Zusammenfassung

  • Der Septemberentwurf sieht einen ressortweiten Einzelauftrag als IDIQ für Netzwerk-, Cloud- und Cyberdienste vor. Der kumulierte Höchstwert wird auf 625,996 Millionen US-Dollar geschätzt. Der Mindestabruf beträgt 10.000 Dollar; der Rahmenvertrag selbst verpflichtet nicht zur Mittelbindung. Finanziert wird über einzelne Abrufe.
  • Ein Anbieter könnte die Schnittstelle für den täglichen Betrieb vereinheitlichen. Die Entscheidungsbefugnisse bleiben jedoch verteilt: DHS-Bereiche erteilen Abrufe, Netzwerkänderungen bedürfen staatlicher Genehmigung, und übergeordnete Architektur sowie Ingenieurleistungen bleiben grundsätzlich unter staatlicher Leitung.

Ein Auftragnehmer bedeutet noch kein einheitliches Auftragsvolumen

Der geplante Vertrag Network, Cloud, and Cyber Services 2.0 (NCCS 2.0) soll die Beschaffung für das gesamte Department of Homeland Security (DHS) in einem kommerziellen Instrument bündeln. Der RFP-Entwurf vom 16. September beschreibt einen ressortweiten IDIQ-Vertrag mit einem einzigen Auftragnehmer für das Office of the Chief Information Officer. Der Umfang reicht von Netzwerkbetrieb sowie Cloud- und Plattformdiensten über Cyberüberwachung und Vorfallreaktion bis zu Außendiensttechnik und Unterstützung der DHS-Bereiche.

Damit würde sich die Beschaffung sichtbar verändern. Washington Technology berichtete am 6. Oktober, dass DHS viele dieser Leistungen derzeit auf Bereichsebene einkauft und eine gemeinsame Struktur für seine IT-Umgebung anstrebt. Ein einziger Vertragspartner könnte für die übernommenen Leistungen eine zentrale kommerzielle Anlaufstelle schaffen. Die Konstruktion führt aber nicht automatisch alle Bedarfe der einzelnen Bereiche in einem finanzierten Programm zusammen.

Der Entwurf setzt für alle Abrufe und Jahre eine kumulierte Obergrenze von 625.996.046 Dollar an und bezeichnet sie ausdrücklich als Schätzung, die sich bis zur endgültigen Ausschreibung ändern kann. Der Mindestabruf liegt bei 10.000 Dollar. Der IDIQ-Vertrag bindet selbst keine zusätzlichen Mittel; erst ein einzelner Abruf löst eine Mittelbindung aus. Vorgesehen sind ein Basisjahr, vier einjährige Verlängerungsoptionen und eine mögliche zusätzliche Verlängerung um sechs Monate. Diese Bedingungen bilden den Vertragsrahmen, nicht die erwarteten Beschaffungsausgaben.

Die Abrufe können Festpreis-, Zeit-und-Material-, Stunden- oder Mischmodelle nutzen. Beauftragte Vertragsverantwortliche im Hauptquartier und in den Bereichen dürfen sie innerhalb ihrer Befugnisse erteilen; die internen DHS-Verfahren sollen nach der Vergabe festgelegt werden. Es gibt also nur einen Vertragspartner, doch die Nachfrage entsteht weiter Abruf für Abruf. Aus der Obergrenze geht nicht hervor, wie viele Bereiche die Leistungen nutzen, wann sie wechseln oder wie viel Arbeit tatsächlich vergeben wird.

Das Betriebszentrum hat klar umrissene Befugnisse

Die Leistungsbeschreibung stattet das geplante Zentrum mit einem breiten operativen Auftrag aus. Es soll OneNet und ausgewählte Bereichsnetze sowie Cloud-Plattformen, Systeme und Anwendungen rund um die Uhr überwachen, Vorfälle bearbeiten und Cybersicherheit unterstützen. Der Personalschwerpunkt liegt auf Betriebsleistungen der Stufen 1 und 2. Der Auftragnehmer soll außerdem das Cybersecurity Services Provider Program des DHS unterstützen und Außendiensttechniker an Standorte ohne lokale IT-Unterstützung entsenden.

Das Dokument zieht zugleich eine Grenze bei der Entscheidungsgewalt. Höherstufige Ingenieurleistungen, Unternehmensarchitektur und Expertenaufgaben bleiben im Allgemeinen staatlich geführt, sofern ein Arbeitspaket oder Abruf sie nicht ausdrücklich anders zuweist. Der Auftragnehmer darf genehmigte Änderungen an OneNet-Randgeräten umsetzen; sie unterliegen jedoch weiterhin den Change-Control-Verfahren des DHS oder des jeweiligen Bereichs. Der Anbieter kann den Betrieb führen und Verbesserungen vorschlagen, erhält aber keine pauschale Befugnis, das Netzwerk neu zu entwerfen.

