Audyt cyberbezpieczeństwa IT i OT oraz systemów zarządzania bezpieczeństwem i ciągłością działania — ADM.016.2026.10.AS

Przedmiot zamówienia Przedmiotem zamówienia jest przeprowadzenie niezależnego audytu cyberbezpieczeństwa IT i OT oraz systemów zarządzania bezpieczeństwem informacji i ciągłością działania w Przedsiębiorstwie Usług Komunalnych „PEKO” sp. z o.o. w Kosakowie. Zakres obejmuje: 1. Audyt Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). 2. Audyt Systemu Zarządzania Ciągłością Działania (SZCD). 3. Audyt zgodności z mającymi zastosowanie wymaganiami KRI i KSC. 4. Audyt techniczny infrastruktury IT. 5. Audyt techniczny środowiska OT. 6. Testy bezpieczeństwa IT. 7. Testy bezpieczeństwa OT. 8. Testy bezpieczeństwa oprogramowania SCADA. Zamówienie obejmuje również ocenę dowodów odrębnie realizowanych szkoleń, kampanii phishingowych i ćwiczenia reagowania na incydent, obserwację co najmniej jednej bezpiecznej próby odtworzenia danych lub usługi oraz jedną ponowną weryfikację usunięcia ustaleń krytycznych i wysokich na zasadach określonych w OPZ. Wykonawca przygotuje plan audytu, przeprowadzi badania i testy, opracuje raporty, ocenę ryzyka i zalecenia oraz zaprezentuje wyniki. Wymagane są co najmniej dwa dni robocze czynności na miejscu. Prace nie mogą zakłócać działalności Zamawiającego ani procesów technologicznych. Zamówienie nie obejmuje wdrażania zabezpieczeń, usuwania podatności, prowadzenia szkoleń ani certyfikacji. Nie dopuszcza się ofert częściowych ani wariantowych. Nie przewiduje się negocjacji. Odbiór zamówienia nastąpi do 30 grudnia 2026 r., a płatność do 31 grudnia 2026 r. Szczegółowy zakres, harmonogram, wymagania i zasady odbioru określają zaproszenie, OPZ, załącznik nr 2A oraz projekt umowy. Zamówienie realizowane jest w ramach projektu „Kompleksowa rozbudowa i modernizacja rozwiązań z zakresu cyberbezpieczeństwa w PUK PEKO”, program „Cyberbezpieczne Wodociągi”, inwestycja C3.1.1 KPO. Gwarancja: Nie przewiduje się odrębnej gwarancji. Warunki udziału Uprawnienia do wykonywania określonej działalności lub czynności: W celu zapewnienia kwalifikacji do niezależnej oceny KSC Zamawiający wymaga, jako warunku umownego, wykazania jednej ze ścieżek określonych w art. 15 ust. 2 ustawy o krajowym systemie cyberbezpieczeństwa: właściwej akredytacji jednostki oceniającej zgodność, zespołu co najmniej dwóch uprawnionych audytorów albo właściwego CSIRT sektorowego z uprawnionymi audytorami. Wymagane dowody i zasady dokumentowania kwalifikacji określa część 7 OPZ. Warunek nie przesądza statusu regulacyjnego Zamawiającego — ustalenie tego statusu należy do zakresu audytu. Wiedza i doświadczenie: Podmiot faktycznie wykonujący usługi musi posiadać co najmniej dwuletnie doświadczenie w projektach z obszaru cyberbezpieczeństwa. W okresie ostatnich trzech lat przed terminem składania ofert musi należycie wykonać co najmniej dwa odrębne audyty bezpieczeństwa informacji lub systemów informacyjnych, w tym jeden obejmujący środowisko przemysłowe OT/ICS. Dwa audyty mogą być wykonane w ramach jednej umowy. Nie wymaga się doświadczenia wyłącznie w przedsiębiorstwach wodociągowych. Na potwierdzenie należy przedstawić wykaz usług i dowody zgodnie z załącznikiem nr 3 oraz częścią 7 OPZ. Potencjał techniczny: Zamawiający nie ustanawia odrębnego warunku dotyczącego własności sprzętu. Wykonawca zapewnia narzędzia niezbędne do bezpiecznego wykonania audytu i testów, zgodnie z OPZ oraz projektem umowy. Osoby zdolne do wykonania zamówienia: Wykonawca zapewni co najmniej dwie różne osoby audytujące oraz zespół obejmujący następujące role: 1. Kierownik audytu — minimum trzy lata doświadczenia w audycie bezpieczeństwa informacji oraz kierowanie co najmniej dwoma zakończonymi audytami SZBI, KSC lub systemów informacyjnych w ostatnich pięciu latach; certyfikat CISA, CISSP, CISM, audytora wiodącego ISO/IEC 27001 lub równoważne potwierdzenie kompetencji. 2. Audytor ciągłości działania — udział w co najmniej jednym zakończonym audycie obejmującym BIA, BCP i DRP w ostatnich pięciu latach; szkolenie audytorskie z egzaminem, certyfikat w zakresie ciągłości działania lub bezpieczeństwa informacji albo równoważne potwierdzenie kompetencji. 