B u n d e s v e r w a l t u n g s g e r i c h t T r i b u n a l a d m i n i s t r a t i f f é d é r a l T r i b u n a l e a m m i n i s t r a t i v o f e d e r a l e T r i b u n a l a d m i n i s t r a t i v f e d e r a l

Abteilung II B-3580/2021

Urteil vom 9. Mai 2022

Besetzung

Richterin Eva Schneeberger (Vorsitz), Richter Marc Steiner, Richterin Kathrin Dietrich, Gerichtsschreiberin Beatrice Grubenmann.

Parteien

X._______ AG, vertreten durch Dr. Andreas Güngerich, Rechtsanwalt, Beschwerdeführerin,

gegen

Bundesamt für Bauten und Logistik BBL, Fellerstrasse 21, 3003 Bern, Vergabestelle.

Gegenstand

Öffentliches Beschaffungswesen, Projekt "F21031 – Softwarelizenzen, Wartung, Support und Weiterentwicklung des Identity and Access Management (IAM), mit der Option bis 2027", SIMAP-Meldungsnummer 1207361, SIMAP-Projekt-ID 223666.

B-3580/2021 Seite 2 Sachverhalt: A. Am 6. Juli 2021 erteilte das Bundesamt für Bauten und Logistik BBL (im Folgenden: Vergabestelle) für das Bundesamt für Informatik und Telekom- munikation BIT (Bedarfsstelle) betreffend das Projekt "F21031 – Software- lizenzen, Wartung, Support und Weiterentwicklung des Identity and Access Management (IAM), mit der Option bis 2027" der Y._______ AG (im Fol- genden: Zuschlagsempfängerin) im freihändigen Verfahren den Zuschlag zu einem Preis von Fr. 71'495'029.50 einschliesslich MwSt. für einen Grundauftrag (Fr. 51'016'413.–) und eine Option (Fr. 20'478'616.50). Die Vergabestelle publizierte die Zuschlagsverfügung am 21. Juli 2021 auf der Internetplattform SIMAP (Meldungsnummer 1207361). Zur Begründung wurde darin ausgeführt, die Zuschlagsempfängerin sei als einzige Anbie- terin in der Lage, dem Bund das Gesamtpaket der benötigten Lizenzen und Dienstleistungen für den Betrieb und die Weiterentwicklungen des "Identity and Access Management Service" (IAM) unter Verwendung der Software "Nevis" zur Verfügung zu stellen. Ein Anbieterwechsel wäre mit unange- messenen Kosten, Bindung von Ressourcen und vor allem Risiken für die Bundesverwaltung verbunden (SIMAP-Zuschlagsverfügung, Ziff. 3.3). B. Gegen diese Verfügung erhebt die X._______ AG (im Folgenden: Be- schwerdeführerin) am 9. August 2021 Beschwerde beim Bundesverwal- tungsgericht. Sie beantragt, die Zuschlagsverfügung sei aufzuheben und die Sache sei zur Durchführung eines Vergabeverfahrens und zu neuer Zuschlagserteilung im Sinne der Erwägungen an die Vergabestelle zurück- zuweisen. In prozessualer Hinsicht beantragte sie unter anderem, der Be- schwerde sei die aufschiebende Wirkung zu erteilen und es sei der Verga- bestelle bis zum Entscheid über die aufschiebende Wirkung superproviso- risch der Vertragsabschluss mit der Zuschlagsempfängerin einstweilen zu untersagen. Zur Begründung führt sie aus, sie könne den Dienstleistungsauftrag im Sinne einer angemessenen Alternative zur Zuschlagsempfängerin erfüllen und wolle dies auch. Sie biete mit "Airlock IAM" ein Produkt mit vergleich- barem Leistungsumfang wie "Nevis" an, jedoch im Vergleich mit der Zu- schlagsempfängerin zu einem kostengünstigeren Ansatz. Es gebe Grund zur Annahme, dass das freihändige Verfahren in unzulässiger Weise zur Anwendung gelangt sei. Die in der Zuschlagsverfügung enthaltene Be- gründung sei ungenügend. Die vorliegende Vergabe widerspreche den

B-3580/2021 Seite 3 vergaberechtlichen Grundsätzen der Gleichbehandlung, Wirtschaftlichkeit und Transparenz und berge die Gefahr, den Wettbewerb zu verzerren. C. Mit Verfügung vom 10. August 2021 ordnete die Instruktionsrichterin an, dass bis zum Entscheid des Bundesverwaltungsgerichts über den Antrag betreffend Erteilung der aufschiebenden Wirkung alle Vollzugsvorkehrun- gen, welche den Ausgang des hängigen Beschwerdeverfahrens präjudizie- ren könnten, namentlich der Vertragsabschluss mit der Zuschlagsempfän- gerin, zu unterbleiben hätten. D. Die Zuschlagsempfängerin teilte mit Eingabe vom 23. August 2021 mit, dass sie vorerst auf das Stellen formeller Anträge zur Beschwerde und zum Gesuch um aufschiebende Wirkung verzichte, sich aber vorbehalte, nach Vorliegen der Stellungnahme der Vergabestelle ergänzende Bemerkungen anzubringen oder Anträge zu stellen. E. Mit Stellungnahme vom 31. August 2021 beantragt die Vergabestelle, auf die Beschwerde sei nicht einzutreten, eventualiter sei die Beschwerde ab- zuweisen. In prozessualer Hinsicht sei das Gesuch der Beschwerdeführe- rin um Gewährung der aufschiebenden Wirkung abzuweisen und der Be- schwerde sei die superprovisorisch gewährte aufschiebende Wirkung zu entziehen. Die Vergabestelle beantragt überdies, soweit der Beschwerde nicht vor dem 1. Oktober 2021 die aufschiebende Wirkung entzogen oder sie rechtskräftig erledigt sei, sei ihr die Erlaubnis zu erteilen, bis zum rechtskräftigen Abschluss des Beschwerdeverfahrens von der (bisherigen) Zuschlagsempfängerin eine beschränkte Anzahl von Dienstleistungen über maximal 8'500 Stunden pro Monat (resp. einen Maximalbetrag von 1,7 Mio. Fr. inkl. MwSt. pro Monat) für die Sicherstellung des ununterbro- chenen Betriebs und für die zur Aufrechterhaltung der Funktionstüchtigkeit von IAM zwingend notwendigen Weiterentwicklungen an der Software "Ne- vis" zu beziehen. Zur Begründung legt die Vergabestelle dar, die drei zivilen Leistungserbrin- ger des Bundes – das Bundesamt für Informatik und Telekommunikation (BIT), das Informatik Service Center des Eidgenössischen Justiz- und Po- lizeidepartements (ISCE-EJPD) und das Information Service Center des Eidgenössischen Departements für Wirtschaft, Bildung und Forschung

B-3580/2021 Seite 4 (ISCeco) – versorgten die Bundesverwaltung sowie die Kantone und bun- desnahen Organisationen mit Dienstleistungen und Services der Informa- tions- und Kommunikationstechnologie IKT, darunter mit dem "Identity and Access Management Service" (IAM). Mittels der IAM-Services werde ei- nem Benutzer eine Identität vergeben und er erhalte Zugriffsrechte auf Lö- sungen und IT-Anwendungen. Die IAM-Services der Leistungserbringer seien hochgradig voneinander abhängig und würden bis zu 35'000 interne und fast eine Million externe Benutzer beim Zugriff auf über 400 Fachappli- kationen der Bundesverwaltung authentisieren und autorisieren. Es sei ein grosses spezifisches Know-how erforderlich, um die mittlerweile äussert komplexen Strukturen und Funktionsweisen der IAM-Services des Bundes zu verstehen. Aktuell sei lediglich die Zuschlagsempfängerin in der Lage, aufgrund ihres Partnerstatus respektive der Zertifizierung durch die Nevis Security AG das Gesamtpaket von Wartung, Support, Lizenzen und kun- denspezifischen Anpassungen am Produkt "Nevis" aus einer Hand anzu- bieten. Die Vergabestelle habe das freihändige Verfahren daher zulässi- gerweise angewendet. Mit der angefochtenen freihändigen Vergabe werde bezweckt, die Arbeiten der drei Leistungserbringer für IAM zu ermöglichen und Raum für die Er- stellung einer IAM-Strategie zu schaffen. Aus heutiger Sicht sei davon aus- zugehen, dass die entsprechende Studie bis Ende 2021 vorliege und eine bundesweite IAM-Strategie bis Q1-2022. Sofern in der Studie ein Wechsel der Lösung als möglich beurteilt werde, solle hierzu im Wettbewerb eine entsprechende Beschaffung in den Jahren 2022-2023 getätigt werden. Die Vergabestelle beabsichtige demnach nicht, den Markt für immer zu schlies- sen, sondern sei im Gegenteil bestrebt, eine IAM-Strategie zu entwickeln, deren Umsetzung soweit wie möglich im Wettbewerb ausgeschrieben wer- den solle. Solange die IAM-Strategie noch nicht vorliege beziehungsweise solange das aktuell im Einsatz stehende Produkt "Nevis" in Betrieb bleiben müsse, sei der Markt für die vorliegend in Frage stehende Dienstleistung auf eine Unternehmung – die Zuschlagsempfängerin – beschränkt. Man- gels anderer Alternativen habe die Vergabestelle daher das freihändige Verfahren im heutigen Zeitpunkt zu Recht angewendet. Die Beschwerdeführerin gehe fehl in der Annahme, mit der publizierten Summe von Fr. 71'495'029.50 könne ein neues IAM-System für den Bund gekauft werden. Sollte das Bundesverwaltungsgericht die Beschwerdele- gitimation bejahen, sei die aufschiebende Wirkung aufgrund der offensicht-

