Bundesve rw altu ng sgeri ch t Tribunal ad ministratif f éd éral Tribunale am m in istrati vo federale Tribunal ad ministrativ fe deral
Abteilung II B-3580/2021
Urteil v o m 9 . M a i 2022
Besetzung Richterin Eva Schneeberger (Vorsitz), Richter Marc Steiner, Richterin Kathrin Dietrich, Gerichtsschreiberin Beatrice Grubenmann.
Parteien X._______ AG, vertreten durch Dr. Andreas Güngerich, Rechtsanwalt, Beschwerdeführerin,
gegen
Bundesamt für Bauten und Logistik BBL, Fellerstrasse 21, 3003 Bern, Vergabestelle.
Gegenstand Öffentliches Beschaffungswesen, Projekt "F21031 – Softwarelizenzen, Wartung, Support und Weiterentwicklung des Identity and Access Management (IAM), mit der Option bis 2027", SIMAP-Meldungsnummer 1207361, SIMAP-Projekt-ID 223666.
B-3580/2021 Sachverhalt: A. Am 6. Juli 2021 erteilte das Bundesamt für Bauten und Logistik BBL (im Folgenden: Vergabestelle) für das Bundesamt für Informatik und Telekommunikation BIT (Bedarfsstelle) betreffend das Projekt "F21031 – Softwarelizenzen, Wartung, Support und Weiterentwicklung des Identity and Access Management (IAM), mit der Option bis 2027" der Y._______ AG (im Folgenden: Zuschlagsempfängerin) im freihändigen Verfahren den Zuschlag zu einem Preis von Fr. 71'495'029.50 einschliesslich MwSt. für einen Grundauftrag (Fr. 51'016'413.–) und eine Option (Fr. 20'478'616.50). Die Vergabestelle publizierte die Zuschlagsverfügung am 21. Juli 2021 auf der Internetplattform SIMAP (Meldungsnummer 1207361). Zur Begründung wurde darin ausgeführt, die Zuschlagsempfängerin sei als einzige Anbieterin in der Lage, dem Bund das Gesamtpaket der benötigten Lizenzen und Dienstleistungen für den Betrieb und die Weiterentwicklungen des "Identity and Access Management Service" (IAM) unter Verwendung der Software "Nevis" zur Verfügung zu stellen. Ein Anbieterwechsel wäre mit unangemessenen Kosten, Bindung von Ressourcen und vor allem Risiken für die Bundesverwaltung verbunden (SIMAP-Zuschlagsverfügung, Ziff. 3.3). B. Gegen diese Verfügung erhebt die X._______ AG (im Folgenden: Beschwerdeführerin) am 9. August 2021 Beschwerde beim Bundesverwaltungsgericht. Sie beantragt, die Zuschlagsverfügung sei aufzuheben und die Sache sei zur Durchführung eines Vergabeverfahrens und zu neuer Zuschlagserteilung im Sinne der Erwägungen an die Vergabestelle zurückzuweisen. In prozessualer Hinsicht beantragte sie unter anderem, der Beschwerde sei die aufschiebende Wirkung zu erteilen und es sei der Vergabestelle bis zum Entscheid über die aufschiebende Wirkung superprovisorisch der Vertragsabschluss mit der Zuschlagsempfängerin einstweilen zu untersagen. Zur Begründung führt sie aus, sie könne den Dienstleistungsauftrag im Sinne einer angemessenen Alternative zur Zuschlagsempfängerin erfüllen und wolle dies auch. Sie biete mit "Airlock IAM" ein Produkt mit vergleichbarem Leistungsumfang wie "Nevis" an, jedoch im Vergleich mit der Zuschlagsempfängerin zu einem kostengünstigeren Ansatz. Es gebe Grund zur Annahme, dass das freihändige Verfahren in unzulässiger Weise zur Anwendung gelangt sei. Die in der Zuschlagsverfügung enthaltene Begründung sei ungenügend. Die vorliegende Vergabe widerspreche den
B-3580/2021 vergaberechtlichen Grundsätzen der Gleichbehandlung, Wirtschaftlichkeit und Transparenz und berge die Gefahr, den Wettbewerb zu verzerren. C. Mit Verfügung vom 10. August 2021 ordnete die Instruktionsrichterin an, dass bis zum Entscheid des Bundesverwaltungsgerichts über den Antrag betreffend Erteilung der aufschiebenden Wirkung alle Vollzugsvorkehrungen, welche den Ausgang des hängigen Beschwerdeverfahrens präjudizieren könnten, namentlich der Vertragsabschluss mit der Zuschlagsempfängerin, zu unterbleiben hätten. D. Die Zuschlagsempfängerin teilte mit Eingabe vom 23. August 2021 mit, dass sie vorerst auf das Stellen formeller Anträge zur Beschwerde und zum Gesuch um aufschiebende Wirkung verzichte, sich aber vorbehalte, nach Vorliegen der Stellungnahme der Vergabestelle ergänzende Bemerkungen anzubringen oder Anträge zu stellen. E. Mit Stellungnahme vom 31. August 2021 beantragt die Vergabestelle, auf die Beschwerde sei nicht einzutreten, eventualiter sei die Beschwerde abzuweisen. In prozessualer Hinsicht sei das Gesuch der Beschwerdeführerin um Gewährung der aufschiebenden Wirkung abzuweisen und der Beschwerde sei die superprovisorisch gewährte aufschiebende Wirkung zu entziehen. Die Vergabestelle beantragt überdies, soweit der Beschwerde nicht vor dem 1. Oktober 2021 die aufschiebende Wirkung entzogen oder sie rechtskräftig erledigt sei, sei ihr die Erlaubnis zu erteilen, bis zum rechtskräftigen Abschluss des Beschwerdeverfahrens von der (bisherigen) Zuschlagsempfängerin eine beschränkte Anzahl von Dienstleistungen über maximal 8'500 Stunden pro Monat (resp. einen Maximalbetrag von 1,7 Mio. Fr. inkl. MwSt. pro Monat) für die Sicherstellung des ununterbrochenen Betriebs und für die zur Aufrechterhaltung der Funktionstüchtigkeit von IAM zwingend notwendigen Weiterentwicklungen an der Software "Nevis" zu beziehen. Zur Begründung legt die Vergabestelle dar, die drei zivilen Leistungserbringer des Bundes – das Bundesamt für Informatik und Telekommunikation (BIT), das Informatik Service Center des Eidgenössischen Justiz- und Polizeidepartements (ISCE-EJPD) und das Information Service Center des Eidgenössischen Departements für Wirtschaft, Bildung und Forschung
B-3580/2021 (ISCeco) – versorgten die Bundesverwaltung sowie die Kantone und bundesnahen Organisationen mit Dienstleistungen und Services der Informations- und Kommunikationstechnologie IKT, darunter mit dem "Identity and Access Management Service" (IAM). Mittels der IAM-Services werde einem Benutzer eine Identität vergeben und er erhalte Zugriffsrechte auf Lösungen und IT-Anwendungen. Die IAM-Services der Leistungserbringer seien hochgradig voneinander abhängig und würden bis zu 35'000 interne und fast eine Million externe Benutzer beim Zugriff auf über 400 Fachapplikationen der Bundesverwaltung authentisieren und autorisieren. Es sei ein grosses spezifisches Know-how erforderlich, um die mittlerweile äussert komplexen Strukturen und Funktionsweisen der IAM-Services des Bundes zu verstehen. Aktuell sei lediglich die Zuschlagsempfängerin in der Lage, aufgrund ihres Partnerstatus respektive der Zertifizierung durch die Nevis Security AG das Gesamtpaket von Wartung, Support, Lizenzen und kundenspezifischen Anpassungen am Produkt "Nevis" aus einer Hand anzubieten. Die Vergabestelle habe das freihändige Verfahren daher zulässigerweise angewendet. Mit der angefochtenen freihändigen Vergabe werde bezweckt, die Arbeiten der drei Leistungserbringer für IAM zu ermöglichen und Raum für die Erstellung einer IAM-Strategie zu schaffen. Aus heutiger Sicht sei davon auszugehen, dass die entsprechende Studie bis Ende 2021 vorliege und eine bundesweite IAM-Strategie bis Q1-2022. Sofern in der Studie ein Wechsel der Lösung als möglich beurteilt werde, solle hierzu im Wettbewerb eine entsprechende Beschaffung in den Jahren 2022-2023 getätigt werden. Die Vergabestelle beabsichtige demnach nicht, den Markt für immer zu schliessen, sondern sei im Gegenteil bestrebt, eine IAM-Strategie zu entwickeln, deren Umsetzung soweit wie möglich im Wettbewerb ausgeschrieben werden solle. Solange die IAM-Strategie noch nicht vorliege beziehungsweise solange das aktuell im Einsatz stehende Produkt "Nevis" in Betrieb bleiben müsse, sei der Markt für die vorliegend in Frage stehende Dienstleistung auf eine Unternehmung – die Zuschlagsempfängerin – beschränkt. Mangels anderer Alternativen habe die Vergabestelle daher das freihändige Verfahren im heutigen Zeitpunkt zu Recht angewendet. Die Beschwerdeführerin gehe fehl in der Annahme, mit der publizierten Summe von Fr. 71'495'029.50 könne ein neues IAM-System für den Bund gekauft werden. Sollte das Bundesverwaltungsgericht die Beschwerdelegitimation bejahen, sei die aufschiebende Wirkung aufgrund der offensicht-
B-3580/2021 lichen Aussichtslosigkeit der Vorbringen sowie der klar überwiegenden öffentlichen Interessen an einem umgehenden Leistungsbezug dennoch nicht zu gewähren. F. Mit Zwischenverfügung vom 8. September 2021 erlaubte die Instruktionsrichterin der Vergabestelle superprovisorisch, bis zum rechtskräftigen Abschluss des Beschwerdeverfahrens von der bisherigen Zuschlagsempfängerin eine beschränkte Anzahl von Dienstleistungen über maximal 8'500 Stunden pro Monat (resp. einen Maximalbetrag von 1,7 Mio. Fr. inkl. MwSt. pro Monat) für die Sicherstellung des ununterbrochenen Betriebs und für die zur Aufrechterhaltung der Funktionstüchtigkeit von IAM zwingend notwendigen Weiterentwicklungen an der Software "Nevis" zu beziehen. G. Mit Beschwerdeergänzung vom 16. September 2021 hält die Beschwerdeführerin an ihren Anträgen fest und bestreitet sämtliche Ausführungen der Vergabestelle in ihrer Stellungnahme. Sie rügt, das Bundesverwaltungsgericht habe, indem es vor Ablauf der Frist für die Beschwerdeergänzung dem Antrag der Vergabestelle, eine beschränkte Anzahl von Dienstleistungen zu beziehen, stattgegeben habe, ihren Anspruch auf rechtliches Gehör verletzt. Sie verzichte zwar darauf, diese Zwischenverfügung anzufechten, da sie weder das vorliegende Verfahren unnötig verlängern noch verhindern wolle, dass die zwingend benötigten Leistungen von der bisherigen Zuschlagsempfängerin bezogen werden könnten. Sie verlange aber, dass die Betriebsleistungen sowie die zwingend benötigten Weiterentwicklungen definiert würden. H. Mit Stellungnahme vom 6. Oktober 2021 zur Beschwerdeergänzung hält die Vergabestelle an ihren Rechtsbegehren fest und beantragt eventualiter die Abweisung des Gesuchs der Beschwerdeführerin um eine gerichtliche Begutachtung mittels eines Sachverständigengutachtens. I. Mit unaufgeforderter Stellungnahme vom 15. Oktober 2021 hält die Beschwerdeführerin an ihren Rechtsbegehren und Ausführungen fest.
