Nadzór nad systemem zarządzania bezpieczeństwem informacji w tym wykonywanie zadań Inspektora Ochrony Danych w MCO w Tychach oraz w publicznych szkołach i placówkach oświatowych miasta Tychy

1) Komunikacja w postępowaniu o udzielenie zamówienia odbywa się przy użyciu środków komunikacji elektronicznej, za pośrednictwem https://ezamowienia.gov.pl zwanej dalej Platformą.
2) Korzystanie z Platformy e-Zamówienia jest bezpłatne.
3) Wykonawca zamierzający wziąć udział w postępowaniu o udzielenie zamówienia publicznego,
musi posiadać konto podmiotu „Wykonawca” na Platformie e-Zamówienia określa Regulamin Platformy
e-Zamówienia, dostępny na stronie internetowej https://ezamowienia.gov.pl oraz informacje zamieszczone w zakładce „Centrum Pomocy”.
4) Przeglądanie i pobieranie publicznej treści dokumentacji postępowania nie wymaga posiadania konta
na Platformie e-Zamówienia ani logowania.
5) Sposób sporządzenia dokumentów elektronicznych lub dokumentów elektronicznych będących
kopią elektroniczną treści zapisanej w postaci papierowej (cyfrowe odwzorowania) musi być zgodny
z wymaganiami określonymi w rozporządzeniu Prezesa Rady Ministrów w sprawie wymagań
dla dokumentów elektronicznych.
6) Dokumenty elektroniczne, o których mowa w § 2 ust. 1 Rozporządzenia Prezesa Rady Ministrów w sprawie wymagań dla dokumentów elektronicznych, sporządza się w postaci elektronicznej, w formatach danych określonych w przepisach rozporządzenia Rady Ministrów w sprawie Krajowych Ram Interoperacyjności,
z uwzględnieniem rodzaju przekazywanych danych i przekazuje się jako załączniki.
7) Informacje, oświadczenia lub dokumenty, inne niż wymienione w § 2 ust. 1 rozporządzenia Prezesa Rady Ministrów w sprawie wymagań dla dokumentów elektronicznych, przekazywane w postępowaniu sporządza się w postaci elektronicznej:
• w formatach danych określonych w przepisach rozporządzenia Rady Ministrów w sprawie Krajowych Ram Interoperacyjności (i przekazuje się jako załącznik), lub
• jako tekst wpisany bezpośrednio do wiadomości przekazywanej przy użyciu środków komunikacji elektronicznej (np. w treści wiadomości e-mail lub w treści „Formularza do komunikacji”).
8) Komunikacja w postępowaniu, z wyłączeniem składania ofert, odbywa się drogą elektroniczną
za pośrednictwem formularzy do komunikacji dostępnych w zakładce „Formularze” („Formularze
do komunikacji”). Za pośrednictwem „Formularzy do komunikacji” odbywa się w szczególności przekazywanie wezwań i zawiadomień, zadawanie pytań i udzielanie odpowiedzi. Formularze
do komunikacji umożliwiają również dołączenie załącznika do przesyłanej wiadomości (przycisk „dodaj załącznik”).
9) Możliwość korzystania w postępowaniu z „Formularzy do komunikacji” w pełnym zakresie wymaga posiadania konta „Wykonawcy” na Platformie e-Zamówienia oraz zalogowania się na Platformie
e-Zamówienia. Do korzystania z „Formularzy do komunikacji” służących do zadawania pytań dotyczących treści dokumentów zamówienia wystarczające jest posiadanie tzw. konta uproszczonego na Platformie
e-Zamówienia.
10) W przypadku załączników, które są zgodnie z ustawą lub Rozporządzeniem Prezesa Rady Ministrów
w sprawie wymagań dla dokumentów elektronicznych opatrzone kwalifikowanym podpisem elektronicznym, podpisem zaufanym lub podpisem osobistym, mogą być opatrzone, zgodnie z wyborem wykonawcy/wykonawcy wspólnie ubiegającego się o udzielenie zamówienia/podmiotu udostępniającego zasoby, podpisem typu zewnętrznego lub wewnętrznego. W zależności od rodzaju podpisu i jego typu (zewnętrzny, wewnętrzny) dodaje się uprzednio podpisane dokumenty wraz z wygenerowanym plikiem podpisu (typ zewnętrzny) lub dokument z wszytym podpisem (typ wewnętrzny).
11) Wszystkie wysłane i odebrane w postępowaniu przez wykonawcę wiadomości widoczne są po zalogowaniu w podglądzie postępowania w zakładce „Komunikacja”.
12) Maksymalny rozmiar plików przesyłanych za pośrednictwem „Formularzy do komunikacji” wynosi 150 MB (wielkość ta dotyczy plików przesyłanych jako załączniki do jednego formularza).