B-3580/2021 Seite 5 lichen Aussichtslosigkeit der Vorbringen sowie der klar überwiegenden öf- fentlichen Interessen an einem umgehenden Leistungsbezug dennoch nicht zu gewähren. F. Mit Zwischenverfügung vom 8. September 2021 erlaubte die Instruktions- richterin der Vergabestelle superprovisorisch, bis zum rechtskräftigen Ab- schluss des Beschwerdeverfahrens von der bisherigen Zuschlagsempfän- gerin eine beschränkte Anzahl von Dienstleistungen über maximal 8'500 Stunden pro Monat (resp. einen Maximalbetrag von 1,7 Mio. Fr. inkl. MwSt. pro Monat) für die Sicherstellung des ununterbrochenen Betriebs und für die zur Aufrechterhaltung der Funktionstüchtigkeit von IAM zwin- gend notwendigen Weiterentwicklungen an der Software "Nevis" zu bezie- hen. G. Mit Beschwerdeergänzung vom 16. September 2021 hält die Beschwerde- führerin an ihren Anträgen fest und bestreitet sämtliche Ausführungen der Vergabestelle in ihrer Stellungnahme. Sie rügt, das Bundesverwaltungsgericht habe, indem es vor Ablauf der Frist für die Beschwerdeergänzung dem Antrag der Vergabestelle, eine be- schränkte Anzahl von Dienstleistungen zu beziehen, stattgegeben habe, ihren Anspruch auf rechtliches Gehör verletzt. Sie verzichte zwar darauf, diese Zwischenverfügung anzufechten, da sie weder das vorliegende Ver- fahren unnötig verlängern noch verhindern wolle, dass die zwingend benö- tigten Leistungen von der bisherigen Zuschlagsempfängerin bezogen wer- den könnten. Sie verlange aber, dass die Betriebsleistungen sowie die zwingend benötigten Weiterentwicklungen definiert würden. H. Mit Stellungnahme vom 6. Oktober 2021 zur Beschwerdeergänzung hält die Vergabestelle an ihren Rechtsbegehren fest und beantragt eventualiter die Abweisung des Gesuchs der Beschwerdeführerin um eine gerichtliche Begutachtung mittels eines Sachverständigengutachtens. I. Mit unaufgeforderter Stellungnahme vom 15. Oktober 2021 hält die Be- schwerdeführerin an ihren Rechtsbegehren und Ausführungen fest.

B-3580/2021 Seite 6 J. Mit Zwischenentscheid vom 30. November 2021 gab das Bundesverwal- tungsgericht dem Gesuch auf aufschiebende Wirkung statt, soweit die an- gefochtene freihändige Vergabe Leistungen in Bezug auf neue Applikatio- nen und Leistungserbringungen, bei denen zurzeit noch nicht "Nevis" zur Anwendung gelange, zum Gegenstand hatte. Es untersagte der Vergabe- stelle, mit der Zuschlagsempfängerin Verträge abzuschliessen, soweit sie derartige Leistungen zum Gegenstand hatten. Soweit weitergehend, wies das Bundesverwaltungsgericht das Gesuch um aufschiebende Wirkung ab. K. Am 27. Dezember 2021 informierte die Vergabestelle das Gericht über den Vertragsabschluss mit der Zuschlagsempfängerin im gerichtlich erlaubten Umfang. L. Die Zuschlagsempfängerin teilt mit Eingabe vom 12. Januar 2022 mit, dass sie nicht als Beschwerdegegnerin am Verfahren teilnehmen wolle. M. Mit materieller Vernehmlassung vom 18. Januar 2022 hält die Vergabe- stelle an ihrem Antrag auf Abweisung der Beschwerde fest. In prozessualer Hinsicht beantragt sie, das Gesuch der Beschwerdeführerin um Gewäh- rung der aufschiebenden Wirkung sei abzuweisen, soweit diese mit Zwi- schenentscheid vom 30. November 2021 aufrechterhalten worden sei. Im Weiteren sei der Antrag der Beschwerdeführerin auf eine gerichtliche Be- gutachtung mittels eines Sachverständigengutachtens abzuweisen. Müssten kurzfristig die Zugriffsrechte bei neu hinzukommenden Applikati- onen mit einem anderen Produkt verwaltet werden, müsste ein paralleler Betrieb von jeweils zwei solchen Systemen aufgebaut werden. Eine solche Erweiterung durch ein zweites IAM-System pro Leistungserbringer hätte nicht verantwortbare technische Risiken und unverhältnismässige Mehr- kosten zur Folge und würde dem Grundsatz der Wirtschaftlichkeit nicht ent- sprechen. Zudem habe der Bundesrat mit seinen Standardisierungsent- scheiden vom 13. Dezember 2013 respektive 29. Juni 2016 festgelegt, dass es pro Organisation nur einen IAM-Standard geben solle. Die Verga- bestelle sei daher nicht befugt, ohne weiteres ein zweites Produkt einzu- führen und damit eine Mehrproduktestrategie zu fahren. Das Produkt "Air- lock" der Beschwerdeführerin werde vom BIT zwar bereits eingesetzt, aber

B-3580/2021 Seite 7 zu einem anderen Zweck als das Produkt "Nevis". Die restlichen zivilen Leistungserbringer würden das Produkt "Airlock" nicht einsetzen. Die Air- lock-Anwendung beim BIT unterstütze das IAM-System von "Nevis". Es diene dem Zweck, eine Authentifizierung von Zweitfaktoren wie beispiels- weise via SMS zu ermöglichen. Es handle sich um einen einfachen Vor- gang, der nicht mit der Komplexität oder dem Zweck des IAM-Services ver- gleichbar sei. Die Marktabklärung von 2016 habe ergeben, dass das Pro- dukt "Airlock" nicht den gleichen Zweck wie "Nevis" erfüllen könne. Ob sich dieses Bild verändert habe, werde die Studie, die derzeit erarbeitet werde, zeigen. Wenn ein anderes Produkt für den IAM-Service eingesetzt werden solle (ein auf dem Markt vorhandenes oder allenfalls eine bundesinterne eigene Entwicklung), müsse das Gesamtsystem auf ein neues Produkt mi- griert werden. Bevor eine umfassende Migration des Gesamtsystems auf ein neues Produkt an die Hand genommen werden könne, benötige die Bundesverwaltung eine neue, langfristig ausgerichtete IAM-Strategie. Liege diese vor, würden auch die nächsten beschaffungsrechtlichen Schritte geplant und durchgeführt. Um diese Strategie zu entwickeln, sei eine fundierte Studie erforderlich. Diese werde derzeit erarbeitet. N. Mit Replik vom 17. Februar 2022 hält die Beschwerdeführerin an ihren Rechtsbegehren fest. Der Zuschlag sei zu Unrecht im freihändigen Verfah- ren erfolgt. Die Zuschlagsempfängerin sei nicht die einzige Anbieterin, die den geforderten Beschaffungsgegenstand – oder zumindest Teile davon – erbringen könne. Aufgrund des Umfangs der Beschaffung und der wettbe- werbsrechtlichen Grundsätze seien mehrere Anbieterinnen im Sinne eines Parallelbetriebs zu berücksichtigen. Ein Parallelbetrieb sei geeigneter und würde insbesondere die vergaberechtlichen Grundsätze nicht verletzen. Reine Bequemlichkeitsüberlegungen könnten die freihändige Vergabe nicht rechtfertigen. Entgegen der Behauptung der Vergabestelle seien die Gründe für die freihändige Vergabe für die Beschwerdeführerin nicht nach- vollziehbar. Aufgrund der unzureichenden Akteneinsicht seien wesentliche Fragen der Beschwerdeführerin unbeantwortet geblieben, insbesondere die Fragen betreffend einen parallelen "Nevis"- und "Airlock"-Betrieb, die fehlende Alternativlosigkeit, die Kettenvergaben, die IAM-Strategie sowie die Leistungserbringung durch die Beschwerdeführerin. Es sei nicht nach- vollziehbar, wie die Bundesverwaltung insgesamt 100 Mio. Fr. in Dienst- leistungen investieren könne, ohne eine ordentliche Evaluation bezie- hungsweise ohne ein Ausschreibungsverfahren durchzuführen. Die Be- schwerdeführerin wolle nicht mit einer erst für die unabsehbare Zukunft geltenden IAM-Strategie vertröstet werden und wolle nicht von Vergaben

