Usługa wykonania audytu systemu bezpieczeństwa informacji w 5 podmiotach w ramach projektu „Cyberbezpieczny samorząd dla Gminy Stalowa Wola”

1. W postępowaniu o udzielenie zamówienia komunikacja między Zamawiającym (SCUW) a Wykonawcami odbywa się przy użyciu platformy e-zamówienia, która jest dostępna pod adresem: https://ezamowienia.gov.pl oraz poczty elektronicznej.

2. Wykonawca zamierzający wziąć udział w postępowaniu o udzielenie zamówienia publicznego musi posiadać konto podmiotu „Wykonawca” na Platformie e-Zamówienia. Szczegółowe informacje na temat zakładania kont podmiotów oraz zasady i warunki korzystania z Platformy e-Zamówienia określa Regulamin Platformy e-Zamówienia, dostępny na stronie internetowej https://ezamowienia.gov.pl oraz informacje zamieszczone w zakładce „Centrum Pomocy”.

3. Przeglądanie i pobieranie publicznej treści dokumentacji postępowania nie wymaga posiadania konta na Platformie e-Zamówienia ani logowania.

4. Sposób sporządzenia dokumentów elektronicznych lub dokumentów elektronicznych będących kopią elektroniczną treści zapisanej w postaci papierowej (cyfrowe odwzorowania) musi być zgodny z wymaganiami określonymi w rozporządzeniu Prezesa Rady Ministrów w sprawie wymagań dla dokumentów elektronicznych.

5. Wymagania techniczne i organizacyjne wysyłania i odbierania dokumentów elektronicznych, elektronicznych kopii dokumentów i oświadczeń oraz informacji przekazywanych przy ich użyciu opisane zostały w Instrukcji interaktywnej korzystania z platformy e-zamówienia pod adresem: https://ezamowienia.gov.pl/pl/komponent-edukacyjny/

6. Wszystkie wysłane i odebrane w postępowaniu przez wykonawcę wiadomości widoczne są po zalogowaniu w podglądzie postępowania w zakładce „Komunikacja”.

7. Maksymalny rozmiar plików przesyłanych za pośrednictwem „Formularzy do komunikacji” wynosi 150 MB (wielkość ta dotyczy plików przesyłanych jako załączniki do jednego formularza).

8. Składanie ofert/wniosków/prac konkursowych dostępne jest tylko dla użytkowników będących Wykonawcami, posiadającymi uprawnienie do Składania ofert/wniosków/prac konkursowych. W celu złożenia oferty należy przejść do szczegółów postępowania, wybrać zakładkę oferty/wnioski, następnie przycisk złóż ofertę.

1. Zgodnie z art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1), dalej „RODO”, informuję, że:

2. Administratorem Pana/Pani danych osobowych, przetwarzanych w Centrum Usług Wspólnych w Stalowej Woli (nazwa podmiotu), mający siedzibę w Stalowej Woli ul. Aleje Jana Pawła II 25 A, 37-450 Stalowa Wola (adres podmiotu) Pan Grzegorz Madej prowadzący działalność gospodarczą pn. IURATUS Grzegorz Madej, z siedzibą pod adresem Bodzanów 467, 32-020 Wieliczka

3. Wyjaśnień w sprawach dotyczących przetwarzania danych osobowych udziela Inspektor Ochrony Danych, z którym można skontaktować się pod adresem e mail:, adres e-mail: iod.scuw@stalowawola.pl  Pani/Pana dane osobowe przetwarzane będą na podstawie art. 6 ust. 1 lit. c RODO w celu związanym z postępowaniem o udzielenie zamówienia publicznego pn. „Usługa wykonania audytu systemu bezpieczeństwa informacji w 5 podmiotach w ramach projektu „Cyberbezpieczny samorząd dla Gminy Stalowa Wola”: Zaawansowane usługi cyfrowe Działanie 2.2- Wzmocnienie krajowego systemu cyberbezpieczeństwa konkurs grantowy w ramach Projektu grantowego „Cyberbezpieczny Samorząd”  odbiorcami Pani/Pana danych osobowych będą osoby lub podmioty, którym udostępniona zostanie dokumentacja postępowania w oparciu o art. 18 oraz art. 74 ust. 1 ustawy Pzp.

