SSO/IAM - Sicherheitssoftware

Vergabestelle ist die AGAcareIT gGmbH mit Sitz in Ginnheimer Landstraße 94, 60487 Frankfurt am Main (nachfolgend die „Auftraggeberin“ genannt). Sie ist Teil des bun-desweit tätigen Gesundheitskonzerns AGAPLESION gAG, der eine Vielzahl von Einrichtungen in verschiedenen Bereichen der Gesundheitsversorgung und Pflege deutschlandweit unter sei-nem Dach vereint und über Tochtergesellschaften betreibt.
Die Auftraggeberin ist die konzerninterne IT-Beratungsgesellschaft, die das Vergabeverfahren für die Krankenhauseinrichtungen koordiniert und durchführt. Eine Liste der beteiligten Kran-kenhausgesellschaften ist nachstehend zu finden.
Ausgeschrieben wird eine Rahmenvereinbarung mit einem Auftragnehmer. Neben den unmittelbar beteiligten Einrichtungen können weitere Einrichtungen der Rahmenvereinbarung auf Auftraggeberseite beitreten. Eine Übersicht findet sich ebenfalls untenstehend.

Die Auftraggeberin plant die Beschaffung eines Identity & Access Management („IAM“) und eines Single Sign On („SSO“) Systems. Um den vergaberechtlichen Erfordernissen zu genü-gen, findet eine Losaufteilung zwischen IAM (Los 1) und SSO (Los 2) statt. Aufgrund der ge-planten Kommunikation zwischen den beiden Systemen durch eine Standardschnittstelle ist es zwingend erforderlich, dass Bieter Angebote auf beide Lose abgeben. Dies kann durch ei-nen Bieter (ggf. mit Nachunternehmer) oder eine Bietergemeinschaft geschehen. Eine be-stimmte Rechtsform ist nicht erforderlich.

Hintergrund des Beschaffungsvorhabens ist das bundesweite Förderprogramm Krankenhaus-zukunftsgesetz (KHZG), durch das Krankenhausträger bei der Digitalisierung ihrer Häuser un-terstützt werden und über das die Beschaffung teilweise finanziert wird. Es handelt sich daher um ein fördermittelfinanziertes Projekt. Die Beschaffung soll die Vorgaben des Fördertatbe-standes 10 nach KHZG erfüllen.

Die Auftraggeberin plant mit Los 1 dieser Beschaffung zudem die Anschaffung und Integration eines IAM-Systems, das der Erhöhung der ordnungsgemäßen Benutzerberechtigungen und Aufrechterhaltung der Informationssicherheit des Gesamtsystems dienen soll.

Bei der Beschaffung von Los 1 IAM handelt es sich um eine gemeinsame Beschaffung der nachstehend aufgeführten Häuser des AGAPLESION Konzerns:

(a) AGAPLESION ALLGEMEINES KRANKENHAUS HAGEN gGmbH
(b) AGAPLESION BETHESDA KLINIK ULM gGmbH
(c) AGAPLESION BETHESDA KRANKENHAUS BERGEDORF gGmbH
(d) AGAPLESION EV. BATHILDISKRANKENHAUS BAD PYRMONT gGmbH
(e) AGAPLESION DIAKONIEKLINIKUM HAMBURG gGmbH
(f) AGAPLESION DIAKONIE KLINIKEN KASSEL gGmbH
(g) AGAPLESION DIAKONIEKLINIKUM ROTENBURG gGmbH
(h) AGAPLESION ELISABETHENSTIFT gGmbH
(i) AGAPLESION EVANGELISCHES KRANKENHAUS MITTELHESSEN gGmbH
(j) AGAPLESION FRANKFURTER DIAKONIE KLINIKEN gGmbH
(k) AGAPLESION BETHANIEN KRANKENHAUS HEIDELBERG gGmbH
(l) AGAPLESION EV. KLINIKUM SCHAUMBURG gGmbH
(m) AGAPLESION KRANKENHAUS NEU BETHLEHEM gGmbH

Die folgenden Einrichtungen können der Rahmenvereinbarung – ggf. nachträglich – beitreten:

(n) AGAPLESION Mitteldeutschland gGmbH Holding
(o) AGAPLESION BETHESDA KRANKENHAUS WUPPERTAL gGmbH
(p) Krankenhaus Seehausen gGmbH (Hinweis: Nicht Teil des AGAPLESION Konzerns)

Durch die Automatisierung der Benutzeradministration (Eintritte, Veränderungen, Austritte) in AD, ADD, KIS und Subsystemen soll eine Prozessverbesserung und Erhöhung der Zugriffssi-cherheit der Benutzeraccounts über alle Abteilungen und Einrichtungen erreicht und aufrecht-erhalten werden.

