[Seite 1]
Leistungsbeschreibung
Vergabe-Nr. VG-3000-2026-0057
Beschaffung von Secure-Web-Gateway-Systemen sowie Consulting- und Unterstützungsleistungen für die Sicherheitsinfrastruktur des Landes Hessen
Z6 Vergabestelle
Tel.: 0611 340 - 0 Fax: 0611 340-1150 www.hzd.hessen.de
Hessische Zentrale für Datenverarbeitung | Postfach 3164 | 65021 Wiesbaden | www.hzd.hessen.de
[Seite 2]
Inhaltsverzeichnis Hessische Zentrale für Datenverarbeitung
Inhaltsverzeichnis
1 Einführung ......................................................................................................... 4
2 Umfang / Volumen der Ausschreibung ........................................................... 5
3 Technische Rahmenbedingungen ................................................................... 7
3.1 Installierte Gerätebasis ....................................................................................... 8 3.1.1 Hardware ............................................................................................... 8 3.1.2 Software ................................................................................................. 8 3.1.3 Management- und Reporting-Systeme .................................................. 8
4 Beschreibung der Leistung .............................................................................. 8
4.1 Generelle Anforderungen .................................................................................... 8 4.1.1 Neubeschaffung von Cisco-Secure-Web-Gateway-Systemen ............... 9 4.1.2 Hersteller-Subskription und Wartung für Hardware-Bestand (Cisco Web Security Appliances ) .......................................................................................... 9 4.1.3 Lizenzen ................................................................................................. 9
4.2 Fachliche Anforderungen .................................................................................. 10 4.2.1 Zugriff auf Hersteller ............................................................................. 10 4.2.2 Händler-Zertifizierung durch den Hersteller ......................................... 10 4.2.3 Sicherheitsüberprüfung des eingesetzten Personals ........................... 10
4.3 Zusätzliche Produkte/Folge-Produkte ............................................................... 11
4.4 Hersteller-Subskription ...................................................................................... 11
4.5 Wartungsleistungen .......................................................................................... 12 4.5.1 Generelle Regelung ............................................................................. 12 4.5.2 Wartung ............................................................................................... 12 4.5.2.1 Servicezeiten der HZD ............................................................... 14 4.5.2.2 Hotline ........................................................................................ 14 4.5.2.3 Reaktionszeiten ......................................................................... 14
4.6 Service-Übernahmeverfahren ........................................................................... 14 4.6.1 Zugriff auf Support-Server des Herstellers ........................................... 15
4.7 Vorgehensweise bei Wartungsmaßnahmen ..................................................... 15 4.7.1 Innerhalb der Gewährleistung .............................................................. 15 4.7.2 Nach Ablauf der Gewährleistung .......................................................... 17
4.8 Teilnahme an kostenfreien Veranstaltungen des Auftragnehmers .................... 17
4.9 Einbindung von kostenpflichtigen Unterstützungsleistungen des Herstellers („Advanced Services“) ............................................................................................... 17
2 Vergabe-Nr. VG-3000-2026-0057
[Seite 3]
Hessische Zentrale für Datenverarbeitung Inhaltsverzeichnis
4.10 Consulting und betriebliche Unterstützungsleistungen ...................................... 18
4.11 Teilnahme an Statustreffen ............................................................................... 19
4.12 Testgeräte ......................................................................................................... 19
4.13 Dokumentation .................................................................................................. 20 4.13.1 Hard- und Software .............................................................................. 20 4.13.2 Konformitätserklärungen für die CE-Kennzeichnung ........................... 20 4.13.3 Informationsbereitstellung zur Datenübertragung an den Hersteller .... 20
5 Leistungsort / Bezugs- und Abrufberechtigte .............................................. 21
Vergabe-Nr. VG-3000-2026-0057 3
[Seite 4]
Einführung Hessische Zentrale für Datenverarbeitung
1 Einführung
Die Hessische Zentrale für Datenverarbeitung (HZD) ist einer der führenden IT-Dienst-
leister in Deutschland. Sie unterstützt als Landesbetrieb die hessische Landesverwal-
tung in der Nutzung der Informations- und Kommunikationstechnologie. An zwei
Standorten – in Wiesbaden und Hünfeld – erarbeiten über 1000 Mitarbeiterinnen und
Mitarbeiter innovative, qualitativ hochwertige, zuverlässige und wettbewerbsfähige IT-
Lösungen für die moderne Verwaltung.
Eine für die Aufgabenerfüllung der hessischen Landesverwaltung zwingend notwen-
dige Bedingung stellt der sichere Informationsaustausch sowohl innerhalb des Landes
Hessen als auch mit externen Kommunikationspartnern dar. Hierfür betreibt die HZD
eine landesweite netztechnische Infrastruktur mit WAN- und LAN-Komponenten. Die
Übergänge werden sicherheitstechnisch mit Firewallsystemen abgesichert. Ein sehr
hoher Bestandteil des über Netzwerkgrenzen hinweg transferierten Datenverkehrs be-
ruht dabei auf dem Protokoll HTTP/HTTPS, das faktisch einen Standard für den Aus-
tausch von Daten zwischen Kommunikationspartnern darstellt, denn ein Großteil der
Datenübertragung läuft heute über HTTP und HTTPS.
Einer der wesentlichen Vorteile von HTTP/HTTPS und darauf aufsetzenden Diensten
liegt in der enormen Variabilität von programmtechnischen Ausprägungen dieses Pro-
tokolls. Auf dieser Basis lassen sich vielfältige Anwendungen oder auch Programme
transferieren. Aus sicherheitstechnischer Sicht liegt in dieser hohen Variabilität aber
ein hohes Risikopotential. Wie die häufigen Warnmeldungen und veröffentlichte
Schwachstellen von CERT-Institutionen zeigen, wird auf der Basis des Protokolls
HTTP und HTTPS in erheblichem Ausmaß auch Schadsoftware (Malware) transferiert.
