Hochsicherheitsinfrastruktur

Das Ministerium für Heimat, Kommunales, Bau und Digitalisierung (MHKBD) und das Ministerium für Kinder, Jugend, Familie, Gleichstellung, Flucht und Integration (MKJFGFI) des Landes Nordrhein-Westfalen verstehen sich in der Digitalisierung der Ausländerbehörden als enger Partner der nordrhein-westfälischen Kommunen. Eine ressortübergreifende Arbeitsgruppe unter Federführung des MHKBD (Auftraggeber) koordiniert landesweite Digitalisierungsaktivitäten und intensiviert den Dialog zwischen Bund, Land und Kommunen. Die Aufgabenerledigung in der Migrationsverwaltung findet in Nordrhein-Westfalen gestaffelt statt: - Oberste Ausländerbehörden - Landesministerien - Obere Ausländerbehörden - Bezirksregierungen - Zentrale Ausländerbehörden -Städte Bielefeld, Essen, Köln sowie Kreise Coesfeld und Unna - Untere Ausländerbehörden - Kreise, kreisfreie Städte und große kreisangehörige Städte Ziel der ressortübergreifenden Bemühungen ist es, Beschaffungen im Rahmen von Nachfragebündelung zentral anzustoßen und digitale Lösungen im Sinne einer Standardisierung zentral weiterzuentwickeln und zur Verfügung zu stellen. Hierunter fällt u. a. das Maßnahmenpaket der Ausstattung von Behörden der Migrationsverwaltung mit hochsicheren Hard- und Softwarelösungen: Für gesicherte Zugriffe auf europäische Registerportale sind spezielle Anforderungen für einen sicheren Arbeitsplatz zu erfüllen, die dem festgelegten Schutzbedarf für den Informationsverbund genügen. An das Schengener Informationssystem (SIS) angeschlossene Behörden müssen einen sehr hohen Schutzbedarf nachweisen können. Um den Anforderungen des Schutzbedarfes "sehr hoch" gerecht zu werden, bedarf es insbesondere für den sicheren Arbeitsplatz im Homeoffice und beim mobilen Arbeiten integrierter vom BSI zugelassener Lösungen. Vor diesem Hintergrund beabsichtigt der Auftraggeber, die nordrhein-westfälischen Ausländerbehörden mit der erforderlichen vom BSI zugelassenen Hochsicherheitsinfrastruktur auszustatten. Ziel ist, eine weitestgehende Standardisierung im Bereich der Registerzugriffe und der Verschlusssachenübermittlung im Bereich des Migrationswesens in Nordrhein-Westfalen zu erreichen. Typischerweise werden Verschlusssachenerfordernisse im Bereich von personenbezogenen Daten, Austausch von Objekt- und Liegenschaftsdaten für die Unterkunftsplanung und Versand von Sicherheitserlassen erforderlich.

Auftragsgegenstand ist ein Rahmenvertrag über die Beschaffung der für die Migrationsverwaltung des Landes Nordrhein-Westfalen und für die übrigen Bezugsberechtigten erforderlichen Hochsicherheitsinfrastruktur, die den Anforderungen des Schutzbedarfes "sehr hoch" gerecht wird und vom BSI zugelassen ist. Der Auftragnehmer muss insbesondere folgende Leistungen erbringen: - Lieferung von Hard- und Software für Hochsicherheitsinfrastruktur, die vom BSI zugelassen ist; - Bereitstellung von Softwarelizenzen für eine vom BSI zugelassene Infrastruktursoftware und Verschlüsselungssoftware; - Unterstützung bei Inbetriebnahme und Erstinstallation; - Wartung der Hardware; - Softwarewartung und -pflege; - Support; - Schulungen. Die Hochsicherheitsinfrastruktur muss aufgrund der unterschiedlichen Aufgabenbereiche in der Migrationsverwaltung eine parallele Nutzung von mindestens zwei Arbeitsplatzumgebungen mit unterschiedlichen Sicherheits-/Vertraulichkeitsanforderungen auf einem Endgerät nebeneinander, gleichzeitig, voneinander abgekapselt ermöglichen (sog. Multigastfähigkeit). Aufgrund der unterschiedlichen Vertraulichkeitsstufen in der Migrationsverwaltung muss die Hochsicherheitsinfrastruktur von Verschlusssache - Nur für den Dienstgebrauch (VS-NfD) bis hin zu GEHEIM skalierbar sein. Angesichts der sehr heterogenen IT-Landschaft und IT-Sicherheitsniveaus im Bereich der Ausländerbehörden muss die Hochsicherheitsinfrastruktur in eine bereits bestehende IT-Infrastruktur - unabhängig vom Sicherheitsniveau - integriert werden können. Der Auftraggeber möchte die Hochsicherheitsinfrastruktur als Gesamtsystem - bestehend aus Hard- und Software - beschaffen. Bezugsberechtigte Auftraggeber sind in Nordrhein-Westfalen: - die Ausländerbehörden im Sinne des § 1 der Verordnung über Zuständigkeiten im Ausländerwesen in Nordrhein-Westfalen; - sonstige Behörden, Einrichtungen und Betriebe des Landes und der Kommunen, die in vergleichbarer Weise erhöhte Sicherheits-/Vertraulichkeitsanforderungen erfüllen müssen;; - IT-Dienstleister, die vom Land NRW und/oder den nordrhein-westfälischen Kommunen unmittelbar oder mittelbar beherrscht werden, die in vergleichbarer Weise erhöhte Sicherheits-/Vertraulichkeitsanforderungen erfüllen müssen. Der Auftragnehmer muss die Hochsicherheitsinfrastruktur bis zum 1. Quartal 2026/2. Quartal 2026 liefern und bereitstellen.