B-3580/2021 J. Mit Zwischenentscheid vom 30. November 2021 gab das Bundesverwaltungsgericht dem Gesuch auf aufschiebende Wirkung statt, soweit die angefochtene freihändige Vergabe Leistungen in Bezug auf neue Applikationen und Leistungserbringungen, bei denen zurzeit noch nicht "Nevis" zur Anwendung gelange, zum Gegenstand hatte. Es untersagte der Vergabestelle, mit der Zuschlagsempfängerin Verträge abzuschliessen, soweit sie derartige Leistungen zum Gegenstand hatten. Soweit weitergehend, wies das Bundesverwaltungsgericht das Gesuch um aufschiebende Wirkung ab. K. Am 27. Dezember 2021 informierte die Vergabestelle das Gericht über den Vertragsabschluss mit der Zuschlagsempfängerin im gerichtlich erlaubten Umfang. L. Die Zuschlagsempfängerin teilt mit Eingabe vom 12. Januar 2022 mit, dass sie nicht als Beschwerdegegnerin am Verfahren teilnehmen wolle. M. Mit materieller Vernehmlassung vom 18. Januar 2022 hält die Vergabestelle an ihrem Antrag auf Abweisung der Beschwerde fest. In prozessualer Hinsicht beantragt sie, das Gesuch der Beschwerdeführerin um Gewährung der aufschiebenden Wirkung sei abzuweisen, soweit diese mit Zwischenentscheid vom 30. November 2021 aufrechterhalten worden sei. Im Weiteren sei der Antrag der Beschwerdeführerin auf eine gerichtliche Begutachtung mittels eines Sachverständigengutachtens abzuweisen. Müssten kurzfristig die Zugriffsrechte bei neu hinzukommenden Applikationen mit einem anderen Produkt verwaltet werden, müsste ein paralleler Betrieb von jeweils zwei solchen Systemen aufgebaut werden. Eine solche Erweiterung durch ein zweites IAM-System pro Leistungserbringer hätte nicht verantwortbare technische Risiken und unverhältnismässige Mehrkosten zur Folge und würde dem Grundsatz der Wirtschaftlichkeit nicht entsprechen. Zudem habe der Bundesrat mit seinen Standardisierungsentscheiden vom 13. Dezember 2013 respektive 29. Juni 2016 festgelegt, dass es pro Organisation nur einen IAM-Standard geben solle. Die Vergabestelle sei daher nicht befugt, ohne weiteres ein zweites Produkt einzuführen und damit eine Mehrproduktestrategie zu fahren. Das Produkt "Airlock" der Beschwerdeführerin werde vom BIT zwar bereits eingesetzt, aber
B-3580/2021 zu einem anderen Zweck als das Produkt "Nevis". Die restlichen zivilen Leistungserbringer würden das Produkt "Airlock" nicht einsetzen. Die Airlock-Anwendung beim BIT unterstütze das IAM-System von "Nevis". Es diene dem Zweck, eine Authentifizierung von Zweitfaktoren wie beispielsweise via SMS zu ermöglichen. Es handle sich um einen einfachen Vorgang, der nicht mit der Komplexität oder dem Zweck des IAM-Services vergleichbar sei. Die Marktabklärung von 2016 habe ergeben, dass das Produkt "Airlock" nicht den gleichen Zweck wie "Nevis" erfüllen könne. Ob sich dieses Bild verändert habe, werde die Studie, die derzeit erarbeitet werde, zeigen. Wenn ein anderes Produkt für den IAM-Service eingesetzt werden solle (ein auf dem Markt vorhandenes oder allenfalls eine bundesinterne eigene Entwicklung), müsse das Gesamtsystem auf ein neues Produkt migriert werden. Bevor eine umfassende Migration des Gesamtsystems auf ein neues Produkt an die Hand genommen werden könne, benötige die Bundesverwaltung eine neue, langfristig ausgerichtete IAM-Strategie. Liege diese vor, würden auch die nächsten beschaffungsrechtlichen Schritte geplant und durchgeführt. Um diese Strategie zu entwickeln, sei eine fundierte Studie erforderlich. Diese werde derzeit erarbeitet. N. Mit Replik vom 17. Februar 2022 hält die Beschwerdeführerin an ihren Rechtsbegehren fest. Der Zuschlag sei zu Unrecht im freihändigen Verfahren erfolgt. Die Zuschlagsempfängerin sei nicht die einzige Anbieterin, die den geforderten Beschaffungsgegenstand – oder zumindest Teile davon – erbringen könne. Aufgrund des Umfangs der Beschaffung und der wettbewerbsrechtlichen Grundsätze seien mehrere Anbieterinnen im Sinne eines Parallelbetriebs zu berücksichtigen. Ein Parallelbetrieb sei geeigneter und würde insbesondere die vergaberechtlichen Grundsätze nicht verletzen. Reine Bequemlichkeitsüberlegungen könnten die freihändige Vergabe nicht rechtfertigen. Entgegen der Behauptung der Vergabestelle seien die Gründe für die freihändige Vergabe für die Beschwerdeführerin nicht nachvollziehbar. Aufgrund der unzureichenden Akteneinsicht seien wesentliche Fragen der Beschwerdeführerin unbeantwortet geblieben, insbesondere die Fragen betreffend einen parallelen "Nevis"- und "Airlock"-Betrieb, die fehlende Alternativlosigkeit, die Kettenvergaben, die IAM-Strategie sowie die Leistungserbringung durch die Beschwerdeführerin. Es sei nicht nachvollziehbar, wie die Bundesverwaltung insgesamt 100 Mio. Fr. in Dienstleistungen investieren könne, ohne eine ordentliche Evaluation beziehungsweise ohne ein Ausschreibungsverfahren durchzuführen. Die Beschwerdeführerin wolle nicht mit einer erst für die unabsehbare Zukunft geltenden IAM-Strategie vertröstet werden und wolle nicht von Vergaben