 Pani/Pana dane osobowe będą przechowywane, zgodnie z art. 78 ust. 1 ustawy Pzp, przez okres 4 lat od dnia zakończenia postępowania o udzielenie zamówienia, a jeżeli czas trwania umowy przekracza 4 lata, okres przechowywania obejmuje cały czas trwania umowy;

 obowiązek podania przez Panią/Pana danych osobowych bezpośrednio Pani/Pana dotyczących jest wymogiem ustawowym określonym w przepisach ustawy Pzp, związanym z udziałem w postępowaniu o udzielenie zamówienia publicznego; konsekwencje niepodania określonych danych wynikają z ustawy Pzp;

 w odniesieniu do Pani/Pana danych osobowych decyzje nie będą podejmowane w sposób zautomatyzowany, stosowanie do art. 22 RODO;

 posiada Pani/Pan:

 na podstawie art. 15 RODO prawo dostępu do danych osobowych Pani/Pana dotyczących;

 na podstawie art. 16 RODO prawo do sprostowania Pani/Pana danych osobowych ;

 na podstawie art. 18 RODO prawo żądania od administratora ograniczenia przetwarzania danych osobowych z zastrzeżeniem przypadków, o których mowa w art. 18 ust. 2 RODO ;

 prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, że przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy RODO;

 nie przysługuje Pani/Panu:

 w związku z art. 17 ust. 3 lit. b, d lub e RODO prawo do usunięcia danych osobowych;

 prawo do przenoszenia danych osobowych, o którym mowa w art. 20 RODO;

 na podstawie art. 21 RODO prawo sprzeciwu, wobec przetwarzania danych osobowych, gdyż podstawą prawną przetwarzania Pani/Pana danych osobowych jest art. 6 ust. 1 lit. c RODO.

1. Przedmiotem zamówienia jest „Usługa wykonania audytu systemu bezpieczeństwa informacji w 5 podmiotach w ramach projektu „Cyberbezpieczny samorząd dla Gminy Stalowa Wola”: Zaawansowane usługi cyfrowe Działanie 2.2- Wzmocnienie krajowego systemu cyberbezpieczeństwa konkurs grantowy w ramach Projektu grantowego „Cyberbezpieczny Samorząd” Zamówienie obejmuje przeprowadzenie audytów systemu bezpieczeństwa informacji w 5 podmiotach:  Urzędzie Miasta w Stalowej Woli  Żłobku Miejskim Nr 3 w Stalowej Woli,  Przedszkolu Nr 2 im. Jana Brzechwy w Stalowej Woli  Przedszkolu Nr 5 im. Juliana Tuwima w Stalowej Woli  Stalowowolskim Centrum Usług Wspólnych mi.in. w celu oceny skuteczności środków bezpieczeństwa oraz zarządzania ryzykiem;

a) audytu wdrożonego w Jednostce systemu bezpieczeństwa informacji SZBI,

b) analizę efektywności działań w zakresie monitorowania, pomiarów, analizy i oceny SZBI, w tym przegląd wskaźników ryzyka i zgodności. Zadanie jest dofinansowane w ramach Programu: Fundusze Europejskie na Rozwój Cyfrowy 2021-2027. Priorytet II: Zaawansowane usługi cyfrowe, Działanie 2.2 Wzmocnienie krajowego systemu cyberbezpieczeństwa.

2. AUDYT POWINIEN OBEJMOWAĆ:

a) Analiza wstępną i określenie zakresu audytu

• Zdefiniowanie obszarów, lokalizacji oraz jednostek organizacyjnych objętych SZBI.

• Weryfikacja ewidencji obszaru przetwarzania informacji, w tym dokładność danych dotyczących lokalizacji, kondygnacji i adresów.

• Sprawdzenie, czy zakres SZBI jest zgodny z wymaganiami norm ISO/IEC 27001 oraz potrzebami organizacji.

b) Weryfikacja dokumentacji systemowej

• Wprowadzenie do SZBI: Ocena, czy dokumentacja zawiera podstawowe zasady zarządzania bezpieczeństwem informacji i zgodność z cyklem PDCA (Plan-Do-Check-Act).

• Terminy i definicje: Sprawdzenie, czy wszystkie istotne pojęcia są zdefiniowane i zgodne z normami.

• Kontekst organizacji: Analiza czynników wewnętrznych i zewnętrznych oraz ich wpływu na SZBI, w tym analiza ryzyk.

c) Zarządzanie ryzykiem

• Ocena procesu identyfikacji i analizy ryzyk, w tym dokumentacji dotyczącej szacowania ryzyk.

• Analiza działań zaradczych i korygujących dla zidentyfikowanych ryzyk.

d) Zabezpieczenia i deklaracja stosowania

• Weryfikacja, czy deklaracja stosowania zabezpieczeń jest zgodna z Załącznikiem A normy ISO/IEC 27001.

• Ocena skuteczności wdrożonych zabezpieczeń oraz uzasadnienia ewentualnych wyłączeń.

e) Dokumentacja operacyjna

• Polityki i procedury: Sprawdzenie polityk bezpieczeństwa (np. kryptografii, zarządzania dostępem, bezpieczeństwa zasobów ludzkich) i ich zgodności z wymaganiami normatywnymi.