B-3580/2021 Seite 8 in der vorliegenden Grössenordnung ausgeschlossen werden. Sie gehe davon aus, dass der Leistungsumfang der strittigen Vergabe auch Funkti- onen beinhalte, die derzeit durch "Airlock"-Produkte erbracht würden oder werden könnten, also jener Teil der Applikationen und Leistungen, bei de- nen gerade nicht das Produkt "Nevis" zur Anwendung komme. Die Abhän- gigkeit von "Nevis" dürfe nicht weiter zementiert werden, sondern es sei zu prüfen, ob sich eine Applikation nicht kostengünstiger durch die "Airlock"- IAM-Plattform oder eine andere Anbieterin erbringen lassen. Auch sei nicht nachvollziehbar, weshalb und in welchem Umfang ein Anbieterwechsel mit unangemessenen Kosten, der Bindung von Ressourcen oder mit Risiken für die Bundesverwaltung verbunden wäre. Die Beschwerdeführerin könne zudem Teilleistungen zu einem wesentlich günstigeren Preis anbieten und würde bei diesen Leistungen parallel zur Zuschlagsempfängerin agieren. O. Mit Zwischenentscheid vom 24. Februar 2022 wies das Gericht das Ge- such der Vergabestelle um eine teilweise Wiedererwägung des Zwi- schenentscheids vom 30. November 2021 über die aufschiebende Wir- kung ab. P. Mit Duplik vom 21. März 2022 beantragt die Vergabestelle, die Beschwerde sei abzuweisen, soweit darauf einzutreten sei. In prozessualer Hinsicht be- antragt sie, das Gesuch der Beschwerdeführerin auf eine gerichtliche Be- gutachtung mittels eines Sachverständigengutachtens sei abzuweisen und der Beschwerdeführerin und der Zuschlagsempfängerin sei nur Einsicht in diejenigen Akten zu gewähren, die im Aktenverzeichnis als "der Aktenein- sicht zugänglich" bezeichnet seien. Der Streitgegenstand beschränke sich noch auf die freihändige Vergabe der Leistungen für neue, künftige Applikationen. In materieller Hinsicht stelle sich einzig noch die Frage, ob die Vergabestelle für diese Leistungen die Möglichkeit hätte vorsehen müssen, sich substituierbare Leistungen anbieten zu lassen und entsprechend für diesen Auftrag ein offenes oder selektives Verfahren hätte durchführen müssen. Die Vergabestelle legt dar, dass seit der Einführung der Produktes "Nevis" in den Jahren 2002-2003 bei jedem zivilen Leistungserbringer der Bundes- verwaltung ein komplexes Identity and Access Management-System auf- gebaut worden sei. Die Bundesverwaltung habe sich für eine Einproduk-

B-3580/2021 Seite 9 testrategie entschieden. Jedes dieser Systeme der Leistungserbringer ba- siere daher ausschliesslich auf dem Produkt "Nevis". Für die Unterstützung des IAM-Systems, nicht aber die Kernaufgaben, würden periphere Sys- teme eingesetzt, darunter das Produkt "Airlock". Weitere eingesetzte peri- phere Systeme seien unter anderem Trustbroker, IT-Security-Systeme, Loadbalancer, Datenbanken, Monitoringsysteme. Diese Systeme seien in- dessen nicht Teil des Kern-IAM und könnten die Aufgaben des bestehen- den IAM-Systems nicht ohne weiteres übernehmen beziehungsweise sub- stituieren. Die Beschwerdeführerin wünsche, dass die Vergabestelle die Leistungen und Lizenzen innerhalb der Vergabe offenlege, die heute be- reits vom bestehenden "Airlock"-IAM-System erbracht würden. Die fragli- che Vergabe beinhalte aber keine solchen Leistungen des Produkts "Air- lock". Die Beschwerdeführerin bleibe überdies den Nachweis schuldig, dass sie mit ihrem Produkt in der Lage wäre, sämtliche Funktionalitäten und Anforderungen zu erfüllen, welche die Bundesverwaltung für ihr IAM benötige und welche heute die "Nevis"-basierte Lösung abdecke. Damit die Bundesverwaltung ununterbrochen das bestehende IAM-System auf- rechterhalten könne und bei Bedarf neue Lösungen und Applikationen an das bestehende IAM-System anbinden könne, seien die nachgefragten Leistungen für Wartung, Support und Weiterentwicklung der Nevis-Pro- dukte zwingend notwendig. Auch für Leistungen (Lizenzen, Wartung, Sup- port und Weiterentwicklung) für Applikationen, die neu an das bestehende IAM-System angebunden werden müssten, komme zum heutigen Zeit- punkt nur die Zuschlagsempfängerin in Frage. Die Vergabestelle beschaffe keine neuen IAM-Systeme, es handle sich nicht um ein Migrationsprojekt, sondern wolle die bestehenden "Nevis"-basierenden IAM-Systeme so lange weiter nutzen, bis die Studie und die IAM-Strategie festgelegt und umgesetzt seien. Die Beschwerdeführerin räume selber ein, dass sie die benötigten Leistungen nicht erbringen könne, da sie keine zertifizierte Part- nerin der Nevis Security AG sei. Auf kleinere IAM-Anwendungen könne die Behauptung der Beschwerdeführerin, das IAM-System sei so einfach, dass zwei Produkte parallel eingesetzt werden könnten, allenfalls zutreffen, nicht aber auf die komplexen IAM-Systeme der zivilen Bundesverwaltung. Die Einführung eines Parallelsystems sei abzulehnen. Die Beschaffungsbe- schwerde könne nicht dazu dienen, einen Strategiewechsel bei der Bun- desinformatik herbeizuführen, wozu die zwangsweise Einführung eines weiteren Produkts aber führen würde. Der Aufbau eines Parallelbetriebs hätte nicht verantwortbare technische Risiken und unverhältnismässige fi- nanzielle und personelle Aufwände zur Folge. Die von der Beschwerdefüh- rerin behaupteten "Vorteile" eines Einsatzes von mehreren Produkten rea-

B-3580/2021 Seite 10 lisierten sich in Bezug auf das Bundes-IAM so nicht. Die vorgängig zur frei- händigen Beschaffung durchgeführte Marktanalyse habe auch gezeigt, dass keine grössere Unternehmung zwei Produkte für ein IAM-System ein- setzen würde. Dies hätten auch IAM-Spezialisten bestätigt. Ein Parallelein- satz entspreche demnach nicht – wie von der Beschwerdeführerin behaup- tet – dem aktuellen Wissen moderner Softwareentwicklung. Auch in Bezug auf die Leistungen zum Anschluss neuer Lösungen erweise sich die Vor- nahme einer freihändigen Vergabe als einzige angemessene Lösung. Die allfällige Einführung eines neuen Produkts erfolge vernünftigerweise erst auf der Basis einer produkteneutralen IAM-Strategie. Basierend auf dieser Strategie erfolge dann eine entsprechende Beschaffung eines IAM-Sys- tems. Zu Recht halte die Beschwerdeführerin fest, dass es zwingend not- wendig sei, in einem weiteren Schritt ein entsprechendes Vergabeverfah- ren durchzuführen. Das zukünftige Vergabeverfahren vermöge aber die vorliegende, sachlich begründete freihändige Vergabe nicht zu ersetzen und könne nicht vorgezogen werden. Der Bundesverwaltung müsse die nötige Zeit zur Verfügung stehen, um solide Grundlagen für die künftige IAM-Strategie und deren Umsetzung zu schaffen. Die Beschwerdeführerin gehe fehl in der Annahme, mit dem hier zugeschlagenen Volumen könnten die IAM-Systeme des Bundes komplett neu aufgebaut werden. Allein die Migration würde die 71 Mio. Fr. verschlingen, ein laufender Betrieb über die nächsten fünf Jahre wäre nicht ansatzweise abgedeckt.

Das Bundesverwaltungsgericht zieht in Erwägung: 1. Ob die Prozessvoraussetzungen erfüllt sind und ob auf eine Beschwerde einzutreten ist, prüft das Bundesverwaltungsgericht von Amtes wegen und mit freier Kognition (vgl. BVGE 2007/6 E. 1 m. H.). 1.1 Am 1. Januar 2021 traten das totalrevidierte Bundesgesetz vom 21. Juni 2019 über das öffentliche Beschaffungswesen (BöB, SR 172.056.1), die dazugehörende Verordnung vom 12. Februar 2020 über das öffentliche Beschaffungswesen (VöB, SR 172.056.11) sowie das revi- dierte WTO-Übereinkommen über das öffentliche Beschaffungswesen vom 15. April 1994 (Government Procurement Agreement [GPA; SR 0.632.231.422], Fassung gemäss Ziff. 1 des Protokolls vom 30. März 2012 [im Folgenden: GPA 2012], BBl 2017 2175 ff.) in Kraft. Gemäss der