Aus diesem Grund sind umfangreiche Maßnahmen zur Sicherung des HTTP/HTTPS-
basierten Kommunikationsverkehrs unumgänglich. Neben dezentralen Maßnahmen
(wie z. B. Virus-/Malware-Scanner auf Arbeitsplatzrechnern) ist der Einsatz von Si-
cherheitssystemen zur Analyse und Regulierung der HTTP-Kommunikation an zentra-
len Kommunikationsschnittstellen sinnvoll und notwendig. In diesem Umfeld kommen
Secure Web Gateways zum Einsatz.
Ein integraler Bestandteil einer Secure-Web-Gateway-Lösung ist das HTTP-Virus-/
4 Vergabe-Nr. VG-3000-2026-0057
[Seite 5]
Hessische Zentrale für Datenverarbeitung Umfang / Volumen der Ausschreibung
Malware-Scanning zur Analyse des HTTP-Datenstromes auf Schadsoftware. Damit ist
es möglich, eingehende (oder auch ausgehende) Daten auf Viren, Trojaner oder an-
dere Varianten schadhaltiger Daten zu untersuchen und bei Erkennen solcher Daten
entsprechende Maßnahmen einzuleiten.
Derzeit werden in den Netzen der Hessischen Landesverwaltung in mehreren kriti-
schen Infrastrukturen Secure-Web-Gateway-Systeme des Herstellers Cisco einge-
setzt.
Die Ziele der vorliegenden Ausschreibung sind:
- Neubeschaffung von Secure-Web-Gateway-Systemen des Herstellers Cisco.
Diese Leistung soll Hardware- und Softwarekomponenten umfassen.
- Ersatzbeschaffungen für Systeme der schon im Land Hessen existierenden
Secure-Web-Gateway-Systemen des Herstellers Cisco.
- Sicherstellung der Hersteller-Subskription und der Wartung für den Altbestand
an Secure-Web-Gateway-Systemen des Herstellers Cisco sowie auch für die
zukünftig neu zu beschaffenden Secure-Web-Gateway-Systeme.
- Über die vertragsgerechte Lieferung der ausgeschriebenen Komponenten hin-
aus auch Consulting- und Unterstützungsleistungen des Auftragnehmers bei
der Integration von Secure-Web-Gateway-Systemen in Netz-Infrastrukturen so-
wie zur Erarbeitung von Lösungsalternativen bei technischen Problemen.
Ziel der vorliegenden Ausschreibung ist der Abschluss eines Rahmenvertrages mit ei-
ner Mindestlaufzeit von zwei Jahren und einer zweimaligen automatischen Verlänge-
rung um jeweils ein weiteres Jahr bis zu maximal 4 Jahren für die vorgenannten Leis-
tungen.
2 Umfang / Volumen der Ausschreibung
Die zu beschaffenden Leistungen beziehen sich auf den Kauf neuer Systeme für
Secure-Web-Gateway-Umgebungen, die Sicherstellung von Hersteller-Subskription
und die Wartung für jene Systeme. Weiterhin beinhalten die zu beschaffenden Leis-
tungen die Unterstützung bei der Planung und Integration von Secure-Web-Gateway-
Umgebungen in komplexe Netz-Infrastrukturen sowie bei der Lösung schwerwiegen-
der Probleme.
Vergabe-Nr. VG-3000-2026-0057 5
[Seite 6]
Umfang / Volumen der Ausschreibung Hessische Zentrale für Datenverarbeitung
Aufgrund der Notwendigkeit von Ersatzbeschaffungen für bestehende Lösungen ist für
die Vertragszeit von 4 Jahren von einer Beschaffung von ca. 12 Secure-Web-Gate-
way-Systemen mit HTTP-Malware-/Virenscanner sowie entsprechenden Manage-
ment- und Reporting-Systemen auszugehen. Zusätzlich werden Neubeschaffungen
von ca. 8 zusätzlichen Secure-Web-Gateway-Systemen erwartet.
Zur Abwicklung von Projekten zur Integration der Secure-Web-Gateway-Systeme in
komplexe Netz- und Verfahrenslandschaften wird mit einem Dienstleistungsvolumen
von 2.160 Stunden (270 Personentagen) über die Vertragslaufzeit von 4 Jahren aus-
gegangen, die sich wie folgt aufteilen:
-
2.000 Stunden Consulting-Leistungen
-
160 Stunden Advanced Services des Herstellers Cisco.
Besonderheiten zu den Produkten der Hersteller Kaspersky und McAfee:
Angebote von Cisco Secure-Web-Gateway-Systemen, die mit Produkten des Herstel-
lers Kaspersky als Malware-Scanner angeboten werden, werden für den Zuschlag
abgelehnt. Ein Zuschlag auf solche Angebote erfolgt daher in diesem Vergabeverfah-
ren nicht.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt seit dem 15. März
2022 vor dem Einsatz von Virenschutzsoftware des russischen Herstellers Kaspersky
(BSI - Bundesamt für Sicherheit in der Informationstechnik - Warnung nach §13 BSIG:
Virenschutzsoftware des Herstellers Kaspersky, Download-Link BSI-Warnung gemäß
BSIG §7).
In der Handlungsempfehlung wird im öffentlichen Bereich geraten:
"Unternehmen und Behörden mit besonderen Sicherheitsinteressen/Rahmenbedin-
gungen und Einrichtungen Kritischer Infrastrukturen sind in besonderem Maß gefähr-
det."
Gemäß § 1 Abs. 2 Nr. 4 des Hessischen Sicherheitsüberprüfungs- und Verschlussa-
chengesetzes (HSÜVG) i.V.m. § 1 Nr. 3 der Verordnung zur Bestimmung lebenswich-
tiger Einrichtungen nach dem Hessischen Sicherheitsüberprüfungsgesetz (Sabotage-
schutzverordnung) ist im Geschäftsbereich des Hessischen Ministeriums der Finanzen
die Hessische Zentrale für Datenverarbeitung zur lebenswichtigen Einrichtung mit si-
cherheitsempfindlichen Stellen eingeordnet worden.
