Usługi doradcze, audytowe i wdrożeniowe w zakresie cyberbezpieczeństwa realizowane w ramach projektu „Cyberbezpieczne Wodociągi

USŁUGI DORADCZE I AUDYTOWE W ZAKRESIE CYBERBEZPIECZEŃSTWA: Zamawiający odstąpił od podziału na części przedmiotu zamówienia obejmującego wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), planów ciągłości działania (BCP/DRP), testów bezpieczeństwa oraz audytu powdrożeniowego (Zadania 1, 2, 3, 4 i 5). Decyzja ta jest w pełni uzasadniona obiektywnymi przyczynami organizacyjnymi i technicznymi. Zamawiający uznał za konieczne powierzenie całości przedmiotu zamówienia jednemu Wykonawcy w celu zminimalizowania ryzyka rozmycia odpowiedzialności za końcowe bezpieczeństwo i spójność wdrożonych systemów. Zlecenie audytu powdrożeniowego (Zadanie 3) odrębnemu podmiotowi wygenerowałoby wysokie ryzyko sporów kompetencyjnych pomiędzy firmą wdrożeniową a firmą audytującą w przypadku stwierdzenia niezgodności. Zintegrowanie zadań w ramach jednego zamówienia gwarantuje Zamawiającemu, że odpowiedzialność za usunięcie ewentualnych podatności wykazanych w audycie spoczywa na jednym podmiocie, który musi je zlikwidować w ramach ujednoliconego budżetu i harmonogramu projektu. Jednocześnie, w celu uniknięcia ryzyka konfliktu interesów, o którym mowa w art. 116 ust. 2 ustawy Pzp, Zamawiający nałożył w warunkach zamówienia rygorystyczny wymóg powołania przez Wykonawcę całkowicie niezależnego zespołu audytowego. Wykonawca jest bezwzględnie zobowiązany zagwarantować, aby osoby oddelegowane do przeprowadzenia audytu (Zadanie 3) nie brały żadnego udziału w pracach wdrożeniowych (Zadanie 1 i 2) ani w testach bezpieczeństwa. Takie rozwiązanie pozwala na wykorzystanie potencjału rynkowego podmiotów dysponujących wyspecjalizowanymi, niezależnymi pionami audytorskimi, a Zamawiającemu daje gwarancję obiektywizmu przy jednoczesnym zachowaniu zasady jednego punktu odpowiedzialności za cały system. W ramach zamówienia Wykonawca zobowiązany jest do realizacji następujących zadań:

1) aktualizacja i opracowanie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) po zrealizowanych wdrożeniach IT;

2) aktualizacja i opracowanie planów ciągłości działania (BCP) i odtwarzania po awarii (DRP) dla STI;

3) przeprowadzenie powdrożeniowego audytu bezpieczeństwa informacji;

4) Przeprowadzenie testów socjotechnicznych;

5) Przeprowadzenie testów penetracyjnych – min. 5 dni Przedmiotem zamówienia jest przeprowadzenie audytów, testów oraz aktualizacji i sporządzenie dokumentacji SZBI w ramach Projektu grantowego dla przedsięwzięcia pod nazwą „Podniesienie poziomu ochrony danych oraz odporności infrastruktury IT oraz OT”, będącego elementem inwestycji w ramach Krajowego Planu Odbudowy i Zwiększania Odporności finansowanego ze środków Instrumentu na Rzecz Odbudowy i Zwiększania Odporności Inwestycja C3.1.1. Cyberbezpieczeństwo – Cyber PL, infrastruktura przetwarzania danych oraz optymalizacja infrastruktury służb państwowych odpowiedzialnych za bezpieczeństwo Cyberbezpieczeństwo - Cyberbezpieczne Wodociągi. Konkurs grantowy pn. “Cyberbezpieczne Wodociągi” o numerze KPOD. 05.10-CW.01-001/25

80000000-4 - Usługi edukacyjne i szkoleniowe

72800000-8 - Usługi audytu komputerowego i testowania komputerów

72810000-1 - Usługi audytu komputerowego

79212000-3 - Usługi audytu

72600000-6 - Usługi doradcze i dodatkowe w zakresie sprzętu komputerowego

80510000-2 - Usługi szkolenia specjalistycznego

1. Za najkorzystniejszą zostanie uznana oferta, która uzyska najwyższą łączną liczbę punktów obliczonych z zastosowaniem następujących kryteriów:

Lp. Nazwa kryterium Waga (pkt)

1. Cena (całkowity koszt wykonania zamówienia) - C 100

2. W toku dokonywania badania i oceny ofert Zamawiający może żądać udzielenia przez Wykonawców wyjaśnień treści złożonych przez nich ofert.

