01c_Anhang_C_Service und Pflege.pdf

[Seite 1]

Anhang C des EVB-IT Erstellungsvertrags:

Service und Pflege EUginius 2.0

Version 1.1 vom 25.09.2025

[Seite 2]

Anhang C: Service und Pflege: EUginius 2.0

Inhaltsverzeichnis

1 Einleitung ....................................................................................................................... 3

2 Überblick über die Systemarchitektur ............................................................................. 3

2.1 Allgemeiner Aufbau und Funktionsweise der Anwendung ...................................... 4

2.2 Komponenten der Laufzeitumgebung .................................................................... 4

3 Aktuelle technische Infrastruktur ..................................................................................... 5

4 Rahmenbedingungen ..................................................................................................... 6

4.1 Service- und Pflegezeitraum .................................................................................. 6

4.2 Abruf der Service- und Pflegeleistungen ................................................................ 6

4.2.1 Vorgehensweise für Beauftragung und Durchführung von Service- und

Pflegeleistungen ............................................................................................................. 6

4.2.2 Durchführung von Service- und Pflegeleistungen ............................................... 7

4.3 Vergütung der Service- und Pflegeleistungen ........................................................ 8

4.4 Betrieb einer eigenen Testumgebung durch den Auftragnehmer ........................... 8

5 Kurzbeschreibung der Service- und Pflegeleistungen ....................................................11

5.1 Im Rahmen der Pauschale der Service- und Pflegeleistungen ..............................11

5.1.1 Störungsbeseitigung, Fehlerbehebung und Wiederherstellung bzw.

Aufrechterhaltung der Betriebsbereitschaft ....................................................................11

5.1.2 Beantwortung technischer und fachlicher Anfragen ...........................................12

5.1.3 Software-Aktualisierung der verwendeten Bibliotheken und Software-Frameworks

12

5.1.4 Identifizierung und Beseitigung von kritischen Softwareschwachstellen und

Sicherheitslücken ..........................................................................................................13

5.2 Außerhalb der Pauschale der Pflege- und Serviceleistungen ................................14

5.2.1 Beseitigung von nicht-kritischen Softwareschwachstellen und Sicherheitslücken

14

5.2.2 Änderungen an der technischen Infrastruktur ....................................................14

5.2.3 Anpassungsmaßnahmen der Anwendung .........................................................16

6 Abnahme von Service- und Pflegeleistungen ................................................................16

Seite 2 von 16

[Seite 3]

Anhang C: Service und Pflege: EUginius 2.0

1 Einleitung

Bei der zu erstellenden Fachanwendung „EUginius 2.0“ handelt es sich um eine datenbank-

basierte Webanwendung zur Verwaltung und Verfolgung von gentechnisch veränderten Orga-

nismen (GVO). Zu den genauen Funktionalitäten der Anwendung siehe Anhang B des EVB-

IT Erstellungsvertrags (Anforderungen_Lastenheft) sowie dessen Annexen (DatenbankMo-

dell_EUginius und Hauptentitäten).

Das vorliegende Dokument „Service und Pflege“ beinhaltet zusätzlich geltende und konkreti-

sierende Angaben zu den im EVB-IT-Erstellungsvertrag (siehe Anlage) vereinbarten Service-

und Pflegeleistungen für die Anwendung EUginius 2.0, die vom Auftragnehmer zu erbringen

sind. Die Ergänzungen beziehen sich auf folgende Punkte:

 Wiederherstellung der Betriebsbereitschaft (Störungsbeseitigung)

 Aufrechterhaltung der Betriebsbereitschaft (vorbeugende Maßnahmen)

 Analyse und Behebung von Sicherheitslücken

 Durchführung von Maßnahmen zur Softwarequalitätssicherung

 Unterstützung bei der Durchführung von Migrationsmaßnahmen an der techni-

schen Infrastruktur

 Technische und fachliche Beratung zur Nutzung

 Fachliche bzw. funktionale Anpassungen

Zielsetzung des Auftraggebers

Der Lebenszyklus der Anwendung EUginius 2.0 ist auf den langfristigen und kostengünstigen

Betrieb bei hoher Verfügbarkeit ausgerichtet. Von der Anwendung wird eine hohe Verfügbar-

keit und ein performantes und stabiles Laufzeitverhalten erwartet. Um dies dauerhaft und un-

eingeschränkt zusichern zu können, müssen das IT-System und die Laufzeitumgebung ent-

sprechend gepflegt werden. Auftretende Störungen müssen zeitnah (siehe Nr. 10.1 des EVB-

IT Erstellungsvertrages; Anlage) behoben werden. Für den Auftraggeber ist von vertragswe-

sentlicher Bedeutung, dass der Auftragnehmer im Rahmen der vereinbarten Leistungen alle

dafür erforderlichen Schritte unternimmt bzw. die Mitarbeiterinnen und Mitarbeiter des Auftrag-

gebers dabei unterstützt.

