Projekt 1034: Technische Umsetzung einer SBOM für KI (SBOM4AI)

Projekt 1000 - "Agentic AI: Prüfanforderungen für LLM-basierte agentische künstliche Intelligenz (PRAKI)"

Das Bundesamt für Sicherheit in der Informationstechnik benötigt Dienstleistungen zur Identifizierung von Prüfanforderungen für LLM-basierte agentische künstliche Intelligenz (PRAKI) über einen Zeitraum von 18 Monaten. Ziel ist es, die wichtigsten Anwendungsfälle im Bereich der agentischen KI zu identifizieren, Prüfanforderungen zu entwickeln und diese für andere Anwendungsfälle zu generalisieren, um sie in die „Stand der Technik“-Bibliothek des neuen Grundschutz++ zu integrieren. Die Dienstleistungen sollen in Bonn erbracht werden. Als Qualifikationsanforderungen sind Referenzprojekte nachzuweisen, die Expertise in der Verwendung von LLM-basierten agentischen KI-Systemen belegen, wobei mindestens ein Projekt in den letzten drei Jahren durchgeführt worden sein muss. Zudem ist ein Überblick über die technische Ausrüstung zu geben, die zur Erbringung der Leistung eingesetzt wird.

P 700 - KI-Methoden in der Seitenkanalanalyse II (KISKA II)

Das Bundesamt für Sicherheit in der Informationstechnik benötigt Forschungs- und Entwicklungsdienstleistungen für ein Projekt zur Untersuchung und Weiterentwicklung KI-gestützter Methoden für die Seitenkanalanalyse kryptographischer Implementierungen über einen Zeitraum von 24 Monaten. Der Fokus liegt auf Post-Quanten-Kryptoverfahren und symmetrischen Verfahren (z. B. AES) auf Mikrocontroller- und FPGA-Plattformen. Der Auftragnehmer muss eine Mess-/Testumgebung einrichten, Datensätze auswählen/erzeugen und robuste Modellarchitekturen, Trace-Kompression, Test-Time-Tuning sowie geeignete Auswertungsmetriken und Workflows untersuchen. Liefergegenstände sind Berichte, Präsentationen, Executive Summaries, ein praxisorientierter Leitfaden, Datensätze, Quellcode und eine erweiterte Software-Toolbox. Die Dienstleistungen sollen in Bonn erbracht werden.

KI im Secure Software Development Life Cycle (KISDL)

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) benötigt Dienstleistungen für das Projekt "KI im Secure Software Development Life Cycle (KISDL)" über einen Zeitraum von 8 Monaten. Ziel ist es, den Einsatz von KI im SSDLC zu untersuchen und dessen Auswirkungen auf die Softwaresicherheit zu analysieren. Dies umfasst die Erstellung einer Studie über den Stand der Technik und Best Practices für KI-Tools im SSDLC (AP 1-4), die Überprüfung und Aktualisierung von Bewertungskriterien für die Common Criteria Zertifizierung in Zusammenarbeit mit dem BSI sowie die Erstellung eines Umsetzungsplans für KI-Tools für Prüfstellen (AP 5-6), und die Entwicklung einer Referenzarchitektur für die Integration von KI-Tools in den SSDLC und die Softwareumgebung von Open CoDE (AP 7). Die Dienstleistungen sollen in Bonn erbracht werden. Als Qualifikationsanforderungen sind mindestens zwei geeignete Referenzen vorzulegen, die Erfahrungen in den letzten drei Jahren in den Bereichen Integration von KI-basierten Tools, IT-Sicherheit, wissenschaftliches Arbeiten und Publizieren sowie Umsetzung/Realisierung eines innovativen Test- oder Pilotbetriebs von Produkten im SSDLC belegen. Zudem ist ein Überblick über die technische Ausrüstung, insbesondere für KI-Tools mit hohem VRAM-Bedarf und für Telefon- und Videokonferenzen, zu geben.

Projekt 1023: Prüfkriterien für Reinforcement Learning (RL-Criteria)

Das Bundesamt für Sicherheit in der Informationstechnik benötigt Dienstleistungen für das Projekt "RL-Criteria" in Bonn über einen Zeitraum von 15 Monaten. Ziel ist die Erstellung eines Katalogs von Anforderungen zur Bewertung der Sicherheit und Vertrauenswürdigkeit von KI-Anwendungen, die Reinforcement Learning nutzen, einschließlich großer generativer Modelle (RLHF, RLAIF). Dieser Katalog soll als Grundlage zur Selbsteinschätzung und Prüfung entsprechender KI-Systeme dienen und kompatibel zur SdT-Bibliothek des BSI sowie als ergänzendes Modul zum BSI A5 gestaltet werden. Die Zuschlagskriterien sind Qualität und Preis, deren genaue Gewichtung der Leistungsbeschreibung zu entnehmen ist. Als Qualifikationsanforderungen sind Eigenerklärungen zu Artikel 5k der Verordnung (EU) 833/2014 und zum Ausschluss von Interessenkonflikten erforderlich, sowie Referenzen zur Expertise in Reinforcement Learning, zur Sicherheit von KI-Systemen und zur Prüfung von KI-Systemen, ergänzt durch Angaben zur technischen Ausrüstung.

Projekt 1025 "CSP Update, Evaluierung, Rezertifizierung und API (CUERA)"

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) benötigt Dienstleistungen für das Projekt "CSP Update, Evaluierung, Rezertifizierung und API (CUERA)" über einen Zeitraum von 13 Monaten in Bonn. Das Projekt ist in drei Lose unterteilt: Anpassung und Aktualisierung der Schutzprofile BSI-CC-PP-0104 Cryptographic Service Provider (CSP) und BSI-CC-PP-0111 CSPLight (CSPL) für eine breitere Anwendung in Bereichen wie eID/EUDI-Wallet, 5G und FIDO/Passkeys (Los 1), Evaluierung dieser Schutzprofile nach EUCC (Los 2) und Erarbeitung einer standardisierten Schnittstellenbeschreibung für CSPLight-Produkte im zentralen Rechenzentrumsbetrieb (Los 3). Die Vergabe erfolgt auf Basis von Qualität und Preis. Als Qualifikationsanforderung sind mindestens drei geeignete Referenzen vorzulegen, die Erfahrungen in der Erstellung von IT-Sicherheitsvorgaben, Kenntnisse der Common Criteria (CC), Konzepterstellung im Bereich IT-Sicherheitsvorgaben, praktische Erfahrungen in den Kontexten eID/hoheitliche Dokumente und Technische Sicherheitseinrichtungen (TSE/SMAERS), 5G oder FIDO, sowie Erfahrungen im Bereich IT-Sicherheit und Kryptovorgaben belegen.