Wykonanie usługi polegającej na opracowaniu oraz wsparciu wdrożenia i uruchomienia podstawowych procesów Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) w Powiatowym Urzędzie Pracy w Bielsku-Białej

----- Zapytanie ofertowe.pdf ----- Bielsko-Biała 16.10.2026 r. OA.2410.13.2026.JB ZAPYTANIE OFERTOWE Powiatowy Urząd Pracy w Bielsku-Białej zaprasza do składania ofert cenowych na wykonanie usługi polegającej na opracowaniu oraz wsparciu wdrożenia i uruchomienia podstawowych procesów Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) w Powiatowym Urzędzie Pracy w Bielsku-Białej. Opis przedmiotu zamówienia, formularz ofertowy i harmonogram oraz ogólna charakterystyka Zamawiającego znajdują się w załącznikach do zaproszenia. Formularz ofertowy należy przesłać e-mailem na adres: zamowienia@pup-bielsko.pl do dnia 22 października 2026 r. do godziny 12.00. Wszelkie pytania dotyczące niniejszego postępowania należy kierować wyłącznie drogą mailową na adres: zamowienia@pup-bielsko.pl. Inne formy kontaktu nie będą uwzględniane. Wyjątek stanowią problemy techniczne związane ze złożeniem oferty, w których przypadku dopuszcza się kontakt telefoniczny. Dane kontaktowe zamawiającego: Powiatowy Urząd Pracy w Bielsku-Białej Tel: 33 496 51 60 E-mail: zamowienia@pup-bielsko.pl Osoby kontaktowe w sprawach technicznych: Wojciech Bułka Mirosław Zięba I. O udzielenie zamówienia mogą ubiegać się Wykonawcy, którzy: Mają doświadczenie w zakresie świadczenia usługi polegającej na opracowaniu oraz wsparciu wdrożenia i uruchomienia podstawowych procesów Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) w jednostkach administracji publicznej. Spełnienie powyższego warunku weryfikowane będzie na podstawie dołączonego do oferty wykazu zrealizowanych usług wraz z dokumentami potwierdzającymi ich wykonanie (np. opinie, protokoły odbioru prac). II. Nieprzekraczalny termin wykonania usługi: do 15.12.2026 r. III. Kryteria oceny oferty: 1. Cena – waga kryterium: 60% Ocena oferty w zakresie kryterium ceny zostanie dokonana zgodnie z poniższym wzorem; Cn C = --------- x 0,60 x 100 pkt. Cb Gdzie; C – oznacza wartość punktowa oferty w kryterium ceny Cn – najniższa cena z ofert niepodlegających odrzuceniu Cb - cena oferty badanej W tym kryterium oferta może uzyskać maksymalnie 60 punktów. Uzyskana liczba punktów w ramach powyższego kryterium zaokrąglana będzie do drugiego miejsca po przecinku z zastosowaniem matematycznych reguł zaokrąglania. 2. Czas wykonania usługi określony w tygodniach – waga kryterium 20%. Ocena oferty w zakresie tego kryterium dokonana zostanie na podstawie wzoru: Tb T = --------- x 0,20 x 100 pkt. Tn Gdzie; T – wartość punktowa oferty w kryterium: czas wykonanych usług. Tb – czas wykonania usługi wyrażony w tygodniach w ofercie badanej Tn – najkrótszy czas wykonanych usług. W kryterium „ czas wykonanych usług ” oferta otrzyma ilość punktów w zależności od wykazanego przez Wykonawcę czasu na realizację usługi określoną w tygodniach. Wynik obliczenia zostanie zaokrąglony do drugiego miejsca po przecinku z zastosowaniem matematycznych reguł zaokrąglania. W tym kryterium oferta może uzyskać maksymalnie 20 punktów. 3. Ilość wykonanych usług będących przedmiotem zamówienia – waga kryterium 20%. Ocena oferty w zakresie tego kryterium dokonana zostanie na podstawie wzoru: Ib I = --------- x 0,20 x 100 pkt. In Gdzie; Ip – wartość punktowa oferty w kryterium: Ilość wykonanych usług. Ib - Ilość wykonanych usług w ofercie badanej In – największa ilość wykonanych usług. W kryterium „ Ilość wykonanych usług ” oferta otrzyma ilość punktów w zależności od wykazanych przez Wykonawcę zrealizowanych usług. Wynik obliczenia zostanie zaokrąglony do drugiego miejsca po przecinku z zastosowaniem matematycznych reguł zaokrąglania. W tym kryterium oferta może uzyskać maksymalnie 20 punktów. 