B-3580/2021 Seite 11 in Art. 62 BöB enthaltenen Übergangsbestimmung werden Vergabeverfah- ren, die vor Inkrafttreten dieses Gesetzes eingeleitet wurden, nach bishe- rigem Recht zu Ende geführt. Vorliegend ergibt sich aus den Vergabeakten, dass der verwaltungs- interne Antrag auf eine freihändige Auftragsvergabe vom 16. April 2021 da- tiert. Die Einleitung des Vergabeverfahrens fand demnach im Jahr 2021, nach Inkrafttreten des revidierten BöB statt. Auf den vorliegenden Fall ist daher das revidierte BöB anwendbar. 1.2 Das Bundesverwaltungsgericht ist zuständig für die Beurteilung von Beschwerden gegen die Erteilung eines Zuschlags, der in den Anwen- dungsbereich des BöB fällt (vgl. Art. 52 Abs. 1 i.V.m. Art. 53 Abs. 1 Bst. e BöB). 1.2.1 Das BöB findet auf die Vergabe öffentlicher Aufträge durch unter- stellte Auftraggeberinnen innerhalb und ausserhalb des Staatsvertragsbe- reichs Anwendung (Art. 1 BöB). Das BöB ist anwendbar, wenn die Auftrag- geberin dem Gesetz untersteht (Art. 4 BöB), wenn der Beschaffungsge- genstand sachlich erfasst ist (Art. 8 BöB), der geschätzte Wert des zu ver- gebenden öffentlichen Auftrages den entsprechenden Schwellenwert (Art. 52 Abs. 1 BöB in Verbindung mit den Anhängen 4 und 5 zum BöB) erreicht und keiner der Ausnahmetatbestände von Art. 5 oder Art 10 BöB gegeben ist. 1.2.2 Innerhalb des Anwendungsbereichs des Gesetzes definiert Art. 52 BöB die Voraussetzungen für den Rechtsschutz. Unterschieden wird dabei zwischen dem Rechtsschutz im und ausserhalb des Staatsvertragsbe- reichs (vgl. Art. 52 Abs. 1 BöB). Vom Staatsvertragsbereich erfasst werden Beschaffungen, welche dem GPA 2012 unterstellt sind (vgl. BVGE 2008/48 "Areal- und Gebäudeüberwachung PSI" E. 2.1 m.H.). Ein Begehren um aufschiebende Wirkung ist nur im Staatsvertragsbereich zulässig (vgl. Art. 52 Abs. 2 BöB). Wie nach altem Recht gilt demnach nur im Staatsver- tragsbereich Primärrechtsschutz, wogegen für die neu rechtsschutzunter- stellen Vergaben nur Sekundärrechtsschutz zur Verfügung steht (Botschaft vom 15. Februar 2017 zur Totalrevision des BöB [im Folgenden: Botschaft Totalrevision BöB], BBl 2017 1851, 1977 zu Art. 52 Abs. 2 BöB; vgl. Zwi- schenentscheid des BVGer B-4703/2021 vom 19. April 2022 E. 2.2 und E. 2.5.1).

B-3580/2021 Seite 12 1.2.3 Die Vergabestelle untersteht als Teileinheit der allgemeinen Bundes- verwaltung dem BöB (Art. 4 Abs. 1 Bst. a BöB). 1.2.4 Die massgebenden Schwellenwerte für Lieferungen und Leistungen innerhalb und ausserhalb des Staatsvertragsrechts sind in den Anhängen 4 und 5 zum BöB festgelegt. Die Vergabestelle geht in Ziffer 1.4 der SIMAP-Zuschlagsverfügung vom 21. Juli 2021 von einem "Dienstleistungsauftrag" aus. Art. 8 Abs. 4 BöB sieht vor, dass im Staatsvertragsbereich die Leistungen nach Massgabe der Anhänge 1-3 dem BöB unterstehen, soweit sie den Schwellenwert nach Anhang 4 Ziffer 1 erreichen. Anders als Bauleistungen und Lieferun- gen, die in sachlicher Hinsicht grundsätzlich allesamt dem staatsvertragli- chen Vergaberecht unterstellt sind, gilt für Dienstleistungen sowohl nach GPA 2012 (vgl. Anhang 1 Annex 5) als auch nach dem auf den 1. Juni 2002 in Kraft getretenen bilateralen Abkommen vom 21. Juni 1999 zwischen der Schweizerischen Eidgenossenschaft und der Europäischen Gemeinschaft über bestimmte Aspekte des öffentlichen Beschaffungswesens (BAöB, SR 0.172.052.68, vgl. Anhang VI) eine sogenannte Positivliste (Anhang 3 zum BöB). Die für die Geltung der Staatsverträge in sachlicher Hinsicht massgebliche Dienstleistungs-Positivliste verweist auf einzelne Ziffern der provCPC-Klassifikation (Provisional Central Product Classification) (zum Ganzen BVGE 2011/17 E. 5.2.1 ff. "Personalverleih"; Urteil des BVGer B-4958/2013 vom 30. April 2014 E. 1.5.2 "Projektcontrollingsystem Alp- Transit"). In Ziffer 2.2 der SIMAP-Zuschlagsverfügung wies die Vergabe- stelle die Beschaffung der Dienstleistungskategorie CPC "Datenverarbei- tung und verbundene Tätigkeiten" zu. Gemäss Anhang 3 zum BöB ent- spricht diese Kategorie der provCPC-Referenznummer 84 (ebenso An- hang I Annex 5 GPA 2012: Datenverarbeitung und verbundene Dienstleis- tungen). Die Vergabestelle wies die Beschaffung sodann den CPV (Com- mon Procurement Vocabulary)-Kategorien "72212100 – Entwicklung von branchenspezifischer Software" und "72000000 - IT Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung" zu (Ziffer 2.3 der SIMAP- Zuschlagsverfügung). Gegenstand des im vorliegenden Verfahren ange- fochtenen Zuschlags ist der Bezug von Softwarelizenzen, Wartung, Sup- port und Weiterentwicklungen. Die Einstufung in die erwähnten Kategorien erscheint daher als zutreffend. Bei der vorliegenden Beschaffung handelt es sich demnach um einen Dienstleistungsauftrag im Sinne von Art. 8 BöB in Verbindung mit Anhang 3 zum BöB.

B-3580/2021 Seite 13 Angesichts des Preises des berücksichtigten Angebots von Fr. 71'495'029.50 (inkl. MwSt. und inkl. Optionen) ist davon auszugehen, dass der geschätzte Auftragswert den für Dienstleistungen geltenden Schwellenwert von Fr. 230'000.– übersteigt (Art. 8 Abs. 4 BöB i.V.m. An- hang 4 Ziff. 1.1 zum BöB). 1.2.5 Da auch kein Ausnahmetatbestand im Sinne von Art. 10 BöB vorliegt, fällt die vorliegend angefochtene Beschaffung nicht nur in den Anwen- dungsbereich des Bundesgesetzes über das öffentliche Beschaffungswe- sen, sondern auch in den Staatsvertragsbereich. 1.2.6 Das Bundesverwaltungsgericht ist daher für die Beurteilung der vor- liegenden Streitsache zuständig. 1.3 Das Beschwerdeverfahren richtet sich nach den Bestimmungen des VwVG, soweit das BöB nichts anderes bestimmt (vgl. Art. 55 BöB). 1.4 Das Bundesverwaltungsgericht hat mit Zwischenentscheid vom 30. November 2021 der Beschwerde die aufschiebende Wirkung verwei- gert, soweit sie Leistungen für Applikationen betrifft, für die bereits jetzt "Nevis" eingesetzt wurde. In der Folge schloss die Vergabestelle am 21. Dezember 2021 einen Vertrag im erlaubten Umfang mit der Zuschlags- empfängerin ab. Mit diesem Vertragsschluss zwischen der Vergabestelle und der Zu- schlagsempfängerin wird das Beschwerdebegehren der Beschwerdefüh- rerin auf Aufhebung der Zuschlagsverfügung und Rückweisung der Sache zur Durchführung eines Vergabeverfahrens und neuer Zuschlagserteilung teilweise gegenstandslos. In einer derartigen Situation wird an sich praxisgemäss – in maiore minus – ein Interesse der Beschwerdeführerin daran, dass das Bundesverwal- tungsgericht in seinem Urteil feststelle, inwiefern die angefochtene Verfü- gung Bundesrecht verletze (Art. 58 Abs. 2 BöB) und über ein allfälliges Schadenersatzbegehren entscheide (Art. 58 Abs. 3 BöB), als hinreichen- des Interesse anerkannt, um eine Beschwerdelegitimation zu begründen. Allerdings beschränkt sich der mögliche Schadenersatz auf die erforderli- chen Aufwendungen, die der Beschwerde führenden Anbieterin im Zusam- menhang mit der Vorbereitung und Einreichung ihres Angebots erwachsen sind (Art. 58 Abs. 4 BöB). Wird, wie vorliegend, ein freihändiger Zuschlag angefochten, so dass die Beschwerdeführerin gar kein eigenes Angebot

