IT Anforderungen
| Unnamed: 0 | Unnamed: 1 | Unnamed: 2 | Unnamed: 3 | Unnamed: 4 | Unnamed: 5 | Unnamed: 6 | Unnamed: 7 | Auftraggeber: | Unnamed: 9 | Unnamed: 10 | Klinikum Nürnberg | Unnamed: 12 | Unnamed: 13 | Unnamed: 14 | Unnamed: 15 | Unnamed: 16 | Unnamed: 17 | Unnamed: 18 | Unnamed: 19 | Unnamed: 20 | Unnamed: 21 |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Ausschreibung: | |||||||||||||||||||||
| Anmerkungen zur Bearbeitung | |||||||||||||||||||||
| Antworten zu den jeweiligen Bieterfagen haben in dem entsprechenden Feld - Bieterantworten (gelb hinterlegt) zu erfolgen. | |||||||||||||||||||||
| Bei Antworten mit der Auswahl Ja oder Nein hat das entsprechende Feld mit einem "X" gekennzeichnet zu werden. | |||||||||||||||||||||
| Bei Antworten mit der Anforderungen einen Wert einzutragen hat dieser als Dezimalzahl in dem entsprechenden Feld (Wert) eingetragen zu werden. | |||||||||||||||||||||
| Bei Antworten zu "in Planung" oder "kostenpflichtigen Anpassungen" sind diese konkret zu begründen. | |||||||||||||||||||||
| Bieterantworten | |||||||||||||||||||||
| Kriteriengruppe | Untergruppe | Nummer | Anforderung | Kriterium | A = Ausschlusskriterium | B = Bewertungskriterium | Antwort | 1 = ja / nein | 2 = Wert | 3 = Beschreibung | Bewertungspunkte | Gewichtung | Maximale Punkte | Ja | Nein | In Planung | Kosten-pflichtige Anpassung | Querverweis zu Dokumenten / Antworten / Erläuterungen | Auswertung | ||
| 8 | IT-Anforderungen | ||||||||||||||||||||
| Architektur | |||||||||||||||||||||
| 8 | 1 | 1 | Im globalen Verzeichnisdienst des Auftraggebers, auf der Basis von Active Directory, werden alle für den Betrieb und die zentrale Administration relevanten Ressourcen wie Server, Gruppen, Benutzer und Berechtigungen / Policies angelegt und verwaltet. Die Speicherung von weiteren anwendungsbezogenen Informationen im Active Directory ist nicht gestattet. Auf diese Ressourcen ist nur lesender Zugriff gestattet. Das angebotene Produkt muss sich in die bestehende Domä-nenstruktur integrieren. Eine eigene Domäne, Trusts oder Schemaerweiterungen sind nicht zulässig. | A | 1 | Ja = erfüllt - Nein = Ausschluss | 0 | ||||||||||||||
| 8 | 1 | 2 | Das Active Directory des Auftraggebers ist als Benutzerdatenstamm des angebotenen Produkts zu nutzen. Die Authentisierung muss über Active Directory Gruppen und nicht über einzelne Benutzerkonten erfolgen. Die Autorisierung, also die Administration der Benutzerrechte, ist über ein Benutzerkonzept zu regeln. Das angebotene Produkt soll in der Lage sein, die nötigen Rollen abzubilden und den im Active Directory authentisierten Anwendern zuzuordnen. Wird ein Benutzerkonto im Active Directory deaktiviert werden auch vom angebotenen Produkt automatisch und un-verzüglich alle zugehörigen Benutzerkonten deaktiviert. Wird dieses Benutzerkonto im Active Directory wieder aktiviert (bspw. Ende der Elternzeit) werden auch vom angebotenen Produkt automatisch und unverzüglich alle zugehörigen Benutzerkonten wieder aktiviert. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 5 | 50 | |||||||||||||
| 8 | 1 | 3 | Die zentralen Infrastrukturdienste E-Mail, DNS/DHCP, VPN, Proxy-Server und Softwareverteilung werden vom Auftrag-geber zur Verfügung gestellt und sind zu nutzen. Weitere zentrale Dienste wie File- oder Printserver oder Autoupdate Funktion der Anwendung sind zu benennen, dem Angebot beizulegen und bei Zusage mit dem Auftraggeber abzustimmen. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 5 | 50 | |||||||||||||
| 8 | 1 | 4 | Für Außenstandorte des Auftraggebers welche mit niedrigerer Bandbreite angebundenen sind (inkl. HomeOffice), stellt des Auftraggeber Anwendungen über einen Citrix Terminalserver (Virtual Apps 1912) bereit. Die IT-Lösung muss daher einen Betrieb des Clients über einen Citrix Virtual Apps 1912 (ehemals Citrix Xenapp 7.19) Terminal Server unterstützen. Die IT-Lösung muss außerdem einen Multiuser-Betrieb unter Microsoft Windows Server 2016 und höher unterstützen. | A | 1 | Ja = erfüllt - Nein = Ausschluss | 0 | ||||||||||||||
| Maximale Punktzahl - Kriteriengruppe | 8.1 | 100 | |||||||||||||||||||
| Sicherheit | |||||||||||||||||||||
