[Seite 1]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Bieterfragen und Antworten

September 2026

Nr.	Thema	Frage	Antwort
9.	Anlage 08_ Mindestanzahl hauptverantwortlicher Mitarbeitende	In Anlage 08 „Eignungskriterien“ wird der Einsatz von mindestens sechs Hauptmitarbeitenden gefordert. In Anlage 18 „Bewertungsmatrix“, Kriterium K3.2.2, wird ausgeführt, dass mindestens drei Personen zu benennen sind und bei Benennung von mehr als drei Personen lediglich die fünf besten Personen in die Wertung eingehen. Wir bitten um Klarstellung, wie viele hauptverantwortliche Mitarbeitende mindestens im Angebot insgesamt zu benennen sind.	Die Angaben in der Anlage 08_Eignungskriterien sind korrekt. Es sind mindestens sechs hauptverantwortliche Mitarbeitende zzgl. eine Projektleitung und stellvertretende Projektleitung zu benennen (Personalumfang mindestens acht Personen). Werden mehr Personen benannt, werden nur die besten Personen bewertet. Die Anlage 18_Bewertungsmatrix (Seite 3 und Seite 5; K3.2.2) und Anlage 09_Eigenerklärung zur Qualifikation des eingesetzten Personals (Seite 4) wurden korrigiert (bereitgestellt.
10.	Anlage 18_ Mindestanzahl hauptverantwortlicher Mitarbeitende	Mindestanzahl der hauptverantwortlichen Mitarbeitenden mit themenspezifischen Kenntnissen: In Anlage 18 „Bewertungsmatrix“ wird unter K3.2.2 ausgeführt, dass die themenspezifischen Kenntnisse für mindestens vier der hauptverantwortlichen Mitarbeitenden erforderlich sind. An anderer Stelle innerhalb von K3.2.2 wird darauf verwiesen, dass mindestens drei Personen zu benennen sind.	Siehe hierzu Frage Nr. 9.

[Seite 2]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		Wir bitten um Klarstellung, ob die geforderten themenspezifischen Kenntnisse für mindestens drei oder vier hauptverantwortliche Mitarbeitende nachzuweisen sind.
11.	Anlage 09_ Qualifikation Projektleitung und stellv. Projektleitung	Gehen wir richtig in der Annahme, dass die in Anlage 09 „Eigenerklärung zur Qualifikation des eingesetzten Personals“, Ziffer 3.1, genannten Kenntnisse und Erfahrungen in den Bereichen IT-Sicherheit, Digitalisierung im Gesundheitswesen, Evaluation von Förderprogrammen, Reifegradmodellierung sowie in den verschiedenen Sektoren des Gesundheitswesens durch die Projektleitung und die stellvertretende Projektleitung gemeinsam abgedeckt werden können und nicht jeweils vollständig durch beide Personen nachzuweisen sind?	Nein, dies kann nicht bestätigt werden. Die genannten Voraussetzungen müssen von der Projektleitung und stellvertretenden Projektleitung erfüllt sein.
12.	Anlage 09_ Mindestberufserfahrungen Projektleitung	In der Anlage 09 "Eigenerklärung zur Qualifikation des eingesetzten Personals" werden für die Projektleitung mindestens 5 Jahre und für die stellvertretende Projektleitung mindestens 3 Jahre einschlägige Berufserfahrungen gefordert. Die Anlage 18 "Bewertungsmatrix", Abschnitt K3.1.1, fordert für beide Positionen mindestens 3 Jahre einschlägige Berufserfahrungen, anstatt mindestens 5 Jahre für die Projektleitung. Wir bitten um Erläuterung, welche Mindestanforderungen gelten.	Die Angaben in der Bewertungstabelle Anlage 18_Bewertungsmatrix (Seite 2, K3.1.1) sind korrekt. Die Ausführungen zum Bewertungsmaßstab (Seite 4, K3.1.1) wurden entsprechend korrigiert. Für die Projektleitung sind mindestens 5 Jahre, für die stellvertretende Projektleitung mindestens drei Jahre einschlägige Berufserfahrung erforderlich.

[Seite 3]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
13.	Anlage 18_ Studienabschluss Personal	In der Anlage 18 „Bewertungsmatrix“ wird in den Wertungsmaßstäben zu K3.2.1 auf Seite 5 ausgeführt, dass hauptverantwortliche Mitarbeitende mit einem Masterabschluss (oder vergleichbarem Abschluss) im Bereich der genannten Themen jeweils zwei Punkte erhalten. Im weiteren Verlauf desselben Abschnitts wird jedoch ausgeführt, dass ein Masterabschluss (oder vergleichbarer Abschluss) im Bereich der genannten Themen mit jeweils einem Punkt bewertet wird. Wir bitten um Klarstellung, welcher Bewertungsmaßstab für Masterabschlüsse im Rahmen des Zuschlagskriteriums K3.2.1 maßgeblich ist.	Die Angaben in der Bewertungstabelle Anlage 18_Bewertungsmatrix (Seite 2-3, K3.2.1 sind korrekt. Die Ausführungen zum Bewertungsmaßstab (Seite 5, K3.2.1) wurden korrigiert. Ein Masterabschluss (oder vergleichbarer Abschluss) im Bereich der genannten Themen wird mit einem Punkt bewertet. Eine Promotion (oder vergleichbarer Abschluss) im Bereich der genannten Themen wird positiv berücksichtigt und erhält 2 Punkte.
14.	Anlage 00_ Angebotsaufforderung	Fehlerhafte Referenzierung (Position 9): In der Anlage 00 "Angebotsaufforderung", Seite 5, wird die Anlage "Verpflichtungserklärung Datenschutz Verpflichteter" als Anlage 13 referenziert, die genannte Anlage ist jedoch mit der Ziffer 14 versehen. Wir gehen davon aus, dass es sich hierbei um einen Tippfehler handelt. Bitte um kurze Bestätigung.	Dies wird bestätigt. Bei der Anlage Verpflichtungserklärung Datenschutz Verpflichteter handelt es sich um die Anlage Nr. 14. Siehe hierzu auch Frage Nr. 19.

[Seite 4]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
15.	Anlage 18_ Bewertungsmatrix	In der Anlage 18 "Bewertungsmatrix", Abschnitt K3.2.1, ist die Punktestufe für 3,5 Punkte mit "43-49 Personalpunkte-72 Punkte" angegeben. Diese Angabe weicht von der übrigen, in 7er-Schritten aufgebauten Punktestaffel (0 / 1-7 / 8-14 / 15-21 / 22-28 / 29-35 / 36-42 / 50 und mehr), ab und lässt sich nicht eindeutig zuordnen. Wir bitten um Korrektur bzw. Klarstellung der korrekten Punktegrenze für die Stufe 3,5 Punkte.	Für 3,5 Bewertungspunkte sind 43-49 Personalpunkte erforderlich. Der Zusatz -72 Punkte ist zu ignorieren.
16.	Anlage 04_ Vertragsentwurf	Der Vertragsentwurf (Anlage 04) trägt in der Kopfzeile die Bezeichnung "Anlage 03_Bewerbungsbedingungen" anstelle von "Anlage 04_Vertragsentwurf". Wir bitten um Bestätigung, dass es sich hierbei um einen redaktionellen Fehler handelt und der vorliegende Vertragsentwurf tatsächlich Anlage 04 ist.	Dies wird bestätigt.

[Seite 5]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
17.	Anlage 00_ Angebotsaufforderung	Ergänzend zur vorstehenden Frage zu Position 9 (Zeile 7): Auf derselben Seite 5, der Anlage 00 "Angebotsaufforderung", wird auch die "Verpflichtungserklärung Datenschutz Verantwortlicher" (Position 10) als "Anlage 14" referenziert. Die als Anlage 14 bezeichnete Verpflichtungserklärung ist jedoch bereits Gegenstand von Position 9 (Verpflichteter); die "Verpflichtungserklärung Datenschutz Verantwortlicher" trägt tatsächlich die Ziffer 15. Wir gehen davon aus, dass auch hier ein Tippfehler vorliegt (Position 10 = Anlage 15), und bitten um kurze Bestätigung.	Siehe Frage Nr. 14.
18.	Anlage 11_ Eigenerklärung zur technischen und beruflichen Leistungsfähigkeit	In der Anlage 11 "Eigenerklärung zur technischen und beruflichen Leistungsfähigkeit" wird ein Personalumfang von mindestens 8-10 festangestellten Mitarbeitenden erwartet. Dieses Kriterium ist in den offiziellen Eignungskriterien (Anlage 08) nicht enthalten. Wir bitten um Klarstellung, ob es sich hierbei um eine zusätzliche Mindestanforderung handelt und ob freie Mitarbeitende bzw. Kooperationspartner auf den geforderten Personalumfang angerechnet werden können.	Der Personalumfang muss mindestens 8 Personen umfassen (Projektleitung, stellvertretende Projektleitung und mindestens 6 hauptverantwortliche Mitarbeitende. Siehe hierzu auch Frage Nr. 9. Bzgl. der Erfüllung der Mindestanforderungen wird auf Frage Nr. 24 verwiesen.

[Seite 6]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
19.	Verpflichtungserklärungen	Inhaltliche Abgrenzung der Verpflichtungserklärungen: Die Anlagen 14 "Verpflichtungserklärung Datenschutz Verpflichteter" und 15 "Verpflichtungserklärung Datenschutz Verantwortlicher" enthalten identischen Fließtext zu den DSGVO-Grundsätzen und unterscheiden sich lediglich in der Unterschriftenzeile, obwohl ein datenschutzrechtlich Verantwortlicher (i. S. d. Art. 4 Nr. 7 DSGVO) andere Pflichten hat als eine einfach verpflichtete Person. Wir bitten um Bestätigung, dass beide Formulare bewusst inhaltsgleich gestaltet sind oder um Klarstellung etwaiger zusätzlicher Pflichten für den/die Verantwortliche(n).	Die Anlage 14_Verpflichtungserklärung Datenschutz Verpflichteter ist auszufüllen von Projektmitarbeitenden des Auftragnehmers. Die Anlage 15_Verpflichtungserklärungerklärung Datenschutz Verantwortlicher ist auszufüllen von einer vertretungsberechtigten Person. Siehe hierzu auch 00_Angebotsaufforderung, Seite 5 (Übersicht über die mit dem Angebot einzureichenden Unterlagen).
20.	Anlage 12_ Einsatz von Unterauftragnehmern	Die Anlage 12 "Einsatz von Unterauftragnehmern" verweist als Auslösebedingung auf "Ziffer 9 der Bewerbungsbedingungen". Ziffer 9 der Anlage 03 "Bewerbungsbedingungen" behandelt jedoch die Zuschlagskriterien, Gewichtung und Bewertung, nicht den Einsatz von Unterauftragnehmern. Wir bitten um Klarstellung, welche Ziffer bzw. welches Dokument hier tatsächlich gemeint ist.	Bitte ignorieren Sie den Verweis auf die Bewerbungsbedingungen. Der einleitende Hinweis zum Ausfüllen der Anlage ist in der Anlage selbst vollständig enthalten und wird in den Bewerbungsbedingungen nicht wiederholt.

[Seite 7]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
21.	Anlage 18_ Bewertungsmaßstab	In der Anlage 18 "Bewertungsmatrix", Abschnitt K3.1.1, wird sowohl bei der Beschreibung für "0 Punkte" als auch bei "1-4 Punkte" angegeben, dass die Projektleitung/stellvertretende Projektleitung über eine Promotion oder einen vergleichbaren Hochschulabschluss verfügt. Zudem verlangt Anlage 09, Ziffer 3.1, für die Projektleitung lediglich einen "einschlägigen Hochschulabschluss", keine Promotion; eine bepunktete Promotion-Anforderung ist an anderer Stelle für die hauptverantwortlichen Mitarbeitenden (K3.2.1) vorgesehen. Wir bitten um Klarstellung, ob die Promotion-Nennung in K3.1.1 ein redaktioneller Übertrag aus K3.2.1 ist und für die Rolle der Projektleitung/stellvertretenden Projektleitung keine eigenständige Anforderung darstellt.	Hierzu bitte auch Frage Nr. 11 beachten. Die Angaben in der Bewertungstabelle Anlage 18_Bewertungsmatrix (Seite 2, K3.1.1 sind korrekt. Die Ausführungen zum Bewertungsmaßstab (Seite 5, K3.1.1) wurden korrigiert. Die Projektleitung und stellvertretende Projektleitung müssen jeweils über einen einschlägigen Hochschulabschluss verfügen.
22.	Bindefrist	Die "Bekanntmachung" gibt als Frist, bis zu der das Angebot gültig sein muss (Bindefrist), "6 Wochen" an. Gerechnet ab dem Ablauf der Angebotsfrist (17.09.2026) ergibt dies den 29.10.2026. In der Anlage 00 "Angebotsaufforderung" sowie der Anlage 02 "Zeitplan" wird dagegen der 26.11.2026 als Ablauf der Bindefrist genannt; das entspricht rund 10 Wochen ab Angebotsfrist, also 4 Wochen mehr als in der Bekanntmachung. Wir bitten um Bestätigung, welche Bindefrist (6 oder 10 Wochen bzw. welches Enddatum) tatsächlich gilt.	Es wird auf Frage Nr. 9 verwiesen.

