 1. Die in der folgenden Blättern enthaltenen "Funktionalen" und „Nicht-funktionalen Anforderungen“ sind in der Spalte "Priorität" als „Muss“-Anforderung gekennzeichnet. Muss-Anforderungen (A-Kriterien / Typ A) sind Ausschlusskriterien, d.h. sie sind unverzichtbare Anforderungen der AG an die zu beschaffende Leistung. Die Nichterfüllung eines Ausschlusskriteriums führt zum Ausschluss des Angebots aus der weiteren Bewertung. Der Bieter hat in seinem Angebot in der zur hier gegenständlichen Leistungsbeschreibung gesonderten Spalte „Antworten des Bieters (Angebot)“ je „Anforderung“ anzugeben, ob er die Anforderungen erfüllt, gegebenenfalls mit weiteren Anmerkungen. |
| 2. Zu Abkürzungen oder Akronymen wird auf das Abkürzungsverzeichnis der Leistungsbeschreibung verwiesen. | |
| 3. Jede Anforderungen muss durch den Auftragnehmer beantwortet werden. Soweit eine Anforderung nicht einschlägig ist, muss der Auftragnehmer in Spalte F begründen, warum dies so ist (z.B. "Diese Anforderung ist nicht relevant, da die Applikation ohne KI-Funktionalität ausgliefert wird." |
1. Allgemeines
| Auflistung Standardanforderungen für die Leistungsbeschreibung - Übergreifende Anforderungen | Unnamed: 1 | Unnamed: 2 | Unnamed: 3 | Unnamed: 4 | Unnamed: 5 |
|---|---|---|---|---|---|
| ID | Anforderung | Priorität | Kriterium | Bemerkung | Antworten des Bieters (Angebot) |
| 1.1 | Die Applikation muss eine integrierte Programmbeschreibung/Dokumentation besitzen, welche online oder über das jeweilige Applikation-Modul zugänglich ist, und alle wichtigen Programmfunktionen sowie theoretischen Grundlagen hinreichend genau beschreibt. | muss | A | ||
| 1.2 | Die Applikation ist standardmäßig in deutscher Sprache auszuliefern. Alle Textelemente der Benutzeroberfläche (z. B. Menüs, Buttons, Fehlermeldungen) sowie die Benutzerhilfe müssen in deutscher Sprache vorliegen. | muss | A | Ein großteil der Nutzer der Applikation innerhalb der Autobahngesellschaft sprechen muttersprachlich Deutsch. | |
| 1.3 | Die Ansprechpartner beim AN im Falle von technischen und fachlichen Problemen (2nd, 3rd level support) sind dokumentiert, vgl. ISO 20000. | muss | A | ||
| 1.4 | Die Ansprechpartner gem. Anforderung 1.3 besitzen mindestens Deutschkenntnisse auf Niveaustufe B2 - Deutsch gem. dem gemeinsamen europäischen Referenzrahmen für Sprachen. | muss | A |
2. Lizenzierung
| Auflistung Standardanforderungen für die Leistungsbeschreibung - Lizenzierung | Unnamed: 1 | Unnamed: 2 | Unnamed: 3 | Unnamed: 4 | Unnamed: 5 |
|---|---|---|---|---|---|
| ID | Anforderung | Priorität | Kriterium | Bemerkung | Antworten des Bieters (Angebot) |
| 4.9 | Es werden kostenfrei Lizenzen für den Gebrauch in einer Testumgebung bereitgestellt, um auf den Testumgebungen funktionale Tests durchzuführen. | Muss | A | Die Lizenzen sind nicht für die Verwendung in der produktiven Umgebung vorgesehen. Sondern zum Testen bei Updates/Patches des Lizenztools. |
3. Applikationsarchitektur
| Auflistung Standardanforderungen für die Leistungsbeschreibung - Applikationarchitektur | Unnamed: 1 | Unnamed: 2 | Unnamed: 3 | Unnamed: 4 | Unnamed: 5 |
|---|---|---|---|---|---|
| ID | Anforderung | Priorität | Kriterium | Bemerkung | Antworten des Bieters (Angebot) |
| 5.1 | Der AN weist nach, dass innerhalb der Vertragslaufzeit im System nur aktuelle (Drittanbieter-) Komponenten/Dependencies/Runtimes eingesetzt werden, deren Produktsupport nicht abgelaufen (End of Life) ist, und die frei von bekannten Sicherheitslücken sind. | muss | A | Eine aktuelle Liste der Komponenten ist mit dem Angebot einzureichen. | |
| 5.2 | Die eingesetzten Schnittstellen zwischen der Applikation und den verbundenen Systemen sind mit den genutzten Protokollen, Ports sowie der Veschlüsselung dokumentiert. | muss | A | ||
| 5.3 | Der AN liefert Dokumentation, welche Bibliotheken und Applikationen Dritter (z.B. auch Open-Source) genutzt werden, und welche Lizenzen für sie gelten. | muss | A | ||
