Wdrożenie systemu cyberbezpieczeństwa w Miejskim Przedsiębiorstwie Komunalnym w Koniecpolu Sp. z o.o. – obszar organizacyjny i kompetencyjny

RODO (obowiązek informacyjny): Zgodnie z art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE („RODO”), informuje się, że:

1. Administratorem danych osobowych Wykonawców jest Miejskie Przedsiębiorstwo Komunalne w Koniecpolu Sp. z o.o., ul. Zachodnia 30/40, 42-230 Koniecpol, reprezentowane przez Prezesa Zarządu, tel. (34) 355-15-41, e-mail: iwona.klapa@mpk.koniecpol.pl.

2. Administrator wyznaczył Inspektora Ochrony Danych, z którym można się skontaktować poprzez tel. 517583720, e-mail: ksiegowosc@mpk.koniecpol.pl, lub pisemnie na adres siedziby Administratora. Z Inspektorem Ochrony Danych można kontaktować się we wszystkich sprawach dotyczących przetwarzania danych osobowych oraz korzystania z praw związanych z przetwarzaniem danych.

3. Dane osobowe przetwarzane będą na podstawie art. 6 ust. 1 lit. c RODO w związku z ustawą Prawo zamówień publicznych, w celu związanym z przedmiotowym postępowaniem o udzielenie zamówienia.

4. Odbiorcami danych osobowych Wykonawców mogą być podmioty świadczące na rzecz Administratora usługi związane z obsługą i rozwojem systemów teleinformatycznych oraz zapewnieniem łączności, osoby lub podmioty, którym udostępniona zostanie dokumentacja postępowania w oparciu o art. 18 oraz art. 74 ustawy Pzp, a także inne właściwe organy upoważnione zgodnie z obowiązującym prawem. Jeśli dotyczy: instytucja zarządzająca lub pośrednicząca w programie finansującym grant „Cyberbezpieczne Wodociągi” w zakresie niezbędnym do realizacji jej zadań kontrolnych i audytowych.

Pełna treść klauzuli informacyjnej dotyczącej przetwarzania danych osobowych znajduje się w Rozdziale XXVII SWZ.

SEKCJA IV – PRZEDMIOT ZAMÓWIENIA

1. Przedmiotem zamówienia są usługi z zakresu cyberbezpieczeństwa w obszarze organizacyjnym i kompetencyjnym, realizowane na rzecz Zamawiającego w ramach projektu grantowego realizowanego w ramach konkursu „Cyberbezpieczne Wodociągi”. Zakres zamówienia obejmuje:

• audyt początkowy SZBI i SZCD wraz z oceną zgodności z wymaganiami KRI, ustawy o krajowym systemie cyberbezpieczeństwa, dyrektywy NIS2 i wskazanych norm (poz. 1. A OPZ);

• audyt końcowy SZBI i SZCD, w tym weryfikację stopnia wdrożenia zaleceń audytu początkowego (poz. 1. B OPZ);

• końcowy test systemów cyberbezpieczeństwa IT i OT – testy penetracyjne (poz. 2 OPZ);

• opracowanie i wdrożenie dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji – SZBI (poz. 3. A OPZ);

• opracowanie i wdrożenie dokumentacji Systemu Zarządzania Ciągłością Działania – SZCD, wraz ze szkoleniem kończącym wdrożenie dla kadry kierowniczej (poz. 3. B OPZ);

• szkolenia z zakresu cyberbezpieczeństwa i zarządzania bezpieczeństwem dla kadry pracowniczej (poz. 4. A OPZ);

• szkolenie specjalistyczne dla pracowników IT z zakresu cyberbezpieczeństwa i zarządzania infrastrukturą (poz. 4. B OPZ). Zamówienie obejmuje także przygotowanie i przekazanie wszystkich raportów, dokumentacji systemowej, rejestrów, wzorów i materiałów szkoleniowych, przeprowadzenie wymaganych szkoleń wraz z wydaniem certyfikatów uczestnictwa oraz przeniesienie autorskich praw majątkowych do rezultatów usług – na zasadach określonych w OPZ i we wzorze umowy.

