Wdrożenie zintegrowanej architektury odporności IT i OT wraz z przygotowaniem kompetencyjnym i organizacyjnym Zamawiającego na cyberataki.

3.2. Działając na podstawie ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz. U. z 2026 r. poz. 85) i zgodnie z art. 280 ust. 3 ustawy PZP, Zamawiający wyłącza jawność części OPZ. Wyłączeniu podlegają informacje techniczne i organizacyjne dotyczące luk kompetencyjnych i organizacyjnych, potrzeb Zamawiającego w zakresie cyberbezpieczeństwa, systemów teleinformatycznych oraz stosowanych mechanizmów zabezpieczeń, które stanowią tajemnicę i których ujawnienie mogłoby prowadzić do zwiększenia ryzyka naruszenia cyberbezpieczeństwa, w szczególności poprzez umożliwienie identyfikacji architektury systemów lub potencjalnych podatności, czy technik i taktyk zabezpieczenia infrastruktury. Zakres wyłączenia jawności został ograniczony do informacji niezbędnych do ochrony bezpieczeństwa, w tym systemów teleinformatycznych i nie narusza zasad uczciwej konkurencji, ani równego traktowania wykonawców, zapewniając jednocześnie wykonawcom dostęp do informacji koniecznych do przygotowania ofert. Przedmiot zamówienia obejmuje spójny model bezpieczeństwa łączący rozwiązania techniczne, organizacyjne i kompetencyjne. Choć poszczególne elementy mogą mieć charakter ogólny, ich łączne zestawienie oraz odniesienie do rzeczywistego środowiska Zamawiającego prowadzi do ujawnienia całościowej architektury bezpieczeństwa. Ujawnienie takiego skonsolidowanego obrazu mogłoby umożliwić osobom nieuprawnionym identyfikację architektury bezpieczeństwa, sposobów reagowania na incydenty, zależności pomiędzy systemami oraz potencjalnych słabości, co w konsekwencji zwiększa ryzyko skutecznego ataku. Zgodnie z podejściem opartym o MITRE ATT&CK, wiedza o mechanizmach ochrony, procedurach organizacyjnych oraz zrachowaniach użytkowników może być wykorzystana na różnych etapach łańcucha ataku, w tym w fazie przygotowania, rozpoznania oraz eskalacji dostępu. Zamawiający podkreśla, że przedmiot zamówienia dotyczy systemów mających znaczenie dla zapewnienia ciągłości świadczenia usług publicznych, a jego celem jest osiągnięcie realnego, operacyjnego poziomu odporności na cyberzagrożenia. Wyłączenie jawności zostało zastosowane jako środek proporcjonalny, mający na celu ochronę bezpieczeństwa Zamawiającego, przy jednoczesnym zapewnieniu wykonawcom dostępu do pełnej dokumentacji na równych zasadach, po spełnieniu wymogów poufności.
Część niejawna OPZ, stanowiąca Załącznik nr 2 do SWZ, zostanie udostępniona Wykonawcy, który złoży stosowny wniosek wraz z oświadczeniem o zachowaniu poufności, którego wzór stanowi Załącznik nr 3 do SWZ, na zasadach określonych poniżej.
Termin na złożenie wniosku upływa 4 dni przed wyznaczonym dniem składania ofert. Wnioski złożone po tym terminie Zamawiający może pozostawić bez rozpoznania.
Wniosek o udostępnienie części niejawnej OPZ może złożyć wyłącznie Wykonawca, który wykaże stosowanie środków organizacyjnych i technicznych zapewniających ochronę informacji poufnych. Zamawiający uzna za spełnienie powyższego warunku w szczególności posiadanie wdrożonego systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO/IEC 27001 lub równoważną, potwierdzonego certyfikatem wydanym przez akredytowaną jednostkę certyfikującą albo posiadanie ważnego świadectwa bezpieczeństwa przemysłowego dowolnego stopnia lub inny dokument wydany przez niezależne jednostki potwierdzający stosowanie środków organizacyjnych i technicznych zapewniających ochronę informacji dla dowolnej branży np. ważnego certyfikatu TISAX (poziom minimum AL2) lub aktualnego raportu z audytu SOC 2 Type II. Wykonawca dołącza potwierdzony za zgodność z oryginałem certyfikat/dokument potwierdzający jako załącznik do wniosku
3.7. Wniosek wraz z oświadczeniem o zachowaniu poufności podpisuje osoba uprawniona do reprezentacji Wykonawcy albo należycie umocowany pełnomocnik. W przypadku działania przez pełnomocnika do wniosku należy dołączyć stosowne pełnomocnictwo.