1. „Nadzór nad systemem zarządzania bezpieczeństwem informacji w tym wykonywanie zadań Inspektora Ochrony Danych w Miejskim Centrum Oświaty w Tychach oraz w publicznych szkołach
i placówkach oświatowych miasta Tychy”.
2. Przedmiot zamówienia będzie realizowany dla rzecz Miejskiego Centrum Oświaty w Tychach (dalej MCO) oraz obsługiwanych przez MCO szkół i placówek oświatowych, dla których organem prowadzącym jest miasto Tychy, zwanych dalej łącznie Administratorem Danych.
3. Do realizacji przedmiotu zamówienia Wykonawca wyznaczy zespół składający się z co najmniej 4 osób jako
„Zespół ds. cyberbezpieczeństwa i ochrony danych osobowych”. W zespole tym Wykonawca wyznaczy
co najmniej po 1 osobę do pełnienia funkcji Inspektora Ochrony Danych we wskazanych przez Zamawiającego placówkach zgodnie z artykułem 37 ust. 3 o RODO, 1 osobę jako Pełnomocnika Systemu Zarządzania Bezpieczeństwem Informacji zgodnie z wymaganiami normy PN-ISO/IEC27001:2023, oraz 1 osobę jako osobę odpowiedzialną za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa.
4. W ramach realizacji przedmiotu zamówienia „Zespół ds. cyberbezpieczeństwa i ochrony danych osobowych” oraz wyznaczone osoby zobowiązane będą do:

4.1. Realizacji zadań określonych Rozporządzeniem 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, w szczególności art. 39 oraz innych zadań zleconych przez Administratora Danych, w tym w szczególności:

4.1.1. Zapewnienia pomocy Administratorowi Danych w zakresie tworzenia, modyfikacji i aktualizacji dokumentacji ochrony danych osobowych.
4.1.2. Opiniowania i doradztwa w zakresie procesów wewnętrznych Administratora Danych, których wprowadzenie lub zaniechanie może mieć wpływ na bezpieczeństwo danych osobowych przetwarzanych przez Administratora Danych.
4.1.3. Koordynacji procesu analizy ryzyka związanego z przetwarzaniem danych osobowych.
4.1.4. Koordynacji procesu reakcji na incydenty dotyczące ochrony danych osobowych oraz obsługa zgłaszania naruszeń do Prezesa Urzędu Ochrony Danych Osobowych.
4.1.5. Niezwłocznego przygotowywania z zachowaniem należytej staranności propozycji odpowiedzi dla osób składających zapytanie w sprawie przetwarzania ich danych osobowych.
4.1.6. Nadzorowania zasad bezpieczeństwa danych osobowych przetwarzanych
w systemach teleinformatycznych.
4.1.7. Monitorowania zmian w przepisach prawnych i interpretacji organu nadzorczego dotyczących sposobu przetwarzania i zabezpieczania danych osobowych.
4.1.8. Tworzenia wytycznych dla pracowników Administratora Danych dotyczących stosowania przepisów
o ochronie danych osobowych,
4.1.9. Współpracy z wyznaczonymi przez Administratora Danych osobami odpowiedzialnymi za IT.
4.1.10. Regularnych, co najmniej 1 raz w miesiącu wizyt w każdej z placówek objętych umową, w celu wydawania stosownych zaleceń dotyczących systemu ochrony danych osobowych i kontroli ich realizacji, a w razie potrzeby częściej.
4.1.11. Przeprowadzenie minimum raz na dwa miesiące kontroli procesu przetwarzania danych osobowych
w każdej placówce w zakresie uzgodnionym z Administratorem Danych.
4.1.12. Zapewnienie szkolenia dla wszystkich aktualnie zatrudnionych oraz nowoprzyjętych pracowników Administratora Danych z zasad przetwarzania danych osobowych za pomocą platformy
e-learningowej.
4.1.13. Przeprowadzenie szkoleń z zakresu ochrony danych osobowych dla przedstawicieli wszystkich placówek, w formie stacjonarnej, a za zgodą Zamawiającego – w formie online, nie rzadziej niż raz na kwartał, zgodnie z zapotrzebowaniem zgłaszanym przez Administratora Danych.
4.2. Przeprowadzenia minimum raz w roku kontroli treści publikowanych w BIP przez poszczególne placówki objęte umową, pod kątem zgodności z przepisami o ochronie danych osobowych.
4.3. Realizacji zadań określonych Dyrektywą Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia
14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu Cyberbezpieczeństwa
na terytorium Unii, zmieniająca rozporządzenie (UE) nr. 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS2) w zakresie zleconym przez MCO.