79212000-3 - Usługi audytu

72810000-1 - Usługi audytu komputerowego

72150000-1 - Usługi doradztwa w zakresie audytu komputerowego oraz sprzętu komputerowego

80500000-9 - Usługi szkoleniowe

80550000-4 - Usługi szkolenia w dziedzinie bezpieczeństwa

1. O udzielenie zamówienia mogą ubiegać się Wykonawcy, którzy nie podlegają wykluczeniu na zasadach określonych w Rozdziale VII SWZ, oraz spełniają określone przez Zamawiającego warunki udziału w postępowaniu.

2. O udzielenie zamówienia mogą ubiegać się Wykonawcy, którzy spełniają warunki dotyczące:

a) zdolności do występowania w obrocie gospodarczym: Zamawiający nie stawia warunku w powyższym zakresie.

b) uprawnień do prowadzenia określonej działalności gospodarczej lub zawodowej, o ile wynika to z odrębnych przepisów: Zamawiający nie stawia warunku w powyższym zakresie.

c) sytuacji ekonomicznej lub finansowej: Zamawiający nie stawia warunku w powyższym zakresie.

d) zdolności technicznej lub zawodowej:

– doświadczenie: Wykonawca spełni ten warunek, jeżeli wykaże, że w okresie ostatnich trzech lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał (a w przypadku świadczeń powtarzających się lub ciągłych również wykonuje) co najmniej 2 usługi polegające na opracowaniu i wdrożeniu dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) lub Systemu Zarządzania Ciągłością Działania (SZCD), przy czym co najmniej jedna z tych usług została zrealizowana na rzecz podmiotu sektora finansów publicznych lub podmiotu eksploatującego środowisko technologii operacyjnej (OT);

– potencjał kadrowy: Wykonawca spełnia warunek dotyczący potencjału kadrowego, jeżeli wykaże, że dysponuje lub będzie dysponował osobami skierowanymi do realizacji zamówienia, w tym co najmniej:

1) audytorem wiodącym Systemu Zarządzania Bezpieczeństwem Informacji, posiadającym aktualny certyfikat audytora wiodącego PN-EN ISO/IEC 27001 (lub równoważny – zgodnie z Rozdziałem VIII lit. A ust. 6 pkt 1 SWZ) oraz doświadczenie w przeprowadzeniu audytów SZBI/zgodności;

2) osobą posiadającą kompetencje w zakresie Systemu Zarządzania Ciągłością Działania, potwierdzone certyfikatem w zakresie PN-EN ISO 22301 (lub równoważnym – zgodnie z Rozdziałem VIII lit. A ust. 6 pkt 2 SWZ) albo udokumentowanym doświadczeniem we wdrożeniu lub audycie SZCD;

3) certyfikowanym testerem bezpieczeństwa (pentesterem), posiadającym co najmniej jeden z certyfikatów: OSCP, CEH, eCPPT lub równoważny (zgodnie z Rozdziałem VIII lit. A ust. 6 pkt 3 SWZ), skierowanym do przeprowadzenia testów penetracyjnych; Zamawiający dopuszcza łączenie powyższych ról przez jedną osobę, z zastrzeżeniem, że osoba (specjalista) realizująca opracowanie lub wdrożenie dokumentacji SZBI/SZCD nie może być jednocześnie osobą wykonującą audyt tych systemów (audyt początkowy lub końcowy), zgodnie z zasadą niezależności i bezstronności audytu określoną w OPZ (PN-EN ISO 19011, PN-EN ISO/IEC 27001 pkt 9.2).