3. Przyjmuje się, że 1% = 1 punkt

4. Przy ocenie ofert w kryterium „Cena” (C) punkty zostaną przyznane w poniższy sposób:

• Cena – znaczenie 100% (maksymalnie do 100 pkt)

• Kryterium ceny będzie rozpatrywane na podstawie ceny brutto podanej przez Wykonawcę w Formularzu Ofertowym.

• Punkty w kryterium „Cena” będą obliczane na podstawie wzoru:

C = CC min/ CC of x 100 gdzie:

C – punkty przyznane Wykonawcy w ramach kryterium „Cena”

CC min – najniższa cena brutto spośród badanych ofert

CC of – cena brutto badanej ofert

• Do wzoru zostaną przyjęte ceny podane przez Wykonawców w Formularzu Oferty stanowiącym Załącznik nr 1 do SWZ.

5. Wszystkie obliczenia dokonywane będą z dokładnością do dwóch miejsc po przecinku

6. W związku z zaistnieniem przesłanki, o której mowa w art. 246 ust. 2 PZP możliwe było zastosowanie kryterium ceny jako kryterium o wadze przekraczającej 60%, ze względu na określenie w opisie przedmiotu zamówienia wymagań jakościowych odnoszących się do co najmniej głównych elementów składających się na przedmiot zamówienia.

7. Maksymalna ocena oferty – 100 pkt.

8. Zamawiający uzna oferty za spełniające wymagania i przyjmie do szczegółowego rozpatrywania, jeżeli:

a) Oferta, co do treści, spełnia wymagania określone niniejszą specyfikacją.

b) Oferta została złożona w określonym przez Zamawiającego terminie.

c) Oferta nie podlega odrzuceniu.

O udzielnie zamówienia mogą ubiegać się Wykonawcy, którzy:

a) nie podlegają wykluczeniu na podstawie ustawy PZP;

b) spełniają warunki udziału w postępowaniu określone szczegółowo w rozdziale 8 pkt 3 SWZ; Zamawiający informuje, że dla przedmiotu niniejszego zamówienia (dostawy/usługi) nie zostały określone poziomy zdolności wykonawcy w przepisach wykonawczych wydanych na podstawie ustawy o certyfikacji wykonawców zamówień publicznych, o których mowa w art. 112 ust. 3 ustawy Pzp. W związku z powyższym, zamawiający określa warunki udziału w postępowaniu w zakresie zdolności technicznej lub zawodowej na zasadach ogólnych, a wykonawca wykazuje ich spełnienie za pomocą podmiotowych środków dowodowych określonych w Rozdziale 10 SWZ. O udzielenie zamówienia mogą ubiegać się Wykonawcy, którzy spełniają warunki, dotyczące: Zdolności do występowania w obrocie gospodarczym Zamawiający nie stawia szczególnych wymagań w zakresie spełnienia tego warunku. Uprawnień do prowadzenia określnej działalności gospodarczej lub zawodowej, o ile wynika to z odrębnych przepisów Zamawiający nie stawia szczególnych wymagań w zakresie spełnienia tego warunku. Sytuacji ekonomicznej lub finansowej Zamawiający nie stawia szczególnych wymagań w zakresie spełnienia tego warunku. zdolności technicznej lub zawodowej Opis spełnienia warunku: Warunek ten spełni Wykonawca, który: Zamawiający uzna warunek zdolności technicznej lub zawodowej za spełniony, jeżeli Wykonawca wykaże, że w okresie ostatnich 3 lat przed upływem terminu składania oferty (a jeżeli okres prowadzenia działalności jest krótszy, w tym okresie) wykonał należycie:

