Przeprowadzenie zewnętrznych kompleksowych testów penetracyjnych i testów bezpieczeństwa platformy Małopolskiego Systemu Informacji Medycznej (MSIM)

Postępowanie prowadzone jest samodzielnie przez zamawiającego

WOJEWÓDZTWO MAŁOPOLSKIE

REGON 351554287

ul. Basztowa 22

Kraków

31-156

małopolskie

Polska

PL213 - Miasto Kraków

12 61 60 320

inwestycje.strategiczne@umwm.malopolska.pl

https://bip.malopolska.pl

Zamawiający publiczny - jednostka sektora finansów publicznych - jednostka samorządu terytorialnego

Ogólne usługi publiczne

Zamówienia publicznego

Nie

Przeprowadzenie zewnętrznych kompleksowych testów penetracyjnych i testów bezpieczeństwa platformy Małopolskiego Systemu Informacji Medycznej (MSIM)

ocds-148610-9117bf78-6fdf-4b4e-8544-5b17b3eed417

2026/BZP 00404481

01

2026-08-24

Tak

2026/BZP 00057087/06/P

1.3.101 Przeprowadzenie zewnętrznych testów penetracyjnych i testów bezpieczeństwa platformy Małopolskiego Systemu Informacji Medycznej

Nie

Nie

Zamówienie udzielane jest w trybie podstawowym na podstawie: art. 275 pkt 1 ustawy

https://ezamowienia.gov.pl/mp-client/search/list/ocds-148610-9117bf78-6fdf-4b4e-8544-5b17b3eed417

Nie

Tak

https://ezamowienia.gov.pl/mp-client/search/list/ocds-148610-9117bf78-6fdf-4b4e-8544-5b17b3eed417

Komunikacja między Zamawiającym a wykonawcami odbywa się przy użyciu Platformy e-Zamówienia, która jest dostępna pod adresem https://ezamowienia.gov.pl.
Identyfikator (ID) postępowania na Platformie e-Zamówienia: oocds-148610-9117bf78-6fdf-4b4e-8544-5b17b3eed417 . Komunikacja w postępowaniu, z wyłączeniem składania ofert odbywa się drogą elektroniczną za pośrednictwem formularzy do komunikacji dostępnych w zakładce „Formularze” („Formularze do komunikacji”). Za pośrednictwem „Formularzy do komunikacji” odbywa się w szczególności przekazywanie wezwań i zawiadomień, zadawanie pytań i udzielanie odpowiedzi. Formularze do komunikacji
umożliwiają również dołączenie załącznika do przesyłanej wiadomości. W uzasadnionych przypadkach uniemożliwiających komunikację za pośrednictwem Platformy e-Zamówienia, Zamawiający dopuszcza komunikację za pomocą poczty elektronicznej na adres e-mail: inwestycje.strategiczne@umwm.malopolska.pl (nie dotyczy składania ofert).

Nie

Nie dotyczy

polski

Klauzule informacyjne z art. 13 i 14 RODO zostały ujęte w rozdziale XXVIII SWZ.

Nie

IS-I.272.7.2026

Usługi

Tak

Nie

Nie

Przedmiotem zamówienia jest przeprowadzenie zewnętrznych kompleksowych testów penetracyjnych i testów bezpieczeństwa platformy Małopolskiego Systemu Informacji Medycznej (MSIM).
Obszary testowe (podejście grey-box):
1) Testy bezpieczeństwa aplikacji i mechanizmów uwierzytelniania
2) Testy autoryzacji i kontroli dostępu
3) Testy podatności aplikacyjnych
4) Testy bezpieczeństwa interfejsów API
5) Testy mechanizmów kryptograficznych i ochrony danych
6) Testy konfiguracji i komponentów
7) Testy odporności i dostępności
8)Testy skuteczności mechanizmów monitorowania i rejestrowania zdarzeń
9) Testy zgodności z wymogami bezpieczeństwa i prywatności
10) Testy bezpieczeństwa warstwy ekspozycji.

Przedmiot zamówienia został szczegółowo określony w Opisie Przedmiotu Zamówienia (OPZ), stanowiącym załącznik nr 8 do SWZ oraz w projekcie umowy, stanowiącym załącznik nr 9 do SWZ.