Komunikacja między Zamawiającym a Wykonawcami, w tym przekazywanie wszelkich oświadczeń, wniosków, zawiadomień oraz wymiana informacji odbywa się przy użyciu Platformy e-Zamówienia, zwanej dalej „Platformą”, która jest dostępna pod adresem: https://ezamowienia.gov.pl
11.2. Korzystanie z Platformy jest bezpłatne.
11.3. Przeglądanie i pobieranie publicznej treści dokumentacji postępowania nie wymaga posiadania konta na Platformie ani logowania.
11.4. Wykonawca zamierzający wziąć udział w postępowaniu o udzielenie zamówienia publicznego musi posiadać konto podmiotu „Wykonawca” na Platformie. Szczegółowe informacje na temat zakładania kont podmiotów oraz zasady i warunki korzystania z platformy określa Regulamin Platformy e-Zamówienia, dostępny na stronie internetowej https://ezamowienia.gov.pl oraz informacje zamieszczone w zakładce „Centrum Pomocy”.

Komunikacja w postępowaniu, z wyłączeniem składania ofert, odbywa się drogą elektroniczną za pośrednictwem formularzy do komunikacji dostępnych w zakładce „Formularze” („Formularze do komunikacji”). Za pośrednictwem „Formularzy do komunikacji” odbywa się w szczególności przekazywanie wezwań i zawiadomień, zadawanie pytań i udzielanie odpowiedzi. Formularze do komunikacji umożliwiają również dołączenie załącznika do przesyłanej wiadomości (przycisk „dodaj załącznik”).
Możliwość korzystania w postępowaniu z „Formularzy do komunikacji” w pełnym zakresie wymaga posiadania konta „Wykonawcy” na Platformie oraz zalogowania się na Platformie. Do korzystania z „Formularzy do komunikacji” służących do zadawania pytań dotyczących treści dokumentów zamówienia wystarczające jest posiadanie tzw. konta uproszczonego na Platformie.
Sposób sporządzenia dokumentów elektronicznych, oświadczeń lub elektronicznych kopii dokumentów lub oświadczeń musi być zgodny z wymaganiami określonymi w rozporządzeniu Prezesa Rady Ministrów z dnia 30 grudnia 2020 r. w sprawie sposobu sporządzania i przekazywania informacji oraz wymagań technicznych dla dokumentów elektronicznych oraz środków komunikacji elektronicznej w postępowaniu o udzielenie zamówienia publicznego lub konkursie (Dz. U. z 2020 r., poz. 2452) oraz w rozporządzeniu Ministra Rozwoju, Pracy i Technologii z dnia 23 grudnia 2020 r. w sprawie podmiotowych środków dowodowych oraz innych dokumentów lub oświadczeń, jakich może żądać zamawiający od wykonawcy (Dz. U. z 2020 r., poz. 2415). Wszystkie wysłane i odebrane w postępowaniu przez Wykonawcę wiadomości widoczne są po zalogowaniu w podglądzie postępowania w zakładce „Komunikacja”. Za datę przekazania oferty, oświadczenia, o którym mowa w art. 125 ust.1 Pzp, podmiotowych środków dowodowych oraz innych informacji, oświadczeń lub dokumentów, przekazywanych w postępowaniu za pośrednictwem Platformy, przyjmuje się datę ich przekazania na Platformę. Jeżeli dokumenty elektroniczne, przekazywane przy użyciu środków komunikacji elektronicznej, zawierają informacje stanowiące tajemnicę przedsiębiorstwa w rozumieniu przepisów ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (t.j. Dz. U. z 2022 r . poz.1233) Wykonawca, w celu utrzymania w poufności tych informacji, przekazuje je w wydzielonym i odpowiednio oznaczonym pliku, wraz z jednoczesnym zaznaczeniem w nazwie pliku „Dokument stanowiący tajemnicę przedsiębiorstwa”. Maksymalny rozmiar plików przesyłanych za pośrednictwem „Formularzy do komunikacji” wynosi 150 MB (wielkość ta dotyczy plików przesyłanych jako załączniki do jednego formularza).
Minimalne wymagania techniczne dotyczące sprzętu używanego w celu korzystania z usług Platformy oraz informacje dotyczące specyfikacji połączenia określa Regulamin Platformy. W przypadku problemów technicznych i awarii związanych z funkcjonowaniem Platformy użytkownicy zobowiązani są skorzystać ze wsparcia technicznego dostępnego pod numerem telefonu (32) 77 88 999 lub drogą elektroniczną poprzez formularz udostępniony na stronie internetowej https://ezamowienia.gov.pl w zakładce „Zgłoś problem”. Dokumenty elektroniczne, o których mowa w § 2 ust. 1 rozporządzenia Prezesa Rady Ministrów w sprawie wymagań dla dokumentów elektronicznych, sporządza się w postaci elektronicznej, w formatach danych określonych w przepisach rozporządzenia Rady Ministrów w sprawie Krajowych Ram Interoperacyjności, z uwzględnieniem rodzaju przekazywanych danych i przekazuje się jako załączniki. W przypadku formatów, o których mowa w art. 66 ust. 1 ustawy Pzp, ww. regulacje nie będą miały bezpośredniego zastosowania.Informacje, oświadczenia lub dokumenty, inne niż wymienione w § 2 ust. 1 rozporządzenia Prezesa Rady Ministrów w sprawie wymagań dla dokumentów elektronicznych, przekazywane w postępowaniu sporządza się w postaci elektronicznej: w formatach danych określonych w przepisach rozporządzenia Rady Ministrów w sprawie Krajowych Ram Interoperacyjności.

