Dostawa i wdrożenie sprzętu informatycznego w ramach zadania: Kompleksowe wzmocnienie odporności Zakładu Gospodarki Komunalnej sp. z o.o. w Miłosławiu na cyberzagrożenia

Konkurs grantowy „Cyberbezpieczny Wodociąg" (pn. „Kompleksowe wzmocnienie odporności Zakładu Gospodarki Komunalnej sp. z o.o. w Miłosławiu na cyberzagrożenia”), finans. ze środ. Krajowego Planu Odbudowy i Zwiększania Odporności (KPO) oraz prog. Fundusze Europ. na Rozwój Cyfrowy 2021-2027 (FERC), Priorytet II: Zaawansowane usługi cyfrowe, Dział. 2.2 - Wzmocnienie kraj. systemu cyberbezpieczeństwa.

Ofertę, oświadczenie, o którym mowa w art. 125 ust. 1 ustawy Pzp, podmiotowe środki dowodowe, przedmiotowe środki dowodowe (jeżeli dotyczy) oraz pełnomocnictwa sporządza się w postaci elektronicznej, w ogólnie dostępnych formatach danych. Zamawiający rekomenduje wykorzystanie formatów: .pdf, .doc, .docx, .xls, .jpg, ze szczególnym wskazaniem na format .pdf. Ofertę, a wraz z nią załączone dokumenty i oświadczenia, składa się pod rygorem nieważności w formie elektronicznej (opatrzone kwalifikowanym podpisem elektronicznym) lub w postaci elektronicznej opatrzonej podpisem zaufanym lub podpisem osobistym.
Szczegóły zostały opisane w rozdziale 6 Informacje o środkach komunikacji elektronicznej.

Serwer fizyczny 1 szt.
Macierz dyskowa 2 szt.
Oprogramowanie antywirusowe z XDR 1 szt.
UTM 2 szt.
Access Point 6 szt.
Zarządzalne urządzenia
Sieciowe - Przełącznik dostępowy 24 porty 4 szt.
Stacja robocza fizyczna z rolą stacji przesiadkowej 1 szt.
Oprogramowanie do inwentaryzacji aktywów teleinformatycznych 1 szt.
Usługa kopii zapasowych w chmurze obliczeniowej IT/OT/ICS 1 szt.
UPS 2KVA 2 szt.
UPS 5KVA 3 szt.
Szafa Rack 1 szt.
Oprogramowanie SIEM wraz z wdrożeniem 1 szt.
Oprogramowanie do monitorowania infrastruktury wraz z wdrożeniem 1 szt.
Wdrożenie urządzeń/oprogramowania/rozwiązania z zakresu bezpieczeństwa. 1 szt.
Zgodnie z opisem przedmiotu zamówienia dla Części I (zał. nr 1b do SWZ)

48761000-0 - Pakiety oprogramowania antywirusowego

48822000-6 - Serwery komputerowe

32425000-8 - Sieciowy system operacyjny

32424000-1 - Infrastruktura sieciowa

31154000-0 - Bezprzestojowe źródła energii

48820000-2 - Serwery

32420000-3 - Urządzenia sieciowe

48730000-4 - Pakiety oprogramowania zabezpieczającego

72000000-5 - Usługi informatyczne: konsultacyjne, opracowywania oprogramowania, internetowe i wsparcia