4. Oferty zostaną ocenione za pomocą systemu punktowego zgodnie z kryteriami oceny, według następującego wzoru: P = C + T + I gdzie: P – wartość punktowa oferty C – wartość punktowa oferty w kryterium „cena” T - wartość punktowa oferty w kryterium „czas wykonania usługi” I - wartość punktowa oferty w kryterium „ilość wykonanych usług” Oferta w toku oceny może uzyskać maksymalnie 100 punktów. Uzyskana liczba punktów zaokrąglana będzie do drugiego miejsca po przecinku z zastosowaniem matematycznych reguł zaokrąglania. Najkorzystniejszą będzie oferta, która uzyska najwyższą łączną liczbę punktów. III. Składanie ofert: 1. Wykonawca może złożyć tylko jedną ofertę. 2. Powiatowy Urząd Pracy w Bielsku -Białej zastrzega sobie możliwość zakończenia procedury bez wyboru żadnej oferty. 3. Oferty prosimy składać na załączonym formularzu wraz z załączonym wykazem wykonanych usług w zakresie przedmiotu zamówienia. 4. Oferta musi być podpisana prze Wykonawcę lub osobę/osoby uprawnione do występowania w imieniu Wykonawcy. 5. Wszelkie zmiany treści oferty (poprawki, przekreślenia, itp.) muszą być parafowane i datowane przez osobę lub osoby składające ofertę, w przeciwnym wypadku powyższe zmiany nie będą uwzględniane. IV. Pozostałe informacje: Warunkiem podpisania umowy na obsługę prawną z wybranym Wykonawcą będzie podpisanie umowy na powierzenie przetwarzania danych osobowych w zakresie niezbędnym do wykonania usługi. ----- Załącznik nr 1 - Opis przedmiotu zamówienia.pdf ----- OA.2410.13.2026.WB Bielsko-Biała, dn. 16.10.2026 r. Załącznik nr 1 Opis przedmiotu zamówienia I. Przedmiot zamówienia. 1. Przedmiotem zamówienia jest wykonanie usługi polegającej na opracowaniu oraz wsparciu wdrożenia i uruchomienia podstawowych procesów Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) w: Powiatowym Urzędzie Pracy w Bielsku-Białej. 2. Celem zamówienia jest stworzenie funkcjonującego systemu zarządzania bezpieczeństwem informacji, który zapewni: • uporządkowanie zasad zarządzania bezpieczeństwem informacji; • identyfikację i zarządzanie ryzykiem; • określenie odpowiedzialności za bezpieczeństwo informacji; • wdrożenie zasad ochrony informacji i systemów teleinformatycznych; • przygotowanie organizacji do realizacji obowiązków wynikających z przepisów prawa. II. Wymagania prawne i metodyczne. 1. SZBI musi uwzględniać wymagania wynikające w szczególności z: • ustawy o krajowym systemie cyberbezpieczeństwa; • przepisów wykonawczych do ustawy o krajowym systemie cyberbezpieczeństwa; • Rozporządzenia Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych – w zakresie mającym zastosowanie do Zamawiającego jako podmiotu realizującego zadania publiczne, w szczególności w zakresie wymagań dotyczących zarządzania bezpieczeństwem informacji, systemów teleinformatycznych oraz procesów przetwarzania informacji ; • przepisów dotyczących ochrony danych osobowych, w szczególności RODO; • wymagań wynikających z dyrektywy NIS2 oraz krajowych przepisów wdrażających, w zakresie mającym zastosowanie do Zamawiającego. 2. Przy opracowaniu SZBI należy wykorzystać dobre praktyki wynikające w szczególności z: • ISO/IEC 27001 – system zarządzania bezpieczeństwem informacji; • ISO/IEC 27002 – zabezpieczenia organizacyjne i techniczne; • ISO/IEC 27005 – zarządzanie ryzykiem; • Narodowych Standardów Cyberbezpieczeństwa oraz innych rekomendacji i wytycznych krajowych dotyczących bezpieczeństwa informacji i cyberbezpieczeństwa. 3. Wykorzystanie norm ISO nie oznacza obowiązku uzyskania certyfikacji ISO/IEC 27001. III. Charakter zamówienia. 1. Zamówienie obejmuje: • audyt i analizę stanu obecnego; • analizę ryzyka bezpieczeństwa informacji; • opracowanie dokumentacji SZBI; • wsparcie wdrożenia procesów i procedur; • szkolenia; • audyty potwierdzające poziom wdrożenia. 2. Wykonawca pełni rolę: • ekspercką; • konsultacyjną; • doradczą; • wspierającą. IV. Podział odpowiedzialności. 1. Wykonawca odpowiada za: • przygotowanie metodyki; • opracowanie dokumentacji; • przekazanie wiedzy; • wsparcie wdrożenia; • przeprowadzenie audytów. 