# Unterstützungsleistungen für das Projekt -Umsetzung DORA-

Zuschlag erteilt

Investitionsbank Schleswig-Holstein hat den Auftrag für Beratung in Kiel am 13.05.2025 vergeben, Zuschlag an Securenication GmbH und Publicis Sapient GmbH. Eingegangen: 28–41 Angebote je Los.

- Auftraggeber: [Investitionsbank Schleswig-Holstein](https://vergabeweiser.de/vergabestelle/investitionsbank-schleswig-holstein)
- Was: Beratung: Unterstützungsleistungen für das Projekt -Umsetzung DORA-
- Wo: Kiel, Schleswig-Holstein
- Wer kann anbieten: Jedes Unternehmen, das die Anforderungen der Vergabeunterlagen erfüllt. Für KMU geeignet laut Bekanntmachung.
- Laufzeit: 11.04.2025 bis 31.12.2026
- Lose: 2 Lose, einzeln anzubieten laut Bekanntmachung
- Zuschlag an: Securenication GmbH und Publicis Sapient GmbH
- Zuschlag am: 13.05.2025
- Summe: nicht veröffentlicht
- Angebote: 28–41 je Los

## Gewinner

- [Securenication GmbH](https://vergabeweiser.de/unternehmen/securenication-gmbh), Bremen
- [Publicis Sapient GmbH](https://vergabeweiser.de/unternehmen/publicis-sapient-gmbh), München

## 2 Lose

- Los 1: DORA-Beratungsleistungen · [Securenication GmbH](https://vergabeweiser.de/unternehmen/securenication-gmbh), Bremen
- Los 2: Linienunterstützung für das Informationssicherheitsmanagement · [Publicis Sapient GmbH](https://vergabeweiser.de/unternehmen/publicis-sapient-gmbh), München

## Leistungsumfang

Die Investitionsbank Schleswig-Holstein (der Auftraggeber) - das zentrale Förderinstitut des Landes mit derzeit rund 800 Mitarbeitenden - sucht einen Dienstleister für die Erbringung von Beratungsleistungen bei der Umsetzung der Verordnung (EU) 2022/2554 (DORA). ---------------------------------------------------------------------------------------------------------------------------------------------------------------- Mit DORA, der Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (Digital Operational Resilience Act), hat die Europäische Union eine finanzsektorweite Regulierung für die Themen Cybersicherheit, IKT-Risiken und digitale operationale Resilienz geschaffen. Diese Verordnung trägt wesentlich dazu bei, den europäischen Finanzmarkt gegenüber Cyberrisiken und Vorfällen der Informations- und Kommunikationstechnologe (IKT) zu stärken. ---------------------------------------------------------------------------------------------------------------------------------------------------------------- Die Umsetzung der DORA-Anforderungen in der IB.SH wird durch ein zentrales Projekt „Umsetzung DORA“ koordiniert und umgesetzt. In der IB.SH wurde eine DORA-GAP-Analyse durchgeführt, aus der die entsprechenden Maßnahmenpakete zur Umsetzung abgeleitet wurden (siehe Anhang 1). Die Aufzählung stellt den aktuellen Planungsstand des Projektes dar und wird regelmäßig überprüft. ---------------------------------------------------------------------------------------------------------------------------------------------------------------- Es wird eine Beratungsunterstützung gesucht, die im Rahmen des Projektes die Implementierung der DORA in der 1st und 2nd Line mit Beratern begleitet und umsetzt.

## Angaben laut Bekanntmachung

- Verfahren: Offenes Verfahren (EU-weit)
- Art des Auftrags: Dienstleistung
- Geschätzter Wert: nicht angegeben
- Bindefrist: 47 Tage nach Angebotsfrist
- Nachprüfung: Vergabekammer Schleswig-Holstein
- CPV-Code: 79400000-8
- CPV-Bezeichnung: [Unternehmens- und Managementberatung und zugehörige Dienste](https://vergabeweiser.de/cpv/79400000-unternehmens-und-managementberatung-und-zugehoerige-dienste)
- Bekanntmachungs-ID: f652e4f5-4575-4d3d-ba79-fed12884f707

