Ausschreibungssuche

Projekt 507: "Künstliche Intelligenz" zur Verbesserung der Cybersicherheit von industriellen Steuerungsnetzwerken (KI in ICS-Netzwerken)

P 507

IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung (72000000)

Dienstleistungen

Unternehmen mit verfahrenstechnischen Anlagen (z.B. Chemie) sowie diskreten Fertigungsanlage (Fabrikautomation,

Einzelstückfertigung, Werkzeugmaschinen) aber auch Gebäudeleittechnik (folgend zusammengefasst

unter dem Begriff Operational Technology (OT)) unterscheiden sich von klassischer Bürokommunikation

hinsichtlich der verwendeten Protokolle und Gerätelebenszyklen. Außerdem können die Konsequenzen

ihres Ausfalls, größer sein. Diese können von Verlust von Produktionsgütern über Zerstörung von

Anlagen bis zum Verlust von Menschenleben gehen. Darüber hinaus kann der Ausfall von Kritischen Infrastrukturen,

die zum Großteil auch OT verwenden, gravierend für das Gemeinwohl sein. Zudem fordert das

IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0) vom 28.5.2021 den Einsatz speziellen Systemen zur Angriffserkennung.

Gezielte Angriffe in der OT sind aktuell jedoch schwerer zu detektieren als in der klassischen IT. Gründe

dafür sind unter Anderem:

- Den Betreibern von industriellen Anlagen fehlt es oftmals an essentieller Übersicht über ihr OT-Inventar

- Die klassischen Informationsquellen (syslog, WEF, ...) fehlen oder werden nur vereinzelt ausgewertet

- Die aus der klassischen IT bekannten Regeln und Signaturen zur Angriffserkennung sind oftmals nicht in

die Systeme der OT integrierbar oder detektieren aufgrund der OT-Besonderheiten verdächtige Ereignisse

nicht zuverlässig.

Ein Vorteil bei OT-Netzwerken ist, dass die Kommunikation zwischen den Komponenten und Maschinen

stattfindet und vergleichsweise wenigen dynamischen Änderungen unterliegt. Es ist davon auszugehen, dass

eine auf Anomalien basierende Angriffserkennung in OT-Netzwerken durch lernende Systeme einen sehr

großen Zugewinn an IT-Sicherheit für eine sehr breite Anwendergruppe schaffen kann.

Die Ergebnisse aus der Grundlagenforschung sollen in ein Open-Source-Framework überführt und somit

einem breiten Anwenderfeld zur Verfügung gestellt werden.

IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung (72000000)

Bonn, Kreisfreie Stadt (DEA22, NUTS 3)

Beim Auftragnehmer

Das Projekt wendet KI-Methoden zur Geräte Identifikation und Charakterisierung aus passiven Netzwerkmitschnitten (PCAPS) an. Dabei wird nach einer Implementierungsphase mittels öffenltichen PCAPS, eine Testphase anhand realer Anlagendaten verwendet. Aus der Analyse der PCAPS wird automatisch eine Gerätedatenbank generiert, welche beispielsweise für ein Schwachstellenmanagement verwendet werden kann. Zudem findet eine Analyse des Kommunikationsverhaltens statt. Es wird untersucht, ob sich daraus grundsätzliche Verhaltensmuster für Gerätegruppen ableiten lassen.

Wesentliche Meilensteine des Projektes sind:

- Geräteerfassung in einer dynamisch erweiterbaren Datenbank

- Gerätecharakterisierung mittels KI-Methoden

- Evaluation zur Gerätecharakterisierung verwendeten Methoden

- Analyse eines Zusammenhangs von Verhaltensmustern und Gerätegruppen

- Workshop mit ausführlicher Produkteinweisung

Die Ergebnisse dienen als Grundlage für Anomalieerkennungsysteme sowie zur Erfassung der Endgeräte in einer Anlage. Die erstellten Programme sind daher als Open Source zu veröffentlichen, um die Anwendung einem großen Teilnehmerkreis zur Verfügung zu stellen.

