Przygotowanie i wdrożenie dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) dla Urzędu Miejskiego Gminy Rawicz oraz jednostek podległych.

Przedmiotem zamówienia jest zakup i dostawa sprzętu informatycznego i oprogramowania w ramach zadania „Wzmocnienie systemów cyberbezpieczeństwa w Gminie Rawicz” w ramach projektu Cyberbezpieczny Samorząd zgodnie z zakresem i zapisami wynikającymi z niniejszej SWZ wraz z załącznikami. Szczegółowy opis realizowanych w ramach zamówienia czynności związanych z wykonaniem analizy dokumentacji związanej z bezpieczeństwem informacji obowiązującej u Zamawiającego, która pozwoli na określenie potrzeb związanych z koniecznością dostosowania dokumentacji (punkt numer 1):
1. W ramach wykonywanych prac Wykonawca przeprowadzi kompleksową weryfikację dokumentacji posiadanej przez Zamawiającego w celu stwierdzenia zasadności pozostawienia wybranych elementów dokumentacji i wykonania ich aktualizacji.
2. W ramach wykonanej weryfikacji Wykonawca sporządzi raport dokumentujący rezultaty wykonanej analizy, który będzie zawierał porównanie obecnie posiadanej dokumentacji, zasobów ludzkich procesów i systemów (IT/OT) przez Zamawiającego z oczekiwaniami sformułowanymi w ramach zamówienia.
3. Wykonawca w ramach realizacji procesu przeprowadzi kompleksową analizę aktywów posiadanych przez Zamawiającego, które przedstawi do zatwierdzenia Zamawiającemu w raporcie. Aktywa staną się podstawą opracowywania dokumentacji systemu zarządzania bezpieczeństwem informacji.
4. Wykonawca zobowiązany jest do przygotowania pełnego systemu szacowania ryzyka związanego z bezpieczeństwem informacji, zgodnego z wymaganiami normy ISO/IEC 27001:2022 oraz – opcjonalnie – z wytycznymi ISO/IEC 27005:2022. W szczególności wykonawca powinien:
Opracować i wdrożyć metodykę szacowania ryzyka, zawierającą:
- opis etapu identyfikacji, analizy i oceny ryzyka adekwatny do specyfiki urzędu,
- zdefiniowane kryteria wpływu, prawdopodobieństwa i poziomu ryzyka,
- opis skali ocen i sposobu kwalifikowania ryzyk (akceptowalne / nieakceptowalne),
- zgodność i spójność podejścia w całej organizacji.
Przygotować komplet formularzy i narzędzi, w tym:
- arkusze oceny ryzyka,
- szablony rejestrów ryzyk,
- wzór raportu z oceny ryzyka,
- instrukcję dla właścicieli ryzyk.
Przeprowadzić nadzorowaną ocenę ryzyka, obejmującą:
- wsparcie w identyfikacji zasobów i zagrożeń,
- nadzorowanie analizy ryzyka przeprowadzanej przez wyznaczone osoby (z udziałem Zamawiającego),
- pomoc w dokumentowaniu wyników i zatwierdzeniu oceny ryzyka.
Przygotować harmonogramy i warunki ponownych ocen ryzyka, w tym:
- określenie częstotliwości ocen (np. corocznie lub po zmianach),
- wskazanie sytuacji wyzwalających (np. zmiany systemowe, incydenty, nowe usługi).
Wskazać osoby odpowiedzialne za proces, w tym:
- pełnomocnika SZBI,
- właścicieli ryzyk,
- zapewnienie jasnych wytycznych co do ich ról i odpowiedzialności.
Stworzyć rejestr ocen ryzyka, zawierający:
- identyfikatory aktywów i zagrożeń,
- daty ocen i osób przeprowadzających,
- poziomy ryzyka i decyzje (zaakceptowano / zredukowano / uniknięto),
- historię działań wynikających z ryzyka,
- status aktualności i przeglądów.
Wskazać i opisać środki ochronne wynikające z oceny ryzyka, w tym:
- działania techniczne (np. szyfrowanie, backupy),
- działania organizacyjne (np. aktualizacja procedur, zmiana uprawnień),
- formułowanie planu postępowania z ryzykiem (z klauzuli 6.1.3),
- ustalenie środków ochronnych we współpracy z Zamawiającym.

Szczegółowy opis realizowanych w ramach zamówienia czynności związanych z przedstawieniem Zamawiającemu raportu dokumentującego rezultaty wykonanej analizy (punkt numer 2):
1. Wykonawca opracuje raport zgodnie z wymaganiami określonymi w ramach punktu 1 niniejszego zamówienia, który będzie miał formę pisemną oraz odwoływał się do wybranych punktów norm.
2. Raport zostanie omówiony w siedzibie Zamawiającego, przy czym przewiduje się jedynie możliwość zorganizowania spotkania stacjonarnego, w którym ze strony Wykonawcy wezmą udział osoby wskazane w wykazie osób stanowiącym załącznik do zamówienia.
3. Wykonawca jest zobowiązany do udokumentowania spotkania oraz zgłaszanych uwag Zamawiającego w formie załącznika do raportu, a następnie wykorzystania w ramach opracowywania dokumentacji systemu zarządzania bezpieczeństwem informacji.

Szczegółowy opis realizowanych w ramach zamówienia czynności związanych z wdrożeniem dokumentacji systemu zarządzania bezpieczeństwem informacji (punkt numer 3):
1. W ramach wykonywanych prac Wykonawca zapewni zgodność dokumentacji z poniższymi wymaganiami:
a. rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych;
b. ustawa z dnia z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa wraz z nowelizacjami ustawy, które zostaną dokonane w czasie realizacji zamówienia;
c. rozporządzenie Parlamentu Europejskiego I Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych);
d. wymagania norm ISO 27001, a w szczególności PN-EN ISO/IEC 27001, PN-ISO/IEC 27002, PN-ISO-27005 i w oparciu o główne założenia norm ISO 31000 w zakresie zarządzania ryzykiem oraz PN-EN ISO 22301 w zakresie ciągłości działania;
e. wymagania regulaminu konkursu grantowego oraz umowy o powierzenie grantu zawartej w ramach projektu „Cyberbezpieczny Samorząd”.