Das System muss folgende Subsysteme per integrierter und konfigurierbarer Schnittstelle an-binden können: Orbis, Medico (optional), iMedOne (optional), P&I LOGA, M365, MS AAD, Microsoft AD, Microsoft Exchange. Zudem muss das System aus in P&I Loga angelegten Mit-arbeitern anhand von konfigurierbaren Workflows Benutzer in Orbis, Medico (optional), iMe-dOne (optional), M365, MS AAD, Microsoft AD, Microsoft Exchange anlegen können. Der Workflow muss mindestens als Vier-Augen-Prinzip abbildbar sein. Des Weiteren muss das System ein Selfserviceportal bieten, über welches Anträge für Ressourcen gestellt und freige-geben werden können, basierend auf einem Rechte- und Rollenkonzept.

Die konkreten Anforderungen an die anzubietende Lösung ergeben sich aus dem Leistungs-verzeichnis (DOKUMENT E. Leistungsverzeichnis_IAM). Im Leistungsverzeichnis wird zwischen MUSS- und SOLLTE-Kriterien unterschieden.
Unabdingbare Merkmale sind als MUSS-Kriterien in der Spalte D „Priorität“ markiert. Diese Leistungskriterien sind zwingend zu erfüllen. Anderenfalls kann das Angebot nicht berücksich-tigt werden und grundsätzlich ohne weitere Prüfung ausgeschlossen werden, wenn sich die Auftraggeberin nicht im Rahmen des vergaberechtlich Zulässigen entscheiden wird, von dem jeweiligen Kriterium Abstand zu nehmen.

Qualitätskriterien sind als SOLLTE-Kriterien in der Spalte D „Priorität“ markiert. Diese Kriterien sind von der Lösung nicht zwingend zu erfüllen, werden aber bei der Angebotswertung als Zu-schlagskriterien berücksichtigt. Je mehr SOLLTE-Kriterien erfüllt werden, desto besser schnei-det die Lösung in der Qualitätswertung ab. Die Punktzahl ergibt sich jeweils aus der Spalte E „Gewichtung“.

Das Vorliegen der Leistungsanforderungen (MUSS- und SOLLTE-Kriterien) ist von Bietern grundsätzlich durch die zutreffende Auswahl in dem Dropdownmenü in der Spalte F „Verbrei-tung/Antwort“ des Leistungsverzeichnisses durch einen Eintrag zu bestätigen („Vorhanden und bereits im Einsatz“) oder zu verneinen („nicht vorhanden oder in Entwicklung“). Sofern Bieter bei einem Merkmal in Spalte F die Option „nicht vorhanden oder in Entwick-lung“ ausgewählt haben, sollen sie nach Möglichkeit ein Releasedatum für das Merkmal in Spalte G benennen, wenn es sich in Entwicklung befindet. In Spalte H (LV IAM) „Kommen-tar“ können Bieter weitere Informationen zu dem Kriterium vermerken. Bieter legen durch geeignete Eigenerklärungen prüfbar dar, ob und wie diese Leistungsanforderung erfüllt wird. Geeignete Formen für den Nachweis sind grundsätzlich ausformulierte Stellungnahmen, Kon-zepte oder Produktdatenblätter und -beschreibungen. Bieter tragen in eigener Verantwortung Sorge dafür, dass der Nachweis geführt wird. Es wird darauf hingewiesen, dass Nachforde-rungen bei mangelhaften Nachweisen grundsätzlich nicht erfolgen. Die Auftraggeberin behält sich aber vor, Unklarheiten in den eingereichten Nachweisen im vergaberechtlich zulässigen Umfang aufzuklären. Hierzu erhalten Bieter Gelegenheit zur Stellungnahme.