| 8 | 2 | 1 | Auf allen Windows-Systemen muss der vom Auftraggeber eingesetzte Virenscanner der Firma Trellix (ehemals McAfee) installiert und der On-Access-Scanner aktiviert sein. Eventuell erforderliche Scanausnahmen müssen vom Anbieter vorab bekanntgegeben und begründet werden. Eine entsprechende Liste ist den Ausschreibungsunterlagen beizulegen. Eine Ausnahme für von Benutzern beschreibbaren Pfaden ist grundsätzlich nicht zulässig. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 3 | 30 | 0 | ||||||||||||
| 8 | 2 | 4 | Ist sichergestellt das Passwörter niemals in Klartext sondern mindestens als SHA-2 Hash gespeichert werden und ausschließlich nach aktuellem Stand der Technik verschlüsselt übertragen werden? Kennwörter dürfen niemals direkt, sondern nur als Hash und mindesten als SHA-2 Hash gespeichert werden. Bei Übertragung von Kennwörtern ist eine Verschlüsselung nach aktuellen Stand der Technik zu verwenden. Die Ver-schlüsselungsalgorithmen und der Speicherort der Kennwort-Hashs sind zu benennen. Alle Kennwörter und Zugangsdaten müssen bei Kompromittierung oder anderweitig begründetem Anlass eigenständig durch den Auftraggeber oder auf Anfrage des Auftraggebers geändert werden können. Jegliche Kompromittierung von Kennwörtern und Zugangsdaten oder anderweitig begründeter Anlass sind dem Auf-traggeber unverzüglich per E-Mail unter folgender Adresse zu melden: it-sicherheit@klinikum-nuernberg.de Die Authentifizierung am LDAP-Server des Active Directorys erfolgt nur verschlüsselt über LDAPS oder Kerberos. Es besteht die Möglichkeit die folgenden Komplexitätsanforderungen für Kennwörter sind zu erzwingen, wenn Kennwörter geändert oder erstellt werden: 1. Das Kennwort enthält Zeichen aus mindestens drei der folgenden Kategorien: • Großbuchstaben: A bis Z • Kleinbuchstaben: a bis z • Basis 10 Ziffern: 0 bis 9 • Nicht alphanumerische Zeichen (Sonderzeichen): (~!@#$%^&*_-+=' | () {} []:;"' <>,.? /)) 2. Das Kennwort besteht aus mindestens 12 Zeichen. Eine erzwungene regelmäßige Kennwortänderung kann frei konfiguriert werden. Es dürfen keine kundenübergreifenden Standard-Kennwörter (default password) des Anbieters verwendet werden, insbesondere für Wartungs-, Monitoring- und Datenbank-Zugang. | A | 1 | Ja = 10 Punkt - Nein = 0 Punkte | ||||||||||||||
| 8 | 2 | 5 | Werden keine kundenübergreifenden Kennwörter verwendet? | B | 1 | Ja = 10 Punkt - Nein = 0 Punkte | 1 | 10 | 0 | ||||||||||||
| 8 | 2 | 6 | Können alle Kennwörter/Zugangsdaten bei Kompromittierung oder anderweitig begründetem Anlass geändert werden? | B | 1 | Ja = 10 Punkt - Nein = 0 Punkte | 1 | 10 | |||||||||||||
| 8 | 2 | 2 | Kennwörter dürfen niemals direkt, sondern nur als Hash und mindesten als SHA-2 Hash gespeichert werden. Bei Übertragung von Kennwörtern ist eine Verschlüsselung nach aktuellen Stand der Technik zu verwenden. Die Ver-schlüsselungsalgorithmen und der Speicherort der Kennwort-Hashs sind zu benennen. Alle Kennwörter und Zugangsdaten müssen bei Kompromittierung oder anderweitig begründetem Anlass eigenständig durch den Auftraggeber oder auf Anfrage des Auftraggebers geändert werden können. Jegliche Kompromittierung von Kennwörtern und Zugangsdaten oder anderweitig begründeter Anlass sind dem Auf-traggeber unverzüglich per E-Mail unter folgender Adresse zu melden: it-sicherheit@klinikum-nuernberg.de Die Authentifizierung am LDAP-Server des Active Directorys erfolgt nur verschlüsselt über LDAPS oder Kerberos. Es wird sichergestellt das Passwörter niemals in Klartext sondern mindestens als SHA-2 Hash gespeichert werden und ausschließlich nach aktuellem Stand der Technik verschlüsselt übertragen werden Es besteht die Möglichkeit die folgenden Komplexitätsanforderungen für Kennwörter sind zu erzwingen, wenn Kennwörter geändert oder erstellt werden: 1. Das Kennwort enthält Zeichen aus mindestens drei der folgenden Kategorien: • Großbuchstaben: A bis Z • Kleinbuchstaben: a bis z • Basis 10 Ziffern: 0 bis 9 • Nicht alphanumerische Zeichen (Sonderzeichen): (~!@#$%^&*_-+=' | () {} []:;"' <>,.? /)) 2. Das Kennwort besteht aus mindestens 12 Zeichen. Eine erzwungene regelmäßige Kennwortänderung kann frei konfiguriert werden. Es dürfen keine kundenübergreifenden Standard-Kennwörter (default password) des Anbieters verwendet werden, insbesondere für Wartungs-, Monitoring- und Datenbank-Zugang. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 5 | 50 | ||||||||||||