2. Po stronie Zamawiającego pozostają: • zatwierdzanie dokumentacji SZBI oraz podejmowanie decyzji dotyczących jej ostatecznego kształtu; • aktywny udział w opracowywaniu i konsultowaniu procedur, instrukcji oraz zasad bezpieczeństwa, w szczególności poprzez przekazanie informacji dotyczących funkcjonowania organizacji, procesów biznesowych oraz środowiska technicznego; • udział w analizie ryzyka, identyfikacji aktywów, procesów oraz akceptacja poziomu ryzyka; • wskazanie właścicieli procesów i osób odpowiedzialnych za realizację poszczególnych działań; • nadawanie i zatwierdzanie uprawnień do systemów informatycznych zgodnie z przyjętymi zasadami; • realizacja obowiązków wynikających z przepisów prawa oraz decyzji kierownictwa jednostki ; • zapewnienie udziału osób odpowiedzialnych za utrzymanie infrastruktury IT w pracach projektowych, w szczególności przy opracowywaniu procedur technicznych, zasad konfiguracji, zabezpieczeń systemów, zarządzania kontami, kopii zapasowych, monitorowania oraz obsługi incydentów. 3. Wykonawca nie przejmuje odpowiedzialności ustawowej Zamawiającego w zakresie cyberbezpieczeństwa. V. Tryb realizacji prac. 1. Prace mogą być realizowane w formie: • stacjonarnej w siedzibie Zamawiającego; • zdalnej; • hybrydowej. 2. Forma realizacji poszczególnych etapów będzie uzgadniana pomiędzy Zamawiającym i Wykonawcą. W szczególności Zamawiający przewiduje możliwość realizacji stacjonarnej: • warsztatów analizy ryzyka; • spotkań z właścicielami procesów; • szkoleń; • audytów. VI. Zakres prac. 1. Etap 1 - Audyt otwarcia i analiza stanu obecnego. 1) Wykonawca przeprowadzi analizę: a) organizacji bezpieczeństwa: • istniejących polityk i procedur; • podziału odpowiedzialności; • sposobu zarządzania bezpieczeństwem informacji; b) obszaru technicznego: • środowiska teleinformatycznego; • sposobu zarządzania użytkownikami; • zabezpieczeń technicznych; • kopii zapasowych; • monitorowania bezpieczeństwa; c) obszaru formalnego i zgodności prawnej, obejmującego w szczególności: • zgodność z ustawą z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (KSC) wraz z aktami wykonawczymi; • zgodność z wymaganiami wynikającymi z Krajowych Ram Interoperacyjności (KRI), w szczególności w zakresie zarządzania bezpieczeństwem informacji w podmiotach realizujących zadania publiczne; • uwzględnienie wymagań wynikających z dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) oraz przepisów krajowych wdrażających jej wymagania, w zakresie mającym zastosowanie do Zamawiającego; • zgodność z przepisami dotyczącymi ochrony danych osobowych, w szczególności: - rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO); - ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych; - uwzględnienie innych przepisów prawa mających zastosowanie do działalności Zamawiającego w zakresie bezpieczeństwa informacji. 2) Rezultat – opracowanie Raportu otwarcia zawierającego: • opis stanu obecnego; • wykaz braków; • ocenę poziomu dojrzałości; • rekomendacje; • priorytety działań. 2. Etap 2 - Analiza ryzyka. 1) Wykonawca przygotuje: • metodologię analizy ryzyka; • kryteria oceny; • katalog aktywów; • identyfikację zagrożeń; • ocenę podatności; • ocenę skutków; • ocenę poziomu ryzyka. 2) Produkty: • rejestr ryzyka; • raport z analizy ryzyka; • plan postępowania z ryzykiem. 3. Etap 3 - Opracowanie dokumentacji SZBI. 1) Dokumentacja zarządcza. Wykonawca przygotuje: • Politykę Bezpieczeństwa Informacji; • zakres SZBI; • role i odpowiedzialności; • zasady zarządzania ryzykiem; • zasady klasyfikacji informacji; • zasady bezpieczeństwa dostawców; • zasady nadzoru kierownictwa; 2) Dokumentacja proceduralna. W szczególności: a) zarządzanie ryzykiem bezpieczeństwa informacji: Procedura obejmuje w szczególności: • zasady identyfikacji, oceny i postępowania z ryzykiem dotyczącym bezpieczeństwa informacji; • określenie metodyki zarządzania ryzykiem, w tym kryteriów oceny prawdopodobieństwa wystąpienia