a) w zakresie wdrożenia systemów (SZBI lub BCP/DRP): co najmniej 2 (dwie) usługi, z których każda polegała na opracowaniu dokumentacji i wdrożeniu Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) lub opracowaniu planów ciągłości działania (BCP/DRP), o wartości nie mniejszej niż 40 000,00 zł brutto każda;

b) w zakresie audytu: co najmniej 2 (dwie) usługi, z których każda polegała na przeprowadzeniu audytu bezpieczeństwa informacji lub audytu SZBI, o wartości nie mniejszej niż 20 000,00 zł brutto każda;

c) w zakresie testów bezpieczeństwa: co najmniej 2 (dwie) usługi, z których każda obejmowała swoim zakresem przeprowadzenie testów penetracyjnych infrastruktury sieciowej lub testów penetracyjnych aplikacji webowych, o wartości nie mniejszej niż 20 000,00 zł brutto każda. UWAGA!!! Nie dopuszcza się sumowania mniejszych, cząstkowych usług objętych odrębnymi umowami Wykonawcy bądź wspólnie ubiegających się o udzielenie zamówienia Wykonawców, w celu wykazania spełnienia danego warunku. Zamawiający uzna warunek zdolności technicznej lub zawodowej za spełniony, jeżeli Wykonawca wykaże, że:

d) dysponuje lub będzie dysponował osobami skierowanymi do realizacji zamówienia, spełniającymi minimalne warunki określone przez Zamawiającego dotyczące doświadczenia i kwalifikacji zawodowych w następującym zakresie:

1. Wykonawca musi dysponować na potrzeby realizacji zamówienia zespołem liczącym łącznie co najmniej 7 wykwalifikowanych osób, w skład którego wejdą specjaliści przypisani wyłącznie do jednej z czterech odrębnych grup funkcjonalnych:

a) zespołu wdrożeniowego,

b) zespołu audytowego,

c) zespołu testów penetracyjnych d) Koordynator projektu.

2. Zespół wdrożeniowy — SZBI, BCP/DRP, SZCD Zespół wdrożeniowy odpowiedzialny za opracowanie, wdrożenie i uzupełnienie posiadanej przez Zamawiającego dokumentacji SZBI, BCP/DRP oraz SZCD musi liczyć co najmniej 2 osoby zatrudnione przez Wykonawcę na podstawie umowy o pracę w rozumieniu ustawy z dnia 26 czerwca 1974 r. – Kodeks pracy. Osoby z zespołu wdrożeniowego nie mogą uczestniczyć w realizacji prac zespołu audytowego ani zespołu testów penetracyjnych. Członkowie zespołu wdrożeniowego muszą łącznie posiadać następujące kwalifikacje (dopuszcza się łączenie poniższych wymogów przez te same osoby wewnątrz tego zespołu):

a) Audytor ds. Wdrożeń: posiada co najmniej certyfikat Audytora ISO/IEC 27001 (Auditor) lub równoważny;

3. Zespół audytowy — audyty zewnętrzne SZBI, SZCD, KRI/uo KSC Zespół audytowy odpowiedzialny za przeprowadzenie przeglądów z musi liczyć co najmniej dwie osoby. Ze względu na niezależny charakter usług audytowych, Zamawiający nie wymaga zatrudnienia tych osób na podstawie umowy o pracę (dopuszczalne są formy współpracy na podstawie umów cywilnoprawnych, w tym z podwykonawcami). Osoby z zespołu audytowego nie mogą być tymi samymi osobami, które realizowały prace wdrożeniowe lub testy penetracyjne w ramach tego samego zamówienia.

a) Co najmniej jedna osoba (Audytor ds. Audytów): musi posiadać co najmniej certyfikat Audytora ISO/IEC 27001 (Auditor) lub równoważny.

