Dostawa, wdrożenie oraz zapewnienie wsparcia technicznego dla systemów zarządzania cyklem życia certyfikatów (CLM) oraz centralnego systemu zarządzania kluczami kryptograficznymi (CKMS) w Banku Gospodarstwa Krajowego

1. Przedmiotem zamówienia jest dostawa, wdrożenie oraz zapewnienie wsparcia technicznego dla systemu zarządzania cyklem życia certyfikatów (CLM) oraz centralnego systemu zarządzania kluczami kryptograficznymi (CKMS) w środowisku teleinformatycznym Banku Gospodarstwa Krajowego.

2. Szczegółowy opis przedmiotu zamówienia, wykaz zadań, terminów oraz warunki realizacji przedmiotu zamówienia, płatności, etc. określone zostały w Projektowanych Postanowieniach Umowy (dalej: „PPU”), które stanowią załącznik nr 2 do SWZ i Opisie Przedmiotu Zamówienia (dalej: „OPZ”), który stanowi załącznik nr 1 do SWZ.

1. Przedmiot za zamówienia nie został podzielony na części. Zamawiający nie dopuszcza składania ofert częściowych. Powody niedokonania podziału zamówienia na części: Ze względu na specyfikę zamówienia nie jest możliwe podzielenie przedmiotu zamówienia na części, ponieważ groziłoby to: nadmiernymi trudnościami technicznymi, nadmiernymi kosztami wykonania zamówienia oraz potrzebą skoordynowania działań różnych wykonawców realizujących poszczególne części zamówienia, co mogłoby poważnie zagrozić właściwemu wykonaniu zamówienia oraz zapewnieniu integralności systemu teleinformatycznego planowanego do zakupu, który będzie stanowił spójną całość. Ponadto podział zamówienia mógłby naruszyć spójność licencyjną oraz zasady wsparcia producenta, a także zwiększyłby koszty obsługi i ryzyko nieprawidłowej realizacji.

2. Zgodnie z art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1), dalej „RODO”, informuję, że: administratorem Pani/Pana danych osobowych jest Bank Gospodarstwa Krajowego („BGK” lub „Bank”), Aleje Jerozolimskie 7, 00-955 Warszawa;

− kontakt z Inspektorem Ochrony Danych możliwy jest pod adresem e-mail: iod@bgk.pl;

− Pani/Pana dane osobowe przetwarzane będą na podstawie art. 6 ust. 1 lit. c RODO w celu związanym z przedmiotowym postępowaniem o udzielenie zamówienia publicznego;

− odbiorcami Pani/Pana danych osobowych będą osoby lub podmioty, którym udostępniona zostanie dokumentacja postępowania w oparciu o art. 8 oraz art. 74 ustawy Pzp;

− Pani/Pana dane osobowe będą przechowywane, zgodnie z art. 78 ust. 1 ustawy Pzp, co najmniej przez okres 4 lat od dnia zakończenia postępowania o udzielenie zamówienia oraz przez okres niezbędny w celu dochodzenia ewentualnych roszczeń, a jeżeli czas trwania umowy przekracza 4 lata, okres przechowywania obejmuje cały czas trwania umowy lub dłużej tj. w okresie istniejącego po stronie Administratora obowiązku związanego z przechowywaniem dokumentacji dla celów kontroli, lub wynikającym z powszechnie obowiązujących przepisów prawa, w tym w przypadku zamówienia finansowanego lub współfinasowanego ze środków Unii Europejskiej (UE) – z przepisów i/lub wytycznych dotyczących okresu przechowywania dokumentów dla projektów finansowanych lub współfinansowanych ze środków UE;

− obowiązek podania przez Panią/Pana danych osobowych bezpośrednio Pani/Pana dotyczących jest wymogiem ustawowym określonym w przepisach ustawy Pzp, związanym z udziałem w postępowaniu o udzielenie zamówienia publicznego; konsekwencje niepodania określonych danych wynikają z ustawy Pzp;

− w odniesieniu do Pani/Pana danych osobowych decyzje nie będą podejmowane w sposób zautomatyzowany, stosowanie do art. 22 RODO;

− posiada Pani/Pan:

− na podstawie art. 15 RODO prawo dostępu do Pani/Pana danych osobowych dotyczących postępowania;