4.4. Realizacji zadań określonych Rozporządzeniem Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych w tym w szczególności:
4.4.1. Przeprowadzenia raz w roku audytu bezpieczeństwa teleinformatycznego na zgodność z § 19 i 20 niniejszego rozporządzenia.
4.4.2. W ramach przeprowadzanego audytu bezpieczeństwa teleinformatycznego Wykonawca zobowiązany jest do sporządzenia raportu, z którego jeden egzemplarz przekazywany jest Zamawiającemu, a drugi – placówce lub szkole, w której audyt był realizowany.

c) sytuacji ekonomicznej lub finansowej – Zamawiający uzna w/w warunek za spełniony, jeżeli Wykonawca wykaże że w okresie realizacji zamówienia posiada opłaconą polisę lub inny dokument potwierdzający, że jest ubezpieczony od odpowiedzialności cywilnej w zakresie prowadzonej działalności a w szczególności: przewidzianej w art. 39 RODO oraz działalności audytowej i doradczej w obszarze realizowanych zadań przez Wykonawcę obejmująca odpowiedzialność za jego podwykonawców i dalszych podwykonawców na kwotę nie mniejszą niż 400 000,00 złotych
(słownie: czterysta tysięcy złotych 00/100 ).
d) zdolności technicznej lub zawodowej:
 w zakresie doświadczenia
W tym zakresie Zamawiający wymaga:
i. co najmniej dwóch usług polegających na wykonaniu audytu Systemu Zarządzania Bezpieczeństwem Informacji przeprowadzone według normy PN-EN ISO/IEC 27001
w podmiotach publicznych,
ii. co najmniej dwóch usług polegających na wykonaniu audytu zgodności z Ustawą
o Krajowym Systemie Cyberbezpieczeństwa w podmiotach publicznych
iii. co najmniej 5 usług audytu zgodności z Rozporządzeniem w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych,
iv. co najmniej dwóch usług, z których każda świadczona była przez okres co najmniej
12 miesięcy na podstawie odrębnej umowy, polegających na pełnieniu funkcji/ wykonywaniu zadań Inspektora Ochrony Danych w szkołach i placówkach oświatowych lub CUW wykonującym zadania oświatowe, przy czym wartość przypadająca za wykonanie każdego z tych zamówień powinna wynosić co najmniej 150 000,00 złotych brutto,
v. co najmniej 5 usług audytu zgodności z Rozporządzeniem 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
w podmiotach publicznych
vi. co najmniej 5-letniego doświadczenia w przeprowadzaniu szkoleń z zakresu ochrony danych osobowych oraz bezpieczeństwa informacji.
Uwaga: Na podstawie § 9 ust. 3 Rozporządzenia Ministra Rozwoju, Pracy i Technologii z dnia 23 grudnia 2020 r.
w sprawie podmiotowych środków dowodowych oraz innych dokumentów lub oświadczeń, jakich może żądać zamawiający od wykonawcy (Dz. U. 2023 r., poz. 1824 z późn. zm.), jeżeli wykonawca powołuje
się na doświadczenie w realizacji robót budowlanych, dostaw lub usług, wykonywanych wspólnie z innymi wykonawcami, wykaz, o którym mowa w rozdziale II punkt 8.1 d) SWZ, dotyczy robót, usług, dostaw, w których wykonaniu wykonawca ten bezpośrednio uczestniczył.
Uwaga: Zamawiający zastrzega, że w sytuacji składania oferty przez Wykonawców wspólnie ubiegających
się o udzielenie zamówienia oraz analogicznie w sytuacji, gdy Wykonawca będzie polegał na zasobach innego podmiotu, warunek, o którym wyżej mowa, musi zostać spełniony w całości przez Wykonawcę (jednego
z Wykonawców wspólnie składającego ofertę) lub podmiot, na którego zdolności w tym zakresie powołuje
się Wykonawca – brak możliwości tzw. sumowania zasobów w zakresie doświadczenia.