[Seite 8]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
23.	Personalverfügbarkeit	In den Vergabeunterlagen wird die namentliche Benennung der Projektleitung, der stellvertretenden Projektleitung sowie der hauptverantwortlichen Mitarbeitenden gefordert. Vor dem Hintergrund der mehrjährigen Projektlaufzeit von 36 Monaten sowie der unterschiedlichen zeitlichen Belastung der einzelnen Projektphasen gehen wir davon aus, dass die benannten Personen entsprechend ihrer jeweiligen fachlichen Rolle und den projektbezogenen Anforderungen verfügbar sein müssen, jedoch keine durchgängige 100%ige Auslastung über die gesamte Projektlaufzeit vorausgesetzt wird. Können wir die Vergabeunterlagen dahingehend verstehen, dass die Verfügbarkeit der benannten Personen projektadäquat und entsprechend ihres vorgesehenen Leistungsbeitrags sicherzustellen ist und eine vollständige 100%ige Verfügbarkeit einzelner Teammitglieder nicht vorausgesetzt wird?	Ja, dies kann bestätigt werden. Die Personalverfügbarkeit liegt im Ermessen des Bieters. Im Zuschlagsfall muss seitens des Auftragnehmers sichergestellt sein, dass das benannte Personal für die vertragliche Aufgabenwahrnehmung zur Verfügung steht. Die in den Vergabeunterlagen festgelegten Anforderungen an die personelle Ausstattung des Projektteams bleiben hiervon unberührt.
24.	Anlage 08_ Personalumfang und Beschäftigungsform	Aus den Vergabeunterlagen ergeben sich unterschiedliche Anforderungen an das einzusetzende Personal. Bitte bestätigen Sie, ob die Benennung von mindestens acht Personen gemäß Anlage 08 ausreichend ist oder ob zwingend 8 bis 10 festangestellte Mitarbeitende gemäß Anlage 11 nachgewiesen werden müssen.	Hierzu wird auf die Fragen Nr. 9 und 18 verwiesen. Die personellen Anforderungen können auch gemeinsam als Bietergemeinschaft oder mithilfe von Unterauftragnehmern im Wege der Eignungsleihe erfüllt werden.

[Seite 9]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		Bitte stellen Sie zudem klar, ob Personal von Mitgliedern einer Bietergemeinschaft, Unterauftragnehmern oder im Rahmen der Eignungsleihe auf die geforderte Mindestzahl angerechnet werden kann.
25.	Mindestberufserfahrung Projektleitung	Aus den Vergabeunterlagen ergeben sich unterschiedliche Anforderungen an die Berufserfahrung der Projektleitung und der stellvertretenden Projektleitung. Während Anlage 18 eine Mindestberufserfahrung von fünf Jahren in gesundheitswissenschaftlichen bzw. informationstechnologischen Tätigkeiten vorsieht, werden in Anlage 09 mindestens drei Jahre genannt. Wir bitten um Klarstellung, welche Mindestberufserfahrung verbindlich nachzuweisen ist und welche Anforderungen jeweils für die Projektleitung sowie die stellvertretende Projektleitung gelten.	Hierzu wird auf Frage Nr. 12 verwiesen.
26.	Anzahl themenspezifisch qualifizierter Mitarbeitender	Für K3.2.2 bitten wir um Klarstellung, ob mindestens drei oder mindestens vier hauptverantwortliche Mitarbeitende mit den geforderten themenspezifischen Kenntnissen zu benennen sind.Bitte bestätigen Sie zudem, ob bei Benennung von mehr als der geforderten Mindestanzahl ausschließlich die fünf bestbewerteten Personen in die Wertung einfließen.	Hierzu wird auf Frage Nr. 9 und 18 verweisen.

[Seite 10]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
27.	Punktevergabe Abschlüsse und Punktespannen	Wir bitten um Klarstellung der Punktevergabe in K3.2.1. Für einen Masterabschluss werden innerhalb des Kriteriums sowohl ein als auch zwei Personalpunkte ausgewiesen. Bitte erläutern bzw. korrigieren Sie die zugrunde liegende Bewertungslogik. Zudem bitten wir um Bestätigung der korrekten Punktebandbreite für 3,5 Bewertungspunkte, da die Angabe „43-49 Personalpunkte-72 Punkte“ aus unserer Sicht nicht eindeutig ist.	Hierzu wird auf die Fragen Nr. 13 und 15 verwiesen.
28.	Anzahl der Erhebungen / Abschlussmessung	Aus den Vergabeunterlagen ist nicht eindeutig ersichtlich, ob die zusätzlich zu drei Erhebungszeiträumen genannte Abschlussmessung als eigenständige vierte Messung durchzuführen ist oder mit der dritten Erhebung identisch ist. Wir bitten daher um Klarstellung der verbindlich zu kalkulierenden Anzahl von Erhebungswellen, Messungen und Ergebnisberichten.	Es sind insgesamt drei Erhebungswellen bzw. Gesamtmessungen vorgesehen. Die dritte Erhebung stellt zugleich die Abschlussmessung dar; eine zusätzliche vierte Messung ist nicht vorgesehen. Für jede der drei Erhebungen ist jeweils ein Ergebnisbericht (Zwischenbericht) vorzusehen. Zusätzlich ist ein Abschlussbericht zu erstellen, in dem insbesondere die Ergebnisse der dritten Erhebung bzw. Abschlussmessung sowie die Analyse des longitudinalen Verlaufs darzustellen sind. Darüber hinaus ist das finale Methoden- und Modellkonzept (Modul 1) gemäß Leistungsbeschreibung in einem gesonderten Bericht darzustellen. Die weiteren Berichts- und Mitwirkungspflichten gemäß Leistungsbeschreibung bleiben unberührt.

[Seite 11]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
			Innerhalb der drei Erhebungszeiträume können die konkreten Messzeitpunkte für die jeweiligen Einrichtungsgruppen unter Berücksichtigung der Datenlage und des jeweiligen Erkenntnisbedarfs zeitlich unterschiedlich festgelegt werden. Für die Kalkulation sind somit drei Erhebungswellen mit jeweils bis zu 4.000 Einrichtungen zugrunde zu legen. Bei diesen Angaben handelt es sich um unverbindliche Schätzwerte, die der Kalkulation dienen und keinen Anspruch auf eine Teilnahme in dieser Höhe begründen.
29.	Beschreibung der Leistung	Bitte bestätigen Sie, ob die technische Umsetzung der Erhebungsplattform gemäß Modul 2 sowohl auf Grundlage eigener bestehender Plattform- oder Softwarekomponenten des Bieters als auch im Wege einer projektspezifischen Neuentwicklung erfolgen kann, sofern sämtliche funktionalen, technischen, dokumentarischen und nutzungsrechtlichen Anforderungen der Vergabeunterlagen erfüllt werden.	Ja, sowohl die Nutzung eigener bestehender Plattform- oder Softwarekomponenten als auch eine projektspezifische Neuentwicklung sind grundsätzlich möglich. Die IT-Sicherheits- und Datenschutzvorgaben sind jeweils einzuhalten (auf Frage 31 wird insofern verwiesen) Voraussetzung ist jeweils, dass sämtliche in den Vergabeunterlagen festgelegten funktionalen, technischen, dokumentarischen und nutzungsrechtlichen Anforderungen vollständig erfüllt werden. Zudem ist sicherzustellen, dass die Erhebungsplattform rechtzeitig für die vorgesehenen Erhebungen zur Verfügung steht und die erforderliche Verfügbarkeit während der jeweiligen Erhebungszeiträume gewährleistet ist.

[Seite 12]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
30.	Maximale Teilnehmer- und Einrichtungszahl	Aus den Vergabeunterlagen ergeben sich unterschiedliche Angaben zur Anzahl der teilnehmenden Einrichtungen. Während Anlage 01 von bis zu 2.200 Einrichtungen außerhalb des Krankenhausbereichs ausgeht, legt Anlage 18 im Kriterium K2.3 Erhebungen mit bis zu 4.000 Einrichtungen zugrunde. Wir bitten daher um Klarstellung der verbindlich zu kalkulierenden maximalen Anzahl teilnehmender Einrichtungen je Erhebungswelle sowie über die gesamte Projektlaufzeit.	Für die Kalkulation ist derzeit von bis zu 4.000 teilnehmenden Einrichtungen je Erhebungszeitraum auszugehen. Die in Anlage 01 genannten bis zu 2.200 Einrichtungen beziehen sich auf die Einrichtungen außerhalb des Krankenhausbereichs und stellen insoweit eine Teilmenge der insgesamt zu berücksichtigenden Einrichtungen dar. Über die gesamte Projektlaufzeit ist entsprechend mit bis zu 4.000 Teilnahmen je vorgesehener Erhebungswelle zu kalkulieren. Bei diesen Angaben handelt es sich um unverbindliche Schätzwerte, die der Kalkulation dienen und keinen Anspruch auf eine Teilnahme in dieser Höhe begründen.
31.	Hosting, Informationssicherheit und Betriebsanforderungen	Die Vergabeunterlagen enthalten aus unserer Sicht keine ausreichenden Vorgaben zu den technischen und sicherheitsbezogenen Mindestanforderungen der geforderten Erhebungsplattform. Wir bitten daher um Klarstellung insbesondere hinsichtlich Hosting- bzw. Datenverarbeitungsstandort, zulässigem Cloud-Modell, erforderlichen Zertifizierungen oder Testaten, Verfügbarkeitsanforderungen, Backup- und Wiederherstellungskonzepten, Wiederanlauf- und Datenwiederherstellungszeiten sowie Anforderungen	Die Anforderungen ergeben sich aus Anlage 01, Modul 2. Die technische Umsetzung wird nicht vorgegeben. Verbindlich gilt: Verarbeitung und Speicherung ausschließlich in der Europäischen Union, keine Übermittlung in Drittstaaten, auch nicht zu Wartungs- und Supportzwecken. Meldung von Sicherheitsvorfällen an die Auftraggeberin unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung. Die für die angebotene Lösung maßgeblichen Maßnahmen zu Hosting, Sicherheitsnachweisen, Verfügbarkeit, Datensicherung, Wiederherstellung und Sicherheitsprüfungen sind im Datenschutz- und Datensicherheitskonzept darzustellen und haben sich an

[Seite 13]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		an Penetrationstests und die Behandlung von Sicherheitsvorfällen.	hierzu geeignete technische und organisatorische Vorkehrungen nach dem Stand der Technik zu halten.
32.	Sonderanalysen und zusätzliche Leistungen	Wir bitten um Konkretisierung des als „begrenzt“ bezeichneten Umfangs der von der Auftraggeberin abrufbaren Sonderanalysen. Bitte benennen Sie ein verbindliches Mengengerüst sowie die erwarteten Reaktionszeiten. Zudem bitten wir um Klarstellung, ab wann zusätzliche Analysen oder Präsentationen als vergütungspflichtige Leistungsänderung gelten.	Bei den in den Vergabeunterlagen genannten Sonderanalysen handelt es sich um punktuelle, thematisch abgegrenzte Auswertungen zu einzelnen Fragestellungen, die sich im Verlauf des Projekts aus den Erhebungsergebnissen oder im Zusammenhang mit der Programmsteuerung ergeben können. Mit den Sonderanalysen ist insbesondere nicht die Erstellung zusätzlicher, in Umfang und Tiefe mit den vorgesehenen Zwischen- oder Abschlussberichten vergleichbarer Berichte verbunden. Der in den Vergabeunterlagen bezeichnete „begrenzte Umfang“ ist dahingehend zu verstehen, dass es sich um ergänzende Auswertungen auf Grundlage der im Rahmen des Auftrags ohnehin erhobenen und aufbereiteten Daten handelt. Der Kalkulation sind hierfür bis zu zehn Personentage je Erhebung zugrunde zu legen. Bei dieser Angabe handelt es sich um einen unverbindlichen Schätzwert, der der Kalkulation dient und keinen Anspruch auf einen Abruf in dieser Höhe begründet. Darüber hinausgehende Analysen werden als Leistungsänderung gesondert vereinbart. Die erforderlichen Bearbeitungszeiten richten sich nach Umfang und Komplexität der jeweiligen Fragestellung und werden im Bedarfsfall mit der Auftraggeberin abgestimmt. Bei zeitkritischen, inhaltlich überschaubaren

[Seite 14]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
			Fragestellungen können auch kurzfristige Zulieferungen innerhalb weniger Arbeitstage erforderlich sein.
33.	Beistellungen zum DigitalRadar	Wir bitten um Konkretisierung der nach Zuschlag bereitgestellten Inhalte zum DigitalRadar. Bitte erläutern Sie, welche Unterlagen, Datenbestände, Dokumentationen und Schnittstelleninformationen zur Verfügung gestellt werden und in welchem Anonymisierungs- bzw. Pseudonymisierungsgrad die Daten vorliegen.	Nach Zuschlag werden dem Auftragnehmer die der Auftraggeberin vorliegenden und für die Fortführung des DigitalRadar erforderlichen fachlichen und methodischen Grundlagen bereitgestellt. Hierzu zählen insbesondere die Modellgrundlagen, die Auswertungsmatrix und die Beschreibung des Analysealgorithmus sowie die Rohdaten einschließlich der erforderlichen Variablen- und Metadokumentation.
34.	Verpflichtungs- und Haftungsausschluss	Wir bitten um die Berücksichtigung branchenüblicher Lieferbedingungen und die Aufnahme einer für uns branchenüblichen Haftungsbegrenzung, die sich der Höhe nach am potentiellen Haftungsrisiko im konkreten Fall orientiert. Kann daher eine Haftungsregelung vereinbart werden, nach der die Haftung für einfache Fahrlässigkeit auf den Auftragswert beschränkt ist?	Einer Haftungsbeschränkung wird nicht zugestimmt. Hierzu wird auch auf Frage Nr. 4 verwiesen.