72254000-0 - Testowanie oprogramowania

72810000-1 - Usługi audytu komputerowego

Nie

90 dni

Nie

Nie

Procentowo

Kryterium ceny oraz kryteria jakościowe

Cena

60

organizacja, kwalifikacje zawodowe i doświadczenie osób wyznaczonych do realizacji zamówienia

Kwalifikacje Testera wiodącego

30

organizacja, kwalifikacje zawodowe i doświadczenie osób wyznaczonych do realizacji zamówienia

Dodatkowy personel, skierowany do realizacji zamówienia – tester oprogramowania

10

Nie

Tak

Art. 109 ust. 1 pkt 1

Art. 109 ust. 1 pkt 4

Art. 109 ust. 1 pkt 8

Art. 109 ust. 1 pkt 10

Tak

Warunek udziału w postępowaniu, dotyczący zdolności technicznej i zawodowej, zostanie uznany za spełniony, gdy Wykonawca wykaże, że:
1. należycie wykonał (lub wykonuje – w przypadku świadczeń powtarzających się lub ciągłych) w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, co najmniej dwie usługi, z których każda obejmowała przeprowadzenie testów penetracyjnych i testów bezpieczeństwa systemu informatycznego udostępnianego w sieci Internet (aplikacji internetowej wraz z jej interfejsami API), wykonanych zgodnie z uznaną metodyką testów bezpieczeństwa (OWASP Web Security Testing Guide, OWASP ASVS, PTES, NIST SP 800-115, OSSTMM lub równoważną) i zakończonych raportem zawierającym klasyfikację zidentyfikowanych podatności w skali CVSS oraz rekomendacje naprawcze, przy czym co najmniej jedna z tych usług dotyczyła systemu przetwarzającego dane osobowe szczególnych kategorii w rozumieniu art. 9 RODO.
2. dysponuje lub będzie dysponował na etapie realizacji zamówienia, osobami zdolnymi do wykonania zamówienia, które będą uczestniczyć w jego realizacji, spełniającymi następujące wymagania:
1) Audytor bezpieczeństwa – co najmniej 1 osoba legitymująca się posiadaniem co najmniej jednego z certyfikatów wymienionych w załączniku do rozporządzenia Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu (Dz. U. poz. 1999), w szczególności: CISA, CRISC, CISM, CISSP albo certyfikatu audytora wiodącego systemu zarządzania bezpieczeństwem informacji według normy PN-EN ISO/IEC 27001 wydanego przez jednostkę oceniającą zgodność akredytowaną w zakresie certyfikacji osób, albo certyfikatu technicznego z zakresu testów bezpieczeństwa lub testów penetracyjnych (OSCP, OSCP+, GPEN, GWAPT, GXPN, CEH Practical albo CEH Master), która w okresie ostatnich 3 lat przed upływem terminu składania ofert uczestniczyła w realizacji co najmniej 2 usług obejmujących audyty lub testy bezpieczeństwa systemów informatycznych, w tym co najmniej 1 usługi obejmującej testy penetracyjne

