„Świadczenie usług w zakresie przeprowadzenia dwuobszarowego audytu Systemu Zarządzania Bezpieczeństwem Informacji (SZBI)”.

W ramach projektu pod nazwą „CBR-Mazowieckie” finansowany ze środków KPO i Zwiększania Odporności (KPO), Inwestycja C 3.1.1. Cyberbezpieczeństwo - CyberPL, infrastruktura przetwarzania danych oraz optymalizacja infrastruktury służb państwowych odpowiedzialnych za bezpieczeństwo, Konkurs Grantowy - Cyberbezpieczny Rząd. Porozumienie nr KPOD.05.10-CR.01-001/24/0027/KPOD.05.10-CR.01-001/25/2025

W postępowaniu o udzielenie zamówienia publicznego komunikacja między
Zamawiającym, a Wykonawcami odbywa się przy użyciu
Platformy e-Zamówienia, która jest dostępna pod adresem https://ezamowienia.gov.pl. Wykonawca zamierzający wziąć udział w
postępowaniu o udzielenie zamówienia publicznego musi posiadać konto podmiotu „Wykonawca” na Platformie e-Zamówienia.
Komunikacja w postępowaniu odbywa się drogą elektroniczną za pośrednictwem formularzy do komunikacji dostępnych w zakładce
„Formularze” („Formularze do komunikacji”), z wyłączeniem składania ofert – sposób przygotowania i złożenia oferty wskazany jest
w pkt 11 SWZ. Wykonawca składa ofertę za pośrednictwem zakładki „Oferty/wnioski”, widocznej w podglądzie postępowania po
zalogowaniu się na konto wykonawcy.

Korzystanie z Platformy e-Zamówienia
jest bezpłatne. Wykonawca zamierzający wziąć udział w postępowaniu o udzielenie zamówienia publicznego musi posiadać konto
podmiotu „Wykonawca” na Platformie e-Zamówienia. Szczegółowe informacje na temat zakładania kont podmiotów oraz zasady i
warunki korzystania z Platformy e-Zamówienia, w tym minimalne wymagania techniczne dotyczące sprzętu używanego w celu
korzystania z usług oraz informacje dotyczące specyfikacji połączenia określa Regulamin Platformy e-Zamówienia oraz informacje
zamieszczone w zakładce „Centrum Pomocy”. Formularze do komunikacji umożliwiają dołączenie załącznika do przesyłanej
wiadomości (przycisk "dodaj załącznik”). W przypadku załączników opatrzonych kwalifikowanym podpisem elektronicznym, w
zależności od rodzaju podpisu i jego typu (zewnętrzny, wewnętrzny) - dodaje się uprzednio podpisany dokument wraz z
wygenerowanym plikiem podpisu (typ zewnętrzny) lub - dokument z „wszytym” podpisem (typ wewnętrzny). Informacje,
oświadczenia, wnioski, zawiadomienia lub dokumenty sporządza w postaci elektronicznej i przekazuje jako załącznik do „Formularza
do komunikacji” lub jako tekst wpisany bezpośrednio do Formularza do komunikacji, w sposób umożliwiający ustalenie tożsamości
osoby przekazującej. Możliwość korzystania w postępowaniu z „Formularzy do komunikacji” w pełnym zakresie wymaga posiadania
konta „Wykonawcy” na Platformie e-Zamówienia oraz zalogowania się na Platformie e Zamówienia. Wszystkie wysłane i odebrane w
postępowaniu przez wykonawcę wiadomości widoczne są po zalogowaniu w podglądzie postępowania w zakładce „Komunikacja”.
Maksymalny rozmiar plików przesyłanych za pośrednictwem „Formularzy do komunikacji” wynosi 150 MB (wielkość ta dotyczy
plików przesyłanych jako załączniki do jednego formularza).