zagrożeń oraz skutków ich materializacji; • zasady identyfikacji i aktualizacji aktywów, procesów oraz zasobów wymagających uwzględnienia w analizie ryzyka; • zasady identyfikacji zagrożeń, podatności oraz czynników wpływających na poziom ryzyka; • zasady określania poziomu akceptowalnego ryzyka oraz zatwierdzania ryzyka przez osoby uprawnione; • zasady opracowywania, realizacji i monitorowania planów postępowania z ryzykiem; • zasady określania właścicieli ryzyka oraz odpowiedzialności za realizację działań ograniczających ryzyko; • zasady okresowego przeglądu i aktualizacji oceny ryzyka, w szczególności w przypadku istotnych zmian organizacyjnych, technicznych, prawnych lub wystąpienia incydentów bezpieczeństwa informacji; • zasady uwzględniania aspektów ochrony danych osobowych w procesie zarządzania ryzykiem, w tym identyfikacji przypadków wymagających przeprowadzenia oceny skutków dla ochrony danych osobowych (DPIA) we współpracy z IOD lub osobą odpowiedzialną za ochronę danych osobowych; b) zarządzanie aktywami informacyjnymi: Procedura obejmuje w szczególności: • identyfikację i ewidencję aktywów informacyjnych oraz zasobów IT; • określenie właścicieli aktywów i odpowiedzialności; • zasady aktualizacji i przeglądu ewidencji; c) bezpieczeństwo zasobów ludzkich: Procedura obejmuje w szczególności: • zasady określania odpowiedzialności pracowników i współpracowników za ochronę informacji oraz przestrzeganie zasad bezpieczeństwa informacji; • zasady zapoznawania użytkowników z wymaganiami bezpieczeństwa informacji oraz potwierdzania ich znajomości; • zasady zachowania poufności informacji, w tym wymagania dotyczące zobowiązań do zachowania poufności; • zasady nadawania uprawnień i dopuszczania użytkowników do korzystania z zasobów informacyjnych organizacji; • zasady postępowania w przypadku zmiany zakresu obowiązków, stanowiska lub roli użytkownika, w tym weryfikację i aktualizację uprawnień; • zasady postępowania przy zakończeniu współpracy, obejmujące odebranie uprawnień, zwrot powierzonych zasobów oraz zabezpieczenie informacji organizacji; • zasady postępowania w przypadku naruszenia przez pracownika obowiązków dotyczących bezpieczeństwa informacji; d) zarządzanie dostępem i uprawnieniami: Procedura obejmuje w szczególności: • zasady nadawania, zmiany i odbierania uprawnień użytkowników; • zasady zatwierdzania dostępów przez właścicieli informacji lub systemów; • zarządzanie kontami użytkowników oraz kontami uprzywilejowanymi; • okresowe przeglądy i weryfikację nadanych uprawnień; • zasady postępowania w przypadku zmiany stanowiska, zakończenia współpracy lub utraty uprawnień; e) bezpieczeństwo fizyczne i środowiskowe: Procedura obejmuje w szczególności: • zasady kontroli dostępu do pomieszczeń, w których przetwarzane są informacje lub znajdują się systemy teleinformatyczne; • zasady zabezpieczenia serwerowni, pomieszczeń technicznych, archiwów i miejsc przechowywania kopii zapasowych; • zasady ochrony przed zagrożeniami środowiskowymi, w tym awarią zasilania, pożarem, zalaniem, przegrzaniem oraz awarią klimatyzacji; • zasady postępowania z osobami trzecimi przebywającymi w strefach chronionych; • zasady okresowego przeglądu zabezpieczeń fizycznych; f) polityka stosowania środków kryptograficznych: Wykonawca opracuje rekomendowane standardy bezpieczeństwa technicznego oraz wytyczne organizacyjno-konfiguracyjne dostosowane do specyfiki działalności Zamawiającego: • zasady stosowania mechanizmów szyfrowania informacji, w szczególności danych przechowywanych oraz przesyłanych; • zasady zarządzania kluczami kryptograficznymi, w tym ich tworzenia, przechowywania, wykorzystywania, ochrony oraz wycofywania; • zasady zarządzania certyfikatami cyfrowymi, w tym ich wykorzystania, odnawiania i unieważniania; • zasady stosowania mechanizmów kryptograficznych zgodnie z aktualnymi wymaganiami bezpieczeństwa oraz dobrymi praktykami; • określenie odpowiedzialności