Cyberbezpieczna Gmina Władysławów – część V: audyt, polityka bezpieczeństwa, szkolenia

1. Zgodnie z art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o danych) (Dz. U. UE L119 z dnia 4 maja 2016 r., str. 1; zwanym dalej „RODO”) informujemy, że:

1) administratorem Pani/Pana danych osobowych jest Wójt Gminy Władysławów z siedzibą w Urzędzie Gminy we Władysławowie o następujących danych kontaktowych: 62-710 Władysławów, ul. Rynek 43, ug@wladyslawow.pl, tel. 632795003;

2) administrator wyznaczył Inspektora Danych Osobowych, z którym można się kontaktować pod adresem e-mail: iod@wladyslawow.pl.

3) Pani/Pana dane osobowe przetwarzane będą na podstawie art. 6 ust. 1 lit. c RODO w celu związanym z przedmiotowym postępowaniem o udzielenie zamówienia publicznego, prowadzonym w trybie przetargu podstawowego.

4) odbiorcami Pani/Pana danych osobowych będą osoby lub podmioty, którym udostępniona zostanie dokumentacja postępowania w oparciu o art. 74 ustawy P. Z. P.

5) Pani/Pana dane osobowe będą przechowywane, zgodnie z art. 78 ust. 1 P. Z. P. przez okres 4 lat od dnia zakończenia postępowania o udzielenie zamówienia, a jeżeli czas trwania umowy przekracza 4 lata, okres przechowywania obejmuje cały czas trwania umowy;

6) obowiązek podania przez Panią/Pana danych osobowych bezpośrednio Pani/Pana dotyczących jest wymogiem ustawowym określonym w przepisanych ustawy P. Z. P., związanym z udziałem w postępowaniu o udzielenie zamówienia publicznego.

7) w odniesieniu do Pani/Pana danych osobowych decyzje nie będą podejmowane w sposób zautomatyzowany, stosownie do art. 22 RODO.

8) posiada Pani/Pan:

a) na podstawie art. 15 RODO prawo dostępu do danych osobowych Pani/Pana dotyczących (w przypadku, gdy skorzystanie z tego prawa wymagałoby po stronie administratora niewspółmiernie dużego wysiłku może zostać Pani/Pan zobowiązana do wskazania dodatkowych informacji mających na celu sprecyzowanie żądania, w szczególności podania nazwy lub daty postępowania o udzielenie zamówienia publicznego lub konkursu albo sprecyzowanie nazwy lub daty zakończonego postępowania o udzielenie zamówienia);

b) na podstawie art. 16 RODO prawo do sprostowania Pani/Pana danych osobowych (skorzystanie z prawa do sprostowania nie może skutkować zmianą wyniku postępowania o udzielenie zamówienia publicznego ani zmianą postanowień umowy w zakresie niezgodnym z ustawą PZP oraz nie może naruszać integralności protokołu oraz jego załączników);

c) na podstawie art. 18 RODO prawo żądania od administratora ograniczenia przetwarzania danych osobowych z zastrzeżeniem okresu trwania postępowania o udzielenie zamówienia publicznego lub konkursu oraz przypadków, o których mowa w art. 18 ust. 2 RODO (prawo do ograniczenia przetwarzania nie ma zastosowania w odniesieniu do przechowywania, w celu zapewnienia korzystania ze środków ochrony prawnej lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii Europejskiej lub państwa członkowskiego);

d) prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, że przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy RODO;

9) nie przysługuje Pani/Panu:

a) w związku z art. 17 ust. 3 lit. b, d lub e RODO prawo do usunięcia danych osobowych;

b) prawo do przenoszenia danych osobowych, o którym mowa w art. 20 RODO;

c) na podstawie art. 21 RODO prawo sprzeciwu, wobec przetwarzania danych osobowych, gdyż podstawą prawną przetwarzania Pani/Pana danych osobowych jest art. 6 ust. 1 lit. c RODO;

10) przysługuje Pani/Panu prawo wniesienia skargi do organu nadzorczego na niezgodne z RODO przetwarzanie Pani/Pana danych osobowych przez administratora. Organem właściwym dla przedmiotowej skargi jest Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

1. Przedmiotem niniejszej Umowy jest przeprowadzenie audytu zgodności systemu bezpieczeństwa informacji wdrożonego w JST z normą PN-ISO/IE 27001 lub zapisami z § 20 ust. 2 pkt 14 rozporządzenia w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz. U.2017 poz. 2247) oraz wsparcie w wypełnieniu „Ankiety Dojrzałości Cyberbezpieczeństwa w Jednostkach Samorządu Terytorialnego", stanowiącej Załącznik nr 6 do Regulaminu konkursu Cyberbezpieczny Samorząd (dalej: „Przedmiot umowy”).

2. Przedmiot umowy będzie realizowany w ramach projektu konkursu grantowego pn. „Cyberbezpieczny Samorząd” realizowanego z Funduszy Europejskich na Rozwój Cyfrowy 2021-2027, Działanie 2.2. – Wzmocnienie krajowego systemu cyberbezpieczeństwa, Priorytet II: Zaawansowane usługi cyfrowe (dalej: konkurs „Cyberbezpieczny Samorząd”).