2 Überblick über die Systemarchitektur

Die Systemarchitektur der Anwendung EUginius 2.0 wird im Kapitel 3.1 des Anhangs B des

EVB-IT Erstellungsvertrages ausführlich beschrieben.

Im Folgenden wird der grundsätzliche Aufbau der einzelnen Komponenten und die Laufzeit-

umgebung kurz zusammengefasst. Für technische Details siehe Kapitel 3.1 des Anhangs B

des EVB-IT Erstellungsvertrages.

Seite 3 von 16

[Seite 4]

Anhang C: Service und Pflege: EUginius 2.0

2.1 Allgemeiner Aufbau und Funktionsweise der Anwendung

Bei der Anwendung EUginius 2.0 handelt es sich um eine webbasierte Fachanwendung. Die

Anwendung läuft auf einem Jakarta EE Applikationsserver „Red Hat JBoss Web Server“ (RH

JWS) Version 6 oder „Red Hat Java Beans Open Source Server Enterprise Application Plat-

form“ (RH JBoss EAP) Version 8.

Grundsätzlich ist eine Bedienung der Anwendung über das GUI (Graphical User Interface,

grafische Benutzeroberfläche) in einem beliebigen Webbrowser möglich. Daten können über

dieses GUI nach Authentifizierung manuell bearbeitet werden. Für den automatisierten Zugriff

auf die Anwendung ohne GUI-Zugriff wird eine stark limitierte Anzahl von Webservices für

externe Anwender zur Verfügung gestellt.

Die Authentifizierung der Nutzenden geschieht über das Protokoll Open ID-Connect und wird

technisch mit einem Keycloak-Server realisiert. Innerhalb der Anwendung ist eine Benutzer-

verwaltung implementiert, welche in der Regel per Keycloak-API auf Nutzerinformationen zu-

greift. Zugangsdaten der Nutzenden werden in einem separaten LDAP-Server (OpenLDAP)

gespeichert, auf den der Keycloak Zugriff erhält. Rolleninformationen der Nutzenden werden

nicht im LDAP gehalten, sondern ausschließlich im Keycloak. Aufgrund einer in der Anwen-

dung EUginius 2.0 realisierten internen Loggingfunktionalität für angelegte Benutzende zu Au-

ditingzwecken muss eine Benutzerverwaltung ausschließlich über die Anwendung erfolgen.

Benutzende dürfen nicht durch direkten Zugriff auf den Keycloak oder LDAP hinzugefügt, be-

arbeitet oder gelöscht werden, da es ansonsten zu Inkonsistenzen zum in der Anwendung

geführten Benutzerlog kommt.

2.2 Komponenten der Laufzeitumgebung

Installation und Betrieb der Laufzeitumgebung der Anwendung erfolgt durch den Auftraggeber

auf der eigenen Infrastruktur.

Zur Laufzeitumgebung der Anwendung gehören folgende Komponenten:

 Linux-Betriebssystem

 Jakarta-Laufzeitumgebung

 Jakarta EE Applikationsserver

 Datenbankmanagementsystem

 Authentifizierungssystem

Die Anwendung benötigt zusätzlich zur Laufzeitumgebung bestimmte Jakarta-Bibliotheken (in-

klusive Software-Frameworks), die vom Softwarehersteller zusammen mit der Anwendung

ausgeliefert werden und allgemeine, anwendungsunabhängige Software-Funktionen bereit-

stellen.

Seite 4 von 16

[Seite 5]

Anhang C: Service und Pflege: EUginius 2.0

Instanzen der Anwendung

Der Auftraggeber betreibt auf der eigenen Infrastruktur folgende Instanzen der Anwendung:

1. Produktionssystem

2. Testsystem

Dokumentation der Laufzeitumgebung

Der Auftraggeber wird bei der beschriebenen Vorgehensweise vertreten durch Referat (Hin-

weis: Referatsbezeichnungen werden nach Zuschlagserteilung benannt). Vom Auftraggeber

durchgeführte Änderungen und Aktualisierungen an der Laufzeitumgebung der Anwendung

werden vom Auftraggeber dokumentiert und bei Bedarf dem Auftragnehmer zur Verfügung

gestellt. Die Art der Bereitstellung (z. B. Ticketsystem, angepasste Systemdokumentation) wird

zwischen den Vertragsparteien nach Vereinbarung bzw. im Einzelfall abgestimmt.

3 Aktuelle technische Infrastruktur

Grundlage für den Betrieb der Anwendung ist die folgende technische Infrastruktur:

Tabelle 1

Die volle Funktionsfähigkeit der Anwendung EUginius 2.0 muss auf dieser Infrastruktur ge-

währleistet sein.

