Evergreenmanagement, Compliance-Analyse und Sicherheitsüberprüfung der bestehenden M365 Plattform

Mit der vorliegenden Ausschreibung möchte die Berufsgenossenschaft Verkehrswirtschaft Post-Logistik Telekommunikation eine Rahmenvereinbarung zum Bezug von Dienstleistungen rund um M365 abschließen.

Ausgewählte Berufsgenossenschaften erbringen IT-Services gemeinsam oder kaufen Leistungen gezielt durch eine Stelle ein und verrechnen die Leistung anschließend intern weiter. Dieses Modell kommt auch für die vorliegende Ausschreibung zur Anwendung. Die BG Verkehr als Vertragspartner übernimmt das Vertragsmanagement für insgesamt drei Beteiligte. Unter dem mit der BG Verkehr zu schließenden Vertrag auditiert werden:

- BG Verkehr
- BG ETEM
- BGHW

Die vorgenannten Berufsgenossenschaften sind aus der vorliegend ausgeschriebenen Rahmenvereinbarung abrufberechtigt.

Ziel ist zum einen die fortlaufende, strukturierte und Bewertung relevanter Änderungen in Microsoft 365 sowie die verständliche Einordnung ihrer Auswirkungen auf Konfiguration, Security, Compliance/Datenschutz, Betrieb und Nutzerakzeptanz im Kontext der besonderen Rolle von Unfallversicherungsträgern. Zu berücksichtigen ist, dass zukünftig weitere SaaS-Dienste aus Microsoft 365 eingeführt werden können und daher ein Evergreen-Vorgehen mit vorausschauender Bewertung, Priorisierung und konkreten Handlungsempfehlungen je Vertrag erforderlich ist. Außerdem zu beachten ist, dass neue Funktionen oder Änderungen an bereits eingeführten Funktionen einer Mitbestimmung durch den Personalrat unterliegen können. Auch hierfür sind entsprechende Bewertungen und Handlungsempfehlungen zu liefern.
Zum anderen soll in größeren Abständen (jährlich) eine Konformitätsüberprüfung der Tenants hinsichtlich Datenschutz und Compliance durchgeführt werden.

Eine Annäherung oder Angleichung der Tenants an einen gemeinsamen Standard über die Laufzeit der Verträge ist wünschenswert, kann dem Auftragnehmer zur Vereinfachung seiner Tätigkeiten aber nicht zugesichert werden.

Für die Berufsgenossenschaften als Träger der gesetzlichen Unfallversicherung gelten neben der DSGVO weitere regulatorische Anforderungen, die sich zum Beispiel aus dem zehnten Buch des Sozialgesetzbuches (SGB X) ergeben. Die dauerhafte Gewährleistung eines angemessenen Schutzniveaus ist ein wesentliches Ziel, neben internen Daten werden sensible Personendaten versicherter Personen verarbeitet.

Weitere Details sind den Vergabeunterlagen zu entnehmen.

Die Auftraggeberin und die Abrufberechtigten benötigen Beratungs- und Unterstützungsleistungen bei der laufenden Prüfung der von Microsoft herausgegebenen Änderungsmitteilungen, verbunden mit Nutzungsempfehlungen und weiteren Dienstleistungen (M365 Evergreenmanagement).

Auch wenn die laufende Prüfung der einzelnen Changes mit großer Sorgfalt durchgeführt wird, kann es in Summe erforderlich sein, die resultierenden Betriebsumgebungen von Zeit zu Zeit auf die Einhaltung regulatorischer Anforderungen zu prüfen, denn auch diese unterliegen Veränderungen und können sich weiterentwickeln. Die Auftraggeberin und die Abrufberechtigten benötigen schließlich Unterstützung und Beratung bei dieser jährlichen Prüfung und Dokumentation (M365 Compliance Audit).

Die Auftraggeberin plant vor diesen Hintergründen die zeitlich befristete Beauftragung eines Anbieters von M365-Beratungsleistungen im Bereich Evergreenmanagement und Compliance Audit.

Die Rahmenvereinbarung kommt mit dem Zuschlag kommt zustande. Die Vertragslaufzeit beträgt 24 Monate. Die Laufzeit beginnt mit dem ersten des auf die Zuschlagserteilung folgenden Monats. Der Vertrag verlängert sich nach Ablauf von 24 Monaten automatisch jeweils um 12 Monate (Verlängerungsoption), es sei denn die Auftraggeberin kündigt den Vertrag spätestens 3 Monate vor Ablauf von 24 Monaten bzw. 36 Monaten schriftlich. Der Vertrag endet spätestens nach 48 Monaten, ohne dass es einer Kündigung bedarf.

Weitere Details sind den Vergabeunterlagen zu entnehmen.