6 Vergabe-Nr. VG-3000-2026-0057
[Seite 7]
Hessische Zentrale für Datenverarbeitung Technische Rahmenbedingungen
Nach § 2 Abs. 4 Nr. 2 HSÜVG sind solche Einrichtungen "lebenswichtig", die "für das
Funktionieren des Gemeinwesens unverzichtbar sind und deren Beeinträchtigung zu
einer Gefährdung der Versorgung der Bevölkerung mit wichtigen Dingen des Lebens
führen oder erhebliche Unruhe in großen Teilen der Bevölkerung und somit Gefahren
für die öffentliche Sicherheit oder Ordnung entstehen lassen würde“.
Daher darf sich die HZD für das Land Hessen keinem erhöhten Risiko aussetzen durch
den Einsatz eines Virenschutzprodukts eines russischen Herstellers, zu dessen Pro-
dukten noch dazu eine Warnung des BSI vorliegt.
Ebenso werden Angebote abgelehnt, in denen Secure-Web-Gateway-Systeme mit
Malware-Scannern des Herstellers Trellix angeboten werden. Ein Zuschlag auf solche
Angebote erfolgt daher in diesem Vergabeverfahren nicht.
Produkte des Herstellers Trellix dürfen ebenfalls nicht angeboten werden, denn zur
Sicherstellung eines mehrstufigen Dual-Vendor-Prinzips, das den Empfehlungen des
BSI entspricht, muss für die Malware-Analyse an den geplanten Einsatzorten eine an-
dere Software eingesetzt werden als auf den Endgeräten innerhalb der Landesverwal-
tung. Derzeit werden als landesinterne Virenschutz-Lösung die Produkte des Herstel-
lers Trellix eingesetzt. Das Land Hessen hat in seiner „Informationssicherheitsleitlinie
für die Hessische Landesverwaltung“ festgeschrieben, dass die Vorgaben und Emp-
fehlungen des BSI zu berücksichtigen sind. Daraus ergibt sich, dass auch die HZD den
Empfehlungen des BSI folgt und in beiden in der Leistungsbeschreibung beschriebe-
nen Einsatzszenarien (Übergang des Landes in das Internet und im Polizeisicherheits-
gateway) hinsichtlich der eingesetzten Virenschutzsoftware eine Dual-Vendor-Strate-
gie verfolgt. Daher muss dort ein anderes Virenschutzprodukt zu Einsatz kommen als
auf den Endgeräten.
3 Technische Rahmenbedingungen
Die HZD hat zur Gewährleistung der Sicherheit ihrer Netzwerk-Infrastrukturen in kriti-
schen Umgebungen eine umfangreiche Segmentierung der Netze durchgeführt. Die
sicherheitstechnische Absicherung der Übergänge zwischen den Netzsegmenten wird
von Firewall-Systemen gewährleistet.
Die Secure-Web-Gateway-System-Lösungen werden in diesen Umgebungen zur zu-
sätzlichen Absicherung der HTTP/HTTPS-Kommunikation integriert.
Vergabe-Nr. VG-3000-2026-0057 7
[Seite 8]
Beschreibung der Leistung Hessische Zentrale für Datenverarbeitung
Diesen Systemen kommt daher eine hohe Bedeutung zur Aufrechterhaltung der ge-
samten Netz-Sicherheit zu.
3.1 Installierte Gerätebasis
3.1.1 Hardware
Derzeit werden in der HZD für die produktiven Umgebungen die Hardware-System des
Herstellers Cisco vom Typ S695 und S696 zum Teil mit 10 GBit/s-Interfaces einge-
setzt. In Testumgebungen werden Hardware-Systeme vom Typ S195 und S196 ein-
gesetzt.
3.1.2 Software
Es wird die aktuelle Software-Release eingesetzt. Dabei kommen entweder Lizenzen
des Typs „Cisco Web Essentials SW Bundle“ oder „Cisco Web Advantage SW Bundle“
zum Einsatz.
3.1.3 Management- und Reporting-Systeme
Die Management- und Reporting-Systeme (SMA) kommen als virtuelle Appliances in
den jeweils aktuellen Releases zum Einsatz.
4 Beschreibung der Leistung
4.1 Generelle Anforderungen
In den Netzwerk-Infrastrukturen des Landes Hessen werden derzeit zur Absicherung
der Netzwerk-Übergänge fast ausschließlich Secure-Web-Gateway-Systeme des Her-
stellers Cisco eingesetzt. Aufgrund der installierten Gerätebasis von Secure-Web-Ga-
teway-Systemen des Herstellers Cisco in komplexen und kritischen Infrastrukturen,
der langfristigen Wartungsverpflichtungen und des im betrieblichen Umfeld vorhande-
nen Wissens in Bezug auf Secure-Web-Gateway-Systeme des Herstellers Cisco sol-
len auch zukünftig Produkte des Herstellers Cisco eingesetzt werden.
8 Vergabe-Nr. VG-3000-2026-0057
[Seite 9]
Hessische Zentrale für Datenverarbeitung Beschreibung der Leistung
Über die vertragsgemäße Lieferung der ausgeschriebenen Komponenten hinaus sind
weiterhin Unterstützungsleistungen zur Integration von Secure-Web-Gateway-Syste-
men in Netzstrukturen gefordert. Neben Consultingleistungen umfasst dies auch
Dienstleistungen zur technischen Integration von Secure-Web-Gateway-Systeme in
die Netzwerkumgebungen des Landes.
Dabei werden Beratungsdienstleistungen durch Consultants benötigt. Für Spezialfälle
wird Unterstützung durch Cisco Advanced Services benötigt.
Deshalb muss der Auftragnehmer über entsprechend geschultes, fachkundiges und
durch den Hersteller zertifiziertes Personal verfügen.
4.1.1 Neubeschaffung von Cisco-Secure-Web-Gateway-Systemen
Die neu zu beschaffenden Firewall-Systeme werden aus der Produktreihe Cisco Web
Security Appliance S196/S197 und S696/S697 und aus Produktreihen eventueller
Nachfolgeprodukte beschafft.
