DRK_Fortinet

Der Auftraggeber betreibt eine komplexe IT-Infrastruktur, die aus einem Rechenzentrum, einem umfassenden Netzwerk und einer Firewall-Lösung besteht. Diese Infrastruktur wird derzeit vollständig durch den Anbieter März Network Services GmbH im Rahmen eines Managed-Services-Vertrags betreut. Der Anbieter erbringt seit 2023 sämtliche Leistungen im Bereich der Wartung, Betreuung und Weiterentwicklung der IT-Sicherheitsinfrastruktur. Im Rahmen der geplanten Beschaffung soll eine neue Firewall-Lösung (FortiGate 400F inklusive FortiGuard Unified Threat Protection und FortiCare Premium) implementiert werden, um die bestehende Sicherheitsarchitektur zu modernisieren und zukünftigen Anforderungen gerecht zu werden. Die Beschaffung erfolgt herstellerspezifisch, da die FortiGate 400F aufgrund ihrer technischen Leistungsfähigkeit und Kompatibilität zwingend erforderlich ist.

Beschaffung der Fortinet FortiGate 400F Firewall, FortiGuard Unified Threat Protection (UTP) und FortiCare Premium, der ortiAnalyzer-VM Subscription für 5 GB/Day Central Logging & Analytics, FortiCare Premium support, IOC, Security Automation Service and FortiGuard Outbreak Detection Service und des Fortinet Subscription Lizenz Bundle (- FortiMail-VM (4 CPU), - FortiGuard Enterprise ATP Bundle und FortiCare Premium Support) für eine Laufzeit von jeweils 60 Monaten. Zusätzlich sind Integrationsdienstleistungen zur Integration der neuen Module in die bestehende Infrastruktur erforderlich.

Bekanntmachungs-ID: CXP4YWL5AYP

Das Verfahren wird aufgrund des geringen Auftragswertes als Verhandlungsvergabe ohne Teilnahmewettbewerb nach der UVgO durchgeführt. Um trotzdem Transparenz am Markt herzustellen, wird die Beschaffungsabsicht vorliegend bekannt gemacht.

