Przeprowadzenie zewnętrznych kompleksowych testów penetracyjnych i testów bezpieczeństwa platformy Małopolskiego Systemu Informacji Medycznej (MSIM)

WOJEWÓDZTWO MAŁOPOLSKIE

REGON 351554287

ul. Basztowa 22

Kraków

31-156

małopolskie

Polska

PL213 - Miasto Kraków

12 61 60 320

inwestycje.strategiczne@umwm.malopolska.pl

https://bip.malopolska.pl

Zamawiający publiczny - jednostka sektora finansów publicznych - jednostka samorządu terytorialnego

Ogólne usługi publiczne

2026/BZP 00415893

2026-09-01

Ogłoszenie o zamówieniu

2026/BZP 00404481

01

SEKCJA V - KWALIFIKACJA WYKONAWCÓW

Warunek udziału w postępowaniu, dotyczący zdolności technicznej i zawodowej, zostanie uznany za spełniony, gdy Wykonawca wykaże, że: 1. należycie wykonał (lub wykonuje – w przypadku świadczeń powtarzających się lub ciągłych) w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, co najmniej dwie usługi, z których każda obejmowała przeprowadzenie testów penetracyjnych i testów bezpieczeństwa systemu informatycznego udostępnianego w sieci Internet (aplikacji internetowej wraz z jej interfejsami API), wykonanych zgodnie z uznaną metodyką testów bezpieczeństwa (OWASP Web Security Testing Guide, OWASP ASVS, PTES, NIST SP 800-115, OSSTMM lub równoważną) i zakończonych raportem zawierającym klasyfikację zidentyfikowanych podatności w skali CVSS oraz rekomendacje naprawcze, przy czym co najmniej jedna z tych usług dotyczyła systemu przetwarzającego dane osobowe szczególnych kategorii w rozumieniu art. 9 RODO. 2. dysponuje lub będzie dysponował na etapie realizacji zamówienia, osobami zdolnymi do wykonania zamówienia, które będą uczestniczyć w jego realizacji, spełniającymi następujące wymagania: 1) Audytor bezpieczeństwa – co najmniej 1 osoba legitymująca się posiadaniem co najmniej jednego z certyfikatów wymienionych w załączniku do rozporządzenia Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu (Dz. U. poz. 1999), w szczególności: CISA, CRISC, CISM, CISSP albo certyfikatu audytora wiodącego systemu zarządzania bezpieczeństwem informacji według normy PN-EN ISO/IEC 27001 wydanego przez jednostkę oceniającą zgodność akredytowaną w zakresie certyfikacji osób, albo certyfikatu technicznego z zakresu testów bezpieczeństwa lub testów penetracyjnych (OSCP, OSCP+, GPEN, GWAPT, GXPN, CEH Practical albo CEH Master), która w okresie ostatnich 3 lat przed upływem terminu składania ofert uczestniczyła w realizacji co najmniej 2 usług obejmujących audyty lub testy bezpieczeństwa systemów informatycznych, w tym co najmniej 1 usługi obejmującej testy penetracyjne 2) Tester oprogramowania - co najmniej 2 osoby, z których każda legitymuje się co najmniej jednym certyfikatem z zakresu testów penetracyjnych lub bezpieczeństwa aplikacji, tj. jednym z certyfikatów: CompTIA PenTest+, GFACT, eWPT, GWAPT, GPEN, CEH, CPTE, PNPT, CREST Registered Penetration Tester, Burp Suite Certified Practitioner (BSCP), HTB Certified Bug Bounty Hunter (CBBH), HTB Certified Penetration Testing Specialist (CPTS), OSCP, OSCP+, OSWE, albo certyfikatem ISTQB Certified Tester – Advanced Level Security Tester. Zamawiający dopuszcza wykazanie się certyfikatem równoważnym, niewymienionym powyżej, przy czym za równoważny Zamawiający uzna certyfikat, który łącznie: (i) obejmuje zakresem tematycznym metodykę testów penetracyjnych lub testów bezpieczeństwa aplikacji internetowych, (ii) jest wydawany po zdaniu egzaminu weryfikującego wiedzę lub umiejętności praktyczne z tego zakresu oraz (iii) został wydany przez podmiot niezależny od Wykonawcy i od osoby certyfikowanej, umożliwiający weryfikację ważności wydanych certyfikatów. Ciężar wykazania równoważności spoczywa na Wykonawcy. Każda z tych osób w okresie ostatnich 3 lat przed upływem terminu składania ofert uczestniczyła w realizacji co najmniej 2 usług obejmujących testy bezpieczeństwa lub testy penetracyjne aplikacji internetowych lub ich interfejsów API, wykonując zadania związane z przygotowaniem lub realizacją testów. Skierowanie do realizacji zamówienia większej liczby Testerów oprogramowania stanowi kryterium oceny ofert (K3). 