Die Installationen und der Betrieb der Anwendung erfolgt durch den Auftraggeber auf der be-

schriebenen technischen Infrastruktur (Betriebssystem, Anwendungsserver, Datenbankmana-

gementsystem, Dokumentenmanagementsystem, Indizierungsserver, Authentifizierungssys-

teme, siehe Tabelle 1) und sind gegebenenfalls durch den Auftragnehmer per Fernzugriff (re-

mote, per BDBOS (Bundesanstalt für den Digitalfunk der Behörden und Organisationen mit

Sicherheitsaufgaben)-Meeting Plattform) zu unterstützen.

Der Betrieb der Anwendung beinhaltet sowohl den produktiven Betrieb als auch den Betrieb

in den Testumgebungen.

Seite 5 von 16

[Seite 6]

Anhang C: Service und Pflege: EUginius 2.0

Die zur Erzeugung der Anwendung erforderlichen Bibliotheken und Software-Frameworks

müssen vom Auftragnehmer bereitgestellt und dokumentiert werden. Die Dokumentation muss

den Namen der verwendeten Bibliothek und die zugehörige Versionsnummer beinhalten. Wird

das Softwarewerkzeug Maven zum Bau der Anwendung genutzt, genügen zur Dokumentation

der Software-Abhängigkeiten die in den entsprechenden Build-Dateien gemachten Angaben

(pom.xml).

4 Rahmenbedingungen

4.1 Service- und Pflegezeitraum

Die Service- und Pflegeleistungen werden zunächst für einen Zeitraum von voraussichtlich 18

Monaten (Dauer abhängig vom Zeitpunkt der Abnahme der neuentwickelten Anwendung) und

der Überführung in den Betrieb vereinbart. Der Auftraggeber hat die Option, den Service- und

Pflegezeitraum einmalig um zwölf Monate zu verlängern. Die Wahrnehmung der Option ist

abhängig von der schriftlichen Mitteilung des Auftraggebers. Diese erfolgt bis spätestens drei

Monate vor Ablauf des vereinbarten Service- und Pflegezeitraumes. Bei der Option handelt es

sich um ein einseitiges Gestaltungsrecht des Auftraggebers. Der Auftragnehmer hat kein

Recht auf die Wahrnehmung der Option.

4.2 Abruf der Service- und Pflegeleistungen

Die Leistungen umfassen insbesondere die laufende Pflege, die Fehleranalyse und -behebung

sowie die Beseitigung von Störungen der Anwendung EUginius 2.0. Diese werden im Kapitel

5.1 ausführlich beschrieben. Diese Leistungen sind Bestandteil der Nr. 5.4 des EVB-IT Erstel-

lungsvertrages und werden nicht gesondert abgerechnet; sie gelten als in der vereinbarten

Pauschale der Service- und Pflegeleistungen des Angebots vom xx.xx.2026 enthalten und

stehen dem Auftraggeber im Rahmen der nachfolgenden Bestimmungen zur Verfügung.

Die im Kapitel 5.2 aufgeführten Service- und Pflegeleistungen werden durch den Auftraggeber

im Rahmen von Weiterentwicklung und Anpassung nach Abschluss der erforderlichen inter-

nen Abstimmungs- und Genehmigungsprozesse des Auftraggebers und nach Abstimmung

des Leistungsumfangs, des Liefertermins und der zugehörigen Kosten- und Aufwandsschät-

zung mit dem Auftragnehmer als zu erbringendes Leistungspaket beauftragt und nach Auf-

wand vergütet.

4.2.1 Vorgehensweise für Beauftragung und Durchführung von Service-

und Pflegeleistungen

Für die Beauftragung und Durchführung von Service- und Pflegeleistungen (betrifft Leistungen

unter 5.2) ist folgende Vorgehensweise vorgesehen: Seite 6 von 16

[Seite 7]

Anhang C: Service und Pflege: EUginius 2.0

1. Der Auftraggeber erstellt per E-Mail oder Ticketsystem einen Change-Request, der die

vom Auftraggeber gewünschten Service- und Pflegeleistungen beschreibt. Der er-

stellte Change-Request wird hierauf dem Auftragnehmer zur Aufwandsschätzung zu-

gewiesen.

2. Der Auftragnehmer erstellt für die Umsetzung des Change-Requests eine verbindliche

Aufwandsschätzung. Bei Beauftragung über CR sind für die Schätzung die im Angebot

vom xx.xx.2026 genannten Stundenverrechnungsätze bzw. Tagessätze verbindlich.

3. Der Auftraggeber entscheidet unter Berücksichtigung der Aufwandsschätzung, ob und

in welchem Umfang der Change-Request umgesetzt wird und stimmt mit dem Auftrag-

nehmer den Liefertermin und die Abnahmemodalitäten ab.

4. Bei positiver Entscheidung wird der Auftragnehmer explizit vom Auftraggeber per

E-Mail oder Ticketsystem mit der Umsetzung des Change-Requests beauftragt.

