„Opracowanie dokumentacji cyberbezpieczeństwa w ramach projektu pn.: "Rozwój i rozbudowa e-usług oraz wzmocnienie cyberbezpieczeństwa” (...)

1. O udzielenie zamówienia mogą ubiegać się wykonawcy, którzy spełniają niżej określone warunki udziału w postępowaniu: 1.1. w zakresie zdolności technicznej lub zawodowej Zamawiający określa minimalne poziomy zdolności dotyczące: 1.1.1. niezbędnego doświadczenia wykonawcy, umożliwiającego realizację zamówienia na odpowiednim poziomie jakości: 1.1.1.1. Wykonanie co najmniej 2 audytów na kwotę co najmniej 150 000,00 zł każdy (dla usług rozliczanych w innych walutach niż PLN równowartość co najmniej 150 000,00 PLN według średniego kursu NBP na dzień zawarcia umowy) w okresie ostatnich 3 lat, licząc wstecz od dnia, w którym upływa termin składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie obejmujących jednoczesne spełnianie wymagań: a) ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) z 5 lipca 2018 oraz rozporządzeń wydanych do w/w Ustawy; b) rozporządzenia Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych; c) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO) oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych; d) normy ISO 27001 w zakresie zarządzania bezpieczeństwem informacji; e) normy ISO 22301, w zakresie zarządzania ciągłością działania. 1.1.1.2 Wykonanie co najmniej 2 dokumentacji cyberbezpieczeństwa na kwotę co najmniej 110 000,00 zł każda (dla usług rozliczanych w innych walutach niż PLN równowartość co najmniej 110 000,00 PLN według średniego kursu NBP na dzień zawarcia umowy) w okresie ostatnich 3 lat, licząc wstecz od dnia, w którym upływa termin składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, w zakresie: a) dokumentacji systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO 27001, b) dokumentacji systemu zarządzania ciągłością działania zgodnego z normą ISO 22301, c) procedur dla zespołu SOC lub CSIRT, d) dokumentacji dla operatorów usług kluczowych wymaganej przez ustawę o Krajowym Systemie Cyberbezpieczeństwa (KSC) z 5 lipca 2018 oraz rozporządzenia wydane do w/w Ustawy. 1.1.2 niezbędnych kwalifikacji zawodowych i doświadczenia osób skierowanych przez wykonawcę do realizacji zamówienia, umożliwiające realizację za mówienia na odpowiednim poziomie jakości: 1.1.2.1. Dysponowanie zespołem projektowym w którego skład wchodzą co najmniej 3 osoby. Zespół łącznie musi posiadać wszystkie niżej wymienione certyfikaty oraz odpowiednie doświadczenie praktyczne. Każda ze wskazanych osób musi posiadać co najmniej jeden z poniższych certyfikatów: 1.1.2.1.1. osoba posiadająca: ◦ aktualny certyfikat audytora wiodącego ISO/IEC 27001 lub certyfikat równoważny, wystawiony przez jednostkę certyfikującą akredytowaną przez Polskie Centrum Akredytacji (PCA) lub inne równoważne krajowe jednostki akredytujące będące członkami Europejskiej Współpracy w Dziedzinie Akredytacji (EA) lub posiadające podpisane porozumienia MLA/MRA z EA. Przez „certyfikat równoważny” Zamawiający rozumie certyfikat wydany przez podmiot spełniający ww. kryteria akredytacyjne, który potwierdza kwalifikacje w zakresie prowadzenia audytów zgodnych z wymaganiami normy ISO/IEC 27001 lub innej normy dotyczącej systemów zarządzania bezpieczeństwem informacji, posiadającej analogiczne cele, strukturę i wymagania. ◦ doświadczenie w minimum 3 przeprowadzonych audytach jako audytor wiodący. 