Wdrożenie i utrzymanie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) oraz SOC wraz ze szkoleniami w Samodzielnym Publicznym Szpitalu Klinicznym im. Prof. W. Orłowskiego CMKP w Warszawie

Przedmiotem zamówienia jest wdrożenie i utrzymanie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) oraz SOC wraz ze szkoleniami w Samodzielnym Publicznym Szpitalu Klinicznym im. Prof. W. Orłowskiego CMKP w Warszawie, który został podzielony na dwa pakiety. Pakiet nr 1 - Wdrożenie i utrzymanie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) Przedmiotem zamówienia jest wdrożenie i utrzymanie u Zamawiającego Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) zgodnego z normą PN-EN ISO/IEC 27001:2023-08, obejmujące:

a) opracowanie kompleksowej dokumentacji i procedur SZBI, w tym Polityki Bezpieczeństwa Informacji, procedur operacyjnych oraz procedur reagowania na incydenty,

b) wdrożenie SZBI w strukturach Zamawiającego, wraz z odpowiednimi wytycznymi konfiguracji technicznych i organizacyjnych,

c) zaplanowanie procesów monitorowania efektywności wdrożonego SZBI oraz jego ciągłego doskonalenia,

d) przeprowadzenie szkoleń personelu Zamawiającego: szkoleń e-learningowych z wdrożonej dokumentacji SZBI oraz podnoszących świadomość w zakresie cyberbezpieczeństwa (cyberhigieny) — dla obecnych i przyszłych pracowników — a także stacjonarnego szkolenia kierownika Zamawiającego.

e) utrzymanie i doskonalenie SZBI przez okres od wdrożenia i formalnego przekazania SZBI do 36 miesięcy od dnia podpisania umowy obejmujące okresowe przeglądy SZBI, aktualizację dokumentacji i rejestru ryzyka, przeglądy zgodności, wsparcie podczas kontroli i audytów oraz rekomendacje działań korygujących i doskonalących. Szczegółowy opis przedmiotu zamówienia dotyczący pakietu nr 1 znajduję się w załączniku nr 2 do SWZ. Pakiet nr 2 - Świadczenie usługi Centrum Operacji Bezpieczeństwa (Usługa SOC) Przedmiotem zamówienia jest świadczenie usługi Centrum Operacji Bezpieczeństwa (dalej: Usługa SOC), obejmujące:

a) Usługa SOC będzie świadczona przez okres 36 miesięcy od daty zawarcia umowy (w tym analiza przedwdrożeniowa i rozruch).

b) Usługa SOC musi być realizowana przez podmiot świadczący usługi z zakresu cyberbezpieczeństwa, spełniający warunki organizacyjne i techniczne wynikające z ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, w brzmieniu obowiązującym od dnia 3 kwietnia 2026 r. (znowelizowanej ustawą z dnia 23 stycznia 2026 r., Dz. U. z 2026 r. poz. 252), oraz aktów wykonawczych do tej ustawy.

c) Usługa SOC będzie świadczona w czasie rzeczywistym, w trybie ciągłym 24 godziny na dobę, 7 dni w tygodniu, przez 365 dni w roku (24/7/365).

d) Na potrzeby realizacji Usługi SOC Wykonawca zapewni system SIEM oraz System do Zarządzania Incydentami w modelu usługowym, na platformie Wykonawcy lub w infrastrukturze Zamawiającego, wraz z dokumentacją oraz wsparciem technicznym na cały okres świadczenia Usługi SOC.

e) Procedury operacyjne Usługi SOC (klasyfikacja incydentów, scenariusze reakcji, playbooki) muszą być spójne z przygotowywaną dokumentacją SZBI opracowywaną w ramach niniejszego postępowania, w szczególności z procedurą zarządzania incydentami poważnymi oraz polityką logowania i monitorowania. Szczegółowy opis przedmiotu zamówienia dotyczący pakietu nr 2 znajduję się w załączniku nr 3 do SWZ. Zamawiający nie wymaga złożenia wraz z ofertą przedmiotowych środków dowodowych. Informacje o podmiotowych środkach dowodowych znajdują się w Rozdziale 8 Specyfikacji Warunków Zamówienia.

