Integrierte Sicherheitsdienstleistungen

Beschaffung von Dienstleistungen aus dem Bereich der IT-Sicherheit: Betrieb eines SoC sowie Lizenzen für die Produkte Axonius Cybersecurity Asset Management - Standard Base, Axonius Cybersecurity Asset Management Enforcement Center, Varonis Collector, Varonis for Windows/NAS + M365 SaaS subsription, Varonis for Active Directory SaaS subscription, Pentera Pack (Credential Exp., Surface, RansomwareReady, Core) einschl. zugehöriger Dienstleistungen, Silverfort Monitoring Platform (SMP), Silverfort Protected User.

Der Auftrag kann nur von einem bestimmten Wirtschaftsteilnehmer ausgeführt werden, da aus technischen Gründen kein Wettbewerb vorhanden ist. Der Auftraggeber ist eine gesetzliche Krankenkasse. Die Sicherheit seiner Informationssysteme hat für ihn hohe Priorität, dennoch ist es bereits zu Sicherheitsvorfällen gekommen. Zur Erhöhung der IT-Sicherheit hat der Auftraggeber im Jahr 2023 im Wege der Dringlichkeitsvergabe einen Dienstleister beauftragt. Dieser überwacht seine Systeme in einem SOC. Hierzu werden derzeit die Produkte Axonius, Varonis, Pentera und Silverfort eingesetzt. Der Dienstleister setzt für die Bereitstellung seiner Leistung die Software Google Chronicle ein. Die Beschaffung erfolgte zunächst für lediglich 12 Monate. In dieser Zeit sollte untersucht werden, ob und wie eine weitere Beschaffung im Wettbewerb erfolgen kann. Sowohl der Dienstvertrag mit dem derzeitigen Auftragnehmer als auch die Lizenzen laufen am 31. Juni 2024 aus, die Lizenz für Silverfort am 31. September 2024.
Der Auftraggeber hat für die nächsten 48 Monate weiterhin Bedarf an diesen Leistungen. Er hat mittlerweile untersucht, ob ein Auftragnehmerwechsel hinsichtlich der SOC-Dienstleistungen möglich ist und welche Konsequenzen dies ggfs. hätte. Dabei hat sich ergeben, dass bei einer Umstellung auf die Systeme eines anderen Auftragnehmers Risiken nicht auszuschließen sind. Es muss in jedem Fall eine Datenmigration stattfinden, was die Gefahr von Fehlern birgt. Darüber hinaus ist es auch bei größtmöglicher Vorsicht denkbar, dass es zur Unterbrechung des Dienstes kommt. Hinzu kommt, dass für den neuen Dienstleister Zweitsysteme neben den bereits laufenden Systemen aufgebaut werden müssen, was Aufwand bedeutet und ebenfalls die Möglichkeit von Fehlern – die eventuell sogar unerkannt bleiben. Neben den internen Aufwänden entstehen erhebliche zusätzliche Kosten, da sowohl die abzulösenden als auch für die neuen Systeme Lizenzen anfallen würden. Die zusätzliche neue Infrastruktur muss bei einem Hosting-Dienstleister aufgebaut werden, der hierfür seine Systeme ebenfalls umkonfigurieren muss, so z.B. die Firewalls. Für den Parallelbetrieb der Systeme würde auch erheblicher zusätzlicher interner Aufwand entstehen. Ein Wechsel der soeben erst eingeführten Produkte würde den Aufwand und die Risiken nochmals erhöhen.
Der Auftraggeber möchte hinsichtlich der Systemsicherheit keinerlei Abstriche machen, die aus tech-nischer Sicht vermeidbar sind. Das gilt auch dann, wenn die Risiken gering sind. Sein Beschaffungsbedarf beschränkt sich daher auf die weitere Inanspruchnahme des SOC des aktuellen Dienstleisters einschließlich hiermit in Verbindung stehender Dienstleistungen sowie Lizenzen für die Produkte der oben genannten Hersteller (Axonius, Varonis, Pentera, Silverfort, Google Chronicle) zur Gewährleis-tung der Systemsicherheit müssen über diesen Dienstleister bezogen werden, so dass auch kein Handels-Wettbewerb („Reseller-Wettbewerb“) besteht.
Nach der Rechtsprechung darf der Auftraggeber bei der Festlegung seines Beschaffungsbedarfs jedwede Risikopotentiale ausschließen und den sichersten Weg wählen, und zwar insbesondere und ausdrücklich im Hinblick auf die Systemsicherheit. Für den vorliegenden Auftrag gilt dies in besonderem Maße, da die Aufrechterhaltung und Erhöhung der Systemsicherheit gerade das Ziel dieses Auftrags ist.
Der Auftraggeber hat auch untersucht, ob es Alternativen zu der unveränderten Fortsetzung unter Ver-wendung der aktuellen Dienste und Produkte gibt. Das ist nicht der Fall. Jede Veränderung der gera-de erst in Betrieb genommenen Systeme und Produkte würde zu den oben beschriebenen Nachteilen führen.