B-3580/2021 Seite 14 eingereicht hatte, ist daher ein derartiges Interesse der Beschwerdeführe- rin nicht ersichtlich. Soweit das vorliegende Verfahren durch den vom Gericht autorisierten Ver- tragsabschluss gegenstandslos geworden ist, ist daher lediglich noch im Hinblick auf die Kostenverlegung zu prüfen, wie die Beschwerde in Bezug auf diesen Teil des Streitgegenstands zu entscheiden gewesen wäre (vgl. Art. 5 des Reglements vom 21. Februar 2008 über die Kosten und Ent- schädigungen vor dem Bundesverwaltungsgericht [VGKE, SR 173.320.2]). 1.5 Die Beschwerdelegitimation richtet sich auch im Beschaffungsrecht nach dem allgemeinen Verfahrensrecht des Bundes (vgl. BGE 137 II 313 E. 3.2 "Microsoft"). Eine Ausnahme von diesem Grundsatz stellt Art. 56 Abs. 4 BöB dar, der in Bezug auf Beschwerden gegen einen freihändigen Zuschlag eine besondere Regelung enthält. Demnach kann gegen Zu- schläge im freihändigen Verfahren nur Beschwerde führen, wer nachweist, dass er die nachgefragten Leistungen oder damit substituierbare Leistun- gen erbringen kann und erbringen will. Es kann nur gerügt werden, das freihändige Verfahren sei zu Unrecht angewandt oder der Zuschlag sei auf- grund von Korruption erteilt worden (Art. 56 Abs. 4 BöB). 1.5.1 Beruft sich die Vergabestelle für die Zulässigkeit des Freihandverfah- rens darauf, dass für den beabsichtigten Beschaffungsgegenstand nur ein Anbieter in Frage komme, und macht der Beschwerdeführer dagegen gel- tend, der Beschaffungsgegenstand sei zu Unrecht so definiert worden, so ist unter dem revidierten BöB nun unzweideutig klargestellt, dass nicht nur beschwerdelegitimiert ist, wer geltend macht, genau diese Leistung erbrin- gen zu können, sondern auch, wer nachweist, dass es eine damit substi- tuierbare Leistung gibt, die er erbringen könnte. Ob die Vergabestelle den Beschaffungsgegenstand zulässigerweise so eng festgelegt hat, dass nur ein Anbieter in Frage kommt, oder ob es eine damit substituierbare Leis- tung gäbe, wird damit zu einem sogenannten doppelrelevanten Sachver- halt: Diese Frage bildet Gegenstand der materiellen Beurteilung (weil da- von die Zulässigkeit des freihändigen Verfahrens abhängt), aber zugleich ist sie vorfrageweise von Bedeutung für das Vorliegen der Prozessvoraus- setzungen (vgl. BGE 141 II 14 E. 5.1 "Monte Ceneri"; BGE 137 II 313 E. 3.3.2 f. "Microsoft"; Urteil des BVGer B-1570/2015 vom 7. Oktober 2015 E. 1.5.2 f. "Warnblitzleuchte Eflare"). Für derartige doppelrelevante Sach- verhalte gilt, dass es im Stadium der Prüfung der Eintretensvoraussetzun- gen genügt, wenn der Beschwerdeführer glaubhaft macht ("mit einer ge- wissen Wahrscheinlichkeit geltend macht", "rende vraisemblable"), dass

B-3580/2021 Seite 15 seine Aussichten, nach einer Aufhebung der angefochtenen Verfügung den Zuschlag zu erhalten, intakt sind (vgl. BGE 141 II 14 E. 5.1 "Monte Ceneri", m.H.; FLORIAN C. ROTH, in: Trüeb [Hrsg.], Handkommentar zum schweize- rischen Beschaffungsrecht, 2020, Art. 56 N. 33). 1.5.2 Die Vergabestelle bestreitet die Beschwerdelegitimation der Be- schwerdeführerin mit dem Argument, mit der vorliegenden Beschaffung würden in erster Linie Dienstleistungen und Wartungslizenzen beschafft, die sich auf das im Bund bereits verbreitet eingeführte Produkt "Nevis" be- zögen. Zum heutigen Zeitpunkt sei es unmöglich, das Produkt "Nevis" nicht mehr einzusetzen. Da die Beschwerdeführerin nicht als Partnerin der Pro- dukteeigentümerin Nevis Security AG fungiere, sei davon auszugehen, dass diese Leistungen von ihr nicht erbracht werden könnten. Nur die Zu- schlagsempfängerin verfüge über den erforderlichen Partnerstatus. Sie sei daher als einzige in der Lage, das Gesamtpaket von Wartung, Support, Lizenzen und kundenspezifischer Anpassungen am Produkt "Nevis" aus einer Hand anzubieten. Solange die IAM-Strategie weder vorliege noch umgesetzt sei beziehungsweise das aktuell im Einsatz stehende Produkt "Nevis" in Betrieb bleiben müsse, sei der Markt für die vorliegend in Frage stehenden Dienstleistungen auf eine Unternehmung – die Zuschlagsemp- fängerin – beschränkt. Die Beschwerdeführerin machte in ihrer Beschwerde geltend, sie könne den Dienstleistungsauftrag im Sinne einer angemessenen Alternative zur Zuschlagsempfängerin erfüllen. In ihrer Stellungnahme vom 16. Septem- ber 2021 relativiert sie diese Aussage dahingehend, dass sie nicht die Ab- sicht habe, "Nevis" zu ersetzen. Ihr Ziel sei es vielmehr, Regeln zu schaf- fen, die definierten, welche neuen Applikationen und Leistungen künftig über die bestehende "Airlock"-IAM-Installation und welche über "Nevis" au- thentisiert und autorisiert würden. Sie möchte ihre Leistungen dort parallel erbringen, wo sie dies wesentlich kostengünstiger tun könne. Ihr Produkt "Airlock IAM" sei schon seit 2010 in der Bundesverwaltung im Einsatz. Ver- schiedene Leistungserbringer in den Departementen EDA, EFD, WBF, UVEK, EJPD und VBS nutzten "Airlock"-IAM. Das BIT verfüge bereits über ein Team von Engineers, das auf der Basis von "Airlock"-IAM diese Integra- tion vornehmen könne. Auf der Basis der bestehenden "Airlock"-IAM-In- stallation könnten die Beschwerdeführerin und ihr Partner mindestens ei- nen Teil der zusätzlich zu erwartenden Applikationen gemäss den Anforde- rungen authentisieren und autorisieren. Sie biete mit "Airlock IAM" ein Pro- dukt mit vergleichbarem Leistungsumfang wie "Nevis" an, jedoch im Ver- gleich mit der Zuschlagsempfängerin zu einem kostengünstigen Ansatz.

B-3580/2021 Seite 16 Bevor die Software "Nevis" in grossem Umfang in der Bundesverwaltung weiterverbreitet werde, sei eine Prüfung von Alternativen beziehungsweise die Prüfung der Frage erforderlich, ob eine Implementation mit dem Pro- dukt der Beschwerdeführerin wirtschaftlicher und mit weniger Risiken mög- lich sei. 1.5.3 Nachdem die Beschwerdeführerin im Lauf des Verfahrens ihre Be- hauptung, alle Leistungen, die Gegenstand der angefochtenen freihändi- gen Beschaffung sind, in damit substituierbarer Form erbringen zu wollen, relativiert hat auf diejenigen Leistungen, welche neue Applikationen und Leistungserbringungen betreffen, war sie nicht mehr legitimiert, den Zu- schlag insofern anzufechten, als dieser Leistungen für Applikationen be- trifft, für die bereits jetzt "Nevis" eingesetzt werden. Soweit daher im Hinblick auf die Kostenverlegung für den gegenstandslos gewordenen Teil des Streitgegenstands zu prüfen ist, wie die Beschwerde diesbezüglich zu entscheiden gewesen wäre (vgl. E. 1.4 hievor), ist daher davon auszugehen, dass diesbezüglich auf die Beschwerde nicht einzutre- ten gewesen wäre. 1.6 Soweit es in der angefochtenen freihändigen Vergabe dagegen um neue Applikationen und Leistungen geht, bei denen zurzeit noch nicht "Ne- vis" zur Anwendung gelangt, und in Bezug auf welche das Bundesverwal- tungsgericht die aufschiebende Wirkung gewährt hat, ist zwischen den Par- teien umstritten, ob das von der Vergabestelle favorisierte "Nevis"-System durch das von der Beschwerdeführerin angebotene "Airlock"-System sub- stituierbar ist oder nicht. Die Vergabestelle macht diesbezüglich geltend, die Beschwerdeführerin bleibe den Nachweis schuldig, dass sie mit ihrem Produkt in der Lage wäre, sämtliche Funktionalitäten und Anforderungen zu erfüllen, welche die Bun- desverwaltung für ihr IAM benötige und welche die "Nevis"-basierte Lösung abdecke. Erst die geplante Studie werde zeigen, ob das Produkt der Be- schwerdeführerin den verlangten Zweck erfüllen könne. 1.6.1 Die Beweislast für das Vorliegen der Voraussetzungen für eine frei- händige Vergabe liegt bei der Vergabestelle (vgl. E. 2.1 hienach). Da und soweit die Vergabestelle nicht konkret und nachvollziehbar dargelegt hat, welche Funktionalitäten und Anforderungen das IAM-System für die neuen Applikationen und Leistungen, bei denen zurzeit noch nicht "Nevis" zur An-