1 U25. Audyt SZBI, audyt SZCD, audyt zgodności KRI/uoKSC przez wykwalifikowanych audytorów, audyt (re)certyfikacji SZBI, SZCD na zgodność z normami IT/OT/ICS – Audyt SZBI
2 U25. Audyt SZBI, audyt SZCD, audyt zgodności KRI/uoKSC przez wykwalifikowanych audytorów, audyt (re)certyfikacji SZBI, SZCD na zgodność z normami IT/OT/ICS – Przeprowadzenie audytu zerowego zgodności z wymaganiami NIS2 UKSC – Raport zaawansowany
3 U20. Opracowanie, wdrożenie, przegląd, aktualizacja Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) – Opracowanie Systemu Zarządzania Bezpieczeństwem Informacji
4 U20. Opracowanie, wdrożenie, przegląd, aktualizacja Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) – Wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji
5 U21. Utrzymanie, zarządzanie i doskonalenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) – Przeprowadzenie działań monitorujących w SZBI, w tym przegląd kierownictwa, działania korygujące
6 U25. Audyt SZBI, audyt SZCD, audyt zgodności KRI/uoKSC przez wykwalifikowanych audytorów, audyt (re)certyfikacji SZBI, SZCD na zgodność z normami IT/OT/ICS – Audyt KRI
7 U26. Szkolenia z zakresu cyberbezpieczeństwa – podstawowe szkolenia budujące świadomość cyberzagrożeń i sposobów ochrony dla pracowników IT/OT/ICS – Pakiet szkoleń: Bezpieczny pracownik – podstawy cyberbezpieczeństwa (internet/e mail, hasła/MFA, mobilność/praca zdalna, bezpieczna komunikacja elektroniczna)
8 U27. Szkolenia z zakresu cyberbezpieczeństwa – szkolenia dla kadry, istotne z punktu widzenia wdrażanej polityki bezpieczeństwa informacji i systemu zarządzania bezpieczeństwem informacji IT/OT/ICS – Szkolenie: Dyrektywa NIS2 i KSC w praktyce
9 U27. Szkolenia z zakresu cyberbezpieczeństwa – szkolenia dla kadry, istotne z punktu widzenia wdrażanej polityki bezpieczeństwa informacji i systemu zarządzania bezpieczeństwem informacji IT/OT/ICS – Szkolenie: Zarządzanie ryzykiem i ciągłością działania (BCM)
10 U27. Szkolenia z zakresu cyberbezpieczeństwa – szkolenia dla kadry, istotne z punktu widzenia wdrażanej polityki bezpieczeństwa informacji i systemu zarządzania bezpieczeństwem informacji IT/OT/ICS – Szkolenie: Polityki i procedury cyberbezpieczeństwa
11 U28. Szkolenia z zakresu cyberbezpieczeństwa – szkolenia specjalistyczne dla kadry zarządzającej i informatyków w zakresie zastosowanych (planowanych do zastosowania) środków bezpieczeństwa w ramach Projektu grantowego IT/OT/ICS – Szkolenie: Bezpieczna komunikacja elektroniczna
12 U32. Szkolenia przygotowujące do certyfikacji z zakresu cyberbezpieczeństwa IT/OT/ICS – Szkolenie przygotowujące do certyfikacji: Wymagania normy ISO 27001 – SZBI
13 U30. Szkolenia symulacyjne z zakresu cyberbezpieczeństwa, ciągłości działania, zarządzania kryzysowego – Szkolenie: Planowanie komunikacji i zarządzania kryzysowego w cyberprzestrzeni, w tym ćwiczenia symulacyjne
14 U29. Szkolenia z zakresu cyberbezpieczeństwa – szkolenia powiązane z testami socjotechnicznymi weryfikującymi świadomość zagrożeń i reakcję personelu IT/OT/ICS – Szkolenie z cyberbezpieczeństwa połączone z testami socjotechnicznymi, w tym symulacja ataku socjotechnicznego na pracowników
15 U02. Testy bezpieczeństwa infrastruktury sieciowej IT/OT/ICS/IIoT – Testy bezpieczeństwa

72220000-3 - Usługi doradcze w zakresie systemów i doradztwo techniczne

72222000-7 - Usługi w zakresie systemów informacji lub strategicznej analizy technologicznej oraz usługi w zakresie planowania