Wykonawca winien wykazać, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy - w tym okresie wykonał w sposób należyty i prawidłowo ukończył co najmniej 2 usługi wdrożenia SZBI, których przedmiotem było opracowanie dokumentacji SZBI zgodnie z normami ISO/IEC 27001. Uwaga:

- w przypadku, gdy ww. usługa będzie stanowiła część usług o szerszym zakresie, Wykonawca zobowiązany jest w „Wykazie usług” wyodrębnić rodzajowo usługi, o których mowa powyżej,

- w sytuacji składania oferty przez dwa lub więcej podmiotów (Wykonawcy wspólnie ubiegający się o udzielenie zamówienia) oraz analogicznie w sytuacji, gdy Wykonawca będzie polegał na zasobach innego podmiotu, warunek o którym wyżej mowa musi zostać spełniony w całości przez Wykonawcę (jednego z Wykonawców wspólnie składającego ofertę) lub podmiot, na którego zdolności w tym zakresie powołuje się Wykonawca,

- brak możliwości tzw. sumowania doświadczenia.

Wykonawca winien wykazać, że dysponuje, lub będzie dysponować, co najmniej 3 osobami w tym:

a) co najmniej 2 osoby posiadające certyfikat audytora wiodącego systemu zarządzania bezpieczeństwem informacji według normy PN-EN ISO/IEC 27001 wydany przez jednostkę oceniającą zgodność, akredytowaną zgodnie z przepisami ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku (Dz. U. z 2025 r. poz. 568 t.j.), w zakresie certyfikacji osób, lub równoważny, przy czym każda z osób spełnia dodatkowo następujące wymagania:

- posiada wykształcenie wyższe na kierunku informatyka (lub pokrewnym) lub wykształcenie wyższe na kierunku prawo (lub pokrewnym);

- co najmniej 2 zrealizowane audyty w obszarze bezpieczeństwa informacji w ostatnich 12 miesiącach;

- udział w co najmniej 2 wdrożeniach systemu zarządzania bezpieczeństwem informacji w ostatnich 12 miesiącach, polegających na opracowaniu dokumentacji systemu;

- minimum 5 letnie doświadczenie zawodowe;

b) co najmniej 1 osoba posiadająca certyfikat audytora wiodącego systemu zarządzania ciągłością działania według normy PN-EN ISO 22301 wydany przez jednostkę oceniającą zgodność, akredytowaną zgodnie z przepisami ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku (Dz. U. z 2025 r. poz. 568 t.j.), w zakresie certyfikacji osób, lub równoważny;

c) co najmniej 1 osoba posiadająca udokumentowaną wiedzę w obszarze ochrony danych osobowych na poziomie inspektora ochrony danych osobowych w postaci certyfikatu lub potwierdzenia ukończenia szkolenia z zagadnień ochrony danych osobowych na poziomie inspektora danych osobowych;

d) co najmniej 1 osoba posiadająca posiada udokumentowaną wiedzę w obszarze cyberbezpieczeństwa w postaci certyfikatu lub potwierdzenia ukończenia szkolenia z zagadnień cyberbezpieczeństwa np. CISSP, Comp TIA Security+ lub równoważne;

e) co najmniej 1 osoba posiadająca udokumentowaną wiedzę w pozyskiwaniu, analizie, dokumentowaniu i zarządzaniu wymaganiami systemów i oprogramowania w postaci certyfikatu CPRE, lub równoważnego, przy czym Zamawiający dopuszcza, aby każda z osób posiadała więcej niż jeden certyfikat. Zamawiający dopuszcza możliwość łączenia uprawnień. Informacje w zakresie równoważności certyfikatów: Certyfikaty wskazane jako wymagane dla danego specjalisty mogą być zastąpione certyfikatami równoważnymi. Jako certyfikat równoważny Zamawiający rozumie certyfikat analogiczny co do zakresu wskazanego certyfikatu, co jest rozumiane jako:

- analogiczna dziedzina merytoryczna wynikająca z wiedzy, której dotyczy certyfikat (np. zarządzanie projektami, zarządzenie bazami danych, testowaniem, administracją bazami danych, programowanie, etc.);