B-3580/2021 Seite 17 wendung gelangt, je aufweisen muss, obliegt die Substantiierungslast da- für, dass die Beschwerdeführerin mit ihrem System diese Funktionalitäten und Anforderungen erfüllt und insofern eine substituierbare Leistung anbie- ten könnte, daher nicht der Beschwerdeführerin, zumal unbestritten ist, dass deren Produkt "Airlock" bereits bisher in der Bundesverwaltung in ver- schiedenen Departementen genutzt wird. Ansonsten bezieht sich die Argumentation der Vergabestelle lediglich auf die Frage, ob ihr eine derartige Substitution zumutbar sei, insbesondere in wirtschaftlicher Hinsicht und unter Risikoaspekten, und nicht auf die Frage, ob die Beschwerdeführerin überhaupt eine substituierbare Leistung anbie- ten könne. Unter diesen Umständen ist davon auszugehen, dass die Beschwerdefüh- rerin in für die Legitimationsfrage erforderlichem Ausmass glaubhaft ge- macht hat, dass "Nevis" in Bezug auf die neuen Applikationen und Leistun- gen, bei denen zurzeit noch nicht "Nevis" zur Anwendung gelangt, durch "Airlock" substituierbar ist. 1.6.2 In Bezug auf die Anfechtung der freihändigen Beschaffung von IAM- Dienstleistungen für diese neuen Applikationen und Leistungen ist die Le- gitimation der Beschwerdeführerin daher gegeben. 1.7 Eingabefrist sowie die Anforderungen an Form und Inhalt der Be- schwerdeschrift sind gewahrt (vgl. Art. 50 Abs. 1 und Art. 52 Abs. 1 VwVG), der Rechtsvertreter hat sich rechtsgenüglich ausgewiesen (vgl. Art. 11 VwVG) und der Kostenvorschuss wurde fristgerecht bezahlt (vgl. Art. 63 Abs. 4 VwVG). 1.8 Auf die Beschwerde ist daher einzutreten, soweit sie sich gegen die freihändige Beschaffung von IAM-Dienstleistungen für neue Applikationen und Leistungen, bei denen zurzeit noch nicht "Nevis" zur Anwendung ge- langt, richtet. 2. Die Beschwerdeführerin rügt, das freihändige Verfahren sei in unzulässiger Weise zur Anwendung gelangt. 2.1 Die Vergabestelle kann einen Auftrag unabhängig vom Schwellenwert freihändig vergeben, wenn eine der in Art. 21 Abs. 2 Bst. a-i BöB aufge- führten Voraussetzungen erfüllt ist. Diese abschliessend aufgezählten Aus- nahmetatbestände bilden einen numerus clausus, egal wie überzeugend

B-3580/2021 Seite 18 andere mögliche Rechtfertigungen für freihändige Vergaben sein mögen ("no matter what the justification"; SUE ARROWSHMITH, Government Procu- rement in the WTO, 2003, S. 282; vgl. Zwischenentscheid des BVGer B-3402/2009 vom 2. Juli 2009, auszugsweise publiziert in BVGE 2009/19 E. 4.1 m.H. "Microsoft"). Da es sich um Ausnahmen handelt, sind die Tat- bestände, unter denen eine freihändige Beschaffung zulässig ist, nach der Rechtsprechung restriktiv auszulegen (Entscheide der Eidgenössischen Rekurskommission für das öffentliche Beschaffungswesen [BRK] vom 26. Januar 2001, in: Verwaltungspraxis der Bundesbehörden[VPB] 65.77 E. 2a; vom 3. November 2000, in: VPB 65.41 E. 4a m.H; PETER GALLI/ANDRÉ MOSER/ELISABETH LANG/MARC STEINER, Praxis des öffentli- chen Beschaffungsrechts, 3. Aufl. 2013, Rz. 291; Botschaft Totalrevision BöB, BBl 2017 1851, 1925; insoweit kritisch ARROWSMITH, a.a.O., S. 282 f.; HANS RUDOLF TRÜEB/NATHALIE CLAUSEN, in: Oesch/Weber/Zäch [Hrsg.], Wettbewerbsrecht II, 2. Aufl. 2021, Rz. 5 f. zu Art. 21 BöB). Die Vergabestelle ist verpflichtet darzutun, dass sie sich einlässlich mit den Anwendungsvoraussetzungen der Norm auseinandergesetzt und vor de- ren Anwendung insbesondere detailliert abklärt hat, ob es wirklich keine angemessene Alternative zum Angebot des von ihr präferierten Anbieters gibt; dafür muss sie zwar kein vorgängiges offenes Verfahren durchführen, aber dennoch das Vorliegen der Voraussetzungen für die Anwendung der Ausnahmevorschrift anhand der durchgeführten Abklärungen zumindest glaubhaft machen (GALLI/MOSER/LANG/STEINER, a.a.O., Rz. 406). Insbe- sondere muss die Vergabestelle darlegen, dass sie sich im Lichte der kon- kreten Beschaffung – vor Einleitung der freihändigen Vergabe – detailliert mit den Anwendungsvoraussetzungen der Ausnahmevorschrift auseinan- dergesetzt, in vergaberechtskonformer Weise technische Anforderungen aufgestellt und gestützt darauf den Markt analysiert hat, bevor sie zum Schluss gekommen ist, dass die Voraussetzungen für eine freihändige Vergabe erfüllt sind (Urteil des BVGer B-1570/2015 E. 2.3 ff. "Warnblitz- leuchte Eflare"). Wer sich auf das Vorliegen eines Ausnahmetatbestands für die freihändige Vergabe beruft, hat grundsätzlich nachzuweisen, dass alle Voraussetzun- gen dafür erfüllt sind. Die Beweislast für das Vorliegen der die Ausnahme begründenden Tatsachen liegt daher bei der Vergabestelle (vgl. B-1570/2015 E. 2.3 ff. "Warnblitzleuchte Eflare"; Zwischenentscheid B-3402/2009, auszugsweise publiziert in BVGE 2009/19 E. 4.2 "Microsoft"; Entscheid der BRK vom 3. November 2000, in: VPB 65.41 E. 4b; ARROWS- MITH, a.a.O., S. 282; GALLI/MOSER/LANG/STEINER, a.a.O., Rz. 301).

B-3580/2021 Seite 19 2.2 Im vorliegenden Fall beruft sich die Vergabestelle zur Begründung ihrer freihändigen Vergabe auf Art. 21 Abs. 2 Bst. c BöB, welcher wie folgt lautet: Die Auftraggeberin kann einen Auftrag unabhängig vom Schwellenwert frei- händig vergeben, wenn aufgrund der technischen oder künstlerischen Beson- derheiten des Auftrags oder aus Gründen des Schutzes geistigen Eigentums nur eine Anbieterin in Frage kommt und es keine angemessene Alternative gibt (vgl. Art. 21 Abs. 2 Bst. c BöB). 2.3 Die Vergabestelle macht diesbezüglich geltend, die aktuellen IAM-Lö- sungen des Bundes basierten auf dem Produkt "Nevis". Dieses Produkt sei in den Jahren 2002-2003 eingeführt worden und bestehe aus verschiede- nen Modulen. Im Verlauf der Jahre sei die Anzahl Benutzer und genutzter "Nevis"-Module erhöht worden. Der Zuschlag sei der Zuschlagsempfänge- rin erteilt worden, weil sie aktuell die einzige zertifizierte Partnerin von "Ne- vis" sei. Lediglich die Zuschlagsempfängerin sei in der Lage, aufgrund ih- res Partnerstatus beziehungsweise ihrer Zertifizierung durch die Nevis Security AG das Gesamtpaket von Wartung, Support, Lizenzen und kun- denspezifischen Anpassungen am Produkt "Nevis" aus einer Hand anzu- bieten. Erst wenn weitere Firmen zertifiziert seien, würde die Möglichkeit bestehen, den Leistungserbringer für Wartung, Support und Betrieb zu wechseln, ohne das Produkt "Nevis" austauschen zu müssen. Müssten kurzfristig die Zugriffsrechte bei neu hinzukommenden Applikati- onen mit einem anderen Produkt verwaltet werden, müsste ein paralleler Betrieb von jeweils zwei solchen Systemen aufgebaut werden. Eine solche Erweiterung durch ein zweites IAM-System pro Leistungserbringer hätte nicht verantwortbare technische Risiken und unverhältnismässige Mehr- kosten zur Folge und würde dem Grundsatz der Wirtschaftlichkeit nicht ent- sprechen. Zudem habe der Bundesrat mit seinen Standardisierungsent- scheiden vom 13. Dezember 2013 beziehungsweise 29. Juni 2016 festge- legt, dass es pro Organisation nur einen IAM-Standard geben solle. Die Vergabestelle sei daher nicht befugt, ohne Weiteres ein zweites Produkt einzuführen und damit eine Mehrproduktestrategie zu fahren. Das Produkt "Airlock" der Beschwerdeführerin werde vom BIT zwar bereits eingesetzt, aber zu einem anderen Zweck als das Produkt "Nevis". Die restlichen zivi- len Leistungserbringer setzten das Produkt "Airlock" nicht ein. Die Airlock- Anwendung beim BIT unterstütze das IAM-System von "Nevis". Es diene dem Zweck, eine Authentifizierung von Zweitfaktoren wie beispielsweise via SMS zu ermöglichen. Es handle sich um einen einfachen Vorgang, der nicht mit der Komplexität oder dem Zweck des IAM-Services vergleichbar