79417000-0 - Usługi doradcze w zakresie bezpieczeństwa

72800000-8 - Usługi audytu komputerowego i testowania komputerów

72810000-1 - Usługi audytu komputerowego

80500000-9 - Usługi szkoleniowe

80510000-2 - Usługi szkolenia specjalistycznego

80533100-0 - Usługi szkolenia komputerowego

79632000-3 - Szkolenie pracowników

Zdolność do obrotu gospodarczego
Zamawiający uzna ten warunek za spełniony, jeżeli Wykonawca wykaże, że jest wpisany do jednego z rejestrów zawodowych lub handlowych prowadzonych w kraju, w którym ma siedzibę lub miejsce zamieszkania (np. KRS, CEIDG) – na podstawie art. 113 ustawy Pzp.
Uprawnienia do prowadzenia działalności
Zamawiający nie stawia szczegółowego warunku w tym zakresie.
Sytuacja ekonomiczna lub finansowa
Zamawiający nie stawia szczegółowego warunku w tym zakresie.
Zdolność techniczna lub zawodowa dla części I
Zamawiający uzna ten warunek za spełniony, jeżeli Wykonawca wykaże, że:
• w zakresie doświadczenia: w okresie ostatnich 3 lat przed upływem terminu składania ofert (a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie) zrealizował z należytą starannością co najmniej jedną dostawę polegającą na dostawie sprzętu informatycznego wraz z wdrożeniem o wartości nie mniejszej niż 300 000,00 zł brutto każda z nich;
• w zakresie potencjału kadrowego: dysponuje lub będzie dysponował osobami, które zostaną skierowane do uczestnictwa w wykonaniu zamówienia, w tym co najmniej:
- 2 osoby posiadające ważne certyfikaty wystawiony przez producenta oferowanego serwera do wykonywania kopii zapasowych na poziomie minimum specjalisty, potwierdzający umiejętności z zakresu instalacji, konfiguracji, konserwacji i rozwiązywania problemów;
- 1 osobą posiadającą ważny certyfikat wystawiony przez producenta oferowanego systemu do wykonywania kopii zapasowych na poziomie minimum specjalisty, potwierdzający umiejętności z zakresu instalacji, konfiguracji i optymalizacji;
- 1 osobą posiadającą ważny certyfikat Audytora Wiodącego ISO/IEC 27001:2022 (Lead Auditor) wystawiony przez akredytowaną jednostkę certyfikującą, potwierdzający wiedzę i kompetencje z zakresu zarządzania bezpieczeństwem informacji, przeprowadzania audytów systemów bezpieczeństwa oraz oceny zgodności wdrożonych rozwiązań z wymaganiami normy ISO/IEC 27001:2022;
- 2 osobami posiadającymi ważny certyfikat CompTIA Security+ lub równoważny, potwierdzający kompetencje z zakresu bezpieczeństwa sieci i systemów informatycznych oraz reagowania na incydenty bezpieczeństwa;
- 2 osobami posiadającymi ważny certyfikat CompTIA Network+ lub równoważny, potwierdzający kompetencje z zakresu projektowania, konfiguracji i utrzymania infrastruktury sieciowej, w tym zarządzania urządzeniami sieciowymi, routerami oraz rozwiązaniami klasy firewall/UTM;
• w zakresie organizacji, że posiada wdrożone i utrzymywane systemy zarządzania potwierdzone aktualnymi certyfikatami wydanymi przez jednostki certyfikujące akredytowane przez Polskie Centrum Akredytacji (PCA) lub przez inne równoważne jednostki oceniające zgodność, przy czym dokumenty równoważne muszą potwierdzać spełnianie wymagań nie niższych niż wymagania wynikające z odpowiednich norm.
Wymagane są w szczególności certyfikaty potwierdzające zgodność z:
•⁠ ⁠ISO 9001:2015 – system zarządzania jakością
•⁠ ⁠ISO 14001:2015 – system zarządzania środowiskowym
•⁠ ⁠ISO 22301:2019 – system zarządzania ciągłością działania
•⁠ ⁠ISO/IEC 27001:2022 – system zarządzania bezpieczeństwem informacji
Certyfikaty lub dokumenty równoważne muszą obejmować zakresem działalność związaną z realizacją przedmiotu zamówienia.
Uwaga: Jeżeli Wykonawca powołuje się na doświadczenie w realizacji dostaw wykonywanych wspólnie z innymi wykonawcami (np. w ramach konsorcjum), wykaz wykonanych dostaw może dotyczyć wyłącznie tych dostaw, w których wykonaniu wykonawca ten bezpośrednio i faktycznie uczestniczył.