## Verlauf

- 27.02.2025: Ausschreibung veröffentlicht · Die Angebotsfrist für beide Lose wird um eine Woche verlängert.
- 22.05.2025: Ergebnis veröffentlicht
- 21.11.2025: Vertragsänderung veröffentlicht · Die Planung für das Los 1 im Projekt zur Umsetzung der DORA-Anforderungen in der IB.SH basierte aus den Annahmen aus der vorgelagerten Vorstudie zu diesem Thema. Nach Abschluss der Ausschreibung im April 2025 wurde der Zuschlag für dieses Los an die Firma Securenication erteilt. Gemeinsam mit dieser wurde dann eine Standortanalyse durchgeführt, die Annahmen der Vorstudie im Detail validiert und den Projektplan für die Jahre 2025 und 2026 konkretisiert. Es zeigte sich, dass der Umsetzungsaufwand in diesem Projekt höher als ursprünglich angenommen war. ---------------------------------------------------------------------------------------------------------------------------------------------------- In der Konsequenz wurden daraufhin weitere umfangreiche Arbeitspakete zur Herstellung der DORA-Konformität zusätzlich zu den bereits identifizierten Arbeitspaketen aufgesetzt, so dass der Umfang der relevanten Arbeitspakete von 18 auf 25 erhöht wurde. In der zu Grunde liegenden Gap-Analyse war die beauftragte Firma Securenication intensiv eingebunden. Zusätzlich haben nicht geplante personelle Abgänge in wesentlichen DORA-Bereichen (z.B. Informationssicherheit) dazu geführt, dass der Arbeitsaufwand in einigen Arbeitspaketen, der durch interne Mitarbeitende geleistet werden sollte, durch Mitarbeitende von Securenication substituiert werden musste. ---------------------------------------------------------------------------------------------------------------------------------------------------- Die Komplexität des Projektes ist im Vergleich zur ursprünglichen Annahme stark angestiegen und macht auch daher eine intensivere Unterstützung der Projektleitung und der Projektmitarbeitenden notwendig, um eine angemessene DORA-Konformität herzustellen. Aus diesem Grund ist das ursprünglich geplante Auftragsvolumen nicht mehr ausreichend und muss entsprechend erweitert werden. -------------------------------------------------------------------------------------------------------------------------------------------------------- Ein Wechsel des Dienstleisters inmitten des laufenden Projektes ist nicht zielführend, da die IB.SH eine umfassende Ausschreibung durchführen und einen neuen Dienstleister intensiv einarbeiten müsste. Dies gilt insbesondere vor dem Hintergrund, dass die Firma Securenication auch in der operativen Projektarbeit sowie in der Vernetzung der internen Expertise über mehrere IB.SH-Ebenen intensiv eingebunden ist. Die Herstellung einer angemessenen operativen Resilienz und Sicherheit (z.B. gegenüber aktuellen Cyberangriffen) wäre daher einer erheblichen Verzögerung unterworfen. Dieses Risiko ist für die IB.SH nicht akzeptabel.
- 06.01.2026: Vertragsänderung veröffentlicht · Das Teilprojekt „ISM“ im DORA-Projekt hat in H2/2025 die vollständige Erstellung von 21 Richtlinien und 3 Leitlinien entsprechend der BaFin-Dokumentationsanforderungsübersicht abgeschlossen. ---------------------------------------------------------------------------------------------------------------------------------------------------- Bedingt durch die im Projektverlauf konkretisierte und erweiterte fachliche Zielsetzung, insbesondere die stärkere Fokussierung auf prüfungsfeste Operationalisierung sowie der Transformation einer bisher BSI-Grundschutz-gestützten hin zu einer ISO27001-basierten Methodik, ergeben sich folgende aufsichtsrelevante Folgeprodukte- und aufgaben für 2026, die zwingend zur Erreichung einer vollständigen DORA-Compliance erforderlich sind: • Erstellung eines Sollmaßnahmenkatalogs (einschließlich Reifegrade, Kontrolldesign, Prozesszuordnung, Priorisierung); • Operationalisierung der Richtlinien (run-the-bank (RTB) & change-the-bank (CTB)) und weitere Verzahnung mit nachgelagerten Arbeitspaketen zwecks inhaltlichem „Sparring“; • Weiterentwicklung von Rollen-, Gremien- und Kontrollmechanismen unter DORA bedingt durch den fachlichen Wechsel von BSI- auf ISO-Methodik. ---------------------------------------------------------------------------------------------------------------------------------------------------- Publicis Sapient GmbH hat bei der Konzeption und Abstimmung der Richtlinienarchitektur maßgeblich mitgewirkt. Alle fachlichen Ableitungen für den Sollmaßnahmenkatalog basieren auf den Inhalten der Richtlinienarchitektur. Die Publicis Sapient GmbH ist bereits in wesentliche projektbezogene Themenstellungen umfassend eingebunden, insbesondere in den Bereichen IT-Betrieb, ZAM, BCM, Einkauf, Compliance, Recht und Revision. ---------------------------------------------------------------------------------------------------------------------------------------------------- Aufgrund dieser bestehenden und für den Projekterfolg maßgeblichen Vorkenntnisse ist eine zwingende Fortführung der Projektbeteiligung erforderlich, um die inhaltliche Kontinuität sowie die fachliche Qualität der Projektbearbeitung sicherzustellen. Ohne diese wesentlichen Vorkenntnisse würden Kontextinformationen, die für den Projekterfolg maßgeblich