B-3580/2021 Seite 20 sei. Die Marktabklärung von 2016 habe ergeben, dass das Produkt "Air- lock" nicht den gleichen Zweck wie "Nevis" erfüllen könne. Ob sich dieses Bild verändert habe, werde die Studie, die derzeit erarbeitet werde, zeigen. Wenn ein anderes Produkt für den IAM-Service eingesetzt werden solle (ein auf dem Markt vorhandenes oder allenfalls eine bundesinterne eigene Entwicklung), müsse das Gesamtsystem auf ein neues Produkt migriert werden. Bevor eine umfassende Migration des Gesamtsystems auf ein neues Produkt an die Hand genommen werden könne, benötige die Bun- desverwaltung eine neue, langfristig ausgerichtete IAM-Strategie. Liege diese vor, würden auch die nächsten beschaffungsrechtlichen Schritte ge- plant und durchgeführt. Um diese Strategie zu entwickeln, sei eine fun- dierte Studie erforderlich. Diese werde derzeit erarbeitet. 2.4 In den eingereichten Vergabeakten befindet sich eine interne "Begrün- dung für die freihändige Vergabe nach dem Gesetz über das öffentliche Beschaffungswesen (BöB), Art. 21 Abs. 2 lit. c BöB" vom 16. April 2021 (im Folgenden: Begründung vom 16. April 2021), in welche die Beschwerde- führerin grösstenteils Einsicht erhielt. In dieser Begründung wird ausge- führt, das heutige Produkt "Nevis" und der Partner Y._______ AG seien im Jahr 2003 vom ISC-EJPD evaluiert worden. Die wichtigsten Gründe für den damaligen Entscheid für dieses Produkt und die freihändige Vergabe seien die Flexibilität der Lösung, die "Enterprise-Fähigkeit" und die Referenzen auf dem Schweizer Markt, der hohe Level an IT-Sicherheit, die Anpas- sungsmöglichkeiten auf die Bedürfnisse des Bundes und die gute Perspek- tive gewesen. Später hätten sich auch das BIT und das ISCeco aus den- selben Gründen, und weil "Nevis" bereits in der Bundesverwaltung einge- setzt worden sei, für das Produkt und die Zuschlagsempfängerin Y._______ AG entschieden. Die Arbeitslosenversicherung betreibe eigene Fachanwendungen und arbeite mit Fachanwendungen der Kantone zu- sammen. Ein Identity- und Access Management in einer so verteilten Um- gebung mit unterschiedlichsten Zugriffsrechten von unterschiedlichen Or- ganisationen beinhalte eine sehr hohe Komplexität. Mittels einer auf "Ne- vis" basierten ALV-Bridge würden die Identitäten mit weiteren Attributen an- gereichert und ermöglichten so den Zugriff auf die Infrastruktur eines Kan- tons. Diese IAM ALV-Bridge sei von Y._______ AG entwickelt worden. Die Wahl sei diesbezügliche auf "Nevis" gefallen, da die ALV-Bridge ein Über- gang von der aktuellen BIT-IAM Lösung darstelle und deren Technologie verwende.

B-3580/2021 Seite 21 Auch wenn eine Lösung zur vollsten Zufriedenheit betrieben und weiterent- wickelt werden könne, sei es notwendig, periodisch die Strategie zu über- denken und die Produkte und Partner in Frage zu stellen. Ein Strategieent- scheid erfordere immer eine ausgiebige Studie, die einerseits den aktuel- len Produkte-Markt analysiere, die Bedürfnisse von heute und morgen und die technische Entwicklung im Themenbereich und die Folgen und Kosten einer eventuellen Migration auf ein Drittprodukt oder gar auf eine Eigenent- wicklung aufzeige. Die Anforderungen an IAM in der Bundesverwaltung seien in den letzten Jahren sprunghaft angestiegen. Auch habe durch die Corona-Krise der elektronische Zugang zur Bundesverwaltung einen ganz anderen Stellenwert erhalten, so dass seit einem Jahr sehr viele hoch sen- sible und arbeitsintensive Anpassungen an IAM durchgeführt und für das BAG und Swissmedic wie auch für weitere einige neue Lösungen integriert worden seien. Nun solle auf Basis der aktuellen Bedürfnisse in der Bun- desverwaltung und der technischen Möglichkeiten von heute möglichst zeitnah die IAM-Strategie überprüft werden. Eine entsprechende Studie sei bis Ende 2021 geplant im Hinblick auf einen Entscheid über die bundes- weite IAM-Strategie im ersten Quartal 2022 (Begründung vom 16. April 2021, Ziff. 1.1.3 S. 4). Es bestehe keine angemessene Alternative zu einer weiteren Beschaffung der verschiedenen "Nevis"-Module, denn als Alternative komme nur eine Migration der gesamten IAM-Lösungen beziehungsweise -Funktionalität auf ein Drittsystem in Frage. Aktuell sei keine Standardsoftware bekannt, die die bestehende IAM-Lösung sofort ersetzen könnte. Gemäss den Marktabklärungen aus dem Jahr 2016 gebe es auf dem Markt keine alter- native Standardsoftware, welche alle heute verwendeten Protokolle (HTTPs, SSL, ICA, RMI/llOP, SAML, WS-Trust, künftig auch WS-Federa- tion sowie OAuth) auch per single-sign-on anbiete. Ob eine erneute Markt- abklärung zum selben Schluss komme, werde die im 2. Halbjahr 2021 durchzuführende Studie zeigen. Aber auch wenn es eine passende Alter- nativsoftware geben würde, müsste jede der 400 Fachapplikationen ein- zeln betrachtet beziehungsweise migriert werden (Begründung vom 16. April 2021, Ziff. 4.2.1-4.2.2 S. 8 f.). 2.5 Wie bereits dargelegt, liegt die Beweislast für das Vorliegen der Vo- raussetzungen für eine freihändige Vergabe bei der Vergabestelle. Insbe- sondere muss die Vergabestelle darlegen, dass sie sich im Lichte der kon- kreten Beschaffung – vor Einleitung der freihändigen Vergabe – detailliert mit den Anwendungsvoraussetzungen der Ausnahmevorschrift auseinan- dergesetzt, in vergaberechtskonformer Weise technische Anforderungen

B-3580/2021 Seite 22 aufgestellt und gestützt darauf den Markt analysiert hat, bevor sie zum Schluss gekommen ist, dass die Voraussetzungen für eine freihändige Vergabe erfüllt sind (vgl. E. 2.1 hiervor). Im vorliegenden Fall geht aus der vergabestelleninternen Begründung vom 16. April 2021 nicht hervor, dass diese Voraussetzungen gegeben wären. Ganz im Gegenteil bringt dieses interne Papier unzweideutig zum Aus- druck, dass eine genaue Analyse der eigenen technischen Bedürfnisse und des relevanten Marktes noch gar nicht vorgenommen wurde, sondern erst im Rahmen einer Studie geplant ist, die in der Zeit bis Ende 2021 durchgeführt werden soll, im Hinblick auf einen Entscheid über eine bun- desweite IAM-Strategie im ersten Quartal 2022. Die letzte Marktabklärung erfolgte vor sechs Jahren, und in der vergabestelleninternen Begründung wird nicht substantiiert, aus welchen Gründen davon auszugehen sei, dass eine erneute Marktanalyse zum gleichen Ergebnis führen würde, nämlich, dass es keine Alternativprodukte gebe, welche "Nevis" substituieren könn- ten, sondern es wird ausgeführt, dass erst diese Studie zeigen würde, ob das Ergebnis der Abklärung heute das gleiche wäre. Dass diese Studie nach der Verfassung dieser Begründung vom 16. April 2021 bereits durchgeführt worden wäre, hat die Vergabestelle nicht be- hauptet. 2.6 Dass die Vergabestelle eine gewisse Zeit benötigt, um eine derartige Studie durchzuführen, leuchtet ohne Weiteres ein. Da indessen das Resul- tat der Analysen erforderlich ist, um eine freihändige Vergabe zu begrün- den (vgl. E. 2.1 hievor), kann der Umstand, dass die Vergabestelle diese noch nicht durchgeführt hat, sie nicht zu einer freihändigen Vergabe be- rechtigen, zumal auch keine Gründe dargetan oder ersichtlich wären, wa- rum die Vergabestelle ohne eigenes Verschulden daran gehindert gewe- sen wäre, diese Studie oder Analysen rechtzeitig vor dem Entscheid für eine freihändige Vergabe durchzuführen. 2.7 Die Vergabestelle macht geltend, der Bundesrat habe mit seinen Stan- dardisierungsentscheiden vom 13. Dezember 2013 respektive 29. Juni 2016 festgelegt, dass es pro Organisation nur einen IAM-Standard geben solle. Sie sei daher nicht befugt, ohne weiteres ein zweites Produkt einzu- führen und damit eine Mehrproduktestrategie zu fahren. Der Ausnahmetatbestand von Art. 21 Abs. 2 Bst. c BöB beruht seinerseits auf Art. XIII Ziff. 1 Bst. b GPA-2012. Die Vergabestelle macht zu Recht nicht