Ein innerhalb der Rahmenvertragslaufzeit erteilter Einzelauftrag bleibt auch über die Rahmenvertragslaufzeit hinaus wirksam. Dies gilt insbesondere auch für die Wartungs-, Pflege- und Supportleistungen, welche der Auftragnehmer voraussichtlich für eine Dauer von drei Jahren ab Lieferung erbringen muss.

Der Auftrag kann nur von einem bestimmten Wirtschaftsteilnehmer ausgeführt werden, da aus technischen Gründen kein Wettbewerb vorhanden ist. Ein Verhandlungsverfahren ohne Teilnahmewettbewerb ist nach § 14 Abs. 4 Nr. 2 lit. b), Abs. 6 VgV zulässig. Nach dieser Norm darf ein öffentlicher Auftraggeber Aufträge im Wege des Verhandlungsverfahrens ohne Teilnahmewettbewerb vergeben, wenn zum Zeitpunkt der Aufforderung zur Abgabe von Angeboten nur ein bestimmtes Unternehmen den Auftrag erbringen oder bereitstellen kann, weil aus technischen Gründen kein Wettbewerb vorhanden ist. Zudem darf es keine vernünftige Alternative oder Ersatzlösung geben und der mangelnde Wettbewerb nicht das Ergebnis einer künstlichen Einschränkung der Auftragsvergabeparameter sein. Der Auftraggeber kam im Rahmen der Markterkundung zu dem Ergebnis, dass ausschließlich die secunet Security Networks AG (secunet) den Auftragsgegenstand beschaffen kann. Allein secunet kann mit der "Sichere Inter-Netzwerk-Architektur" (SINA) eine Hochsicherheitsinfrastruktur anbieten, die folgende Anforderungen zugleich erfüllt: - Schutzbedarf "sehr hoch", - vom BSI zugelassenes Gesamtsystem (Hard- und Software), - multigastfähig (parallele Nutzung von mindestens zwei Arbeitsplatzumgebungen mit unterschiedlichen Sicherheits-/Vertraulichkeitsanforderungen auf einem Endgerät nebeneinander, gleichzeitig und voneinander abgekapselt) - hinsichtlich der Vertraulichkeitsstufen skalierbar (von VS-NfD bis GEHEIM) und - integrierbar (in bereits bestehende IT-Infrastrukturen unabhängig vom bestehenden Sicherheitsniveau und von einer PKI). Die Negativvoraussetzungen nach § 14 Abs. 6 VgV sind nicht gegeben. Vernünftige Alternativen oder Ersatzlösungen gibt es nicht. Der mangelnde Wettbewerb ist auch nicht das Ergebnis einer künstlichen Einschränkung der Auftragsvergabeparameter. SINA ist anderen Hochsicherheitsinfrastrukturen nicht lediglich in einzelnen Merkmalen überlegen, sondern stellt die einzige Möglichkeit dar, den Beschaffungsbedarf unter Berücksichtigung der informationssicherheitstechnischen Vorgaben durch das BSI zu decken. Der Auftraggeber hat SINA als sichersten Weg zur Vermeidung von Fehlfunktionen der Hochsicherheitsinfrastruktur gewählt. Insbesondere die getrennte Beschaffung der erforderlichen Komponenten für die Hochsicherheitsinfrastruktur - Hard- und Software sowie Nebenleistungen bzw. unterschiedliche Lösungen pro Vertraulichkeitsstufe - ist keine vernünftige Alternative zu der einheitlichen Beschaffung, da sich hierdurch das Risikopotenzial für Fehlfunktionen, Schnittstellenrisiken und Kompatibilitätsprobleme deutlich erhöht. In der Migrationsverwaltung werden sehr sensible Daten, darunter biometrische Daten, Gesundheitsdaten und Informationen zur ethnischen Herkunft, verarbeitet. Zudem werden Informationen über den Aufenthaltsstatus von Personen verarbeitet, deren Offenlegung die Sicherheit und