| 8 | 2 | 3 | Zertifikate für z. B. Benutzer, Server oder Code werden von der IT des Auftraggebers oder einer öffentlich anerkannten Root CA ausgestellt. Können Client-Zertifikate des Auftraggebers nicht zum Einsatz kommen, kann der Root CA des Anbieters für diesen Zweck vertraut werden. Ein Vertrauen für andere Zwecke, z. B. Serverauthentifizierung, ist nicht zulässig. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 1 | 10 | |||||||||||||
| 8 | 2 | 4 | Der Hersteller betreibt ein Schwachstellenmanagement für die angebotene IT-Lösung. Herstellerseitig bekanntgewordene Produktfehler und Schwachstellen der IT-Lösung müssen dem Auftraggeber unverzüglich und aktiv mitgeteilt werden. Ebenso müssen IT-Störungen und IT-Sicherheitsvorfälle auf Seite des Herstellers und dessen Support-Partnern, welche Auswirkungen auf den Auftraggeber haben, unverzüglich an den Auftraggeber gemeldet werden. Für die oben genannten Meldungen ist die folgende E-Mail-Adresse zu verwenden: it-sicherheit@klinikum-nuernberg.de | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 5 | 50 | |||||||||||||
| 8 | 2 | 5 | Jede Schwachstelle muss bezüglich möglicher funktionaler und sicherheitsrelevanter Auswirkungen vom Hersteller, Anbieter oder einem beauftragten Dienstleister bewertet werden (Kritikalitätseinstufung). Diese Informationen sind dem Auftraggeber im Rahmen des Schwachstellenmanagements mitzuteilen. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 4 | 40 | |||||||||||||
| 8 | 2 | 6 | Der Auftraggeber oder ein beauftragter Dienstleister wird im Rahmen von Sicherheits-Audits Schwachstellen-Scans (bspw. OpenVAS oder Nessus) auf das angebotene Produkt ausführen. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 1 | 10 | |||||||||||||
| Maximale Punktzahl - Kriteriengruppe | 8.2 | 210 | |||||||||||||||||||
| Netzwerk | |||||||||||||||||||||
| 8 | 3 | 1 | Die lokalen Netze des Klinikum Nürnberg sind über 10 Gigabit/s Ethernet mit dem Rechenzentrum verbunden. Dabei ist mit einer durchschnittlichen Latenz von 2ms (64 Byte) zu rechnen. Die Krankenhäuser Nürnberger Land sind mit dem Rechenzentrum über ein WAN-Netz mit 1 Gigabit/s bzw. 100 Mega-bit/s verbunden. Dabei ist mit einer durchschnittlichen Latenz von 10ms (64 Byte) zu rechnen. Die Zugangskontrolle zum LAN erfolgt über IEEE802.1x Authentifizierung. Clients müssen EAP-TLS (Clientzertifikat) un-terstützen. IPv4 und zukünftig IPv6 sind die einzigen zugelassenen Netzwerk-Protokolle. Die Kommunikation kann über Unicast-Nachrichten erfolgen. Andere Kommunikationsformen wie Anycast oder Multicast stehen nicht zur Verfügung. | A | 1 | Ja = erfüllt - Nein = Ausschluss | |||||||||||||||
| 8 | 3 | 2 | Die Anwendung muss auf Clients in segmentierten Netzen über Router bzw. Firewalls hinweg kommunizieren können. Die Vergabe von IP-Adressen für Clients erfolgt vorzugsweise dynamisch über DHCP, statische IP-Adressen werden nur in begründeten Ausnahmefällen vergeben. PC-Clients und Server nutzen zum Auflösen von Hostnamen DNS. Eine direkte Hinterlegung von IP-Adressen statt Host-namen ist bei Clients nicht vorgesehen. Die Anforderungen an die Drucker-Einbindung gelten entsprechend. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 4 | 40 | |||||||||||||
| 8 | 3 | 3 | Die WLAN Infrastruktur wird von der IT des Auftraggebers bereitgestellt und betrieben. Ein systembezogenes WLAN darf nicht verwendet werden. Als WLAN-Protokoll werden IEEE802.11ax (WiFi 6), IEEE802.11ac (Wi-Fi 5), alternativ IEEE802.11n (Wi-Fi 4) verwendet. Datensicherheit der WLAN-Übertragung wird über WPA2 Verschlüsselung mit Zertifikaten erreicht. WPA-PSK (Pre-shared Key) ist nicht zulässig. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 5 | 50 | |||||||||||||
| 8 | 3 | 4 | Der Zugang zum Internet erfolgt über einen HTTP-Proxy, der eine Authentifizierung über Kerberos oder NTLM erfor-dert. Anderweitige Internetverbindungen von Servern und Clients sind nur in Ausnahmefällen zulässig und im Bemerkungs-feld zu begründen. VPN-Verbindungen dürfen nur über die zentrale Infrastruktur des Auftraggebers aufgebaut wer-den. Der Aufbau anderer Tunnel bzw. Reversetunnel sind untersagt. Die ein- und ausgehenden Verbindungen sind vom Anbieter zu dokumentieren (u.a. Adressen, Ports und Protokolle) und die Dokumentation dem Auftraggeber zu übergeben. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 3 | 50 | |||||||||||||