B-3580/2021 in der vorliegenden Grössenordnung ausgeschlossen werden. Sie gehe davon aus, dass der Leistungsumfang der strittigen Vergabe auch Funktionen beinhalte, die derzeit durch "Airlock"-Produkte erbracht würden oder werden könnten, also jener Teil der Applikationen und Leistungen, bei denen gerade nicht das Produkt "Nevis" zur Anwendung komme. Die Abhängigkeit von "Nevis" dürfe nicht weiter zementiert werden, sondern es sei zu prüfen, ob sich eine Applikation nicht kostengünstiger durch die "Airlock"- IAM-Plattform oder eine andere Anbieterin erbringen lassen. Auch sei nicht nachvollziehbar, weshalb und in welchem Umfang ein Anbieterwechsel mit unangemessenen Kosten, der Bindung von Ressourcen oder mit Risiken für die Bundesverwaltung verbunden wäre. Die Beschwerdeführerin könne zudem Teilleistungen zu einem wesentlich günstigeren Preis anbieten und würde bei diesen Leistungen parallel zur Zuschlagsempfängerin agieren. O. Mit Zwischenentscheid vom 24. Februar 2022 wies das Gericht das Gesuch der Vergabestelle um eine teilweise Wiedererwägung des Zwischenentscheids vom 30. November 2021 über die aufschiebende Wirkung ab. P. Mit Duplik vom 21. März 2022 beantragt die Vergabestelle, die Beschwerde sei abzuweisen, soweit darauf einzutreten sei. In prozessualer Hinsicht beantragt sie, das Gesuch der Beschwerdeführerin auf eine gerichtliche Begutachtung mittels eines Sachverständigengutachtens sei abzuweisen und der Beschwerdeführerin und der Zuschlagsempfängerin sei nur Einsicht in diejenigen Akten zu gewähren, die im Aktenverzeichnis als "der Akteneinsicht zugänglich" bezeichnet seien. Der Streitgegenstand beschränke sich noch auf die freihändige Vergabe der Leistungen für neue, künftige Applikationen. In materieller Hinsicht stelle sich einzig noch die Frage, ob die Vergabestelle für diese Leistungen die Möglichkeit hätte vorsehen müssen, sich substituierbare Leistungen anbieten zu lassen und entsprechend für diesen Auftrag ein offenes oder selektives Verfahren hätte durchführen müssen. Die Vergabestelle legt dar, dass seit der Einführung der Produktes "Nevis" in den Jahren 2002-2003 bei jedem zivilen Leistungserbringer der Bundesverwaltung ein komplexes Identity and Access Management-System aufgebaut worden sei. Die Bundesverwaltung habe sich für eine Einproduk-
B-3580/2021 testrategie entschieden. Jedes dieser Systeme der Leistungserbringer basiere daher ausschliesslich auf dem Produkt "Nevis". Für die Unterstützung des IAM-Systems, nicht aber die Kernaufgaben, würden periphere Systeme eingesetzt, darunter das Produkt "Airlock". Weitere eingesetzte periphere Systeme seien unter anderem Trustbroker, IT-Security-Systeme, Loadbalancer, Datenbanken, Monitoringsysteme. Diese Systeme seien indessen nicht Teil des Kern-IAM und könnten die Aufgaben des bestehenden IAM-Systems nicht ohne weiteres übernehmen beziehungsweise substituieren. Die Beschwerdeführerin wünsche, dass die Vergabestelle die Leistungen und Lizenzen innerhalb der Vergabe offenlege, die heute bereits vom bestehenden "Airlock"-IAM-System erbracht würden. Die fragliche Vergabe beinhalte aber keine solchen Leistungen des Produkts "Airlock". Die Beschwerdeführerin bleibe überdies den Nachweis schuldig, dass sie mit ihrem Produkt in der Lage wäre, sämtliche Funktionalitäten und Anforderungen zu erfüllen, welche die Bundesverwaltung für ihr IAM benötige und welche heute die "Nevis"-basierte Lösung abdecke. Damit die Bundesverwaltung ununterbrochen das bestehende IAM-System aufrechterhalten könne und bei Bedarf neue Lösungen und Applikationen an das bestehende IAM-System anbinden könne, seien die nachgefragten Leistungen für Wartung, Support und Weiterentwicklung der Nevis-Produkte zwingend notwendig. Auch für Leistungen (Lizenzen, Wartung, Support und Weiterentwicklung) für Applikationen, die neu an das bestehende IAM-System angebunden werden müssten, komme zum heutigen Zeitpunkt nur die Zuschlagsempfängerin in Frage. Die Vergabestelle beschaffe keine neuen IAM-Systeme, es handle sich nicht um ein Migrationsprojekt, sondern wolle die bestehenden "Nevis"-basierenden IAM-Systeme so lange weiter nutzen, bis die Studie und die IAM-Strategie festgelegt und umgesetzt seien. Die Beschwerdeführerin räume selber ein, dass sie die benötigten Leistungen nicht erbringen könne, da sie keine zertifizierte Partnerin der Nevis Security AG sei. Auf kleinere IAM-Anwendungen könne die Behauptung der Beschwerdeführerin, das IAM-System sei so einfach, dass zwei Produkte parallel eingesetzt werden könnten, allenfalls zutreffen, nicht aber auf die komplexen IAM-Systeme der zivilen Bundesverwaltung. Die Einführung eines Parallelsystems sei abzulehnen. Die Beschaffungsbeschwerde könne nicht dazu dienen, einen Strategiewechsel bei der Bundesinformatik herbeizuführen, wozu die zwangsweise Einführung eines weiteren Produkts aber führen würde. Der Aufbau eines Parallelbetriebs hätte nicht verantwortbare technische Risiken und unverhältnismässige finanzielle und personelle Aufwände zur Folge. Die von der Beschwerdeführerin behaupteten "Vorteile" eines Einsatzes von mehreren Produkten rea-
B-3580/2021 lisierten sich in Bezug auf das Bundes-IAM so nicht. Die vorgängig zur freihändigen Beschaffung durchgeführte Marktanalyse habe auch gezeigt, dass keine grössere Unternehmung zwei Produkte für ein IAM-System einsetzen würde. Dies hätten auch IAM-Spezialisten bestätigt. Ein Paralleleinsatz entspreche demnach nicht – wie von der Beschwerdeführerin behauptet – dem aktuellen Wissen moderner Softwareentwicklung. Auch in Bezug auf die Leistungen zum Anschluss neuer Lösungen erweise sich die Vornahme einer freihändigen Vergabe als einzige angemessene Lösung. Die allfällige Einführung eines neuen Produkts erfolge vernünftigerweise erst auf der Basis einer produkteneutralen IAM-Strategie. Basierend auf dieser Strategie erfolge dann eine entsprechende Beschaffung eines IAM-Systems. Zu Recht halte die Beschwerdeführerin fest, dass es zwingend notwendig sei, in einem weiteren Schritt ein entsprechendes Vergabeverfahren durchzuführen. Das zukünftige Vergabeverfahren vermöge aber die vorliegende, sachlich begründete freihändige Vergabe nicht zu ersetzen und könne nicht vorgezogen werden. Der Bundesverwaltung müsse die nötige Zeit zur Verfügung stehen, um solide Grundlagen für die künftige IAM-Strategie und deren Umsetzung zu schaffen. Die Beschwerdeführerin gehe fehl in der Annahme, mit dem hier zugeschlagenen Volumen könnten die IAM-Systeme des Bundes komplett neu aufgebaut werden. Allein die Migration würde die 71 Mio. Fr. verschlingen, ein laufender Betrieb über die nächsten fünf Jahre wäre nicht ansatzweise abgedeckt.
