Ein Verhandlungsverfahren ohne Teilnahmewettbewerb ist nach § 14 Abs. 4 Nr. 2 lit. b), Abs. 6 VgV zulässig.
Nach dieser Norm darf ein öffentlicher Auftraggeber Aufträge im Wege des Verhandlungsverfahrens ohne Teilnahmewettbewerb vergeben, wenn zum Zeitpunkt der Aufforderung zur Abgabe von Angeboten nur ein bestimmtes Unternehmen den Auftrag erbringen oder bereitstellen kann, weil aus technischen Gründen kein Wettbewerb vorhanden ist. Zudem darf es keine vernünftige Alternative oder Ersatzlösung geben und der mangelnde Wettbewerb nicht das Ergebnis einer künstlichen Einschränkung der Auftragsvergabeparameter sein.
Der Auftraggeber kam im Rahmen der Markterkundung zu dem Ergebnis, dass ausschließlich die secunet Security Networks AG (secunet) den Auftragsgegenstand beschaffen kann. Allein secunet kann mit der "Sichere Inter-Netzwerk-Architektur" (SINA) eine Hochsicherheitsinfrastruktur anbieten, die folgende Anforderungen zugleich erfüllt:
- Schutzbedarf "sehr hoch",
- vom BSI zugelassenes Gesamtsystem (Hard- und Software),
- multigastfähig (parallele Nutzung von mindestens zwei Arbeitsplatzumgebungen mit unterschiedlichen Sicherheits-/Vertraulichkeitsanforderungen auf einem Endgerät nebeneinander, gleichzeitig und voneinander abgekapselt)
- hinsichtlich der Vertraulichkeitsstufen skalierbar (von VS-NfD bis GEHEIM) und
- integrierbar (in bereits bestehende IT-Infrastrukturen unabhängig vom bestehenden Sicherheitsniveau und von einer PKI).
Die Negativvoraussetzungen nach § 14 Abs. 6 VgV sind nicht gegeben. Vernünftige Alternativen oder Ersatzlösungen gibt es nicht. Der mangelnde Wettbewerb ist auch nicht das Ergebnis einer künstlichen Einschränkung der Auftragsvergabeparameter.
SINA ist anderen Hochsicherheitsinfrastrukturen nicht lediglich in einzelnen Merkmalen überlegen, sondern stellt die einzige Möglichkeit dar, den Beschaffungsbedarf unter Berücksichtigung der informationssicherheitstechnischen Vorgaben durch das BSI zu decken. Der Auftraggeber hat SINA als sichersten Weg zur Vermeidung von Fehlfunktionen der Hochsicherheitsinfrastruktur gewählt. Insbesondere die getrennte Beschaffung der erforderlichen Komponenten für die Hochsicherheitsinfrastruktur - Hard- und Software sowie Nebenleistungen bzw. unterschiedliche Lösungen pro Vertraulichkeitsstufe - ist keine vernünftige Alternative zu der einheitlichen Beschaffung, da sich hierdurch das Risikopotenzial für Fehlfunktionen, Schnittstellenrisiken und Kompatibilitätsprobleme deutlich erhöht.
In der Migrationsverwaltung werden sehr sensible Daten, darunter biometrische Daten, Gesundheitsdaten und Informationen zur ethnischen Herkunft, verarbeitet. Zudem werden Informationen über den Aufenthaltsstatus von Personen verarbeitet, deren Offenlegung die Sicherheit und das Leben der Betroffenen gefährden kann, insbesondere bei politisch Verfolgten oder Geflüchteten. In diesen Bereichen ist die Informations- und Systemsicherheit besonders wichtig, um die Integrität und Vertraulichkeit der sensiblen Daten zu gewährleisten und die Rechte und Sicherheit der betroffenen Personen zu schützen. Daher darf die Informations- und Systemsicherheit, insbesondere der zugrunde liegenden besonders sensiblen Daten, nicht beeinträchtigt werden, indem der Auftraggeber auf die dafür erforderlichen oben dargestellten Anforderungen an die Hochsicherheitsinfrastruktur verzichtet und Sicherheitslücken zwischen den verschiedenen Komponenten oder Fehlfunktionen in Kauf nimmt.
Der Auftraggeber hat das Vergabeverfahren nicht in der Absicht konzipiert, secunet zu bevorzugen oder andere Unternehmen zu benachteiligen. Der Auftraggeber hat nicht "künstlich" den Auftragsgegentand eingeschränkt oder bestimmte Parameter festgelegt. Vielmehr hat der Auftraggeber die Anforderungen an die Hochsicherheitsinfrastruktur sachlich und fachlich erarbeitet. Der Auftraggeber hat die Entscheidung, eine einheitliche Hochsicherheitsinfrastruktur zu beschaffen, die die dargestellten Anforderungen erfüllt, allein aus sachlichen Gründen getroffen. Die Ausländerbehörden sind nach § 14 VSA NRW verpflichtet, Daten, die der VSA unterliegen, durch ein vom BSI zugelassenes IT-Sicherheitsprodukt bzw. -system zu verarbeiten. Zudem hat der Auftraggeber mit SINA als Gesamtsystem den sichersten Weg zur Vermeidung von Fehlfunktionen gewählt. Die Entscheidung des Auftraggebers, eine multigastfähige Hochsicherheitsinfrastruktur zu beschaffen, beruht ebenfalls nur auf sachlichen Gründen. Die Hochsicherheitsinfrastruktur für die Migrationsverwaltung muss multigastfähig sein, da die Ausländerbehörden aufgrund ihrer unterschiedlichen Aufgabenbereiche parallel Anwendungsfälle mit unterschiedlichen Sicherheitsanforderungen auf einem Endgerät bearbeiten können müssen. Zentraler Vorteil der Multigastfähigkeit in Hochsicherheitsinfrastrukturen wie SINA ist, dass der Nutzer auf einem einzigen Endgerät gleichzeitig verschiedene voneinander abgeschottete Arbeitsumgebungen ("Gäste" oder Sicherheitsdomänen) betreiben kann. Der Nutzer kann - abhängig vom eingesetzten Produkt - auf derselben Hardware an Anwendungsfällen mit unterschiedlichen Vertraulichkeitsstufen (skalierbar - z.B. offen, VS-NfD, GEHEIM) sicher, aber strikt voneinander getrennt, arbeiten. Dadurch können die Nutzer alle in ihrem Bereich auftretenden unterschiedlichen Anwendungsfälle, unabhängig von der Vertraulichkeitsstufe, auf einem Endgerät bearbeiten. Die Mitarbeitenden müssen nicht für jede Vertraulichkeitsstufe einen separaten Rechner nutzen. Folgende in der Migrationsverwaltung typische Anwendungsfälle verdeutlichen, dass die Hochsicherheitsinfrastruktur multigastfähig sein muss: - Session 1 internes Behördennetzwerk (Zugriff auf Arbeitsbereich), Session 2 für Internet (z.B. Videokonferenzen), Session 3 künftig auf andere Sicherheitsdomänen (z.B. Bundesregisterportal). Die Hochsicherheitsinfrastruktur muss integrierbar sein, da nur so die bestehende sehr heterogene IT-Landschaft der Ausländerbehörden standardisiert werden kann.