Zwiększenie poziomu cyberbezpieczeństwa w Urzędzie Gminy w Grodzicznie

1. W postępowaniu o udzielenie zamówienia komunikacja między Zamawiającym a Wykonawcami, w tym złożenie ofert, odbywa za pośrednictwem platformy zakupowej.

2. Szczegółowe instrukcje korzystania z platformy zakupowej znajdują się na stronie internetowej pod adresem: https://platformazakupowa.pl/strona/45-instrukcje

3. Komunikacja za pośrednictwem poczty elektronicznej na adres e-mail: haska@grodziczno.pl, jest dopuszczalna w wyjątkowej sytuacji, np. w przypadku awarii platformy zakupowej (nie dotyczy składania ofert).

4. Wykonawca ma obowiązek sprawdzania komunikatów i wiadomości przesłanych przez Zamawiającego, bezpośrednio na platformie zakupowej, gdyż system powiadomień może ulec awarii lub powiadomienie może trafić do folderu SPAM.

5. W przypadku jakichkolwiek wątpliwości związanych z zasadami korzystania z platformy zakupowej, Wykonawca winien skontaktować się z dostawcą rozwiązania teleinformatycznego OPEN NEXUS Sp. z o. o., nr tel. +48 22 101 02 02 (w godzinach 8.00 – 17.00) lub e-mail: cwk@platformazakupowa.pl

6. Maksymalny rozmiar pliku przesyłanego za pośrednictwem platformy zakupowej (nie dotyczy złożenia oferty) wynosi 500 MB (maksymalnie 10 plików w jednej wiadomości).

Pozostałe zapisy znajdują się w części VIII SWZ ( brak wpisu-ograniczenia systemowe)

Obowiązek informacyjny Wykonawcy:

1) W przypadku, gdy Wykonawca ubiegający się o udzielenie zamówienia publicznego pozyskał bezpośrednio lub pośrednio dane osobowe osób fizycznych, których te dane dotyczą i które przekazuje Zamawiającemu, jest zobowiązany do wypełnienia obowiązku informacyjnego względem tych osób, wynikającego z art. 13 i art. 14 RODO.

2) W przypadku, o którym mowa w pkt 1 Wykonawca jest zobowiązany do złożenia oświadczenia o następującej treści: „Oświadczam(y), że w wypełniłem(liśmy) obowiązki informacyjne przewidziane w art. 13 lub art. 14 RODO wobec osób fizycznych, od których dane osobowe bezpośrednio lub pośrednio pozyskałem(liśmy)w celu ubiegania się o udzielnie zamówienia publicznego w niniejszym postępowaniu”.

Zgodnie z art. 13 ust. 1 i ust. 2 i art. 14 ust. 1 i ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), dalej RODO informuję, iż:

1. Zgodnie z art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1), dalej: RODO, Zamawiający informuje, że:

a) administratorem Pani(a) danych osobowych jest podmiot wskazany w pkt. I ppkt. 1 i 2 niniejszego rozdziału SWZ,

b) kontakt z inspektorem ochrony danych osobowych u Zamawiającego można uzyskać pod adresem email: iod@grodziczno.pl,

c) Pani(a) dane osobowe przetwarzane będą na podstawie art. 6 ust. 1 lit. c RODO w celu związanym z przedmiotowym postępowaniem o udzielenie zamówienia publicznego,

d) odbiorcami Pani(a) danych osobowych będą osoby lub podmioty, którym udostępniona zostanie dokumentacja postępowania w oparciu o art. 74 ustawy,

e) Pani(a) dane osobowe będą przechowywane, zgodnie z art. 78 ust. 1 ustawy, przez okres 4 lat od dnia zakończenia postępowania o udzielenie zamówienia, a jeżeli czas trwania umowy przekroczy 4 lata – okres przechowywania obejmie cały czas trwania umowy (art. 78 ust. 4 ustawy),

f) obowiązek podania przez Panią(a) danych osobowych bezpośrednio Pani(a) dotyczących jest wymogiem ustawowym określonym w przepisach ustawy, związanym z udziałem w postępowaniu o udzielenie zamówienia publicznego; konsekwencje niepodania określonych danych wynikają z ustawy,

g) w odniesieniu do Pani(a) danych osobowych decyzje nie będą podejmowane w sposób zautomatyzowany, stosowanie do art. 22 RODO.