Przedmiotem zamówienia jest kompleksowa realizacja zadań mających na celu zwiększenie cyberbezpieczeństwa Zamawiającego w ramach Projektu grantowego w przedsięwzięciu pn. „Cyberbezpieczne wodociągi”.
1.2. W ramach Przedmiotu zamówienia Zamawiający przewiduje realizację zadań we wskazanych poniżej obszarach1:
1.2.1. obszar organizacyjny, który obejmuje wszelkie aspekty organizacyjne bezpieczeństwa systemów teleinformatycznych IT i OT, tj. audyt bezpieczeństwa, audyt zgodności z przepisami i normami, opracowanie, wdrożenie, utrzymanie i aktualizacja systemu zarządzania bezpieczeństwem informacji, systemu zarządzania bezpieczeństwem systemu teleinformatycznego IT/OT, systemu zarządzania ciągłością działania systemu teleinformatycznego IT/OT;
1.2.2. obszar kompetencyjny, który obejmuje wszelkie działania podnoszące świadomość, wiedzę i umiejętności na poziomie podstawowym, kierowniczym i specjalistycznym w zakresie cyberbezpieczeństwa, realizowane dla pracowników podmiotu, operatorów i administratorów systemów teleinformatycznych IT/OT, kadry kierowniczej IT/OT, kadry kierowniczej i zarządzającej podmiotu;
1.2.3. obszar techniczny IT (dotyczy obszaru funkcjonalnego IT), który obejmuje wszelkie komputerowe środki techniczne – sprzętowe i aplikacyjne – służące do zabezpieczenia i zapewnienia bezpieczeństwa komponentów środowiska teleinformatycznego IT, tj.: stacje robocze, serwery, dane biznesowe, oprogramowanie biznesowe, systemy pamięci masowej, urządzenia sieciowe środowisko sieciowe IT;
1.2.4. obszar techniczny OT (dotyczy obszaru funkcjonalnego OT), który obejmuje wszelkie komputerowe środki techniczne i wybrane elektrotechniczne środki techniczne – sprzętowe i aplikacyjne – służące do zabezpieczenia i zapewnienia bezpieczeństwa w zakresie zbiorowego zaopatrzenia w wodę i zbiorowego odprowadzania ścieków, tj. komponentów środowiska teleinformatycznego OT/ICS/IIoT i środowiska IT obszaru przemysłowego OT, w tym: stacje robocze, serwery, dane systemów IT/OT/ICS/IIoT, systemy IT/OT/ICS/IIoT, oprogramowanie IT/OT/ICS/IIoT, urządzenia sieciowe i środowisko sieciowe IT/OT/ICS/IIoT oraz obejmuje rozwiązania zabezpieczenia systemów bezpieczeństwa wizyjnego, fizycznego i technicznego.

48820000-2 - Serwery

32420000-3 - Urządzenia sieciowe

30233000-1 - Urządzenia do przechowywania i odczytu danych

72810000-1 - Usługi audytu komputerowego

80533100-0 - Usługi szkolenia komputerowego

30200000-1 - Urządzenia komputerowe

72265000-0 - Usługi konfiguracji oprogramowania

80510000-2 - Usługi szkolenia specjalistycznego

Zdolność techniczna lub zawodowa
Ocena spełniania warunków udziału w postępowaniu będzie dokonana na zasadzie spełnia/nie spełnia.
6.2.2.1 Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, że w okresie ostatnich 5 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wykonał należycie lub wykonuje:
6.2.2.1.1. co najmniej jedną usługę obejmującą wdrożenie i konfigurację rozwiązań technicznych z zakresu cyberbezpieczeństwa, w szczególności takich jak ochrona stacji roboczych, serwerów, sieci, aplikacji lub monitorowanie bezpieczeństwa z uwzględnieniem obszaru organizacyjnego oraz szkoleń dla pracowników usługobiorcy,o wartości nie mniejszej niż 200 000,00 PLN brutto, oraz
6.2.2.1.2co najmniej jedną usługę obejmującą podniesienie poziomu zabezpieczenia infrastruktury technicznej i oprogramowania, realizowaną w obszarze infrastruktury przemysłowej wodociągowo-kanalizacyjnej OT lub innej infrastruktury OT rozproszonej sieciowej np. gazowej, energetycznej o wartości nie mniejszej niż 200 000,00 PLN brutto.

