Zwiększenie cyberbezpieczeństwa Urzędu Marszałkowskiego Województwa Łódzkiego

UMWŁ). 2. Usługa polegać będzie na realizacji następujących zadań: a) Przeprowadzenie audytu cyberbezpieczeństwa, w tym testów penetracyjnych i socjotechnicznych UMWŁ (Zadanie A), b) Aktualizacja i integracja dokumentacji obszaru cyberbezpieczeństwa / Systemu Zarządzania Bezpieczeństwem Informacji (dalej: SZBI) UMWŁ (Zadanie B), c) Przygotowanie i dostarczenie szkolenia e-learningowego z zakresu dokumentacji obszaru cyberbezpieczeństwa / SZBI UMWŁ - „Polityki cyberbezpieczeństwa w praktyce” (Zadanie C), d) Przeprowadzenie audytu wdrożonego SZBI (Zadanie D). 3. Przedmiot zamówienia został opisany w Szczegółowym Opisie Przedmiotu Zamówienia (zwanym dalej „SOPZ”), stanowiącym Załącznik nr 1 do SWZ (SOPZ stanowi również Załącznik nr 1 do umowy).

Wykonawca spełni warunek udziału w postępowaniu dotyczący zdolności zawodowej, jeżeli wykaże, że: 1) w okresie ostatnich trzech lat* przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał: a) co najmniej 3 usługi polegające na przeprowadzeniu audytu cyberbezpieczeństwa / audytu Systemu Zarządzania Bezpieczeństwem Informacji oraz b) co najmniej 3 usługi polegające na przygotowaniu lub aktualizacji dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji, *Okres 3 lat jest liczony wstecz od dnia, w którym upływa termin składania ofert. 2) dysponuje lub będzie dysponować na okres realizacji zamówienia n/w personelem**: Uwaga: W przypadku wskazania personelu do realizacji Zadań: A, B, D - pojedyncza osoba może brać udział w realizacji tylko jednego z ww. zadań. Osoba wskazana do realizacji Zadania D nie może brać udziału w realizacji zadania C. Osoba wskazana do realizacji zadania A albo B może brać udział w realizacji Zadania C. Zadanie A Przeprowadzenie audytu cyberbezpieczeństwa, w tym testów penetracyjnych i socjotechnicznych UMWŁ co najmniej 2 audytorami: a) z których każdy posiada przynajmniej jeden z certyfikatów wskazanych w Rozporządzeniu Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu w rozumieniu art. 15 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, w tym przynajmniej jednym audytorem, który posiada Certyfikat audytora wiodącego systemu zarządzania bezpieczeństwem informacji według normy PN-EN ISO/IEC 27001 wydany przez jednostkę oceniającą zgodność, akredytowaną zgodnie z przepisami ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku (Dz. U. z 2025 r. poz. 568), w zakresie certyfikacji osób LUB Certyfikat audytora wiodącego systemu zarządzania ciągłością działania PN-EN ISO 22301 wydany przez jednostkę oceniającą zgodność, akredytowaną zgodnie z przepisami ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku, w zakresie certyfikacji osób, oraz b) z których każdy posiada co najmniej 2-letnie doświadczenie, tj. każdy w okresie ostatnich trzech lat* przed upływem terminu składania ofert przeprowadził co najmniej 3 audyty cyberbezpieczeństwa (przez co najmniej 2-letnie doświadczenie Zamawiający rozumie taką sytuację, gdzie przynajmniej jeden z tych 3 audytów cyberbezpieczeństwa audytor przeprowadził w okresie między 2-gim a 3-cim rokiem licząc wstecz od upływu terminu składania ofert). Zadanie B Aktualizacja i integracja dokumentacji obszaru cyberbezpieczeństwa / Systemu Zarządzania Bezpieczeństwem Informacji UMWŁ co najmniej 2 audytorami: a) z których każdy posiada: • przynajmniej jeden z certyfikatów wskazanych w Rozporządzeniu Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu w rozumieniu art. 15 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa LUB • co najmniej trzyletnią praktykę w zakresie audytu bezpieczeństwa systemów informacyjnych LUB • co najmniej dwuletnią praktykę w zakresie audytu bezpieczeństwa systemów