Security Operations Center, gebundene Ausgabe, Vergabe

Auszug aus dem Protokoll des Regierungsrates des Kantons Zürich Sitzung vom 30. September 2020

965. Security Operations Center (Ausgabenbewilligung, Vergabe)

Erwägungen

1. Ausgangslage Der Regierungsrat hat mit Beschluss Nr. 383/2018 eine neue kanto- nale IKT-Strategie festgelegt und die Finanzdirektion mit deren Umset- zung beauftragt. Die IKT-Strategie wird in einem Programm mit zwölf Projekten umgesetzt (vgl. RRB Nr. 625/2019). Eine der zentralen strate- gischen Stossrichtungen bildet das verwaltungsweite Management der IKT-Sicherheit (Ziff. 3.6 der IKT-Strategie). Dazu wird auch eine opera- tive IKT-Sicherheitsstelle, das sogenannte «Security Operations Center (SOC)», im Amt für Informatik (AFI) aufgebaut. Für den Betrieb des SOC und weitere Dienstleistungen in der operati- ven Informationssicherheit, insbesondere die Weiterentwicklung des SOC, ist externe Unterstützung erforderlich (vgl. RRB Nr. 625/2019, Ziff. 3.4).

2. Öffentliche Ausschreibung und Vergabe Am 1. Juni 2020 wurde die Ausschreibung «Managed Security Ser- vices für SOC» im offenen Verfahren im Staatsvertragsbereich auf der Plattform simap.ch publiziert. Interessierte Unternehmen haben die Aus- schreibungsunterlagen nach Unterzeichnung einer Vertraulichkeitserklä- rung erhalten. Der Leistungsbezug ist in zwei Varianten möglich: In der Variante 1 wird die SOC-Anwendung in den Rechenzentren des Kantons durch die Leistungserbringerin betrieben; in der Variante 2 werden nur die Log- Daten lokal verwaltet und die SOC-Anwendung als Service von der Leis- tungserbringerin bezogen. Angebote waren für eine der Varianten oder für beide Varianten zulässig. Bis zur Eingabefrist am 13. Juli 2020 sind zehn Angebote eingegan- gen; neun für die Variante 1 und eines für die Variante 2. Das einzige An- gebot für Variante 2 umfasst eine technisch wenig passende und unwirt- schaftliche Lösung, womit eine Grundsatzdiskussion zur Variantenwahl entfällt. Bei der Bewertung der Variante 1 erreichte die ISPIN AG, Bassersdorf, die höchste Punktzahl. Ihr Angebot ist damit das wirtschaftlich güns- tigste und erhält den Zuschlag.

Mit der Zuschlagsempfängerin wird ein Rahmenvertrag abgeschlos- sen, der die übergreifenden Elemente der Zusammenarbeit regelt. Ge- stützt auf diesen Rahmenvertrag werden Einzelverträge abgeschlossen. Verträge für wiederkehrende Betriebsleistungen können mit einer Lauf- zeit von vier Jahren abgeschlossen und optional viermal um ein Jahr ver- längert werden. Ob die Vertragsverlängerung beansprucht wird, ent- scheidet die Vergabestelle zu gegebener Zeit. Zusätzlich werden zwei ausgeschriebene optionale Leistungen vergeben: eine Lösung zum Schutz von Endgeräten (Option 2) und ein Schwachstellenscanner, um Sicher- heitslücken in der IKT-Infrastruktur zu erkennen (Option 3).