Es ist geplant, während der Vertragslaufzeit ca. 12 Systeme im Rahmen von Lebens-
zyklustauschen zu beschaffen. Aufgrund von Neugeschäft sowie Erweiterungen im
Leistungsumfang (sowohl technisch als auch im Lizenzumfang) ist zudem mit der Be-
schaffung von etwa 8 Systemen zu rechnen. Hierfür sind ebenfalls Hersteller-Subskrip-
tion und Wartung zu gewährleisten.
4.1.2 Hersteller-Subskription und Wartung für Hardware-Bestand (Cisco Web Security Appliances )
Der Auftragnehmer gewährleistet für die bereits im Land Hessen Cisco Web Security
Appliances - wie in Ziffer 3.1 beschrieben - die Hersteller-Subskription und die Wartung
(siehe auch Ziffer 4.4 und 4.5).
4.1.3 Lizenzen
Der Auftragnehmer stellt die benötigten Lizenzen („Cisco Web Essentials SW Bundle“
oder „Cisco Web Advantage SW Bundle“ sowie die nötigen Managmenent- und Re-
porting-Lizenzen) im erforderlichen Umfang (nutzerbezogen) bereit. Aktuell ist von ei-
nem Gesamtumfang erforderlicher Lizenzen von ca. 89.000 nutzerbezogenen Lizen-
zen auszugehen.
Vergabe-Nr. VG-3000-2026-0057 9
[Seite 10]
Beschreibung der Leistung Hessische Zentrale für Datenverarbeitung
4.2 Fachliche Anforderungen
Die folgenden Anforderungen müssen während der gesamten Laufzeit vom Auftrag-
nehmer erfüllt werden:
4.2.1 Zugriff auf Hersteller
Ist der Auftragnehmer nicht Hersteller der angebotenen Komponenten, muss der Sup-
port für die angebotenen Komponenten durch direkten Zugriff auf den Hersteller Cisco
sowie dessen Support-/Entwickler-Team gewährleistet sein.
Der Auftragnehmer verpflichtet sich, bei schwerwiegenden Problemen, die er nicht
selbst lösen kann, bei dem jeweils zuständigen Hersteller-Support-Center für die HZD
kostenfrei „TAC-Cases” zu eröffnen. Die HZD erhält die kostenfreie Möglichkeit, die
vom Auftragnehmer beim Hersteller eröffneten TAC-Cases direkt zu verfolgen. Die
hierfür erforderlichen vertraglichen Regelungen mit dem Hersteller müssen vom Auf-
tragnehmer erfüllt sein.
Diese Möglichkeit – wie vorstehend beschrieben – gilt sowohl für die Altgeräte als auch
für die vom Auftragnehmer angebotenen Neusysteme.
4.2.2 Händler-Zertifizierung durch den Hersteller
Der Auftragnehmer ist in Besitz einer Zertifizierung durch das Partner-Programm des
Herstellers Cisco mit der Einstufung „Gold“.
Das Partnerprogramm des Herstellers Cisco ist im Internet unter folgendem Link be-
schrieben: https://www.cisco.com/site/de/de/partners/index.html.
4.2.3 Sicherheitsüberprüfung des eingesetzten Personals
Über die vertragsgemäße Lieferung der ausgeschriebenen Komponenten hinaus wer-
den vom Auftragnehmer Unterstützungsleistungen (technische Integration sowie Con-
sulting-Leistungen) zur Integration von Firewall-Systemen in Netzinfrastrukturen gefor-
dert.
Da es sich bei diesen Dienstleistungen regelmäßig um sicherheitskritische Themen für
das Land Hessen handelt, ist es erforderlich, dass die mit diesen Dienstleistungen be-
trauten Mitarbeiter sicherheitsüberprüft nach HSÜG-2 sind bzw. dass für nicht über-
10 Vergabe-Nr. VG-3000-2026-0057
[Seite 11]
Hessische Zentrale für Datenverarbeitung Beschreibung der Leistung
prüfte Mitarbeiter eine entsprechende Überprüfung in die Wege geleitet wird. Der Auf-
tragnehmer verpflichtet sich, Mitarbeiter einzusetzen, die sich mit einer Überprüfung
einverstanden erklären.
Den Einsatz nicht-sicherheitsüberprüfter Mitarbeiter kann die HZD ablehnen. Außer-
dem kann die HZD auch den Einsatz von Mitarbeitern ablehnen, bei denen das Ergeb-
nis der Überprüfung positiv ausfällt bzw. einen Austausch der Mitarbeiter verlangen.
4.3 Zusätzliche Produkte/Folge-Produkte
Neben den in Ziffer 3 aufgeführten Produkten des Herstellers Cisco müssen bei Bedarf
zu den angebotenen Geräten auch weiteres Zubehör wie z.B. Netzwerk-Karten mit
zugehörigen Schnittstellen (SFP’s) wie z.B. derzeit noch nicht verfügbare höherwertige
Netzwerkschnittsellen (> 10 Gbit/s) oder weitere in der Leistungsbeschreibung nicht
benannte oder noch nicht auf dem Markt erhältliche IT-Produkte aus dem Bereich
„Cisco Web Security Appliance“ des Herstellers Cisco über den Rahmenvertrag be-
schafft werden können.
Hierbei handelt es sich um Produkte des Herstellers Cisco, die mit den beschriebenen
Leistungen vergleichbar sind oder bisher noch nicht erhältliche Produkte des Herstel-
lers Cisco, die das Leistungsspektrum erweitern und zur Erreichung des mit der Aus-
schreibung verfolgten Zwecks benötigt werden.
4.4 Hersteller-Subskription
Unter Hersteller-Subskription wird das Recht verstanden, neue Software-Releases,
Software-Updates und Hot-Fixes auf den Secure-Web-Gateway-Systemen aufzuspie-
len und lizenzrechtlich gerechtfertigt zu betreiben.