Das Bundesverwaltungsgericht zieht in Erwägung: 1. Ob die Prozessvoraussetzungen erfüllt sind und ob auf eine Beschwerde einzutreten ist, prüft das Bundesverwaltungsgericht von Amtes wegen und mit freier Kognition (vgl. BVGE 2007/6 E. 1 m. H.). 1.1 Am 1. Januar 2021 traten das totalrevidierte Bundesgesetz vom 21. Juni 2019 über das öffentliche Beschaffungswesen (BöB, SR 172.056.1), die dazugehörende Verordnung vom 12. Februar 2020 über das öffentliche Beschaffungswesen (VöB, SR 172.056.11) sowie das revidierte WTO-Übereinkommen über das öffentliche Beschaffungswesen vom 15. April 1994 (Government Procurement Agreement [GPA; SR 0.632.231.422], Fassung gemäss Ziff. 1 des Protokolls vom 30. März 2012 [im Folgenden: GPA 2012], BBl 2017 2175 ff.) in Kraft. Gemäss der
B-3580/2021 in Art. 62 BöB enthaltenen Übergangsbestimmung werden Vergabeverfahren, die vor Inkrafttreten dieses Gesetzes eingeleitet wurden, nach bisherigem Recht zu Ende geführt. Vorliegend ergibt sich aus den Vergabeakten, dass der verwaltungsinterne Antrag auf eine freihändige Auftragsvergabe vom 16. April 2021 datiert. Die Einleitung des Vergabeverfahrens fand demnach im Jahr 2021, nach Inkrafttreten des revidierten BöB statt. Auf den vorliegenden Fall ist daher das revidierte BöB anwendbar. 1.2 Das Bundesverwaltungsgericht ist zuständig für die Beurteilung von Beschwerden gegen die Erteilung eines Zuschlags, der in den Anwendungsbereich des BöB fällt (vgl. Art. 52 Abs. 1 i.V.m. Art. 53 Abs. 1 Bst. e BöB). 1.2.1 Das BöB findet auf die Vergabe öffentlicher Aufträge durch unterstellte Auftraggeberinnen innerhalb und ausserhalb des Staatsvertragsbereichs Anwendung (Art. 1 BöB). Das BöB ist anwendbar, wenn die Auftraggeberin dem Gesetz untersteht (Art. 4 BöB), wenn der Beschaffungsgegenstand sachlich erfasst ist (Art. 8 BöB), der geschätzte Wert des zu vergebenden öffentlichen Auftrages den entsprechenden Schwellenwert (Art. 52 Abs. 1 BöB in Verbindung mit den Anhängen 4 und 5 zum BöB) erreicht und keiner der Ausnahmetatbestände von Art. 5 oder Art 10 BöB gegeben ist. 1.2.2 Innerhalb des Anwendungsbereichs des Gesetzes definiert Art. 52 BöB die Voraussetzungen für den Rechtsschutz. Unterschieden wird dabei zwischen dem Rechtsschutz im und ausserhalb des Staatsvertragsbereichs (vgl. Art. 52 Abs. 1 BöB). Vom Staatsvertragsbereich erfasst werden Beschaffungen, welche dem GPA 2012 unterstellt sind (vgl. BVGE 2008/48 "Areal- und Gebäudeüberwachung PSI" E. 2.1 m.H.). Ein Begehren um aufschiebende Wirkung ist nur im Staatsvertragsbereich zulässig (vgl. Art. 52 Abs. 2 BöB). Wie nach altem Recht gilt demnach nur im Staatsvertragsbereich Primärrechtsschutz, wogegen für die neu rechtsschutzunterstellen Vergaben nur Sekundärrechtsschutz zur Verfügung steht (Botschaft vom 15. Februar 2017 zur Totalrevision des BöB [im Folgenden: Botschaft Totalrevision BöB], BBl 2017 1851, 1977 zu Art. 52 Abs. 2 BöB; vgl. Zwischenentscheid des BVGer B-4703/2021 vom 19. April 2022 E. 2.2 und E. 2.5.1).
B-3580/2021 1.2.3 Die Vergabestelle untersteht als Teileinheit der allgemeinen Bundesverwaltung dem BöB (Art. 4 Abs. 1 Bst. a BöB). 1.2.4 Die massgebenden Schwellenwerte für Lieferungen und Leistungen innerhalb und ausserhalb des Staatsvertragsrechts sind in den Anhängen 4 und 5 zum BöB festgelegt. Die Vergabestelle geht in Ziffer 1.4 der SIMAP-Zuschlagsverfügung vom 21. Juli 2021 von einem "Dienstleistungsauftrag" aus. Art. 8 Abs. 4 BöB sieht vor, dass im Staatsvertragsbereich die Leistungen nach Massgabe der Anhänge 1-3 dem BöB unterstehen, soweit sie den Schwellenwert nach Anhang 4 Ziffer 1 erreichen. Anders als Bauleistungen und Lieferungen, die in sachlicher Hinsicht grundsätzlich allesamt dem staatsvertraglichen Vergaberecht unterstellt sind, gilt für Dienstleistungen sowohl nach GPA 2012 (vgl. Anhang 1 Annex 5) als auch nach dem auf den 1. Juni 2002 in Kraft getretenen bilateralen Abkommen vom 21. Juni 1999 zwischen der Schweizerischen Eidgenossenschaft und der Europäischen Gemeinschaft über bestimmte Aspekte des öffentlichen Beschaffungswesens (BAöB, SR 0.172.052.68, vgl. Anhang VI) eine sogenannte Positivliste (Anhang 3 zum BöB). Die für die Geltung der Staatsverträge in sachlicher Hinsicht massgebliche Dienstleistungs-Positivliste verweist auf einzelne Ziffern der provCPC-Klassifikation (Provisional Central Product Classification) (zum Ganzen BVGE 2011/17 E. 5.2.1 ff. "Personalverleih"; Urteil des BVGer B-4958/2013 vom 30. April 2014 E. 1.5.2 "Projektcontrollingsystem Alp- Transit"). In Ziffer 2.2 der SIMAP-Zuschlagsverfügung wies die Vergabestelle die Beschaffung der Dienstleistungskategorie CPC "Datenverarbeitung und verbundene Tätigkeiten" zu. Gemäss Anhang 3 zum BöB entspricht diese Kategorie der provCPC-Referenznummer 84 (ebenso Anhang I Annex 5 GPA 2012: Datenverarbeitung und verbundene Dienstleistungen). Die Vergabestelle wies die Beschaffung sodann den CPV (Common Procurement Vocabulary)-Kategorien "72212100 – Entwicklung von branchenspezifischer Software" und "72000000 - IT Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung" zu (Ziffer 2.3 der SIMAP- Zuschlagsverfügung). Gegenstand des im vorliegenden Verfahren angefochtenen Zuschlags ist der Bezug von Softwarelizenzen, Wartung, Support und Weiterentwicklungen. Die Einstufung in die erwähnten Kategorien erscheint daher als zutreffend. Bei der vorliegenden Beschaffung handelt es sich demnach um einen Dienstleistungsauftrag im Sinne von Art. 8 BöB in Verbindung mit Anhang 3 zum BöB.
B-3580/2021 Angesichts des Preises des berücksichtigten Angebots von Fr. 71'495'029.50 (inkl. MwSt. und inkl. Optionen) ist davon auszugehen, dass der geschätzte Auftragswert den für Dienstleistungen geltenden Schwellenwert von Fr. 230'000.– übersteigt (Art. 8 Abs. 4 BöB i.V.m. Anhang 4 Ziff. 1.1 zum BöB). 1.2.5 Da auch kein Ausnahmetatbestand im Sinne von Art. 10 BöB vorliegt, fällt die vorliegend angefochtene Beschaffung nicht nur in den Anwendungsbereich des Bundesgesetzes über das öffentliche Beschaffungswesen, sondern auch in den Staatsvertragsbereich. 1.2.6 Das Bundesverwaltungsgericht ist daher für die Beurteilung der vorliegenden Streitsache zuständig. 1.3 Das Beschwerdeverfahren richtet sich nach den Bestimmungen des VwVG, soweit das BöB nichts anderes bestimmt (vgl. Art. 55 BöB). 1.4 Das Bundesverwaltungsgericht hat mit Zwischenentscheid vom 30. November 2021 der Beschwerde die aufschiebende Wirkung verweigert, soweit sie Leistungen für Applikationen betrifft, für die bereits jetzt "Nevis" eingesetzt wurde. In der Folge schloss die Vergabestelle am 21. Dezember 2021 einen Vertrag im erlaubten Umfang mit der Zuschlagsempfängerin ab. Mit diesem Vertragsschluss zwischen der Vergabestelle und der Zuschlagsempfängerin wird das Beschwerdebegehren der Beschwerdeführerin auf Aufhebung der Zuschlagsverfügung und Rückweisung der Sache zur Durchführung eines Vergabeverfahrens und neuer Zuschlagserteilung teilweise gegenstandslos. In einer derartigen Situation wird an sich praxisgemäss – in maiore minus – ein Interesse der Beschwerdeführerin daran, dass das Bundesverwaltungsgericht in seinem Urteil feststelle, inwiefern die angefochtene Verfügung Bundesrecht verletze (Art. 58 Abs. 2 BöB) und über ein allfälliges Schadenersatzbegehren entscheide (Art. 58 Abs. 3 BöB), als hinreichendes Interesse anerkannt, um eine Beschwerdelegitimation zu begründen. Allerdings beschränkt sich der mögliche Schadenersatz auf die erforderlichen Aufwendungen, die der Beschwerde führenden Anbieterin im Zusammenhang mit der Vorbereitung und Einreichung ihres Angebots erwachsen sind (Art. 58 Abs. 4 BöB). Wird, wie vorliegend, ein freihändiger Zuschlag angefochten, so dass die Beschwerdeführerin gar kein eigenes Angebot
