Przedsiębiorstwo Gospodarki Komunalnej Gminy Lubin Sp.z o.o. · Księginice · NIP 6922513030
Audyt wstępny IT/OT, opracowanie i wdrożenie SZBI, szkolenia
Audyt wstępny IT/OT, opracowanie i wdrożenie SZBI, szkolenia oraz kontrolowane testy socjotechniczne. Zamówienie stanowi jedno postępowanie i zostało podzielone na dwie części ze względu na konieczność zachowania niezależności audytu końcowego Wykonawca może złożyć ofertę na jedną albo obie części. Jednemu Wykonawcy może zostać udzielona wyłącznie jedna część. Zamawiający w pierwszej kolejności dokonuje wyboru oferty w Części I. Wykonawca, któremu udzielono Części I, nie może otrzymać Części II; jego oferta w Części II nie będzie uwzględniana przy wyborze ze względu na wymóg niezależności audytu końcowego. Zasada obejmuje również podmioty i personel pozostające w relacjach mogących podważać niezależność oceny. Szczegółowy opis przedmiotu zamówienia stanowią Załączniki nr 1A do Zaproszenia do skladania ofert.
Niezależny audyt końcowy IT/OT
Niezależny audyt końcowy IT/OT obejmujący pełny zatwierdzony zakres Projektu: rozwiązania organizacyjne i kompetencyjne oraz wdrożone urządzenia, oprogramowanie i systemy Zamówienie stanowi jedno postępowanie i zostało podzielone na dwie części ze względu na konieczność zachowania niezależności audytu końcowego. Wykonawca może złożyć ofertę na jedną albo obie części. Jednemu Wykonawcy może zostać udzielona wyłącznie jedna część. Zamawiający w pierwszej kolejności dokonuje wyboru oferty w Części I. Wykonawca, któremu udzielono Części I, nie może otrzymać Części II; jego oferta w Części II nie będzie uwzględniana przy wyborze ze względu na wymóg niezależności audytu końcowego. Zasada obejmuje również podmioty i personel pozostające w relacjach mogących podważać niezależność oceny. Szczegółowy opis przedmiotu zamówienia stanowią Załączniki nr 1B do Zaproszenia do składania ofert.
Miejsce realizacji: Księginice, dolnośląskie
Audyt wstępny IT/OT, opracowanie i wdrożenie SZBI wraz ze szkoleniami i kontrolowanymi testami socjotechnicznymi oraz niezależny audyt końcowy IT/OT.
Cena
Cena brutto jest jednym z kryteriów oceny, a pozostałe kryteria odnoszą się do jakości wykonania i doświadczenia osób skierowanych do realizacji zamówienia. cena brutto -60 pkt
Kryterium 2
Dodatkowe doświadczenie kierownika wdrożenia / eksperta SZBI- 15 pkt Dodatkowe doświadczenie Eksperta OT/ICS- 10 pkt Termin wykonania audytu wstępnego U25- 5 pkt Termin usunięcia Wady Krytycznej w okresie gwarancji- 10 pkt
Cena
cena brutto - 70 pkt
Kryterium 4
Dodatkowe doświadczenie Audytora Wiodącego- 20 pkt Dodatkowe doświadczenie Eksperta/Audytora OT/ICS- 10 pkt
1) Warunki udziału- CZĘŚĆ I Warunki mogą być wykazane w jednej albo kilku odrębnych usługach; Zamawiający nie wymaga jednej historycznej umowy obejmującej wszystkie specjalizacje. a) w okresie ostatnich 3 lat należycie wykonał co najmniej dwa audyty cyberbezpieczeństwa lub SZBI, przy czym co najmniej jeden obejmował IT, a co najmniej jeden OT/ICS, SCADA, automatykę przemysłową albo systemy sterowania; co najmniej jedna usługa audytowa miała wartość minimum 15 000 zł brutto. b) w okresie ostatnich 3 lat należycie wykonał co najmniej jedną usługę opracowania lub istotnej aktualizacji i wdrożenia SZBI zgodnego z ISO/IEC 27001 lub standardem równoważnym, o wartości minimum 15 000 zł brutto. c) w okresie ostatnich 3 lat należycie wykonał co najmniej jedną usługę dotyczącą bezpieczeństwa OT/ICS/SCADA/automatyki lub środowiska przemysłowego. d) w okresie ostatnich 3 lat wykonał co najmniej jedną usługę szkoleniową z cyberbezpieczeństwa dla minimum 30 osób oraz co najmniej jedną kontrolowaną kampanię lub test socjotechniczny połączony z działaniem edukacyjnym.