Der Auftrag kann aufgrund von Ausschließlichkeitsrechten, darunter von Rechten des geistigen Eigentums, nur von einem bestimmten Wirtschaftsteilnehmer ausgeführt werden. Die Vergabe ohne Teilnahmewettbewerb an den bisherigen Dienstleister März Network Services ist aus technischen und wirtschaftlichen Gründen gerechtfertigt, wie nachfolgend dargelegt wird. Die Beschaffung vom ursprünglichen Lieferanten ist dann zulässig, wenn die zu beschaffende Leistung eine zusätzliche Lieferleistung darstellt, die der teilweisen Erneuerung oder Erweiterung bereits erbrachter Leistungen dient und ein Wechsel des Vertragspartners, also die Beauftragung eines anderen Vertragspartners dazu führen würde, dass der Auftraggeber eine Leistung mit unterschiedlichen technischen Merkmalen kaufen müsste, und dies eine technische Unvereinbarkeit oder unverhältnismäßige technische Schwierigkeiten bei Gebrauch und Wartung mit sich bringen würde. Der Tatbestand soll dann gewählt werden, wenn die Lieferung durch einen anderen Anbieter zu einer absoluten oder relativen technischen Inkompatibilität führen würde. Dies ist vorliegend der Fall. So hätte jeder andere Anbieter zwar die Möglichkeit, eine in sich geschlossene Firewall anzubieten. Dies wäre dann aber erst einmal nicht in der Lage mit der Firewall von Fortinet zu kommunizieren, sodass es hier zu einem unvollständigen Schutz käme. Es ist also zwingend erforderlich, dass ein Produkt von Fortinet beschafft wird. Darüber hinaus würde auch die Beschaffung zusätzlicher Fortinet-Produkte von einem anderen Lizenzhändler dazu führen, dass die Firewall nur eingeschränkt ihren Dienst erbringen würde. Denn beim Betrieb einer Firewall kommt es in aller erster Linie auf die Abwehr von Bedrohungen an. Die beiden Anwendungen müssen, um einen effektiven Schutz zu ermöglichen, aus einer Hand betrieben werden. Sobald es zu einem Cyberangriff kommt, muss der Anbieter in der Lage sein, dem Angriff so schnell wie möglich zu begegnen. Dies ist nicht möglich, wenn die Firewall von zwei Anbietern betrieben wird, die sich im Ernstfall noch abstimmen müssen. Bei der Beschaffung aus einer Hand kann hingegen eine End- zu-End-Verschlüsselung erfolgen. Im Übrigen kommt es (wie nachfolgend geschildert) auch zu erheblichen Mehraufwendungen bei Gebrauch und Wartung. Es liegt demnach ein Fall der relativen technischen Inkompatibilität vor: -Exklusives Know-how über die bestehende IT-Infrastruktur: Der Anbieter verfügt über umfassendes Wissen über die spezifische Konfiguration und Architektur des bestehenden Netzwerks sowie der Firewall-Lösung. Dieses Know-how wurde im Rahmen des bisherigen Managed-Services-Vertrags aufgebaut und ist für die Implementierung der neuen Lösung zwingend erforderlich. o Interoperabilität mit bestehenden Systemen: Die neue Firewall-Lösung muss nahtlos in die bestehende Infrastruktur integriert werden, um eine unterbrechungsfreie Funktionalität sicherzustellen. Der aktuelle Anbieter hat exklusiven Zugang zu den bestehenden Systemen und deren Konfigurationen, einschließlich proprietärer Schnittstellen und individueller Anpassungen. -Einbindung in das bestehende SIEM-System: Die zu beschaffenden Firewallsysteme müssen in das vom aktuellen Anbieter betriebene SIEM-System (Security Information and Event Management) eingebunden werden. Aufgrund der Kenntnisse des Anbieters über die bestehenden Schnittstellen erfolgt diese Integration schneller, mit weniger Risiken und dadurch effizienter -Cybersecurity-Vorfälle: Bei Cybersecurity-Vorfällen können Maßnahmen direkt aus dem SIEM-System heraus effizienter bearbeitet werden, da der aktuelle Dienstleister sowohl für das Netzwerk als auch für den Firewall-Bereich zuständig ist. Sicherheitsrisiken werden dadurch minimiert, da alle Prozesse aus einer Hand gesteuert werden. -Synergien in der Serviceerbringung: Durch die Beauftragung eines einheitlichen Dienstleisters ergeben sich erhebliche Synergien in der Serviceerbringung, da keine zusätzlichen Schnittstellen geschaffen werden müssen. Dies ermöglicht schlankere und effizientere Serviceprozesse im Betrieb des neuen Rechenzentrums und führt gleichzeitig zu einer Erhöhung der Sicherheit. -Nutzung des bestehenden Managed-Services-Vertrags: Der vorhandene Managed-Service-Vertrag für den Netzwerk- und Firewallbereich kann auf die neu zu beschaffenden Fortinet-Systeme ausgeweitet werden. Dadurch entstehen erhebliche finanzielle Vorteile durch Vermeidung zusätzlicher Vertragsabschlüsse oder paralleler Serviceverträge. -Einheitliche SLAs (Service Level Agreements): Durch einheitliche SLAs können Serviceprozesse effizienter gestaltet werden, was zu schnelleren Reaktionszeiten bei Störungen führt. -Standardisierung der Firewall-Systeme: Die geplante Beschaffung unterstützt das Ziel einer hohen Standardisierung im Bereich der Firewall-Systeme. Da sich bereits Fortinet-Firewallsysteme im Einsatz befinden, können Service- und Wartungsprozesse erheblich vereinfacht werden. -Die Beauftragung eines anderen Anbieters würde erhebliche Verzögerungen bei der Umsetzung verursachen. -Ein Anbieterwechsel würde zusätzliche Kosten verursachen (z. B. durch Schulungen oder Anpassung von Schnittstellen) und wäre damit wirtschaftlich nicht vertretbar. Die Wahl des bisherigen Dienstleisters ist verhältnismäßig, da sie auf objektiven technischen und wirtschaftlichen Gründen basiert und keine willkürliche Einschränkung des Wettbewerbs darstellt. Die Entscheidung dient ausschließlich dem Ziel, eine unterbrechungsfreie Funktionalität der IT-Infrastruktur sicherzustellen, Sicherheitsrisiken zu minimieren und unverhältnismäßige Mehrkosten zu vermeiden. Hinweis: Bei der Beschaffung wird der Schwellenwert nicht überschritten. Die Beauftragung ist als Verhandlungsvergabe ohne Teilnahmewettbewerb nach der UVgO geplant. Die Bekanntmachung erfolgt zur Herstellung entsprechender Transparenz am Markt.