− na podstawie art. 16 RODO prawo do sprostowania Pani/Pana danych osobowych;

− na podstawie art. 18 RODO prawo żądania od administratora ograniczenia przetwarzania danych osobowych z zastrzeżeniem przypadków, o których mowa w art. 18 ust. 2 RODO *;

− prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, że przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy RODO;

− nie przysługuje Pani/Panu:

− w związku z art. 17 ust. 3 lit. b, d lub e RODO prawo do usunięcia danych osobowych;

− prawo do przenoszenia danych osobowych, o którym mowa w art. 20 RODO;

− na podstawie art. 21 RODO prawo sprzeciwu, wobec przetwarzania danych osobowych, gdyż podstawą prawną przetwarzania Pani/Pana danych osobowych jest art. 6 ust. 1 lit. c RODO. * Wyjaśnienie: prawo do ograniczenia przetwarzania nie ma zastosowania w odniesieniu do przechowywania, w celu zapewnienia korzystania ze środków ochrony prawnej lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii Europejskiej lub państwa członkowskiego.

3. Zamawiający przewiduje zastosowanie tzw. procedury odwróconej, o której mowa w art. 139 ust. 1 ustawy Pzp.

4. Z postępowania o udzielenie zamówienia wyklucza się Wykonawcę, w stosunku do którego zachodzi którakolwiek z okoliczności wskazanych w art. 108 ust. 1 ustawy Pzp.

5. Dokumenty jakie Wykonawca jest zobowiązany złożyć na potwierdzenie braku podstaw do wykluczenia oraz spełnienia warunków udziału w postępowaniu:

1) oświadczenie na formularzu Jednolitego Europejskiego Dokumentu Zamówienia (JEDZ/ESPD), sporządzonym zgodnie z wzorem zawartym w załączniku nr 2 do Rozporządzenia Wykonawczego Komisji (EU) 2016/7 z dnia 5 stycznia 2016 r. ustanawiającego standardowy formularz JEDZ/ESPD. Informacje zawarte w JEDZ/ESPD stanowią wstępne potwierdzenie, że Wykonawca nie podlega wykluczeniu oraz spełnia warunki udziału w postępowaniu. Zamawiający informuje, iż na stronie internetowej Urzędu Zamówień Publicznych (dalej: UZP) znajduje się wersja edytowalna JEDZ/ESPD wraz z aktualną instrukcją wypełnienia JEDZ/ESPD;

2) oświadczenie Wykonawcy w zakresie art. 108 ust. 1 pkt 5 ustawy Pzp, o braku przynależności do tej samej grupy kapitałowej, w rozumieniu ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów, z innym Wykonawcą, który złożył odrębną ofertę, ofertę częściową lub wniosek o dopuszczenie do udziału w postępowaniu, albo oświadczenia o przynależności do tej samej grupy kapitałowej wraz z dokumentami lub informacjami potwierdzającymi przygotowanie oferty, oferty częściowej lub wniosku o dopuszczenie do udziału w postępowaniu niezależnie od innego Wykonawcy należącego do tej samej grupy kapitałowej – wzór oświadczenia stanowi załącznik nr 8 do SWZ – Oświadczenie dot. grupy kapitałowej;

3) oświadczenie Wykonawcy o aktualności informacji zawartych w oświadczeniach, składanych na podstawie art. 125 ust. 1 ustawy Pzp, tj.: w JEDZ/ESPD w zakresie odnoszącym się do podstaw wykluczenia wskazanych w art. 108 ust. 1 pkt 3-6 ustawy Pzp oraz w oświadczeniu dotyczącym przesłanek wykluczenia z art. 7 ust. 1 ustawy o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego oraz art. 5k rozporządzenia 833/2014 – wzór oświadczenia stanowi załącznik nr 9 do SWZ;

4) informacja z Krajowego Rejestru Karnego w zakresie dotyczącym podstaw wykluczenia wskazanych w art. 108 ust. 1 pkt 1, 2 i 4 ustawy Pzp sporządzona nie wcześniej niż 6 miesięcy przed jej złożeniem.