B-3580/2021 eingereicht hatte, ist daher ein derartiges Interesse der Beschwerdeführerin nicht ersichtlich. Soweit das vorliegende Verfahren durch den vom Gericht autorisierten Vertragsabschluss gegenstandslos geworden ist, ist daher lediglich noch im Hinblick auf die Kostenverlegung zu prüfen, wie die Beschwerde in Bezug auf diesen Teil des Streitgegenstands zu entscheiden gewesen wäre (vgl. Art. 5 des Reglements vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht [VGKE, SR 173.320.2]). 1.5 Die Beschwerdelegitimation richtet sich auch im Beschaffungsrecht nach dem allgemeinen Verfahrensrecht des Bundes (vgl. BGE 137 II 313 E. 3.2 "Microsoft"). Eine Ausnahme von diesem Grundsatz stellt Art. 56 Abs. 4 BöB dar, der in Bezug auf Beschwerden gegen einen freihändigen Zuschlag eine besondere Regelung enthält. Demnach kann gegen Zuschläge im freihändigen Verfahren nur Beschwerde führen, wer nachweist, dass er die nachgefragten Leistungen oder damit substituierbare Leistungen erbringen kann und erbringen will. Es kann nur gerügt werden, das freihändige Verfahren sei zu Unrecht angewandt oder der Zuschlag sei aufgrund von Korruption erteilt worden (Art. 56 Abs. 4 BöB). 1.5.1 Beruft sich die Vergabestelle für die Zulässigkeit des Freihandverfahrens darauf, dass für den beabsichtigten Beschaffungsgegenstand nur ein Anbieter in Frage komme, und macht der Beschwerdeführer dagegen geltend, der Beschaffungsgegenstand sei zu Unrecht so definiert worden, so ist unter dem revidierten BöB nun unzweideutig klargestellt, dass nicht nur beschwerdelegitimiert ist, wer geltend macht, genau diese Leistung erbringen zu können, sondern auch, wer nachweist, dass es eine damit substituierbare Leistung gibt, die er erbringen könnte. Ob die Vergabestelle den Beschaffungsgegenstand zulässigerweise so eng festgelegt hat, dass nur ein Anbieter in Frage kommt, oder ob es eine damit substituierbare Leistung gäbe, wird damit zu einem sogenannten doppelrelevanten Sachverhalt: Diese Frage bildet Gegenstand der materiellen Beurteilung (weil davon die Zulässigkeit des freihändigen Verfahrens abhängt), aber zugleich ist sie vorfrageweise von Bedeutung für das Vorliegen der Prozessvoraussetzungen (vgl. BGE 141 II 14 E. 5.1 "Monte Ceneri"; BGE 137 II 313 E. 3.3.2 f. "Microsoft"; Urteil des BVGer B-1570/2015 vom 7. Oktober 2015 E. 1.5.2 f. "Warnblitzleuchte Eflare"). Für derartige doppelrelevante Sachverhalte gilt, dass es im Stadium der Prüfung der Eintretensvoraussetzungen genügt, wenn der Beschwerdeführer glaubhaft macht ("mit einer gewissen Wahrscheinlichkeit geltend macht", "rende vraisemblable"), dass
B-3580/2021 seine Aussichten, nach einer Aufhebung der angefochtenen Verfügung den Zuschlag zu erhalten, intakt sind (vgl. BGE 141 II 14 E. 5.1 "Monte Ceneri", m.H.; FLORIAN C. ROTH, in: Trüeb [Hrsg.], Handkommentar zum schweizerischen Beschaffungsrecht, 2020, Art. 56 N. 33). 1.5.2 Die Vergabestelle bestreitet die Beschwerdelegitimation der Beschwerdeführerin mit dem Argument, mit der vorliegenden Beschaffung würden in erster Linie Dienstleistungen und Wartungslizenzen beschafft, die sich auf das im Bund bereits verbreitet eingeführte Produkt "Nevis" bezögen. Zum heutigen Zeitpunkt sei es unmöglich, das Produkt "Nevis" nicht mehr einzusetzen. Da die Beschwerdeführerin nicht als Partnerin der Produkteeigentümerin Nevis Security AG fungiere, sei davon auszugehen, dass diese Leistungen von ihr nicht erbracht werden könnten. Nur die Zuschlagsempfängerin verfüge über den erforderlichen Partnerstatus. Sie sei daher als einzige in der Lage, das Gesamtpaket von Wartung, Support, Lizenzen und kundenspezifischer Anpassungen am Produkt "Nevis" aus einer Hand anzubieten. Solange die IAM-Strategie weder vorliege noch umgesetzt sei beziehungsweise das aktuell im Einsatz stehende Produkt "Nevis" in Betrieb bleiben müsse, sei der Markt für die vorliegend in Frage stehenden Dienstleistungen auf eine Unternehmung – die Zuschlagsempfängerin – beschränkt. Die Beschwerdeführerin machte in ihrer Beschwerde geltend, sie könne den Dienstleistungsauftrag im Sinne einer angemessenen Alternative zur Zuschlagsempfängerin erfüllen. In ihrer Stellungnahme vom 16. September 2021 relativiert sie diese Aussage dahingehend, dass sie nicht die Absicht habe, "Nevis" zu ersetzen. Ihr Ziel sei es vielmehr, Regeln zu schaffen, die definierten, welche neuen Applikationen und Leistungen künftig über die bestehende "Airlock"-IAM-Installation und welche über "Nevis" authentisiert und autorisiert würden. Sie möchte ihre Leistungen dort parallel erbringen, wo sie dies wesentlich kostengünstiger tun könne. Ihr Produkt "Airlock IAM" sei schon seit 2010 in der Bundesverwaltung im Einsatz. Verschiedene Leistungserbringer in den Departementen EDA, EFD, WBF, UVEK, EJPD und VBS nutzten "Airlock"-IAM. Das BIT verfüge bereits über ein Team von Engineers, das auf der Basis von "Airlock"-IAM diese Integration vornehmen könne. Auf der Basis der bestehenden "Airlock"-IAM-Installation könnten die Beschwerdeführerin und ihr Partner mindestens einen Teil der zusätzlich zu erwartenden Applikationen gemäss den Anforderungen authentisieren und autorisieren. Sie biete mit "Airlock IAM" ein Produkt mit vergleichbarem Leistungsumfang wie "Nevis" an, jedoch im Vergleich mit der Zuschlagsempfängerin zu einem kostengünstigen Ansatz.
B-3580/2021 Bevor die Software "Nevis" in grossem Umfang in der Bundesverwaltung weiterverbreitet werde, sei eine Prüfung von Alternativen beziehungsweise die Prüfung der Frage erforderlich, ob eine Implementation mit dem Produkt der Beschwerdeführerin wirtschaftlicher und mit weniger Risiken möglich sei. 1.5.3 Nachdem die Beschwerdeführerin im Lauf des Verfahrens ihre Behauptung, alle Leistungen, die Gegenstand der angefochtenen freihändigen Beschaffung sind, in damit substituierbarer Form erbringen zu wollen, relativiert hat auf diejenigen Leistungen, welche neue Applikationen und Leistungserbringungen betreffen, war sie nicht mehr legitimiert, den Zuschlag insofern anzufechten, als dieser Leistungen für Applikationen betrifft, für die bereits jetzt "Nevis" eingesetzt werden. Soweit daher im Hinblick auf die Kostenverlegung für den gegenstandslos gewordenen Teil des Streitgegenstands zu prüfen ist, wie die Beschwerde diesbezüglich zu entscheiden gewesen wäre (vgl. E. 1.4 hievor), ist daher davon auszugehen, dass diesbezüglich auf die Beschwerde nicht einzutreten gewesen wäre. 1.6 Soweit es in der angefochtenen freihändigen Vergabe dagegen um neue Applikationen und Leistungen geht, bei denen zurzeit noch nicht "Nevis" zur Anwendung gelangt, und in Bezug auf welche das Bundesverwaltungsgericht die aufschiebende Wirkung gewährt hat, ist zwischen den Parteien umstritten, ob das von der Vergabestelle favorisierte "Nevis"-System durch das von der Beschwerdeführerin angebotene "Airlock"-System substituierbar ist oder nicht. Die Vergabestelle macht diesbezüglich geltend, die Beschwerdeführerin bleibe den Nachweis schuldig, dass sie mit ihrem Produkt in der Lage wäre, sämtliche Funktionalitäten und Anforderungen zu erfüllen, welche die Bundesverwaltung für ihr IAM benötige und welche die "Nevis"-basierte Lösung abdecke. Erst die geplante Studie werde zeigen, ob das Produkt der Beschwerdeführerin den verlangten Zweck erfüllen könne. 1.6.1 Die Beweislast für das Vorliegen der Voraussetzungen für eine freihändige Vergabe liegt bei der Vergabestelle (vgl. E. 2.1 hienach). Da und soweit die Vergabestelle nicht konkret und nachvollziehbar dargelegt hat, welche Funktionalitäten und Anforderungen das IAM-System für die neuen Applikationen und Leistungen, bei denen zurzeit noch nicht "Nevis" zur An-
B-3580/2021 wendung gelangt, je aufweisen muss, obliegt die Substantiierungslast dafür, dass die Beschwerdeführerin mit ihrem System diese Funktionalitäten und Anforderungen erfüllt und insofern eine substituierbare Leistung anbieten könnte, daher nicht der Beschwerdeführerin, zumal unbestritten ist, dass deren Produkt "Airlock" bereits bisher in der Bundesverwaltung in verschiedenen Departementen genutzt wird. Ansonsten bezieht sich die Argumentation der Vergabestelle lediglich auf die Frage, ob ihr eine derartige Substitution zumutbar sei, insbesondere in wirtschaftlicher Hinsicht und unter Risikoaspekten, und nicht auf die Frage, ob die Beschwerdeführerin überhaupt eine substituierbare Leistung anbieten könne. Unter diesen Umständen ist davon auszugehen, dass die Beschwerdeführerin in für die Legitimationsfrage erforderlichem Ausmass glaubhaft gemacht hat, dass "Nevis" in Bezug auf die neuen Applikationen und Leistungen, bei denen zurzeit noch nicht "Nevis" zur Anwendung gelangt, durch "Airlock" substituierbar ist. 1.6.2 In Bezug auf die Anfechtung der freihändigen Beschaffung von IAM- Dienstleistungen für diese neuen Applikationen und Leistungen ist die Legitimation der Beschwerdeführerin daher gegeben. 1.7 Eingabefrist sowie die Anforderungen an Form und Inhalt der Beschwerdeschrift sind gewahrt (vgl. Art. 50 Abs. 1 und Art. 52 Abs. 1 VwVG), der Rechtsvertreter hat sich rechtsgenüglich ausgewiesen (vgl. Art. 11 VwVG) und der Kostenvorschuss wurde fristgerecht bezahlt (vgl. Art. 63 Abs. 4 VwVG). 1.8 Auf die Beschwerde ist daher einzutreten, soweit sie sich gegen die freihändige Beschaffung von IAM-Dienstleistungen für neue Applikationen und Leistungen, bei denen zurzeit noch nicht "Nevis" zur Anwendung gelangt, richtet. 2. Die Beschwerdeführerin rügt, das freihändige Verfahren sei in unzulässiger Weise zur Anwendung gelangt. 2.1 Die Vergabestelle kann einen Auftrag unabhängig vom Schwellenwert freihändig vergeben, wenn eine der in Art. 21 Abs. 2 Bst. a-i BöB aufgeführten Voraussetzungen erfüllt ist. Diese abschliessend aufgezählten Ausnahmetatbestände bilden einen numerus clausus, egal wie überzeugend
