Gegenstand dieser Ausschreibung ist eine Rahmenvereinbarung über die Durchführung von Penetrationstests für verschiedene Prüfobjekte der NRW.BANK mit verschiedenen Testschwerpunkten inklusive der dazugehörigen Abstimmungen, Vorbereitung und sowie Aufbereitung und Präsentation der Ergebnisse. Die Rahmenvereinbarung wird mit vier Unternehmen geschlossen. Die jeweiligen Penetrationstests unterscheiden sich in ihrem Umfang, Ziel und Prüfobjekt. Die Einzelauftragsvergabe erfolgt im Rahmen von Miniwettbewerben. Die geschätzte Abnahmemenge beläuft sich für alle von der Rahmenvereinbarung umfassten Einzelabrufe auf insgesamt 720 Personentage (davon geschätzt 50 % Junior- und 50% Senior-IT-Experten). Es wird eine verbindliche Höchstabnahmegrenze von 800 Personentagen festgelegt (bezogen auf die Gesamtlaufzeit der Rahmenvereinbarung einschließlich sämtlicher vorgesehener Verlängerungsmöglichkeiten). Eine Abnahmeverpflichtung der NRW.BANK besteht nicht. Die Rahmenvereinbarung tritt mit Zuschlagserteilung in Kraft und hat eine Laufzeit von zwei Jahren. Diese Laufzeit verlängert sich jeweils um ein weiteres Jahr, soweit die Rahmenvereinbarung nicht mit einer Frist von drei Monaten vor dem jeweiligen Ablauf von der NRW.BANK schriftlich gekündigt wird, höchstens aber auf vier Jahre ab Inkrafttreten (Höchstlaufzeit). Nach dem Ablauf der Höchstlaufzeit endet die Rahmenvereinbarung, ohne dass es einer Kündigung bedarf. Gleiches gilt, wenn die vorgesehene Höchstabnahmegrenze vor dem Ablauf der Höchstlaufzeit erreicht wird. Die NRW.BANK ist nicht dazu verpflichtet, Aufträge im Sinne dieser Rahmenvereinbarung unter der Rahmenvereinbarung zu vergeben (vgl. Erwägungsgrund Nr. 61 der Richtlinie 2014/24/EU). Da es sich um eine nichtwesentliche Auslagerung gem. MaRisk AT 9, FISG handelt, gelten ergänzend die als Anlage 17 beigefügten Regelungen für nichtwesentliche Auslagerungen.