Für die Systeme müssen für die Laufzeit des Rahmenvertrages eine Hersteller-Sub-
skription durch den Auftragnehmer wie folgt angeboten werden:
- Die Hersteller-Subskription ist für Neugeräte für die ersten zwei Jahre in den
Kaufpreis einzukalkulieren.
- Nach Ablauf der Subskriptions-Laufzeit von zwei Jahren wird die weitere Her-
steller-Subskription bedarfsgerecht um jeweils ein weiteres Jahr verlängert, wo-
bei für eine Appliance die Subskriptionen für Hard- und Software auf das gleiche
Ablaufdatum verlängert werden.
Vergabe-Nr. VG-3000-2026-0057 11
[Seite 12]
Beschreibung der Leistung Hessische Zentrale für Datenverarbeitung
- Der Auftragnehmer informiert den in der HZD verantwortlichen Bereich drei Mo-
nate vor Ablauf einer Subskription und bietet eigenständig – per E-Mail – eine
Verlängerung an (Angebot als Grundlage des Abrufscheins).
Die Beauftragung erfolgt jeweils per Abrufschein zum Rahmenvertrag.
Darüber hinaus muss es der HZD auch möglich sein, die Hersteller-Subskriptionen –
sofern der Bedarf dies nötig macht – auch für kürzere Laufzeiten als 1 Jahr zu bestel-
len.
Bei Verlängerung von Hersteller-Subskriptionen für Geräte aus dem Altbestand erfolgt
eine jährliche bedarfsgerechte Verlängerung analog des oben beschriebenen Vorge-
hens.
4.5 Wartungsleistungen
4.5.1 Generelle Regelung
Mit der Abgabe seines Angebotes verpflichtet sich der Auftragnehmer – auch wenn er
nicht Hersteller der angebotenen Produkte ist – den Auftraggeber im Rahmen des In-
cident- und Problem-Managements bezüglich aller angebotenen Hard-/Softwarekom-
ponenten ohne gesonderte Vergütung zu unterstützen.
Der Auftragnehmer verpflichtet sich, der HZD innerhalb der Servicezeiten der HZD
(vgl. auch Ziffer 4.5.2.1) bei
-
produktspezifischen Problemen,
-
schwerwiegenden Störungen bzw. Ausfällen der in der HZD eingesetzten Fire-
wall-Systeme, die länger als 8 Stunden bestehen
einen 3rd-Level Support zur Verfügung zu stellen.
Ist der Auftragnehmer nicht Hersteller der angebotenen Komponenten, muss der Sup-
port für die angebotenen Komponenten für den Auftragnehmer durch direkten Zugriff
auf den Hersteller Cisco sowie dessen Support-/Entwickler-Team gewährleistet sein.
Die HZD erhält die kostenfreie Möglichkeit, die vom Auftragnehmer beim Hersteller
eröffneten Support-Cases direkt zu verfolgen.
4.5.2 Wartung
Unter Wartung sind die folgenden Leistungen des Auftragnehmers zu verstehen:
12 Vergabe-Nr. VG-3000-2026-0057
[Seite 13]
Hessische Zentrale für Datenverarbeitung Beschreibung der Leistung
- Austausch defekter Hardware vor Ort innerhalb 24 Stunden nach Fehlerbe-
stimmung innerhalb der Servicezeiten der HZD
-
Vorhalten einer Service-Hotline
-
Einhaltung der Reaktionszeiten
-
Störungsbehebung durch herstellerzertifizierte Mitarbeitende.
Die Wartung durch den Auftragnehmer ist für Neugeräte für die ersten beiden Jahre in
den Kaufpreis der Appliance einzukalkulieren.
Nach Ablauf der Laufzeit von 2 Jahren wird die weitere Wartung bedarfsgerecht für
jeweils 1 weiteres Jahr verlängert. Die Beauftragung dieser Verlängerungen erfolgt per
Abrufschein zum Rahmenvertrag – zusammen mit der Verlängerung der Hersteller-
Subskription.
Für Geräte aus dem Altbestand erfolgt die Wartungsverlängerung bedarfsgerecht je-
weils für 1 Jahr. Dabei wird die Laufzeit der Wartungsverträge identisch gehalten mit
der Laufzeit der Herstellersubskription.
Darüber hinaus muss es der HZD auch möglich sein, die Wartung analog zu Hersteller-
Subskriptionen – sofern der Bedarf dies nötig macht – auch für kürzere Laufzeiten als
1 Jahr zu bestellen.
Der Auftragnehmer informiert den in der HZD für die Planung von Firewall-Infrastruk-
turen verantwortlichen Bereich 3 Monate vor Ablauf eines Wartungsvertrags und bietet
eigenständig – per E-Mail – eine Verlängerung an (Angebot als Grundlage des Abruf-
scheins).
Zusätzlich bietet der Auftragnehmer die Möglichkeit an, die oben beschriebenen Vor-
Ort-Austauschzeiten zur Erhöhung des Service-Levels zu verkürzen. Die SLA-Erhö-
hung umfasst folgende Leistungen:
- Austausch defekter Hardware vor Ort innerhalb von 4 Stunden nach Fehlerbe-
stimmung an 7 Tagen/Woche (365 Tage/Jahr) rund um die Uhr
-
Servicezeit Mo–So 00:00–24:00 Uhr
-
Verkürzung der Reaktionszeit auf 1 Stunde.
Die SLA-Erhöhung wird bedarfsgerecht für das jeweilige System beauftragt. Dabei
kann die erstmalige Beauftragung zusammen mit dem Kauf auch über eine Laufzeit
Vergabe-Nr. VG-3000-2026-0057 13
[Seite 14]
Beschreibung der Leistung Hessische Zentrale für Datenverarbeitung
von zwei Jahren (analog der Standardwartung) erfolgen. Danach erfolgt die Beauftra-
gung grundsätzlich im Ein-Jahres-Rhythmus.