Laufzeit in Monaten:9

nein

nein

I.Ausschluss eines Interessenskonflikts

Bestätigen Sie, dass weder Sie noch Ihre Partner im Fall einer Bietergemeinschaft noch ggf. Unterauftragnehmer Interessen haben, die mit der Ausführung der Leistungen dieses Projekts im Widerspruch stehen und die sich ggf. nachteilig auf das Projektergebnis auswirken könnten? Eingeschlossen von dieser Bestätigung ist das bei dem Projekt eingesetzte Personal.

Bitte mit „JA“ oder „NEIN“ beantworten.

Ein Interessenskonflikt liegt beispielsweise bei einer Verpflichtung gegenüber oder Kooperation mit dem Hersteller eines untersuchten Produkts oder durch eine sonstige wirtschaftliche Abhängigkeit vom genannten vor.

Mindestanforderung: Wurde die Frage mit „Nein“ beantwortet (es besteht ein Interessenskonflikt), so erläutern Sie den Konflikt und stellen Sie dar, wie Sie ihn auflösen wollen. Das Angebot kann in diesem Fall nur berücksichtigt werden, wenn der beschriebene Lösungsansatz vom BSI als ausreichend beurteilt wird.

Führen Sie im Angebot lediglich den Titel des Kriteriums sowie Ihre Antwort auf. Verzichten Sie auf die wörtliche oder sinngemäße Zitierung des Kriteriums.

II. Referenzen zu industriellen Netzwerkanalysen

Legen Sie geeignete Referenzen der beteiligten Unternehmen vor. Referenzen sind geeignet, wenn die der Referenz zu Grunde liegenden Projekte hinsichtlich der fachlichen und technischen Leistungsfähigkeit im Wesentlichen ähnliche Anforderungen an die Unternehmen gestellt haben wie die ausgeschriebene Leistung. Dies ist bei der vorliegenden Ausschreibung insbesondere gegeben, bei Erfahrungen mit der Untersuchung von Netzwerkmitschnitten hinsichtlich der Identifikation und Charakterisierung von Geräten im industriellen Umfeld.

Im Wege der Referenzen ist daher nachzuweisen, dass die beteiligten Unternehmen bereits Erfahrungen in den folgenden Erfahrungsbereichen gesammelt haben:

1. Netzwerkanalyse von industriellen Datenverkehr

2. Erfahrungen mit Assetmanagementsoftware

Gehen Sie bei der Erstellung des Referenznachweises auf die folgenden Punkte ein:

Auftraggeber inkl. Fachbereich

(detaillierte) Darstellung des Auftragsgegenstands / der Tätigkeit

Umfang / Betroffener Erfahrungsbereich

Dauer

Auftragsvolumen

Die Darstellung sollte eine DIN A4-Seite pro Referenzprojekt nicht überschreiten.

Es werden keine Referenzschreiben früherer Auftraggeber benötigt.

Mindestanforderungen: Insgesamt sind mindestens drei geeignete Referenzen vorzulegen. Alle Erfahrungsbereiche müssen durch geeigneten Referenzen belegt werden, wobei eine Referenz zur Abdeckung mehrerer Bereiche herangezogen werden darf.

III. Referenzen zu künstlichen Intelligenz

Legen Sie geeignete Referenzen der beteiligten Unternehmen vor. Referenzen sind geeignet, wenn die der Referenz zu Grunde liegenden Projekte hinsichtlich der fachlichen und technischen Leistungsfähigkeit im Wesentlichen ähnliche Anforderungen an die Unternehmen gestellt haben wie die ausgeschriebene Leistung. Dies ist bei der vorliegenden Ausschreibung insbesondere gegeben, bei Erfahrungen mit KI-Lösungen zur Analyse von Netzwerkdaten.

Gehen Sie bei der Erstellung des Referenznachweises auf die folgenden Punkte ein:

Auftraggeber inkl. Fachbereich

(detaillierte) Darstellung des Auftragsgegenstands / der Tätigkeit

Umfang / Betroffener Erfahrungsbereich

Dauer

Auftragsvolumen

Die Darstellung sollte eine DIN A4-Seite pro Referenzprojekt nicht überschreiten.

Es werden keine Referenzschreiben früherer Auftraggeber benötigt.

Mindestanforderungen: Insgesamt sind mindestens drei geeignete Referenzen vorzulegen. Alle Erfahrungsbereiche müssen durch geeigneten Referenzen belegt werden, wobei eine Referenz zur Abdeckung mehrerer Eignungskriterien herangezogen werden darf.

