Öffentliche Ausschreibung zur Vergabe eines Rahmenvertrages für "Netzwerk- und Endgeräteschutz" im Rahmen des Digitalisierungsprogramms zusammen.digital - gemäß § 9 UVgO

I. Ausgangslage

Die Malteser befinden sich in einer Phase der Digitalisierung von vielen Geschäftsprozessen, auch in kritischen Bereichen wie dem Katastrophenschutz. Unser Ziel ist es die Möglichkeiten einer effizienten und modernen Zusammenarbeit gut nutzen zu können, gleichzeitig aber bestmöglich gegen Cyberbedrohungen geschützt zu sein. Die hierfür zur Verfügung stehenden Funktionen und Methoden in Microsoft 365 sollen daher für die Nutzer*innen der Malteser aktiviert und optimal konfiguriert sein.

Seit 2012 arbeiten die Malteser mit Office 365 / Microsoft 365 Diensten im Tenant maltesercloud.onmicrosoft.com. Im Tenant sind ca. 50.000 Nutzer*innen aktiv. Genutzt werden vor allem die klassischen Office 365-Dienste wie Exchange, Teams, SharePoint, OneDrive usw. Zudem werden in Teilen weitere Dienste wie Defender, Audio-Conferencing oder Multi-Faktor-Authentifizierung genutzt. Weitere Dienste wie Intune oder Windows Autopilot befinden sich zur Zeit im Roll Out.

Die aktuelle Lizenzierung umfasst Microsoft 365 E3 für Office/Information Worker sowie Office 365 F3 für Firstline Worker und wird über ein Enterprise Agreement Subscription (EAS)-Vertrag vorgenommen.

Zum 01.06.2023 wird eine Folge-EAS mit Microsoft wirksam, in dem die Lizenzierung wie folgt umgestellt wird:

Microsoft 365 E3 wird ersetzt durch Microsoft 365 E5

Office 365 F3 wird ersetzt durch Microsoft 365 F3

Durch diese Änderung in der Lizenzierung erhalten die Malteser Zugang zu sehr umfangreichen neuen Funktionen, vor allem im Bereich der IT-Sicherheit und IT-Compliance. Diese Funktionen sollen zur Verbesserung der Cyberresilienz der Malteser möglichst zügig eingeführt werden. Hierbei stehen vor alle Funktionen im Vordergrund, die eine hohe Sicherheitswirkung erzielen und möglichst wenig Aufwand im Bereich der Konzeption oder Konfiguration erfordern.

II. Leistungspakete und -beschreibung

Durch die o. g. Änderung der M365-Lizenzierung ergibt sich eine umfangreiche Liste (siehe Anhang "Arbeitspakete") neuer Funktionen und Dienste, die genutzt werden können. Diese Liste haben wir bereits hinsichtlich Ihres Nutzens und der Umsetzbarkeit bewertet und als Arbeitspakete darüber priorisiert.

Für jede/n Funktion/Dienst ist in der beigefügten Übersicht beschrieben

a) die Bezeichnung der Funktion

b) die Kurzbeschreibung der Funktion (Quelle: Microsoft)

c) der Nutzen oder die Verbesserung für die Malteser

d) die Relevanz für die Malteser

e) die Leistungsanforderung an den Anbieter

f) die Mitwirkung und/oder Beistellung durch die Malteser

g) die "Definition of Done", welche die Kriterien aufführt anhand derer die Erledigung des Arbeitspakets festgestellt wird

Zu jedem Arbeitspaket gibt der Anbieter (innerhalb des Anhangs "Arbeitspakete") an, welchen personellen Aufwand (in Tagen) er zur Umsetzung der Leistungsanforderung plant. Das Mengenrisiko trägt der Anbieter.

Die Malteser werden im Rahmen der Vergabe entscheiden, welche der Arbeitspakete im Rahmen des zur Verfügung stehenden Budgets beauftragt werden.

III. Vorgehen für die Durchführung

Durch den beigefügten Anhang wird der Auftrag in einzelne Positionen unterteilt. Diese sollen nach Priorisierung der Malteser bearbeitet werden.

Da die Malteser selbst dieses Jahr wenig bis keine personellen Ressourcen für die Aktivierung der genannten Funktionen/Dienste bereitstellen können, wird vom Anbieter eine selbstständige Umsetzung gefordert. Im Falle von Entscheidungsbedarf durch die Malteser (z. B. für Vorgaben zur Konfiguration zu Compliance-Funktionen), soll der Anbieter geeignete Vorschläge (aus der bewährten Praxis bei anderen Kunden, Standards, Herstellerempfehlungen) unterbreiten.

Auf Grund des engen Zeitplans werden sechs 4-wöchtige Sprints von Juli bis Dezember durchgeführt. Für jeden Sprint werden die zu erledigenden Arbeitspakete abgestimmt und ein Refinement der Anforderungen vorgenommen.

Die Malteser stellen hierfür einen Product Owner, der die Anforderungen der Malteser benennt und erforderliche Fragen zur konkreten Umsetzung klärt und beantwortet.

Die Ergebnisse des Anbieters werden in Sprint Reviews gemeinsam betrachtet und angenommen oder abgelehnt.

Für jedes Arbeitspaket erfolgt zum Abschluss die Übergabe einer entsprechenden Dokumentation (z. B. über die Konfiguration mit entsprechenden Screenshots) sowie ein Termin zum Wissenstransfer an die Malteser-Mitarbeiter, die die Lösung zukünftig betreuen.