Zgodnie z art. 13 ust. 1 i 2 i 14 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w
sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 z
późn.zm.) uprzejmie informuję, że:
Administratorem Pani/Pana danych osobowych jest Wojewoda Mazowiecki
Może się Pani/Pan z nami kontaktować w następujący sposób:
listownie na adres: pl. Bankowy 3/5, 00-950 Warszawa,
poprzez elektroniczną skrzynkę podawczą: /t6j4ljd68r/skrytka,
poprzez e-mail: info@mazowieckie.pl, telefonicznie: 22 695 69 95.
Dane kontaktowe inspektora ochrony danych osobowych
Nad prawidłowością przetwarzania Pani/Pana danych osobowych czuwa wyznaczony przez Administratora inspektor ochrony
danych, z którym można się kontaktować:
listownie na adres: pl. Bankowy 3/5, 00-950 Warszawa,
poprzez elektroniczną skrzynkę podawczą: /t6j4ljd68r/skrytka,
poprzez e-mail: iod@mazowieckie.pl.
Cele przetwarzania Państwa danych i podstawa prawna
Pani/Pana dane osobowe będą przetwarzane w celu zawarcia umowy, jeśli jest jej Pani/Pan stroną, na podstawie art. 6 ust. 1 lit. b
RODO (przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą).
Pani/Pana dane osobowe będą przetwarzane w celu skontaktowania się z Panią/Panem w ramach realizacji umowy na podstawie
art. 6 ust. 1 lit. e RODO (przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym).
Źródło pochodzenia danych. W przypadku kiedy Pani/Pana dane nie zostały bezpośrednio przez Panią/Pana udostępnione Wojewodzie Mazowieckiemu,
Pani/Pana dane osobowe zostały udostępnione przez podmiot, w imieniu którego Pani/Pan działa, w związku z realizacją umowy.
Kategorie przetwarzanych danych osobowych:
- imię i nazwisko,
- nr telefonu,
- adres e-mail,
- miejsce pracy.
Odbiorcy danych lub kategorie odbiorców danych
Pani/Pana dane osobowe mogą być przekazane wyłącznie podmiotom, które uprawnione są do ich otrzymania przepisami prawa.
Podmioty takie nie są jednak uznane za odbiorców danych. Pani/Pana dane osobowe mogą być również udostępniane innym
odbiorcom lub kategoriom odbiorców, którymi mogą być podmioty,
które przetwarzają Pani/Pana dane osobowe w imieniu Administratora na podstawie zawartej umowy powierzenia przetwarzania
danych osobowych (tzw. podmioty przetwarzające).
Okres przechowywania danych
Pani/Pana dane osobowe będą przechowywane przez okres niezbędny do wykonania umowy,
a po jej rozwiązaniu lub wygaśnięciu – przez obowiązkowy okres przechowywania dokumentacji, ustalony odrębnymi przepisami.
Przysługujące uprawnienia związane z przetwarzaniem danych osobowych
Przysługują Pani/Panu następujące uprawnienia:
• prawo dostępu do swoich danych oraz uzyskania ich kopii;
• prawo do sprostowania (poprawiania) swoich danych;
• prawo do usunięcia danych(jeśli dane zostały pozyskane na podstawie zgody);
• prawo do ograniczenia przetwarzania danych, przy czym odrębne przepisy mogą wyłączyć możliwość skorzystania z tego prawa;
• prawo do wycofania zgody na przetwarzanie danych osobowych, w zakresie, w którym przetwarzanie opierało się na przesłane
zgody, bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.
Aby skorzystać z powyższych praw należy skontaktować się z nami lub z naszym inspektorem ochrony danych (dane kontaktowe
zawarte są powyżej);
• prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowycheśli uznają
Pani/Pan że przetwarzamy Pani/Pana dane niezgodnie
z prawem. Informacja o przekazywaniu danych do państw trzecich
Nie przekazujemy Pani/Pana danych do państw trzecich.