Für Geräte aus dem Altbestand, die sich derzeit schon im erhöhten SLA befinden und
in diesen SLA übernommen werden sollen, erfolgt die Beauftragung jeweils für 1 Jahr.
Der Auftragnehmer stellt zusammen mit dem Angebot eine Beschreibung seines War-
tungskonzepts sowie eine Beschreibung der Eskalationsstufen als Information für den
Auftraggeber zur Verfügung.
Nach Vertragsschluss müssen durch den Auftragnehmer die Ansprechpartner für die
einzelnen Rollen in der Eskalationsprozedur namentlich und mit Kontaktdaten und Es-
kalationsstufe benannt werden.
4.5.2.1 Servicezeiten der HZD
Die Servicezeiten der HZD lauten:
-
Montag–Donnerstag: 07:00 Uhr–17:00 Uhr
-
Freitag: 07:00 Uhr–16:00 Uhr
4.5.2.2 Hotline
Der Auftragnehmer stellt kostenfrei eine „Service Hotline“ an 7 Tagen/Woche (365
Tage/Jahr) rund um die Uhr zur Verfügung.
4.5.2.3 Reaktionszeiten
Der Auftragnehmer gewährleistet eine Reaktionszeit von maximal 4 Stunden innerhalb
der Servicezeit, gerechnet ab dem Zeitpunkt der Fehlermeldung bis zum Beginn der
Fehlerbehebung.
Ist für ein System die oben beschriebene SLA-Erweiterung beauftragt, verringert sich
die Reaktionszeit auf 1 Stunde. Es gilt zudem die erweiterte Servicezeit.
4.6 Service-Übernahmeverfahren
Zur Unterstützung des Betriebs werden alle beschafften Cisco Secure-Web-Gateway-
Systeme über deren gesamte Lebensdauer unter Wartung gehalten. Dazu gehört der
14 Vergabe-Nr. VG-3000-2026-0057
[Seite 15]
Hessische Zentrale für Datenverarbeitung Beschreibung der Leistung
Austausch defekter Hardware vor Ort nach Fehlerbestimmung innerhalb der Service-
zeiten der HZD gemäß SLA. Die über diese Ausschreibung beschafften Komponenten
werden zum großen Teil mithilfe eines dedizierten Servicepartners betreut. Dieser de-
dizierte HZD-Servicepartner erbringt seine Leistungen über einen separaten Rahmen-
vertrag. Im Falle der Übernahme der beschafften Komponenten in diesen separaten
Rahmenvertrag geht auch die Wartungsleistung bezüglich des Austausches auf die-
sen über.
Der Auftragnehmer verpflichtet sich, im Falle einer Serviceübernahme der gelieferten
Komponenten in den beschriebenen Service, das durch den jeweiligen Servicepartner
angestoßene Übernahmeverfahren (Take-Over) zu unterstützen. Die Serviceüber-
nahme kann zu jedem Zeitpunkt während der Laufzeit des Vertrages erfolgen. Die
Übertragung der Wartungsleistungen, hinsichtlich eines Austausches auf einen ande-
ren Dienstleister, führt in der Regel zu einer Rückerstattung des noch verbliebenen
Anteils der Wartungsgebühren an den Auftraggeber. Der Auftragnehmer verpflichtet
sich, diese Rückerstattung im Rahmen eines mit der HZD zu vereinbarenden Proze-
dere der HZD gutzuschreiben.
4.6.1 Zugriff auf Support-Server des Herstellers
Der Zugriff auf Server des Herstellers, durch den Patches, Updates und neue Relea-
ses zur Verfügung gestellt werden, wird durch den Auftragnehmer z. B. über einen
geschützten Zugang (z.B. https im Internet) mit einem Benutzer-Account auf dem Her-
steller-Server ohne zusätzliche Kosten gewährleistet.
4.7 Vorgehensweise bei Wartungsmaßnahmen
4.7.1 Innerhalb der Gewährleistung
Der Auftragnehmer gewährleistet, dass seine Leistungen, insbesondere die von ihm
gelieferten Produkte, frei von Sach- und Rechtsmängeln sind. Die Dauer der Gewähr-
leistung, die sich im Umfang – soweit nachfolgend nicht anders geregelt – gemäß den
jeweiligen EVB-IT-Verträgen definiert (inklusive Vor-Ort-Abholung/Lieferung innerhalb
Hessens und in Mainz), beträgt generell
24 Monate ab Abnahmedatum.
Vergabe-Nr. VG-3000-2026-0057 15
[Seite 16]
Beschreibung der Leistung Hessische Zentrale für Datenverarbeitung
Erfüllungsort für die Gewährleistungsverpflichtung ist der jeweilige Aufstellungsort des
Gerätes, d.h. die Reparaturen sind vordringlich vor Ort auszuführen. Soweit dies nicht
möglich ist, wird das Gerät kostenlos vom Auftragnehmer abgeholt und nach erfolgter
Reparatur wieder am Aufstellungsort installiert. In diesem Fall muss für die Dauer der
Reparatur ein Ersatzgerät vor Ort bereitgestellt werden. Alternativ zur Reparatur kann
auch ein Austauschgerät zum Verbleib am Aufstellungsort bereitgestellt werden.
Der Auftragnehmer trägt die Gefahr von der Abholung bis zur Rückgabe an die HZD.
Dies gilt auch dann, wenn er sich zur Abholung und/oder zur Erledigung der Repara-
turarbeiten Dritter bedient. Die Entsorgung bzw. Bereitstellung, von Transport- und
Verpackungsmaterial bei Lieferung, bzw. Abholung, erfolgt durch den Auftragnehmer.
Der Einbau von zusätzlichen Komponenten in die Geräte (z.B. Speichermodule, Ein-
schubkarten etc.) durch autorisiertes Fachpersonal (z.B. Systemadministrator / Tech-
niker) der HZD oder des Endkunden (= Dienststellen des Landes Hessen) beeinträch-
tigt die Gewährleistungsverpflichtung des Auftragnehmers nicht.