| 5.4 | Der AN beschreibt die Mindest-Leistungsstandards, zu denen die Anwendung betrieben wird. Hierzu gehören Datendurchsatz, Verfügbarkeit, Reaktionszeiten des Systems. | muss | A | Datendurchsatz: Der maximale Durchsatz an Daten, für den die Anwendung ausgelegt ist. Verfügbarkeit: Die von den Parteien definierte und vom Betrieb abgesicherte Verfügbarkeit der Anwendung. Reaktionszeiten: Die Zeit, die die Anwendung maximal benötigen darf, um Transaktionen zu verarbeiten. | |
| 5.5 | Nach Aufforderung durch den AG muss der AN maximal einmal pro Quartal alle Unterlagen und Daten in einem zugänglichen und lesbaren elektronischen Format (<akt. Industrie-Standardformat je nach Anwendungsart>) an den Auftraggeber binnen <10> Werktagen übermitteln, soweit der AN keine API gem. Anforderung 5.8 bereitstellt. Soweit die Daten verschlüsselt sind, muss der AN den Schlüssel an den AG übermitteln. | muss | A | ||
| 5.6 | Der AN muss einmalig zum Vertragsende alle Unterlagen und Daten dem AG in genannter Form unaufgefordert zu Verfügung stellen, soweit der AN keine API gem. Anforderung 5.8 bereitstellt. | muss | A | ||
| 5.7 | Der AN muss nach entsprechender schriftlicher Aufforderung durch den AG eine unwiederbringliche Löschung, entsprechend der zum Zeitpunkt der Löschung geltenden Standards, der Daten binnen 14 Werktagen durchführen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen, die eine Löschung der Daten erst zu einem späteren Zeitpunkt festlegen. | muss | A | ||
| 5.8 | Der AN muss die Löschung der Daten gemäß Anforderung 5.12 schriftlich bestätigen. | muss | A | ||
| 5.9 | Die aus dem Leistungsgegenstand durch den AG oder dessen Vertragspartnern generierten, verarbeiteten oder gespeicherten Daten (insbesondere auch personenbezogene Daten im Sinne der DSGVO) verbleiben im Eigentum des AG. | muss | A | ||
| 5.10 | Der Zugriff des AN oder dessen Vertragspartnern auf Daten des AG ist nur in den vereinbarten Fällen gestattet, und auf das für diese Fälle erforderliche Maß zu beschränken. Auf Anforderung des AG hat der AN die dazu von ihm ergriffenen Maßnahmen innerhalb angemessener Frist darzustellen. | muss | A |
4. Datenschutz
| Auflistung Standardanforderungen für die Leistungsbeschreibung - Datenschutz | Unnamed: 1 | Unnamed: 2 | Unnamed: 3 | Unnamed: 4 | Unnamed: 5 |
|---|---|---|---|---|---|
| ID | Anforderung | Priorität | Kriterium | Bemerkung | Antworten des Bieters (Angebot) |
| 7.1 | Soweit im Rahmen der Leistungserbringung eine Künstliche Intelligenz (KI) gem. der Definition der KI-Verordnung der Europäischen Union eingesetzt wird, legt der AN dar, - zu welchem Zweck die KI eingesetzt wird und - welcher Teil der Datenverarbeitung mittels KI durchgeführt wird. | muss | A | Als separat gekennzeichnete Anlage mit dem Angebot einzureichen. | |
| 7.2 | Soweit im Rahmen der Leistungserbringung eine Künstliche Intelligenz (KI) gem. der Definition der KI-Verordnung der Europäischen Union eingesetzt wird, liefert der AN Informationen, ob die KI mit personenbezogenen Daten trainiert wird. Ein solches Training der KI mit personenbezogenen Daten im Verantwortungsbereich des AG darf nur nach der schriftlichen Freigabe des AG erfolgen. | muss | A | Als separat gekennzeichnete Anlage mit dem Angebot einzureichen. | |
| 7.3 | Soweit im Rahmen der Leistungserbringung eine Künstliche Intelligenz (KI) gem. der Definition der KI-Verordnung der Europäischen Union eingesetzt wird, liefert der AN Informationen, ob die KI eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO durchführt. | muss | A | Wenn ja, soll dieses Vorgehen nur nach der schriftlichen Freigabe des AG möglich sein. Als separat gekennzeichnete Anlage mit dem Angebot einzureichen. | |