- analogiczny stopień poziomu kompetencji (np. podstawowy, zaawansowany, ekspert);

- analogiczny poziom doświadczenia zawodowego wymagany dla otrzymania danego certyfikatu (np.: konieczność wykazania się uczestnictwem w określonej liczbie projektów w danej roli, etc.);

- uzyskanie certyfikatu potwierdzone jest egzaminem, o ile był wymagany. Certyfikat równoważny nie może być wystawiony przez Wykonawcę lub podmiot zależny od Wykonawcy. Zamawiający nie stosuje poziomu zdolności określonego w przepisach wydanych na podstawie art. 5 ust. 4 lub 5 ustawy o certyfikacji wykonawców zamówień publicznych, ponieważ dla przedmiotu niniejszego zamówienia nie został określony odpowiedni poziom zdolności.

Wykonawcy oraz innemu podmiotowi przysługują środki ochrony prawnej opisane w Dziale IX ustawy z dnia 11 września 2019 r. Prawo zamówień publicznych., jeżeli ma lub miał interes w uzyskaniu zamówienia oraz poniósł lub może ponieść szkodę w wyniku naruszenia przez Zamawiającego przepisów ustawy Pzp. Terminy na wniesienie odwołania określa art. 515 ustawy Pzp.

1. Odwołanie wnosi się w przypadku zamówień, których wartość jest większa niż progi unijne, w terminie:

a) 10 dni od dnia przekazania informacji o czynności zamawiającego stanowiącej podstawę jego wniesienia, jeżeli informacja została przekazana przy użyciu środków komunikacji elektronicznej,

b) 15 dni od dnia przekazania informacji o czynności zamawiającego stanowiącej podstawę jego wniesienia, jeżeli informacja została przekazana w sposób inny niż określony w lit. A.

2. Odwołanie wobec treści ogłoszenia wszczynającego postępowanie o udzielenie zamówienia lub wobec treści dokumentów zamówienia, wnosi się w terminie 10 dni od dnia publikacji ogłoszenia w Dzienniku Urzędowym Unii Europejskiej lub zamieszczenia dokumentów zamówienia na stronie internetowej prowadzonego postępowania, w przypadku zamówień, których wartość jest równa albo przekracza progi unijne.

3. Terminy oblicza się według przepisów prawa cywilnego. Jeżeli koniec terminu do wykonania czynności przypada na sobotę lub dzień ustawowo wolny od pracy, termin upływa dnia następnego po dniu lub dniach wolnych od pracy.

a) Wykonawca winien wykazać, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy - w tym okresie wykonał w sposób należyty i prawidłowo ukończył co najmniej 2 usługi polegające na świadczeniu usługi Centrum Operacji Bezpieczeństwa - Usługa SOC wraz z systemem SIEM oraz Systemem do Zarządzania incydentami – dotyczy pakietu nr 2. Uwaga:

- w przypadku, gdy ww. usługa będzie stanowiła część usług o szerszym zakresie, Wykonawca zobowiązany jest w „Wykazie usług” wyodrębnić rodzajowo usługi, o których mowa powyżej,

- w sytuacji składania oferty przez dwa lub więcej podmiotów (Wykonawcy wspólnie ubiegający się o udzielenie zamówienia) oraz analogicznie w sytuacji, gdy Wykonawca będzie polegał na zasobach innego podmiotu, warunek o którym wyżej mowa musi zostać spełniony w całości przez Wykonawcę (jednego z Wykonawców wspólnie składającego ofertę) lub podmiot, na którego zdolności w tym zakresie powołuje się Wykonawca,

- brak możliwości tzw. sumowania doświadczenia.

b) Wykonawca winien wykazać, że posiada ważne i aktualne 2 certyfikaty: PN-EN ISO 27001 System Zarządzania Bezpieczeństwem Informacji oraz PN-EN ISO 22301 – System Zarządzania Ciągłością Działania.