3. Finanzielles Für die Vergaben werden einzelne Ausgaben ausserhalb des Pro- gramms zur Umsetzung der kantonalen IKT-Strategie bewilligt (vgl. RRB Nrn. 492/2020 und 623/2020). Der Leistungsbezug und damit auch die Vertragslaufzeit sind vom Programm und von anderen Beschaffun- gen wie der IKT-Grundversorgung unabhängig, sodass sie nicht als Ein- heit betrachtet werden müssen (§ 40 Gesetz über Controlling und Rech- nungslegung [CRG, LS 611]). Die Weiterentwicklung des SOC richtet sich nach den künftigen Be- dürfnissen und Bedrohungslagen, sodass derzeit nur Schätzungen mög- lich sind. Aus diesem Grund wird eine Reserve für Unvorhergesehenes berücksichtigt. in Franken Angebot der Zuschlagsempfängerin (einschliesslich 7,7% MWSt) 4 389 518 rund 10% Reserve 410 482 Total Ausgaben einschliesslich Reserven 4 800 000 Für die Vergabe ist eine gebundene Ausgabe von 4,8 Mio. Franken zu bewilligen. Professionelle SOC-Services gehören zur zeitgemässen Ver- waltungstätigkeit und sichern die eingesetzten Sachmittel zur Erfül- lung der gesetzlich vorgeschriebenen Aufgaben (§ 37 Abs. 2 lit. a CRG). Mit der fortschreitenden Digitalisierung vergrössern sich die Angriffs- flächen und damit auch die Risiken für die Sicherstellung der Aufgaben- erfüllung des Kantons. In solchen Bedrohungslagen sind neben Präven- tion ein schnelles Erkennen und Reagieren auf Vorfälle unabdingbar. Die Ausgabe geht zulasten der Erfolgsrechnung. Sie enthält neben Projekt- und Betriebsleistungen auch die Softwarelizenzen, die monat- lich abhängig von der benötigten Stückzahl vergütet werden. Die Hard- ware stellt das AFI in den eigenen Rechenzentren gestützt auf die Ver- gabe zur Backend-Infrastruktur bereit (RRB Nr. 492/2020).

Nach verschiedenen Vorarbeiten ist die Betriebsübernahme durch die Zuschlagsempfängerin im Verlaufe des Jahres 2021 für vier Jahre ge- plant. Der entsprechende Mittelbedarf ist in den Folgejahren nur teil- weise gedeckt. Die in der Leistungsgruppe Nr. 4610, Amt für Informa- tik, eingestellten Mittel reichen für die Jahre 2020 (Budget 2020) und 2021 (Budgetentwurf 2021 und Konsolidierter Entwicklungs- und Fi- nanzplan [KEF] 2021–2024). Für die weiteren Jahre wird das AFI im KEF 2022–2025 die zusätzlich benötigten Mittel einstellen. 2020 2021 2022 2023 2024 2025 Mittelbedarf pro Jahr 25 000 740 000 910 000 1 000 000 1 300 000 820 000 Budget 2020; Budgetentwurf 40 000 745 000 445 000 445 000 445 000 2021 und KEF 2021–2024 Abweichung –15 000 –5 000 465 000 555 000 855 000 820 000 (–Minderbedarf; +Mehrbedarf)

4. Gremien Das Gremium Steuerung Digitale Verwaltung und IKT (SDI) hat den vorliegenden Antrag an seiner Sitzung vom 23. September 2020 zuhan- den des Regierungsrates vorberaten und diesem zugestimmt.

Dispositiv

Auf Antrag der Finanzdirektion beschliesst der Regierungsrat:

I. Die «Managed Security Services für SOC» werden gemäss Angebot vom 10. Juli 2020 zu Fr. 4 389 518 an die ISPIN AG, Bassersdorf, vergeben. Die Vergabesumme kann sich für Unvorhergesehenes auf Fr. 4 800 000 erhöhen.

II. Für die «Managed Security Services für SOC» wird eine gebun- dene Ausgabe von Fr. 4 800 000 zulasten der Erfolgsrechnung der Leis- tungsgruppe Nr. 4610, Amt für Informatik, bewilligt.

III. Dieser Beschluss ist bis zur Veröffentlichung des Zuschlags auf simap.ch nicht öffentlich.

IV. Mitteilung an die Finanzdirektion.

Vor dem Regierungsrat Die Staatsschreiberin:

Kathrin Arioli