6. Wraz z ofertą Wykonawcy nie muszą składać jednolitych europejskich dokumentów zamówienia. Zamawiający wezwie do złożenia tego oświadczenia Wykonawcę, którego oferta zostanie najwyżej oceniona.

7. Oferta musi być zabezpieczona wadium w wysokości 228 000,00 zł. Szczegóły dotyczące wadium zostały opisane SWZ.

8. Zamawiający ustalił wysokość zabezpieczenia należytego wykonania umowy (dalej: zabezpieczenie) na sumę stanowiącą 5% Łącznego Wynagrodzenia brutto określonego w Umowie.

9. Ofertę sporządza się w języku polskim na formularzu „OFERTA WYKONAWCY” – zgodnie z wzorem zawartym w załączniku nr 3 do SWZ.

10. Szczegółowe informacje dotyczące postępowania zostały zawarte w SWZ i załącznikach.

1. Przedmiotem zamówienia jest dostawa, wdrożenie oraz zapewnienie wsparcia technicznego dla systemu zarządzania cyklem życia certyfikatów (CLM) oraz centralnego systemu zarządzania kluczami kryptograficznymi (CKMS) w środowisku teleinformatycznym Banku Gospodarstwa Krajowego.

2. Szczegółowy opis przedmiotu zamówienia, wykaz zadań, terminów oraz warunki realizacji przedmiotu zamówienia, płatności, etc. określone zostały w Projektowanych Postanowieniach Umowy (dalej: „PPU”), które stanowią załącznik nr 2 do SWZ i Opisie Przedmiotu Zamówienia (dalej: „OPZ”), który stanowi załącznik nr 1 do SWZ.

1. Termin wykonania zamówienia: Umowa będzie realizowana w okresie 36 miesięcy od dnia podpisania Umowy, przy czym w zakresie:

1) dostawy produktów i wdrożenia systemu zostanie zrealizowana nie później niż w terminie 12 miesięcy liczonym od dnia podpisania Umowy;

2) świadczenia serwisu będzie realizowana przez okres 24 (dwudziestu czterech) miesięcy liczony od daty podpisania protokołu odbioru Wdrożenia Systemu bez zastrzeżeń albo odbioru warunkowego oraz odpowiednio od daty podpisania przez Zamawiającego protokołu odbioru opcjonalnego bez zastrzeżeń albo odbioru warunkowego;

3) realizacji Opcji w zakresie dostawy produktów i rozbudowy systemu – nie później niż w terminie 14 Dni liczonych od daty przekazania zamówienia (zapotrzebowania na Opcję) przez Zamawiającego, z zastrzeżeniem, że Zamawiający ma prawo do zlecania zamówień opcjonalnych w okresie od dnia zawarcia Umowy, lecz nie później niż na 14 Dni przed dniem zakończenia Serwisu dla zamówienia podstawowego.

2. Szczegółowe informacje dotyczące terminów wykonania zamówienia zawarte są w PPU i OPZ.

Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, iż w okresie ostatnich trzech (3) lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy - w tym okresie, wykonał należycie:

• co najmniej 2 (dwa) zamówienia polegające na:

− wszystkie zamówienia obejmowały dostawę licencji oprogramowania systemów zarządzania cyklem życia certyfikatów (CLM),

− wszystkie zamówienia obejmowały wdrożenie i konfigurację systemów zarządzania cyklem życia certyfikatów (CLM) wraz z warsztatami wdrożeniowymi dla zespołu operacyjnego oraz przygotowanie dokumentacji wdrożeniowej w języku polskim,

− wszystkie zamówienia obejmowały integrację z innymi systemami, tj. co najmniej 1 (jeden) z systemów: LDAP/AD lub SIEM lub ITSM,

− co najmniej 1 (jedno) zamówienie obejmowało świadczenie wsparcia technicznego wdrożonego systemu zarządzania cyklem życia certyfikatów (CLM) przez okres co najmniej 24 (dwudziestu czterech) miesięcy,

− przynajmniej 1 (jedno) zamówienie musi być wykonane dla instytucji finansowej lub instytucji sektora finansowego,

− przynajmniej 1 (jedno) zamówienie musi być wykonane dla organizacji podlegającej wymogom Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Rozporządzenie DORA);

• co najmniej 2 (dwa) zamówienia polegające na:

− wszystkie zamówienia obejmowały dostawę licencji oprogramowania centralnego systemu zarządzania kluczami kryptograficznymi (CKMS),

− wszystkie zamówienia obejmowały co najmniej 400 kluczy,

− wszystkie zamówienia obejmowały wdrożenie i konfigurację centralnego systemu zarządzania kluczami kryptograficznymi (CKMS) wraz z warsztatami wdrożeniowymi dla zespołu operacyjnego oraz przygotowanie dokumentacji wdrożeniowej w języku polskim,

− wszystkie zamówienia obejmowały integrację z innymi systemami, tj. co najmniej 1 (jeden) z systemów: LDAP/AD lub SIEM lub ITSM,

− co najmniej 1 (jedno) zamówienie obejmowało świadczenie wsparcia technicznego wdrożonego centralnego systemu zarządzania kluczami kryptograficznymi (CKMS) przez okres co najmniej 24 (dwudziestu czterech) miesięcy,

− przynajmniej 1 (jedno) zamówienie musi być wykonane dla instytucji finansowej lub instytucji sektora finansowego,

− przynajmniej 1 (jedno) zamówienie musi być wykonane dla organizacji podlegającej wymogom Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Rozporządzenie DORA). Poprzez instytucję finansową lub instytucję sektora finansowego, należy wyłącznie rozumieć: banki (w tym banki krajowe oraz banki zagraniczne) oraz instytucje kredytowe, jak również instytucje finansowe oraz międzynarodowe instytucje finansowe – w rozumieniu ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe; spółdzielcze kasy oszczędnościowo-kredytowe - w rozumieniu ustawy z dnia 5 listopada 2009 r. roku o spółdzielczych kasach oszczędnościowo-kredytowych oraz podmioty, które prowadzą działalność analogiczną w oparciu o przepisy prawa innego niż prawo polskie, towarzystwa funduszy inwestycyjnych lub powierniczych, zakłady ubezpieczeń, zakłady reasekuracji, towarzystwa emerytalne, fundusze emerytalne, domy maklerskie. W przypadku, gdy przedmiotem zamówienia są świadczenia powtarzające się lub ciągłe, dopuszcza nie tylko zamówienia wykonane (tj. zakończone), ale również wykonywane. W takim przypadku Zamawiający wymaga by część zamówienia faktycznie wykonana do terminu składania ofert spełniała wymogi określone przez Zamawiającego w warunku. W przypadku, gdy wartość zamówienia została wyrażona w walucie innej niż PLN, Wykonawca zobowiązany jest do jej przeliczenia na PLN przyjmując jako podstawę średni kurs danej waluty opublikowany przez NBP (wg tabeli A kursów średnich walut obcych) w dniu publikacji ogłoszenia o niniejszym zamówieniu w Dzienniku Urzędowym Unii Europejskiej. Jeśli publikacja ogłoszenia o zamówieniu w Dzienniku Urzędowym Unii Europejskiej nastąpi w dniu, kiedy NBP nie publikuje tabeli kursów średnich, należy przyjąć kurs z tabeli kursów średnich, opublikowany w dniu najbliższym po dniu publikacji ogłoszenia o zamówieniu w Dzienniku Urzędowym Unii Europejskiej. Spełnienie warunków udziału w postępowaniu należy potwierdzić poprzez złożenie oświadczeń oraz dokumentów, o których mowa w Rozdziale VIII SWZ, tj. wykazu zamówień wykonanych, a w przypadku świadczeń okresowych lub ciągłych również wykonywanych, w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy - w tym okresie, wraz z podaniem ich wartości, przedmiotu, dat wykonania i podmiotów, na rzecz których zamówienia zostały wykonane, oraz załączeniem dowodów określających czy te zamówienia zostały wykonane lub są wykonywane należycie, przy czym dowodami, o których mowa, są referencje bądź inne dokumenty sporządzone przez podmiot, na rzecz którego zamówienia zostały wykonane, a w przypadku świadczeń powtarzających się lub ciągłych są wykonywane, a jeżeli z uzasadnionej przyczyny o obiektywnym charakterze Wykonawca nie jest w stanie uzyskać tych dokumentów - oświadczenie Wykonawcy. W przypadku świadczeń powtarzających się lub ciągłych nadal wykonywanych referencje bądź inne dokumenty potwierdzające ich należyte wykonywanie powinny być wydane nie wcześniej niż 3 miesiące przed upływem terminu składania ofert. Wzór wykazu „Doświadczenie” stanowi załącznik nr 10 do SWZ.

Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, iż dysponuje lub będzie dysponował zespołem co najmniej sześciu (6) osób, w tym co najmniej:

• Inżynier (co najmniej 2 osoby) – posiadający najwyższy poziom certyfikacji inżyniera z zakresu konfiguracji rozwiązań HSM Thales Luna 7 (system wykorzystywany przez Zamawiającego);

• Kierownik Projektu (co najmniej 1 osoba): Wymagane kwalifikacje:

− minimum 5 lat doświadczenia w zarządzaniu projektami IT,

− doświadczenie w zarządzaniu przynajmniej 2 projektami wdrożenia systemów PKI/CLM lub CKMS,

− certyfikat z zakresu zarządzania projektami: PRINCE2 Practitioner, PMP, IPMA Level C lub równoważny. Wymagane kompetencje:

− znajomość metodyk zarządzania projektami,

− doświadczenie w zarządzaniu projektami w sektorze finansowym,

− biegła znajomość języka polskiego w mowie i piśmie. Dostępność:

− pełna dyspozycyjność przez cały okres realizacji projektu,

− obecność w siedzibie zamawiającego według potrzeb projektu (minimum 2 dni w tygodniu w fazie aktywnej);

• Architekt Rozwiązania (co najmniej 1 osoba): Wymagane kwalifikacje:

− minimum 7 lat doświadczenia w projektowaniu i wdrażaniu rozwiązań PKI, zarządzania certyfikatami lub kryptografii,

− udział w przynajmniej 3 projektach wdrożenia systemów CLM/PKI lub CKMS na stanowisku architekta lub głównego konsultanta,

− certyfikat techniczny producenta oferowanych systemów CLM i CKMS. Wymagane kompetencje:

− głęboka znajomość standardów PKI (X.509, PKCS, RFC5280, RFC6960),

− znajomość protokołów: SCEP, EST, ACME, CMP, OCSP,

− znajomość technologii HSM i zarządzania kluczami kryptograficznymi,

− znajomość standardów kryptograficznych,

− doświadczenie w integracjach enterprise (LDAP, AD, SIEM, CMDB),

− znajomość wymogów DORA.

• Inżynier Wdrożeniowy (co najmniej 1 osoba): Wymagane kwalifikacje:

− minimum 3 lata doświadczenia w administrowaniu systemami PKI/CLM lub CKMS,

− udział w przynajmniej 1 projekcie wdrożenia systemów CLM/PKI lub CKMS,

− certyfikat techniczny producenta oferowanych systemów CLM i CKMS lub certyfikat z zakresu bezpieczeństwa IT. Wymagane kompetencje:

− znajomość systemów operacyjnych (Linux, Windows Server),

− znajomość baz danych (SQL, Oracle, Postgre SQL i inne),

− doświadczenie w konfigurowaniu integracji,

− umiejętność skryptowania. W przypadku przedkładania certyfikatów równoważnych wymagane jest, aby obejmowały one:

• posiadanie tego samego zakresu i poziomu wiedzy i doświadczenia;

• potwierdzenie certyfikatu egzaminem, jeśli uzyskanie certyfikatu wymaga złożenia egzaminu. Certyfikat równoważny nie może być wystawiony przez Wykonawcę lub podmiot zależny od Wykonawcy. Spełnienie warunków udziału w postępowaniu należy potwierdzić poprzez złożenie oświadczeń oraz dokumentów, o których mowa w Rozdziale VIII SWZ, tj. wykazu osób (potencjał kadrowy), skierowanych przez wykonawcę do realizacji zamówienia publicznego, w szczególności odpowiedzialnych za świadczenie usług, wraz z informacjami na temat ich kwalifikacji zawodowych, uprawnień, doświadczenia i wykształcenia niezbędnych do wykonania zamówienia publicznego, a także zakresu wykonywanych przez nie czynności oraz informacją o podstawie do dysponowania tymi osobami – wzór wykazu stanowi załącznik nr 11 do SWZ.