| 7.4 | Soweit der AN im Rahmen der Leistungserbringung Systeme oder Funktionalitäten einsetzt, die als Künstliche Intelligenz (KI) im Sinne der KI Verordnung der Europäischen Union einzustufen sind, muss der AN sicherstellen, dass sämtliche KI basierten Komponenten, Funktionen oder Verarbeitungsschritte auf Anweisung des AG zentral und wirksam deaktiviert werden können. Die Deaktivierung muss ohne Beeinträchtigung der übrigen vertraglich vereinbarten Leistungsbestandteile erfolgen. | muss | A | ||
| 7.5 | Soweit im Rahmen der Leistungserbringung eine Künstliche Intelligenz (KI) gem. der Definition der KI-Verordnung der Europäischen Union eingesetzt wird, teilt der AN mit, welche Schritte unternommen wurden um sicherzustellen, dass geeignete Maßnahmen zum Schutz und zur Gewährleistung der Betroffenenrechte gem. Art. 12 ff DSGVO ergriffen werden können. | muss | A | ||
| 7.6 | Die Applikation, inklusive einer ggf. eingesetzten KI gem. Definition der KI-Verordnung der Europäischen Union, muss den Anforderungen des Art. 25 DSGVO (Privacy by Design und Privacy by Default) entsprechen. Der AN hat dies durch geeignete technische und organisatorische Maßnahmen sicherzustellen und dies auf Verlangen des Auftraggebers nachzuweisen. | muss | A | ||
| 7.7 | Der AN weist per Dokumentation nach, dass die Applikation mit Blick auf Anzahl der Datenfelder/Attribute, Anzahl der Betroffenen und Nutzungsintensität auf das erforderliche Maß beschränkt (so wenig wie möglich) werden kann. | muss | A | ||
| 7.8 | Die Applikation ist in der Lage, die Erfüllung der Betroffenenrechte gem. Art. 12 ff DSGVO zu unterstützen: - Korrektur/Aktualisierung der Daten ist möglich bzw. sichergestellt - Löschung von Daten zu einzelnen Betroffenen ist möglich - Sperrung von Daten zu einer Person im Einzelfall ist möglich - Vollständige Kopie aller Daten zu einer Person ist erstellbar | muss | A | ||
| 7.9 | Der AN muss mitteilen, welche Funktionalitäten zur Sperrung und Löschung von personenbezogenen Daten innerhalb der Anwendung bestehen, und mit welchen technischen Verfahren die personenbezogenen Daten gesperrt, bzw. gelöscht werden können. | muss | A | Personenbezogene Daten sind u.a. User-IDs, Kontaktdaten, etc. Für den DSGVO-konformen Betrieb der Applikation müssen diese bekannt sein und dann auch im Rahmen der technischen Möglichkeiten gelöscht werden, wenn der Verarbeitungsgrund entfallen ist. Als separat gekennzeichnete Anlage mit dem Angebot einzureichen. | |
| 7.10 | Der AN muss nachweisen, welche Logfiles durch die Applikation erzeugt werden, und wie lange diese gespeichert werden. | muss | A | ||
| 7.11 | Soweit die Applikation zwecks Datensicherung in regelmäßigen Abständen automatisiert Backups anlegt, weist der AN nach, wie oft und in welchen regelmäßigen Abständen diese angelegt werden. | muss | A | ||
| 7.12 | Soweit eine Drittstaatenübermittlung von personenbezogenen Daten, inklusive einer ggf. eingesetzten KI gem. Definition der KI-Verordnung der Europäischen Union, erfolgt, legt der AN dar, welche personenbezogene Daten exportiert werden, und zu welchem Zweck. | muss | A | Als separat gekennzeichnete Anlage in tabellarischer Form mit dem Angebot einzureichen. | |
| 7.13 | Soweit eine Drittstaatenübermittlung von personenbezogenen Daten, inklusive einer ggf. eingesetzten KI gem. Definition der KI-Verordnung der Europäischen Union, erfolgt, legt der AN dar, welche der nachfolgenden Übermittlungsinstrumente für die Drittstaatenübermittlung Anwendung finden: - Angemessenheitsbeschluss der EU-Kommission liegt vor. - EU-Standarddatenschutzklauseln wurden geschlossen. - Ein anderer Mechanismus zur Sicherstellung der Zulässigkeit des Exports wurde umgesetzt. - Die Ausnahmeregelung gemäß Art. 49 DSGVO greift. | muss | A | Bitte angeben, welches der Instrumente Anwendung findet. Hier muss eine konkrete Darlegung erfolgen, welches Übermittlungsinstrument vorliegt. | |