za utrzymanie, nadzór i prawidłowe stosowanie mechanizmów kryptograficznych; g) zarządzanie incydentami bezpieczeństwa informacji: Procedura obejmuje w szczególności: • zgłaszanie incydentów; • klasyfikację i ocenę skutków; • obsługę i eskalację; • dokumentowanie przebiegu obsługi; • działania korygujące; • zasady kwalifikacji incydentów podlegających zgłoszeniu oraz raportowanie do właściwego CSIRT zgodnie z wymaganiami KSC/NIS2; • zasady identyfikacji zdarzeń mogących stanowić naruszenie ochrony danych osobowych oraz współpracy z osobą odpowiedzialną za ochronę danych osobowych, w tym IOD, w zakresie oceny naruszenia i realizacji obowiązków wynikających z RODO; • zasady zapewnienia dokumentowania zdarzeń związanych z naruszeniem ochrony danych osobowych zgodnie z wymaganiami RODO; h) monitorowanie bezpieczeństwa systemów informacyjnych: Procedura obejmuje w szczególności: • zasady rejestrowania zdarzeń związanych z bezpieczeństwem informacji oraz zarządzania dziennikami zdarzeń (logami); • zasady zapewnienia ciągłego monitorowania bezpieczeństwa systemów informacyjnych, z wykorzystaniem dostępnych mechanizmów technicznych i organizacyjnych z uwzględnieniem możliwości organizacyjnych i technicznych Zamawiającego; • zasady analizy logów oraz identyfikacji zdarzeń nietypowych, anomalii i potencjalnych incydentów bezpieczeństwa informacji; • zasady generowania, obsługi i eskalacji alertów bezpieczeństwa; • zasady określania zakresu, okresu przechowywania oraz ochrony logów przed nieuprawnioną modyfikacją lub usunięciem; • zasady prowadzenia okresowych przeglądów zdarzeń bezpieczeństwa oraz raportowania wyników monitorowania do osób odpowiedzialnych za bezpieczeństwo informacji; i) zarządzanie awariami i odtwarzaniem usług: Procedura obejmuje w szczególności: • zasady postępowania w przypadku awarii systemów informatycznych, infrastruktury oraz usług wspierających; • określenie odpowiedzialności, sposobu komunikacji i eskalacji; • priorytetyzację awarii oraz określenie zasad ustalania kolejności i wymagań dotyczących odtworzenia usług; • działania związane z przywracaniem działania usług i systemów; • zasady dokumentowania awarii oraz analizę przyczyn i działań zapobiegawczych; • zasady testowania procedur odtworzeniowych w powiązaniu z ciągłością działania ; j) ciągłość działania: Procedura obejmuje w szczególności: • identyfikację procesów krytycznych; • określenie wymagań odtworzeniowych; • przygotowanie planów awaryjnych; • testowanie planów ciągłości działania; k) zarządzanie kopiami zapasowymi: Procedura obejmuje w szczególności: • zasady wykonywania, zakresu i częstotliwości tworzenia kopii zapasowych; • zasady zabezpieczenia kopii zapasowych przed utratą, nieuprawnionym dostępem lub modyfikacją; • zasady przechowywania i nadzoru nad kopiami zapasowymi; • testowanie odtwarzania danych i systemów; • dokumentowanie wykonanych testów oraz wyników odtwarzania; l) zarządzanie zmianą: Procedura obejmuje w szczególności: • zgłaszanie i rejestrowanie zmian w systemach informatycznych oraz infrastrukturze; • analizę wpływu zmian na bezpieczeństwo, dostępność i funkcjonowanie usług; • akceptację zmian przez osoby odpowiedzialne; • planowanie i realizację zmian; • dokumentowanie wykonanych zmian oraz ich wyników; • zasady utrzymania i kontroli konfiguracji systemów informatycznych oraz urządzeń infrastruktury ; ł) zarządzanie podatnościami: Procedura obejmuje w szczególności: • identyfikację podatności w systemach informatycznych, aplikacjach i infrastrukturze; • ocenę poziomu ryzyka związanego z wykrytymi podatnościami; • określenie sposobu postępowania i priorytetyzację działań; • usuwanie podatności poprzez aktualizacje, poprawki bezpieczeństwa lub inne działania zabezpieczające; • dokumentowanie wykrytych podatności oraz sposobu ich obsługi; • zasady pozyskiwania informacji o aktualnych cyberzagrożeniach i podatnościach, w szczególności ze źródeł takich jak CSIRT, CERT