3. Ekspert techniczny IT i OT — minimum dwa lata praktyki w bezpieczeństwie IT oraz udział w co najmniej jednym audycie lub projekcie testów bezpieczeństwa OT/ICS w ostatnich pięciu latach; certyfikat lub kwalifikacja obejmująca badanie bezpieczeństwa technicznego, testy lub bezpieczeństwo przemysłowe, np. OSCP, CEH Practical, GICSP, GRID, ISA/IEC 62443 albo równoważna. Role można łączyć pod warunkiem spełnienia wszystkich wymagań przypisanych do każdej roli i zachowania minimum dwóch różnych osób audytujących. Szczegółowe wymagania, zasady równoważności i dokumentowania kwalifikacji określa część 7 OPZ. Wymagana jest niezależność zgodnie z częścią 7a OPZ. Sytuacja ekonomiczna i finansowa: Zamawiający nie ustanawia szczegółowego warunku dotyczącego sytuacji ekonomicznej i finansowej. Nie wymaga wykazania minimalnych obrotów ani posiadania polisy OC. Lista wymaganych dokumentów/oświadczeń: Do oferty należy dołączyć: 1. Podpisany formularz oferty i formularz cenowy — załącznik nr 1. 2. Wykaz usług i zespołu wraz z dowodami doświadczenia, kwalifikacji oraz imiennymi oświadczeniami niezależności — załącznik nr 3. 3. Dowody potwierdzające spełnienie wymaganej ścieżki kwalifikacji z art. 15 ust. 2 KSC, zgodnie z częścią 7 OPZ. 4. Pełnomocnictwo, jeżeli jest wymagane; przy ofercie wspólnej dokument ustanawiający pełnomocnika. 5. Zobowiązanie podmiotu udostępniającego zasoby do wykonania odpowiedniej części zamówienia, jeżeli dotyczy. Przy ofercie wspólnej każdy wykonawca składa oświadczenie o braku wykluczenia. Dopuszcza się własne formularze zawierające komplet wymaganych danych oraz anonimizację danych zbędnych. Szczegółowe zasady podpisywania i składania dokumentów określa zaproszenie. Dodatkowe warunki udziału: Wykonawca nie może podlegać wykluczeniu na podstawie art. 7 ust. 1 ustawy z 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego ani innym mającym zastosowanie zakazom sankcyjnym. Wykonawca ujawnia powiązania z Zamawiającym, osobami przygotowującymi i oceniającymi oferty oraz wykonawcami dokumentacji, wdrożeń i szkoleń. Obowiązują właściwe zasady zapobiegania konfliktom interesów oraz wymagania niezależności określone w części 4 zaproszenia i części 7a OPZ. Osoby audytujące nie mogą oceniać własnych prac, prowadzić lub rozliczać ocenianych szkoleń ani odpowiadać za opracowanie, wdrożenie lub bieżące działanie badanych rozwiązań. Muszą spełniać ograniczenie określone w art. 15 ust. 2a KSC. Konflikt interesów musi zostać usunięty przed dopuszczeniem osoby do badania. Kryteria oceny ofert Ocenie podlega łączna cena brutto za cały zakres zamówienia, stanowiąca sumę ośmiu pozycji A1–A5 oraz T1–T3 formularza cenowego. Punkty zostaną obliczone według wzoru: P = (najniższa cena brutto spośród ofert nieodrzuconych / cena brutto oferty ocenianej) × 100. Wynik zostanie zaokrąglony do dwóch m Warunki zmiany umowy Zmiany umowy wymagają formy pisemnej albo elektronicznej z podpisami kwalifikowanymi oraz zgodności z właściwymi zasadami konkurencyjności. Dopuszcza się: 1. Zmianę personelu na osoby spełniające nie mniejsze wymagania. 2. Zmianę terminów cząstkowych z powodu udokumentowanych ograniczeń bezpieczeństwa, siły wyższej lub opóźnionej gotowości Zamawiającego. 3. Zmianę sposobu fakturowania wymaganą prawem. 4. Zmianę stawki VAT wynikającą z przepisów, przy zachowaniu wynagrodzenia netto za niewykonaną część zamówienia. Zmiany nie mogą usuwać obowiązkowych obszarów, obniżać niezależności audytora, zastępować testów pozornym wykonaniem ani podwyższać wynagrodzenia bez dopuszczalnej podstawy. Zmiana daty końcowej wymaga odrębnej podstawy zgodnej z regułami konkurencyjności i uprzedniej oceny skutków dla grantu; sama klauzula nie przedłuża terminu projektu ani finansowania. Pozostałe zmiany są dopuszczalne wyłącznie w granicach właściwych reguł, z pisemnym uzasadnieniem. Szczegóły określa § 9 projektu umowy. Zamówienia uzupełniające Nie przewiduje się zamówień uzupełniających. Kody CPV: 72810000-1 Usługi audytu komputerowego Projekt: Cyberbezpieczne Wodociągi (KPOD.05.10-CW.01-0001/25) Numer ogłoszenia: 2026-121105-297746