Die Gewährleistungsabwicklung erfolgt in enger Abstimmung mit der HZD. Gewähr-
leistungsfälle werden von der HZD aufgenommen und vorqualifiziert. Die Meldung an
den Auftragnehmer erfolgt vorrangig per Störungsmeldung im Incident-Management-
Tool der HZD, ansonsten per E-Mail. Ab diesem Zeitpunkt gilt der Fehler als gemeldet.
Der Auftragnehmer bestätigt (umgehend nach Erhalt) den Eingang der Fehlermeldung
und veranlasst alle weiteren Schritte zur Fehlerbehebung wie z.B. Kontaktaufnahme
mit der HZD/mit dem Endkunden.
Die erfolgte Reparatur oder der Geräteaustausch wird vom Auftragnehmer ebenfalls
an die HZD, mit Datum der Rücklieferung, gemeldet.
Der Geräteaustausch erfolgt bei Hardware-Defekten innerhalb von 24 Stunden vor
Ort. Bei beauftragtem erhöhten Service-Level erfolgt der Austausch innerhalb von 4
Stunden vor Ort.
Ein Geräteaustausch umfasst Aus- und Einbau vor Ort, Verkabelung und Konfigura-
tion. Darüber hinaus hält der Auftragnehmer die jeweils benötigten Mess- und Monta-
gegeräte für Reparaturen und Diagnosetätigkeiten vor. Die Funktionsfähigkeit der zu
tauschenden Komponente muss vom Auftragnehmer soweit wiederhergestellt werden,
dass eine Erreichbarkeit des Systems von den zuständigen Managementstationen aus
16 Vergabe-Nr. VG-3000-2026-0057
[Seite 17]
Hessische Zentrale für Datenverarbeitung Beschreibung der Leistung
gegeben ist (mindestens Installation von Betriebssystem und Applikations-Software
sowie netzwerkseitige Basiskonfiguration).
Grundsätzlich erfolgt ein Austausch der defekten Komponente gegen ein identisches
System. Hierzu sind vom Auftragnehmer Komponenten in ausreichender Anzahl vor-
zuhalten.
Sollte ein identisches Gerät nicht zur Verfügung stehen, muss der Auftragnehmer
übergangsweise ein funktionsgleiches – eventuell höherwertiges – Gerät einsetzen.
Dadurch entstehende Kosten werden nicht gesondert erstattet.
4.7.2 Nach Ablauf der Gewährleistung
Nach Ablauf der Gewährleistung kann der Auftraggeber die Verlängerung der in Ziffer
4.7.1 beschriebenen Leistungen beim Auftragnehmer beauftragen.
Es gelten die gleichen Verantwortlichkeiten, Prozesse und Abläufe wie innerhalb des
Gewährleistungszeitraums.
Die Vergütung erfolgt im Rahmen der abgeschlossenen Wartungsverträge.
4.8 Teilnahme an kostenfreien Veranstaltungen des Auf-
tragnehmers
Die HZD beabsichtigt, an kostenfreien Veranstaltungen des Auftragnehmers, die der
Auftragnehmer allgemein zugänglich oder seinem Kundenkreis anbietet, wie z.B.
Roadshows, Messen, Anwender-Tage oder ähnliches und die im Zusammenhang mit
dem Vertragsgegenstand stehen, teilzunehmen. Der Auftragnehmer informiert die
HZD über derartige Angebote des Auftragnehmers. Dies beinhaltet auch ohne beson-
dere Vereinbarung und Vergütung die telefonische Beratung der Mitarbeiter der HZD.
4.9 Einbindung von kostenpflichtigen Unterstützungsleis-
tungen des Herstellers („Advanced Services“)
Der Auftragnehmer ermöglicht der HZD einzelfallbezogen auch kostenpflichtige Unter-
stützungsleistungen des Herstellers Cisco (z.B. „Advanced Services“) abzurufen. Der
Auftragnehmer hält die dafür notwendigen vertraglichen Regelungen mit dem Herstel-
ler Cisco vor.
Vergabe-Nr. VG-3000-2026-0057 17
[Seite 18]
Beschreibung der Leistung Hessische Zentrale für Datenverarbeitung
Die Einbindung des Herstellers erfolgt nur durch explizite Beauftragung durch die HZD
und immer in Abstimmung zwischen HZD und dem Auftragnehmer.
Die Kosten dafür sind gesondert im Preisblatt auszuweisen.
Dies betrifft nicht die in Ziffer 4.5.1 beschriebene herstellerseitige Support-Dienstleis-
tung bei Störungen und Problemen, die durch den Auftragnehmer an den Hersteller
per Support-Case gemeldet werden.
4.10 Consulting und betriebliche Unterstützungsleistun-
gen
Bei Bedarf kann die HZD beim Auftragnehmer Consulting- und betriebliche Unterstüt-
zungsleistungen zu den angebotenen Cisco Secure-Web-Gateway-Systemen abru-
fen.
Es handelt sich hierbei um
- allgemeine Beratungsleistungen bei der Planung neuer Cisco-Secure-Web-Ga-
teway-Umgebungen
- Unterstützungsleitungen bei der Integration von Cisco-Secure-Web-Gateway-
Umgebungen in komplexe Netzwerkinfrastrukturen
- Unterstützungsleistungen der Installation, der Konfiguration sowie der Inbe-
triebnahme von Cisco- Secure-Web-Gateway-Umgebungen.
Ein Personentag wird mit 8 Stunden berechnet.
Im Regelfall müssen solche Leistungen
- Montag – Freitag 08:00 Uhr – 18:00 Uhr
erbracht werden.
In Ausnahmefällen – z.B. zu Wartungszwecke oder bei Unterstützung im Incident-Ma-
nagement müssen auch die folgenden Zeitfenster für solche Leistungen abgedeckt
werden können:
-
Montag–Freitag 18:00 Uhr–22:00 Uhr
-
Samstag, Sonntag, Feiertag 08:00 Uhr–18:00 Uhr
18 Vergabe-Nr. VG-3000-2026-0057
[Seite 19]
Hessische Zentrale für Datenverarbeitung Beschreibung der Leistung
(Feiertage richten sich je nach Einsatzort in Rheinland-Pfalz/Hessen/Berlin/Brüssel).