Polska, producenci wykorzystywanych systemów oraz dostawcy usług; • zasady analizy otrzymanych informacji pod kątem wpływu na środowisko Zamawiającego oraz podejmowania działań wynikających z identyfikowanych zagrożeń, w tym aktualizacji rejestru ryzyka i inicjowania działań korygujących; m) bezpieczeństwo dostawców: Procedura obejmuje w szczególności: • identyfikację i klasyfikację dostawców oraz usług świadczonych przez podmioty zewnętrzne; • ocenę dostawców pod kątem wymagań bezpieczeństwa informacji; • określenie wymagań bezpieczeństwa w umowach i zasadach współpracy; • nadzór nad realizacją wymagań bezpieczeństwa przez dostawców; • okresową weryfikację i ocenę ryzyka związanego z dostawcami w szczególności w zakresie usług świadczonych przez podmioty zewnętrzne posiadające dostęp do informacji lub systemów Zamawiającego; • uwzględnienie ryzyka związanego z łańcuchem dostaw usług ICT; n) zarządzanie szkoleniami i świadomością bezpieczeństwa informacji: Procedura obejmuje w szczególności: • zasady organizacji szkoleń z zakresu bezpieczeństwa informacji; • zasady podnoszenia świadomości użytkowników w zakresie zagrożeń cyberbezpieczeństwa; • podstawowe zasady cyberhigieny, obejmujące w szczególności: - bezpieczne korzystanie z haseł i mechanizmów uwierzytelniania; - rozpoznawanie prób phishingu i innych zagrożeń socjotechnicznych; - bezpieczne korzystanie z poczty elektronicznej, Internetu oraz urządzeń organizacji; - zasady ochrony informacji przed nieuprawnionym ujawnieniem; - zasady stosowania aktualizacji i podstawowych zabezpieczeń urządzeń; - obowiązek zgłaszania podejrzanych zdarzeń i incydentów bezpieczeństwa; - zasady dokumentowania realizacji szkoleń i działań podnoszących świadomość ; o) dodatkowo dokumentacja proceduralna obejmuje w szczególności: • bezpieczeństwo pracy zdalnej, w tym zasady korzystania z zasobów organizacji poza jej siedzibą; • bezpieczeństwo urządzeń mobilnych, w tym zasady ich użytkowania, ochrony i zarządzania dostępem; • bezpieczeństwo poczty elektronicznej, w tym zasady bezpiecznego korzystania i ochrony przed zagrożeniami; 3) Wykonawca opracuje standardy bezpieczeństwa technicznego oraz wytyczne konfiguracyjne , dostosowane do specyfiki działalności Zamawiającego, obejmujące w szczególności: • zarządzanie kontami użytkowników i kontami uprzywilejowanymi; • zasady uwierzytelniania i stosowania haseł; • zasady zarządzania aktualizacjami i poprawkami bezpieczeństwa; • wymagania dotyczące bezpiecznej konfiguracji urządzeń końcowych; • wymagania dotyczące zabezpieczenia serwerów i systemów informatycznych; • wymagania dotyczące bezpieczeństwa infrastruktury sieciowej; • wymagania dotyczące wykonywania i zabezpieczania kopii zapasowych; • wymagania dotyczące zarządzania logami i ich wykorzystania; • wymagania dotyczące monitorowania bezpieczeństwa; 4) dokumentacja techniczna ma charakter standardów organizacyjno -technicznych i zaleceń wdrożeniowych, które będą stanowiły podstawę do dostosowania i utrzymania zabezpieczeń w środowisku Zamawiającego; 5) szczegółowe informacje dotyczące konfiguracji infrastruktury, parametrów technicznych oraz ustawień bezpieczeństwa pozostają elementem dokumentacji wewnętrznej Zamawiającego i nie stanowią przedmiotu przekazania w ramach dokumentacji SZBI; 6) dokumentacja SZBI nie powinna zawierać informacji stanowiących dane wrażliwe z punktu widzenia bezpieczeństwa infrastruktury Zamawiającego, w szczególności: • haseł, kluczy kryptograficznych ani innych danych uwierzytelniających; • danych dostępowych do systemów; • szczegółowych konfiguracji urządzeń i systemów; • kompletnej dokumentacji topologii sieci; • innych informacji, których ujawnienie mogłoby istotnie zwiększyć ryzyko naruszenia bezpieczeństwa; 7) matryca zgodności wymagań prawnych i normatywnych: a) Wykonawca opracuje matrycę zgodności SZBI, wskazującą powiązanie wymagań wynikających w szczególności z: • ustawą o krajowym systemie