4. Zespół testów penetracyjnych Zespół testów penetracyjnych musi liczyć co najmniej dwie osoby zatrudnione przez Wykonawcę na podstawie umowy o pracę w rozumieniu Kodeksu pracy. Osoby z zespołu testów penetracyjnych nie mogą uczestniczyć w realizacji prac zespołu wdrożeniowego ani zespołu audytowego w ramach tego samego zamówienia.

a) Pierwsza osoba (Pentester Główny): musi posiadać jednocześnie certyfikat CEH (Certified Ethical Hacker) lub równoważny oraz certyfikat CISSP (Certified Information Systems Security Professional) lub równoważny.

b) Druga osoba (Pentester Wspomagający): musi posiadać co najmniej certyfikat CEH lub równoważny, certyfikat e WPT (e Learn Security Web Application Penetration Tester) lub równoważny.

5. Koordynator projektu: Funkcje koordynatora musi pełnić co najmniej jedna osoba. Musi posiadać ważny certyfikat z zakresu zarządzania projektami (np. PRINCE2 Practitioner, PMP – Project Management Professional, Agile PM Practitioner, certyfikat IPMA na poziomie minimum C lub równoważny) lub wykształcenie wyższe drugiego stopnia (magisterskie lub równorzędne) na kierunku zarządzanie projektami, informatyka lub pokrewnym, o ile program studiów obejmował swoim zakresem zagadnienia związane z prowadzeniem projektów IT. Stosując certyfikaty równoważne, na Wykonawcy ciąży obowiązek udowodnienia, iż ich zakres jest równoważny do wymaganych przez Zamawiającego. Kopie certyfikatów należy załączyć do oferty. Powołując się na wykształcenie, na Wykonawcy ciąży obowiązek udowodnienia iż zakres studiów jest zgodny z wymogami Zamawiającego.

6. Dysponuje do realizacji zamówienia personelem, w skład którego będą wchodziły osoby, które posiadać będą kwalifikacje do realizacji zamówienia potwierdzone co najmniej dwoma z trzech niżej wymienionych certyfikatów:

• Offensive Security Certified Professional (OSCP);

• Offensive Security Certified Expert (OSCE);

• Social Engineering Expert (SEE).

7. Zamawiający bezwzględnie zakazuje łączenia ról i funkcji pomiędzy poszczególnymi grupami funkcjonalnymi. Oznacza to, że każda osoba skierowana do realizacji zamówienia może zostać przypisana tylko do jednego zespołu. W szczególności: specjalista realizujący testy penetracyjne nie może uczestniczyć w pracach wdrożeniowych ani audytowych, a członkowie zespołu wdrożeniowego nie mogą pełnić funkcji w zespole audytowym ani penetracyjnym. Minimalny skład osobowy musi składać się z 7 odrębnych osób fizycznych. W przypadku Wykonawców wspólnie ubiegających się o udzielnie zamówienia publicznego (konsorcjum, spółka cywilna), warunki, o których mowa w pkt 3, zostaną spełnione wyłącznie, jeżeli co najmniej jeden z Wykonawców wykaże spełnienie warunków, o których mowa w pkt 3, z zastrzeżeniem, że warunek ten Wykonawca musi spełnić samodzielnie, tzn. doświadczenie Wykonawców nie sumuje się.

4. Wykonawca może w celu potwierdzenia spełniania warunków udziału w postępowaniu lub kryteriów selekcji, w stosownych sytuacjach oraz w odniesieniu do konkretnego zamówienia, lub jego części, polegać na zdolnościach technicznych lub zawodowych podmiotów udostępniających zasoby, niezależnie od charakteru prawnego łączących go z nimi stosunków prawnych.

5. Zamawiający jednocześnie informuje, iż „stosowna sytuacja”, o której mowa w pkt. 4 wystąpi wyłącznie w przypadku gdy:

a) Wykonawca, który polega na zdolnościach technicznych lub zawodowych innych podmiotów udowodni Zamawiającemu, że realizując zamówienie, będzie dysponował niezbędnymi zasobami tych podmiotów, w szczególności przedstawiając zobowiązanie tych podmiotów do oddania mu do dyspozycji niezbędnych zasobów na potrzeby realizacji zamówienia lub inny podmiotowy środek dowodowy potwierdzający, że Wykonawca realizując zamówienie, będzie dysponował niezbędnymi zasobami tych podmiotów.

b) Zamawiający oceni, czy udostępniane Wykonawcy przez inne podmioty zdolności techniczne lub zawodowe, pozwalają na wykazanie przez Wykonawcę spełniania warunków udziału w postępowaniu oraz zbada, czy nie zachodzą wobec tego podmiotu podstawy wykluczenia, o których mowa w art. 108 ust. 1 ustawy, art. 7 ust. 1 ustawy z dnia 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego, art. 5k Rozporządzenia Rady (UE) nr 833/2014 z dnia 31 lipca 2014 r. dotyczącego środków ograniczających w związku z działaniami Rosji destabilizującymi sytuacje na Ukrainie.