sind, verloren gehen. ------------------------------------------------------------------------------------------------------------------------------------------------------- Ein Wechsel des Dienstleisters inmitten des laufenden Projektes ist nicht zielführend, da die IB.SH eine umfassende Ausschreibung durchführen und einen neuen Dienstleister intensiv einarbeiten müsste. Dies gilt insbesondere vor dem Hintergrund, dass die Firma Publicis Sapient GmbH auch in der operativen Projektarbeit sowie in der Vernetzung der internen Expertise über mehrere IB.SH-Ebenen intensiv eingebunden ist. Die Herstellung einer angemessenen operativen Resilienz und Sicherheit (z.B. gegenüber aktuellen Cyberangriffen) wäre daher einer erheblichen Verzögerung unterworfen. Dieses Risiko ist für die IB.SH nicht akzeptabel.
- 23.08.2026: Vertragsänderung veröffentlicht · In H2/2025 hat das Teilprojekt „ISM“ im DORA-Projekt die vollständige Erstellung der schriftlich fixierten Ordnung entsprechend der BaFin-Dokumentationsanforderungsübersicht abgeschlossen. Bedingt durch die im Projektverlauf konkretisierte fachliche Zielsetzung, insbesondere die Anweisungen, Prozesse und Instrumente in den Bereichen der ersten Verteidigungslinie prüfungsfest zu operationalisieren und zu implementieren, ergeben sich erweiterte Folgeaufgaben für 2026 und 2027, die zwingend zur Erreichung einer vollständigen DORA-Compliance erforderlich sind: • Ableitung konkreter Konzepte, Standards und Verfahren aus dem Sollvorgabenkatalog (einschließlich Reifegrade, Kontrolldesign, Prozesszuordnung, Priorisierung) • Weitere Verzahnung der Ergebnisse mit nachgelagerten Arbeitspaketen zwecks inhaltlichem „Sparring“ und der Erreichung konsistenter Gesamtlösungen • Weiterentwicklung von Rollen-, Gremien- und Kontrollmechanismen unter DORA Securenication GmbH hat bei der Konzeption und Abstimmung der bestehenden Lösungen im Projekt maßgeblich mitgewirkt und ist bereits in wesentliche projektbezogene Themenstellungen umfassend eingebunden, insbesondere in den Bereichen IT-Projektmanagement, IT-Security und IT-Governance aber auch in den Funktionen der zweiten Verteidigungslinie. Aufgrund dieser bestehenden und für den Projekterfolg maßgeblichen Vorkenntnisse ist eine zwingende Fortführung der Projektbeteiligung erforderlich, um die inhaltliche Kontinuität sowie die fachliche Qualität der Projektbearbeitung sicherzustellen. Ohne diese wesentlichen Vorkenntnisse würden Kontextinformationen, die für den Projekterfolg maßgeblich sind, verloren gehen. Vor diesem Hintergrund wäre ein Wechsel des Auftragnehmers für die zusätzlichen Leistungen nicht lediglich mit üblichen Einarbeitungsaufwänden verbunden. Vielmehr würden aufgrund der engen inhaltlichen Verzahnung mit den bereits durch Securenication erbrachten Leistungen erhebliche zusätzliche Aufwände, Doppelarbeiten und Verzögerungen entstehen. Die Fortführung der Leistungen durch die Securenication vermeidet diese zusätzlichen Aufwände und ermöglicht die unmittelbare Weiterarbeit auf Basis der bereits im Projekt erarbeiteten fachlichen und technischen Grundlagen. ---------------------------------------------------------------------------------------------------------------------------------------------------- In der Konsequenz wurden daraufhin weitere umfangreiche Arbeitspakete zur Herstellung der DORA-Konformität zusätzlich zu den bereits identifizierten Arbeitspaketen aufgesetzt, so dass der Umfang der relevanten Arbeitspakete von 18 auf 25 erhöht wurde. In der zu Grunde liegenden Gap-Analyse war die beauftragte Firma Securenication intensiv eingebunden. Zusätzlich haben nicht geplante personelle Abgänge in wesentlichen DORA-Bereichen (z.B. Informationssicherheit) dazu geführt, dass der Arbeitsaufwand in einigen Arbeitspaketen, der durch interne Mitarbeitende geleistet werden sollte, durch Mitarbeitende von Securenication substituiert werden musste. ---------------------------------------------------------------------------------------------------------------------------------------------------- Die Komplexität des Projektes ist im Vergleich zur ursprünglichen Annahme stark angestiegen und macht auch daher eine intensivere Unterstützung der Projektleitung und der Projektmitarbeitenden notwendig, um eine angemessene DORA-Konformität herzustellen. Aus diesem Grund ist das ursprünglich geplante Auftragsvolumen nicht mehr ausreichend und muss entsprechend erweitert werden. -------------------------------------------------------------------------------------------------------------------------------------------------------- Ein Wechsel des Dienstleisters inmitten des laufenden Projektes ist nicht zielführend, da die IB.SH eine umfassende Ausschreibung durchführen und einen neuen Dienstleister intensiv einarbeiten müsste. Dies gilt insbesondere vor dem Hintergrund, dass die Firma Securenication auch in der operativen Projektarbeit sowie in der Vernetzung der internen Expertise über mehrere IB.SH-Ebenen intensiv eingebunden ist. Die Herstellung einer angemessenen operativen Resilienz und Sicherheit (z.B. gegenüber aktuellen Cyberangriffen) wäre daher einer erheblichen Verzögerung unterworfen. Dieses Risiko ist für die IB.SH nicht akzeptabel.