Dieser Vorgang ist üblicherweise innerhalb von zwei Wochen nach dem Change-Request ab-

zuschließen. Der Auftraggeber wird bei der beschriebenen Vorgehensweise vertreten durch

das Referat (Hinweis: Referatsbezeichnungen werden nach Zuschlagserteilung benannt). Die

gesamten mit einem Change-Request verbundenen Aktivitäten und Ergebnisse werden vom

Auftraggeber und Auftragnehmer im Ticketsystem des Auftragnehmers dokumentiert:

 Beschreibung der durchzuführenden Maßnahmen der Service- und Pflegeleis-

tungen (durch den Auftraggeber).

 Kostenschätzung für die Maßnahmen durch den Auftragnehmer.

 Beauftragung der zu erbringenden Service- und Pflegeleistungen, inklusive Lie-

fertermin und Abnahmemodalitäten durch den Auftragnehmer.

 Abnahme der Service- und Pflegeleistungen und Durchführung ggf. erforderli-

cher Nachbesserungen durch den Auftraggeber mit Unterstützung vom Auf-

tragnehmer.

4.2.2 Durchführung von Service- und Pflegeleistungen

Die notwendigen Anpassungen der Anwendung, die vom Auftragnehmer durchgeführt werden

müssen, erfolgen ausschließlich aus der Ferne (remote, per BDBOS Meeting Plattform). Der

Auftragnehmer stellt sicher, dass alle erforderlichen Änderungen und Anpassungen effizient

und zuverlässig aus der Entfernung vorgenommen werden. Diese Anpassungen werden an-

schließend dem Auftraggeber in digitaler Form bereitgestellt, sodass dieser die aktualisierte

Version der Anwendung nutzen kann.

Es ist ausdrücklich kein Vor-Ort-Support vorgesehen, das heißt, der Auftragnehmer ist nicht

verpflichtet, physisch beim Auftraggeber vor Ort zu erscheinen. Stattdessen wird ein beglei-

Seite 7 von 16

[Seite 8]

Anhang C: Service und Pflege: EUginius 2.0

tender Remote- oder Telefonsupport (per BDBOS Meeting Plattform) als ausreichend ange-

sehen, um etwaige Fragen zu klären, Probleme zu beheben oder Unterstützung bei der An-

wendung der Änderungen zu leisten.

Die explizite Wiederherstellung und Aufrechterhaltung der Betriebsbereitschaft vor Ort bzw.

der Austausch der Hardware, die Administration der Server (Anwendungsserver, LDAP Ser-

ver, Datenbankserver) sowie der Infrastruktur gehört nicht zu den Aufgaben des Auftragneh-

mers. Die Durchführung der Administration liegt grundsätzlich beim Auftraggeber. Sofern für

die Aufrechterhaltung des Betriebs und/oder die Wiederherstellung der Betriebsbereitschaft

und/oder das Einspielen neuer Programmversionen die Unterstützung des Auftragnehmers

notwendig ist, begleitet der Auftragnehmer diese Arbeiten (mittels Anleitung und remote, per

BDBOS Meeting Plattform).

4.3 Vergütung der Service- und Pflegeleistungen

Die Vergütung für die in diesem Dokument aufgeführten Service- und Pflegeleistungen erfolgt

nach einem Pauschalfestpreis. Die Pauschale deckt sämtliche Service- und Pflegeleistungen

mit Ausnahme der im Kapitel 5.2 genannten Leistungen ab. Sollte sich im Verlauf herausstel-

len, dass weiterführende Leistungen über Change-Request (CR) für Anpassungs- und Opti-

mierungsmaßnahmen an der Software (siehe Kapitel 5.2) erforderlich sind, wird dies dem Auf-

traggeber frühzeitig mitgeteilt, und das weitere Vorgehen wird gemeinsam abgestimmt. Für

etwaigen notwendigen Mehraufwand gelten die vereinbarten Stunden- oder Tagessätze (siehe

Nr. 7.1 des EVB-IT Erstellungsvertrages).

4.4 Betrieb einer eigenen Testumgebung durch den Auftragnehmer

Entwicklungs- und Testumgebung des Auftragnehmers

Im Rahmen der Pauschale der Service- und Pflegeleistungen wird vom Auftragnehmer zur

Qualitätssicherung erwartet, dass dieser eine eigene Entwicklungs- und Testumgebung für die

Fachanwendung EUginius 2.0 betreibt. Installation und Betrieb der Testumgebung und der

erforderlichen IT-Infrastruktur liegen im Verantwortungsbereich des Auftragnehmers.

Die Testumgebung des Auftragnehmers muss technisch möglichst eng an die Produktionsum-

gebung des Auftraggebers angeglichen sein. Es müssen dieselben Komponenten der Lauf-

zeitumgebung mit derselben Versionsnummer wie beim Auftraggeber eingesetzt werden

(siehe oben Tabelle 1). Wenn der Auftraggeber kommerzielle Komponenten (z. B. vom Her-

Seite 8 von 16

[Seite 9]

Anhang C: Service und Pflege: EUginius 2.0

steller Red Hat) einsetzt, muss der Auftragnehmer zwecks Vermeidung von Versionsunter- schieden ebenfalls diese kommerzielle Komponente einsetzen.1 Wenn der Auftraggeber Com-

munity-Varianten einsetzt, muss der Auftragnehmer ebenfalls diese Community-Varianten ein-

setzen.