cyberbezpieczeństwa oraz aktami wykonawczymi, w zakresie mającym zastosowanie do Zamawiającego; • Krajowymi Ramami Interoperacyjności w zakresie mającym zastosowanie do Zamawiającego; • wymaganiami dyrektywy NIS2 w zakresie mającym zastosowanie do Zamawiającego; • przepisami dotyczącymi ochrony danych osobowych, w szczególności RODO; • dobrymi praktykami wynikającymi z norm ISO/IEC 27001, ISO/IEC 27002 oraz ISO/IEC 27005; b) matryca powinna wskazywać w szczególności: • wymaganie lub obszar wymagania; • podstawę prawną lub normatywną; • dokument SZBI lub proces realizujący dane wymaganie; • odpowiedzialność za realizację; • status realizacji wymagania; • opis sposobu spełnienia wymagania lub wskazanie dowodów realizacji; • identyfikację ewentualnych luk i działań dostosowawczych; c) matryca zgodności będzie stanowiła integralną część dokumentacji SZBI oraz będzie wykorzystywana jako narzędzie do okresowych przeglądów, doskonalenia SZBI oraz przeprowadzania audytów zgodności; 8) rejestry i ewidencje SZBI: Wykonawca przygotuje wzory rejestrów oraz określi zasady ich prowadzenia, aktualizacji i nadzoru, obejmujące w szczególności: • rejestr aktywów informacyjnych; • rejestr systemów informatycznych; • rejestr ryzyka; • rejestr incydentów bezpieczeństwa informacji; • rejestr uprawnień i dostępów; • rejestr dostawców i usług zewnętrznych; • rejestr szkoleń z zakresu bezpieczeństwa informacji; • rejestr audytów i przeglądów SZBI; • rejestr zmian w systemach i dokumentacji. 4. Etap 4 - Wdrożenie SZBI. 1) Celem etapu jest wsparcie Zamawiającego w praktycznym wdrożeniu opracowanego Systemu Zarządzania Bezpieczeństwem Informacji oraz przygotowanie organizacji do samodzielnego jego utrzymania. W ramach realizacji etapu Wykonawca: • przeprowadzi konsultacje wdrożeniowe oraz spotkania robocze z przedstawicielami Zamawiającego; • zapewni wsparcie eksperckie podczas wdrażania opracowanych zasad, procedur i procesów bezpieczeństwa informacji; • uzgodni z Zamawiającym sposób stosowania opracowanej dokumentacji w praktyce organizacyjnej i technicznej jednostki; • wesprze uruchomienie procesów wynikających z SZBI, w szczególności w obszarach zarządzania ryzykiem, incydentami, dostępami, aktywami oraz ciągłością działania; • przeprowadzi szkolenia dla osób odpowiedzialnych za realizację i utrzymanie poszczególnych elementów SZBI; • udzieli konsultacji dotyczących dostosowania procedur i standardów do istniejących rozwiązań organizacyjnych oraz technicznych Zamawiającego; 2) dokumentacja SZBI oraz rozwiązania organizacyjne powinny być opracowywane we współpracy z wyznaczonymi przedstawicielami Zamawiającego. Współpraca ta obejmuje w szczególności osoby odpowiedzialne za obszar IT, bezpieczeństwo informacji, ochronę danych osobowych oraz właścicieli procesów biznesowych. W obszarach dotyczących przetwarzania danych osobowych współpraca obejmuje w szczególności Inspektora Ochrony Danych (IOD) lub osobę pełniącą zadania związane z ochroną danych osobowych u Zamawiającego; 3) celem współpracy jest zapewnienie, aby opracowane procedury, instrukcje i standardy były adekwatne do specyfiki działalności Zamawiającego oraz możliwe do zastosowania w jego rzeczywistym środowisku organizacyjnym i technicznym; 4) po stronie Zamawiającego pozostaje: • wyznaczenie osób lub zespołu odpowiedzialnego za współpracę z Wykonawcą w zakresie przygotowania i wdrożenia SZBI; • wskazanie właścicieli procesów oraz osób odpowiedzialnych za poszczególne obszary bezpieczeństwa informacji; • udział w konsultacjach i uzgodnieniach dotyczących opracowywanej dokumentacji; • przekazywanie Wykonawcy informacji niezbędnych do prawidłowego przygotowania dokumentacji; • zatwierdzenie opracowanej dokumentacji SZBI; • podejmowanie decyzji dotyczących akceptacji ryzyka oraz sposobu realizacji działań wynikających z analizy ryzyka; • realizacja obowiązków wynikających z przepisów prawa oraz wewnętrznych regulacji Zamawiającego; 5) Wykonawca pełni rolę ekspercką i doradczą. Realizacja zamówienia nie obejmuje przejęcia przez Wykonawcę obowiązków ustawowych Zamawiającego ani odpowiedzialności za bieżące utrzymanie SZBI; 6) rezultatem etapu jest uruchomienie podstawowych procesów SZBI oraz przygotowanie wyznaczonych osób do samodzielnego ich prowadzenia (ryzyko, incydenty, zmiany, kopie zapasowe, zarządzanie dostępami, współpraca z dostawcami). 