 w zakresie dysponowania osobami
W tym zakresie Zamawiający wymaga:
Skierowania do realizacji przedmiotu zamówienia łącznie co najmniej 4 osób z czego:
i. co najmniej jedna osoba musi posiadać co najmniej 3 letnie doświadczenie w nadzorowaniu Systemu Zarządzania Bezpieczeństwem Informacji certyfikowanego przez jednostkę oceniającą zgodność, akredytowaną zgodnie z przepisami ustawy z dnia 13 kwietnia
2016 r. o systemach oceny zgodności i nadzoru rynku, w podmiocie publicznym
na stanowisku pełnomocnika ds. SZBI lub równorzędnym;
ii. co najmniej dwie osoby muszą posiadać uprawnienia na podstawie certyfikatów wskazanych w Rozporządzeniu Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu wydane przez jednostkę oceniającą zgodność, akredytowaną zgodnie z przepisami ustawy z dnia 13 kwietnia
2016 r. o systemach oceny zgodności i nadzoru rynku, w zakresie certyfikacji osób;
iii. co najmniej 2 osoby muszą posiadać co najmniej trzyletnią praktykę w zakresie audytu systemu bezpieczeństwa informacji;
iv. co najmniej 3 osoby muszą posiadać: wykształcenie wyższe z zakresu ochrony danych osobowych lub wykształcenie wyższe dowolne oraz studia podyplomowe z zakresu ochrony danych osobowych, oraz wykształcenie wyższe prawnicze lub wykształcenie wyższe dowolne i studia podyplomowe z zakresu prawa, a także - co najmniej roczne doświadczenie trenera prowadzącego szkolenia z zakresu ochrony danych osobowych
i bezpieczeństwa informacji i co najmniej 3-letnie doświadczenie na stanowisku związanym z ochroną danych osobowych w jednym podmiocie tj. jednostce oświatowej lub CUW wykonującym zadania oświatowe,
v. co najmniej 1 osoba musi posiadać: wykształcenie wyższe informatyczne lub wykształcenie wyższe dowolne oraz studia podyplomowe informatyczne, a także co najmniej 3 - letnie doświadczenie na stanowisku związanym z ochroną danych osobowych w jednym podmiocie i co najmniej roczne doświadczenie w administrowaniu siecią informatyczną
w jednym podmiocie,
vi. co najmniej 1 osoba spośród wszystkich wymienionych powyżej musi posiadać co najmniej 3-letnie doświadczenie w pełnieniu funkcji Inspektora Ochrony Danych w szkołach
i placówkach oświatowych lub CUW wykonującym zadania oświatowe,
vii. osoby wyznaczone do realizacji będą zobowiązane do bezpośredniego jego wykonywania.

8) Zamawiający przewiduje możliwość zmiany zawartej umowy w stosunku do treści wybranej oferty
w zakresie uregulowanym w art. 454-455 ustawy PZP oraz wskazanym w projekcie umowy.
9) Zmiana umowy wymaga dla swej ważności, pod rygorem nieważności, zachowania formy pisemnej.
10) Zamawiający przewiduje możliwość zmian postanowień zawartej umowy (tzw. zmiany kontraktowe
11) w oparciu o art. 455 ust. 1 pkt 1 ustawy) w stosunku do treści oferty, na podstawie której dokonano wyboru Wykonawcy, zgodnie z warunkami zawartymi w załączniku nr 3 do SWZ.
12) Zmiana umowy może także nastąpić w przypadkach, o których mowa w art. 455 ust. 1 pkt 2-4 oraz ust. 2 ustawy.
13) Zamawiający dopuszcza możliwość zmiany zawartej umowy w stosunku do treści wybranej oferty
w zakresie uregulowanym w art. 439 Pzp oraz wskazanym w projektowanych postanowieniach umowy stanowiącym załącznik nr 3 do SWZ.
14) Strony dopuszczają możliwość waloryzacji cen w drodze porozumienia stron zgodnie z art. 439 ust. 1 ustawy – Prawo Zamówień Publicznych (Dz. U. z 2024 r. poz. 1320 z późn.zm.).
15) Podstawą waloryzacji jest wzrost cen towarów i usług konsumpcyjnych (inflacja) w relacji miesiąca,
w którym złożono wniosek o waloryzację w stosunku do miesiąca, w którym zawarto umowę, ustalony według danych ogłoszonych w tabelach Głównego Urzędu Statystycznego w Biuletynie Statystycznym GUS ustalonych według wskaźników cen i usług konsumpcyjnych publikowanych miesięcznie w informacjach sygnalnych.
16) Waloryzacja powodująca zwiększenie lub zmniejszenie cen przyjętych w umowie może być dokonana
na wniosek Wykonawcy lub Zamawiającego, zgłoszony pisemnie drugiej stronie, nie wcześniej jednak niż po 6 miesiącach obowiązywania umowy.
17) Waloryzacja polega na zwiększeniu lub zmniejszeniu miesięcznego wynagrodzenia, o którym mowa w §10 ust. 1 projektowanych postanowień umowy.
18) Każda ze stron ma prawo do jednokrotnej waloryzacji na swoją korzyść.
19) Nowa wartość umowy będzie obowiązywała od daty wskazanej na aneksie do umowy, ale nie wcześniejszej niż dzień złożenia wniosku,
20) Maksymalny wzrost wartości umowy nie może przekroczyć 10% łącznego wynagrodzenia, o którym mowa w §10 ust. 2 projektowanych postanowień umowy.