e) minimalny personel Części I: zespół audytu wstępnego U25-W – audyt wykonuje podmiot uprawniony zgodnie z art. 15 ust. 2 ustawy o krajowym systemie cyberbezpieczeństwa w aktualnym brzmieniu: - właściwa akredytowana jednostka oceniająca zgodność, albo - co najmniej dwóch audytorów spełniających wymagania art. 15 ust. 2 pkt 2, albo - CSIRT sektorowy – jeżeli może wykonać audyt w danym przypadku. Każda osoba wykonująca czynności audytowe musi ponadto spełniać kontraktowo standard niezależności odpowiadający art. 15 ust. 2a tej ustawy. W wariancie zespołu audytorów Audytor Wiodący posiada dodatkowo min. 3 lata doświadczenia w cyberbezpieczeństwie i udział w min. 2 zakończonych audytach w ostatnich 5 latach. Kierownik wdrożenia / ekspert SZBI – min. 3 lata doświadczenia w bezpieczeństwie informacji, min. 2 zakończone wdrożenia SZBI w ostatnich 5 latach i aktualny certyfikat Lead Implementer, Lead Auditor ISO/IEC 27001 lub równoważny. Ekspert OT/ICS – min. 3 lata doświadczenia w cyberbezpieczeństwie OT/ICS i udział w min. 1 zakończonym audycie lub projekcie OT/ICS/SCADA w ostatnich 5 latach. Trener – w ostatnich 2 latach min. 3 szkolenia z cyberbezpieczeństwa, w tym min. 1 dotyczące SZBI lub ISO/IEC 27001. Specjalista kampanii socjotechnicznych – w ostatnich 2 latach min. 2 kontrolowane kampanie/testy socjotechniczne z działaniem edukacyjnym. Jedna osoba może pełnić więcej niż jedną funkcję, jeżeli spełnia wszystkie wymagania przypisane do tych funkcji i nie powoduje to konfliktu interesów ani ryzyka dla terminowej realizacji.
a) Wykonawca w okresie ostatnich 3 lat należycie wykonał co najmniej dwa audyty bezpieczeństwa informacji/cyberbezpieczeństwa, w tym co najmniej jeden obejmujący środowisko IT oraz co najmniej jeden obejmujący środowisko OT/ICS/SCADA; co najmniej jedna usługa audytowa miała wartość minimum 15 000 zł brutto. b) Wykonawca zapewni wykonanie audytu przez podmiot uprawniony zgodnie z art. 15 ust. 2 ustawy o krajowym systemie cyberbezpieczeństwa w aktualnym brzmieniu: 1) właściwą akredytowaną jednostkę oceniającą zgodność, albo 2) co najmniej dwóch audytorów spełniających wymagania art. 15 ust. 2 pkt 2, albo 3) CSIRT sektorowy – jeżeli może wykonać audyt w danym przypadku. W wariancie zespołu audytorów Audytor Wiodący posiada min. 3 lata doświadczenia w audycie bezpieczeństwa informacji i udział w min. 3 zakończonych audytach w ostatnich 5 latach, a Ekspert/Audytor OT/ICS – min. 3 lata doświadczenia w bezpieczeństwie OT/ICS i udział w min. 2 zakończonych audytach lub projektach OT/ICS/SCADA w ostatnich 5 latach.
c) Wykonawca i wszystkie osoby wykonujące czynności audytowe muszą być niezależne od podmiotów i osób uczestniczących w przygotowaniu, wdrożeniu, konfiguracji, odbiorze lub poprawianiu rozwiązań podlegających audytowi w ramach całego Projektu, w tym Części I oraz odrębnych zamówień technicznych IT i OT. Niezależnie od kwalifikacji audytu na gruncie ustawy Zamawiający stosuje umownie standard z art. 15 ust. 2a ustawy o krajowym systemie cyberbezpieczeństwa: audytu nie może wykonywać osoba realizująca w PGKGL zadania, o których mowa w art. 8 oraz art. 9–13 tej ustawy, ani osoba, która realizowała takie zadania w PGKGL w okresie roku przed rozpoczęciem audytu.
