Świadczenie usług audytu SZBI na zgodność z KRI/UoKSC oraz audytu cyberbezpieczeństwa sieci OT

Przedmiot zamówienia Część 1: Audyt SZBI na zgodność z KRI/UoKSC Przedmiotem zamówienia jest a) Część 1. Audyt SZBI na zgodność z KRI/UoKSC – przeprowadzenie niezależnego audytu Systemu Zarządzania Bezpieczeństwem Informacji wdrożonego w Zakładzie na zgodność z wymaganiami rozporządzenia w sprawie Krajowych Ram Interoperacyjności (KRI) oraz ustawy o krajowym systemie cyberbezpieczeństwa (UoKSC), wraz z Raportem z Audytu; Szczegółowy opis przedmiotu zamówienia stanowi Załącznik nr 1a do niniejszego Zapytania Ofertowego. Każda z części opisanych w lit. a) – b) stanowi odrębną część Zapytania Ofertowego. Wykonawca może złożyć ofertę na dowolną liczbę części. Zamawiający dokona oceny każdej z części odrębnie i zastrzega sobie prawo do wyboru odrębnych wykonawców dla każdej z części zamówienia. Zamawiający nie przewiduje w ramach niniejszego zamówienia wdrażania działań korygujących ani naprawczych wynikających z audytów – nie są one objęte przedmiotem zamówienia. Część 2: Audyt cyberbezpieczeństwa sieci OT Przedmiot zamówienia jest: Część 2. Audyt cyberbezpieczeństwa sieci OT – przeprowadzenie niezależnego audytu cyberbezpieczeństwa sieci technologicznej OT (OT/ICS/SCADA) Zakładu, obejmującego identyfikację zasobów, zmapowanie komunikacji, wykrycie podatności oraz ocenę zabezpieczeń sieci OT wdrażanych w Projekcie grantowym, wraz z Raportem z Audytu. Szczegółowy opis przedmiotu zamówienia stanowi Załącznik nr 1b do niniejszego Zapytania Ofertowego. Każda z części opisanych stanowi odrębną część Zapytania Ofertowego. Wykonawca może złożyć ofertę na dowolną liczbę części. Zamawiający dokona oceny każdej z części odrębnie i zastrzega sobie prawo do wyboru odrębnych wykonawców dla każdej z części zamówienia. Zamawiający nie przewiduje w ramach niniejszego zamówienia wdrażania działań korygujących ani naprawczych wynikających z audytów – nie są one objęte przedmiotem zamówienia. Warunki udziału Wiedza i doświadczenie: Zamawiający wymaga, aby Wykonawca wykazał, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał co najmniej 1 (jedną) usługę polegającą na przeprowadzeniu audytu systemu zarządzania bezpieczeństwem informacji lub audytu zgodności z Krajowymi Ramami Interoperacyjności (KRI) lub z ustawą o krajowym systemie cyberbezpieczeństwa (UoKSC), zakończoną sporządzeniem raportu (sprawozdania) z audytu. Usługi wykazywane na potwierdzenie spełnienia warunków muszą być zakończone przed upływem terminu składania ofert. Spełnienie warunków będzie weryfikowane na podstawie Wykazu zrealizowanych usług (Załącznik nr 4), zawierającego opis przedmiotu i zakresu usługi, okres realizacji oraz podmiot, na rzecz którego usługa została wykonana, wraz z dokumentami potwierdzającymi należyte wykonanie usług (np. referencje, protokoły odbioru lub inne dokumenty, z których jednoznacznie wynika należyte wykonanie usługi i jej zakres). Osoby zdolne do wykonania zamówienia: Część 1. Audyt SZBI na zgodność z KRI/UoKSC Zamawiający wymaga, aby Wykonawca skierował do realizacji zamówienia co najmniej 1 (jedną) osobę pełniącą funkcję Audytora wiodącego, legitymującą się co najmniej jednym z poniższych certyfikatów uprawniających do przeprowadzenia audytu, wymienionych w rozporządzeniu Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu (Dz.U. z 2018 r. poz. 1999), wydanym na