[Seite 15]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
35.	Nutzungsrechte, Übergabe und Verwertung	Gehen wir recht in der Annahme, dass das Arbeitsergebnis des Auftragnehmers nicht dazu bestimmt ist, Dritten für eine wirtschaftliche Entscheidung zugänglich gemacht zu werden?	Die Arbeitsergebnisse werden für die Auftraggeberin erstellt. Der Vertrag begründet keine Schutzwirkung zugunsten Dritter. Eine Haftung des Auftragnehmers gegenüber Dritten wird durch die Überlassung oder Veröffentlichung der Arbeitsergebnisse nicht begründet. Die in den Vergabeunterlagen vorgesehene Nutzung durch die Auftraggeberin, insbesondere für Zwecke der Programmsteuerung, sowie die Veröffentlichung von Berichten und Ergebnissen bleiben unberührt.
36.	Nutzungsrechte, Übergabe und Verwertung	Ist es dem Auftragnehmer gestattet mit den Dritten Vereinbarungen über die Weitergabe des Arbeitsergebnisses und dessen Verwendung zu schließen?	Eine eigenständige Weitergabe oder Verwendung der im Rahmen des Auftrags geschaffenen Arbeitsergebnisse durch den Auftragnehmer gegenüber Dritten ist nach den Regelungen des Werkvertrags grundsätzlich ausgeschlossen. Die vertraglich vorgesehene Einbindung von Mitgliedern einer Bietergemeinschaft bzw. eines Konsortiums sowie von zugelassenen Unterauftragnehmern im Rahmen der Leistungserbringung bleibt hiervon unberührt.

[Seite 16]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
37.	Nutzungsrechte, Übergabe und Verwertung	Kann der Auftragnehmer davon ausgehen, dass die ihm zur Verfügung gestellten Unterlagen, Dokumente oder sonstige Materialien weder Urheberrechte noch sonstige Rechte Dritter verletzen?	Die Auftraggeberin stellt dem Auftragnehmer nur Unterlagen bereit, die dieser im Rahmen der Vertragserfüllung nutzen darf. Auf Anlage 01, Modul 1, wird verwiesen. Eine darüber hinausgehende Gewährleistung für die Freiheit der beigestellten Unterlagen von Rechten Dritter wird nicht übernommen. Der Auftragnehmer hat die Auftraggeberin unverzüglich zu unterrichten, wenn ihm Anhaltspunkte für entgegenstehende Rechte Dritter bekannt werden.
38.	04_Vertragsentwurf	Gehen wir recht in der Annahme, dass § 8 Abs. 4 des Werkvertrages dahingehend abgeändert werden kann, dass die in § 7 Abs. 2 und § 8 Abs. 3 des Werkvertrages geregelten Freistellungspflichten ebenfalls der vertraglichen Haftungsbeschränkung gemäß § 8 Abs. 4 des Werkvertrages unterliegen?	Nein. § 8 Abs. 4 Satz 4 des Vertragsentwurfs sieht ausdrücklich vor, dass die Freistellung nach § 8 Abs. 3 sowie die Haftung für Rechtsmängel und für die Verletzung der Pflichten aus § 7 von der Haftungsbegrenzung unberührt bleiben. Eine Anpassung ist nicht vorgesehen.
39.	04_Vertragsentwurf	Da ein Werkvertrag abgeschlossen werden soll, der eine förmliche Abnahme vorsieht, gehen wir recht in der Annahme, dass die Parteien im Zuschlagsfall gemeinsam noch messbare Abnahmekriterien für die jeweiligen Leistungsbestandteile/Arbeitspakete definieren?	Es wird auf die Regelungen zur Fälligkeit der Vergütung gemäß § 5 des Werkvertrages verwiesen.

[Seite 17]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
40.	04_Vertragsentwurf	Der Auftragnehmer nutzt gemeinsam mit den anderen Mitgliedern seines weltweiten Verbundes von eigenständigen Gesellschaften eine zentralisierte IT- Infrastruktur. Dort finden sich netzwerkweite IT- Systeme, die der Auftragnehmer zur Einhaltung seiner beruflichen Vorschriften (insb. Vermeidung von Interessenskonflikten und Sicherstellung seiner Unabhängigkeit) sowie zur Durchführung von Qualitätskontrollen (z.B. Reportings, Quality Reviews), als auch zur Effizienzsteigerung und Abbildung administrativer und organisatorischer Abläufe (bspw. Rechnungslegung, einheitliche Leistungserfassung) nutzt. Für den Betrieb und die Wartung werden ausgewählte und zur Verschwiegenheit verpflichtete externe Dienstleister (DATEV, IT-Service Provider einschließlich externe Datenspeicher, Shared Services Center) eingesetzt. Gehen wir recht in der Annahme, dass Informationen des Auftraggebers in diese Systeme eingegeben werden dürfen und dies keinen Bruch der Verschwiegenheitspflicht gem. den Ausschreibungsunterlagen darstellt?	Die Nutzung konzerninterner Systeme für administrative und qualitätssichernde Zwecke, insbesondere zur Wahrung berufsrechtlicher und arbeitsvertraglicher Pflichten, zur Qualitätssicherung, zur Leistungserfassung und zur Rechnungslegung, steht der Verschwiegenheitsverpflichtung nicht entgegen. Nicht erfasst sind die im Rahmen der Erhebungen gewonnenen Daten, einrichtungsbezogene Angaben und Auswertungsergebnisse, diese sind ausschließlich in der für die Leistungserbringung vorgesehenen Umgebung zu verarbeiten. Auf die Antwort zu Frage Nr. 31 wird verwiesen. Eingesetzte externe Dienstleister sind nach Anlage 12 zu benennen.

[Seite 18]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
41.	Nachweis technische und berufliche Leistungsfähigkeit	Gehen wir Recht in der Annahme, dass der Auftraggeber in Einklang mit der einschlägigen Rechtsprechung (OLG Düsseldorf, Beschl. v. 17.04.2019 – Verg 36/18 bzw. VK Südbayern, Beschl. v. 25.02.2021 – 3194.Z3-3_01-20-47) zum Nachweis der technischen und beruflichen Leistungsfähigkeit eines Bewerbers oder Bieters Nachweise als geeignet ansieht, die zuvor in einer anderen Gesellschaft erworben wurden, aus der der Bewerber oder Bieter aufgrund einer internen Unternehmensstrukturierung aber sowohl das Personal als auch alle Betriebsmittel aus seinem Geschäftsbereich und auch von der Organisation her im Wesentlichen vollständig übernommen hat?	Ja, die Annahme wird bestätigt.
42.	Eignung	Gehen wir richtig in der Annahme, dass ein Unternehmen, welches als Subunternehmen aufgestellt ist, über eine Eignungsleihe Referenzen beisteuern kann, die für den Bewerber angerechnet werden, um die Kriterien zu erfüllen?	Ja, die Annahme wird bestätigt.
43.	Anlage 18, S. 3 u. S. 5 (K3.2.2); Anlage 09, Ziffer 3.2	Die geforderte Mindestanzahl an Mitarbeitenden mit themenspezifischen Kenntnissen ist widersprüchlich: In Anlage 18 heißt es einmal „für mindestens vier der hauptverantwortlichen Mitarbeitenden erforderlich" (S. 3) und einmal „für mindestens drei der hauptverantwortlichen Mitarbeitenden erforderlich" (S. 5). Anlage 09, Ziffer 3.2 nennt ebenfalls „für mindestens vier".	Hierzu wird auf die Fragen Nr. 9 und 18 verwiesen.

[Seite 19]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		Welche Mindestanzahl an hauptverantwortlichen Mitarbeitenden mit den themenspezifischen Kenntnissen gemäß K3.2.2 ist verbindlich – drei oder vier?
44.	Anlage 18, S. 5 (K3.2.1)	Die Punktvergabe für den Masterabschluss ist in sich widersprüchlich: „…Hochschulabschluss (Master oder vergleichbarer Abschluss) im Bereich der genannten Themen nachweisen kann, erhält jeweils zwei Punkte. Ein Masterabschluss (oder vergleichbarer Abschluss) im Bereich der genannten Themen wird mit jeweils 1 Punkt bewertet." Beide Sätze beschreiben einen einschlägigen Master, vergeben aber 2 bzw. 1 Punkt. Die Punktvergabe für den Masterabschluss ist in sich widersprüchlich: „…Hochschulabschluss (Master oder vergleichbarer Abschluss) im Bereich der genannten Themen nachweisen kann, erhält jeweils zwei Punkte. Ein Masterabschluss (oder vergleichbarer Abschluss) im Bereich der genannten Themen wird mit jeweils 1 Punkt bewertet." Wie viele Personalpunkte werden für einen einschlägigen Masterabschluss vergeben – zwei oder einen? Gehen wir Recht in der Annahme, dass für Bachelorabschlüsse nur ein Punkt vergeben wird?	Hierzu wird auf Frage Nr. 13 verwiesen.

[Seite 20]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
45.	Anlage 18, S. 5 (K3.2.1, Umrechnungstabelle)	Die Intervallgrenzen der Umrechnungstabelle erscheinen teilweise fehlerhaft bzw. uneindeutig: Für 3,5 Punkte ist „43-49 Personalpunkte-72 Punkte" angegeben; zudem wechselt die Bezeichnung zwischen „Personalpunkte" und „Punkte". Die Intervallgrenzen der Umrechnungstabelle erscheinen teilweise fehlerhaft bzw. uneindeutig. Gehen wir Recht in der Annahme, dass die korrekte Angabe hier "43-49 Personalpunkte" sein müsste und es sich bei dem Rest um einen Fehler handelt?	Hierzu wird auf Frage Nr. 15 verwiesen.
46.	Anlage 18, S. 5 (K3.2.2)	Die zu bewertende Personenzahl ist unklar: „Es sind mindestens drei Personen … zu benennen. Werden mehr als 3 Personen benannt, gehen nur die fünf besten Personen in die Wertung ein." Es sind mindestens drei Personen … zu benennen. Werden mehr als 3 Personen benannt, gehen nur die fünf besten Personen in die Wertung ein." Wir bitten um Auflösung des Widerspruchs. Ist davon auszugehen, dass die fünf besten Personen in die Wertung eingehen, auch bei einer Benennung von mehreren Personen?	Hierzu wird auf Fragen Nr. 9 und 18 verwiesen.

[Seite 21]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
47.	Anlage 18, S. 4 (K3.1.1)	Die Bewertungsbasis für die Projektleitung ist unklar: Als Eignung werden „mindestens fünf Jahre einschlägige Berufserfahrung" gefordert, der Wertungsmaßstab für 0 Punkte nennt jedoch „lediglich die Mindestforderung von jeweils drei Jahren". Das Beispiel (PL 5 J., Stellv. 4 J. → 1,5 Punkte) legt eine Basis von 3 Jahren nahe. Die Bewertungsbasis für die Projektleitung ist unklar: Als Eignung werden „mindestens fünf Jahre einschlägige Berufserfahrung" gefordert, der Wertungsmaßstab für 0 Punkte nennt jedoch „lediglich die Mindestforderung von jeweils drei Jahren". Das Beispiel (PL 5 J., Stellv. 4 J. → 1,5 Punkte) legt eine Basis von 3 Jahren nahe. Ab welchem Schwellenwert beginnt die Zusatzpunktvergabe (0,5 Punkte/Jahr) für die Projektleitung – ab dem 3. oder ab dem 5. Jahr einschlägiger Berufserfahrung?	Hierzu wird auf die Fragen Nr. 12 verwiesen.
48.	Anlage 18, S. 4 (K3.1.1, 0- Punkte-Definition)	Der Wertungsmaßstab für 0 Punkte setzt eine Promotion voraus: „…können lediglich die Mindestforderung … erfüllen und verfügt über eine Promotion oder vergleichbaren Hochschulabschluss." Die Eignungsforderung verlangt hingegen nur einen „einschlägigen Hochschulabschluss".	Hierzu wird auf Frage Nr. 21 verwiesen.