| 8 | 3 | 5 | Es muss vom Anbieter eine Dokumentation der Kommunikationsbeziehungen (Systeme, Quelle, Ziel, Ports, Protokolle, Beschreibung) des angebotenen Produkts mit anderen Systemen des Auftraggebers und den Servern im Rechenzent-rum erstellt und dem Auftraggeber übergeben werden. Damit muss der Auftraggeber in der Lage sein, systemkritische Verbindungen zu identifizieren Die Anzahl der verwendeten Ports ist auf ein Minimum zu reduzieren. Dynamische Portbereiche sind nicht zulässig. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 4 | 50 | |||||||||||||
| 8 | 3 | 6 | Der Remote-Zugang wird ausschließlich über die zentrale VPN-Fernwartungsinfrastruktur durch den Auftraggeber zur Verfügung gestellt. Die VPN-Verbindung muss über eine Site-to-Site oder Client-to-Site Verbindung mit IKE und/oder IPSec aufgebaut werden. Für die Verbindung ist eine statische öffentliche IP-Adresse vom Auftragnehmer zur Verfügung zu stellen. Für die Verbindung ist entweder Gateway für den VPN-Aufbau (Site to Site) bereitzustellen oder falls kein Gateway vorhanden ist: NCP Secure Entry Client (Site to Client). Jede VPN-Verbindung, die eine Interaktion durch eine Person erfordert, zum Beispiel RDP, SSH, Datenbankabfragen oder ähnliches, muss am, vom Auftraggeber bereitgestellten, PAM-System (Privileged Access Management System) terminiert werden. Für reine Datenübertragungen, beispielsweise von Röntgenbildern, ist das PAM-System nicht notwendig. Für die Anmeldung am PAM-System ist eine Zweifaktorauthentifizierung erforderlich, welche vom Auftraggeber zur Verfügung gestellt wird. Dabei sind folgende 2FA-Methoden möglich: - TOTP Zustellung per SMS an das mobile Endgerät - TOTP via Authentifizierungsanwendung auf dem mobilen Endgerät (Microsoft / Google Authenticator) - TOTP via Authentifizierungsgruppenanwendung (WinAuth, Passwortmanager etc.) Für den Zugang zum PAM sind personenbezogene Zugänge bevorzugt einzurichten. In begründeten Ausnahmen können Sammelaccounts zugelassen werden. In diesem Fall ist der Auftragnehmer dazu verpflichtet auf Verlangen die getätigten Zugriffe personenbezogen, beispielsweise über ein Ticketsystem, nachzuweisen. Für Ad-Hoc Fehlerdiagnose in Ausnahmefällen steht ein vom Auftraggeber gehostetes Shared-Session-Tool zur Verfügung. Eine vom Anbieter initiierte direkte Fernwartungsverbindung auf Systeme des Auftraggebers (bspw. über Teamviewer) ist nicht zulässig. Eine Fernwartung ist nur zu den vertraglich festgelegten Bedingungen und Regelungen zugelassen. Im Standard ist jede Remote Verbindung durch den Auftragnehmer zu bestätigen. Abweichungen sind mit dem Auftraggeber abzustimmen. Um den gesetzlichen Anforderungen des Auftraggebers nachzukommen, werden alle Fernwartungsverbindungen über das PAM-System protokolliert und aufgezeichnet. Die Kommunikationsverbindungen müssen nach vollzogenem Fernzugriff getrennt werden. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 5 | 50 | |||||||||||||
| Maximale Punktzahl - Kriteriengruppe | 8.3 | 240 | |||||||||||||||||||
| Backend | |||||||||||||||||||||
| 8 | 4 | 1 | Server werden i.d.R. als virtuelle Server unter VMware vSphere installiert. Als Standard-Betriebssystem wird die jeweils aktuelle Version des Windows Server LTSC mit deutschen Spracheinstel-lungen verwendet, bei Linux werden aktuelle Versionen von Ubuntu Server, Oracle Linux oder RHEL verwendet. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 3 | 30 | |||||||||||||
| 8 | 4 | 2 | Serverprozesse müssen in Form von Windows-Diensten oder Daemons betrieben werden. Serverprozesse, die im Kontext eines angemeldeten Benutzers betrieben werden (interaktive Sitzung), sind nicht zulässig. Ausgeschlossen ist ebenfalls eine automatische Benutzeranmeldung. | A | 1 | Ja = erfüllt - Nein = Ausschluss | |||||||||||||||