Informacja o profilowaniu Pani/Pana dane osobowe nie podlegają zautomatyzowanemu przetwarzaniu .
Informacja o dowolności lub obowiązku podania danych
Podanie danych osobowych jest niezbędne do realizacji Umowy.

1. Wykonawca wykaże, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy — w tym okresie, należycie wykonał co najmniej 4 usługi polegające na przeprowadzeniu audytu, przeglądu, analizy zgodności lub oceny bezpieczeństwa informacji, cyberbezpieczeństwa albo zabezpieczeń systemów teleinformatycznych, przy czym:
a) co najmniej jedna usługa obejmowała ocenę zgodności z wymaganiami Krajowych Ram Interoperacyjności lub ustawy o krajowym systemie cyberbezpieczeństwa;
b) co najmniej jedna usługa obejmowała ocenę dokumentacji, procedur, polityk, rejestrów lub dowodów działania w zakresie bezpieczeństwa informacji, cyberbezpieczeństwa albo Systemu Zarządzania Bezpieczeństwem Informacji;
c) co najmniej jedna usługa obejmowała ocenę technicznych zabezpieczeń systemów teleinformatycznych, w szczególności w zakresie zarządzania dostępem, aktualizacji, podatności, kopii zapasowych, logowania, monitorowania, ciągłości działania, bezpieczeństwa sieci lub obsługi incydentów;
d) co najmniej jedna usługa była realizowana dla organizacji o strukturze rozproszonej, obejmującej co najmniej 5 lokalizacji, oddziałów, podmiotów podległych, komórek organizacyjnych albo innych wyodrębnionych części organizacyjnych.
Przez jedną usługę Zamawiający rozumie usługę wykonaną w ramach jednej umowy albo jednego zamówienia, zakończoną sporządzeniem raportu, protokołu, matrycy zgodności, rekomendacji, planu działań naprawczych lub innego dokumentu końcowego potwierdzającego wykonanie audytu, przeglądu albo analizy.
Zamawiający wymaga, aby przedstawione potwierdzenia należytego wykonania usług obejmowały wszystkie obszary wskazane w punktach a – d, tzn. każdy obszar był zrealizowany co najmniej jeden raz w ramach wszystkich usług, które Wykonawca wskaże jako zrealizowane.
2. Wykonawca skieruje do realizacji zamówienia zespół audytowy składający się z co najmniej 5 osób, obejmujący następujące funkcje, przy czym co do zasady każda osoba może pełnić jedną funkcję, z zastrzeżeniem możliwości łączenia funkcji określonej poniżej w dalszej części niniejszego punktu:
a) Kierownik audytu;
b) Audytor zgodności KRI/KSC;
c) Audytor dokumentowo-proceduralny SZBI;
d) Audytor techniczny IT/cyberbezpieczeństwa;
e) Audytor ISO/IEC 27001 — w zakresie trzech podmiotów wskazanych przez Zamawiającego.
Dopuszcza się łączenie maksymalnie dwóch funkcji przez jedną osobę, pod warunkiem spełnienia wymagań dla każdej z pełnionych funkcji, z zastrzeżeniem, że zespół audytowy w przypadku skorzystania z możliwości łączenia funkcji nie może liczyć mniej niż 4 osoby.
W przypadku skierowania do realizacji zamówienia większej liczby osób niż minimalnie wymagana, każda dodatkowo skierowana osoba musi spełniać wymagania określone dla co najmniej jednej z funkcji wskazanych przez Zamawiającego.