[Seite 22]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		Der Wertungsmaßstab für 0 Punkte setzt eine Promotion voraus: „…können lediglich die Mindestforderung … erfüllen und verfügt über eine Promotion oder vergleichbaren Hochschulabschluss." Die Eignungsforderung verlangt hingegen nur einen „einschlägigen Hochschulabschluss". Ist für die Projektleitung/stellvertretende Projektleitung eine Promotion Bewertungs- bzw. Mindestvoraussetzung, oder genügt ein einschlägiger Hochschulabschluss (Master/Bachelor)?
49.	Leistungserbringung_ Modul 4 Begleitevaluation	Unklar, ob Begleitevaluation analog prognos oder nur auf RGM bezogen. Gehen wir Recht in der Annahme, dass die Begleitevaluation sich auf das Reifegradmodell bezieht und keine Begleitevaluation auf das Gesamtförderprogramm mit der ausgeschriebenen Leistung verbunden wird?	Ja, diese Annahme ist zutreffend. Die Begleitevaluation bezieht sich auf die im Rahmen des Vorhabens entwickelten bzw. weiterentwickelten Reifegradmodelle und deren Anwendung. Eine Begleitevaluation des Gesamtförderprogramms ist nicht Gegenstand der ausgeschriebenen Leistung.
50.	Leistungserbringung_ Pseudonymisierung / Anomysierung	Pseudonymisierung vs. Einrichtungsmanagement Die longitudinale Anlage der Studie (Wellen 2027/2028/2029), die geforderte Vermeidung von Mehrfachteilnahmen, die Sicherstellung der Vollständigkeit, das einrichtungsbezogene Längsschnitt-Matching sowie der Import vormaliger DigitalRadar-Ergebnisse setzen ein Teilnehmendenmanagement voraus, das auf Einrichtungsebene erkennen kann, ob und wann eine	Ja. Die Anforderung zur Wahrung der Anonymität bezieht sich auf die Auswertung und Darstellung der Ergebnisse, insbesondere in Berichten und im Dashboard. Auf Ebene der Erhebung und des Teilnehmendenmanagements muss eine eindeutige Zuordnung der Einrichtungen möglich sein, um insbesondere Teilnahme, Vollständigkeit, Mehrfachteilnahmen und das wellenübergreifende Matching nachhalten zu können. Bei Auswertungen und Vergleichsgruppen ist sicherzustellen, dass keine

[Seite 23]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		konkrete Einrichtung teilgenommen hat bzw. ggf. eine Verpflichtung aufgrund einer Förderung besteht. Zugleich fordert die LB die Wahrung der Anonymität „in Auswertungen und Darstellungen". Folgende Fragen: a) Gehen wir recht in der Annahme, dass sich die Anonymitätsanforderung ausschließlich auf die Auswertungs- und Darstellungsebene (Berichte, Dashboard, Weitergabe an Dritte) bezieht, während auf der Erhebungs- und Managementebene ein einrichtungsbezogenes Identifikationsmerkmal geführt werden darf, um Teilnahme, Mehrfachteilnahmefreiheit, Vollständigkeit und das wellenübergreifende Panel-/Längsschnitt-Matching sicherzustellen? b) Wenn ja: Wird der Auftragnehmer die Liste der teilnahmepflichtigen geförderten Einrichtungen (inkl. eindeutiger Kennungen) beigestellt bekommen, oder ist diese eigenständig aufzubauen?	Rückschlüsse auf einzelne Einrichtungen möglich sind, insbesondere bei kleinen Einrichtungsgruppen. Die für die verpflichtende Teilnahme erforderlichen Informationen werden dem Auftragnehmer durch die Auftraggeberin bzw. die teilnehmende Einrichtung bereitgestellt. Die weitere Teilnahmedokumentation und das Teilnehmendenmanagement obliegen dem Auftragnehmer.
51.	Leistungserbringung_ Abbruchmeilensteine	Sinn und Zweck? Die Leistungsbeschreibung sieht die Definition konkreter Abbruchmeilensteine vor. Welchen Zweck verfolgt die Auftraggeberin mit den Abbruchmeilensteinen, und welche vergütungsseitige Konsequenz hat ein Abbruch an einem solchen Meilenstein?	Die vorgesehenen Abbruchmeilensteine dienen dazu, methodische Risiken oder Limitationen frühzeitig zu erkennen und Entscheidungspunkte festzulegen, an denen das weitere Vorgehen überprüft und gegebenenfalls angepasst werden kann. Sie stehen im Zusammenhang mit der nach Anlage 01 Ziffer 4 geforderten Stellungnahme zu möglichen Limitationen.

[Seite 24]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
			Das Erreichen eines solchen Meilensteins führt nicht automatisch zu einer Beendigung des Auftrags. An die Abbruchmeilensteine sind keine gesonderten vergütungsseitigen Konsequenzen geknüpft. Eine etwaige Beendigung des Vertragsverhältnisses und deren vergütungsseitige Folgen richten sich unabhängig davon nach den einschlägigen vertraglichen und gesetzlichen Regelungen.
52.	Anlage 01, Ziffer 2 (Modul 1); Anlage 18 (K2.1, K2.2)	Die Wertung setzt Kenntnisse eines Modells voraus, dessen Unterlagen erst nach Zuschlag beigestellt werden. Bieter mit Vorbefassung sind strukturell im Vorteil. § 97 Abs. 2 GWB und § 7 VgV verlangen einen Ausgleich. Wird die Bereitstellung gewährt, entfällt der Vorsprung des Vorkonsortiums; wird sie abgelehnt, ist der Vorgang dokumentiert. Die Grundlagen des DigitalRadar – Modellgrundlagen, Auswertungsmatrix, Analysealgorithmus, Methodendokumentationen und Datensätze – werden erst nach Zuschlagserteilung beigestellt. Zugleich ist die Anpassung des DigitalRadar wesentlicher Gegenstand des mit dem Angebot vorzulegenden Konzeptentwurfs und fließt über K2.1 und K2.2 mit zusammen 40 Prozent in die Wertung ein. Können die nicht vertraulichen Modell- und Methodenunterlagen – insbesondere Dimensionen, Bewertungslogik und Auswertungsmatrix – bereits im Vergabeverfahren allen Bietern zur Verfügung gestellt werden?	Eine zusätzliche Bereitstellung der in der Leistungsbeschreibung als Beistellungen nach Zuschlag vorgesehenen Unterlagen und Daten bereits im Vergabeverfahren ist nicht vorgesehen. Für den mit dem Angebot einzureichenden Konzeptentwurf wird keine konkrete fachliche oder rechnerische Anpassung der bestehenden Auswertungsmatrix, des Analysealgorithmus oder einzelner Bestandteile des DigitalRadar erwartet. Gegenstand der Wertung ist der methodisch- konzeptionelle Ansatz, mit dem die Bietenden die Anpassung und Weiterentwicklung des DigitalRadar vornehmen wollen. Hierzu ist insbesondere darzustellen, wie relevante nationale und internationale Standards und regulatorische Vorgaben berücksichtigt, unterschiedliche strukturelle und organisatorische Voraussetzungen einbezogen sowie Verständlichkeit, Anwendbarkeit und Nutzungsmöglichkeiten des weiterentwickelten Modells sichergestellt werden sollen.

[Seite 25]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
			Die für diese konzeptionelle Darstellung erforderlichen wesentlichen Grundlagen und die Methodik des bestehenden DigitalRadar sind öffentlich zugänglich. Damit steht allen Bietenden für die Erstellung des wertungsrelevanten Konzeptentwurfs eine einheitliche Informationsgrundlage zur Verfügung. Die nach Zuschlag vorgesehenen weitergehenden Beistellungen dienen demgegenüber der anschließenden konkreten fachlichen und methodischen Umsetzung des Auftrags. Kenntnisse dieser Detailunterlagen sind für die mit dem Angebot geforderte und bewertete konzeptionelle Darstellung nicht Voraussetzung. Ein wertungsrelevanter Informationsvorsprung hinsichtlich der mit dem Angebot zu erbringenden Leistung ergibt sich daraus daher nicht.
53.	Anlage 01, Ziffer 3 lit. b Nr. 8; Ziffer 2 (Module 2 und 3)	Das geforderte Panel-Matching setzt einrichtungsbezogene Identifikatoren und eine tragfähige Rechtsgrundlage voraus. Fehlen sie, ist die Leistung nicht durchführbar – relevant für die geforderten Abbruchmeilensteine. Enthalten die beigestellten DigitalRadar-Datensätze einrichtungsbezogene Identifikatoren, die eine Verknüpfung auf Einrichtungsebene zulassen? Liegen die hierfür erforderlichen datenschutzrechtlichen Grundlagen vor, und wer ist insoweit Verantwortlicher im Sinne der DSGVO?	Die beigestellten Datensätze ermöglichen nach derzeitigem Kenntnisstand eine Zuordnung auf Einrichtungsebene und damit das nach Anlage 01 Ziffer 3 lit. b Nr. 8 vorgesehene Matching. Einzelheiten zu Struktur und Formaten werden nach Zuschlagserteilung im Rahmen des Projektstarts mitgeteilt. Auf die Antwort zu Frage Nr. 65 wird verwiesen. Zur datenschutzrechtlichen Rollenverteilung wird auf die Antwort zu Frage Nr. 54 verwiesen.

[Seite 26]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
54.	Anlage 04, § 9 Abs. 4 und § 7 Abs. 5; Anlage 01, Ziffer 2 (Modul 2)	§ 9 Abs. 4 enthält nur eine allgemeine Verpflichtung auf die datenschutzrechtlichen Bestimmungen, § 7 Abs. 5 regelt allein die Datenbankherstellereigenschaft der Auftraggeberin. Eine Rollenzuordnung nach Art. 4 Nr. 7 und 8 DSGVO und ein Vertrag zur Auftragsverarbeitung fehlen. Die Anlagen 14 und 15 betreffen die Verpflichtung einzelner Beschäftigter, Anlage 16 ausschließlich das Vergabeverfahren – sie beantworten die Frage nicht. Die Rollenzuordnung bestimmt Weisungsrechte, Haftung, Lösch- und Meldepflichten sowie den Zuschnitt der Datenschutz- Folgenabschätzung. Anlage 04: Der Vertragsentwurf verpflichtet die Auftragnehmerin in § 9 Abs. 4 allgemein auf die datenschutzrechtlichen Bestimmungen und weist der Auftraggeberin in § 7 Abs. 5 die Stellung als Datenbankherstellerin zu, enthält jedoch keine Zuordnung der Rollen nach Art. 4 Nr. 7 und 8 DSGVO. Verarbeitet der Auftragnehmer die im Rahmen der Erhebungen anfallenden personenbezogenen Daten als Auftragsverarbeiter für das Bundesministerium für Gesundheit oder in eigener Verantwortlichkeit? Ist der Abschluss eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO vorgesehen?	Soweit im Rahmen der Erhebungen personenbezogene Daten verarbeitet werden, insbesondere Kontakt- und Zugangsdaten der Ansprechpersonen in den teilnehmenden Einrichtungen, erfolgt die Verarbeitung weisungsgebunden für das Bundesministerium für Gesundheit als Verantwortlichen im Sinne des Art. 4 Nr. 7 der Datenschutz-Grundverordnung. Der Abschluss eines Vertrages zur Auftragsverarbeitung nach Art. 28 der Datenschutz-Grundverordnung ist vorgesehen, ein Entwurf wird als weitere Anlage bereitgestellt.