B-3580/2021 andere mögliche Rechtfertigungen für freihändige Vergaben sein mögen ("no matter what the justification"; SUE ARROWSHMITH, Government Procurement in the WTO, 2003, S. 282; vgl. Zwischenentscheid des BVGer B-3402/2009 vom 2. Juli 2009, auszugsweise publiziert in BVGE 2009/19 E. 4.1 m.H. "Microsoft"). Da es sich um Ausnahmen handelt, sind die Tatbestände, unter denen eine freihändige Beschaffung zulässig ist, nach der Rechtsprechung restriktiv auszulegen (Entscheide der Eidgenössischen Rekurskommission für das öffentliche Beschaffungswesen [BRK] vom 26. Januar 2001, in: Verwaltungspraxis der Bundesbehörden[VPB] 65.77 E. 2a; vom 3. November 2000, in: VPB 65.41 E. 4a m.H; PETER GALLI/ANDRÉ MOSER/ELISABETH LANG/MARC STEINER, Praxis des öffentlichen Beschaffungsrechts, 3. Aufl. 2013, Rz. 291; Botschaft Totalrevision BöB, BBl 2017 1851, 1925; insoweit kritisch ARROWSMITH, a.a.O., S. 282 f.; HANS RUDOLF TRÜEB/NATHALIE CLAUSEN, in: Oesch/Weber/Zäch [Hrsg.], Wettbewerbsrecht II, 2. Aufl. 2021, Rz. 5 f. zu Art. 21 BöB). Die Vergabestelle ist verpflichtet darzutun, dass sie sich einlässlich mit den Anwendungsvoraussetzungen der Norm auseinandergesetzt und vor deren Anwendung insbesondere detailliert abklärt hat, ob es wirklich keine angemessene Alternative zum Angebot des von ihr präferierten Anbieters gibt; dafür muss sie zwar kein vorgängiges offenes Verfahren durchführen, aber dennoch das Vorliegen der Voraussetzungen für die Anwendung der Ausnahmevorschrift anhand der durchgeführten Abklärungen zumindest glaubhaft machen (GALLI/MOSER/LANG/STEINER, a.a.O., Rz. 406). Insbesondere muss die Vergabestelle darlegen, dass sie sich im Lichte der konkreten Beschaffung – vor Einleitung der freihändigen Vergabe – detailliert mit den Anwendungsvoraussetzungen der Ausnahmevorschrift auseinandergesetzt, in vergaberechtskonformer Weise technische Anforderungen aufgestellt und gestützt darauf den Markt analysiert hat, bevor sie zum Schluss gekommen ist, dass die Voraussetzungen für eine freihändige Vergabe erfüllt sind (Urteil des BVGer B-1570/2015 E. 2.3 ff. "Warnblitzleuchte Eflare"). Wer sich auf das Vorliegen eines Ausnahmetatbestands für die freihändige Vergabe beruft, hat grundsätzlich nachzuweisen, dass alle Voraussetzungen dafür erfüllt sind. Die Beweislast für das Vorliegen der die Ausnahme begründenden Tatsachen liegt daher bei der Vergabestelle (vgl. B-1570/2015 E. 2.3 ff. "Warnblitzleuchte Eflare"; Zwischenentscheid B-3402/2009, auszugsweise publiziert in BVGE 2009/19 E. 4.2 "Microsoft"; Entscheid der BRK vom 3. November 2000, in: VPB 65.41 E. 4b; ARROWS- MITH, a.a.O., S. 282; GALLI/MOSER/LANG/STEINER, a.a.O., Rz. 301).
B-3580/2021 2.2 Im vorliegenden Fall beruft sich die Vergabestelle zur Begründung ihrer freihändigen Vergabe auf Art. 21 Abs. 2 Bst. c BöB, welcher wie folgt lautet: Die Auftraggeberin kann einen Auftrag unabhängig vom Schwellenwert freihändig vergeben, wenn aufgrund der technischen oder künstlerischen Besonderheiten des Auftrags oder aus Gründen des Schutzes geistigen Eigentums nur eine Anbieterin in Frage kommt und es keine angemessene Alternative gibt (vgl. Art. 21 Abs. 2 Bst. c BöB). 2.3 Die Vergabestelle macht diesbezüglich geltend, die aktuellen IAM-Lösungen des Bundes basierten auf dem Produkt "Nevis". Dieses Produkt sei in den Jahren 2002-2003 eingeführt worden und bestehe aus verschiedenen Modulen. Im Verlauf der Jahre sei die Anzahl Benutzer und genutzter "Nevis"-Module erhöht worden. Der Zuschlag sei der Zuschlagsempfängerin erteilt worden, weil sie aktuell die einzige zertifizierte Partnerin von "Nevis" sei. Lediglich die Zuschlagsempfängerin sei in der Lage, aufgrund ihres Partnerstatus beziehungsweise ihrer Zertifizierung durch die Nevis Security AG das Gesamtpaket von Wartung, Support, Lizenzen und kundenspezifischen Anpassungen am Produkt "Nevis" aus einer Hand anzubieten. Erst wenn weitere Firmen zertifiziert seien, würde die Möglichkeit bestehen, den Leistungserbringer für Wartung, Support und Betrieb zu wechseln, ohne das Produkt "Nevis" austauschen zu müssen. Müssten kurzfristig die Zugriffsrechte bei neu hinzukommenden Applikationen mit einem anderen Produkt verwaltet werden, müsste ein paralleler Betrieb von jeweils zwei solchen Systemen aufgebaut werden. Eine solche Erweiterung durch ein zweites IAM-System pro Leistungserbringer hätte nicht verantwortbare technische Risiken und unverhältnismässige Mehrkosten zur Folge und würde dem Grundsatz der Wirtschaftlichkeit nicht entsprechen. Zudem habe der Bundesrat mit seinen Standardisierungsentscheiden vom 13. Dezember 2013 beziehungsweise 29. Juni 2016 festgelegt, dass es pro Organisation nur einen IAM-Standard geben solle. Die Vergabestelle sei daher nicht befugt, ohne Weiteres ein zweites Produkt einzuführen und damit eine Mehrproduktestrategie zu fahren. Das Produkt "Airlock" der Beschwerdeführerin werde vom BIT zwar bereits eingesetzt, aber zu einem anderen Zweck als das Produkt "Nevis". Die restlichen zivilen Leistungserbringer setzten das Produkt "Airlock" nicht ein. Die Airlock- Anwendung beim BIT unterstütze das IAM-System von "Nevis". Es diene dem Zweck, eine Authentifizierung von Zweitfaktoren wie beispielsweise via SMS zu ermöglichen. Es handle sich um einen einfachen Vorgang, der nicht mit der Komplexität oder dem Zweck des IAM-Services vergleichbar
B-3580/2021 sei. Die Marktabklärung von 2016 habe ergeben, dass das Produkt "Airlock" nicht den gleichen Zweck wie "Nevis" erfüllen könne. Ob sich dieses Bild verändert habe, werde die Studie, die derzeit erarbeitet werde, zeigen. Wenn ein anderes Produkt für den IAM-Service eingesetzt werden solle (ein auf dem Markt vorhandenes oder allenfalls eine bundesinterne eigene Entwicklung), müsse das Gesamtsystem auf ein neues Produkt migriert werden. Bevor eine umfassende Migration des Gesamtsystems auf ein neues Produkt an die Hand genommen werden könne, benötige die Bundesverwaltung eine neue, langfristig ausgerichtete IAM-Strategie. Liege diese vor, würden auch die nächsten beschaffungsrechtlichen Schritte geplant und durchgeführt. Um diese Strategie zu entwickeln, sei eine fundierte Studie erforderlich. Diese werde derzeit erarbeitet. 2.4 In den eingereichten Vergabeakten befindet sich eine interne "Begründung für die freihändige Vergabe nach dem Gesetz über das öffentliche Beschaffungswesen (BöB), Art. 21 Abs. 2 lit. c BöB" vom 16. April 2021 (im Folgenden: Begründung vom 16. April 2021), in welche die Beschwerdeführerin grösstenteils Einsicht erhielt. In dieser Begründung wird ausgeführt, das heutige Produkt "Nevis" und der Partner Y._______ AG seien im Jahr 2003 vom ISC-EJPD evaluiert worden. Die wichtigsten Gründe für den damaligen Entscheid für dieses Produkt und die freihändige Vergabe seien die Flexibilität der Lösung, die "Enterprise-Fähigkeit" und die Referenzen auf dem Schweizer Markt, der hohe Level an IT-Sicherheit, die Anpassungsmöglichkeiten auf die Bedürfnisse des Bundes und die gute Perspektive gewesen. Später hätten sich auch das BIT und das ISCeco aus denselben Gründen, und weil "Nevis" bereits in der Bundesverwaltung eingesetzt worden sei, für das Produkt und die Zuschlagsempfängerin Y._______ AG entschieden. Die Arbeitslosenversicherung betreibe eigene Fachanwendungen und arbeite mit Fachanwendungen der Kantone zusammen. Ein Identity- und Access Management in einer so verteilten Umgebung mit unterschiedlichsten Zugriffsrechten von unterschiedlichen Organisationen beinhalte eine sehr hohe Komplexität. Mittels einer auf "Nevis" basierten ALV-Bridge würden die Identitäten mit weiteren Attributen angereichert und ermöglichten so den Zugriff auf die Infrastruktur eines Kantons. Diese IAM ALV-Bridge sei von Y._______ AG entwickelt worden. Die Wahl sei diesbezügliche auf "Nevis" gefallen, da die ALV-Bridge ein Übergang von der aktuellen BIT-IAM Lösung darstelle und deren Technologie verwende.