Das Preisangebot (DOKUMENT C. Preisblatt IAM) muss alle geforderten Angaben enthal-ten. Diese ergeben sich aus den drei Blättern Preiskategorie 1, Preiskategorie 2, Preis-kategorie 3. Es sind auch alle optionalen Preise anzubieten, da das Zuschlagskriterium Preis sich aus allen geforderten Preisen ergibt.

Bieter tragen Sorge dafür, dass das Preisblatt vollständig ausgefüllt wird. Preisangaben kön-nen vergaberechtlich in der Regel nicht nachgefordert werden. Fehlende oder fehlerhafte Preise können daher zum Angebotsausschluss führen.

Wartungsleistungen werden mit einer Laufzeit von 36 Monaten beauftragt. Die Häufigkeit der Wartung orientiert sich an der angebotenen Lösung wird dementsprechend beauftragt.

Die AGAPLESION gAG betreibt ein zentrales Rechenzentrum mit daran angeschlossenen Krankenhäusern und Altenpflegeeinrichtungen. Mit Los 2 SSO wird die Beschaffung eines im zentralen AGAPLESION-Rechenzentrum installierten Single-Sign-On-Systems (SSO) angestrebt.

Bei der Beschaffung von Los 2 SSO handelt es sich um eine gemeinsame Beschaffung der nachstehend aufgeführten Häuser des AGAPLESION Konzerns:

(a) AGAPLESION ALLGEMEINES KRANKENHAUS HAGEN gGmbH
(b) AGAPLESION BETHESDA KLINIK ULM gGmbH
(c) AGAPLESION EV. BATHILDISKRANKENHAUS BAD PYRMONT gGmbH
(d) AGAPLESION DIAKONIEKLINIKUM HAMBURG gGmbH
(e) AGAPLESION DIAKONIE KLINIKEN KASSEL gGmbH
(f) AGAPLESION DIAKONIEKLINIKUM ROTENBURG gGmbH
(g) AGAPLESION ELISABETHENSTIFT gGmbH
(h) AGAPLESION EVANGELISCHES KRANKENHAUS MITTELHESSEN gGmbH
(i) AGAPLESION FRANKFURTER DIAKONIE KLINIKEN gGmbH
(j) AGAPLESION BETHANIEN KRANKENHAUS HEIDELBERG gGmbH
(k) AGAPLESION EV. KLINIKUM SCHAUMBURG gGmbH
(l) AGAPLESION KRANKENHAUS NEU BETHLEHEM gGmbH

Die folgenden Einrichtungen können der Rahmenvereinbarung – ggf. nachträglich – beitreten:

(m) AGAPLESION BETHESDA KRANKENHAUS BERGEDORF gGmbH
(n) AGAPLESION Mitteldeutschland gGmbH Holding
(o) AGAPLESION BETHESDA KRANKENHAUS WUPPERTAL gGmbH
(p) Krankenhaus Seehausen gemeinnützige GmbH (Hinweis: Nicht Teil des AGAPLESION Konzerns)

Das SSO-System soll im zentralen Rechenzentrum installiert und über zugehörige Satelliten-systeme in den Außenstandorten betrieben werden. Diese Außenstandorte sind über MPLS-Leitungen mit dem Rechenzentrum verbunden. Diese MPLS-Anbindungen sollen durch das System nicht ausgelastet werden, da diese teilweise im 10-Mbit-Bereich liegen. Das SSO-System soll das Anmelden an Arbeitsplätzen oder dort verfügbarer Software ohne Eingabe ei-nes Passwortes ermöglichen. Es soll eine alternative Authentifizierungsmethode nutzbar sein.
Das SSO-System soll eine Anmeldung an im Einsatz befindlichen Windows Arbeitsplätzen als auch dort verfügbaren Softwareprodukten (lokal installiert, per Citrix bereitgestellt, entfernte Browserapplikationen, etc.) per SSO (RFID Token, Smartcards, etc.) und eine 2FA ermögli-chen. Es soll ferner sowohl die Anmeldung an (Orbis, Medico, IMedOne,) als auch das Vidie-ren innerhalb des jeweiligen Krankenhausinformationssystems ermöglicht werden. Das Sys-tem soll an Gruppenarbeitsplätzen funktionieren, ohne dass der Gruppenaccount von Windows abgemeldet oder gewechselt werden muss.