[Seite 27]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
55.	Anlage 01, Ziffer 4 (vorletzter Absatz); Anlage 04, § 7 Abs. 1	Bei Bestandskomponenten, die in die zu übergebenden Arbeitsergebnisse integriert werden, kollidieren beide Regelungen: Als Teil des Arbeitsergebnisses wären sie von der Ausschließlichkeit des § 7 erfasst, nach der Leistungsbeschreibung dagegen nur von „erforderlichen Rechten“. Ein ausschließliches Recht an Bestandskomponenten wäre für jeden Bieter mit eigener Softwarebasis untragbar. An eigenen Bestandskomponenten sind die für Nutzung, Betrieb, Bearbeitung und Weiterentwicklung erforderlichen Rechte einzuräumen, während § 7 für die im Rahmen des Vertrages geschaffenen Arbeitsergebnisse ein ausschließliches Nutzungsrecht vorsieht. Genügt für Bestandskomponenten, die in die zu übergebenden Arbeitsergebnisse integriert werden, ein einfaches, nicht ausschließliches, zeitlich und räumlich unbeschränktes sowie übertragbares Nutzungsrecht?	Ja. Für eigene Bestandskomponenten des Auftragnehmers, die bereits vor Zuschlag bestanden und in die Arbeitsergebnisse integriert werden, genügt ein einfaches, unwiderrufliches, zeitlich und räumlich unbeschränktes, übertragbares und unterlizenzierbares Nutzungsrecht. Das ausschließliche Nutzungsrecht nach § 7 Abs. 1 des Werkvertrags bezieht sich demgegenüber auf die im Rahmen des Auftrags neu geschaffenen Arbeitsergebnisse. Voraussetzung ist, dass die eingeräumten Rechte eine uneingeschränkte Nutzung, den Betrieb, die Bearbeitung und die Weiterentwicklung der Arbeitsergebnisse durch die Auftraggeberin oder von ihr beauftragte Dritte ermöglichen. Im Übrigen gilt Anlage 01 Ziffer 4: Bestandskomponenten, Werke Dritter und quelloffene Bestandteile sind einschließlich ihrer Lizenzbedingungen bereits mit dem Angebot zu benennen. Der Einsatz von Bestandteilen, die eine dauerhafte oder weiterentwicklungsfähige Nutzung ausschließen oder von fortlaufenden Entgelten abhängig machen, bedarf der vorherigen Zustimmung der Auftraggeberin in Textform.

[Seite 28]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
56.	Anlage 01, Ziffer 1 und Ziffer 5; Anlage 04, § 3 Abs. 1 und 2	Ziffer 1 nennt drei Erhebungszeiträume (2027, 2028, 2029), Ziffer 5 formuliert „drei Erhebungszeiträume … sowie eine Abschlussmessung mit Abschlussbericht“, der Vertragsentwurf sieht drei Messzeiträume mit Zwischenberichten und abschließend den Abschlussbericht vor. Eine vierte Vollerhebung mit bis zu 4.000 Einrichtungen wäre erheblich preiswirksam; ohne Klärung sind die Angebote nicht vergleichbar. Ziffer 1 nennt drei Erhebungszeiträume in den Jahren 2027, 2028 und 2029. Ziffer 5 spricht demgegenüber von „drei Erhebungszeiträumen … sowie eine Abschlussmessung mit Abschlussbericht“. Der Vertragsentwurf sieht zu jedem der drei Messzeiträume einen Zwischenbericht und abschließend den Abschlussbericht vor. Sind insgesamt drei oder vier Erhebungen durchzuführen?	Hierzu wird auf Frage Nr. 28 verwiesen.

[Seite 29]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
57.	Anlage 01, Ziffer 2 (Modul 2), S. 5; Ziffer 3 lit. a Nr. 2 und lit. d	Die Gesamtzahl selbst ist rechnerisch schlüssig: bis zu 4.000 abzüglich bis zu 2.200 Einrichtungen außerhalb der Krankenhäuser entspricht etwa der Zahl der Plankrankenhäuser. Danach ist nicht zu fragen. Offen ist die Verteilung der bis zu 2.200 Einrichtungen auf die sechs übrigen Einrichtungstypen sowie die Frage, ob es sich um eine Teilnahme-Zielgröße oder um den Umfang der anzusprechenden Grundgesamtheit handelt. Beides bestimmt den Aufwand für Rekrutierung, Support und einrichtungstypspezifische Modellentwicklung unmittelbar. Wir verstehen die Angabe von bis zu 4.000 Einrichtungen je Erhebungszeitraum als Gesamtzahl einschließlich der Krankenhäuser, von der bis zu 2.200 Einrichtungen auf die Einrichtungstypen außerhalb der Krankenhäuser entfallen. Welche Verteilung dieser bis zu 2.200 Einrichtungen auf die sechs Einrichtungstypen nach Ziffer 3 lit. d legt die Auftraggeberin zugrunde? Handelt es sich dabei um eine Zielgröße für die tatsächliche Teilnahme oder um den Umfang der anzusprechenden Grundgesamtheit?	Bei den bis zu 2.200 Einrichtungen außerhalb des Krankenhausbereichs handelt es sich um die derzeit zugrunde gelegte Schätzgröße für die maximale Zahl der im jeweiligen Erhebungszeitraum zu berücksichtigenden teilnehmenden Einrichtungen. Es handelt sich nicht um die Gesamtzahl aller Einrichtungen dieser Einrichtungstypen in Deutschland. Eine verbindliche Verteilung auf die einzelnen Einrichtungstypen kann derzeit nicht vorgegeben werden. Sie hängt insbesondere von der Zahl der im Rahmen des Sofortprogramms geförderten und damit zur Teilnahme verpflichteten Einrichtungen sowie von weiteren freiwillig teilnehmenden Einrichtungen ab. Eine flächendeckende Ansprache sämtlicher Einrichtungen dieser Einrichtungstypen durch den Auftragnehmer ist nicht vorgesehen. Das erforderliche Teilnehmendenmanagement im Rahmen der jeweiligen Erhebung bleibt hiervon unberührt. Bei diesen Angaben handelt es sich um unverbindliche Schätzwerte, die der Kalkulation dienen und keinen Anspruch auf eine Teilnahme in dieser Höhe begründen.

[Seite 30]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
58.	Anlage 01, Ziffer 3 lit. d; Ziffer 2 (Modul 2)	Erlaubnis- und Anzeigepflichten nach AMG und TFG bestehen; die behördlichen Datenbestände führen jedoch nicht die qualifizierenden Merkmale der Leistungsbeschreibung („mit Krankenhausversorgung als Schwerpunkt“, „für Krankenhäuser“). Es fehlt daher kein Register, sondern ein einsatzfähiger Auswahlrahmen mit Kontaktdaten. Muss der Auftragnehmer ihn selbst konstruieren, ist das ein eigenes Teilprojekt mit methodischem Risiko für Repräsentativität und Nachvollziehbarkeit der Ergebnisse. Die Abgrenzung mehrerer Einrichtungstypen knüpft an Merkmale an, die in den vorhandenen Erlaubnis- und Meldedatenbeständen nicht geführt werden – insbesondere „Pharmagroßhandel mit Krankenhausversorgung als Schwerpunkt“, „Blut- und Plasmaversorgende Einrichtungen für Krankenhäuser“ sowie „Arztpraxen mit radiologischen Leistungen für Krankenhäuser“. Ein Auswahlrahmen mit Kontaktdaten liegt für diese Typen damit nicht vor. Stellt die Auftraggeberin eine Grundgesamtheit oder Adressbasis bei, oder ist deren Konstruktion Bestandteil der Leistung? Nach welchen operationalisierbaren Kriterien soll die Abgrenzung erfolgen, und unterstützt die Auftraggeberin die Ansprache über Verbände, Landesbehörden oder den Projektträger?	Die Einrichtungen, die im Rahmen des Sofortprogramms eine Förderung erhalten, sind zur Teilnahme an den Erhebungen verpflichtet. Die hierfür erforderlichen Informationen und Kontaktdaten der geförderten Einrichtungen werden dem Auftragnehmer zur Verfügung gestellt. Darüber hinaus steht die Teilnahme weiteren NIS-2- relevanten Einrichtungen der genannten Einrichtungstypen grundsätzlich freiwillig offen. Der Auftragnehmer muss daher keinen vollständigen Auswahlrahmen sämtlicher potenziell in Betracht kommender Einrichtungen eigenständig aufbauen. Die konkrete Ansprache und das Teilnehmendenmanagement sind im Rahmen der Leistungserbringung auszugestalten. Soweit für die freiwillige Teilnahme weiterer Einrichtungen zweckmäßig, kann die Ansprache in Abstimmung mit der Auftraggeberin auch über geeignete Multiplikatoren, insbesondere Verbände oder weitere relevante Akteure, unterstützt werden.

[Seite 31]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
59.	Anlage 01, Ziffer 3 lit. d Nr. 2; § 28 Abs. 2 BSIG	Offen sind drei andere Punkte: das Verhältnis der Formulierung „über den NIS-2-Einschlusskriterien“ zur Klammer, die eben diese Kriterien wiedergibt; die Auslassung der Jahresbilanzsumme in der Leistungsbeschreibung; und die Betrachtungseinheit bei überörtlichen Strukturen. Je nach Auslegung verschiebt sich die Zielpopulation um mehrere hundert Einrichtungen. Große Medizinische Versorgungszentren werden als „über den NIS-2-Einschlusskriterien“ beschrieben, während die anschließende Klammer mit „über 50 MA/10 Mio. Jahresumsatz“ die Schwellenwerte des § 28 Abs. 2 BSIG selbst wiedergibt. Wir gehen davon aus, dass die Einrichtungen erfasst sind, die diese Schwellenwerte erreichen, und bitten um Bestätigung. Ergänzend bitten wir um Klärung, ob neben dem Jahresumsatz auch die Jahresbilanzsumme heranzuziehen ist, wie § 28 Abs. 2 BSIG es vorsieht, und ob Betrachtungseinheit der einzelne MVZ-Standort, die Trägergesellschaft oder der Träger einschließlich überörtlicher Strukturen ist.	Ja. Maßgeblich sind die jeweils geltenden Einschlusskriterien nach § 28 BSIG. Die Formulierung „über den NIS-2-Einschlusskriterien“ ist in diesem Sinne zu verstehen; die Klammer in der Leistungsbeschreibung stellt lediglich eine verkürzte Wiedergabe dar. Bei der Prüfung der Schwellenwerte ist entsprechend § 28 BSIG neben der Mitarbeiterzahl auch die dort vorgesehene Kombination aus Jahresumsatz und Jahresbilanzsumme zu berücksichtigen. Ergänzend wird auf die Antworten zu den Fragen 57 und 58 verwiesen: Aus der Abgrenzung der relevanten Einrichtungstypen folgt nicht, dass der Auftragnehmer eigenständig eine vollständige Grundgesamtheit sämtlicher NIS-2-relevanter Einrichtungen ermitteln und aufbauen muss. Die zur Teilnahme verpflichteten geförderten Einrichtungen sind im Rahmen des Förderprogramms bekannt; weiteren einschlägigen Einrichtungen steht eine freiwillige Teilnahme offen.

[Seite 32]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
60.	Anlage 01, Ziffer 2 (Modul 3), letzter Absatz	Unbestimmte Leistungspflicht bei Festpreis: „Sonderanalysen in begrenztem Umfang“ ohne Mengengerüst. Wer knapp kalkuliert, gewinnt Preis und gerät später in Konflikt über den Leistungsumfang. Auf Wunsch der Auftraggeberin sind Sonderanalysen in begrenztem Umfang durchzuführen. Welchen indikativen Umfang – etwa Anzahl je Jahr oder Personentage – soll der Bieter der Kalkulation zugrunde legen?	Hierzu wird auf Frage 32 verwiesen.
61.	Anlage 00, Übersicht der einzureichenden Unterlagen (Nr. 9 u. 10) vs. Anlagenverzeichnis	Nummernversatz in der Checkliste: Dort ist unter Nr. 9 die Verpflichtungserklärung Datenschutz Verpflichteter als Anlage 13 und unter Nr. 10 die Verpflichtungserklärung Datenschutz Verantwortlicher als Anlage 14 genannt. Nach dem Anlagenverzeichnis derselben Unterlage ist Anlage 13 jedoch die Bietergemeinschaftserklärung, Anlage 14 der Verpflichtete und Anlage 15 der Verantwortliche. Die Checkliste ist Prüfgrundlage der Vollständigkeit; ein fehlendes Dokument ist ausschlusserheblich. Die dort angegebenen Anlagennummern weichen vom Anlagenverzeichnis derselben Unterlage ab. Welche Anlagen sind mit dem Angebot einzureichen?	Hierzu wird auf Frage Nr. 14 verwiesen. Selbsterklärend werden alle aufgeführten Unterlagen gefordert.

