Usługa audytu zewnętrznego w zakresie Systemu Zarządzania Bezpieczeństwem Informatycznym oraz realizacji testów bezpieczeństwa dla Systemu e-KRN+

Zgodnie z zapisami SWZ:
Rozdz. XVIII SWZ - Informacja o środkach komunikacji elektronicznej, przy użyciu,których zamawiający będzie komunikował się z wykonawcami, oraz informacje o wymaganiach technicznych i organizacyjnych sporządzania, wysyłania i odbierania korespondencji elektronicznej,
Rozdz. XX SWZ - Opis sposobu przygotowywania oferty, Rozdz. XXIII - Sposób oraz termin składania ofert, Rozdz. XXIV - Termin otwarcia ofert.

1. Przedmiotem zamówienia jest usługa audytu zewnętrznego w zakresie Systemu Zarządzania Bezpieczeństwem Informatycznym oraz realizacji testów bezpieczeństwa dla Systemu e-KRN+, która ma na celu wsparcie Zamawiającego w odbiorze Systemu e-KRN+ realizowanego w ramach projektu „Budowa nowoczesnej platformy gromadzenia i analizy danych z Krajowego Rejestru Nowotworów oraz onkologicznych rejestrów narządowych, zintegrowanej z bazami świadczeniodawców leczących choroby onkologiczne (e-KRN+)” poprzez przygotowanie niezbędnej dokumentacji w zakresie bezpieczeństwa informatycznego oraz bezpieczeństwa danych osobowych oraz realizację testów bezpieczeństwa.
2. Szczegółowy opis przedmiotu zamówienia zawiera Załącznik nr 2 do SWZ.

O udzielenie zamówienia mogą ubiegać się Wykonawcy, którzy spełniają warunki udziału w postępowaniu dotyczące zdolności technicznej lub zawodowej.
Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, że:
4.1. w okresie ostatnich trzech lat wykonał minimum 3 usługi (zamówienia) doradcze w zakresie bezpieczeństwa systemów informatycznych lub audytu z zakresu ochrony danych osobowych a wartość każdej usługi (zamówienia) wynosiła co najmniej 40 000 zł brutto, oraz
4.2. w okresie ostatnich trzech lat wykonał minimum 3 usługi (zamówienia) w zakresie testów bezpieczeństwa systemów informatycznych w tym testów penetracyjnych a wartość każdej usługi (zamówienia) wynosiła co najmniej 40 000 zł brutto.
4.3 przedstawi, że podczas realizacji zamówienia publicznego będzie dysponował Zespołem Audytowym o kwalifikacjach zawodowych i doświadczeniu niezbędnym do wykonania zamówienia, odpowiadającym warunkom określonym poniżej:


1. Specjalista ds. bezpieczeństwa informatycznego - min. 2 osoby, każda wskazana osoba musi spełniać następujące wymagania:
- Minimum 5 lat doświadczenia zawodowego w zakresie audytów bezpieczeństwa,
- Certyfikat CISA (Certified Information Systems Auditor) lub równoważny,
Doświadczenie:
- przeprowadzenie co najmniej 3 zamówień w zakresie audytów bezpieczeństwa informacji obejmujących swoim zakresem audyt zgodności z przepisami § 20 rozporządzenia KRI lub audyt zakresu zgodności z RODO, w okresie ostatnich 5 lat przed upływem terminu składania ofert, każdy o wartości nie mniejszej niż 40 000,00 zł.

2 Specjalista ds. testów bezpieczeństwa - min. 1 osoba. Wskazana osoba musi spełniać następujące wymagania:
- minimum 5 lat doświadczenia zawodowego w zakresie testów lub audytów bezpieczeństwa
- przynajmniej dwa z niżej wymienionych certyfikatów:
a) Certified Information System Security Professional (CISSP) lub równoważny,
b) Certified Information System Auditor (CISA) lub równoważny,
c) Certified Information System Manager (CISM) lub równoważny,
d) CompTIA Advanced Security Practitioner (CASP) lub równoważny,
e) Certified Ethical Hacker (CEH) lub równoważny,
f) CyberSecurity Forensic Analyst (CSFA) lub równoważny.
Doświadczenie:
- w ciągu ostatnich 5 lat brał udział w 3 zamówieniach polegających na wykonaniu testów bezpieczeństwa i/lub audytów systemów informatycznych i/lub testów penetracyjnych, każdy z projektów o wartości nie mniejszej niż 40 000,00 zł.
Zamawiający nie dopuszcza możliwości łączenia przez jedną osobę dwóch funkcji wskazanych powyżej.
Doświadczenie Specjalistów musi wynikać z ich osobistego udziału w ww. projektach w roli analityka lub audytora lub innej równoważnej funkcji/stanowiska potwierdzającej merytoryczny udział w projekcie.

Na wezwanie Zamawiającego, Wykonawca, którego oferta została najwyżej oceniona, składa w wyznaczonym terminie, nie krótszym niż 5 dni, aktualne na dzień złożenia nw. podmiotowe środki dowodowe na potwierdzenie braku podstaw wykluczenia:
- odpisu lub informacji z Krajowego Rejestru Sądowego lub z Centralnej Ewidencji i Informacji o Działalności Gospodarczej, w zakresie art. 109 ust. 1 pkt 4 PZP, sporządzonych nie wcześniej niż 3 miesiące przed jej złożeniem, jeżeli odrębne przepisy wymagają wpisu do rejestru
lub ewidencji.