6. Zamawiający może, na każdym etapie postępowania, uznać, że Wykonawca nie posiada wymaganych zdolności, jeżeli zaangażowanie zasobów technicznych lub zawodowych Wykonawcy w inne przedsięwzięcia gospodarcze Wykonawcy może mieć negatywny wpływ na realizację przedmiotu zamówienia.

Do oferty każdy Wykonawca musi dołączyć aktualne na dzień składania ofert oświadczenie w zakresie wskazanym w załączniku nr 4 do SWZ. Informacje zawarte w oświadczeniu będą stanowić wstępne potwierdzenie, że Wykonawca nie podlega wykluczeniu oraz spełnia warunki udziału w postępowaniu. Wykonawca może spełnić obowiązek przedłożenia podmiotowych środków dowodowych, o których mowa w ust. 1 (oświadczenie o braku podstaw do wykluczenia), poprzez złożenie aktualnego certyfikatu potwierdzającego brak podstaw do wykluczenia z postępowania, wydanego przez akredytowaną jednostkę certyfikującą, o którym mowa w ustawie z dnia 12 lipca 2024 r. o certyfikacji wykonawców zamówień publicznych (Dz. U. z 2024 r. poz. 1152). Zamawiający przed udzieleniem zamówienia, wezwie Wykonawcę, którego oferta została najwyżej oceniona, do złożenia w wyznaczonym terminie, nie krótszym niż 5 dni od dnia wezwania, aktualnych na dzień złożenia następujących oświadczeń lub dokumentów (potwierdzających odpowiednio, że Wykonawca spełnia warunki udziału w postępowaniu):

a) Wykaz wykonanych, a w przypadku świadczeń okresowych lub ciągłych również wykonywanych, dostaw i usług, w okresie ostatnich trzech lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wraz z podaniem ich wartości, przedmiotu, dat wykonywania i podmiotów, na rzecz których dostawy bądź usługi zostały wykonane, oraz załączeniem dowodów, czy zostały wykonane lub są wykonywane należycie (załącznik nr 5 do SWZ),

• Dowodami są referencje bądź inne dokumenty wystawione przez podmiot, na rzecz którego dostawy i usługi były wykonywane, a w przypadku świadczeń okresowych lub ciągłych są wykonywane. Jeżeli z uzasadnionej przyczyny o obiektywnym charakterze Wykonawca nie jest w stanie uzyskać tych dokumentów - oświadczenie Wykonawcy. W przypadku świadczeń okresowych lub ciągłych nadal wykonywanych referencje bądź inne dokumenty potwierdzające ich należyte wykonywanie powinny być wydane nie wcześniej niż 3 miesiące przed upływem terminu składania ofert,

• dowodami mogą być oświadczenia Wykonawcy, jeżeli z uzasadnionych przyczyn o obiektywnym charakterze Wykonawca nie jest w stanie uzyskać poświadczenia, o którym mowa powyżej.

b) wykaz osób, skierowanych przez wykonawcę do realizacji zamówienia publicznego, w szczególności odpowiedzialnych za świadczenie usług wynikających bezpośrednio z przedmiotu zamówienia, wraz z informacjami na temat ich kwalifikacji zawodowych, uprawnień, doświadczenia i wykształcenia niezbędnych do wykonania zamówienia publicznego, a także zakresu wykonywanych przez nie czynności oraz informacją o podstawie do dysponowania tymi osobami – zgodnie z załącznikiem nr 6 do SWZ.