podstawie art. 15 ust. 8 ustawy o krajowym systemie cyberbezpieczeństwa, w brzmieniu obowiązującym na dzień składania ofert: a) Certified Internal Auditor (CIA); b) Certified Information System Auditor (CISA); c) certyfikat audytora wiodącego systemu zarządzania bezpieczeństwem informacji według normy PN-EN ISO/IEC 27001, wydany przez jednostkę oceniającą zgodność, akredytowaną w zakresie certyfikacji osób zgodnie z ustawą z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku; d) certyfikat audytora wiodącego systemu zarządzania ciągłością działania według normy PN-EN ISO 22301, wydany przez jednostkę oceniającą zgodność, akredytowaną w zakresie certyfikacji osób zgodnie z ww. ustawą; e) Certified Information Security Manager (CISM); f) Certified in Risk and Information Systems Control (CRISC); g) Certified in the Governance of Enterprise IT (CGEIT); h) Certified Information Systems Security Professional (CISSP); i) Systems Security Certified Practitioner (SSCP); j) Certified Reliability Professional; k) certyfikat uprawniający do posiadania tytułu ISA/IEC 62443 Cybersecurity Expert. W skład zespołu audytowego mogą wchodzić również inne osoby, działające pod kierunkiem Audytora wiodącego. Raport z Audytu podpisuje Audytor wiodący. Uwaga (dotyczy Części 1 i 2): certyfikat musi być ważny na dzień składania ofert oraz przez cały okres realizacji zamówienia. W przypadku upływu ważności certyfikatu w trakcie realizacji umowy Wykonawca – bez odrębnego wezwania – przedstawia dokument potwierdzający jego przedłużenie lub nowy certyfikat, najpóźniej w dniu wygaśnięcia dotychczasowego dokumentu. Zastrzeżenie (dotyczy Części 1 i 2): przedmiot zamówienia nie stanowi audytu bezpieczeństwa systemu informacyjnego, o którym mowa w art. 15 ustawy o krajowym systemie cyberbezpieczeństwa. Katalog certyfikatów wskazany w lit. a) – k) Zamawiający stosuje wyłącznie jako miarę minimalnych kwalifikacji Audytora wiodącego; nie wymaga się spełnienia warunków określonych w art. 15 ust. 2 tej ustawy, w szczególności udziału co najmniej dwóch audytorów. Sposób potwierdzenia (Części 1 i 2): Wykaz osób (Załącznik nr 3) wraz z kopią certyfikatu Audytora wiodącego. Doświadczenie Eksperta OT/ICS potwierdza się wskazaniem w Wykazie osób usługi (przedmiot, zamawiający lub branża, okres realizacji, pełniona rola); Zamawiający nie wymaga referencji dla Eksperta OT/ICS. Lista wymaganych dokumentów/oświadczeń: Do oferty Wykonawca zobowiązany jest dołączyć następujące dokumenty i oświadczenia: a) Formularz ofertowy (Załącznik nr 2), zawierający w szczególności oświadczenie o braku podstaw do wykluczenia (pkt 9.1 i 9.2), oświadczenie o spełnieniu dodatkowych warunków niezależności (pkt 4.7), oświadczenie o przestrzeganiu zasady DNSH oraz oświadczenie o wypełnieniu obowiązków informacyjnych wynikających z RODO; b) Wykaz osób skierowanych do realizacji zamówienia (Załącznik nr 3) wraz z kopią certyfikatu Audytora wiodącego; c) Wykaz zrealizowanych usług (Załącznik nr 4) wraz z dokumentami potwierdzającymi ich należyte wykonanie; d) Zobowiązanie podmiotu udostępniającego zasoby (Załącznik nr 5) – jeżeli Wykonawca polega na zdolnościach innych podmiotów; e) pełnomocnictwo – jeżeli ofertę podpisuje osoba, której umocowanie nie wynika z właściwego rejestru, oraz pełnomocnictwo dla pełnomocnika wykonawców wspólnie ubiegających się o udzielenie zamówienia (jeżeli dotyczy). Osoby zdolne