| 8 | 4 | 3 | Als Datenbanken werden vom Auftraggeber Oracle Enterprise Edition (mindestens 19c) und Microsoft SQL Server 2022 unterstützt. Die Anwendung muss mindestens 6 Monate vor Ablauf der Standard Maintenance des installierten Oracle bzw. SQL Server Release für das nachfolgende Longterm Release freigegeben werden. Um den Betrieb der vom Auftraggeber unterstützten Datenbanken sicherstellen zu können sind dem Auftraggeber alle Kennwörter der Datenbank-Benutzer zu übergeben. Nicht durch den Auftraggeber unterstützte DBMS (Datenbank Management Systeme) müssen vom Anbieter selbst betrieben, gewartet und gesichert werden. Eigene Datenbanksicherungen des Anbieters sind auf einem separat eingehängten Laufwerk des Servers oder einer Netzwerkfreigabe abzulegen. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 5 | 50 | |||||||||||||
| 8 | 4 | 4 | Die Datensicherung muss online im laufenden Betrieb mit der Standard-Lösung Veeam erfolgen. Spezielle Anforderun-gen an Datensicherungsverfahren müssen in den Bemerkungen beschrieben werden. Die Datensicherung erfolgt crashkonsistent mit VMware Snapshots oder applikationskonsistent mit „Application-Aware-Processing.“ Das Backup ist kein Ersatz für eine Archivierung. Wenn das Produkt Daten erzeugt, die archiviert werden sollen, ist ein separates Archivierungskonzept vorzulegen. Für nicht mehr benötigte Daten muss eine automatisierte Lösch-Routine geliefert werden. | A | 1 | Ja = erfüllt - Nein = Ausschluss | |||||||||||||||
| 8 | 4 | 5 | Die Anforderungen an die Server-Hardware sowie der Speicherbedarf sind in Abhängigkeit von geeigneten Rahmen-parametern (z.B. Anzahl der nutzenden Kliniken, Anwenderzahlen, genutzter Funktionalität) darzustellen. Es ist ein belastbares Sizing vorzunehmen, aufgeteilt in Speicherbedarf in Datenbank, Filesystem, Archivsystem. Ein Korridor für diese Werte (minimal, typisch, maximal) über mindestens 5 Jahre ist anzugeben. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 4 | 40 | |||||||||||||
| Maximale Punktzahl - Kriteriengruppe | 8.4 | 120 | |||||||||||||||||||
| Client-Umgebung | |||||||||||||||||||||
| 8 | 5 | 1 | Das Standard-PC-Betriebssystem ist Windows 11 Enterprise (24.2 H2) LTSC 64 Bit, geplant Microsoft Windows 11 Enterprise LTSC. Die Mindestanforderung der Anwendung an PC-Hardware und PC-Betriebssystem sind darzustellen. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 5 | 50 | 0 | ||||||||||||
| 8 | 5 | 2 | Die Anwendung muss Mobilgeräte wie Tablets oder Smartphones unter einem aktuellen Apple iOS und das MDM „Mobile Iron“ unterstützen. Andere Betriebssysteme mobiler Geräte sind beim Auftraggeber nicht zulässig. | A | 1 | Ja = erfüllt - Nein = Ausschluss | 0 | ||||||||||||||
| 8 | 5 | 3 | Der Betrieb der Anwendung muss mit der Standardberechtigung der Windows-Benutzergruppe „Benutzer“ erfolgen. Privilegierte Rechte, bspw. vom Windows-Standard abweichende Dateisystemberechtigungen, sind nicht gestattet. Die Verwaltung der Windows-Nutzerkonten erfolgt ausschließlich über das Active Directory. Das Anlegen lokaler Windows-Nutzerkonten auf Client-PCs (ausgenommen System-/Dienst-Konto) ist nicht gestattet. Benutzerspezifische Einstellungen werden Windowskonform im Benutzerprofil oder der Benutzer-Registry (HKEY_CURRENT_USER) abgelegt. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 3 | 30 | |||||||||||||
| 8 | 5 | 4 | Durch die Einbindung der PCs in die zentral verwaltete Infrastruktur ist eine lokale Software-Installation und -Aktualisierung am PC nicht möglich. Jedes Software-Produkt muss über die bereitgestellte Software-Verteilung „Baramundi“ auf den Client verteilt werden. Dazu ist eine vollständige und aktuelle Installationsanleitung bereit zu stel-len. Andere Verteilungsmechanismen sind nicht zulässig. Gefordert ist eine MSI-Paketinstallation, aber mindestens eine "unattended"- Installation. Dabei muss auch die Deinstallation der Software "unattended" funktionieren. Sollte eine automatische Aktualisierungsroutine des Anbieters am Client verwendet werden, muss die Installation über einen entsprechenden Windows-Dienst am Client erfolgen und nicht im Kontext eines Benutzerkontos. Die Installation lokaler PC-Softwarekomponenten der IT-Lösung muss in einem eigenen Unterordner im vorgesehenen Standard-Ordner in %ProgramFiles% (normalerweise C:\Programme bzw. C:\Program Files) erfolgen. Der Einsatz der Windows-Funktion Active Setup ist untersagt, benutzerspezifische Einstellungen müssen beim ersten Programmstart getroffen werden. Updates müssen ausreichend dokumentiert und die Auswirkungen dargestellt werden. Eine Installation erfolgt erst nach Freigabe durch den Auftraggeber. Aktualisierungen, die aufgrund von gesetzlichen Vorgaben installiert werden müssen, sind rechtzeitig zur Verfügung zu stellen. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 3 | 30 | |||||||||||||