B-3580/2021 Auch wenn eine Lösung zur vollsten Zufriedenheit betrieben und weiterentwickelt werden könne, sei es notwendig, periodisch die Strategie zu überdenken und die Produkte und Partner in Frage zu stellen. Ein Strategieentscheid erfordere immer eine ausgiebige Studie, die einerseits den aktuellen Produkte-Markt analysiere, die Bedürfnisse von heute und morgen und die technische Entwicklung im Themenbereich und die Folgen und Kosten einer eventuellen Migration auf ein Drittprodukt oder gar auf eine Eigenentwicklung aufzeige. Die Anforderungen an IAM in der Bundesverwaltung seien in den letzten Jahren sprunghaft angestiegen. Auch habe durch die Corona-Krise der elektronische Zugang zur Bundesverwaltung einen ganz anderen Stellenwert erhalten, so dass seit einem Jahr sehr viele hoch sensible und arbeitsintensive Anpassungen an IAM durchgeführt und für das BAG und Swissmedic wie auch für weitere einige neue Lösungen integriert worden seien. Nun solle auf Basis der aktuellen Bedürfnisse in der Bundesverwaltung und der technischen Möglichkeiten von heute möglichst zeitnah die IAM-Strategie überprüft werden. Eine entsprechende Studie sei bis Ende 2021 geplant im Hinblick auf einen Entscheid über die bundesweite IAM-Strategie im ersten Quartal 2022 (Begründung vom 16. April 2021, Ziff. 1.1.3 S. 4). Es bestehe keine angemessene Alternative zu einer weiteren Beschaffung der verschiedenen "Nevis"-Module, denn als Alternative komme nur eine Migration der gesamten IAM-Lösungen beziehungsweise -Funktionalität auf ein Drittsystem in Frage. Aktuell sei keine Standardsoftware bekannt, die die bestehende IAM-Lösung sofort ersetzen könnte. Gemäss den Marktabklärungen aus dem Jahr 2016 gebe es auf dem Markt keine alternative Standardsoftware, welche alle heute verwendeten Protokolle (HTTPs, SSL, ICA, RMI/llOP, SAML, WS-Trust, künftig auch WS-Federation sowie OAuth) auch per single-sign-on anbiete. Ob eine erneute Marktabklärung zum selben Schluss komme, werde die im 2. Halbjahr 2021 durchzuführende Studie zeigen. Aber auch wenn es eine passende Alternativsoftware geben würde, müsste jede der 400 Fachapplikationen einzeln betrachtet beziehungsweise migriert werden (Begründung vom 16. April 2021, Ziff. 4.2.1-4.2.2 S. 8 f.). 2.5 Wie bereits dargelegt, liegt die Beweislast für das Vorliegen der Voraussetzungen für eine freihändige Vergabe bei der Vergabestelle. Insbesondere muss die Vergabestelle darlegen, dass sie sich im Lichte der konkreten Beschaffung – vor Einleitung der freihändigen Vergabe – detailliert mit den Anwendungsvoraussetzungen der Ausnahmevorschrift auseinandergesetzt, in vergaberechtskonformer Weise technische Anforderungen
B-3580/2021 aufgestellt und gestützt darauf den Markt analysiert hat, bevor sie zum Schluss gekommen ist, dass die Voraussetzungen für eine freihändige Vergabe erfüllt sind (vgl. E. 2.1 hiervor). Im vorliegenden Fall geht aus der vergabestelleninternen Begründung vom 16. April 2021 nicht hervor, dass diese Voraussetzungen gegeben wären. Ganz im Gegenteil bringt dieses interne Papier unzweideutig zum Ausdruck, dass eine genaue Analyse der eigenen technischen Bedürfnisse und des relevanten Marktes noch gar nicht vorgenommen wurde, sondern erst im Rahmen einer Studie geplant ist, die in der Zeit bis Ende 2021 durchgeführt werden soll, im Hinblick auf einen Entscheid über eine bundesweite IAM-Strategie im ersten Quartal 2022. Die letzte Marktabklärung erfolgte vor sechs Jahren, und in der vergabestelleninternen Begründung wird nicht substantiiert, aus welchen Gründen davon auszugehen sei, dass eine erneute Marktanalyse zum gleichen Ergebnis führen würde, nämlich, dass es keine Alternativprodukte gebe, welche "Nevis" substituieren könnten, sondern es wird ausgeführt, dass erst diese Studie zeigen würde, ob das Ergebnis der Abklärung heute das gleiche wäre. Dass diese Studie nach der Verfassung dieser Begründung vom 16. April 2021 bereits durchgeführt worden wäre, hat die Vergabestelle nicht behauptet. 2.6 Dass die Vergabestelle eine gewisse Zeit benötigt, um eine derartige Studie durchzuführen, leuchtet ohne Weiteres ein. Da indessen das Resultat der Analysen erforderlich ist, um eine freihändige Vergabe zu begründen (vgl. E. 2.1 hievor), kann der Umstand, dass die Vergabestelle diese noch nicht durchgeführt hat, sie nicht zu einer freihändigen Vergabe berechtigen, zumal auch keine Gründe dargetan oder ersichtlich wären, warum die Vergabestelle ohne eigenes Verschulden daran gehindert gewesen wäre, diese Studie oder Analysen rechtzeitig vor dem Entscheid für eine freihändige Vergabe durchzuführen. 2.7 Die Vergabestelle macht geltend, der Bundesrat habe mit seinen Standardisierungsentscheiden vom 13. Dezember 2013 respektive 29. Juni 2016 festgelegt, dass es pro Organisation nur einen IAM-Standard geben solle. Sie sei daher nicht befugt, ohne weiteres ein zweites Produkt einzuführen und damit eine Mehrproduktestrategie zu fahren. Der Ausnahmetatbestand von Art. 21 Abs. 2 Bst. c BöB beruht seinerseits auf Art. XIII Ziff. 1 Bst. b GPA-2012. Die Vergabestelle macht zu Recht nicht
B-3580/2021 konkret geltend, der Bundesrat wäre befugt, im in Frage stehenden Bereich der Beschaffung eines IAM-Produkts von den Bestimmungen des GPA abzuweichen. Die Standardisierungsentscheide des Bundesrats entbinden die Vergabestelle daher nicht davon, den Nachweis zu erbringen, dass die Voraussetzungen von Art. 21 Abs. 2 Bst. c BöB gegeben sind. Hinzu kommt, dass die Beschwerde gegen die freihändige Vergabe der IAM-Dienstleistungen in Bezug auf Leistungen und Applikationen, bei denen bereits "Nevis" zur Anwendung kommt, nicht abgewiesen wurde, sondern auf diese Beschwerde lediglich nicht eingetreten wurde. Ob dieser Teil der freihändigen Vergabe rechtskonform war oder nicht, bleibt damit unbeurteilt. Analog zum Ausnahmetatbestand einer Folgebeschaffung (Art. 21 Abs. 2 Bst. e BöB) ist auch bei einer Berufung auf den Wunsch nach einer einheitlichen Lösung für alle Organisationseinheiten zu verlangen, dass die früher bezogenen Leistungen, mit welchen die Einheitlichkeit gewünscht wird, in einem dem massgeblichen Auftragswert entsprechenden Verfahren vergeben worden sind (vgl. Zwischenentscheide B-3402/2009, auszugsweise publiziert in BVGE 2009/19 E. 6.1 m.w.H. "Microsoft"; B-5729/2009 vom 15. Oktober 2009 E. 5.2.1; B-3576/2021 vom 10. September 2021 E. 4.2.7; Botschaft Totalrevision BöB, BBl 2017 1851, 1928; GIANNI FRÖHLICH-BLEULER, Die Vergabe von IT-Verträgen / IV.-VI., BR Nr. 32 2016, S. 293 Rz. 61; ROBERT WOLF, Freihändige Beschaffung – Handlungsfreiheiten und ihre Grenzen, I.