## Häufige Fragen

**Wer hat den Auftrag bekommen?**
Den Zuschlag hat Securenication GmbH und Publicis Sapient GmbH erhalten.

## Weitere Zuschläge

- [Marketing services for Interreg Baltic Sea Region Programme](https://vergabeweiser.de/ausschreibung/marketing-services-for-interreg-baltic-sea-region-programme-cc5d3e5f) · Investitionsbank Schleswig-Holstein · Zuschlag 07.05.2026 an Einzelunternehmen aus Wien · 1 Angebot
- [Upgrade einer Risikomessungssoftware inkl. Softwarepflege und Implementierung](https://vergabeweiser.de/ausschreibung/upgrade-einer-risikomessungssoftware-inkl-softwarepflege-und-e7d1328b) · Investitionsbank Schleswig-Holstein · Zuschlag 08.04.2026 an msg for banking AG · 1 Angebot
- [Unterstützungsleistungen im Rahmen der Implementierung einer zentralen Datenplattform](https://vergabeweiser.de/ausschreibung/unterstuetzungsleistungen-im-rahmen-der-implementierung-einer-3daedcbc) · Investitionsbank Schleswig-Holstein · Zuschlag 09.03.2026 an Bietergemeinschaft CAS Concepts and Solutions AG & ARREBA Consulting GmbH und Deloitte GmbH Wirtschaftsprüfungsgesellschaft · 3 Angebote je Los
- [Rahmenvereinbarung zur Erbringung von Unterstützungsleistungen in der Anwendungsbetreuung Data Warehouse](https://vergabeweiser.de/ausschreibung/rahmenvereinbarung-zur-erbringung-von-unterstuetzungsleistungen-in-der-9bd69678) · Investitionsbank Schleswig-Holstein · Zuschlag 15.12.2025 an InfoFabrik GmbH · 1 Angebot
- [Projekt Operational Excellence (Teilnahmewettbewerb))](https://vergabeweiser.de/ausschreibung/projekt-operational-excellence-teilnahmewettbewerb-d0c7f5eb) · Stadtwerke Lübeck Gruppe GmbH · Zuschlag 28.07.2025 an A.T. Kearney GmbH
- [Änderung Externe Projektsteuerung SMILE24 (0345)](https://vergabeweiser.de/ausschreibung/aenderung-externe-projektsteuerung-smile24-0345-6addd5bf) · NAH.SH GmbH · Zuschlag 07.04.2025 an Einzelunternehmen aus Berlin

## Von hier aus weiter

- [Öffentliche Ausschreibungen in Kiel](https://vergabeweiser.de/region/schleswig-holstein/kiel): Offene Ausschreibungen aller Branchen
- [Investitionsbank Schleswig-Holstein](https://vergabeweiser.de/vergabestelle/investitionsbank-schleswig-holstein): Ausschreibungen und Zuschläge dieser Vergabestelle
- [Offenes Verfahren](https://vergabeweiser.de/wissen/offenes-verfahren): Wissen: Ablauf und Begriffe

Automatisch aus den Feldern der Bekanntmachung vom 23.08.2026, ohne KI. Die Branche ordnen wir selbst zu. Stand: 04.11.2026.

Fehler melden: https://vergabeweiser.de/fehler-melden?seite=https%3A%2F%2Fvergabeweiser.de%2Fausschreibung%2Funterstuetzungsleistungen-fuer-das-projekt-umsetzung-dora-f652e4f5

---
Quelle: Bekanntmachung auf oeffentlichevergabe.de (CC0), https://oeffentlichevergabe.de/ui/de/search/details?noticeId=2b0b28ee-9b07-4524-93f1-428549628d56. Maßgeblich ist die Bekanntmachung. Seite: https://vergabeweiser.de/ausschreibung/unterstuetzungsleistungen-fuer-das-projekt-umsetzung-dora-f652e4f5