1. Przedmiotem zamówienia jest usługa obejmująca weryfikację zastanego stanu rzeczy w aspekcie bezpieczeństwa informacji przechowywanej i przetwarzanej j w JST oraz opracowanie Polityki Bezpieczeństwa Informacji.

2. Polityka Bezpieczeństwa Informacji musi być sporządzona zgodnie z normą PN-ISO/IEC 27001 i musi obejmować/zawierać/uwzględniać:

1. Polityki bezpieczeństwa

2. Niezbędnych materiałów do samodzielnej oceny ryzyka przez JST 3. Planu Ciągłości Działania 4. Polityki Zarządzania Danymi 5. Polityki Zarządzania Incydentami 6. Polityki Zarządzania Dostępami 7. Polityki Zarządzania Podatnościami 8. Polityki Zarządzania Szyfrowaniem Danych 9. Polityki Zarządzania Zasobami Oprogramowania 10. Klasyfikację kontekstu: zewnętrznego i wewnętrznego.

1. Zdolności do występowania w obrocie gospodarczym: Zamawiający nie stawia warunku w powyższym zakresie.

2. Uprawnień do prowadzenia określonej działalności gospodarczej lub zawodowej, o ile wynika to z odrębnych przepisów: Zamawiający nie stawia warunku w powyższym zakresie.

3. Sytuacji ekonomicznej lub finansowej: Zamawiający nie stawia warunku w powyższym zakresie.

4. Zdolności technicznej lub zawodowej: dla części dot. Audytu: O udzielenie zamówienia ubiegać mogą się Wykonawcy, którzy posiadają niezbędną wiedzę i doświadczenie oraz dysponują potencjałem technicznym i osobami zdolnymi do należytego i terminowego wykonania zamówienia. Zamawiający uzna warunek za spełniony, jeżeli:

1. Wykonawca wykaże, że dysponuje lub będzie dysponował osobami zdolnymi do realizacji zamówienia, które będą uczestniczyć w wykonywaniu zamówienia, przy czym co najmniej: a) audytorem zewnętrznym* posiadającym przynajmniej jeden z certyfikatów określonych w rozporządzeniu Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu (Dz. U.2018 poz. 1999) lub b) audytorem wewnętrznym posiadającym przynajmniej jeden z certyfikatów określonych w rozporządzeniu Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu (Dz. U.2018 poz. 1999) lub c) będącego audytorem zewnętrznym* systemu zarządzania bezpieczeństwem informacji według normy PN-ISO/IEC 27001; oraz 2. 1 (jednym) audytorem wiodącym według normy PN-ISO/IEC 27001 posiadającym doświadczenie w realizacji co najmniej jednej usługi polegającej na wykonaniu audytu cyberbezpieczeństwa zgodnie z normą PN-ISO/IEC 27001 lub zapisami z §20 ust. 2 pkt 14 rozporządzenia w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz. U.2017 poz. 2247 ze zm.). * audytor zewnętrzny – za audytora zewnętrznego uznaje się audytora niepowiązanego z JST żadnym stosunkiem prawnym. Zamawiający nie dopuszcza wskazania jednego audytora celem wykazania warunków określonych w pkt a) – d) powyżej. dla części dot. polityki bezpieczeństwa: O udzielenie zamówienia ubiegać mogą się Wykonawcy, którzy posiadają niezbędną wiedzę i doświadczenie oraz dysponują potencjałem technicznym i osobami zdolnymi do należytego i terminowego wykonania zamówienia. Zamawiający uzna warunek za spełniony, jeżeli:

1. Wykonawca wykaże, że dysponuje lub będzie dysponował 1 osobą będącą audytorem wiodącym posiadającym uprawnienia według normy PN-ISO/IEC 27001 oraz posiadającą co najmniej 3-letnie doświadczenie w zakresie opracowywania i wdrażania Polityki Bezpieczeństwa Informacji lub Systemu Zarządzania Bezpieczeństwem Informacji, zgodnie z wymaganiami normy PN-ISO/IEC 27001. dla części dot. szkolenia: O udzielenie zamówienia ubiegać mogą się Wykonawcy, którzy posiadają niezbędną wiedzę i doświadczenie oraz dysponują potencjałem technicznym i osobami zdolnymi do należytego i terminowego wykonania zamówienia. Zamawiający uzna warunek za spełniony, jeżeli:

1. Wykonawca wykaże, że dysponuje lub będzie dysponowanie co najmniej 2 osobami, które przeprowadziły co najmniej 2 szkolenia z obszaru cyberbezpieczeństwa.

Zamawiający wymaga przedstawienia w celu potwierdzenia spełnienia warunków udziału w postępowaniu:

- wykaz osób, skierowanych przez wykonawcę do realizacji zamówienia publicznego, w szczególności odpowiedzialnych za świadczenie usług, kontrolę jakości lub kierowanie robotami budowlanymi, wraz z informacjami na temat ich kwalifikacji zawodowych, uprawnień, doświadczenia i wykształcenia niezbędnych do wykonania zamówienia publicznego, a także zakresu wykonywanych przez nie czynności oraz informacja o podstawie do dysponowania tymi osobami - załącznik nr 6 do SWZ.