-II., Aktuelles Vergaberecht 2010, S. 146 Rz. 45 m.w.H.). Im vorliegenden Fall ist indessen unbestritten, dass alle bisherigen "Nevis"-Beschaffungen freihändig erfolgt waren. Den Ausführungen der Vergabestelle lässt sich entnehmen, dass nicht nur die Unternehmerlizenz "Nevis" im Jahr 2003 freihändig erworben wurde, sondern auch die in den Folgejahren 2008, 2009, 2012, 2017 und 2021 benötigten Dienstleistungen für das ISC-EJPD, das BIT und das ISCeco jeweils in freihändigen Verfahren bei der Zuschlagsempfängerin beschafft wurden. Im Verlauf der Jahre vervielfachten sich die Kosten der Beschaffung von 3,75 Mio. Fr. im Jahr 2003 auf rund 51 Mio. Fr. (Grundauftrag) beziehungsweise 20,4 Mio. Fr. (Option) im Jahr 2021, das heisst total über 70 Mio. Franken. Insgesamt wurden somit rund 100 Mio. Fr. ohne Ausschreibungsverfahren vergeben. Aus der bereits existierenden weiten Verbreitung von "Nevis" in der Bundesverwaltung kann die Vergabestelle daher nichts zu ihren Gunsten ableiten. Vielmehr zeigt ihre Argumentation, dass, wenn die Beschwerde abgewiesen würde und sie damit berechtigt würde, "Nevis" auch für weitere Leistungen und Applikationen freihändig zu beschaffen, sie damit Fakten
B-3580/2021 schaffen würde, welche – jedenfalls ihrer Auffassung nach – im Rahmen des bevorstehenden Strategieentscheides zu Gunsten weiterer freihändiger Vergaben herangezogen werden könnten. 2.8 Im Ergebnis ist es der Vergabestelle somit nicht gelungen, den ihr obliegenden Nachweis zu erbringen, dass die Voraussetzungen für eine freihändige Vergabe gegeben sind. 2.9 Unter diesen Umständen erübrigt es sich, das von der Beschwerdeführerin beantragte Gutachten einzuholen. 3. Die Beschwerde erweist sich damit als begründet, soweit sie nicht gegenstandslos geworden ist. Der angefochtene freihändige Zuschlag ist daher aufzuheben, soweit er die Beschaffung von IAM-Dienstleistungen für neue Applikationen und Leistungen, bei denen zurzeit noch nicht "Nevis" zur Anwendung gelangt, zum Gegenstand hat, und die Sache ist an die Vergabestelle zurückzuweisen, damit sie im Sinne der Erwägungen prüfe, ob die Voraussetzungen für eine freihändige Vergabe erfüllt sind oder nicht, bevor sie erneut darüber entscheidet, ob der Auftrag im offenen oder selektiven Verfahren oder aber freihändig zu vergeben ist. 4. Die Verfahrenskosten sind den Parteien nach Massgabe ihres Unterliegens aufzuerlegen (vgl. Art. 63 Abs. 1 VwVG; Art. 1 ff. VGKE). Dabei gilt die Rückweisung zu erneutem Entscheid bei offenem Ausgang praxisgemäss als Obsiegen (vgl. Urteil des BGer 2C_846/2013 vom 28. April 2014 E. 3.2). Vergabestellen haben, auch wenn sie unterliegen, keine Verfahrenskosten zu tragen (Art. 63 Abs. 2 VwVG). Beim dargelegten Verfahrensausgang gilt die Beschwerdeführerin als lediglich in geringem Ausmass obsiegend, da die IAM-Dienstleistungen für Applikationen und Leistungen, bei denen noch nicht "Nevis" zur Anwendung gelangt, nur einen kleinen Anteil am angefochtenen Beschaffungsgegenstand ausmachen. In Bezug auf die IAM-Dienstleistungen für Applikationen und Leistungen, bei denen bereits "Nevis" zur Anwendung gelangt, war das Verfahren durch den vom Gericht autorisierten Vertragsabschluss gegenstandslos geworden, weshalb diesbezüglich lediglich noch im Hinblick auf die Kostenverlegung zu prüfen war, wie die Beschwerde in Bezug auf diesen Teil des Streit-
B-3580/2021 gegenstands zu entscheiden gewesen wäre, wenn sie nicht gegenstandslos geworden wäre (vgl. E. 1.4 hievor). Das Gericht kam diesbezüglich zum Schluss, dass auf die Beschwerde nicht einzutreten gewesen wäre (vgl. E. 1.5.3 hievor), so dass die Beschwerdeführerin diesbezüglich als unterliegend zu betrachten ist. Praxisgemäss sind die diesbezüglichen Verfahrenskosten indessen zu reduzieren, da das Gericht keine materielle Prüfung vornehmen musste. 5. Als teilweise obsiegende Partei hat die Beschwerdeführerin Anspruch auf eine Parteientschädigung für ihr erwachsene notwendige und verhältnismässig hohe Kosten (vgl. Art. 64 Abs. 1 VwVG und Art. 7 Abs. 1 VGKE). Die Parteientschädigung umfasst die Kosten der Vertretung sowie allfällige weitere notwendige Auslagen der Partei (Art. 8 VGKE). Parteikosten sind dann als notwendig zu betrachten, wenn sie zur sachgerechten und wirksamen Rechtsverfolgung oder Rechtsverteidigung unerlässlich erscheinen (vgl. BGE 131 II 200 E. 7.2). Die teilweise obsiegende Beschwerdeführerin ist im vorliegenden Verfahren anwaltlich vertreten, hat indessen keine Kostennote eingereicht, weshalb die ihr zuzusprechende Parteientschädigung nach Ermessen und aufgrund der Akten festzusetzen ist (Art. 14 Abs. 2 Satz 2 VGKE).
B-3580/2021 Demnach erkennt das Bundesverwaltungsgericht: 1. Die Beschwerde wird gutgeheissen, soweit sie nicht gegenstandslos geworden ist. Der angefochtene freihändige Zuschlag wird aufgehoben, soweit er die Beschaffung von IAM-Dienstleistungen für neue Applikationen und Leistungen, bei denen zurzeit noch nicht "Nevis" zur Anwendung gelangt, zum Gegenstand hat, und die Sache wird an die Vergabestelle zurückgewiesen, damit sie im Sinne der Erwägungen prüfe, ob die Voraussetzungen für eine freihändige Vergabe erfüllt sind oder nicht, bevor sie erneut darüber entscheidet, ob der Auftrag im offenen oder selektiven Verfahren oder aber freihändig zu vergeben ist. 2. Der Beschwerdeführerin werden Verfahrenskosten von Fr. 3'000.– auferlegt. Dieser Betrag wird nach Eintritt der Rechtskraft des vorliegenden Urteils dem geleisteten Kostenvorschuss entnommen und der Beschwerdeführerin wird ein Betrag von Fr. 23'000.– zurückerstattet. 3. Der Beschwerdeführerin wird zu Lasten der Vergabestelle eine Parteientschädigung von Fr. 3'000.– zugesprochen. 4. Dieses Urteil geht an die Beschwerdeführerin, die Vergabestelle und die Zuschlagsempfängerin.
Für die Rechtsmittelbelehrung wird auf die nächste Seite verwiesen.
Die vorsitzende Richterin:
Eva Schneeberger Die Gerichtsschreiberin:
Beatrice Grubenmann
B-3580/2021 Rechtsmittelbelehrung: Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden (Art. 82 ff., 90 ff. und 100 BGG), soweit sich eine Rechtsfrage von grundsätzlicher Bedeutung stellt (Art. 83 Bst. f Ziffer 1 und 2 BGG). Die Frist ist gewahrt, wenn die Beschwerde spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben worden ist (Art. 48 Abs. 1 BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie die beschwerdeführende Partei in Händen hat, beizulegen (Art. 42 BGG).
Versand: 11. Mai 2022
B-3580/2021 Zustellung erfolgt an: – die Beschwerdeführerin (Rechtsvertreter; Gerichtsurkunde; Beilage: Rückerstattungsformular) – die Vergabestelle (Ref-Nr. SIMAP-Projekt-ID 223666; Gerichtsurkunde) – die Zuschlagsempfängerin (Rechtsvertreter, Gerichtsurkunde)