[Seite 33]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
62.	Anlage 01, Ziffer 4 (letzter Absatz)	Die Begrenzung auf 50 DIN-A4-Seiten ist ohne Zählregel und ohne Rechtsfolge formuliert. Unklar bleibt, ob Deckblatt, Verzeichnisse und Anlagen angerechnet werden, ob Formatvorgaben bestehen und ob eine Überschreitung zum Ausschluss führt oder nur die überzähligen Seiten unberücksichtigt bleiben. Das Umsetzungskonzept soll einen Umfang von 50 DIN-A4-Seiten nicht überschreiten. Werden Deckblatt, Inhalts- und Abbildungsverzeichnis sowie Anlagen (z. B. Zeit- und Meilensteinplan) auf die Seitenzahl angerechnet? Bestehen Vorgaben zu Schriftart, Schriftgröße, Zeilenabstand und Seitenrändern? Welche Rechtsfolge hat eine Überschreitung?	Deckblatt, Verzeichnisse sowie formale Nachweise und Anlagen werden nicht auf die Begrenzung von 50 DIN- A4-Seiten angerechnet. Die Seitenbegrenzung bezieht sich auf die inhaltlich-fachlichen Ausführungen des Umsetzungskonzepts. Weitergehende verbindliche Vorgaben zu Schriftart, Schriftgröße, Zeilenabstand oder Seitenrändern bestehen nicht. Es ist ein übliches, gut lesbares Format zu verwenden, beispielsweise Arial in Schriftgröße 11. Eine Überschreitung der Seitenbegrenzung führt nicht automatisch zum Ausschluss des Angebots. Die Bietenden werden jedoch gebeten, den vorgegebenen Umfang einzuhalten.
63.	Anlage 01, Ziffer 1 und Ziffer 2 (Modul 1)	Asymmetrie im Leistungsgegenstand: Ziffer 1 nennt als Ziel die Erfassung des "Digitalisierungsgrads insgesamt und im Besonderen des IT-Sicherheitsgrads"; für die Reifegradmodelle der weiteren systemrelevanten Gesundheitseinrichtungen legt Modul 1 den Fokus dagegen allein auf den IT-Sicherheitsgrad. Ob dort auch der allgemeine Digitalisierungsgrad miterfasst werden soll, bestimmt Fragebogenumfang, Erhebungsaufwand und Kalkulation unmittelbar. In Ziffer 1 wird als Ziel benannt, "der Digitalisierungsgrad insgesamt und im Besonderen der IT-Sicherheitsgrad" der systemrelevanten Gesundheitseinrichtungen solle erfasst werden. Für die	Für den Krankenhausbereich soll neben dem IT- Sicherheitsgrad weiterhin auch der allgemeine Digitalisierungsgrad erfasst werden. Hierzu ist das bestehende DigitalRadar fortzuführen, unter Berücksichtigung aktueller nationaler und internationaler Standards weiterzuentwickeln und insbesondere um den Themenbereich IT-Sicherheit zu erweitern und zu vertiefen. Für die weiteren systemrelevanten Gesundheitseinrichtungen außerhalb des Krankenhausbereichs sollen die neu zu entwickelnden Reifegradmodelle hingegen auf die Erfassung und Evaluation des IT-Sicherheitsgrades ausgerichtet sein.

[Seite 34]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		Reifegradmodellierung der weiteren systemrelevanten Gesundheitseinrichtungen außerhalb der Krankenhäuser heißt es in Modul 1, der Fokus liege "auf der Erfassung und Evaluation des IT- Sicherheitsgrades". Wir bitten um Klarstellung: Soll das Reifegradmodell bzw. sollen die Reifegradmodelle für die weiteren systemrelevanten Gesundheitseinrichtungen ausschließlich den IT- Sicherheitsgrad abbilden, oder soll - analog zum Krankenhausbereich - auch der allgemeine Digitalisierungsgrad dieser Einrichtungen in angemessenem Umfang miterfasst werden (etwa als Kontext- und Strukturmerkmale, soweit für die Bewertung der IT-Sicherheitsreife erforderlich)?	Eine darüber hinausgehende allgemeine Erfassung des Digitalisierungsgrades dieser Einrichtungen ist nicht vorgesehen.
64.	Anlage 01, Modul 1 Seite 2, Modul 3 Seite 6, Modul 4 Seite 6	Soll das bestehende Digitalradar-Reifegradmodell grundsätzlich fortgeführt und um Cybersecurity- Aspekte erweitert werden? Oder wird ein eigenständiges Cybersecurity- Reifegradmodell erwartet, das auf den bestehenden Strukturen und Erkenntnissen des Digitalradars aufbaut, sich aber inhaltlich auf Cybersecurity fokussiert? (Aufbauend auf Frage 21) Aus der Leistungsbeschreibung geht hervor, dass für Krankenhäuser das bestehende Reifegradmodell des DigitalRadar anzupassen und fortzuführen ist. Gleichzeitig soll das Modell an die neue Programmlogik	Für den Krankenhausbereich ist das bestehende DigitalRadar-Reifegradmodell grundsätzlich fortzuführen und weiterzuentwickeln. Dies umfasst sowohl eine Aktualisierung unter Berücksichtigung relevanter nationaler und internationaler Standards sowie aktueller Entwicklungen im Bereich der Digitalisierung als auch eine Anpassung an die neue Programmlogik und eine stärkere Berücksichtigung des Themenfelds IT-Sicherheit. Ein hiervon getrenntes eigenständiges Cybersecurity- Reifegradmodell für Krankenhäuser ist nicht vorgesehen. Für die weiteren systemrelevanten Gesundheitseinrichtungen außerhalb des Krankenhausbereichs sind demgegenüber ein oder

[Seite 35]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		angepasst sowie um den Schwerpunkt IT-Sicherheit erweitert werden. Für weitere systemrelevante Gesundheitseinrichtungen sind zusätzliche Reifegradmodelle zu entwickeln.	mehrere eigenständige Reifegradmodelle mit Fokus auf den IT-Sicherheitsgrad zu entwickeln.
65.	Anlage 01 Modul 1, Seite 2, Seite 4, Modul 2, S. 5	In welchem Format liegen die bisherigen Digitalradar- Daten bzw. Ergebnisse vor und welche Möglichkeiten zur Datenübernahme sind vorzusehen (z. B. strukturierte Exporte, Upload-Funktionen etc.)? Es wurde verstanden, dass für Krankenhäuser eine Möglichkeit der Übernahme bestehender Erhebungsdaten voriger Messungen des DigitalRadars geschaffen werden soll. In welchem Format liegen die bisherigen Digitalradar- Daten bzw. Ergebnisse vor und welche Möglichkeiten zur Datenübernahme sollen konkret vorgesehen werden?	Nach derzeitigem Kenntnisstand besteht keine Möglichkeit zur Datenübernahme über eine API- Schnittstelle des bisherigen DigitalRadar-Systems. Die bisherigen Erhebungsdaten bzw. Ergebnisse werden voraussichtlich in strukturierten Dateiformaten, insbesondere Excel, zur Verfügung stehen. Für die Übernahme bestehender Erhebungsdaten ist daher eine geeignete Möglichkeit zum Import strukturierter Dateien vorzusehen. Weitere Informationen zu den verfügbaren Datenbeständen, deren Struktur und den konkreten Formaten werden dem Auftragnehmer nach Zuschlagserteilung im Rahmen des Projektstarts zur Verfügung gestellt. Die Einzelheiten der Datenübernahme sind auf dieser Grundlage mit der Auftraggeberin abzustimmen.
66.	Anlage 01 Modul 1, Seite 3	Wir verstehen die Unterlagen so, dass im Zuge des Sofortprogramm erst während der Erstellung des Förderleitfadens und -aufrufs relevante Förderteilbereiche (3-5) durch den PT festgelegt werden. Die Festlegung der Förderbereiche ist Voraussetzung für die Erstellung des Reiegradmodells. Wenn die Einstufung im RGM eine Fördervoraussetzung sein soll, ergibt sich hier ein	Die Entwicklung der Reifegradmodelle kann bereits vor der abschließenden Festlegung sämtlicher Förderbereiche und Förderkriterien begonnen werden. Grundlage hierfür sind insbesondere die bestehenden fachlichen Anforderungen, einschlägige nationale und internationale Standards sowie die in den Vergabeunterlagen beschriebenen Zielgruppen und Zielsetzungen des Sofortprogramms. Die konkrete Integration der

[Seite 36]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		zeitlicher Versatz, weil die Antragsphase nach Veröffentlichung des Förderleitfadens unmittelbar beginnen sollte. Lösbar ist dies, wenn die Reifegradmessung nicht schon im Zuge der Antragsstellung, sondern erst im Projektverlauf erfolgen muss. Aus unserer Sicht ist dieser Punkt nicht eindeutig in den Vergabeunterlagen geregelt. Bieterfrage? Imzugedessen könnte geklärt werden, ob auch ohne bereits feststehende Förderbereiche die Arbeit zur Erstellung des Reifegradmodells bereits begonnen werden kann bzw. ob sogar Rückkopplungen in Bezug auf die Erstellung der Förderrichtlinie explizit erwünscht sind. Aus den Vergabeunterlagen ergibt sich aus unserer Sicht, dass die im Rahmen des Sofortprogramms geförderten Bereiche und die hierzu definierten Mindestanforderungen erst im Zuge der Ausarbeitung des Förderleitfadens bzw. der Förderaufrufe konkretisiert werden. Gleichzeitig sieht die Leistungsbeschreibung vor, dass die geförderten Bereiche in das Reifegradmodell zu integrieren und mit definierten Mindestanforderungen zu verknüpfen sind sowie die Reifegradmessung als wesentlicher Bestandteil des Sofortprogramms und auch der Festellung von Förderbedarfen und Zielen im Zuge der Antragstellung (siehe Seite 3) dient.	Förderbereiche und die Verknüpfung mit den jeweiligen Mindestanforderungen kann im weiteren Projektverlauf auf Grundlage der fortschreitenden fachlichen Konkretisierung erfolgen. Eine enge fachliche Abstimmung und Rückkopplung mit der Auftraggeberin sowie den zuständigen Stellen bei der Ausgestaltung der Förderleitfäden und Förderaufrufe ist ausdrücklich vorgesehen. Die Entwicklung der Reifegradmodelle und die Konkretisierung der Förderbedingungen sollen insoweit parallel und aufeinander abgestimmt erfolgen. Die zeitlichen Abhängigkeiten zwischen der Entwicklung und Testung der Reifegradmodelle, der Bereitstellung des Erhebungstools und dem Start der Antragsverfahren sind im Rahmen der Projektplanung zu berücksichtigen und mit der Auftraggeberin abzustimmen.

[Seite 37]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		Vor diesem Hintergrund bitten wir um Klarstellung: 1) Ist vorgesehen, dass die erstmalige Reifegradmessung bereits im Rahmen der Antragstellung bzw. vor Bewilligung einer Förderung durchgeführt werden muss, oder kann die erstmalige Einstufung auch erst nach Förderbeginn bzw. im weiteren Projektverlauf erfolgen? 2) Können die Arbeiten zur Entwicklung des Reifegradmodells bereits vor der abschließenden Festlegung der Förderbereiche und Förderkriterien begonnen werden, und ist hierbei eine fachliche Rückkopplung mit PT/BMG zur Ausgestaltung von Förderleitfaden und Förderaufrufen ausdrücklich vorgesehen bzw. erwünscht? 3) Sofern die Einstufung in das Reifegradmodell Fördervoraussetzung schon im Zuge der Antragstellung sein soll: Wie wird die enge zeitliche Abhängigkeit zwischen der Festlegung der Förderbereiche, der Entwicklung des RGM, der Testung und des Go-live des Erhebungstools sowie dem Start der Antragsphase berücksichtigt?
67.	Verlängerung der Angebotsfrist	Aufgrund des Umfangs und der Komplexität der ausgeschriebenen Leistungen sowie des erforderlichen Abstimmungsaufwandes bitten wir um Verlängerung der Angebotsfrist um mindestens zwei Wochen.	Hierzu wird auf Frage Nr. 8 verwiesen.

[Seite 38]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
68.	§ 7 Abs. 1 des Dokuments 04_Vertragsentwurf (Nutzungsrechte, Übergabe und Verwertung)	§ 7 Abs. 1 sieht die Einräumung eines ausschließlichen, räumlich, zeitlich und inhaltlich unbeschränkten Nutzungsrechts an den im Rahmen des Vertrags erstellten Arbeitsergebnissen vor, einschließlich der Erhebungsplattform, des Quellcodes, der Reifegradmodelle und sonstiger Leistungen. a) Beabsichtigt der Auftraggeber, zusätzlich zu den in § 7 Abs. 1 ausdrücklich beschriebenen Rechten auch Rechte zur Nutzung der Namen, Marken, Logos oder anderer Markenelemente des Auftragnehmers oder der Konsortiumsmitglieder (z. B. einen Hinweis wie „powered by [Auftragnehmer]“) im Zusammenhang mit der Erhebungsplattform oder anderen Projektergebnissen zu verlangen? b) Bitte klären Sie, ob die gemäß § 7 Abs. 1 gewährten Rechte geografisch uneingeschränkt sein und eine kommerzielle Nutzung zulassen müssen oder ob der Auftraggeber eine Beschränkung der Lizenz auf Deutschland und auf die nichtkommerzielle Nutzung akzeptieren würde.	Zu a) Nein. Rechte an Namen, Marken, Logos oder sonstigen Kennzeichen des Auftragnehmers oder der Konsortiumsmitglieder werden nicht verlangt. Ein Herstellerhinweis auf der Erhebungsplattform oder in den Projektergebnissen ist nicht vorgesehen. Zu b) Nein. Eine Beschränkung der Rechte nach § 7 Abs. 1 auf das Gebiet der Bundesrepublik Deutschland oder auf eine nichtkommerzielle Nutzung wird nicht akzeptiert. Die Arbeitsergebnisse müssen nach Anlage 01 Ziffer 4 auch durch von der Auftraggeberin beauftragte Dritte betrieben und weiterentwickelt werden können. Zudem ist nach Modul 3 die Einordnung der Ergebnisse in den internationalen Kontext vorgesehen.