informacyjnych i legitymującą się dyplomem ukończenia studiów podyplomowych w zakresie audytu bezpieczeństwa systemów informacyjnych, wydanym przez jednostkę organizacyjną, która w dniu wydania dyplomu była uprawniona, zgodnie z odrębnymi przepisami, do nadawania stopnia naukowego doktora nauk ekonomicznych, technicznych lub prawnych, oraz b) z których każdy posiada co najmniej 2-letnie doświadczenie, tj. każdy w okresie ostatnich trzech lat* przed upływem terminu składania ofert przygotował lub zaktualizował co najmniej 3 dokumentacje SZBI (przez co najmniej 2-letnie doświadczenie Zamawiający rozumie taką sytuację, gdzie przynajmniej jedną z tych 3 dokumentacji SZBI audytor przygotował lub zaktualizował w okresie między 2-gim a 3-cim rokiem licząc wstecz od upływu terminu składania ofert). Zadanie C Przygotowanie i dostarczenie szkolenia e-learningowego z zakresu dokumentacji obszaru cyberbezpieczeństwa / SZBI UMWŁ - „Polityki cyberbezpieczeństwa w praktyce” co najmniej jedną osobą posiadającą doświadczenie zawodowe z zakresu przygotowywania i wdrażania szkoleń e-learningowych, tj. osobą która w okresie co najmniej ostatnich trzech lat* przed upływem terminu składania ofert przygotowała i wdrożyła min. 3 szkolenia e-learningowe - przez przygotowanie i wdrożenie szkoleń e-learningowych należy rozumieć wykonanie usług polegających na (1) przygotowaniu i dostarczeniu szkoleń e-learningowych do instalacji na platformie e-learningowej zamawiającego LUB (2) przygotowaniu i instalacji szkoleń e-learningowych na platformie e-learningowej zamawiającego LUB (3) przygotowaniu i udostępnieniu zamawiającemu szkoleń e-learningowych na platformie e-learningowej wykonawcy. Zadanie D Przeprowadzenie audytu wdrożonego SZBI co najmniej 2 audytorami: a) z których każdy posiada przynajmniej jeden z certyfikatów wskazanych w Rozporządzeniu Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu w rozumieniu art. 15 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, w tym przynajmniej jednym audytorem, który posiada Certyfikat audytora wiodącego systemu zarządzania bezpieczeństwem informacji według normy PN-EN ISO/IEC 27001 wydany przez jednostkę oceniającą zgodność, akredytowaną zgodnie z przepisami ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku (Dz. U. z 2025 r. poz. 568), w zakresie certyfikacji osób LUB Certyfikat audytora wiodącego systemu zarządzania ciągłością działania PN-EN ISO 22301 wydany przez jednostkę oceniającą zgodność, akredytowaną zgodnie z przepisami ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku, w zakresie certyfikacji osób, oraz b) z których każdy posiada co najmniej 2-letnie doświadczenie, tj. każdy w okresie ostatnich trzech lat* przed upływem terminu składania ofert przeprowadził co najmniej 3 audyty SZBI (przez co najmniej 2-letnie doświadczenie Zamawiający rozumie taką sytuację, gdzie przynajmniej jeden z tych 3 audytów SZBI audytor przeprowadził w okresie między 2-gim a 3-cim rokiem licząc wstecz od upływu terminu składania ofert). * Okres 3 lat jest liczony wstecz od dnia, w którym upływa termin składania ofert. W przypadku zaistnienia w trakcie wykonywania zamówienia okoliczności uniemożliwiających lub utrudniających wykonywanie zamówienia przez wskazaną przez Wykonawcę osobę/osoby, Wykonawca będzie mógł zmienić personel delegowany do wykonywania zamówienia - z zastrzeżeniem, iż w takiej sytuacji Wykonawca zobowiązany jest przedstawić Zamawiającemu osobę, która spełnia wymogi określone powyżej dla osoby. Zmiana taka nie wymaga formy aneksu do umowy. Wykonawcy nie będzie przysługiwać roszczenie o zwrot kosztów wynikających bezpośrednio lub pośrednio z usunięcia lub wymiany osób, wyznaczonych przez Wykonawcę do wykonania przedmiotu zamówienia.