Wykonawca winien wykazać, że dysponuje (dysponuje lub będzie dysponować) co najmniej 4 osobami w tym:

a) 2 osobami, które posiadają certyfikat Comp TIA Security+ lub inny równoważny certyfikat potwierdzający wiedzę z zakresu bezpieczeństwa IT.

b) 1 osoba, która posiada certyfikat CISSP (Certified Information Systems Security Professional) lub inny równoważny certyfikat potwierdzający kwalifikacje w zakresie zarządzania i bezpieczeństwa cybernetycznego.

c) 1 osoba, która posiada certyfikat CEH (Certified Ethical Hacker) lub inny równoważny certyfikat potwierdzający kwalifikacje w zakresie testów penetracyjnych lub etycznego hakowania. Informacje w zakresie równoważności certyfikatów: Certyfikaty wskazane jako wymagane dla danego specjalisty mogą być zastąpione certyfikatami równoważnymi. Jako certyfikat równoważny Zamawiający rozumie certyfikat analogiczny co do zakresu wskazanego certyfikatu, co jest rozumiane jako:

- analogiczna dziedzina merytoryczna wynikająca z wiedzy, której dotyczy certyfikat (np. zarządzanie projektami, zarządzenie bazami danych, testowaniem, administracją bazami danych, programowanie, etc.);

- analogiczny stopień poziomu kompetencji (np. podstawowy, zaawansowany, ekspert);

- analogiczny poziom doświadczenia zawodowego wymagany dla otrzymania danego certyfikatu (np.: konieczność wykazania się uczestnictwem w określonej liczbie projektów w danej roli, etc.);

- uzyskanie certyfikatu potwierdzone jest egzaminem, o ile był wymagany. Certyfikat równoważny nie może być wystawiony przez Wykonawcę lub podmiot zależny od Wykonawcy. Wykonawca może w celu potwierdzenia spełniania warunków udziału w postępowaniu, w stosownych sytuacjach oraz w odniesieniu do konkretnego zamówienia, lub jego części, polegać na zdolnościach technicznych lub zawodowych innych podmiotów, niezależnie od charakteru prawnego łączących go z nim stosunków prawnych. Zamawiający dopuszcza, aby w przypadku Wykonawców wspólnie ubiegających się o udzielenie zamówienia, wyżej wymieniony w ppkt 4) warunek dotyczący zdolności technicznej lub zawodowej spełniał w całości jeden Wykonawca. Zamawiający nie stosuje poziomu zdolności określonego w przepisach wydanych na podstawie art. 5 ust. 4 lub 5 ustawy o certyfikacji wykonawców zamówień publicznych, ponieważ dla przedmiotu niniejszego zamówienia nie został określony odpowiedni poziom zdolności.

Wykonawcy oraz innemu podmiotowi przysługują środki ochrony prawnej opisane w Dziale IX ustawy z dnia 11 września 2019 r. Prawo zamówień publicznych., jeżeli ma lub miał interes w uzyskaniu zamówienia oraz poniósł lub może ponieść szkodę w wyniku naruszenia przez Zamawiającego przepisów ustawy Pzp. Terminy na wniesienie odwołania określa art. 515 ustawy Pzp.

1. Odwołanie wnosi się w przypadku zamówień, których wartość jest większa niż progi unijne, w terminie:

a) 10 dni od dnia przekazania informacji o czynności zamawiającego stanowiącej podstawę jego wniesienia, jeżeli informacja została przekazana przy użyciu środków komunikacji elektronicznej,

b) 15 dni od dnia przekazania informacji o czynności zamawiającego stanowiącej podstawę jego wniesienia, jeżeli informacja została przekazana w sposób inny niż określony w lit. A.

2. Odwołanie wobec treści ogłoszenia wszczynającego postępowanie o udzielenie zamówienia lub wobec treści dokumentów zamówienia, wnosi się w terminie 10 dni od dnia publikacji ogłoszenia w Dzienniku Urzędowym Unii Europejskiej lub zamieszczenia dokumentów zamówienia na stronie internetowej prowadzonego postępowania, w przypadku zamówień, których wartość jest równa albo przekracza progi unijne.

3. Terminy oblicza się według przepisów prawa cywilnego. Jeżeli koniec terminu do wykonania czynności przypada na sobotę lub dzień ustawowo wolny od pracy, termin upływa dnia następnego po dniu lub dniach wolnych od pracy.