[Seite 39]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
69.	§ 7 Abs. 1 des Vertragsentwurfs (öffentliche Zugänglichmachung von Arbeitsergebnissen)	§ 7 Abs. 1 gewährt dem Auftraggeber unter anderem das ausschließliche Recht, die Arbeitsergebnisse der Öffentlichkeit zugänglich zu machen. Bitte klären Sie, ob diese Bestimmung dem Auftraggeber gestatten soll, das Erhebungsinstrument, die Erhebungsplattform, den Quellcode und/oder sonstige technische Hilfsmittel der Öffentlichkeit zugänglich zu machen, oder ob sich die vorgesehene öffentliche Zugänglichmachung auf Studienergebnisse, Berichte und sonstige Veröffentlichungen beschränkt.	Die Regelung in § 7 Abs. 1 dient der umfassenden Einräumung der erforderlichen Nutzungsrechte an die Auftraggeberin. Eine öffentliche Zugänglichmachung ist insbesondere für Studienergebnisse, Berichte, Präsentationen sowie weitere für die Kommunikation der Projektergebnisse geeignete Inhalte vorgesehen. Dies kann auch Bestandteile des Reifegradmodells bzw. des Erhebungsinstruments, insbesondere Fragen und methodische Inhalte, umfassen. Eine Veröffentlichung des Quellcodes, der technischen Komponenten der Erhebungsplattform oder des zugrunde liegenden Bewertungsalgorithmus ist nicht vorgesehen.
70.	§ 12 Abs. 1 des Vertragsentwurfs	§ 12 Abs. 1 sieht eine Vertragsstrafe vor, wenn der Auftragnehmer mit seiner Leistung ganz oder teilweise in Verzug ist. a) Bitte definieren Sie den Begriff „Verzug“. Unter welchen Voraussetzungen liegt ein Verzug vor? b) Bitte klären Sie, welche konkreten vertraglichen Fristen, Meilensteine oder Leistungsverpflichtungen die Vertragsstrafe gemäß § 12 Abs. 1 auslösen sollen und ob die Vertragsstrafe ausschließlich dann zur Anwendung kommt, wenn der Auftragnehmer nach den einschlägigen gesetzlichen Bestimmungen rechtlich in Verzug ist.	Der Verzug richtet sich nach den gesetzlichen Bestimmungen. Maßgeblich sind die nach § 3 Abs. 1 des Vertragsentwurfs nach Zuschlagserteilung verbindlich festzulegenden Termine. Fälligkeitsrelevant sind nach § 3 Abs. 2 allein die Zwischenberichte und der Abschlussbericht. Berechnung, anteilige Berücksichtigung angefangener Wochen und Höchstgrenze der Vertragsstrafe ergeben sich aus § 12 Abs. 1 des Vertragsentwurfs.

[Seite 40]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		c) Bitte klären Sie außerdem, wie die Vertragsstrafe zu berechnen ist, wenn sich eine Verzögerung nur auf einen Teil der vertraglichen Leistungen oder auf einen einzelnen Meilenstein auswirkt. d) Besteht die Möglichkeit, einen eingetretenen Verzug innerhalb einer bestimmten Frist zu beseitigen, bevor die Vertragsstrafe geltend gemacht wird?
71.	Referenzen	Im Rahmen der qualitativen Anforderungen sind Referenzen zu benennen (definiert in Anlage 08). Für eine Vergleichbarkeit sind damit sowohl die Themen Cybersecurity als auch Evaluation abzudecken. Ist eine Vergleichbarkeit auch dann gegeben, wenn die Themen von allen Referenzen in Summe abgedeckt sind oder muss jeder Referenz die vollständige Vergleichbarkeit in beiden Punkten berücksichtigen?	Die Vergleichbarkeit der Referenzen wird anhand der in Anlage 08 festgelegten Anforderungen beurteilt. Eine vollständige Abdeckung der Themenbereiche Cybersecurity und Evaluation durch jeden einzelnen Referenzauftrag ist nicht erforderlich. Die Themenbereiche können durch die eingereichten Referenzaufträge in ihrer Gesamtheit abgedeckt werden. Jeder Referenzauftrag muss jedoch für sich genommen hinsichtlich der Aufgaben und Komplexität mit den ausgeschriebenen Leistungen vergleichbar sein. Die weiteren Anforderungen gemäß Anlage 08, insbesondere hinsichtlich der Anzahl der Referenzen, des Gesundheitsbezugs, des Auftragswerts und der Auftraggeber, bleiben unberührt.

[Seite 41]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
72.	Referenzen	Die Referenzlage (insbesondere) im Bereich Cybersecurity genießt eine hohe Sensibilität und Diskretion. Vor diesem Hintergrund erfolgt die Frage, ob die Möglichkeit eingeräumt werden kann, vergleichbare Referenzen anonymisiert aufzustellen?	Eine anonymisierte Darstellung vertraulicher Projektdetails ist grundsätzlich möglich, sofern die Vergleichbarkeit der Referenzprojekte und die Prüfung der geforderten Eignungskriterien weiterhin gewährleistet sind. Die für die Bewertung erforderlichen Angaben, insbesondere zu Art, Umfang, Leistungszeitraum und Auftraggeber, müssen nachvollziehbar und überprüfbar bleiben. Soweit einzelne Angaben besonderen Vertraulichkeitsanforderungen unterliegen, können diese entsprechend gekennzeichnet werden. Eine vollständige Anonymisierung, die eine Überprüfung der Referenzen ausschließt, ist nicht ausreichend.
73.	Vertragsentwurf / Abnahmekriterien	Mit Unterzeichnung des den Vergabeunterlagen beigefügten Vordrucks "Angebot" akzeptiert der Bieter die Vertragsbedingungen der Vergabeunterlagen. Gehen wir Recht in der Annahme, dass die in diesem Verfahren gestellten Bieterfragen und die Antworten des Auftraggebers Vertragsbestandteil werden und bei Änderungen der Regelungen der Vertragsbedingungen der Vergabeunterlagen diesen Vertragsbedingungen im Rang vorangehen? Der Vertrag sieht die Abnahme der Leistungen des Auftragnehmers durch den Auftraggeber vor. Es fehlen jedoch konkrete Abnahmekriterien. Anhand welcher Kriterien wird die vertragsgemäße Erbringung festgestellt? Sind Korrektur- und	Hierzu wird auf Frage 39 verwiesen.

[Seite 42]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		Überarbeitungsschleifen Bestandteil der geschuldeten Werkleistung, und falls ja, in welchem Umfang?
74.	Vertragsentwurf / Nutzungsrechte	Die in § 7 des Vertrags vorgesehenen Nutzungsrechte versetzen den Auftragnehmer in der Rechtsform einer Wirtschaftsprüfungsgesellschaft in die Gefahr einer unbegrenzten Dritthaftung. Kann vereinbart werden, dass eine Weitergabe oder Veröffentlichung der vom Auftragnehmer erstellten Arbeitsergebnisse nur erfolgt, indem der Auftraggeber sich die Arbeitsergebnisse zu eigen macht und mithin für Dritte nicht ersichtlich wird, dass sie vom Auftragnehmer entwickelt worden oder unter seiner Mitwirkung entstanden sind?	Nein. Die Auftraggeberin wird die Auftragnehmerin bei der Veröffentlichung von Berichten und Ergebnissen als Ersteller ausweisen. Auf § 16 Abs. 6 des Vertragsentwurfs wird hingewiesen. Eine Haftung gegenüber Dritten wird hierdurch nicht begründet; auf die Antwort zu Frage Nr. 35 wird verwiesen
75.	§ 8 Abs. 4 Haftungsbegrenzung	Der Vertrag sieht in § 8 (4) eine Haftungsbegrenzung für den Auftragnehmer in Fällen einfacher Fahrlässigkeit bei Verletzung wesentlicher Vertragspflichten im Umfang des Zweifachen des für dieses Projekt vereinbarten Nettohonorarvolumens vor. Wirtschaftsprüfungsgesellschaften sind rechtlich gehalten, Ihre Haftung auf ein angemessenes (und ihrer Versicherung entsprechendes) Maß zu begrenzen. Dies gilt für alle Prüfungs-, Steuerberatungs- und Unternehmensberatungsleistungen nach § 2 WPO, also auch die vorliegend zu beauftragende Beratungsleistung. Stimmen Sie insoweit einer Haftungsbegrenzung des Auftragnehmers in den in § 8	Hierzu wird auf Frage Nr. 34 verwiesen.

[Seite 43]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		(4) genannten Fällen auf den Betrag von EUR 4 Mio. je Schadensfall zu?
76.	Anlage 15 + 15_Verpflichtungserklärungen Datenschutz Verpflichteter/ Verantwortlicher	Uns liegen die Dokumente „14_Verpflichtungserklärung Datenschutz Verpflichteter“ und „15_Verpflichtungserklärung Datenschutz Verantwortlicher“ vor. Beide Dokumente sind inhaltlich identisch. Da wir im Rahmen der Leistungserbringung als Verantwortlicher auftreten, gehen wir recht in der Annahme, dass die Unterzeichnung des Dokuments „15_Verpflichtungserklärung Datenschutz Verantwortlicher“ ausreichend ist? Können Sie dies bitte bestätigen bzw. klarstellen?	Hierzu wird auf die Fragen Nr. 19 und 54 verwiesen.
77.	Anlage 15 + 15_Verpflichtungserklärungen Datenschutz Verpflichteter/ Verantwortlicher	Gehen wir recht in der Annahme, dass die Dokumente „14_Verpflichtungserklärung Datenschutz Verpflichteter“ und „15_Verpflichtungserklärung Datenschutz Verantwortlicher“ jeweils durch eine für den Verantwortlicher vertretungsberechtigte bzw. projektverantwortliche Person unterzeichnet werden können und eine Unterzeichnung durch jeden einzelnen im Projekt eingesetzten Mitarbeitenden nicht erforderlich ist? Sofern dies nicht zutrifft, bitten wir um Klarstellung, ob anstelle einer direkten Verpflichtung der einzelnen Mitarbeitenden auch eine Bestätigung des Verantwortlichen ausreichend ist, dass sämtliche	Hierzu wird auf Frage Nr. 19 verwiesen.

[Seite 44]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		eingesetzten Mitarbeitenden bereits aufgrund arbeitsvertraglicher, datenschutzrechtlicher sowie interner Compliance-Vorgaben zur Vertraulichkeit verpflichtet sind und der Verantwortlicher für die Einhaltung der vertraglich vereinbarten Vertraulichkeits- und Datenschutzanforderungen durch seine Mitarbeitenden einsteht. Hintergrund der Anfrage ist, dass unsere Mitarbeitenden grundsätzlich keine unmittelbaren Vertragsbeziehungen zu Kunden oder sonstigen Dritten eingehen. Dies dient einer klaren Zuordnung der vertraglichen Verantwortlichkeiten und entspricht unserer arbeitsrechtlichen Fürsorgepflicht als Arbeitgeber. Wir bitten daher um Bestätigung, dass die vorgenannte alternative Nachweisführung die Anforderungen der Ausschreibung erfüllt.
78.	Anlage 15 + 15_Verpflichtungserklärungen Datenschutz Verpflichteter/ Verantwortlicher	Gehen wir recht in der Annahme, dass die im Hauptvertrag vereinbarte Haftungsbeschränkung auch für die Dokumente „14_Verpflichtungserklärung Datenschutz Verpflichteter“ und „15_Verpflichtungserklärung Datenschutz Verantwortlicher“ Anwendung findet und insoweit der letzte Absatz der Verpflichtungserklärungen keine davon abweichende, unbeschränkte Haftung begründet?	Die Verpflichtungserklärungen begründen keine eigenständige, von den vertraglichen Regelungen abweichende Haftung der Auftragnehmerin. Für vertragliche Ansprüche gegen die Auftragnehmerin gilt § 8 Abs. 4 des Vertragsentwurfs. Gesetzliche Haftungstatbestände sowie die persönliche Verantwortlichkeit der verpflichteten Personen bleiben unberührt.