2. Posiada Pan(i):

a) na podstawie art. 15 RODO – prawo dostępu do danych osobowych Pani(a) dotyczących (w przypadku, gdy skorzystanie z tego prawa wymagałoby po stronie administratora niewspółmiernie dużego wysiłku może zostać Pani/Pan zobowiązana do wskazania dodatkowych informacji mających na celu sprecyzowanie żądania, w szczególności podania nazwy lub daty postępowania o udzielenie zamówienia publicznego lub konkursu albo sprecyzowanie nazwy lub daty zakończonego postępowania o udzielenie zamówienia),

b) na podstawie art. 16 RODO – prawo do sprostowania Pani(a) danych osobowych, przy czym skorzystanie z tego prawa nie może skutkować zmianą wyniku postępowania o udzielenie zamówienia publicznego ani zmianą postanowień umowy w zakresie niezgodnym z ustawą oraz nie może naruszać integralności protokołu oraz jego załączników,

c) na podstawie art. 18 RODO – prawo żądania od administratora ograniczenia przetwarzania danych osobowych z zastrzeżeniem przypadków, o których mowa w art. 18 ust. 2 RODO, przy czym prawo to nie ma zastosowania w odniesieniu do przechowywania, w celu zapewnienia korzystania ze środków ochrony prawnej lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii Europejskiej lub państwa członkowskiego,

d) prawo do wniesienia skargi do organu nadzorczego, gdy uzna Pan(i), że przetwarzanie danych osobowych Pani(a) dotyczących narusza przepisy RODO – organem tym jest Prezes Urzędu Ochrony Danych Osobowych z siedzibą przy ul. Stawki 2, 00-193 Warszawa.

Pozostałe zapisy znajdują się w części XVII SWZ ( brak wpisu-ograniczenia systemowe)

Przeprowadzenie szkoleń z cyberbezpieczeństwa Przeprowadzenie 3 rodzajów szkoleń z zakresu cyberbezpieczeństwa w postaci:

1) Przeprowadzenia szkolenia dla wszystkich pracowników w Urzędzie. Przeprowadzenie pojedynczego szkolenia trwać będzie minimum 2 godziny. Szkolenie zostanie przeprowadzone w formie online. Każda z osób uczestniczących w szkoleniu otrzyma imienny certyfikat potwierdzający uczestnictwo. Szczegółowy zakres tematu pojedynczego szkolenia dla wszystkich pracowników Urzędu:

1. Cyberbezpieczeństwo w administracji publicznej;

2. Rola Systemu Zarządzania Bezpieczeństwem Informacji;

3. Zarządzanie ryzykiem bezpieczeństwa informacji;

4. Istota cyberbezpieczeństwa;

5. Cyberprzestępczość;

6. Socjotechnika;

7. Cyberzagrożenia;

8. Dobre praktyki zapewniania cyberbezpieczeństwa;

9. Ciągłość działania organizacji.

2) Szkolenie z zakresu praktycznego wykorzystania narzędzia Active Directory, które może zostać przeprowadzone na sprzęcie znajdującym się w Urzędzie Gminy, co jest preferowaną formą realizacji bądź przy pomocy szkolenia online na żywo. Przeprowadzenie szkolenia na dostępnych urządzeniach stacjonarnie w Urzędzie umożliwi wykorzystanie rzeczywistego środowiska pracy, co zwiększy efektywność nauki i pozwoli uczestnikom na bezpośrednią interakcję z systemem. Szkolenie trwać będzie minimum 3 dni robocze. Szczegółowy zakres szkolenia obejmować będzie:

1. Instalacja i konfiguracja kontrolerów domeny;

2. Zarządzanie obiektami Active Directory;

3. Konfigurowanie i stosowanie GPO do zarządzania ustawieniami użytkowników i komputerów, w tym zabezpieczeniami i instalacją oprogramowania;

4. Architektura Active Directory;

5. Relacje zaufania Active Directory;

6. Zarządzanie bazą danych Active Directory i kopie zapasowe;

7. Zaawansowane usługi Active Directory.

3) Szkolenie - "Audytor Wiodący Systemu Zarządzania Bezpieczeństwem Informacji wg PN-EN ISO/IEC 27001:2022". Szkolenie umożliwi nabycie umiejętności praktycznych niezbędnych do efektywnego prowadzenia audytów zgodności z normą ISO/IEC 27001: 2022. Szkolenie obejmować będzie również przeprowadzenie egzaminu uprawniającego do uzyskania uprawnienia wskazanego w rozporządzeniu Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu (Dz. U. z 2018 r. poz. 1999). Szkolenie zostanie przeprowadzone stacjonarnie w miejscu określonym przez Wykonawcę bądź w trybie online na żywo.