Diese Trennung ist für die wirtschaftliche Bewertung wichtig. „Zentralisiert“ kann eine gemeinsame Überwachungsstelle, einen einheitlichen Servicekatalog, einen einzigen Vertragspartner oder eine staatliche Steuerungsebene meinen. Das ist nicht dasselbe. NCCS 2.0 würde die Lieferantenbeziehung und Teile der Leistungserbringung bündeln. Abrufe, Budgets, bereichsspezifische Aufgaben und Genehmigungswege blieben verteilt. Ein Anbieter kann zentral sein, obwohl das Betriebsmodell es nicht ist.

Der Vertragsdeckel misst keine Nachfrage

DHS will die angebotenen Personalsätze anhand eines nicht veröffentlichten Musterszenarios vergleichen, das auf der bisherigen NOSC- und SOC-Nutzung beruht. Laut Entwurf dient es allein der Preis-Leistungs-Bewertung und wird nicht zu einem tatsächlichen Abruf. Das Szenario kann bei der Auswahl des Auftragnehmers helfen, ist aber kein Budget für die künftigen Abrufe der Behördenbereiche.

Der Unterschied zwischen Höchstwert und tatsächlicher Nutzung bestimmt die Vertragsökonomie. Ein hoher Deckel kann Hauptauftragnehmer und Partner anziehen; der kommerzielle Wert hängt dennoch von den erteilten Abrufen ab. Entscheidend ist nicht allein der Maximalbetrag, sondern wie viel Arbeit übergeht, wie viele Bereiche gemeinsame Leistungen nutzen und welche Kosten für den Betrieb über unterschiedliche Umgebungen hinweg entstehen.

Die Leistungsbeschreibung fordert den Auftragnehmer auf, einen Servicekatalog und einen gemeinsamen Kontrollkatalog mitzuentwickeln. Das könnte den Bereichen vergleichbarere Auswahl- und Bewertungsmaßstäbe geben und die Koordination erleichtern. Der Entwurf legt aber weder die endgültigen Preise noch die Nutzungsquote oder die Qualität der Berichte fest. Diese Punkte müssen sich in den Abrufen und Betriebsdaten zeigen.

Die Terminverschiebung zeigt Zeitunsicherheit

Am 5. Oktober teilte DHS mit, dass der geplante Beschaffungszeitplan in einen späteren Zeitraum verschoben werde, ohne ein neues Datum zu nennen. Der frühere Entwurf hatte eine endgültige Ausschreibung am 1. Oktober und eine Vergabe gegen Ende November vorgesehen. Washington Technology berichtete am 6. Oktober über die Änderung. Zum Zeitpunkt dieser Recherche ist die Terminverschiebung der belegte Sachstand; sie beweist keine Änderung an Obergrenze, Umfang oder Vertragsmodell.

Für Anbieter ist der Zeitplan relevant, weil Angebotsteams, Sicherheitsfreigaben und Personalplanung bereits vor der Vergabe Kosten verursachen. Für DHS zählt vor allem, ob sich mit dem neuen Zeitplan ein verlässlicher Übergang von den bisherigen Verträgen in das neue Instrument organisieren lässt. Die Verzögerung allein belegt weder das Scheitern eines Übergangsvertrags noch einen Wechsel des bisherigen Anbieters oder einen endgültigen Vergabetermin.

Ob die Bündelung trägt, zeigen erst die Abrufe

Nach der Vergabe müssen sich die Belege in Abrufen und Leistungen finden, nicht in der Obergrenze: Wie viele Bereiche bestellen? Welcher Anteil der Netzwerk-, Cloud- und Cyberarbeiten folgt gemeinsamen Leistungsdefinitionen? Welchen Umfang und welche Laufzeit haben finanzierte Abrufe? Funktionieren Vorfallreaktion, Änderungsfreigaben und Berichte über Bereichsgrenzen hinweg?

Wenn die Bereiche denselben Katalog und gemeinsame Verfahren nutzen, könnte der Vertrag doppelte Koordination verringern und Ergebnisse besser vergleichbar machen. Wenn jeder Bereich eigene Leistungsbeschreibungen und viele Ausnahmen beibehält, kann DHS einen einzigen Auftragnehmer haben, ohne die bisherige Fragmentierung aufzulösen. Der Entwurf lässt offen, welches Szenario eintritt.

NCCS 2.0 ist daher ein Vorschlag zur Verteilung von Betriebsaufgaben, mit einem vorläufigen Vertragsdeckel und einem ungeklärten Zeitplan. Es handelt sich weder um einen vergebenen Auftrag über 626 Millionen Dollar noch um ein finanziertes Arbeitsvolumen oder einen Beleg dafür, dass ein Anbieter die Technologieentscheidungen des DHS kontrolliert. Die Marktchance ist vorhanden; ihre Größe bestimmen Abrufe, Nutzung und die betrieblichen Grenzen, die DHS beibehält.

Quellen