Die Stundensätze sind im Preisblatt gesondert auszuweisen
Bei den Beratungs- und Unterstützungsleistungen sind die jeweils geltenden IT-Grund-
schutz-Bausteine des BSI-Grundschutzkompendiums zu berücksichtigen und in Ab-
hängigkeit des jeweiligen Schutzbedarfes anzuwenden.
Bei Bedarf ist dem Auftraggeber Einsicht die Sicherheitskonzepte des Auftragnehmers
zu gewährleisten.
Nach Absprache können diese Dienstleistungen auch durch Remote-Zugriff über die
zugehörige Infrastruktur der HZD erbracht werden. Fernzugriffe von Arbeitsplätzen au-
ßerhalb der geschützten HZD-Räume auf das HessenNetz und freigeschaltete IT-Sys-
teme sind jedoch nur zulässig, wenn dies ausdrücklich vertraglich vereinbart wurde
und vorbehaltlich der Genehmigung durch den Auftraggeber nach Abschluss des Ver-
trages.
4.11 Teilnahme an Statustreffen
Der Auftragnehmer erklärt sich bereit, an regelmäßigen (monatlichen) Statusgesprä-
chen in der HZD teilzunehmen. Werden Subunternehmer eingesetzt, trägt der Auftrag-
nehmer Sorge dafür, diese bei Bedarf zur Teilnahme an den Statusgesprächen zu
verpflichten. Die Teilnahme des Auftragnehmers bzw. des Subunternehmers an den
Statusgesprächen ist für die HZD ohne gesonderte Vergütung. Der Rhythmus der Ge-
spräche wird gesondert festgelegt. Der Auftragnehmer stellt als Teilnehmer an den
Treffen jeweils einen themen- oder fachbezogenen Ansprechpartner zur Verfügung.
Die Statustreffen können sowohl in Präsenz als auch über ein geeignetes Online-Kon-
ferenz-Tool stattfinden.
4.12 Testgeräte
Der Auftragnehmer stellt auf Anforderung der HZD unentgeltlich maximal 3 Testsys-
teme pro Jahr über einen Zeitraum von jeweils mindestens 30 Tagen pro Testgerät für
Testsituationen zur Verfügung.
Vergabe-Nr. VG-3000-2026-0057 19
[Seite 20]
Beschreibung der Leistung Hessische Zentrale für Datenverarbeitung
4.13 Dokumentation
4.13.1 Hard- und Software
Für die bereitgestellten Systeme ist eine vollständige Dokumentation für Hard- und
Software in elektronischer Form zu liefern. Die Dokumentation ist in deutscher oder
alternativ in englischer Sprache zu liefern.
Sie beinhaltet mindestens:
-
Installations- und Bedienungsanleitungen,
-
Technische Dokumentation (für Konfiguration, Betrieb und Service).
Die Dokumentation kann nach Absprache auch mittels Abruf aus dem Internet bereit-
gestellt werden.
4.13.2 Konformitätserklärungen für die CE-Kennzeichnung
Der Auftragnehmer ist verpflichtet, für die von ihm angebotenen Hardware-Komponen-
ten die entsprechenden Konformitätserklärungen für die CE-Kennzeichnung vorzuhal-
ten, als Nachweis über die Einhaltung folgender Richtlinien:
- Niederspannungsrichtlinie 2006/95/EG oder Niederspannungsrichtlinie
2014/35/EU
- EMV Richtlinie 2014/30/EU oder DIN EN 61000-3-3 VDE 0838-3:2020-07
Die Konformitätserklärungen müssen vom Auftragnehmer bzw. einer vom Hersteller
bevollmächtigten Person unterzeichnet und dem Auftraggeber als Bestandteil des Lie-
ferumfanges der entsprechenden Hardware-Komponente zur Verfügung gestellt wer-
den.
4.13.3 Informationsbereitstellung zur Datenübertragung an den Her- steller
Der Anbieter muss nach Vertragsabschluss offenlegen, welche Daten bei Nutzung der
Lösungen des Herstellers erhoben werden und ggf. an den Hersteller abfließen. Dabei
20 Vergabe-Nr. VG-3000-2026-0057
[Seite 21]
Hessische Zentrale für Datenverarbeitung Leistungsort / Bezugs- und Abrufberechtigte
muss dem Auftraggeber bekannt gemacht werden, welche Daten bei Nutzung der Lö-
sungen zur Filterung und zur Bewertung von Malware in welcher Form an den Herstel-
ler geschickt werden und wie diese Übertragung gesichert wird. Zudem muss Auskunft
darüber erteilt werden, wofür und in welchen Staaten erhobene Daten ausgewertet
werden.
5 Leistungsort / Bezugs- und Abrufberechtigte
Die Bereitstellung der Hard- und Software und die Erbringung der Dienstleistungen
erfolgen in der Regel an den derzeitigen und zukünftigen Standorten der HZD in Wies-
baden, Mainz und Hünfeld sowie ggf. weitere Standorte im Rhein-Main-Gebiet oder in
Osthessen.
Consulting-Dienstleistungen, die im Rahmen des Vertrags abgerufen werden, können
– sofern der Consulting-Gegenstand dafür geeignet ist – nach Absprache mit der HZD
auch in den Räumlichkeiten des Auftragnehmers erbracht werden. Nach Absprache
und vorbehaltlich der Genehmigung eines entsprechenden Antrages auf Fernzugriff
durch den Auftraggeber, können diese Dienstleistungen auch durch Remote-Zugriff
über die zugehörige Infrastruktur der HZD erbracht werden.
Bezugs- und Abrufberechtigte der angebotenen Leistungen ist die HZD.
Vergabe-Nr. VG-3000-2026-0057 21