1. W celu potwierdzenia spełniania przez wykonawcę warunków udziału w postępowaniu zamawiający żąda:
b) wykazu usług wykonanych w okresie ostatnich 3 lat*, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wraz z podaniem ich przedmiotu, dat wykonania i podmiotów, na rzecz których usługi zostały wykonane, oraz załączeniem dowodów określających, czy te usługi zostały wykonane należycie, przy czym dowodami, o których mowa, są referencje bądź inne dokumenty sporządzone przez podmiot, na rzecz którego usługi zostały wykonane, a jeżeli wykonawca z przyczyn niezależnych od niego nie jest w stanie uzyskać tych dokumentów – oświadczenie wykonawcy; wzór wykazu stanowi Załącznik nr 4 do SWZ.
UWAGA:
Warunkiem złożenia oświadczenia własnego jest istnienie niezależnego od wykonawcy powodu, uniemożliwiającego przedstawienie referencji lub innych dokumentów.

Uzasadnienie braku dokumentu:
Należy wskazać, jakie konkretne, obiektywne przeszkody uniemożliwiły pozyskanie referencji lub innego dokumentu.

Dowód podjętych działań:
Wykonawca powinien wykazać, że podjął starania w celu uzyskania dokumentów, ale te okazały się nieskuteczne

Jeżeli wykonawca powołuje się na doświadczenie w realizacji usług wykonanych wspólnie z innymi wykonawcami, to wykaz usług dotyczy usług, w których wykonawca ten bezpośrednio uczestniczył;
*okres 3 lat jest liczony wstecz od dnia, w którym upływa termin składania ofert;
c) wykazu osób, skierowanych przez wykonawcę do realizacji zamówienia, wraz z informacjami na temat ich doświadczenia, kwalifikacji zawodowych niezbędnych dla wykonania zamówienia, a także zakresu wykonywanych przez nie czynności oraz informacją o podstawie do dysponowania tymi osobami. Wzór wykazu stanowi wzór stanowi Załącznik nr 5 do SWZ.

1. W celu oceny ofert w kryterium pn. „Przeprowadzenie testów socjotechnicznych badających świadomość i reakcje pracowników na próby wyłudzenia danych lub dostępu do systemów przez cyberprzestępców oraz przestrzeganie procedur i zasad bezpieczeństwa w Urzędzie – phishing” w pkt. 2. Formularza ofertowego Wykonawca oświadcza czy zaoferuje dodatkowe scenariusze, każdy dla min. 300 osób, PONAD obowiązkowe min. 2 scenariusze opisane w SOPZ.
2. W celu oceny ofert w kryterium pn. „Przeprowadzenie testów socjotechnicznych badających świadomość i reakcje pracowników na próby wyłudzenia danych lub dostępu do systemów przez cyberprzestępców oraz przestrzeganie procedur i zasad bezpieczeństwa w Urzędzie – vishing” w pkt. 3. Formularza ofertowego Wykonawca oświadcza czy zaoferuje dodatkowe scenariusze, każdy dla min. 2 osób, PONAD obowiązkowych 5 scenariuszy opisanych w SOPZ.
3. Oferta w zakresie informacji znajdujących się w pkt 2 i 3 formularza ofertowego nie będzie podlegała uzupełnieniu.
Szczegółowe wymogi co do powyższego środka wskazane zostały w pkt XX.2.2. i 2.3. SWZ.
4. W celu oceny ofert w zakresie wymagań związanych z realizacją zamówienia o których mowa w Rozdziale IV pkt 5 SWZ, Wykonawca zobowiązany jest do złożenia stosownego oświadczenia w złożonej ofercie (pkt 4 formularza ofertowego) oraz wykazu produktów ICT, usług ICT, procesów ICT, które będą wykorzystane do realizacji zamówienia.
Środek ten nie będzie podlegał uzupełnieniu.