Rahmenverträge für den Expertenpool operative Informationssicherheit, Vergabe

Auszug aus dem Protokoll des Regierungsrates des Kantons Zürich Sitzung vom 10. September 2025

909. Rahmenverträge für den Expertenpool operative

Erwägungen

Informationssicherheit (Vergabe)

I. Ausgangslage Die Allgemeine Informationssicherheitsrichtlinie (AISR) dient der Umsetzung der rechtlichen Vorgaben zur Informationssicherheit. Ziel der AISR ist es, die Informationssicherheit in der gesamten kantonalen Verwaltung nachhaltig und wirtschaftlich zu verbessern und ein durch- gehend risikoadäquates Sicherheitsniveau zu erreichen. Zur Konkretisierung wurden Besondere Informationssicherheits- richtlinien (BISR) erarbeitet, die sich an der international anerkannten Norm ISO/IEC 27002 und deren 93 Massnahmen orientieren. Diese decken organisatorische, personelle, physische und technologische As- pekte ab. Die Umsetzung der BISR erfolgt in den Direktionen und der Staatskanzlei durch intern verantwortete Projekte. Zur Unterstützung bei der konkreten Umsetzung dieser Anforde- rungen wird ein Expertenpool mit Fokus auf operative Informations- sicherheit aufgebaut. Dieser Pool soll ermöglichen, bei Bedarf speziali- sierte Unternehmen beizuziehen, um technische und organisatorische Sicherheitsmassnahmen in den Direktionen und der Staatskanzlei gezielt umzusetzen.

II. Submission Die Ausschreibung erfolgte im offenen Verfahren im Staatsvertrags- bereich und wurde am 17. Februar 2025 auf simap.ch publiziert. Das Vergabeverfahren wurde als Losausschreibung durchgeführt und um- fasste vier Lose: Los 1 Application Security Das Los «Application Security» umfasst die Anforderungen an die Expertise im Themengebiet der Applikationssicherheit von eingekauf- ten und selbstentwickelten Applikationen. Es umfasst Projektleitung, Projektmitarbeit, Beratung und Schulung. Los 2 PKI Das Los «PKI» umfasst Beratungsdienstleistungen im Bereich Pub- lic Key Infrastructure (PKI) mit Schwerpunkt auf cloudbasierten und hybriden PKI-Architekturen. Ziel ist es, die kantonale Verwaltung bei der sicheren Planung, Gestaltung und Migration von PKI-Systemen in Cloud-Umgebungen oder in hybriden Szenarien (Kombination von On-

Premise und Cloud) zu unterstützen. Der Fokus liegt auf der Entwick- lung einer zukunftssicheren PKI-Lösung unter Berücksichtigung von Skalierbarkeit, Sicherheit und regulatorischen Anforderungen. Los 3 Operative IT-Sicherheit Das Los «Operative IT-Sicherheit» umfasst die Anforderungen an das Penetration Testing und das Verbessern und Entwickeln von Erken- nungs- und Automatisierungsregeln im Bereich Security Operation Cen- ter (SOC). Es umfasst sowohl das Testing und die Auswertung der Er- gebnisse als auch das Consulting zum Verbessern der Erkennungsme- thoden und zur Weiterentwicklung des SOC-Service. Los 4 AD und EntraID Das Los «AD und EntraID» umfasst die Unterstützung und Bera- tung in den Bereichen Active Directory und EntraID, einschliesslich Systemarchitektur, Netzwerkanforderungen und Identitätssynchronisa- tion. Zudem umfasst es die Mitwirkung bei der Überarbeitung bestehen- der Plattformen, Prozessoptimierung durch Automatisierung sowie die Identifizierung technischer und sicherheitsrelevanter Aspekte. Bis zur Eingabefrist am 31. März 2025 sind insgesamt 61 Angebote von 27 Unternehmen eingegangen. In sämtlichen Losen sind drei Zuschlagsempfängerinnen und -emp- fänger vorgesehen, damit die Abhängigkeit von einer oder einem An- bietenden ausgeschlossen werden kann. Ferner war den Anbietenden freigestellt, für wie viele Lose sie sich bewerben. Die Evaluation der eingereichten Angebote ergab, dass die folgenden Unternehmen die Zuschlagskriterien in den einzelnen Losen am besten erfüllen und ihnen somit der Zuschlag zu erteilen ist: Los Schätzung Vergabewert Personentage über fünf Jahre in Franken 1 Application Security 1925 3 264 800 Elca Informatik SA, Pully 3 264 800 Angebot vom 28. März 2025 Protect7 GmbH, Zürich 3 203 200 Angebot vom 31. März 2025 ti&m AG, Zürich 2 847 460 Angebot vom 28. März 2025 2 PKI 3257 5 272 056 baseVISION AG, Olten 5 257 811 Angebot vom 27. März 2025 libC Technologies SA, Lausanne 4 835 313 Angebot vom 28. März 2025 Swisscom Trust Services AG, Zürich 5 272 056 Angebot vom 28. März 2025