Zdolność techniczna lub zawodowa dla części II
Zamawiający uzna, że Wykonawca spełnia warunek w zakresie dysponowania odpowiednim potencjałem technicznym, jeżeli Wykonawca wykaże, że w okresie ostatnich 5 lat od dnia, w którym upływa termin składania ofert (a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie) wykonał, a w przypadku świadczeń powtarzających się lub ciągłych - wykonuje (przy czym w tym przypadku będzie liczona wartość zrealizowanej części przedmiotu umowy) co najmniej:
a) 2 audyty bezpieczeństwa systemów teleinformatycznych, w tym co najmniej jeden z testami bezpieczeństwa, na rzecz podmiotów realizujących zadania publiczne, z których każdy miał wartość nie mniejszą niż 50 000,00 zł brutto, co potwierdzono stosownymi referencjami należytego wykonania.
b) 4 inne audyty cyberbezpieczeństwa (niewskazane w odpowiedzi na wymóg określony w lit. a i c) na rzecz podmiotów realizujących zadania publiczne, z których każdy miał wartość nie mniejszą niż 20 000,00 zł brutto, co potwierdzono stosownymi referencjami należytego wykonania.
c) 15 innych audytów bezpieczeństwa informacji (niewskazanych w odpowiedzi na wymóg określony w lit. a i b), co potwierdzono stosownymi referencjami należytego wykonania.
d) 2 usługi przeprowadzenia szkoleń z zakresu cyberbezpieczeństwa dla podmiotów realizujących zadania publiczne, z których każda miała wartość nie mniejszą niż 20 000,00 zł brutto, co potwierdzono stosownymi referencjami należytego wykonania.
e) 5 usług opracowania systemu zarządzania bezpieczeństwem informacji dla podmiotów realizujących zadania publiczne, w tym co najmniej 1 usługę, o wartości nie mniejszej niż 20 000,00 zł brutto, co potwierdzono stosownymi referencjami należytego wykonania.
f) 2 usługi szacowania ryzyka związanego z bezpieczeństwem informacji dla podmiotów realizujących zadania publiczne, co potwierdzono stosownymi referencjami należytego wykonania.
Zdolność zawodowa
O zamówienie ubiegać się mogą Wykonawcy, którzy posiadają zespół skierowany do realizacji przedmiotu zamówienia składający się z co najmniej 3 osób, przy czym skład ten musi obejmować minimum:
a) 3 osoby posiadające ważne certyfikaty audytora wiodącego systemu zarządzania bezpieczeństwem informacji według normy PN-EN ISO/IEC 27001, wydane przez jednostkę oceniającą zgodność, akredytowaną zgodnie z przepisami ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku (Dz. U. z 2017 r. poz. 1398 oraz z 2018 r. poz. 650 i 1338), w zakresie certyfikacji osób;
b) 2 osoby posiadające wiedzę i doświadczenie w obszarze audytów systemów zarządzania bezpieczeństwem informacji przy spełnieniu wymagań dla audytorów IRCA, CQI lub wymagań równoważnych, tj. określonych na nie niższym poziomie jakości, potwierdzonych certyfikatem ukończenia kursu Information Security Management Systems (ISMS) Auditor lub równoważnym dokumentem;