Wykaz podmiotowych środków dowodowych na potwierdzenie spełniania warunków udziału w postępowaniu: Zgodnie z art. 274 ust. 1 ustawy Zamawiający przed wyborem najkorzystniejszej oferty wezwie Wykonawcę, którego oferta została najwyżej oceniona, do złożenia w wyznaczonym terminie, nie krótszym niż 5 dni, aktualnych na dzień złożenia następujących podmiotowych środków dowodowych:

– wykazu usług wykonanych, a w przypadku świadczeń powtarzających się lub ciągłych również wykonywanych, w okresie ostatnich 3 lat, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wraz z podaniem ich wartości, przedmiotu, dat wykonania i podmiotów, na rzecz których usługi zostały wykonane lub są wykonywane, oraz załączeniem dowodów określających, czy te usługi zostały wykonane lub są wykonywane należycie, przy czym dowodami, o których mowa, są referencje bądź inne dokumenty sporządzone przez podmiot, na rzecz którego usługi zostały wykonane, a jeżeli Wykonawca z przyczyn niezależnych od niego nie jest w stanie uzyskać tych dokumentów – oświadczenie Wykonawcy; w przypadku świadczeń powtarzających się lub ciągłych nadal wykonywanych referencje powinny być wystawione w okresie ostatnich 3 miesięcy (§ 9 ust. 1 pkt 2 rozporządzenia Ministra Rozwoju, Pracy i Technologii z dnia 23 grudnia 2020 r. w sprawie podmiotowych środków dowodowych oraz innych dokumentów lub oświadczeń, jakich może żądać zamawiający od wykonawcy) – wzór stanowi załącznik nr 6 do SWZ;

– wykazu osób skierowanych przez Wykonawcę do realizacji zamówienia, wraz z informacjami na temat ich kwalifikacji zawodowych, doświadczenia, zakresu wykonywanych czynności oraz podstawy do dysponowania tymi osobami, a także kopiami certyfikatów lub innych dokumentów potwierdzających kwalifikacje, o których mowa w Rozdziale VIII lit. A ust. 2 lit. d SWZ (§ 9 ust. 1 pkt 3 ww. rozporządzenia) – wzór stanowi załącznik nr 9 do SWZ.

Zamawiający nie wzywa do złożenia podmiotowych środków dowodowych, jeżeli może je uzyskać za pomocą bezpłatnych i ogólnodostępnych baz danych, a Wykonawca wskazał w oświadczeniu dane umożliwiające dostęp do tych środków, lub jeżeli podmiotowy środek dowodowy jest w posiadaniu Zamawiającego i jest aktualny (art. 127 ustawy Pzp).

Jeżeli Wykonawca nie złożył wymaganych podmiotowych środków dowodowych lub są one niekompletne lub zawierają błędy, Zamawiający wezwie Wykonawcę do ich złożenia, poprawienia lub uzupełnienia w wyznaczonym terminie, na zasadach określonych w art. 128 ustawy Pzp.

1. Wykonawcy mogą wspólnie ubiegać się o udzielenie zamówienia. W takim przypadku Wykonawcy ustanawiają pełnomocnika do reprezentowania ich w postępowaniu albo do reprezentowania i zawarcia umowy w sprawie zamówienia publicznego. Pełnomocnictwo winno być załączone do oferty.

2. W przypadku Wykonawców wspólnie ubiegających się o udzielenie zamówienia, oświadczenia, o których mowa w Rozdziale X lit. A ust. 1 SWZ, składa każdy z Wykonawców.

3. Oświadczenia i dokumenty potwierdzające brak podstaw do wykluczenia z postępowania składa każdy z Wykonawców wspólnie ubiegających się o zamówienie.

4. W przypadku gdy Wykonawcy wspólnie ubiegają się o udzielenie zamówienia, dołączają do oferty oświadczenie, z którego wynika, które usługi wykonają poszczególni Wykonawcy – zgodnie z załącznikiem nr 3 do SWZ.

5. Wykonawcy wspólnie ubiegający się o udzielenie zamówienia ponoszą solidarną odpowiedzialność za wykonanie umowy (art. 445 ust. 1 ustawy Pzp).