InformationsSicherheitsprogramm für die BVG

Der Auftraggeber beabsichtigt, den Auftrag im Wege eines Verhandlungsverfahrens ohne vorherigen Aufruf zum Wettbewerb zu vergeben. Nach sorgfältiger Prüfung ist der Auftraggeber der Ansicht, dass die Voraussetzungen des § 13 Abs. 2 Nr. 3 Buchst. b und c SektVO in Verbindung mit Art. 50 Buchst. c der Richtlinie 2014/25/EU erfüllt sind.

1. Technische Gründe - fehlender Wettbewerb (§ 13 Abs. 2 Nr. 3b SektVO)
Die ausgeschriebenen Leistungen stellen keine isolierte Neuentwicklung dar, sondern bauen unmittelbar und zwingend auf der bereits durchgeführten ISMS Implementierung für die BVG auf, die im Rahmen eines zuvor ordnungsgemäß bekannt gemachten Vergabeverfahrens an die HiSolutions AG vergeben wurde. Die nun zu vergebenden Leistungen setzen inhaltlich, technisch und methodisch vollständig auf den im Vorprojekt entwickelten und eingesetzten System-, Dokumentations- und Nachweisstrukturen auf.
Die bestehende ISMS Implementierung basiert auf einer einheitlichen Tool- , Daten- und Dokumentationsarchitektur, die spezifisch auf die IT und Organisationsstruktur der BVG zugeschnitten ist. Diese Architektur umfasst insbesondere:
• projektspezifische Risiko- und Maßnahmenregister,
• auditfähige Nachweis- und Dokumentationsstrukturen,
• konsistente Bewertungs- und Priorisierungsmethodiken sowie
• technische Auswertungs- und Steuerungsmechanismen zur Umsetzung und Fortschreibung der Informationssicherheitsmaßnahmen.
Ein Wechsel des Auftragnehmers würde zwingend zu technischen Unvereinbarkeiten führen, da ein Dritter die bestehenden Strukturen nicht ohne substanzielle Neuimplementierung übernehmen kann. Eine solche Neuimplementierung würde nicht lediglich Mehraufwand verursachen, sondern die technische und methodische Kohärenz der bestehenden ISMS Nachweise aufheben und die fortlaufende Konformität mit den einschlägigen aufsichts und prüfungsrechtlichen Anforderungen gefährden.
Aus diesen Gründen ist der Auftrag aus technischen Gründen objektiv nur von einem bestimmten Wirtschaftsteilnehmer ausführbar. Ein Wettbewerb ist zum maßgeblichen Zeitpunkt der Aufforderung zur Angebotsabgabe faktisch nicht vorhanden.
2. Schutz ausschließlicher Rechte (§ 13 Abs. 2 Nr. 3c SektVO)
Darüber hinaus bestehen ausschließliche Rechte, die einer Leistungserbringung durch andere Wirtschaftsteilnehmer entgegenstehen. Für die Analyse, Nachweisführung und Maßnahmensteuerung werden projektspezifische, teilweise proprietäre Auswerte- und Dokumentationswerkzeuge sowie darauf aufbauende Ergebnis- und Nutzungsrechte eingesetzt, die im Rahmen des Vorprojekts durch die HiSolutions AG entwickelt und genutzt wurden.
Diese Werkzeuge, Methoden und Artefakte sind inhaltlich und technisch untrennbar mit den im Rahmen der ISMS Implementierung erhobenen Befunden, Datenmodellen und Bewertungslogiken verbunden. Eine rechtssichere Weiterverwendung oder Weiterentwicklung dieser projektspezifischen Artefakte ist ausschließlich durch die HiSolutions AG bzw. mit deren unmittelbarer Mitwirkung möglich. Eine Übertragung der erforderlichen Rechte oder eine Herauslösung der zugrunde liegenden Strukturen ist kurzfristig weder rechtlich noch technisch möglich.
Damit kann der Auftrag wegen des Schutzes ausschließlicher Rechte nur von einem bestimmten Wirtschaftsteilnehmer erbracht werden.
3. Keine vernünftige Alternative oder Ersatzlösung
Der Auftraggeber hat im Vorfeld der Entscheidung eine Markterkundung durchgeführt. Diese hat ergeben, dass keine geeignete Alternative oder Ersatzlösung existiert, die die geforderte Leistung unter Wahrung der bestehenden technischen, methodischen und rechtlichen Rahmenbedingungen erbringen könnte.
Insbesondere würde jede alternative Lösung eine vollständige Neuerstellung zentraler ISMS Artefakte, Bewertungsmodelle und Nachweisstrukturen erfordern. Dies wäre nicht nur mit unverhältnismäßigen technischen Schwierigkeiten verbunden, sondern würde die Konsistenz und Nachvollziehbarkeit der bestehenden Nachweise gegenüber der zuständigen Aufsicht erheblich beeinträchtigen. Der fehlende Wettbewerb ist dabei nicht Ergebnis einer künstlichen Einschränkung der Auftragsvergabeparameter, sondern unmittelbare Folge der zulässigen und sachgerechten Vorvergabe sowie der daraus entstandenen technischen und rechtlichen Abhängigkeiten.
4. Flankierende Dringlichkeitserwägungen
Ergänzend ist zu berücksichtigen, dass die Leistungen in einem engen zeitlichen Zusammenhang mit der Umsetzung erweiterter regulatorischer Anforderungen an die Informationssicherheit stehen. Eine Verzögerung durch ein reguläres Vergabeverfahren würde erhebliche Risiken für die fristgerechte Erfüllung der aufsichtsrechtlichen Pflichten mit sich bringen. Diese Erwägungen stützen die Entscheidung zusätzlich, sind jedoch nicht allein tragend für die Wahl der Verfahrensart.
5. Ergebnis
Der Auftraggeber durfte nach alledem bei objektiver und subjektiver Betrachtung davon ausgehen, dass die Voraussetzungen für eine Vergabe ohne vorherige Veröffentlichung einer Bekanntmachung erfüllt sind. Die Anwendung des Verhandlungsverfahrens ohne Teilnahmewettbewerb ist daher vergaberechtlich zulässig.