I. Przy czym: W zakresie spełnienia warunku w pkt 7.10.2.a):
Kierownik audytu musi spełniać łącznie następujące wymagania:
1. posiadać co najmniej 3-letnie doświadczenie zawodowe w obszarze bezpieczeństwa informacji, cyberbezpieczeństwa, audytu IT, audytu zgodności, audytu SZBI lub zarządzania bezpieczeństwem informacji;
2. uczestniczyć jako kierownik audytu, audytor wiodący, koordynator albo osoba odpowiedzialna za organizację prac audytowych w co najmniej 2 usługach polegających na przeprowadzeniu audytu bezpieczeństwa informacji, audytu zgodności, audytu KRI, audytu KSC, audytu SZBI albo audytu technicznego IT;
3. posiadać co najmniej jeden z następujących certyfikatów lub certyfikat równoważny (obejmujący co najmniej ten sam zakres jak certyfikaty wskazane poniżej):
a) ISO/IEC 27001 Lead Auditor,
b) ISO/IEC 27001 Lead Implementer,
c) CISA,
d) CISM,
e) CISSP,
f) CRISC,
g) auditor wewnętrzny SZBI wg ISO/IEC 27001.
II. Przy czym: W zakresie spełnienia warunku w pkt 7.10.2.b):
Audytor zgodności KRI/KSC musi spełniać łącznie następujące wymagania:
1. posiadać co najmniej 3-letnie doświadczenie w obszarze bezpieczeństwa informacji, cyberbezpieczeństwa, audytu zgodności, kontroli wewnętrznej, zarządzania ryzykiem albo zarządzania bezpieczeństwem informacji;
2. uczestniczyć w co najmniej 2 usługach obejmujących ocenę zgodności z wymaganiami prawnymi, regulacyjnymi lub normatywnymi dotyczącymi bezpieczeństwa informacji albo cyberbezpieczeństwa;
3. posiadać doświadczenie w ocenie co najmniej 5 z następujących obszarów:
a) System Zarządzania Bezpieczeństwem Informacji,
b) zarządzanie ryzykiem,
c) zarządzanie incydentami,
d) ciągłość działania,
e) kopie zapasowe,
f) zarządzanie uprawnieniami,
g) zarządzanie dostawcami,
h) szkolenia i świadomość użytkowników,
i) klasyfikacja informacji,
j) bezpieczeństwo pracy zdalnej,
k) zarządzanie podatnościami,
l) logowanie i rozliczalność działań użytkowników.

III. Przy czym: W zakresie spełnienia warunku w pkt 7.10.2.c):
Audytor dokumentowo-proceduralny SZBI musi spełniać łącznie następujące wymagania:
1. posiadać co najmniej 3-letnie doświadczenie w analizie dokumentacji bezpieczeństwa informacji, cyberbezpieczeństwa, zarządzania ryzykiem, ciągłości działania, ochrony danych, kontroli wewnętrznej albo audytu zgodności;
2. uczestniczyć w co najmniej 2 usługach obejmujących analizę lub ocenę polityk, procedur, instrukcji, rejestrów, upoważnień, formularzy, matryc odpowiedzialności, planów ciągłości działania, planów odtworzenia awaryjnego, rejestrów ryzyk, rejestrów incydentów albo dokumentacji dotyczącej dostawców;
3. posiadać doświadczenie w formułowaniu ustaleń audytowych, niezgodności, obserwacji, rekomendacji oraz planów działań naprawczych.
IV. Przy czym: W zakresie spełnienia warunku w pkt 7.10.2.d):
Audytor techniczny IT/cyberbezpieczeństwa musi spełniać łącznie następujące wymagania:
1. posiadać co najmniej 3-letnie doświadczenie w obszarze administracji systemami, bezpieczeństwa IT, cyberbezpieczeństwa, audytu IT, testów bezpieczeństwa, zarządzania podatnościami, monitorowania bezpieczeństwa albo utrzymania infrastruktury IT;
2. uczestniczyć w co najmniej 2 usługach obejmujących ocenę technicznych zabezpieczeń systemów teleinformatycznych;
3. posiadać doświadczenie w ocenie co najmniej 6 z następujących obszarów:
a) zarządzanie kontami i uprawnieniami,
b) uwierzytelnianie i kontrola dostępu,
c) zarządzanie poprawkami i aktualizacjami,
d) zarządzanie podatnościami,
e) kopie zapasowe i odtwarzanie danych,
f) logowanie i monitorowanie zdarzeń,
g) bezpieczeństwo sieci,
h) segmentacja sieci,
i) bezpieczeństwo usług zdalnego dostępu,
j) ochrona stacji roboczych i serwerów,
k) ochrona przed złośliwym oprogramowaniem,
l) konfiguracja systemów i usług,
m) ciągłość działania i odtwarzanie awaryjne,
n) obsługa incydentów bezpieczeństwa.