5. Etap 5 – Szkolenia. 1) Wykonawca przeprowadzi szkolenia dostosowane do ról i odpowiedzialności poszczególnych grup uczestników, obejmujące w szczególności: a) szkolenie dla kierownictwa: Zakres szkolenia obejmie w szczególności: • odpowiedzialność kierownictwa za zapewnienie bezpieczeństwa informacji i nadzór nad SZBI; • wymagania wynikające z KSC, KRI oraz NIS2 w zakresie mającym zastosowanie do Zamawiającego; • rolę kierownictwa w zarządzaniu ryzykiem bezpieczeństwa informacji; • podejmowanie decyzji dotyczących akceptacji ryzyka oraz działań doskonalących ; b) Szkolenie dla pracowników i użytkowników systemów informatycznych: Zakres szkolenia obejmie w szczególności: • podstawowe zasady bezpieczeństwa informacji oraz odpowiedzialność użytkowników za ochronę informacji przetwarzanych w organizacji; • najważniejsze zagrożenia związane z korzystaniem z systemów informatycznych i komunikacji elektronicznej; • zasady bezpiecznego korzystania z poczty elektronicznej, Internetu, urządzeń oraz zasobów organizacji; • zasady postępowania w przypadku podejrzenia wystąpienia incydentu bezpieczeństwa informacji; • obowiązki użytkowników wynikające z wdrożonych procedur SZBI; c) szkolenie dla osób odpowiedzialnych za IT, bezpieczeństwo informacji oraz utrzymanie SZBI: Zakres szkolenia obejmie w szczególności: • zasady realizacji procesów technicznych wynikających z SZBI; • obsługę i eskalację incydentów bezpieczeństwa informacji; • wymagania dotyczące zabezpieczenia systemów informatycznych; • zasady zarządzania podatnościami, aktualizacjami, dostępami oraz kopiami zapasowymi; • obowiązki związane z utrzymaniem i doskonaleniem SZBI; 2) Wykonawca przekaże Zamawiającemu materiały szkoleniowe oraz potwierdzenie realizacji szkoleń; 3) liczba godzin szkoleń, czas ich trwania oraz szczegółowy harmonogram realizacji zostaną ustalone pomiędzy Wykonawcą a Zamawiającym na etapie realizacji zamówienia, z uwzględnieniem specyfiki organizacyjnej Zamawiającego, liczby uczestników oraz zakresu odpowiedzialności poszczególnych grup szkoleniowych. 6. Etap 6 - Audyt końcowy wdrożenia SZBI. 1) Wykonawca przeprowadzi audyt końcowy mający na celu ocenę poziomu wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji oraz przygotowanie Zamawiającego do samodzielnego utrzymania SZBI; 2) audyt obejmie w szczególności: a) obszar formalny i zgodności: • ocenę zgodności wdrożonego SZBI z wymaganiami ustawy o krajowym systemie cyberbezpieczeństwa oraz przepisami wykonawczymi; • zgodność z wymaganiami Krajowych Ram Interoperacyjności; • zgodność z wymaganiami wynikającymi z dyrektywy NIS2 w zakresie mającym zastosowanie do Zamawiającego; • zgodność z wymaganiami dotyczącymi ochrony danych osobowych, w szczególności wynikającymi z RODO oraz ustawy o ochronie danych osobowych; • kompletność i spójność dokumentacji SZBI; b) obszar funkcjonowania SZBI: • stosowanie opracowanych procedur i zasad bezpieczeństwa informacji; • funkcjonowanie wymaganych rejestrów i ewidencji; • realizację procesów zarządzania ryzykiem, incydentami, dostępami, aktywami oraz ciągłością działania; • realizację działań wynikających z analizy ryzyka i planu postępowania z ryzykiem; 3) rezultatem audytu będzie raport końcowy zawierający w szczególności: • zakres i metodykę przeprowadzonego audytu; • opis przeprowadzonych czynności; • ustalenia i obserwacje; • wykaz stwierdzonych niezgodności lub obszarów wymagających poprawy; • rekomendacje działań korygujących i doskonalących; • propozycję planu dalszych działań.