Los Schätzung Vergabewert Personentage über fünf Jahre in Franken 3 Security Operative IT-Sicherheit 1045 2 090 000 baseVISION AG, Olten 1 717 060 Angebot vom 27. März 2025 Compass Security Schweiz AG, Rapperswil 2 090 000 Angebot vom 24. März 2025 Redguard AG, Bern 1 546 600 Angebot vom 27. März 2025 4 AD und EntraID 2460 4 042 075 Abraxas Informatik SA, Zürich-Flughafen 3 601 440 Angebot vom 31. März 2025 baseVISION AG, Olten 4 042 075 Angebot vom 27. März 2025 Isolutions AG, Bern 3 882 569 Angebot vom 28. März 2025 Total über alle Lose 14 668 931 Mit den insgesamt zwölf Zuschlagsempfängerinnen (zehn Unterneh- men) wird je ein Rahmenvertrag mit einer Laufzeit von 24 Monaten abgeschlossen. Der Auftraggeber kann den Vertrag optional dreimal um jeweils zwölf Monate verlängern. Die Vertragsdauer beträgt somit längstens 60 Monate. Die konkreten Leistungen können gemäss dem in den Ausschrei- bungsdokumenten definierten Verfahren bei einer oder mehreren Rah- menvertragspartnerinnen bezogen werden. Mit dem Abschluss der Rah- menverträge entsteht weder eine Abnahmepflicht für den Kanton Zürich noch eine Leistungspflicht für die Vertragspartnerinnen.

III. Finanzierung und Bezug Aus den eingereichten Angebotspreisen ergibt sich über die nächsten fünf Jahre ein Gesamtvolumen von Fr. 14 668 931 (Vertragslaufzeit von 24 Monaten mit optionaler dreimaliger Verlängerung um jeweils zwölf Monate, was eine Vertragsdauer von längstens 60 Monaten ergibt). Der Betrag entspricht dem Höchstbetrag der Vergabe über alle Lose hinweg. Die Bewilligung der Ausgaben erfolgt im Einzelfall und im Hinblick auf einen konkreten Leistungsbezug entsprechend den internen Ausgaben- kompetenzen der jeweiligen Direktion und der Staatskanzlei.

Dispositiv

Auf Antrag der Finanzdirektion beschliesst der Regierungsrat:

I. Die Zuschläge im Expertenpool operative Informationssicherheit werden im Sinne der Erwägungen wie folgt vergeben: Los 1 – Application Security zu Fr. 3 264 800 an: – Elca Informatik SA, Pully – Protect7 GmbH, Zürich – ti&m AG, Zürich Los 2 – PKI zu Fr. 5 272 056 an: – baseVISION AG, Olten – libC Technologies SA, Lausanne – Swisscom Trust Services AG, Zürich Los 3 – Operative IT-Sicherheit zu Fr. 2 090 000 an: – baseVISION AG, Olten – Compass Security Schweiz AG, Rapperswil – Redguard AG, Bern Los 4 – AD und EntraID zu Fr. 4 042 075 an: – Abraxas Informatik SA, Zürich-Flughafen – baseVISION AG, Olten – Isolutions AG, Bern

II. Dieser Beschluss ist bis zur Veröffentlichung des Zuschlags auf simap.ch nicht öffentlich.

III. Mitteilung an die Finanzdirektion.

Vor dem Regierungsrat Die Staatsschreiberin:

Kathrin Arioli