Erneuerung der Firewall-Architektur mit Managed Service

Die Kliniken der Stadt Köln gGmbH schreiben eine neue dezentrale Firewall-Landschaft inklusive Managed Service aus. Ziel der Ausschreibung ist die Migration des gesamten veralteten Fortinet-Firewall-Verbunds in eine neue moderne EAL4+ zertifizierte Fortinet-Infrastruktur. Zudem sollen neue lokale Layer-3 Strukturen pro Standort implementiert werden, die zur Standortabsicherung beitragen. Diese Migration hat während des laufenden Betriebes zu erfolgen und erlaubt lediglich geringste Ausfallzeiten aufgrund des klinischen 24/7 Betriebes. Neben der Lieferung und Inbetriebnahme der Komponenten, ist der Betrieb und der Service sowie die Wartung und betriebsbegleitende Konfiguration aller Komponenten (auch Standortfirewalls in den Außenstandorten) integraler Bestandteil dieser Ausschreibung. Der zu vergebende Auftrag hat eine Laufzeit von 36 Monaten für die Hardware- und Softwarewartung. Für die nach dieser Leistungsbeschreibung zum mangelfreien Betrieb der Firewall-Architektur zu erbringenden Leistungen, insbesondere Inbetriebnahme, Hardware und Projektmanagement gilt eine verbindliche Kostenobergrenze von 1.500.000 € brutto. Der Managed Service für 36 Monate ist von der verbindlichen Kostenobergrenze nicht erfasst. Die zur mangelfreien Inbetriebnahme der Firewall erforderlichen Leistungen sind bis zum 31.12.2023 abzuschließen. Die Auftraggeberin ist als Krankenhaus mit drei Standorten und 1.403 Planbetten eine kritische Infrastruktur. Um den Eintritt erheblicher betrieblicher Risiken zu vermeiden, muss die vorhandene Fortinet-Firewallumgebung kurzfristig durch ein neues Firewall-System der Firma Fortinet Inc. ersetzt werden. Die Festlegung auf ein Produkt der Firma Fortinet Inc. ist gerechtfertigt, da mit Produkten von Drittunternehmen eine nahtlose Migration ohne Ausfall mangels Kompatibilität mit der bestehenden Fortinet-Firewallumgebung wenn überhaupt nicht ohne erhebliche Risiken möglich ist. Eine Migration auf fremde Systeme würde ein sehr hohes Risiko für Konfigurationsanpassungen zur Folge haben, was insbesondere zu unbestimmten Ausfallzeiten des ein- und ausgehenden Datentransfers für Gesundheitsdaten, die für die medizinische Versorgung notwendig sind sowie eines Ausfalls des für den Betrieb des Krankenhauses zwingend erforderlichen Internets führt. Auftraggeber sind allerdings insbesondere im Bereich der IT von kritischen Infrastrukturen berechtigt Ausfall- und Sicherheitsrisiken bestmöglich auszuschließen. Insofern ist die Festlegung auf das Produkt der Fortinet Inc. vorliegend gerechtfertigt.