2) Tester oprogramowania - co najmniej 2 osoby, z których każda legitymuje się co najmniej jednym certyfikatem z zakresu testów penetracyjnych lub bezpieczeństwa aplikacji, tj. jednym z certyfikatów: CompTIA PenTest+, GFACT, eWPT, GWAPT, GPEN, CEH, CPTE, PNPT, CREST Registered Penetration Tester, Burp Suite Certified Practitioner (BSCP), HTB Certified Bug Bounty Hunter (CBBH), HTB Certified Penetration Testing Specialist (CPTS), OSCP, OSCP+, OSWE, albo certyfikatem ISTQB Certified Tester – Advanced Level Security Tester. Zamawiający dopuszcza wykazanie się certyfikatem równoważnym, niewymienionym powyżej, przy czym za równoważny Zamawiający uzna certyfikat, który łącznie: (i) obejmuje zakresem tematycznym metodykę testów penetracyjnych lub testów bezpieczeństwa aplikacji internetowych, (ii) jest wydawany po zdaniu egzaminu weryfikującego wiedzę lub umiejętności praktyczne z tego zakresu oraz (iii) został wydany przez podmiot niezależny od Wykonawcy i od osoby certyfikowanej, umożliwiający weryfikację ważności wydanych certyfikatów. Ciężar wykazania równoważności spoczywa na Wykonawcy. Każda z tych osób w okresie ostatnich 3 lat przed upływem terminu składania ofert uczestniczyła w realizacji co najmniej 2 usług obejmujących testy bezpieczeństwa lub testy penetracyjne aplikacji internetowych lub ich interfejsów API, wykonując zadania związane z przygotowaniem lub realizacją testów.
Skierowanie do realizacji zamówienia większej liczby Testerów oprogramowania stanowi kryterium oceny ofert (K3).
3) Tester wiodący - co najmniej 1 osoba legitymująca się certyfikatem z zakresu testów penetracyjnych na poziomie zaawansowanym, potwierdzonym egzaminem obejmującym zadania praktyczne, tj. jednym z certyfikatów: OSCP, OSCP+, OSWE, OSEP, OSED, GPEN, GWAPT, GXPN, eWPTX, PNPT, Burp Suite Certified Practitioner (BSCP), HTB Certified Penetration Testing Specialist (CPTS), CEH Practical albo CEH Master, CREST Certified Web Application Tester albo CREST Certified Infrastructure Tester. Zamawiający dopuszcza wykazanie się certyfikatem równoważnym, niewymienionym powyżej, przy czym za równoważny Zamawiający uzna certyfikat, który łącznie: (i) obejmuje zakresem tematycznym testy penetracyjne aplikacji internetowych lub infrastruktury teleinformatycznej na poziomie zaawansowanym, (ii) jest wydawany po zdaniu egzaminu obejmującego zadania praktyczne wykonywane w środowisku testowym wydawcy, polegające na identyfikacji i wykorzystaniu podatności oraz udokumentowaniu wyników, oraz (iii) został wydany przez podmiot niezależny od Wykonawcy i od osoby certyfikowanej, umożliwiający weryfikację ważności wydanych certyfikatów. Ciężar wykazania równoważności spoczywa na Wykonawcy. Osoba ta w okresie ostatnich 3 lat przed upływem terminu składania ofert uczestniczyła w realizacji co najmniej 3 usług obejmujących testy bezpieczeństwa lub testy penetracyjne aplikacji lub systemów informatycznych, w tym w co najmniej 2 usługach w roli osoby koordynującej lub kierującej pracami zespołu testowego.
Skierowanie do realizacji zamówienia w funkcji Testera wiodącego osoby o kwalifikacjach wyższych, niż powyżej opisane, stanowi kryterium oceny ofert (K2).