V. Przy czym: W zakresie spełnienia warunku w pkt 7.10.2.e):
Audytor ISO/IEC 27001 musi spełniać łącznie następujące wymagania:
1. posiadać doświadczenie w realizacji co najmniej 1 audytu, przeglądu albo analizy zgodności z ISO/IEC 27001 lub PN-EN ISO/IEC 27001;
2. posiadać certyfikat ISO/IEC 27001 Lead Auditor, ISO/IEC 27001 Internal Auditor, ISO/IEC 27001 Lead Implementer albo certyfikat równoważny.
Wymagania dotyczące audytora ISO/IEC 27001 dotyczą wyłącznie części zamówienia obejmującej dodatkową ocenę zgodności z ISO/IEC 27001 dla trzech podmiotów wskazanych przez Zamawiającego.
3 Wykonawca oraz osoby skierowane do realizacji zamówienia muszą pozostawać niezależne od audytowanego obszaru, w zakresie wskazanym w poniższym oświadczeniu.
UWAGA!
Wykonawca zobowiązany jest złożyć oświadczenie, że osoby skierowane do realizacji zamówienia w okresie 12 miesięcy przed rozpoczęciem audytu nie wykonywały zadań polegających na projektowaniu, wdrażaniu, utrzymywaniu, administrowaniu lub nadzorowaniu rozwiązań, procedur, systemów, zabezpieczeń lub procesów, które będą przedmiotem audytu po stronie Mazowieckiego Urzędu Wojewódzkiego w Warszawie lub pozostałych jednostek objętych audytem.
W przypadku stwierdzenia konfliktu interesów Wykonawca zobowiązany jest niezwłocznie poinformować Zamawiającego oraz zaproponować osobę zastępującą, spełniającą wymagania nie niższe niż osoba pierwotnie wskazana.

1. oświadczenia Wykonawcy o aktualności informacji zawartych w oświadczeniu, o którym mowa w art. 125 ust. 1 ustawy Pzp w zakresie podstaw wykluczenia z postępowania. Wzór oświadczenia stanowi załącznik nr 5a do SWZ;
2. dowodów określających, czy usługi, o których mowa w punkcie poprzednim, zostały wykonane lub są wykonywane należycie, przy czym dowodami, o których mowa są referencje bądź inne dokumenty sporządzone przez podmiot, na rzecz którego usługi zostały wykonane lub są wykonywane, a jeżeli Wykonawca z przyczyn niezależnych od niego nie jest w stanie uzyskać tych dokumentów – oświadczenie Wykonawcy.

1. oświadczenia Wykonawcy o aktualności informacji zawartych w oświadczeniu, o którym mowa w art. 125 ust. 1 ustawy Pzp w zakresie podstaw wykluczenia z postępowania. Wzór oświadczenia stanowi załącznik nr 5a do SWZ;
2. dowodów określających, czy usługi, o których mowa w punkcie poprzednim, zostały wykonane lub są wykonywane należycie, przy czym dowodami, o których mowa są referencje bądź inne dokumenty sporządzone przez podmiot, na rzecz którego usługi zostały wykonane lub są wykonywane, a jeżeli Wykonawca z przyczyn niezależnych od niego nie jest w stanie uzyskać tych dokumentów – oświadczenie Wykonawcy.