Die Installationsart der einzelnen Komponenten der Laufzeitumgebung beim Auftragnehmer

muss nicht identisch sein zur Installationsart des Auftraggebers. Zum Beispiel ist es denkbar,

die Laufzeitumgebung des Auftraggebers in einem Container (z. B. Docker) oder wenigen vir-

tuellen Maschinen nachzubilden.

Technische Abweichungen zu den oben genannten Vorgaben müssen mit dem Auftraggeber

abgestimmt werden.

Wird die Laufzeitumgebung der Anwendung EUginius 2.0 auf der IT-Infrastruktur des Auftrag-

gebers aktualisiert, so sind auch entsprechende Aktualisierungsmaßnahmen auf der Testum-

gebung des Auftragnehmers durchzuführen. Änderungen der Laufzeitumgebung werden vom

Auftraggeber mit dem Auftragnehmer mindestens vier Wochen im Voraus abgestimmt.

Durchführung von QM-Maßnahmen:

Für die vom Auftragnehmer durchgeführten Softwareanpassungen sind, sofern dies aus Grün-

den der Qualitätssicherung erforderlich ist, entsprechende Unit- und Systemtests zu erstellen

und vom Auftragnehmer auf der eigenen Testumgebung durchzuführen. Die durchgeführten

Testfälle und die zugehörigen Testergebnisse sind vom Auftragnehmer als Testprotokolle in

digitaler Form (z. B. Word-, Excel-, PDF- bzw. Konfigurations- und Logging-Dateien) zu doku-

mentieren und auf Nachfrage dem Auftraggeber bereitzustellen.

Der Umfang der im Rahmen einer Auslieferung durchzuführenden Tests (Unittests, System-

tests) wird zwischen den Vertragsparteien jeweils abgestimmt.

Unterstützung durch den Auftraggeber

Falls vom Auftragnehmer zur Durchführung der Qualitätssicherung oder zur Reproduktion von

Softwarefehlern spezifische Testfälle und/oder Testdaten benötigt werden, wird die konkrete

Vorgehensweise gemeinsam zwischen Auftragnehmer und Auftraggeber abgestimmt. Für die

Anonymisierung von Testdaten, die vom Auftraggeber bereitgestellt werden, ist der Auftrag-

geber selbst verantwortlich.

1 Für die Nutzung kommerzieller Komponenten des Herstellers Red Hat für Entwicklungszwecke fallen

keine separaten Lizenzkosten an. Red Hat bietet Entwicklern für diesen Zweck kostenlose Developer-

Lizenzen an. Siehe: https://developers.redhat.com/about

Seite 9 von 16

[Seite 10]

Anhang C: Service und Pflege: EUginius 2.0

Testumgebung des Auftraggebers

Der Auftraggeber betreibt eine eigene Testumgebung, die technisch äußerst eng an die Pro-

duktionsumgebung angeglichen ist. Die Testumgebung des Auftraggebers wird zur Durchfüh-

rung spezifischer fachlicher oder technischer Tests sowie zur Durchführung der Abnahmetests

herangezogen. Die mit einer Softwarelieferung ggf. erforderlichen Abnahmetests werden vom

Auftraggeber durchgeführt. Der Auftragnehmer erhält keinen Zugriff auf die Testumgebung

des Auftraggebers.

Seite 10 von 16

[Seite 11]

Anhang C: Service und Pflege: EUginius 2.0

5 Kurzbeschreibung der Service- und Pflegeleistungen

5.1 Im Rahmen der Pauschale der Service- und Pflegeleistungen

Folgende Leistungen sind in der Pauschale der Service- und Pflegeleistungen (siehe Nr. 5.1

und 6.2 des EVB-IT Erstellungsvertrages) enthalten und werden nicht gesondert abgerechnet.

5.1.1 Störungsbeseitigung, Fehlerbehebung und Wiederherstellung bzw.

Aufrechterhaltung der Betriebsbereitschaft

Die während des Betriebs der Fachanwendung auftretenden und zu beseitigenden Fehler bzw.

Störungen werden vom Auftraggeber über das Ticketsystem des Auftragnehmers gemeldet.