Tak

1. Wykonawca dołącza do oferty oświadczenie o:
1) niepodleganiu wykluczeniu oraz spełnianiu warunków udziału w postępowaniu w zakresie wskazanym w VII i VIII SWZ. Wzór oświadczenia stanowi załącznik nr 2 do SWZ;
2) niepodleganiu wykluczeniu z postępowania na podstawie art. 7 ust. 1 Ustawy o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego (Dz. U. z 2025 r., poz. 514). Wzór oświadczenia stanowi załącznik nr 2A do SWZ.
Zamawiający przed wyborem najkorzystniejszej oferty wezwie Wykonawcę, którego oferta została najwyżej oceniona, do złożenia w wyznaczonym terminie, nie krótszym niż 5 dni, aktualnych na dzień złożenia, następujących podmiotowych środków dowodowych w zakresie braku podstaw do wykluczenia:
a) informacji z Krajowego Rejestru Karnego w zakresie: art. 108 ust. 1 pkt 1 i 2 ustawy, art. 108 ust. 1 pkt 4 ustawy, dotyczącej orzeczenia zakazu ubiegania się o zamówienie publiczne tytułem środka karnego, sporządzonej nie wcześniej niż 6 miesięcy przed jej złożeniem;
b) oświadczenia Wykonawcy, w zakresie art. 108 ust. 1 pkt 5 ustawy, o braku przynależności do tej samej grupy kapitałowej w rozumieniu ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów (Dz. U. z 2024 r. poz. 1616), z innym Wykonawcą, który złożył odrębną ofertę, albo oświadczenia o przynależności do tej samej grupy kapitałowej wraz z dokumentami lub informacjami potwierdzającymi przygotowanie oferty, niezależnie od innego Wykonawcy należącego do tej samej grupy kapitałowej (załącznik nr 5 do SWZ);
c) zaświadczenia właściwego naczelnika urzędu skarbowego potwierdzającego, że Wykonawca nie zalega z opłacaniem podatków i opłat, w zakresie art. 109 ust. 1 pkt 1 ustawy, wystawionego nie wcześniej niż 3 miesiące przed jego złożeniem;
d) zaświadczenia albo innego dokumentu właściwej terenowej jednostki organizacyjnej Zakładu Ubezpieczeń Społecznych lub właściwego oddziału regionalnego lub właściwej placówki terenowej Kasy Rolniczego Ubezpieczenia Społecznego potwierdzającego, że Wykonawca nie zalega z opłacaniem składek na ubezpieczenia społeczne i zdrowotne, w zakresie art. 109 ust. 1 pkt 1 ustawy, wystawionego nie wcześniej niż 3 miesiące przed jego złożeniem,
e) odpisu lub informacji z Krajowego Rejestru Sądowego lub z Centralnej Ewidencji i Informacji o Działalności Gospodarczej, w zakresie art. 109 ust. 1 pkt 4 ustawy, sporządzonych nie wcześniej niż 3 miesiące przed jej złożeniem, jeżeli odrębne przepisy wymagają wpisu do rejestru lub ewidencji;
f) oświadczenia Wykonawcy o aktualności informacji zawartych w oświadczeniu, o którym mowa w art. 125 ust. 1 ustawy (załącznik nr 5 do SWZ).
W celu potwierdzenia braku podstaw wykluczenia Wykonawca zamiast odpowiednich podmiotowych środków dowodowych w zakresie wymienionym w rozdz. XII ust. 5 SWZ, może złożyć certyfikat, o którym mowa w art. 124 ust. 2 ustawy, potwierdzający udzielenie certyfikatu w zakresie niepodlegania wykluczeniu (obejmującym potwierdzenie braku istnienia podstaw wykluczenia z postępowania o udzielenie zamówienia, o których mowa w art. 108 ust. 1 oraz art. 109 ust. 1 pkt 1 i pkt 4 ustawy Pzp, a w przypadku istnienia podstaw wykluczenia - obejmującym udowodnienie spełnienia przesłanek określonych w art. 22 ust. 1 ustawy z dnia 5 sierpnia 2025 r. o certyfikacji wykonawców zamówień publicznych) i/lub spełniania warunków udziału w postępowaniu;

Zamawiający przed wyborem najkorzystniejszej oferty wezwie Wykonawcę, którego oferta została najwyżej oceniona, do złożenia w wyznaczonym terminie, nie krótszym niż 5 dni, aktualnych na dzień złożenia, następujących podmiotowych środków dowodowych w zakresie warunków udziału w postępowaniu dot. zdolności technicznej lub zawodowej:
a) wykaz usług wykonanych, a w przypadku świadczeń powtarzających się lub ciągłych również wykonywanych, w okresie ostatnich 3 lat, a jeżeli okres prowadzenia działalności jest krótszy - w tym okresie, wraz z podaniem ich wartości, przedmiotu, dat wykonania i podmiotów, na rzecz których usługi zostały wykonane lub są wykonywane, oraz załączeniem dowodów określających, czy te usługi zostały wykonane lub są wykonywane należycie, przy czym dowodami, o których mowa, są referencje bądź inne dokumenty sporządzone przez podmiot, na rzecz którego zostały wykonane, a w przypadku świadczeń powtarzających się lub ciągłych są wykonywane, a jeżeli wykonawca z przyczyn niezależnych od niego nie jest w stanie uzyskać tych dokumentów - oświadczenie Wykonawcy; w przypadku świadczeń powtarzających się lub ciągłych nadal wykonywanych referencje bądź inne dokumenty potwierdzające ich należyte wykonywanie powinny być wystawione w okresie ostatnich 3 miesięcy. Jeżeli Wykonawca powołuje się na doświadczenie w realizacji usług wykonywanych wspólnie z innymi wykonawcami ww. wykaz dotyczy usług, w których wykonywaniu Wykonawca ten bezpośrednio uczestniczył, a w przypadku świadczeń powtarzających się lub ciągłych, w których wykonywaniu bezpośrednio uczestniczył lub uczestniczy (załącznik nr 3 do SWZ). W wykazie Wykonawca wskazuje ponadto, w odniesieniu do każdej wykazywanej usługi: przedmiot testów, z określeniem, że dotyczyły systemu informatycznego udostępnianego w sieci Internet, w tym aplikacji internetowej wraz z jej interfejsami API, zastosowaną metodykę testów bezpieczeństwa, a także potwierdzenie, że usługa zakończyła się raportem zawierającym klasyfikację podatności w skali CVSS oraz rekomendacje naprawcze, oraz - w odniesieniu do co najmniej jednej usługi - że dotyczyła systemu przetwarzającego dane osobowe szczególnych kategorii w rozumieniu art. 9 RODO
b) wykaz osób, skierowanych przez wykonawcę do realizacji zamówienia publicznego, w szczególności odpowiedzialnych za świadczenie usług, kontrolę jakości wraz z informacjami na temat ich kwalifikacji zawodowych, uprawnień, doświadczenia i wykształcenia niezbędnych do wykonania zamówienia publicznego, a także zakresu wykonywanych przez nie czynności oraz informacją o podstawie do dysponowania tymi osobami – sporządzony wg wzoru stanowiącego (załącznik nr 4 do SWZ). W wykazie Wykonawca podaje dla każdej osoby nazwę certyfikatu, jego wydawcę, numer lub inny identyfikator umożliwiający weryfikację oraz datę ważności, a w przypadku powoływania się na certyfikat równoważny - informacje pozwalające ocenić spełnienie kryteriów równoważności określonych w rozdz. VIII pkt 2.