c) 1 osobę posiadającą wiedzę i doświadczenie w zakresie wdrażania systemów zarządzania bezpieczeństwem informacji zgodnych z normą ISO 27001 lub równoważnych standardów o zbliżonym poziomie jakości. Wymagane jest potwierdzenie kwalifikacji ważnym certyfikatem lub równoważnym dokumentem ukończenia szkolenia w tym obszarze. Ponadto osoba ta musi posiadać doświadczenie w realizacji wdrożeń systemu zarządzania bezpieczeństwem informacji realizowanych w co najmniej 5 podmiotach publicznych;
d) 1 osobę z kwalifikacjami w zakresie audytowania systemów zarządzania ciągłością działania, potwierdzonymi spełnieniem wymagań dla audytorów wiodących systemu zarządzania ciągłością działania zgodnego z normą PN-EN ISO 22301, lub równoważną, potwierdzone certyfikatem dla audytora wiodącego systemu zarządzania ciągłością działania zgodnego z normą PN-EN ISO 22301 po zdaniu egzaminu lub równoważnym dokumentem;
e) 1 osobę posiadającą wiedzę i doświadczenie w zakresie wdrażania systemu zarządzania ciągłością działania wg PN-EN ISO 22301 potwierdzoną ważnym certyfikatem lub równoważnym dokumentem ukończenia szkolenia w tym zakresie;
f) 2 osoby posiadające kompetencje w zakresie audytowania systemów zarządzania jakością przy spełnieniu wymagań dla audytorów wewnętrznych systemu zarządzania jakością zgodnego z normą PN-EN ISO 9001 lub wymaganiami równoważnymi, tj. określonymi na nie niższym poziomie jakości, potwierdzone certyfikatem dla audytora wewnętrznego systemu zarządzania jakością zgodnego z normą PN-EN ISO 9001 po zdaniu egzaminu lub równoważnym dokumentem;
g) 2 osoby, które posiadają kwalifikacje potwierdzone ukończeniem studiów podyplomowych z zakresu ochrony danych osobowych oraz co najmniej 8-letnie doświadczenie zawodowe na stanowisku Inspektora Ochrony Danych lub Administratora Bezpieczeństwa Informacji;
h) 2 osoby, które posiadają praktyczne umiejętności w zakresie szacowania ryzyka, potwierdzone uczestnictwem w realizacji co najmniej 2 projektów związanych z szacowaniem ryzyka dla bezpieczeństwa informacji, w tym co najmniej 1 projekcie zrealizowanym zgodnie z normą ISO 27005 lub równoważną;
i) 1 osobę posiadającą wiedzę w zakresie zarządzania ryzykiem w obszarze ochrony informacji. Kwalifikacje tej osoby powinny być potwierdzone ważnym certyfikatem lub równoważnym dokumentem ukończenia szkolenia w tym zakresie;
j) 1 osobę, która posiada doświadczenie w prowadzeniu szkoleń i zrealizowała minimum 10 szkoleń dotyczących cyberbezpieczeństwa, bezpieczeństwa informacji lub ochrony danych, skierowanych do podmiotów publicznych;
k) 1 osobę posiadającą wiedzę z zakresu zarządzania cyberbezpieczeństwem, potwierdzoną aktualnym certyfikatem lub równoważnym dokumentem ukończenia szkolenia w tym obszarze;
l) 1 osobę, która ukończyła techniczne studia wyższe w dziedzinie cyberbezpieczeństwa i posiada tytuł inżyniera, potwierdzony dyplomem ukończenia studiów wyższych;
m) 1 osobę posiadającą specjalistyczną wiedzę i umiejętności w zakresie administrowania sieciami teleinformatycznymi, potwierdzone aktualnym certyfikatem lub równoważnym dokumentem ukończenia szkolenia w tym zakresie; (...)
Pozostała część warunków udziału w postępowaniu znajduje się w SWZ rozdział 17.1 Warunki udziału