Neben der detaillierten Beschreibung des Fehlers bzw. der Störung wird vom Auftraggeber die

Schwere des Fehlers und Dringlichkeit der Fehlerbeseitigung festgelegt (siehe Nr. 10.1 des

EVB-IT Erstellungsvertrag, Anlage). Im Rahmen der Fehleranalyse und Fehlerbehebung wer-

den zwischen Auftraggeber und Auftragnehmer in Abhängigkeit von der Fehlerkategorie die

weiteren durchzuführenden Maßnahmen zur Störungsbeseitigung bzw. Fehlerbehebung fest-

gelegt:

 Bereitstellung weiterer Informationen zur Fehleranalyse durch den Auftragge-

ber (Bsp.: Protokolldateien, Datenbank-Auszüge, Screenshots)

 Anpassung und/oder Konfiguration der Laufzeitumgebung und/oder Anwen-

dung

 Bereitstellung von neuen Programmständen (Bugfixes) der Anwendung

 Festlegung der zeitlichen und organisatorischen Rahmenbedingungen für die

Fehlerbehebung bzw. Störungsbeseitigung.

Falls zur Wiederherstellung der Betriebsbereitschaft (Störungsbeseitigung bzw. Fehlerbehe-

bung inkl. Sicherheitsupdates) oder Aufrechterhaltung der Betriebsbereitschaft (vorbeugende

Maßnahmen inkl. Sicherheitsupdates) neue Programmstände der Individualsoftware notwen-

dig sind, so sind diese vom Auftragnehmer zu entwickeln und inklusive Datenbankskripten und

Dokumentation dem Auftraggeber zu überlassen. Die erforderlichen QM-Maßnahmen zum

Nachweis der Funktionsfähigkeit der Anwendung müssen durch den Auftraggeber durchge-

führt werden.

Das Einspielen neuer Programmstände wird von Mitarbeiterinnen und Mitarbeitern des Auf-

traggebers durchgeführt und ist durch den Auftragnehmer remote (per BDBOS Meeting Platt-

form) zu begleiten. Bei Bedarf kann die technische Unterstützung des Auftragnehmers über

dessen Ticketsystem angefordert werden.

Seite 11 von 16

[Seite 12]

Anhang C: Service und Pflege: EUginius 2.0

Für die verwendeten Bibliotheken und Software-Frameworks sind, falls zur Wiederherstellung

der Betriebsbereitschaft (Störungsbeseitigung) oder Aufrechterhaltung der Betriebsbereit-

schaft (vorbeugende Maßnahmen) erforderlich, neue Programmstände (ggf. inklusive Nut-

zungsrecht) durch den Auftragnehmer an den Auftraggeber digital zu übergeben.

Neue Programmstände für Individualsoftware und verwendete Bibliotheken und Soft-

ware-Frameworks müssen das bisherige Lizensierungsmodell fortführen.

5.1.2 Beantwortung technischer und fachlicher Anfragen

Der Auftragnehmer muss den Auftraggeber im Bedarfsfall in technischen und fachlichen Fra-

gen bezüglich der Nutzung der Anwendung EUginius 2.0 beraten und Anfragen des Aufrag-

gebers zu folgenden Themen beantworten:

1. Installation

2. Konfiguration

3. Administration

4. Betrieb

Die technischen bzw. fachlichen Anfragen können von Mitarbeiterinnen und Mitarbeitern des

Auftraggebers in Anspruch genommen werden.

Die Anfragen und Antworten werden im Ticketsystem des Auftragnehmers dokumentiert.

5.1.3 Software-Aktualisierung der verwendeten Bibliotheken und Soft-

ware-Frameworks

Die Aktualisierung der für die Implementierung der Fachanwendung EUginius 2.0 verwende-

ten Bibliotheken und Software-Frameworks erfolgt automatisch durch den Auftragnehmer im

Rahmen der Service- und Pflegeleistungen. Dies umfasst insbesondere die Anwendung von

Sicherheitspatches für die verwendeten Bibliotheken oder Frameworks sowie die Anpassung

bei Ablauf des technischen Supports, ohne dass eine separate Aufforderung des Auftragge-

bers erforderlich ist. Die Bereitstellung von Sicherheitspatches für die Anwendung EUginius

2.0 erfolgt halbjährlich. Kurzfristig können sich auch dringende Aktualisierungsaufträge erge-

ben, z. B. bei Veröffentlichung bzw. Bekanntwerden einer gravierenden Sicherheitslücke in

einer von der Anwendung genutzten Bibliothek. Zeitpunkt und Umfang der Aktualisierung (be-

troffene Bibliotheken und Frameworks) werden zwischen dem Auftraggeber und dem Auftrag-

nehmer üblicherweise in einem Zeitraum von zwei Wochen abgestimmt. Im Rahmen der Ak-

tualisierung stellt der Auftragnehmer einen neuen Programmstand bereit, der die aktualisierten

Bibliotheken und Software-Frameworks beinhaltet.