Diese und weitere konkrete Anforderungen an die anzubietende Lösung ergeben sich aus dem Leistungsverzeichnis (DOKUMENT E. Leistungsverzeichnis_SSO). Im Leistungsverzeich-nis wird zwischen MUSS- und SOLLTE-Kriterien unterschieden.
Unabdingbare Merkmale sind als MUSS-Kriterien in der Spalte D „Priorität“ markiert. Diese Leistungskriterien sind zwingend zu erfüllen. Anderenfalls kann das Angebot nicht berücksich-tigt werden und grundsätzlich ohne weitere Prüfung ausgeschlossen werden, wenn sich die Auftraggeberin nicht im Rahmen des vergaberechtlich Zulässigen entscheidet, von dem jewei-ligen Kriterium Abstand zu nehmen.

Qualitätskriterien sind als SOLLTE-Kriterien in der Spalte D „Priorität“ markiert. Diese Kriterien sind von der Lösung nicht zwingend zu erfüllen, werden aber bei der Angebotswertung als Zu-schlagskriterien berücksichtigt. Je mehr SOLLTE-Kriterien erfüllt werden, desto besser schnei-det die Lösung in der Qualitätswertung ab. Die Punktzahl ergibt sich jeweils aus der Spalte E „Gewichtung“ (siehe zu den Zuschlagskriterien unten unter Ziffer ‎3.4.2).

Das Vorliegen der Leistungsanforderungen (MUSS- und SOLLTE-Kriterien) ist von Bietern grundsätzlich durch die zutreffende Auswahl in dem Dropdownmenü in der Spalte F „Verbrei-tung/Antwort“ des Leistungsverzeichnisses durch einen Eintrag zu bestätigen („Vorhanden und bereits im Einsatz“) oder zu verneinen („nicht vorhanden oder in Entwicklung“). Sofern Bieter bei einem Merkmal in Spalte F die Option „nicht vorhanden oder in Entwick-lung“ ausgewählt haben, sollen sie nach Möglichkeit ein Releasedatum für das Merkmal in Spalte G benennen, wenn es sich in Entwicklung befindet. In Spalte H (LV SSO) „Kommen-tar“ können Bieter weitere Informationen zu dem Kriterium vermerken. Bieter legen durch geeignete Eigenerklärungen prüfbar dar, ob und wie diese Leistungsanforderung erfüllt wird. Geeignete Formen für den Nachweis sind grundsätzlich ausformulierte Stellungnahmen, Kon-zepte oder Produktdatenblätter und -beschreibungen. Bieter tragen in eigener Verantwortung Sorge dafür, dass der Nachweis geführt wird. Es wird darauf hingewiesen, dass Nachforde-rungen bei mangelhaften Nachweisen grundsätzlich nicht erfolgen. Die Auftraggeberin behält sich aber vor, Unklarheiten in den eingereichten Nachweisen im vergaberechtlich zulässigen Umfang aufzuklären. Hierzu erhalten Bieter Gelegenheit zur Stellungnahme.

Das Preisangebot (DOKUMENT C. Preisblatt SSO) muss alle geforderten Angaben enthal-ten. Diese ergeben sich aus den drei Blättern Preiskategorie 1, Preiskategorie 2, Preis-kategorie 3. Es sind auch alle optionalen Preise anzubieten, da das Zuschlagskriterium Preis sich aus allen geforderten Preisen ergibt.

Bieter tragen Sorge dafür, dass das Preisblatt vollständig ausgefüllt wird. Preisangaben kön-nen vergaberechtlich in der Regel nicht nachgefordert werden. Fehlende oder fehlerhafte Preise können daher zum Angebotsausschluss führen.

Wartungsleistungen werden mit einer Laufzeit von 36 Monaten beauftragt. Die Häufigkeit der Wartung orientiert sich an der angebotenen Lösung wird dementsprechend beauftragt.