Podmiotowe środki dowodowe, do których złożenia zostanie wezwany Wykonawca, którego oferta została najwyżej oceniona, obejmują:
18.3.1. Oświadczenie o grupie kapitałowej
Oświadczenie o przynależności lub braku przynależności do tej samej grupy kapitałowej (w rozumieniu ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów, t.j. Dz.U. z 2024 r. poz. 1616) z innym Wykonawcą, który złożył odrębną ofertę w postępowaniu, w zakresie art. 108 ust. 1 pkt 5 ustawy Pzp. W przypadku przynależności do tej samej grupy kapitałowej Wykonawca może złożyć wraz z oświadczeniem dokumenty lub informacje potwierdzające, że przygotowanie oferty nastąpiło niezależnie od innego wykonawcy należącego do tej samej grupy. Wzór oświadczenia stanowi Załącznik nr 6 do SWZ. UWAGA: W przypadku wspólnego ubiegania się o udzielenie zamówienia, każdy z Wykonawców zobowiązany jest do złożenia tego oświadczenia oddzielnie.

Podmiotowe środki dowodowe, do których złożenia zostanie wezwany Wykonawca, którego oferta została najwyżej oceniona, obejmują:
18.3.2. Wykaz dostaw i usług
Wykaz dostaw wykonanych, a w przypadku świadczeń powtarzających się lub ciągłych – również wykonywanych, w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wraz z podaniem ich wartości, przedmiotu, dat wykonania oraz podmiotów, na rzecz których dostawy zostały wykonane lub są wykonywane. Wzór wykazu stanowi Załącznik nr 4a i 4b do SWZ.
Do wykazu należy dołączyć dowody określające, czy te dostawy zostały wykonane lub są wykonywane należycie, przy czym dowodami tymi są referencje bądź inne dokumenty sporządzone przez podmiot, na rzecz którego dostawy były wykonywane lub są wykonywane; jeżeli Wykonawca z przyczyn od niego niezależnych, z uzasadnionej przyczyny o obiektywnym charakterze, nie jest w stanie uzyskać tych dokumentów – składa własne oświadczenie. W przypadku świadczeń powtarzających się lub ciągłych, nadal wykonywanych, referencje bądź inne dokumenty potwierdzające ich należyte wykonywanie powinny być wystawione w okresie ostatnich 3 miesięcy liczonych na dzień złożenia dokumentu.
18.3.3. Wykaz osób
Wykaz osób, skierowanych przez Wykonawcę do realizacji zamówienia publicznego, wraz z informacjami na temat ich kwalifikacji zawodowych, uprawnień, doświadczenia i wykształcenia niezbędnych do wykonania zamówienia, a także zakresu wykonywanych przez nie czynności oraz informacją o podstawie do dysponowania tymi osobami. Wzór wykazu stanowi Załącznik nr 5a i 5b do SWZ.

W celu potwierdzenia zgodności oferowanych dostaw i usług z wymaganiami, cechami lub kryteriami określonymi w Opisie Przedmiotu Zamówienia (Załącznik do SWZ), Zamawiający żąda od Wykonawców złożenia wraz z ofertą następujących przedmiotowych środków dowodowych:
• Do części I:
- W celu potwierdzenia zgodności oferowanej dostawy z wymaganiami określonymi w OPZ (załącznik nr 1a do SWZ), Zamawiający wymaga złożenia wraz z ofertą - w zakresie części I: oświadczenia producenta oferowanego serwera kopii zapasowych, potwierdzającego, że: (a) rozwiązanie pochodzi z oficjalnego kanału dystrybucyjnego, (b) serwis gwarancyjny świadczony będzie przez producenta lub autoryzowanego partnera serwisowego producenta, (c) w przypadku awarii dysków twardych uszkodzone nośniki pozostają u Zamawiającego
• Do części II:
- Zamawiający nie wymaga przedmiotowych środków dowodowych w zakresie części I.

Działając na podstawie art. 107 ust. 2 ustawy Pzp, Zamawiający przewiduje wezwanie Wykonawcy do złożenia lub uzupełnienia przedmiotowych środków dowodowych. Jeżeli Wykonawca nie złożył przedmiotowych środków dowodowych wraz z ofertą lub złożone przedmiotowe środki dowodowe są niekompletne, Zamawiający wzywa do ich złożenia lub uzupełnienia w wyznaczonym terminie.