Referencje dotyczące określonych usług Po zmianie jest:

a) Wykonawca winien wykazać, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy - w tym okresie wykonał w sposób należyty i prawidłowo ukończył co najmniej 2 usługi polegające na świadczeniu usługi Centrum Operacji Bezpieczeństwa - Usługa SOC wraz z systemem SIEM oraz Systemem do Zarządzania incydentami – dotyczy pakietu nr 2. Uwaga:

- w przypadku, gdy ww. usługa będzie stanowiła część usług o szerszym zakresie, Wykonawca zobowiązany jest w „Wykazie usług” wyodrębnić rodzajowo usługi, o których mowa powyżej,

- w sytuacji składania oferty przez dwa lub więcej podmiotów (Wykonawcy wspólnie ubiegający się o udzielenie zamówienia) oraz analogicznie w sytuacji, gdy Wykonawca będzie polegał na zasobach innego podmiotu, warunek o którym wyżej mowa musi zostać spełniony w całości przez Wykonawcę (jednego z Wykonawców wspólnie składającego ofertę) lub podmiot, na którego zdolności w tym zakresie powołuje się Wykonawca,

- brak możliwości tzw. sumowania doświadczenia.

b) Wykonawca winien wykazać, że posiada ważne i aktualne 2 certyfikaty: PN-EN ISO 27001 System Zarządzania Bezpieczeństwem Informacji oraz PN-EN ISO 22301 – System Zarządzania Ciągłością Działania. Certyfikaty od niezależnych organizacji dotyczące standardów zapewnienia jakości Po zmianie jest: Wykonawca winien wykazać, że dysponuje (dysponuje lub będzie dysponować) co najmniej 4 osobami w tym:

a) 2 osobami, które posiadają certyfikat Comp TIA Security+ lub inny równoważny certyfikat potwierdzający wiedzę z zakresu bezpieczeństwa IT.

b) 1 osoba, która posiada certyfikat CISSP (Certified Information Systems Security Professional) lub inny równoważny certyfikat potwierdzający kwalifikacje w zakresie zarządzania i bezpieczeństwa cybernetycznego.

c) 1 osoba, która posiada certyfikat CEH (Certified Ethical Hacker) lub inny równoważny certyfikat potwierdzający kwalifikacje w zakresie testów penetracyjnych lub etycznego hakowania. Informacje w zakresie równoważności certyfikatów: Certyfikaty wskazane jako wymagane dla danego specjalisty mogą być zastąpione certyfikatami równoważnymi. Jako certyfikat równoważny Zamawiający rozumie certyfikat analogiczny co do zakresu wskazanego certyfikatu, co jest rozumiane jako:

- analogiczna dziedzina merytoryczna wynikająca z wiedzy, której dotyczy certyfikat (np. zarządzanie projektami, zarządzenie bazami danych, testowaniem, administracją bazami danych, programowanie, etc.);

- analogiczny stopień poziomu kompetencji (np. podstawowy, zaawansowany, ekspert);

- analogiczny poziom doświadczenia zawodowego wymagany dla otrzymania danego certyfikatu (np.: konieczność wykazania się uczestnictwem w określonej liczbie projektów w danej roli, etc.);

- uzyskanie certyfikatu potwierdzone jest egzaminem, o ile był wymagany. Certyfikat równoważny nie może być wystawiony przez Wykonawcę lub podmiot zależny od Wykonawcy. Wykonawca może w celu potwierdzenia spełniania warunków udziału w postępowaniu, w stosownych sytuacjach oraz w odniesieniu do konkretnego zamówienia, lub jego części, polegać na zdolnościach technicznych lub zawodowych innych podmiotów, niezależnie od charakteru prawnego łączących go z nim stosunków prawnych. Zamawiający dopuszcza, aby w przypadku Wykonawców wspólnie ubiegających się o udzielenie zamówienia, wyżej wymieniony w ppkt 4) warunek dotyczący zdolności technicznej lub zawodowej spełniał w całości jeden Wykonawca. Zamawiający nie stosuje poziomu zdolności określonego w przepisach wydanych na podstawie art. 5 ust. 4 lub 5 ustawy o certyfikacji wykonawców zamówień publicznych, ponieważ dla przedmiotu niniejszego zamówienia nie został określony odpowiedni poziom zdolności.