Dokumenty podmiotów zagranicznych:
Jeżeli Wykonawca ma siedzibę lub miejsce zamieszkania poza granicami Rzeczypospolitej Polskiej - zgodnie z Rozporządzeniem Ministra Rozwoju, Pracy i Technologii z dnia 23 grudnia 2020 r. w sprawie podmiotowych środków dowodowych oraz innych dokumentów lub oświadczeń, jakich może żądać zamawiający od wykonawcy (Dz. U. 2020 poz. 2415) – dalej „rozporządzenie” zamiast:
1) odpisu albo informacji z KRS lub CEiIDG, o których mowa Rozdz. XIV pkt 1.1. lit. a) – składa dokument lub dokumenty wystawione w kraju, w którym Wykonawca ma siedzibę lub miejsce zamieszkania, potwierdzające, że nie otwarto jego likwidacji, nie ogłoszono upadłości, jego aktywami nie zarządza likwidator lub sąd, nie zawarł układu z wierzycielami, jego działalność gospodarcza nie jest zawieszona ani nie znajduje się on w innej tego rodzaju sytuacji wynikającej z podobnej procedury przewidzianej w przepisach miejsca wszczęcia tej procedury
- dokumenty powinny być wystawione nie wcześniej niż 3 miesiące przed ich złożeniem.
Jeżeli w kraju, w którym Wykonawca ma siedzibę lub miejsce zamieszkania, nie wydaje się ww. dokumentów, lub gdy dokumenty te nie odnoszą się do wszystkich przypadków, o których mowa w art. 108 ust. 1 pkt 1, 2 i 4 PZP, art. 109 ust. 1 pkt 1 PZP (jeśli był wymagany) - zastępuje się je odpowiednio w całości lub w części dokumentem zawierającym odpowiednio oświadczenie Wykonawcy, ze wskazaniem osoby albo osób uprawnionych do jego reprezentacji, lub oświadczenie osoby, której dokument miał dotyczyć, złożone pod przysięgą, lub, jeżeli w kraju, w którym Wykonawca ma siedzibę lub miejsce zamieszkania nie ma przepisów o oświadczeniu pod przysięgą, złożone przed organem sądowym lub administracyjnym, notariuszem, organem samorządu zawodowego lub gospodarczego, właściwym ze względu na siedzibę lub miejsce zamieszkania Wykonawcy, z zastosowaniem określonych powyżej terminów wystawienia dokumentów.

Wymagany podmiotowy środek dowodowy:
Wykaz usług wykonanych, a w przypadku świadczeń powtarzających się lub ciągłych również wykonywanych, w okresie ostatnich 3 lat, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wraz z podaniem ich wartości, przedmiotu, dat wykonania i podmiotów, na rzecz których dostawy lub usługi zostały wykonane lub są wykonywane, oraz załączeniem dowodów określających, czy te dostawy lub usługi zostały wykonane lub są wykonywane należycie, przy czym dowodami, o których mowa, są referencje bądź inne dokumenty sporządzone przez podmiot, na rzecz którego dostawy lub usługi zostały wykonane, a w przypadku świadczeń powtarzających się lub ciągłych są wykonywane, a jeżeli Wykonawca z przyczyn niezależnych od niego nie jest w stanie uzyskać tych dokumentów – oświadczenie Wykonawcy; w przypadku świadczeń powtarzających się lub ciągłych nadal wykonywanych referencje bądź inne dokumenty potwierdzające ich należyte wykonywanie powinny być wystawione w okresie ostatnich 3 miesięcy.
Jeżeli Wykonawca powołuje się na doświadczenie w realizacji dostaw lub usług wykonywanych wspólnie z innymi Wykonawcami, ww. wykaz dotyczy dostaw lub usług, w których wykonywaniu Wykonawca ten bezpośrednio uczestniczył, a w przypadku świadczeń powtarzających się lub ciągłych, w których wykonywaniu bezpośrednio uczestniczył lub uczestniczy.

Wymagany podmiotowy środek dowodowy:
Wykaz osób, skierowanych przez Wykonawcę do realizacji zamówienia publicznego,
w szczególności odpowiedzialnych za świadczenie usług, kontrolę jakości lub kierowanie robotami budowlanymi, wraz z informacjami na temat ich kwalifikacji zawodowych, uprawnień, doświadczenia i wykształcenia niezbędnych do wykonania zamówienia publicznego, a także zakresu wykonywanych przez nie czynności oraz informacją o podstawie do dysponowania tymi osobami.
W odniesieniu do warunków dotyczących wykształcenia, kwalifikacji zawodowych lub doświadczenia wykonawcy wspólnie ubiegający się o udzielenie zamówienia mogą polegać na zdolnościach tych z wykonawców, którzy wykonają roboty budowlane lub usługi, do realizacji których te zdolności są wymagane.