do wykonania zamówienia: Część 2. Audyt cyberbezpieczeństwa sieci OT Zamawiający wymaga, aby Wykonawca skierował do realizacji zamówienia co najmniej: 1) Audytora wiodącego – 1 (jedną) osobę legitymującą się co najmniej jednym z certyfikatów wymienionych powyżej w lit. a) – k) (katalog jak dla Części 1); 2) Eksperta OT/ICS – 1 (jedną) osobę, która w okresie ostatnich 3 lat przed upływem terminu składania ofert uczestniczyła w realizacji co najmniej 1 (jednej) usługi polegającej na audycie lub ocenie bezpieczeństwa sieci lub systemów technologii operacyjnej (OT/ICS/SCADA). Funkcje, o których mowa w pkt 1) i 2), mogą być pełnione przez jedną osobę, jeżeli spełnia ona łącznie oba wymagania. Raport z Audytu podpisuje Audytor wiodący. Ta sama osoba może zostać wskazana do realizacji Części 1 i Części 2. Uwaga (dotyczy Części 1 i 2): certyfikat musi być ważny na dzień składania ofert oraz przez cały okres realizacji zamówienia. W przypadku upływu ważności certyfikatu w trakcie realizacji umowy Wykonawca – bez odrębnego wezwania – przedstawia dokument potwierdzający jego przedłużenie lub nowy certyfikat, najpóźniej w dniu wygaśnięcia dotychczasowego dokumentu. Zastrzeżenie (dotyczy Części 1 i 2): przedmiot zamówienia nie stanowi audytu bezpieczeństwa systemu informacyjnego, o którym mowa w art. 15 ustawy o krajowym systemie cyberbezpieczeństwa. Katalog certyfikatów wskazany w lit. a) – k) Zamawiający stosuje wyłącznie jako miarę minimalnych kwalifikacji Audytora wiodącego; nie wymaga się spełnienia warunków określonych w art. 15 ust. 2 tej ustawy, w szczególności udziału co najmniej dwóch audytorów. Sposób potwierdzenia (Części 1 i 2): Wykaz osób (Załącznik nr 3) wraz z kopią certyfikatu Audytora wiodącego. Doświadczenie Eksperta OT/ICS potwierdza się wskazaniem w Wykazie osób usługi (przedmiot, zamawiający lub branża, okres realizacji, pełniona rola); Zamawiający nie wymaga referencji dla Eksperta OT/ICS. Wiedza i doświadczenie: Część 2. Audyt cyberbezpieczeństwa sieci OT Zamawiający wymaga, aby Wykonawca wykazał, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał co najmniej 1 (jedną) usługę polegającą na przeprowadzeniu audytu cyberbezpieczeństwa (audytu bezpieczeństwa) sieci lub systemów technologii operacyjnej OT/ICS/SCADA albo audytu bezpieczeństwa infrastruktury sieciowej obejmującego środowisko OT/ICS/SCADA, zakończoną sporządzeniem raportu z audytu. Usługi wykazywane na potwierdzenie spełnienia warunków muszą być zakończone przed upływem terminu składania ofert. Ta sama usługa może zostać wykazana na potwierdzenie spełnienia warunku w Części 1 i w Części 2, jeżeli jej zakres obejmował oba rodzaje audytu. Spełnienie warunków w Części 1 i 2 będzie weryfikowane na podstawie Wykazu zrealizowanych usług (Załącznik nr 4), zawierającego opis przedmiotu i zakresu usługi, okres realizacji oraz podmiot, na rzecz którego usługa została wykonana, wraz z dokumentami potwierdzającymi należyte wykonanie usług (np. referencje, protokoły odbioru lub inne dokumenty, z których jednoznacznie wynika należyte wykonanie usługi i jej zakres). Kryteria oceny ofert Cena oferty brutto - 100% Oferty częściowe: dopuszczone Kody CPV: 72810000-1 Usługi audytu komputerowego; 79212000-3 Usługi audytu; 79417000-0 Usługi doradcze w zakresie bezpieczeństwa Projekt: Cyberbezpieczne wodociągi w Gminie Świlcza (KPOD.05.10-CW.01-0125/00) Numer ogłoszenia: 2026-75363-297827