Wdrożenie dokumentacji w postaci Systemu Zarzadzania Bezpieczeństwem Informacji:

1. Wykonawca opracuje dokumentację Systemu Zarządzania Bezpieczeństwem Informacji (dalej SZBI) dostosowany do potrzeb Zamawiającego.

2. SZBI, który opracuje Wykonawca, będzie stanowił system zarządzania bezpieczeństwem informacji, o którym mowa w § 20 ust. 1 Rozporządzenia Rady Ministrów z dnia 12 kwietnia 2021 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz. U. poz. 773), bądź w zastępujących go, odpowiednich przepisach wykonawczych do ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (t.j. Dz. U. z 2024 r. poz. 307).

3. SZBI powinien być zgodny z rozporządzeniem KRI i spełniać wymagania normy PN-ISO/IEC 27001, w tym obejmować czternaście następujących obszarów mających wpływ na bezpieczeństwo w organizacji Zamawiającego:

1) Polityka Bezpieczeństwa;

2) Organizacja bezpieczeństwa informacji;

3) Bezpieczeństwo zasobów ludzkich;

4) Zarządzanie aktywami;

5) Kontrola dostępu;

6) Kryptografia;

7) Bezpieczeństwo fizyczne i środowiskowe;

8) Bezpieczna eksploatacja;

9) Bezpieczna komunikacja;

10) Pozyskiwanie, rozwój i utrzymanie systemów 11) Relacje z dostawcami;

12) Zarządzanie incydentami związanymi z bezpieczeństwem informacji;

13) Aspekty bezpieczeństwa w zarządzaniu ciągłością działania;

14) Zgodność z wymaganiami prawnymi i własnymi standardami.

1. O udzielenie zamówienia mogą ubiegać się Wykonawcy, którzy:

1) nie podlegają wykluczeniu na podstawie:

a) art. 108 ust. 1. ustawy;

b) art. 7 ust. 1 ustawy z dnia 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspierania agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego.

2) spełniają warunki udziału w postępowaniu dotyczące zdolności technicznej lub zawodowej

1)formularz ofertowy,

2)

1) Wykaz dostaw wykonanych w okresie ostatnich pięciu lat, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wraz z podaniem ich przedmiotu, dat wykonania i podmiotów, na rzecz których dostawy te zostały wykonane oraz załączeniem dowodów określających, czy dostawy te zostały wykonane należycie 3)

2) Wykaz usług wykonanych w okresie ostatnich pięciu lat, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wraz z podaniem ich przedmiotu, dat wykonania i podmiotów, na rzecz których usługi te zostały wykonane oraz załączeniem dowodów określających, czy usługi te zostały wykonane należycie 4)oświadczenie, o którym mowa art. 125 ust. 1 ustawy, 5)Oświadczenia Podmiotu udostępniającego zasoby -jeśli dotyczy6)6) Oświadczenie Wykonawców wspólnie ubiegających się o udzielenie zamówienia -jeśli dotyczy7)pełnomocnictwo-jeśli dotyczy

1)formularz ofertowy,

2)

1) Wykaz dostaw wykonanych w okresie ostatnich pięciu lat, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wraz z podaniem ich przedmiotu, dat wykonania i podmiotów, na rzecz których dostawy te zostały wykonane oraz załączeniem dowodów określających, czy dostawy te zostały wykonane należycie 3)

2) Wykaz usług wykonanych w okresie ostatnich pięciu lat, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wraz z podaniem ich przedmiotu, dat wykonania i podmiotów, na rzecz których usługi te zostały wykonane oraz załączeniem dowodów określających, czy usługi te zostały wykonane należycie 4)oświadczenie, o którym mowa art. 125 ust. 1 ustawy, 5)Oświadczenia Podmiotu udostępniającego zasoby -jeśli dotyczy6)6) Oświadczenie Wykonawców wspólnie ubiegających się o udzielenie zamówienia -jeśli dotyczy7)pełnomocnictwo-jeśli dotyczy