Seite 12 von 16

[Seite 13]

Anhang C: Service und Pflege: EUginius 2.0

Zur Aufrechterhaltung der Betriebsbereitschaft kann der Auftraggeber den Auftragnehmer

während des Zeitraums der Service- und Pflegeleistungen (max. einmal jährlich) auffordern zu

prüfen, ob

 für verwendete Bibliotheken und Software-Frameworks der technische Support

des Herstellers ausläuft oder

 für verwendete Bibliotheken und Software-Frameworks Sicherheitspatches

und/oder sonstige Bugfixes verfügbar sind. Im Rahmen der Prüfung sind vom

Auftragnehmer die einschlägigen CVE-Datenbanken zu konsultieren (mindes-

tens https://access.redhat.com/security/security-updates/#/cve und

https://www.opencve.io/cve)

Im Rahmen der Softwareaktualisierung kann der Auftraggeber vom Auftragnehmer die folgen-

den Service- und Pflegeleistungen anfordern:

1. Technische Beratung (telefonisch) bezüglich der durchzuführenden Softwareaktuali-

sierung.

2. Ggf. Anpassung der Laufzeitumgebung, sofern sie von den Bibliotheks- oder Software-

Frameworkupdates betroffen ist.

3. Ggf. Anpassung der Dokumentation der Anwendung (Systemdokumentation).

4. Durchführung der erforderlichen QM-Maßnahmen zum Nachweis der Funktionsfähig-

keit der Anwendung.

5. Ggf. remote (per BDBOS Meeting Plattform) Unterstützung des Auftraggebers bei der

Installation der aktualisierten Anwendung.

5.1.4 Identifizierung und Beseitigung von kritischen Softwareschwach-

stellen und Sicherheitslücken

Statische Schwachstellenanalyse

Zur Identifizierung von Softwareschwachstellen sowie zur Sicherung und Verbesserung der

Softwarequalität wird die Fachanwendung EUginius 2.0 durch den Auftragnehmer mindestens

quartalsweise einer statischen Codeanalyse mit Hilfe der Werkzeuge Checkstyle,

(https://checkstyle.sourceforge.io/), PMD (https://pmd.github.io/) und SpotBugs (https://spot-

bugs.github.io) unterzogen. Ebenfalls wird durch den Auftragnehmer mindestens quartals-

weise eine statische Schwachstellenprüfung der Abhängigkeiten (Java-Bibliotheken) auf Basis

des OWASP-Werkzeugs (https://owasp.org/www-project-dependency-check/) durchgeführt.

Die Ergebnisse dieser Analysen ermöglichen die frühzeitige Erkennung potenzieller Schwach-

stellen und die Planung weiterer Maßnahmen. Zur Pauschale der Service- und Pflegeleistun-

gen gehört die unverzügliche Behebung kritischer Schwachstellen und Sicherheitslücken.

Seite 13 von 16

[Seite 14]

Anhang C: Service und Pflege: EUginius 2.0

Der Auftraggeber erwartet vom Auftragnehmer, dass er sich im Rahmen der Einrichtung der

Testumgebung ebenfalls die o. g. Analysewerkzeuge installiert und konfiguriert. Die Konfigu-

rationen der Werkzeuge werden vom Auftraggeber bereitgestellt. Weitere Schwachstellenana-

lysewerkzeuge, die hier nicht aufgezählt wurden, können vom Auftragnehmer zusätzlich ein-

gesetzt werden (z. B. SonarQube).

5.2 Außerhalb der Pauschale der Pflege- und Serviceleistungen

Die Leistungen werden gesondert berechnet (siehe Nr. 6.1 des EVB-IT Erstellungsvertrages).

Das bedeutet, dass diese zusätzlichen Leistungen nicht im vereinbarten Pauschalpreis ent-

halten sind, sondern als Change-Request (CR) und nach Stundenverrechnungs- bzw. Tagess-

ätzen gem. dem Angebot vom xx.xx.2026 nach entsprechendem Aufwand abgerechnet wer-

den.

5.2.1 Beseitigung von nicht-kritischen Softwareschwachstellen und

Sicherheitslücken

Ergeben sich aus der statischen Schwachstellenanalyse (siehe 5.1.4.) nicht-kritische

Schwachstellen und Sicherheitslücken, kann der Auftraggeber deren Behebung als CR beauf-

tragen.

5.2.2 Änderungen an der technischen Infrastruktur

Der Auftraggeber wird nach Erteilung entsprechender Change-Requests (CR) Release- und

Sicherheitsupdates in der in Kapitel 3 beschriebenen technischen Infrastruktur einspielen, die

in der Regel folgende Komponenten der Laufzeitumgebung betreffen:

1. Betriebssystem Linux

2. Java/Jakarta-Laufzeitumgebung

3. Applikationsserver JBoss EAP oder RH JWS

4. Datenbankmanagementsystem PostgreSQL

5. Authentifizierungssystem Keycloak

Wesentlich für die Motivation, Änderungen an der technischen Infrastruktur des Auftraggebers

vorzunehmen, ist ein abzusehendes Ende des Herstellersupports für eine Komponente. Nach

Möglichkeit wird dem Auftragnehmer sechs Monate vor Ende des Herstellersupports einer

Komponente ein entsprechender Change-Request (CR) zur Gewährleistung der Lauffähigkeit

der Anwendung unter den neuen Rahmenbedingungen erteilt.