1. W celu potwierdzenia, że oferowane dostawy oraz usługi spełniają określone przez Zamawiającego wymagania, Zamawiający żąda by wykonawca złożył wraz z ofertą następujące przedmiotowe środki dowodowe:

a) Audytor ds. Wdrożeń: certyfikat Audytora ISO/IEC 27001 (Auditor) lub równoważny;

b) Audytor ds. Audytów: certyfikat Audytora ISO/IEC 27001 (Auditor) lub równoważny.

c) Pentester Główny: certyfikat CEH (Certified Ethical Hacker) lub równoważny oraz certyfikat CISSP (Certified Information Systems Security Professional) lub równoważny.

d) Pentester Wspomagający: certyfikat CEH lub równoważny, certyfikat e WPT (e Learn Security Web Application Penetration Tester) lub równoważny.

e) Certyfikaty OSCP / OSCE / SEE: certyfikaty potwierdzające kwalifikacje personelu – co najmniej dwa z trzech: Offensive Security Certified Professional (OSCP), Offensive Security Certified Expert (OSCE), Social Engineering Expert (SEE).

f) Koordynator projektu: ważny certyfikat z zakresu zarządzania projektami (np. PRINCE2 Practitioner, PMP – Project Management Professional, Agile PM Practitioner, certyfikat IPMA na poziomie minimum C lub równoważny) lub wykształcenie wyższe drugiego stopnia (magisterskie lub równorzędne) na kierunku zarządzanie projektami, informatyka lub pokrewnym, o ile program studiów obejmował swoim zakresem zagadnienia związane z prowadzeniem projektów IT. Stosując certyfikaty równoważne, na Wykonawcy ciąży obowiązek udowodnienia, iż ich zakres jest równoważny do wymaganych przez Zamawiającego. Kopie certyfikatów należy załączyć do oferty. Powołując się na wykształcenie, na Wykonawcy ciąży obowiązek udowodnienia iż zakres studiów jest zgodny z wymogami Zamawiającego.

2. Żądane w pkt 1 przedmiotowe środki dowodowe każdy wykonawca ubiegający się o zamówienie składa wraz z ofertą w formie określonej w Rozporządzeniu Prezesa Rady Ministrów z dnia 30 grudnia 2020 r. w sprawie sposobu sporządzania i przekazywania informacji oraz wymagań technicznych dla dokumentów elektronicznych oraz środków komunikacji elektronicznej w postępowaniu o udzielenie zamówienia publicznego lub konkursie.

Oferty składane wspólnie. Wykonawcy mogą wspólnie ubiegać się o udzielenie zamówienia. Wykonawcy składający ofertę wspólną ustanawiają pełnomocnika do reprezentowania ich w postepowaniu o udzielenie zamówienia albo reprezentowania w postepowaniu i zawarcia umowy. Do oferty wspólnej Wykonawcy dołączają pełnomocnictwo. Wszelką korespondencje w postępowaniu Zamawiający kierować będzie do wskazanego pełnomocnika. Oferta wspólna, składana przez dwóch lub więcej Wykonawców, powinna spełniać następujące wymagania:

a) oferta wspólna powinna być sporządzona zgodnie z SWZ;

b) sposób składania dokumentów w ofercie wspólnej: - dokumenty składane przez członków konsorcjum czy wspólników spółki cywilnej, w tym oświadczenia muszą być podpisane przez wyznaczonego pełnomocnika lub osobę upoważnioną do reprezentowania danego podmiotu Wspólnicy spółki cywilnej są traktowania jak Wykonawcy składający ofertę wspólną i mają do nich zastosowanie zasady określone w pkt 3 niniejszego rozdziału. Przed podpisaniem umowy (w przypadku wygrania postepowania) Wykonawcy składający ofertę wspólną będą mieli obowiązek przedstawić Zamawiającemu kopię umowy regulującej współpracę tych wykonawców, zawierającą co najmniej:

a) zobowiązanie do realizacji wspólnego przedsięwzięcia gospodarczego obejmującego swoim zakresem realizację przedmiotu zamówienia,

b) określenie zakresu działania poszczególnych stron umowy,

c) czas obowiązywania umowy, który nie może być krótszy, niż okres obejmujący realizację zamówienia oraz czas trwania gwarancji jakości i rękojmi.