6.2.2.2. Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, że dysponuje lub będzie dysponował zespołem osób zdolnych do realizacji zamówienia, w skład którego wchodzą co najmniej:
6.2.2.2.1 Koordynator/Kierownik projektu:
a) posiadający minimum 3 lata doświadczenia zawodowego w realizacji lub koordynacji usług informatycznych lub bezpieczeństwa,
b)posiadający kwalifikacje w zakresie zarządzania projektami potwierdzone certyfikatem (np. PRINCE2 Practitioner lub AgilePM Practitioner lub równoważny, przy czym za certyfikat równoważny Zamawiający uzna np.: certyfikaty przyznawane przez Project Management Institute (PMI), co najmniej na poziomie Project Management Professional (PMP) lub certyfikaty nadawane przez International Project Management Association (IPMA), co najmniej na poziomie C),
c) brał udział w roli Kierownika projektu w co najmniej 2 zakończonych sukcesem projektach informatycznych o wartości nie mniejszej niż 200 000,00 PLN brutto każdy.
6.2.2.2.2.Specjalista ds. cyberbezpieczeństwa IT:
a) posiadający wykształcenie wyższe techniczne na kierunku informatyka, automatyka, telekomunikacja lub pokrewnym;
b) posiadający minimum 3 lata doświadczenia zawodowego w zakresie wdrażania, utrzymania lub konfiguracji technicznych środków bezpieczeństwa systemów teleinformatycznych;
c) który brał udział w co najmniej 2 zakończonych sukcesem projektach informatycznych polegających na dostawie, wykonaniu i wdrożeniu systemów bezpieczeństwa o wartości nie mniejszej niż 200 000,00 PLN brutto każdy.
6.2.2.2.3.Specjalista ds. cyberbezpieczeństwa OT/ICS:
a) posiadający wykształcenie wyższe techniczne na kierunku informatyka, automatyka, telekomunikacja lub pokrewnym;
b) posiadający co najmniej 3 lat doświadczenia zawodowego w obszarze cyberbezpieczeństwa, w tym minimum 2 lata w środowiskach OT / ICS (Industrial Control Systems);
c) który brał praktyczny udział w co najmniej 2 zakończonych sukcesem projektach dotyczących cyberbezpieczeństwa lub bezpieczeństwa infrastruktury OT, obejmujących np. wdrożenie mechanizmów ochronnych, segmentację sieci, systemy monitorowania bezpieczeństwa, zarządzanie tożsamością lub dostępem o wartości nie mniejszej niż 200 000,00 PLN brutto każdy.
6.2.2.3 Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, że posiada wdrożony i funkcjonujący system zarządzania bezpieczeństwem informacji zgodny z normą ISO/IEC 27001 w najnowszym brzmieniu lub równoważną (jako równoważną należy rozumieć międzynarodową normę/wytyczne pokrywające zakresem merytorycznym wskazaną normę), potwierdzony certyfikatem wydanym przez jednostkę akredytowaną w rozumieniu ustawy o systemie oceny zgodności lub przepisy europejskie dotyczące oceny zgodności i wzajemnego uznawania certyfikatów wystawionych przez jednostki akredytowane na terenie Unii Europejskiej.

Wykonawcy mogą wspólnie ubiegać się o udzielenie zamówienia. W takim przypadku Wykonawcy zobowiązani są do ustanowienia pełnomocnika do reprezentowania ich w postępowaniu o udzielenie zamówienia albo do reprezentowania w postępowaniu i zawarcia umowy w sprawie zamówienia publicznego.
Pełnomocnictwo należy dołączyć do oferty i powinno ono zawierać w szczególności wskazanie:
1) postępowania o udzielenie zamówienie publicznego, którego dotyczy;
2) wszystkich Wykonawców ubiegających się wspólnie o udzielenie zamówienia;
3) ustanowionego pełnomocnika oraz zakresu jego umocowania.
W przypadku wspólnego ubiegania się o zamówienie przez Wykonawców, dokument ” Oświadczenia o niepodleganiu wykluczeniu oraz spełnianiu warunków udziału”, o którym mowa w pkt. 8.1 SWZ, składa każdy z Wykonawców wspólnie ubiegających się o zamówienie. Oświadczenia te potwierdzają brak podstaw wykluczenia i spełnianie warunków udziału