Seite 14 von 16

[Seite 15]

Anhang C: Service und Pflege: EUginius 2.0

Sofern eine Komponente vom Hersteller nicht weiter gepflegt und als „End of Life“ (EoL) be-

trachtet wird, sollte nach Absprache mit dem Auftragnehmer eine alternative neuere Kompo-

nente gefunden werden, für die weiterhin ein Herstellersupport angeboten wird und mit der die

Funktionalität der Anwendung vollständig aufrecht erhalten bleibt.

Die Release-Updates werden vom Auftraggeber auf dessen Infrastruktur durchgeführt. Im Zeit-

raum der Service- und Pflegeleistungen kann der Auftraggeber nach eigenem Bedarf, aber

erst nach Absprache mit dem Auftragnehmer, Release-Updates durchführen. Der Auftragge-

ber informiert den Auftragnehmer über Zeitpunkt und Gegenstand des Release-Updates. Der

Auftragnehmer informiert wiederum auf Anforderung des Auftraggebers diesen über die mög-

lichen Auswirkungen auf die Betriebsbereitschaft der Anwendung. Die ggf. notwendigen Maß-

nahmen, die seitens des Auftragnehmers und des Auftraggebers zur Aufrechterhaltung der

Betriebsbereitschaft der Fachanwendung zu treffen sind, werden gemeinsam abgestimmt.

Wird vom Auftraggeber ein entsprechendes Release-Update durchgeführt, dann kann der Auf-

traggeber vom Auftragnehmer die folgenden Service- und Pflegeleistungen per Change-Re-

quest anfordern:

1. Technische Beratung bezüglich des vom Auftraggeber geplanten Release-Updates

und Abstimmung der erforderlichen Maßnahmen zwischen Aufraggeber und Auftrag-

nehmer.

2. Ggf. Anpassung der Anwendung EUginius 2.0 an die Gegebenheiten der neuen Infra-

struktur.

3. Ggf. Anpassung der Konfiguration von Komponenten der Laufzeit (z. B. Keycloak

Server, Keycloak Realm, Solr Server, Solr Cores).

4. Ggf. Anpassung der Dokumentation der Fachanwendung (Systemdokumentation).

5. Durchführung der erforderlichen QM-Maßnahmen zum Nachweis der Funktionsfähig-

keit der Anwendung.

6. Unterstützung des Auftraggebers bei der Installation und Konfiguration der Anwendung

in der geänderten Systemumgebung.

Die zu erbringende Service- und Pflegeleistungen sind vom Auftraggeber im Ticketsystem des

Auftragnehmers zu dokumentieren.

Der Auftragnehmer muss nach einem Release-Update für die Wiederherstellung und Aufrecht-

erhaltung der Betriebsbereitschaft sorgen.

Seite 15 von 16

[Seite 16]

Anhang C: Service und Pflege: EUginius 2.0

5.2.3 Anpassungsmaßnahmen der Anwendung

Innerhalb des Zeitraums der Service- und Pflegeleistungen können bei Bedarf des Auftragge-

bers die folgenden Arten von Anpassungsmaßnahmen an der Fachanwendung EUginius 2.0

als Change-Request angefordert werden. Anpassungsmaßnahmen werden jeweils nach Be-

darf und als Change-Request Einzelaufträge erteilt und nach Aufwand vergütet.

 Anpassungen der Benutzeroberfläche, z. B. zur geeigneten Unterstützung der

fachlichen Abläufe, zur Verbesserung der Benutzerfreundlichkeit und der Per-

formanz.

 Anpassungen der Webservice-Schnittstelle der Fachanwendung, z. B. zur Ge-

währleistung der Interoperabilität oder zur Verbesserung der Performanz.

 Anpassungen auf Datenbankebene und der Ebene der Volltextsuche, z. B. zur

Verbesserung der Performanz und der Reaktionszeit.

 Anpassungen auf technischer Ebene, z. B. durch Änderung an der technischen

Infrastruktur.

 Beratung zu durch den Auftraggeber beabsichtigten oder für den zuverlässigen

Betrieb notwendigen Anpassungen sowie der Art und Weise der Umsetzung.

6 Abnahme von Service- und Pflegeleistungen

Beinhaltet eine Lieferung vom Auftragnehmer die Bereitstellung einer neuen Version der Fach-

anwendung EUginius 2.0, dann wird die Lieferung vom Auftraggeber auf dessen Testinfra-

struktur einem Abnahmeprozess unterzogen. Im Rahmen des Abnahmeprozesses wird ge-

prüft, ob die Anwendung fehlerfrei und stabil funktioniert und die gelieferten Softwareanpas-

sungen vollständig und korrekt umgesetzt wurden. Die Software wird ebenfalls auf Sicherheits-

lücken überprüft. Abnahmemängel werden dem Auftragnehmer über das Ticketsystem gemel-

det und müssen vom Auftragnehmer durch eine entsprechende Korrekturlieferung behoben

werden.

Seite 16 von 16