| 8 | 5 | 5 | Die clientseitige Anwendung wird vom Anbieter vollständig in deutscher Sprache geliefert. Das Handbuch, die Doku-mentation und die Schulungsunterlagen werden vom Anbieter ebenfalls vollständig und für alle Funktionen in deut-scher Sprache zur Verfügung gestellt. | A | 1 | Ja = erfüllt - Nein = Ausschluss | 0 | ||||||||||||||
| 8 | 5 | 6 | Globale Einstellungen, die für alle angemeldeten Benutzer gelten, sind entweder in der Registrierung unter HKLM oder in Konfigurationsdateien im Programmverzeichnis zu hinterlegen. Nur benutzerbezogene Einstellungen dürfen in HKCU oder als Konfigurationsdatei im Profil gespeichert werden. | A | 1 | Ja = erfüllt - Nein = Ausschluss | |||||||||||||||
| 8 | 5 | 7 | Die dauerhafte Ablage von Anwendungsdaten auf einem lokalen Laufwerk ist nicht zulässig. Ausnahmen für dedizierte Anwendungsfälle, wie z.B. Offline-Erfassungen für eine spätere (tägliche) Übermittlung müssen genehmigt werden. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 2 | 20 | |||||||||||||
| 8 | 5 | 8 | Sollte eine Installation auf einem Netzlaufwerk notwendig oder sinnvoll sein, dann ist das Programmlaufwerk Z:<Programme><Programmname>\ zu verwenden, wobei der Benutzer auf dieses Verzeichnis keine Schreibrechte erhält. Daher muss die Möglichkeit bestehen, erzeugte oder geänderte Daten (Bewegungsdaten) im Abteilungslauf-werk zu speichern (Z:\ <Orgeinheit2><Unterordner>). Z: ist hierbei der DFS-Root. Lange Dateinamen, Leerzeichen und sonstige unter Windows erlaubte Sonderzeichen in Pfadangaben sind dabei zu unterstützen. Eine benötigte Dateiablage von gemeinsam genutzten Softwarekomponenten, Anwendungsressourcen oder Konfigura-tionsdateien etc. muss auf den zentralen Fileservern der Domäne eingerichtet werden. Die Dateien werden über UNC-Pfade zur Verfügung gestellt, wobei lediglich die vorgegebenen vorhandenen Laufwerksbuchstaben mit einem ent-sprechenden Unterordner genutzt werden können (Laufwerk H: für Eigene Dateien, Z: für Abteilungsdaten, Z: für Programme und Programmdateien). Applikationsspezifische Netzlaufwerke sind nicht zugelassen. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 1 | 10 | |||||||||||||
| 8 | 5 | 9 | Vom Auftraggeber werden auf den Clients folgende Versionen als Standard-Software bereitgestellt: • Microsoft Edge Chromium in der jeweils aktuellsten Version • Microsoft Office 2024 32 Bit On Premise • SAP GUI 7.60 (7.70 geplant) • Adobe Reader in der jeweils aktuellen Version • Trellix (McAfee Endpoint Security) • Microsoft .NET Framework in einer von Microsoft supporteten aktuellen Version Die Unterstützung der Standard-Software-Komponenten ist vom Lieferanten zu gewährleisten. Abweichungen müssen schriftlich bekanntgegeben werden. Verwendet die IT-Lösung einer dieser Standard-Software-Komponenten ist die vom Auftraggeber bereitgestellte Version zu verwenden. Zusätzlich wird vom Anbieter eine Auflistung aller von der IT-Lösung genutzten Software-Komponenten von Drittherstellern (Codecs & Mediaplayer, DB-Clients, Java Runtime, etc.) geliefert, inkl. Versionsangabe. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 3 | 30 | |||||||||||||
| 8 | 5 | 10 | Von Clients bereitgestellte Serverdienste sind nicht zulässig. Serverdienste werden ausschließlich auf dedizierten Servern im Rechenzentrum des Auftraggebers bereitgestellt. Clients dürfen keine Serverfunktionen zur Verfügung stellen. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 4 | 40 | |||||||||||||
| 8 | 5 | 11 | Die Druckeransteuerung erfolgt vom Client über den Windows-Standarddrucker. Die Druckernamen werden über DNS aufgelöst. Als Druckersprache muss PCL und/oder Postscript unterstützt werden. Die benötigten Drucker müssen auch durch den Anwender auswählbar sein. Eine Vorschau des Druckergebnisses ist durch die Anwendung zu ermöglichen. | A | 1 | Ja = erfüllt - Nein = Ausschluss | |||||||||||||||