[Seite 45]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
79.	Anlage 04_Vertragsentwurf, § 9	Nach unserer Einschätzung entspricht es dem Marktstandard, dass routinemäßig technische Sicherungskopien (sogenannte Backups) erstellt werden, um sich u. a. vor Datenverlust zu schützen, die jedoch in der Regel nicht ohne verhältnismäßigen Aufwand gelöscht werden können. Gehen wir deshalb Recht in der Annahme, dass Unterlagen in automatisiert erstellten Backups von der Herausgabe- bzw. Löschpflicht des §9, Absatz 2 ausgenommen sind?	Eine pauschale Ausnahme von den Herausgabe- und Löschpflichten besteht nicht. Soweit Daten ausschließlich in automatisiert erstellten Sicherungskopien verbleiben, deren selektive Löschung technisch nicht mit verhältnismäßigem Aufwand möglich ist, genügt die Löschung mit Ablauf des regulären Aufbewahrungszyklus, sofern die Sicherungskopien gegen Zugriff geschützt sind und nicht zu anderen Zwecken genutzt werden. Der Aufbewahrungszyklus ist im Datenschutz- und Datensicherheitskonzept anzugeben.
80.	Leistungsbeschreibung	In der Leistungsbeschreibung ist festgelegt, dass für Krankenhäuser frühere DigitalRadar-Ergebnisse importiert werden sollen und dass, soweit dies methodisch und technisch möglich, vergleichbare Inhalte bzw. Items aus den früheren und den neuen DigitalRadar-Erhebungen einander zugeordnet werden sollten, um longitudinale Vergleiche auf Einrichtungsebene zu ermöglichen. Bitte geben Sie an, in welchem Grad eine methodische und inhaltliche Vergleichbarkeit zwischen der neuen bzw. aktualisierten DigitalRadar- Erhebung und den früheren DigitalRadar- Erhebungen erwartet wird. Ist insbesondere eine direkte Vergleichbarkeit der Ergebnisse bzw. Werte (DR-Score, Erfüllungsgrade in den Dimensionen und Subdimensionen/ Konformitätsgrad) zwischen den verschiedenen Erhebungszeitpunkten vorgesehen,	Ziel ist es, die Entwicklung des Digitalisierungsgrades sowohl auf Einrichtungsebene als auch im Rahmen der wissenschaftlichen Gesamtauswertung nachvollziehen zu können. Eine vollständige unmittelbare Vergleichbarkeit sämtlicher Ergebnisse und Werte wird dabei nicht vorausgesetzt. Die Entwicklung eines geeigneten methodischen Ansatzes ist Gegenstand der Leistungsbeschreibung. Da das neue Modell erst im Rahmen des Auftrags entwickelt wird, kann der Grad der Vergleichbarkeit derzeit nicht abschließend bestimmt werden. Aufgrund der Weiterentwicklung anhand aktueller nationaler und internationaler Standards sind Einschränkungen zu erwarten. Methodische Weiterentwicklungen sollen allerdings nicht zugunsten der Vergleichbarkeit ausgeschlossen werden. Der Auftragnehmer hat daher fachlich tragfähige Vergleichsmöglichkeiten zu prüfen,

[Seite 46]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		oder liegt der Schwerpunkt auf der Ermittlung belastbarer Trends, auch wenn aufgrund methodischer Weiterentwicklungen keine vollständige Vergleichbarkeit der Ergebnisse bzw. Werte zwischen den Erhebungen gewährleistet werden kann?	geeignete longitudinale Auswertungsansätze zu entwickeln und Limitationen nachvollziehbar zu dokumentieren.
81.	Leistungsbeschreibung	In der Leistungsbeschreibung wird das übergeordnete Ziel von Modul 1 als Erfassung des „IT-Sicherheits- und Digitalisierungsgrads“ beschrieben. Für die weiteren systemrelevanten Gesundheitseinrichtungen außerhalb der Krankenhäuser wird dagegen ausdrücklich ausgeführt, dass der Fokus der neu zu entwickelnden Reifegradmodelle auf der „Erfassung und Evaluation des IT-Sicherheitsgrades“ liegt. Bitte stellen Sie klar, ob die für die weiteren systemrelevanten Gesundheitseinrichtungen zu entwickelnden Reifegradmodelle ausschließlich den IT-Sicherheitsgrad erfassen und evaluieren sollen, insbesondere im Hinblick auf NIS-2 sowie weitere relevante Standards und regulatorische Anforderungen, oder ob darüber hinaus auch der allgemeine Digitalisierungsgrad der jeweiligen Einrichtungen erfasst und bewertet werden soll.	Hierzu wird Frage Nr. 63 und Nr. 64 verwiesen.

[Seite 47]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
82.	Leistungsbeschreibung	Die Leistungsbeschreibung sieht die Entwicklung von Reifegradmodellen vor und führt aus, dass die Zuordnung zu definierten Mindestanforderungen sich „gegebenenfalls auch in den Stufen des Reifegradmodells widerspiegeln“ kann. Eine konkrete Anzahl oder Struktur von Reifegradstufen wird nach unserem Verständnis jedoch nicht vorgegeben. Bitte stellen Sie klar, ob die zu entwickelnden Reifegradmodelle zwingend eine Bewertung anhand diskreter Reifegradstufen vorsehen müssen oder ob die Bieter hinsichtlich der konkreten Struktur und Methodik des Reifegradmodells frei sind, sofern eine nachvollziehbare Einstufung und Bewertung des IT- Sicherheitsgrades sowie die Zuordnung zu definierten Mindestanforderungen gewährleistet ist.	Die Leistungsbeschreibung gibt keine verbindliche Anzahl oder Struktur der Reifegradstufen vor. Die Bieter sind hinsichtlich der konkreten Ausgestaltung und Methodik der Reifegradmodelle grundsätzlich frei. Neben stufenbasierten Modellen kommen daher auch andere geeignete Bewertungsansätze, beispielsweise scorebasierte Verfahren, in Betracht. Voraussetzung ist, dass der gewählte Ansatz fachlich und methodisch geeignet, nachvollziehbar und konsistent ist und eine belastbare Bewertung des IT- Sicherheitsgrades ermöglicht. Darüber hinaus muss eine eindeutige und nachvollziehbare Zuordnung zu den definierten Mindestanforderungen gewährleistet sein. Die Methodik ist so auszugestalten und zu dokumentieren, dass die Ergebnisse vergleichbar und für die vorgesehenen Zwecke der Erhebung und Bewertung verwendbar sind. Das Modell muss zudem eine Zuordnung der Ergebnisse zu abgrenzbaren Bewertungsstufen ermöglichen, da es als Grundlage für die stufenbezogene Steuerung der Förderung dienen soll.
83.	Anlage 05_Angebotsschreiben	Ist die Anlage 05_Angebotsschreiben nur von allen Mitgliedern einer Bietergemeinschaft auszufüllen oder auch von allen Unterauftragnehmenden?	Anlage 05_Angebotsschreiben ist von den Mitgliedern der Bietergemeinschaft auszufüllen.

[Seite 48]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
84.	Anlage 14_Verpflichtungserklärung Datenschutz Verpflichteter	Ist die Anlage 14_Verpflichtungserklärung Datenschutz Verpflichteter von allen im Projekt aufgestellten Mitarbeitenden (die zum Zeitpunkt der Angebotsstellung bekannt sind) auszufüllen, unabhängig vom jeweiligen Arbeitgeber (Bewerber, Bietergemeinschaft, Unterauftragnehmer)?	Ja.
85.	Anlage 15_ Verpflichtungserklärung Datenschutz Verantwortlicher	Ist die Anlage 15_Verpflichtungserklärung Datenschutz Verantwortlicher einmalig vom abgegebenden Unternehmen zu zeichnen oder von allen benannten Unternehmen (Bietergemeinschaft, Unterauftragnehmer)?	Von allen Mitgliedern der Bietergemeinschaft.
86.	Anlage 14_ Verpflichtungserklärung Datenschutz Verpflichteter	Aus den Ausschreibungsunterlagen geht hervor, dass unsere Mitarbeiter sich vor Dienstantritt durch Unterzeichnung an Sie gerichteter Erklärungen persönlich Ihnen gegenüber zum Datenschutz (Anlage 13, " Verpflichtungserklärung Datenschutz Verpflichteter”) verpflichten sollen. Wir werden im Fall unserer Beauftragung nur Personen zur Durchführung des Auftrags einsetzen, die wir zuvor vertraglich zum Datenschutz und zur Vertraulichkeit verpflichtet haben. Wir möchten jedoch unsere Mitarbeiter nicht in die Situation bringen, eigene einseitige Verpflichtungserklärungen gegenüber unseren Auftraggebern abgeben zu müssen.	Nein. Die Verpflichtungserklärungen nach Anlage 14 sind von den eingesetzten Mitarbeitenden abzugeben. Eine Erklärung der Auftragnehmerin, nur entsprechend verpflichtete Personen einzusetzen, genügt nicht. Die Verpflichtung erfolgt gegenüber der Auftragnehmerin nach § 9 Abs. 1 des Vertragsentwurfs und begründet keine unmittelbare Vertragsbeziehung der Mitarbeitenden zur Auftraggeberin. Die im Fragetext genannte Anlage 13 ist die Anlage 14, auf die Antwort zu Frage Nr. 14 wird verwiesen

[Seite 49]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
		Können die Regelungen daher dahingehend abgewandelt oder so verstanden werden, dass statt der direkten Verpflichtung von Mitarbeitern gegenüber dem Auftraggeber die Erklärung des Auftragnehmers nach Anlage 14 und gegebenenfalls der Nachweis genügen, dass der Auftragnehmer nur entsprechend verpflichtete Personen zur Auftragsdurchführung einsetzt?
87.	Anlage 18_Studienabschluss Personal	Die Bewertungsmatrix enthält unter K3.2.1 (Erläuterung der Wertungsmaßstäbe auf Seite 5) direkt aufeinanderfolgend zwei unterschiedliche Punktwerte für denselben Abschluss. Im Text heißt es zunächst, Personal mit einem Masterabschluss im Bereich der genannten Themen erhält „zwei Punkte“, im unmittelbar darauffolgenden Satz wird ein Masterabschluss in den genannten Themen jedoch mit „jeweils 1 Punkt“ bewertet. Wir bitten um Klarstellung, welcher Punktwert für die Angebotswertung verbindlich ist.	Hierzu wird auf Frage Nr. 13 verwiesen.

[Seite 50]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Nr.	Thema	Frage	Antwort
88.	Leistungsbeschreibung	Laut Modul 1 der Leistungsbeschreibung (ab S. 3) sollen die neu zu entwickelnden Reifegradmodelle als Grundlage für die Antragstellung und Bedarfsfeststellung dienen. Da der erste Förderaufruf des Förderprogramms Cybersicherheit zeitnah starten soll und die erste reguläre Erhebungswelle der Evaluation erst für 2027 geplant ist, bitten wir um Klarstellung: Müssen die Reifegradmodelle (Modul 1) vorgezogen und die erste Erhebung bereits im Rahmen des ersten Förderaufrufs fertiggestellt sein, um als Bewertungsgrundlage für die Antragstellung zu dienen?	Die Modellentwicklung soll unmittelbar zu Projektbeginn aufgenommen und möglichst frühzeitig abgeschlossen werden. Ziel ist es, die erste Erhebung zeitnah durchzuführen und den Ausgangszustand der Einrichtungen möglichst vor Umsetzung geförderter Maßnahmen zu erfassen, um deren Entwicklung im weiteren Evaluationsverlauf belastbar nachvollziehen zu können. Eine vollständige Fertigstellung der Reifegradmodelle oder Durchführung der ersten Erhebungswelle als Voraussetzung für den ersten Förderaufruf ist jedoch nicht vorgesehen. Die konkrete zeitliche und methodische Ausgestaltung ist im Rahmen der Projektumsetzung mit der Auftraggeberin abzustimmen.
89.	Leistungsbeschreibung	Die Evaluation umfasst auch Krankenhäuser unter Fortführung des „DigitalRadar“. Da die operative Abwicklung der Krankenhausförderung (Teil A) jedoch dezentral über die gesetzlichen Selbstverwaltungsstrukturen (GKV, DKG) läuft : über welchen Weg und durch wen erhält der Auftragnehmer die notwendigen Stammdaten und Ansprechpartner der Krankenhäuser, um die jährlichen Selbsteinschätzungen reibungslos zu koordinieren?	Die für die Durchführung der Erhebungen erforderlichen Stammdaten und Ansprechpartner der Krankenhäuser werden dem Auftragnehmer im Rahmen der Auftragsdurchführung zur Verfügung gestellt. Die konkrete organisatorische Ausgestaltung der Datenbereitstellung und Abstimmung mit den beteiligten Stellen erfolgt im Rahmen der Projektumsetzung.

[Seite 51]

Bieterfragen und -antworten

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Hinweis:

Wir weisen darauf hin, dass diese Beantwortung von Bieterfragen als Änderung, Ergänzung bzw. Konkretisierung der Vergabeunterlagen ebenfalls Vertragsbestandteil wird. Eine Nichtberücksichtigung dieser Information führt somit zum Angebotsausschluss.

Bis zum Schlusstermin für das Angebot am 1. Oktober 2026, 14:00 Uhr können Sie Ihr Angebot zurückziehen. Diese Frist gilt auch für nachträgliche Änderungen bzw. Ergänzungen der Bewerbung.

Im Interesse der Bieter sollten auftretende Fragen unverzüglich, spätestens jedoch spätestens 10 Tage vor Ablauf der Angebotsfrist gestellt werden, damit den Bietern ausreichend Zeit bleibt, die Antworten bei der Angebotserstellung zu berücksichtigen.

260915_ZR2_Bieterfragen und -antworten Nr. 10-89.pdf

Bieterfragen und Antworten