B-3580/2021 Seite 23 konkret geltend, der Bundesrat wäre befugt, im in Frage stehenden Bereich der Beschaffung eines IAM-Produkts von den Bestimmungen des GPA ab- zuweichen. Die Standardisierungsentscheide des Bundesrats entbinden die Vergabestelle daher nicht davon, den Nachweis zu erbringen, dass die Voraussetzungen von Art. 21 Abs. 2 Bst. c BöB gegeben sind. Hinzu kommt, dass die Beschwerde gegen die freihändige Vergabe der IAM-Dienstleistungen in Bezug auf Leistungen und Applikationen, bei de- nen bereits "Nevis" zur Anwendung kommt, nicht abgewiesen wurde, son- dern auf diese Beschwerde lediglich nicht eingetreten wurde. Ob dieser Teil der freihändigen Vergabe rechtskonform war oder nicht, bleibt damit unbe- urteilt. Analog zum Ausnahmetatbestand einer Folgebeschaffung (Art. 21 Abs. 2 Bst. e BöB) ist auch bei einer Berufung auf den Wunsch nach einer einheitlichen Lösung für alle Organisationseinheiten zu verlangen, dass die früher bezogenen Leistungen, mit welchen die Einheitlichkeit gewünscht wird, in einem dem massgeblichen Auftragswert entsprechenden Verfah- ren vergeben worden sind (vgl. Zwischenentscheide B-3402/2009, aus- zugsweise publiziert in BVGE 2009/19 E. 6.1 m.w.H. "Microsoft"; B-5729/2009 vom 15. Oktober 2009 E. 5.2.1; B-3576/2021 vom 10. Sep- tember 2021 E. 4.2.7; Botschaft Totalrevision BöB, BBl 2017 1851, 1928; GIANNI FRÖHLICH-BLEULER, Die Vergabe von IT-Verträgen / IV.-VI., BR Nr. 32 2016, S. 293 Rz. 61; ROBERT WOLF, Freihändige Beschaffung – Hand- lungsfreiheiten und ihre Grenzen, I.-II., Aktuelles Vergaberecht 2010, S. 146 Rz. 45 m.w.H.). Im vorliegenden Fall ist indessen unbestritten, dass alle bisherigen "Nevis"-Beschaffungen freihändig erfolgt waren. Den Aus- führungen der Vergabestelle lässt sich entnehmen, dass nicht nur die Un- ternehmerlizenz "Nevis" im Jahr 2003 freihändig erworben wurde, sondern auch die in den Folgejahren 2008, 2009, 2012, 2017 und 2021 benötigten Dienstleistungen für das ISC-EJPD, das BIT und das ISCeco jeweils in frei- händigen Verfahren bei der Zuschlagsempfängerin beschafft wurden. Im Verlauf der Jahre vervielfachten sich die Kosten der Beschaffung von 3,75 Mio. Fr. im Jahr 2003 auf rund 51 Mio. Fr. (Grundauftrag) beziehungs- weise 20,4 Mio. Fr. (Option) im Jahr 2021, das heisst total über 70 Mio. Franken. Insgesamt wurden somit rund 100 Mio. Fr. ohne Ausschreibungs- verfahren vergeben. Aus der bereits existierenden weiten Verbreitung von "Nevis" in der Bun- desverwaltung kann die Vergabestelle daher nichts zu ihren Gunsten ab- leiten. Vielmehr zeigt ihre Argumentation, dass, wenn die Beschwerde ab- gewiesen würde und sie damit berechtigt würde, "Nevis" auch für weitere Leistungen und Applikationen freihändig zu beschaffen, sie damit Fakten

B-3580/2021 Seite 24 schaffen würde, welche – jedenfalls ihrer Auffassung nach – im Rahmen des bevorstehenden Strategieentscheides zu Gunsten weiterer freihändi- ger Vergaben herangezogen werden könnten. 2.8 Im Ergebnis ist es der Vergabestelle somit nicht gelungen, den ihr ob- liegenden Nachweis zu erbringen, dass die Voraussetzungen für eine frei- händige Vergabe gegeben sind. 2.9 Unter diesen Umständen erübrigt es sich, das von der Beschwerdefüh- rerin beantragte Gutachten einzuholen. 3. Die Beschwerde erweist sich damit als begründet, soweit sie nicht gegen- standslos geworden ist. Der angefochtene freihändige Zuschlag ist daher aufzuheben, soweit er die Beschaffung von IAM-Dienstleistungen für neue Applikationen und Leistungen, bei denen zurzeit noch nicht "Nevis" zur An- wendung gelangt, zum Gegenstand hat, und die Sache ist an die Vergabe- stelle zurückzuweisen, damit sie im Sinne der Erwägungen prüfe, ob die Voraussetzungen für eine freihändige Vergabe erfüllt sind oder nicht, bevor sie erneut darüber entscheidet, ob der Auftrag im offenen oder selektiven Verfahren oder aber freihändig zu vergeben ist. 4. Die Verfahrenskosten sind den Parteien nach Massgabe ihres Unterlie- gens aufzuerlegen (vgl. Art. 63 Abs. 1 VwVG; Art. 1 ff. VGKE). Dabei gilt die Rückweisung zu erneutem Entscheid bei offenem Ausgang praxisge- mäss als Obsiegen (vgl. Urteil des BGer 2C_846/2013 vom 28. April 2014 E. 3.2). Vergabestellen haben, auch wenn sie unterliegen, keine Verfah- renskosten zu tragen (Art. 63 Abs. 2 VwVG). Beim dargelegten Verfahrensausgang gilt die Beschwerdeführerin als le- diglich in geringem Ausmass obsiegend, da die IAM-Dienstleistungen für Applikationen und Leistungen, bei denen noch nicht "Nevis" zur Anwen- dung gelangt, nur einen kleinen Anteil am angefochtenen Beschaffungsge- genstand ausmachen. In Bezug auf die IAM-Dienstleistungen für Applikationen und Leistungen, bei denen bereits "Nevis" zur Anwendung gelangt, war das Verfahren durch den vom Gericht autorisierten Vertragsabschluss gegenstandslos gewor- den, weshalb diesbezüglich lediglich noch im Hinblick auf die Kostenverle- gung zu prüfen war, wie die Beschwerde in Bezug auf diesen Teil des Streit-

B-3580/2021 Seite 25 gegenstands zu entscheiden gewesen wäre, wenn sie nicht gegenstands- los geworden wäre (vgl. E. 1.4 hievor). Das Gericht kam diesbezüglich zum Schluss, dass auf die Beschwerde nicht einzutreten gewesen wäre (vgl. E. 1.5.3 hievor), so dass die Beschwerdeführerin diesbezüglich als unter- liegend zu betrachten ist. Praxisgemäss sind die diesbezüglichen Verfah- renskosten indessen zu reduzieren, da das Gericht keine materielle Prü- fung vornehmen musste. 5. Als teilweise obsiegende Partei hat die Beschwerdeführerin Anspruch auf eine Parteientschädigung für ihr erwachsene notwendige und verhältnis- mässig hohe Kosten (vgl. Art. 64 Abs. 1 VwVG und Art. 7 Abs. 1 VGKE). Die Parteientschädigung umfasst die Kosten der Vertretung sowie allfällige weitere notwendige Auslagen der Partei (Art. 8 VGKE). Parteikosten sind dann als notwendig zu betrachten, wenn sie zur sachgerechten und wirk- samen Rechtsverfolgung oder Rechtsverteidigung unerlässlich erscheinen (vgl. BGE 131 II 200 E. 7.2). Die teilweise obsiegende Beschwerdeführerin ist im vorliegenden Verfahren anwaltlich vertreten, hat indessen keine Kos- tennote eingereicht, weshalb die ihr zuzusprechende Parteientschädigung nach Ermessen und aufgrund der Akten festzusetzen ist (Art. 14 Abs. 2 Satz 2 VGKE).

B-3580/2021 Seite 26 Demnach erkennt das Bundesverwaltungsgericht: 1. Die Beschwerde wird gutgeheissen, soweit sie nicht gegenstandslos ge- worden ist. Der angefochtene freihändige Zuschlag wird aufgehoben, soweit er die Be- schaffung von IAM-Dienstleistungen für neue Applikationen und Leistun- gen, bei denen zurzeit noch nicht "Nevis" zur Anwendung gelangt, zum Ge- genstand hat, und die Sache wird an die Vergabestelle zurückgewiesen, damit sie im Sinne der Erwägungen prüfe, ob die Voraussetzungen für eine freihändige Vergabe erfüllt sind oder nicht, bevor sie erneut darüber ent- scheidet, ob der Auftrag im offenen oder selektiven Verfahren oder aber freihändig zu vergeben ist. 2. Der Beschwerdeführerin werden Verfahrenskosten von Fr. 3'000.– auferlegt. Dieser Betrag wird nach Eintritt der Rechtskraft des vorliegenden Urteils dem geleisteten Kostenvorschuss entnommen und der Beschwer- deführerin wird ein Betrag von Fr. 23'000.– zurückerstattet. 3. Der Beschwerdeführerin wird zu Lasten der Vergabestelle eine Parteient- schädigung von Fr. 3'000.– zugesprochen. 4. Dieses Urteil geht an die Beschwerdeführerin, die Vergabestelle und die Zuschlagsempfängerin.

Für die Rechtsmittelbelehrung wird auf die nächste Seite verwiesen.

Die vorsitzende Richterin:

Eva Schneeberger Die Gerichtsschreiberin:

Beatrice Grubenmann

B-3580/2021 Seite 27 Rechtsmittelbelehrung: Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bun- desgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Ange- legenheiten geführt werden (Art. 82 ff., 90 ff. und 100 BGG), soweit sich eine Rechtsfrage von grundsätzlicher Bedeutung stellt (Art. 83 Bst. f Ziffer 1 und 2 BGG). Die Frist ist gewahrt, wenn die Beschwerde spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Han- den der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben worden ist (Art. 48 Abs. 1 BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unter- schrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie die beschwerdeführende Partei in Händen hat, beizulegen (Art. 42 BGG).

Versand: 11. Mai 2022

B-3580/2021 Seite 28 Zustellung erfolgt an: – die Beschwerdeführerin (Rechtsvertreter; Gerichtsurkunde; Beilage: Rückerstattungsformular) – die Vergabestelle (Ref-Nr. SIMAP-Projekt-ID 223666; Gerichtsurkunde) – die Zuschlagsempfängerin (Rechtsvertreter, Gerichtsurkunde)