1.1.2.1.2. osoba posiadająca - aktualny certyfikat audytora ISO 22301 lub certyfikat równoważny, wystawiony przez jednostkę certyfikującą akredytowaną przez Polskie Centrum Akredytacji (PCA) lub przez inną jednostkę certyfikującą akredytowaną przez krajową jednostkę akredytującą będącą członkiem Europejskiej Współpracy w Dziedzinie Akredytacji (EA) lub posiadającą podpisane porozumienie o wzajemnym uznawaniu (MLA/MRA) z EA. Przez „certyfikat równoważny” Zamawiający rozumie certyfikat wydany przez jednostkę spełniającą ww. kryteria akredytacyjne, który potwierdza kwalifikacje audytora w zakresie prowadzenia audytów zgodnych z wymaganiami normy posiadającej cele, strukturę oraz zakres zbieżny z normą ISO 22301, tj. normą dotyczącą systemu zarządzania ciągłością działania (Business Continuity Management System – BCMS). - doświadczenie w minimum 3 przeprowadzonych audytach jako audytor. 1.1.2.1.3. osoba posiadająca aktualny certyfikat CISSP (Certified Information Systems Security Professional) lub certyfikat równoważny. Przez „certyfikat równoważny” Zamawiający rozumie certyfikat, który jest analogiczny co do zakresu do certyfikatu CISSP, co oznacza, że: • dotyczy analogicznej dziedziny merytorycznej, związanej z bezpieczeństwem informacji i cyberbezpieczeństwem, • odpowiada analogicznemu poziomowi kompetencji, • wymaga analogicznego poziomu doświadczenia zawodowego do jego uzyskania, • jego uzyskanie jest potwierdzone zdanym egzaminem - doświadczenie – udział w co najmniej 3 projektach obejmujących audyt bezpieczeństwa, ocenę ryzyka lub testy zgodności, w których pełniła rolę eksperta. 1.1.2.1.4. osoba posiadająca aktualny certyfikat CISA (Certified Information Systems Auditor) lub certyfikat równoważny. Przez „certyfikat równoważny” Zamawiający rozumie certyfikat, który jest analogiczny co do zakresu do certyfikatu CISA, co należy rozumieć jako spełnienie łącznie następujących kryteriów: • dotyczy analogicznej dziedziny merytorycznej, tj. audytu systemów informatycznych, nadzoru, kontroli i bezpieczeństwa informacji, • odpowiada analogicznemu poziomowi kompetencji, • wymaga analogicznego poziomu doświadczenia zawodowego do jego uzyskania, • jego uzyskanie jest potwierdzone zdanym egzaminem - doświadczenie - udział w przeprowadzeniu co najmniej 3 audytów wewnętrznych w roli audytora. Po zmianie: 1. O udzielenie zamówienia mogą ubiegać się wykonawcy, którzy spełniają niżej określone warunki udziału w postępowaniu: 1.1. w zakresie zdolności technicznej lub zawodowej Zamawiający określa minimalne poziomy zdolności dotyczące: 1.1.1. niezbędnego doświadczenia wykonawcy, umożliwiającego realizację zamówienia na odpowiednim poziomie jakości: 1.1.1.1. Wykonanie co najmniej 2 audytów na kwotę co najmniej 150 000,00 zł każdy (dla usług rozliczanych w innych walutach niż PLN równowartość co najmniej 150 000,00 PLN według średniego kursu NBP na dzień zawarcia umowy) w okresie ostatnich 3 lat, licząc wstecz od dnia, w którym upływa termin składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, spełniających przynajmniej jedno ze wskazanych wymagań, lecz każdy z wykazanych audytów musi zawierać inne wymaganie określone w pkt. a-e a) ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) z 5 lipca 2018 oraz rozporządzeń wydanych do w/w Ustawy; b) rozporządzenia Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych; c) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO) oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych; d) normy ISO 27001 w zakresie zarządzania bezpieczeństwem informacji; e) normy ISO 22301, w zakresie zarządzania ciągłością działania. 1.1.1.2 Wykonanie co najmniej 2 dokumentacji cyberbezpieczeństwa na kwotę co najmniej 110 000,00 zł każda (dla usług rozliczanych w innych walutach niż PLN równowartość co najmniej 110 000,00 PLN według średniego kursu NBP na dzień zawarcia umowy) w okresie ostatnich 3 lat, licząc wstecz od dnia, w którym upływa termin składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, w zakresie: a) dokumentacji systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO 27001, b) dokumentacji systemu zarządzania ciągłością działania zgodnego z normą ISO 22301, c) procedur dla zespołu SOC lub CSIRT, d) dokumentacji dla operatorów usług kluczowych wymaganej przez ustawę o Krajowym Systemie Cyberbezpieczeństwa (KSC) z 5 lipca 2018 oraz rozporządzenia wydane do w/w Ustawy. 