• Ewidencje i rejestry: Ocena kompletności i aktualności ewidencji aktywów, obszarów przetwarzania informacji oraz rejestrów incydentów i zgłoszeń

• Zarządzanie dostępem: Sprawdzenie procedur przyznawania, zmiany i odbierania dostępu oraz zgodności z dokumentacją.

f) Monitorowanie i doskonalenie SZBI

• Ocena procesów monitorowania, analizy i oceny systemu w odniesieniu do zgodności z wymaganiami i celami bezpieczeństwa.

• Weryfikacja raportów z monitorowania, przeglądów zarządzania i działań korygujących.

• Analiza działań doskonalących, w tym ocena skuteczności realizowanych zmian.

g) Zarządzanie incydentami i ciągłością działania

• Ocena polityki zarządzania incydentami, w tym procedur zgłaszania, oceny i reagowania na incydenty.

• Sprawdzenie planów zarządzania ciągłością działania i odtwarzania po katastrofie, w tym testów i analiz RTO, RPO, MTPD i MBCO.

h) Audyty wewnętrzne

• Weryfikacja programu i planów audytów wewnętrznych, w tym ocena zgodności z wymaganiami ISO/IEC 27001.

• Sprawdzenie raportów z audytów wewnętrznych pod kątem ustaleń, zgodności i zaleceń.

i) Zgodność z przepisami i ochroną danych osobowych

• Ocena dokumentacji dotyczącej przetwarzania danych osobowych, w tym zgodności z RODO.

• Weryfikacja rejestrów czynności przetwarzania danych, ocen skutków dla ochrony danych oraz testów równowagi.

j) Dokumentacja operacyjna

• Analiza polityk i procedur dotyczących korzystania z systemów, urządzeń i sieci.

• Weryfikacja zasad postępowania z nośnikami informacji, tworzenia haseł i korzystania z Internetu oraz poczty elektronicznej.

k) Zarządzanie dostawcami

• Sprawdzenie polityk i procedur związanych z bezpieczeństwem informacji w relacjach z dostawcami.

• Ocena zgodności działań dostawców z wymaganiami organizacji.

l) Zgodność z wymaganiami prawnymi

• Weryfikacja dokumentacji dotyczącej monitorowania i przestrzegania wymagań prawnych, regulacyjnych i umownych.

• Analiza zgodności z politykami zgodności oraz audytami technicznymi.

Stosowanie matematycznych obliczeń przy ocenie ofert, stanowi podstawową zasadę oceny ofert, które oceniane będą w odniesieniu do najkorzystniejszych warunków przedstawionych przez Wykonawców w zakresie każdego kryterium.

5. Wynik – oferta, która przedstawia najkorzystniejszy bilans (maksymalna liczba przyznanych punktów w oparciu o ustalone kryterium) zostanie uznana za najkorzystniejszą, pozostałe oferty zostaną sklasyfikowane zgodnie z ilością uzyskanych punktów. Realizacja zamówienia zostanie powierzona Wykonawcy, którego oferta uzyska najwyższą ilość punktów.

1. Na ofertę składają się następujące dokumenty i załączniki które pod rygorem nieważności, składa się w formie elektronicznej lub w postaci elektronicznej opatrzonej podpisem zaufanym, podpisem osobistym lub kwalifikowanym podpisem elektronicznym:

1) formularz ofertowy – wypełniony i podpisany przez wykonawcę, dokument wygenerowany i wypełniony na platformie e-zamówienia, 2. Wraz z ofertą wykonawca winien przesłać wyłącznie w formie elektronicznej lub w postaci elektronicznej opatrzonej podpisem zaufanym lub podpisem osobistym lub kwalifikowanym podpisem elektronicznym:

1) Pełnomocnictwo (jeżeli dotyczy).

2) oświadczenie wykonawcy na podstawie art. 125 ust. 1 ustawy Pzp stanowiące wstępne potwierdzenie spełniania warunków udziału w postępowaniu oraz potwierdzenie braku podstaw do wykluczenia – składane odrębnie przez wykonawcę lub każdego z wykonawców konsorcjum – załącznik nr 1 ;

3) oświadczenie na podstawie art. 125 ust. 1 ustawy Pzp stanowiące wstępne potwierdzenie spełniania warunków udziału w postępowaniu oraz potwierdzenie braku podstaw do wykluczenia – podpisane odrębnie przez podmiot udostępniający zasoby - załącznik nr 2;

4) Oświadczenie o którym mowa w art. 117 ust. 4 ustawy (dotyczy tylko wykonawców wspólnie ubiegających się o zamówienie) – podpisane wspólnie przez wykonawców - załącznik nr 3;

5) Zobowiązanie innych podmiotów do oddania do dyspozycji wykonawcy zasobów na okres korzystania z nich przy wykonywaniu zamówienia (jeżeli dotyczy) podpisane odrębnie przez podmiot udostępniający zasoby - załącznik nr 4;