Do oferty należy dołączyć także:
1) Pełnomocnictwo upoważniające do złożenia oferty, o ile ofertę składa pełnomocnik;
2) Pełnomocnictwo dla pełnomocnika do reprezentowania w postępowaniu Wykonawców wspólnie ubiegających się o udzielenie zamówienia - dotyczy ofert składanych przez Wykonawców wspólnie ubiegających się o udzielenie zamówienia;
3) Oświadczenie Wykonawcy o niepodleganiu wykluczeniu z postępowania oraz
w przedmiocie spełniania warunków udziału w postępowaniu - załącznik nr 2 do SWZ;
4) Oświadczenie Wykonawcy o niepodleganiu wykluczeniu z postępowania w związku
z agresją na Ukrainę – załącznik nr 2A;
5) Zobowiązanie podmiotu udostępniającego zasoby do oddania mu do dyspozycji niezbędnych zasobów – załącznik nr 7A do SWZ – jeśli dotyczy;
6) Zobowiązanie podmiotu udostępniającego zasoby do oddania do dyspozycji Wykonawcy niezbędnych zasobów – załącznik nr 7B do SWZ – jeśli dotyczy

Nie

Nie

Nie

Tak

1. Wykonawcy mogą wspólnie ubiegać się o udzielenie zamówienia. 2. Wykonawcy wspólnie ubiegający się o udzielenie zamówienia ustanawiają pełnomocnika do reprezentowania ich w postępowaniu o udzielenie zamówienia albo do reprezentowania w postępowaniu i zawarcia umowy w sprawie zamówienia publicznego (do oferty należy załączyć odpowiednie pełnomocnictwo) chyba, że w przypadku spółki cywilnej, z umowy tej spółki wynika sposób jej reprezentowania (do stwierdzenia czego niezbędne jest załączenie do oferty umowy spółki cywilnej). Wszelka korespondencja oraz rozliczenia dokonywane będą wyłącznie z podmiotem występującym, jako pełnomocnik pozostałych. Oferta musi być podpisana w taki sposób, by prawnie zobowiązywała wszystkie podmioty występujące wspólnie. 3. Wykonawcy wspólnie
ubiegający się o udzielenie zamówienia, ponoszą solidarną odpowiedzialność za wykonanie umowy

Nie

Nie

Tak

Rodzaj i zakres zmian umowy oraz warunków ich wprowadzenia zostały określone w § 12 projektu umowy, stanowiącego załącznik numer 9 do SWZ.

Nie

2026-09-07 11:00

Poprzez platformę e-Zamówienia: https://ezamowienia.gov.pl/mp-client/search/list/ocds-148610-9117bf78-6fdf-4b4e-8544-5b17b3eed417

2026-09-07 11:15

do 2026-10-06