Rechenzentrum-Outsourcing für Hamburgische Investitions- und Förderbank

Gegenstand der Ausschreibung ist das Outsourcing des Rechenzentrumsbetriebs der IFB Hamburg. Der Auftragnehmer (AN) wird die Bereitstellung, den Betrieb, die Wartung und die Überwachung von IT-Services im Rahmen eines Managed Services-Modells übernehmen. Ziel ist die Sicherstellung eines stabilen, sicheren, skalierbaren und wirtschaftlichen IT-Betriebs sowie dessen kontinuierliche Weiterentwicklung unter Berücksichtigung regulatorischer Anforderungen. Der Betrieb muss georedundant an zwei verschiedenen Rechenzentrumsstandorten erfolgen, die Georedundanz nach BSI erfüllen. Der AN ist für den Betrieb von Servern, Storage, Datenbanken und Applikationen zuständig, einschließlich Portalen für Endkunden. Die Erfüllung regulatorischer Anforderungen für eine Bank ist essenziell. Zusätzlich besteht die Möglichkeit, auf ein drittes Rechenzentrum des AN zuzugreifen, um die Resilienz zu erhöhen. Die WAN-Anbindung zwischen den Rechenzentren, zum AG-Standort und dessen Nebengebäude, einschließlich Internetanbindung, Perimeter Firewall und VPN-Verbindungen zu Partnern, ist ebenfalls Teil des Auftrags. Die ITSM-Tools des AG und AN sind zu koppeln und nach etablierten Standards zu betreiben, wobei der Datenbestand beim AG vorzuhalten ist. Die Betriebsprozesse des AN müssen sich an ITIL orientieren und standardisiert, prozessorientiert gesteuert und dokumentiert werden. Die Transition und Transformation zur Sicherstellung des geplanten Betriebs wird durch den AN geplant und durchgeführt. Optional kann der Betrieb der bestehenden Telefonanlage des AG, Collaboration-Lösungen wie Exchange Online oder SharePoint, sowie eine Mobile Device Management (MDM) Lösung beauftragt werden. Softwarelizenzen für Betriebssysteme, Standard- und Fachapplikationen werden vom AG bereitgestellt, während Lizenzen für Infrastrukturkomponenten vom AN bereitgestellt werden. Schnittstellen zum AN sind das SOC und SAP, die nicht Teil dieser Ausschreibung sind. Die sicherheitsrelevante Überwachung erfolgt durch ein externes SOC, mit dem der AN zusammenarbeitet. Der Anwenderhelpdesk, lokales LAN & Firewalls auf Applikationsebene, Anwenderhardware sowie Anwenderverwaltung und Rollen- und Rechtemanagement verbleiben beim AG, können aber Schnittstellen zum Vergabegegenstand haben. Der AN übernimmt die Betriebsverantwortung für alle physischen und virtuellen Server des AG. Er stellt eine zentrale, hochverfügbare, skalierbare, sichere und performante Speicherinfrastruktur bereit, die in georedundanten Rechenzentren betrieben wird und eine aktive Replikation kritischer Daten zur Sicherstellung der Business Continuity beinhaltet. Eine vollständig gemanagte Desktop-as-a-Service (DaaS)-Umgebung wird bereitgestellt, um eine standardisierte, sichere und performante Arbeitsumgebung für Nutzer zu gewährleisten. Der AN betreibt zentrale Fachanwendungen des AG in einer gemanagten Umgebung zur Sicherstellung von Verfügbarkeit, Sicherheit und Performance. Eine persistente Testumgebung, logisch vom Produktivsystem getrennt, wird bereitgestellt, um technische, funktionale und netzwerkbezogene Tests unter produktionsnahen Bedingungen zu ermöglichen. Diese Umgebung ist in das zentrale Monitoring und Backup eingebunden und umfasst ein dediziertes Testnetzwerk. Der AN betreibt einen oder mehrere Datenbankserver für den AG, auf denen ausgewählte Fachanwendungsdatenbanken konsolidiert und performant betrieben werden. Der Betrieb erfolgt gemäß SLAs mit Redundanz, georedundanter Spiegelung und Integration in zentrale Backup- und Monitoringprozesse. Die Plattformen werden vollumfänglich gewartet, dokumentiert und entsprechend regulatorischer Anforderungen abgesichert. Der AN verpflichtet sich zur Einhaltung aller für Banken relevanten regulatorischen und gesetzlichen Anforderungen, insbesondere DSGVO, DORA, MaRisk und BSI-Vorgaben. Der Betrieb muss revisionssicher, dokumentiert und auditierbar sein. Alle sicherheitsrelevanten Maßnahmen und Systemzustände sind nachvollziehbar zu dokumentieren. Der AN unterstützt aktiv Audits und stellt relevante Nachweise bereit. Der AN hat belastbare, aktuelle und umsetzbare Konzepte für Backup und Recovery, Sicherheitsmanagement, Monitoring, Betriebsführung und Notfallmanagement bereitzustellen, die im Einklang mit anerkannten Standards wie ISO/IEC 27001 oder BSI IT-Grundschutz stehen. Der AN muss über entsprechende Zertifizierungen verfügen und diese aufrechterhalten. Zur Sicherstellung einer hohen Servicequalität werden durch den AN definierte Leistungskennzahlen (KPIs) erhoben, Service Level Agreements (SLAs) eingehalten und vertraglich geregelte Maßnahmen bei Abweichungen umgesetzt. Der AN erstellt regelmäßige strukturierte Berichte zur Servicequalität, SLA-Einhaltung, Sicherheitslage und Systemauslastung. Die Mengenvolumina umfassen ca. 350 DaaS-Anwender, ca. 115 Clientapplikationen, ca. 53 Serverapplikationen, 88 TB Storage Kapazität und ca. 21 Datenbanken.