| 8 | 5 | 12 | Die Web-Anwendung ist im Browser Microsoft Edge Chromium in der aktuellsten Version lauffähig. Die Verwendung von Flash und ActiveX-Plug-Ins ist nicht zulässig. Die Verwendung von Java-Applets ist unerwünscht. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 1 | 10 | |||||||||||||
| 8 | 5 | 13 | Werden weitere Spezial-Client-Hardware Komponenten benötigt, so müssen diese folgende Anforderungen erfüllen: • Treiber müssen für Windows 11 (32 & 64 Bit) zur Verfügung gestellt werden. • Treiber müssen signiert sein und möglichst WHQL zertifiziert sein. • Treiber müssen paketierbar sein. • Die Ansteuerung von Scannern muss über die WIA-Schnittstelle erfolgen. TWAIN oder proprietäre Mechanismen sind unerwünscht. | A | 1 | Ja = erfüllt - Nein = Ausschluss | |||||||||||||||
| 8 | 5 | 14 | Die Eingabe von evtl. erforderlichen Lizenzschlüsseln bei der Installation oder eine Aktivierung der Software auf dem einzelnen PC ist nicht erwünscht. Der Einsatz von serverseitigen Hardware-Dongles und die Verknüpfung der Lizenz mit der CPU-ID ist untersagt. Der Einsatz von clientseitigen Hardware-Dongles und die Verknüpfung der Lizenz mit der Client-Hardware ist uner-wünscht. Die Anwendung soll bevorzugt eine zentral administrierbare Lizensierung über einen Serverdienst unterstützen. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 3 | 30 | |||||||||||||
| 8 | 5 | 15 | Die Datenbankverbindung erfolgt über .NET Data Provider v5.1, OLE DB v19.3.3 oder höher, JDBC v12.8 oder höher, ODBC v18.4 oder höher oder direkt über die nativen Interfaces, wie z.B. Oracle Call Interface, der jeweiligen Datenbanken. Bei mehreren Optionen wird die performantere, mit zentraler Verwaltung von Verbindungseinstellungen via Applikationsservern oder in zentralen Konfigurationsdateien einer Netzinstallation, bevorzugt. Der Hersteller verpflichtet sich, bis spätestens 6 Monate nach Erscheinen eines DB-Clientreleases oder Interfacetreibers, die Kompatibilität der Software zu allen aktuell unterstützen Clientversionen eines Datenbankherstellers zu gewährleisten. Der zu verwendende Datenbank-Client ist anzugeben. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 5 | 50 | |||||||||||||
| 8 | 5 | 16 | Als kritische Infrastruktur unterliegt der Auftraggeber strengsten Sicherheitsanforderungen. Daher darf das als Schwachstelle bekannte SMB v1 Protokoll nicht verwendet werden. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 4 | 40 | |||||||||||||
| 8 | 5 | 17 | Die Integration der IT-Lösung in vorhandene führende Systeme (z. B. KIS) inkl. parametrisierbarem Aufruf über OLE- / COM- / CORBA-Schnittstellen ist wünschenswert. Dabei sollen die benötigten Userkennungen und der Anwendungs-kontext (z. B. ausgewählter Patient, Fachabteilung, Rechte) mit übergeben werden können. Hierdurch kann eine zusätz-liche Anmeldung entfallen. Die Integration muss dabei sicher und nach aktuellen Stand der Technik erfolgen, z. B. über Servertokens. Die Wahl der richtigen Parameter darf nicht das Berechtigungskonzept umgehen. | A | 1 | Ja = erfüllt - Nein = Ausschluss | |||||||||||||||
| Maximale Punktzahl - Kriteriengruppe | 8.5 | 340 | |||||||||||||||||||
| Betrieb | |||||||||||||||||||||
| 8 | 6 | 1 | Der Auftraggeber setzt ein zentrales System Monitoring auf Basis von Checkmk der tribe29 GmbH ein. Für dieses zentrale System Monitoring ist auf allen Servern die Installation und Konfiguration des Checkmk-Agents, mit Zugriff auf Betriebssystem und Datenbank, durch den Auftraggeber erforderlich. Weitere Möglichkeiten des Self-Monitorings, E-Mail-Alertings oder Call-Home der Software sind darzulegen. Der Anbieter liefert eine Aufstellung aller systemkritischen Prozesse und Schnittstellen auf den von ihm genutzten Servern. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 2 | 20 | 0 | ||||||||||||