das Leben der Betroffenen gefährden kann, insbesondere bei politisch Verfolgten oder Geflüchteten. In diesen Bereichen ist die Informations- und Systemsicherheit besonders wichtig, um die Integrität und Vertraulichkeit der sensiblen Daten zu gewährleisten und die Rechte und Sicherheit der betroffenen Personen zu schützen. Daher darf die Informations- und Systemsicherheit, insbesondere der zugrunde liegenden besonders sensiblen Daten, nicht beeinträchtigt werden, indem der Auftraggeber auf die dafür erforderlichen oben dargestellten Anforderungen an die Hochsicherheitsinfrastruktur verzichtet und Sicherheitslücken zwischen den verschiedenen Komponenten oder Fehlfunktionen in Kauf nimmt. Der Auftraggeber hat das Vergabeverfahren nicht in der Absicht konzipiert, secunet zu bevorzugen oder andere Unternehmen zu benachteiligen. Der Auftraggeber hat nicht "künstlich" den Auftragsgegentand eingeschränkt oder bestimmte Parameter festgelegt. Vielmehr hat der Auftraggeber die Anforderungen an die Hochsicherheitsinfrastruktur sachlich und fachlich erarbeitet. Der Auftraggeber hat die Entscheidung, eine einheitliche Hochsicherheitsinfrastruktur zu beschaffen, die die dargestellten Anforderungen erfüllt, allein aus sachlichen Gründen getroffen. Die Ausländerbehörden sind nach § 14 VSA NRW verpflichtet, Daten, die der VSA unterliegen, durch ein vom BSI zugelassenes IT-Sicherheitsprodukt bzw. -system zu verarbeiten. Zudem hat der Auftraggeber mit SINA als Gesamtsystem den sichersten Weg zur Vermeidung von Fehlfunktionen gewählt. Die Entscheidung des Auftraggebers, eine multigastfähige Hochsicherheitsinfrastruktur zu beschaffen, beruht ebenfalls nur auf sachlichen Gründen. Die Hochsicherheitsinfrastruktur für die Migrationsverwaltung muss multigastfähig sein, da die Ausländerbehörden aufgrund ihrer unterschiedlichen Aufgabenbereiche parallel Anwendungsfälle mit unterschiedlichen Sicherheitsanforderungen auf einem Endgerät bearbeiten können müssen. Zentraler Vorteil der Multigastfähigkeit in Hochsicherheitsinfrastrukturen wie SINA ist, dass der Nutzer auf einem einzigen Endgerät gleichzeitig verschiedene voneinander abgeschottete Arbeitsumgebungen ("Gäste" oder Sicherheitsdomänen) betreiben kann. Der Nutzer kann - abhängig vom eingesetzten Produkt - auf derselben Hardware an Anwendungsfällen mit unterschiedlichen Vertraulichkeitsstufen (skalierbar - z.B. offen, VS-NfD, GEHEIM) sicher, aber strikt voneinander getrennt, arbeiten. Dadurch können die Nutzer alle in ihrem Bereich auftretenden unterschiedlichen Anwendungsfälle, unabhängig von der Vertraulichkeitsstufe, auf einem Endgerät bearbeiten. Die Mitarbeitenden müssen nicht für jede Vertraulichkeitsstufe einen separaten Rechner nutzen. Folgende in der Migrationsverwaltung typische Anwendungsfälle verdeutlichen, dass die Hochsicherheitsinfrastruktur multigastfähig sein muss: - Session 1 internes Behördennetzwerk (Zugriff auf Arbeitsbereich), Session 2 für Internet (z.B. Videokonferenzen), Session 3 künftig auf andere Sicherheitsdomänen (z.B. Bundesregisterportal). Die Hochsicherheitsinfrastruktur muss integrierbar sein, da nur so die bestehende sehr heterogene IT-Landschaft der Ausländerbehörden standardisiert werden kann.