| 7.14 | Der AN ist verpflichtet, den AG bei der Durchführung einer Schwellwertanalyse bzw. der Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO umfassend fachlich zu unterstützen. Dies umfasst insbesondere die Bereitstellung aller für die Bewertung der Risiken erforderlichen Informationen (u.a. die Darlegung der involvierten Logik bzw. des zugrundeliegenden Algorithmus, da nur auf dieser Wissensbasis die Datenschutzinformationen für die Betroffenen erstellt werden können), die Mitwirkung bei der Beantwortung fachlicher Rückfragen sowie die Zuarbeit bei der Erstellung, Aktualisierung und Dokumentation der Datenschutz-Folgenabschätzung. | muss | A |
5. IT-Sicherheit
| Gesamtliste Standardanforderungen für die Leistungsbeschreibung - IT-Sicherheit | Unnamed: 1 | Unnamed: 2 | Unnamed: 3 | Unnamed: 4 | Unnamed: 5 |
|---|---|---|---|---|---|
| ID | Anforderung | Priorität | Kriterium | Bemerkung | Antworten des Bieters (Angebot) |
| 8.1 | Die Übertragung personenbezogener und weiteren durch den AG bestimmten vertraulichen Daten muss über geschützte Übertragungswege nach aktuellem Stand der Technik (z.B. https) erfolgen. | muss | A | ||
| 8.2 | Die Speicherung personenbezogener und weiteren durch den AG bestimmten vertraulichen Daten muss nach aktuellem Stand der Technik (z.B. AES256) erfolgen. | muss | A | ||
| 8.3 | Komponenten und Dienste der Applikation erhalten nur die minimal für die Anwendungsnutzung notwendigen Rechte (z.B. User Kontext und kein administrativer Laufwerkszugriff o.ä.). | muss | A | Hierbei handelt es sich um die Infrastruktur- und Plattformebene. | |
| 8.4 | Die Applikation und ihre mitgelieferten Komponenten sind frei von Schadcode und bekannten Sicherheitslücken. | muss | A | ||
| 8.5 | Der AN hat nach Kenntnisnahme von Sicherheitslücken und -problemen unverzüglich Informationen zu diesen Sicherheitslücken und -problemen dem AG über die vereinbarten Kommunikationswegen zu melden und geeignete Lösungsvorschläge zu unterbreiten. | muss | A | Siehe Anforderung 8.7 und 8.8 | |
| 8.6 | Der AN weist im Rahmen eines Release Konzept nach und dokumentiert, in welchem Zyklus der AG neue Versionen der Applikation erhält, und wie mit Sicherheitsupdates umgegangen wird. | muss | A | Dieses Konzept muss vor Inbetriebnahme mit der IT-Security und dem IT-Betrieb des AG abgestimmt sein. | |
| 8.7 | Der AN weist nach, in welcher Form und nach welchem Zeitplan für seine Applikation bekannte Sicherheitsprobleme dokumentiert und abgestellt werden, und in welcher Zeit und Form Sicherheitsupdates dem AG zur Verfügung gestellt werden. | muss | A | ||
| 8.8 | Der AN gewährleistet während der gesamten Vertragslaufzeit die Bereitstellung von Sicherheitsupdates, Fehlerbehebungen und funktionalen Aktualisierungen für die eingesetzte Software und deren Komponenten. Der Support umfasst mindestens die Bereitstellung eines technischen Supports mit definierten Reaktionszeiten sowie die Pflege einer aktuellen Dokumentation. | muss | A | Vorbehaltlich definierten Reaktionszeiten aus weiteren Vereinbarungen zwischen dem AG und dem AN. | |
| 8.9 | Die Applikation und ihre mitgelieferten Komponenten sind frei von Code sowie Komponenten oder Modulen, welcher den Anforderungen der Applikation nicht zweckdienlich ist, oder gar der Sicherheit der Applikation entgegenwirkt. | muss | A |
6. Barrierefreiheit
| Gesamtliste Standardanforderungen für die Leistungsbeschreibung - Barrierefreiheit | Unnamed: 1 | Unnamed: 2 | Unnamed: 3 | Unnamed: 4 | Unnamed: 5 |
|---|---|---|---|---|---|
| ID | Anforderung | Priorität | Kriterium | Bemerkung | Antworten des Bieters (Angebot) |
| 9.1 | Der AN muss der Autobahngesellschaft über bekannte Einschränkungen bei der Barrierefreiheit gem. den Anforderungen der BITV 2.0 zur barrierefreien Verwendung informieren. | muss | A |
Dropdown
| Status | Priorität | Typ |
|---|---|---|
| In Bearbeitung | muss | funktionale |
| In Validierung | soll | Nicht funktionale |
| Abgelehnt | kann | Randbedingung |
| Angenommen | ||
| Zurückgestellt |