| 8 | 6 | 2 | Es besteht die Möglichkeit die IT-Lösung an die kundeneigenen Anforderungen anzupassen, sofern diese Funktionen vorhanden sind: - Anpassung der graphischen Darstellung - Anpassung von Selektionen (Bspw. Listen und Übersichten) - Anpassung der Aufbereitung von Daten (bspw. Druckausgabe / Dokumentenexport etc.) - Anpassung der Dokumentationsmöglichkeiten und Datenerfassung - Anpassung und Erstellung von Auswertungen Nach entsprechender Schulung und anhand der vollständigen Dokumentation der Customizing-Möglichkeiten kann das Customizing auch von eigenen IT-Fachkräften des Auftraggebers durchgeführt werden. Eine kundenspezifische Entwicklung von Funktionen ist über definierte und dokumentierte Programm-Schnittstellen möglich. Die kundenspezifischen Eigenentwicklungen werden im Rahmen des Supportvertrags über Releasewechsel hinweg durch den Anbieter gepflegt und unterstützt. Der Anbieter verpflichtet sich dem Auftraggeber bei Auswertung und Reporting bzw. der Anbindung an ein Data-Warehouse durch Offenlegung des Datenmodells und der notwendigen Semantik zu unterstützen. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 3 | 30 | |||||||||||||
| 8 | 6 | 3 | Angaben zu Release-Strategie (Plattformwechsel, Major / Minor, Hotfix) und den Produktzyklen (inkl. Produktlebens-dauer, Feature-Updates, Maintenance Level) des angebotenen Produkts sind dem Angebot beizulegen. Ein nachvoll-ziehbares Lizenzierungsmodell ist anzugeben. Für die Beurteilung des internen Supportaufwandes sind die regelhaft bekannten zyklisch einzuspielenden Updates, inklusive Terminfenster, zu benennen. Software-Updates und Patches sind vor Auslieferung beim Hersteller in repräsentativen Umgebungen gründlich zu testen, so dass die Aktualisierungen eine hohe Qualität aufweisen. Mögliche Risiken sind darzustellen. Bei einem modularen Aufbau der Software ist darzustellen, ob und unter welchen Voraussetzungen eine Aktualisierung eines einzelnen Moduls erfolgen kann. | A | 1 | Ja = erfüllt - Nein = Ausschluss | |||||||||||||||
| 8 | 6 | 4 | Für einen sicheren Betrieb muss der Auftraggeber auf allen Clients und Servern regelmäßig das Betriebssystem (bspw. WSUS) und den Virenscanner aktualisieren. Sollte die regelmäßige Aktualisierung durch den Auftraggeber auf einem vom Anbieter genutzten Client / Server nicht möglich sein, sind diese Systeme inkl. Begründung aufzulisten und dem Angebot beizulegen. | B | 2 | Ja = 10 Punkt - Nein = 0 Punkte | 3 | 30 | |||||||||||||
| 8 | 6 | 5 | Zur Sicherstellung des laufenden Betriebs dürfen durch das angebotene Produkt des Anbieters keine sich wiederho-lenden manuellen Tätigkeiten auf Betriebssystemebene des Servers notwendig werden. Auf Betriebssystemebene werden ausschließlich folgende administrative Tätigkeiten durch den Auftraggeber durchgeführt: • Updates, Backup der vom Auftraggeber unterstützen Betriebssysteme • Updates, Backup der vom Auftraggeber unterstützen Datenbanken • Updates des vom Auftraggeber zur Verfügung gestellten Virenscanners • Monitoring über den vom Auftraggeber zur Verfügung gestellten Checkmk-Agent | A | 1 | Ja = erfüllt - Nein = Ausschluss | 0 | ||||||||||||||
| Maximale Punktzahl - Kriteriengruppe | 8.5 | 80 | |||||||||||||||||||
| Datenschutz | |||||||||||||||||||||
| 8 | 7 | 1 | Die IT-Lösung erfüllt die gesetzlichen Anforderungen der EU-DSGVO. | A | 1 | Ja = erfüllt - Nein = Ausschluss | 0 | ||||||||||||||
| 8 | 7 | 2 | Die IT-Lösung erfüllt die Anforderungen der “Orientierungshilfe Krankenhausinformationssysteme“ der Entschließung der Bundes- und Landesdatenschutzbeauftragten vom März 2014 (Teil I: Normative Eckpunkte zur Zulässigkeit von Zugriffen auf die elektronischen Patientendaten im Krankenhaus und Teil II: Technische Anforderungen an die Gestaltung und den Betrieb von Krankenhausinformationssystemen). | A | 1 | Ja = erfüllt - Nein = Ausschluss | |||||||||||||||
| 8 | 7 | 3 | Eingehende externe VPN-Verbindungen werden über das System des Auftraggebers verwaltet und streng kontrolliert. Dabei wird sichergestellt, dass Zugriffe auf Daten und Systeme des Klinikum Nürnberg auf das zur Erfüllung der Aufgaben notwendige Maß reduziert und vom Klinikum Nürnberg zu jedem Zeitpunkt vollumfänglich kontrollierbar und beherrschbar sind. Hierzu gehören Maßnahmen, die Aktivitäten im System berechnen, Maus- und Tastatureingaben im Rahmen des Zugriffs auf Systeme erfassen und aufzeichnen sowie einzelne Aktionen überwachen und gegebenenfalls unterbinden. Der Dienstleister darf das System ausschließlich im vom Klinikum Nürnberg vorgeschriebenen Umfang nutzen. | A | 1 | Ja = erfüllt - Nein = Ausschluss | |||||||||||||||
| Maximale Punktzahl - Kriteriengruppe | 8.6 | 80 |