1.1.2 niezbędnych kwalifikacji zawodowych i doświadczenia osób skierowanych przez wykonawcę do realizacji zamówienia, umożliwiające realizację za mówienia na odpowiednim poziomie jakości: 1.1.2.1. Dysponowanie zespołem projektowym w którego skład wchodzą co najmniej 3 osoby. Zespół łącznie musi posiadać wszystkie niżej wymienione certyfikaty oraz odpowiednie doświadczenie praktyczne. Każda ze wskazanych osób musi posiadać co najmniej jeden z poniższych certyfikatów: 1.1.2.1.1. osoba posiadająca: ◦ aktualny certyfikat audytora wiodącego ISO/IEC 27001 lub certyfikat równoważny, wystawiony przez jednostkę certyfikującą akredytowaną przez Polskie Centrum Akredytacji (PCA) lub inne równoważne krajowe jednostki akredytujące będące członkami Europejskiej Współpracy w Dziedzinie Akredytacji (EA) lub posiadające podpisane porozumienia MLA/MRA z EA. Przez „certyfikat równoważny” Zamawiający rozumie certyfikat wydany przez podmiot spełniający ww. kryteria akredytacyjne, który potwierdza kwalifikacje w zakresie prowadzenia audytów zgodnych z wymaganiami normy ISO/IEC 27001 lub innej normy dotyczącej systemów zarządzania bezpieczeństwem informacji, posiadającej analogiczne cele, strukturę i wymagania. ◦ doświadczenie w minimum 3 przeprowadzonych audytach jako audytor wiodący. 1.1.2.1.2. osoba posiadająca - aktualny certyfikat audytora ISO 22301 lub certyfikat równoważny, wystawiony przez jednostkę certyfikującą akredytowaną przez Polskie Centrum Akredytacji (PCA) lub przez inną jednostkę certyfikującą akredytowaną przez krajową jednostkę akredytującą będącą członkiem Europejskiej Współpracy w Dziedzinie Akredytacji (EA) lub posiadającą podpisane porozumienie o wzajemnym uznawaniu (MLA/MRA) z EA. Przez „certyfikat równoważny” Zamawiający rozumie certyfikat wydany przez jednostkę spełniającą ww. kryteria akredytacyjne, który potwierdza kwalifikacje audytora w zakresie prowadzenia audytów zgodnych z wymaganiami normy posiadającej cele, strukturę oraz zakres zbieżny z normą ISO 22301, tj. normą dotyczącą systemu zarządzania ciągłością działania (Business Continuity Management System – BCMS). - doświadczenie w minimum 3 przeprowadzonych audytach jako audytor. 1.1.2.1.3. osoba posiadająca aktualny certyfikat CISSP (Certified Information Systems Security Professional) lub certyfikat równoważny. Przez „certyfikat równoważny” Zamawiający rozumie certyfikat, który jest analogiczny co do zakresu do certyfikatu CISSP, co oznacza, że: • dotyczy analogicznej dziedziny merytorycznej, związanej z bezpieczeństwem informacji i cyberbezpieczeństwem, • odpowiada analogicznemu poziomowi kompetencji, • wymaga analogicznego poziomu doświadczenia zawodowego do jego uzyskania, • jego uzyskanie jest potwierdzone zdanym egzaminem - doświadczenie – udział w co najmniej 3 projektach obejmujących audyt bezpieczeństwa, ocenę ryzyka lub testy zgodności, w których pełniła rolę eksperta. 1.1.2.1.4. osoba posiadająca aktualny certyfikat CISA (Certified Information Systems Auditor) lub certyfikat równoważny. Przez „certyfikat równoważny” Zamawiający rozumie certyfikat, który jest analogiczny co do zakresu do certyfikatu CISA, co należy rozumieć jako spełnienie łącznie następujących kryteriów: • dotyczy analogicznej dziedziny merytorycznej, tj. audytu systemów informatycznych, nadzoru, kontroli i bezpieczeństwa informacji, • odpowiada analogicznemu poziomowi kompetencji, • wymaga analogicznego poziomu doświadczenia zawodowego do jego uzyskania, • jego uzyskanie jest potwierdzone zdanym egzaminem - doświadczenie - udział w przeprowadzeniu co najmniej 3 audytów wewnętrznych w roli audytora.