Germany - Software package and information systems - Procurement of a GRC tool

Die Digitale Hochschule NRW (DH.NRW) ist eine Kooperationsgemeinschaft von 41 Hochschulen und des Ministeriums für Kultur und Wissenschaft des Landes Nordrhein-Westfalen zur Etablierung einer abgestimmten Serviceinfrastruktur für die digitale Transformation der Hochschulen in NRW. Diese Hochschulen sind bestrebt, höchste Standards in Lehre und Forschung zu erreichen und benötigen daher eine robuste und flexible Lösung zur Verwaltung ihrer Governance-, Risk- und Compliance-Anforderungen. Um dieses Ziel zu erreichen, möchte die Technische Universität Dortmund (TU Dortmund) eine Landeslizenz für ein Governance, Risk und Compliance (GRC)-Tool, einschließlich eines Onboardings, für voraussichtlich 34 Hochschulen der Kooperationsgemeinschaft der DH.NRW beschaffen. Die beteiligten Hochschulen benötigen eine umfassende Lösung, die verschiedene Aspekte der Informationssicherheit, des Business Continuity Managements (BCM), des Datenschutzes und des Risikomanagements abdeckt. Ein GRC-Tool ist eine Softwarelösung, die Organisationen unterstützt, ihre Governance-, Risiko- und Compliance-Prozesse digital zu verwalten und zu überwachen. Das Tool ist entscheidend für die effiziente Dokumentation und Überwachung dieser Bereiche, um die Einhaltung gesetzlicher Vorschriften und interner Richtlinien sicherzustellen. Die beteiligten Hochschulen werden das GRC-Tool einsetzen, um ihre Informationssicherheits-, BCM-, Datenschutz- und Risikomanagementprozesse zu optimieren. Darüber hinaus wird es die Zusammenarbeit zwischen verschiedenen Abteilungen erleichtern und die Effizienz durch automatisierte Workflows und Berichte steigern. Zentrale Elemente des Verfahrens: Die Technische Universität Dortmund (TU Dortmund) vergibt den Auftrag im Wege eines Verhandlungsverfahrens mit vorgeschaltetem Teilnahmewettbewerb. Mit dieser Bekanntmachung fordert die TU Dortmund interessierte Unternehmen auf, einen Teilnahmeantrag einzureichen. Für den Teilnahmeantrag sind allein die Anforderungen dieser Bekanntmachung maßgeblich. Anhand des eingereichten Teilnahmeantrags prüft die TU Dortmund die Eignung der Bewerber für den Auftrag anhand der gemäß der Bekanntmachung einzureichenden Unterlagen. Im zweiten Schritt fordert die TU Dortmund die nach Maßgabe der Bekanntmachung ausgewählten Bewerber auf, ein verbindliches Erstangebot einzureichen. Mit der Aufforderung zur Angebotsabgabe wird die TU Dortmund die Bieter zur Abgabe von Optimierungsvorschlägen zu den Leistungsanforderungen und zum Vertrag auffordern. Sollte sich dies als zweckmäßig erweisen, verhandelt die TU Dortmund mit den Bietern über die eingereichten Vorschläge. Die TU Dortmund behält sich ausdrücklich vor, nicht in Verhandlungen einzutreten und gemäß § 17 Abs. 11 VgV auf die Erstangebote zuzuschlagen. Gegenstand des Auftrags ist die Bereitstellung und Lizenzierung eines GRC-Tools für voraussichtlich 34 Hochschulen der Kooperationsgemeinschaft DH.NRW, das durch den Auftragnehmer als Software-as-a-Service (SaaS) zur Verfügung gestellt wird. Darüber hinaus muss der Auftragnehmer die dazugehörigen Hosting-, Wartungs-, Service- und Schulungsleistungen erbringen. Die Laufzeit des Vertrages beträgt 4 Jahre. Der Vertrag verlängert sich auf Abruf des Auftraggebers um weitere 4 Jahre. Die maximale Vertragslaufzeit beträgt 8 Jahre. Ein GRC-Tool ist eine Softwarelösung, die Organisationen unterstützt, ihre Governance-, Risiko- und Compliance-Prozesse digital zu verwalten und zu überwachen. Das GRC-Tool muss helfen, Risiken zu identifizieren, zu bewerten und zu mitigieren sowie die Einhaltung gesetzlicher Vorschriften und technischer Standards wie ISO 27001 und BSI IT-Grundschutz zu gewährleisten. Das GRC-Tool muss folgende Module enthalten: - IT-Sicherheitsmanagement (ISMS) - Datenschutzmanagement (DSMS) - Risikomanagement - Betriebliches Kontinuitätsmanagement (BMC). Das GRC-Tool muss den beteiligten Hochschulen ermöglichen, interne Richtlinien zu implementieren. Die beteiligten Hochschulen müssen über das GRC-Tool miteinander kommunizieren können. Zu Beginn der Vertragslaufzeit gibt es ein Onboarding der Hochschulen. Der Auftragnehmer muss Schulungspläne für die Gruppe der Nutzenden an den Hochschulen erstellen. Diese sind insbesondere die Informationssicherheitsbeauftragten/Chief Information Security Officer, Business- Continuity-Beauftragten, Datenschutzkoordinator:innen, sowie deren Stellvertretende und Mitarbeitende. Die TU Dortmund verfügt für sämtliche Leistungen gemäß der Leistungsbeschreibung für die Vertragslaufzeit von 4 Jahren (ohne Verlängerung) insgesamt über ein Budget in Höhe von maximal EUR 1,6 Mio. (netto). Die TU Dortmund behält sich vor, Angebote, die diesen Kostenrahmen überschreiten, vom Vergabeverfahren auszuschließen sowie das Verfahren aufzuheben, sollten ausschließlich Angebote oberhalb des jeweiligen Kostenrahmens eingehen. Einzelheiten ergeben sich aus dem Vertragsentwurf mitsamt Anlagen (Anlage 2 zur AzA) und der Leistungsbeschreibung (Anlage 1 zum Vertrag, Anlage 2 zur AzA).