IV. Referenzen zu Softwareentwicklung

Aus den Ausführungen müssen sich Rückschlüsse auf die Leistungsfähigkeit des Bieters / der Bietergemeinschaft (ggf. unter Einbeziehung eines Unterauftragnehmers (Eignungsleihe)) bei Projekten mit oben genanntem Schwerpunkt ziehen lassen. Die Darstellung sollte zwei DIN A4-Seite pro Referenzprojekt nicht überschreiten.

Gehen Sie bei der Erstellung des Referenznachweises auf die folgenden Punkte ein:

Gewährleistung der Codequalität

Darstellung des Auftragsgegenstands / der Tätigkeit

Verwendung von Programmen zur Softwareentwicklung und Softwarekontrolle

Verwendete Programmiersprachen

Dauer

Es werden keine Referenzschreiben früherer Auftraggeber benötigt.

Mindestanforderung: Benennung und Beschreibung von mindestens zwei geeigneten Referenzen.

Referenzen sind geeignet, wenn die der Referenz zu Grunde liegenden Projekte hinsichtlich der fachlichen und technischen Leistungsfähigkeit im Wesentlichen ähnliche Anforderungen an die Unternehmen gestellt haben wie die ausgeschriebene Leistung.

V. Qualitätsmanagement

Bitte stellen Sie das Qualitätsmanagement Ihres Unternehmens dar. Machen Sie bitte auch Angaben zu Zertifizierungen, die Ihr Unternehmen erworben hat.

Mindestanforderung: Es ist ein Qualitätsmanagement etabliert und dokumentiert und kann nachgewiesen werden.

Ausführungsbedingungen gemäß Auftragsunterlagen

Verpflichtung zur Angabe der Namen und beruflichen Qualifikationen der Personen, die für die Ausführung des Auftrags verantwortlich sind

Offenes Verfahren

nein

09.11.2021

14:00

• Deutsch (DE)

3 (ab dem Schlusstermin für den Eingang der Angebote)

09.11.2021

14:00

Unternehmen haben Anspruch darauf, dass das BSI die Bestimmungen über das Vergabeverfahren einhält, vgl. § 97 Abs. 6 Gesetz gegen Wettbewerbsbeschränkungen (GWB). Rechte aus § 97 Abs. 6 GWB sowie sonstige Ansprüche gegen das BSI, die auf die Vornahme oder das Unterlassen einer Handlung in einem Vergabeverfahren gerichtet sind, können nur vor den

Vergabekammern und dem Beschwerdegericht geltend gemacht werden, § 156 Abs. 2 GWB. Die Vergabekammer leitet ein Nachprüfungsverfahren nur auf Antrag ein, § 160 Abs. 1 GWB.

Es wird darüber belehrt, dass ein solcher Nachprüfungsantrag gemäß § 160 Abs. 3 Satz 1 GWB unzulässig ist, soweit

1. der Antragsteller den geltend gemachten Verstoß gegen Vergabevorschriften vor Einreichen des Nachprüfungsantrags erkannt und gegenüber dem BSI nicht innerhalb einer Frist von zehn Kalendertagen gerügt hat; der Ablauf der Frist nach § 134 Absatz 2 GWB bleibt unberührt,

2. Verstöße gegen Vergabevorschriften, die aufgrund der Bekanntmachung erkennbar sind, nicht spätestens bis zum Ablauf der in der Bekanntmachung benannten Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem BSI gerügt werden,

3. Verstöße gegen Vergabevorschriften, die erst in den Vergabeunterlagen erkennbar sind, nicht spätestens bis zum Ablauf der Frist zur Bewerbung oder zur Angebotsabgabe gegenüber dem BSI gerügt werden,

4. mehr als 15 Kalendertage nach Eingang der Mitteilung des BSI, einer Rüge nicht abhelfen zu wollen, vergangen sind.

Die o.g. vier Unzulässigkeitsgründe gelten gemäß § 160 Abs. 3 Satz 2 GWB nicht bei einem Antrag auf Feststellung der Unwirksamkeit des Vertrags nach § 135 Abs. 1 Nr. 2 GWB. § 134 Abs. 1 Satz 2 GWB bleibt unberührt.