3) Tester wiodący - co najmniej 1 osoba legitymująca się certyfikatem z zakresu testów penetracyjnych na poziomie zaawansowanym, potwierdzonym egzaminem obejmującym zadania praktyczne, tj. jednym z certyfikatów: OSCP, OSCP+, OSWE, OSEP, OSED, GPEN, GWAPT, GXPN, eWPTX, PNPT, Burp Suite Certified Practitioner (BSCP), HTB Certified Penetration Testing Specialist (CPTS), CEH Practical albo CEH Master, CREST Certified Web Application Tester albo CREST Certified Infrastructure Tester. Zamawiający dopuszcza wykazanie się certyfikatem równoważnym, niewymienionym powyżej, przy czym za równoważny Zamawiający uzna certyfikat, który łącznie: (i) obejmuje zakresem tematycznym testy penetracyjne aplikacji internetowych lub infrastruktury teleinformatycznej na poziomie zaawansowanym, (ii) jest wydawany po zdaniu egzaminu obejmującego zadania praktyczne wykonywane w środowisku testowym wydawcy, polegające na identyfikacji i wykorzystaniu podatności oraz udokumentowaniu wyników, oraz (iii) został wydany przez podmiot niezależny od Wykonawcy i od osoby certyfikowanej, umożliwiający weryfikację ważności wydanych certyfikatów. Ciężar wykazania równoważności spoczywa na Wykonawcy. Osoba ta w okresie ostatnich 3 lat przed upływem terminu składania ofert uczestniczyła w realizacji co najmniej 3 usług obejmujących testy bezpieczeństwa lub testy penetracyjne aplikacji lub systemów informatycznych, w tym w co najmniej 2 usługach w roli osoby koordynującej lub kierującej pracami zespołu testowego. Skierowanie do realizacji zamówienia w funkcji Testera wiodącego osoby o kwalifikacjach wyższych, niż powyżej opisane, stanowi kryterium oceny ofert (K2). Po zmianie: Warunek udziału w postępowaniu, dotyczący zdolności technicznej i zawodowej, zostanie uznany za spełniony, gdy Wykonawca wykaże, że: 1. należycie wykonał (lub wykonuje – w przypadku świadczeń powtarzających się lub ciągłych) w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, co najmniej dwie usługi, z których każda obejmowała przeprowadzenie testów penetracyjnych i testów bezpieczeństwa systemu informatycznego udostępnianego w sieci Internet (aplikacji internetowej wraz z jej interfejsami API), wykonanych zgodnie z uznaną metodyką testów bezpieczeństwa (OWASP Web Security Testing Guide, OWASP ASVS, PTES, NIST SP 800-115, OSSTMM lub równoważną) i zakończonych raportem zawierającym klasyfikację zidentyfikowanych podatności w skali CVSS oraz rekomendacje naprawcze, przy czym co najmniej jedna z tych usług dotyczyła systemu przetwarzającego dane osobowe szczególnych kategorii w rozumieniu art. 9 RODO. 2. dysponuje lub będzie dysponował na etapie realizacji zamówienia, osobami zdolnymi do wykonania zamówienia, które będą uczestniczyć w jego realizacji, spełniającymi następujące wymagania: 1) Audytor bezpieczeństwa – co najmniej 1 osoba legitymująca się posiadaniem co najmniej jednego z certyfikatów wymienionych w załączniku do rozporządzenia Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu (Dz. U. poz. 1999), w szczególności: CISA, CRISC, CISM, CISSP albo certyfikatu audytora wiodącego systemu zarządzania bezpieczeństwem informacji według normy PN-EN ISO/IEC 27001 lub równoważnej wydanego przez jednostkę oceniającą zgodność akredytowaną w zakresie certyfikacji osób, albo certyfikatu technicznego z zakresu testów bezpieczeństwa lub testów penetracyjnych (OSCP, OSCP+, GPEN, GWAPT, GXPN, CEH Practical albo CEH Master), która w okresie ostatnich 3 lat przed upływem terminu składania ofert uczestniczyła w realizacji co najmniej 2 usług obejmujących audyty lub testy bezpieczeństwa systemów informatycznych, w tym co najmniej 1 usługi obejmującej testy penetracyjne 2) Tester oprogramowania - co najmniej 2 osoby, z których każda legitymuje się co najmniej jednym certyfikatem z zakresu testów penetracyjnych lub bezpieczeństwa aplikacji, tj. jednym z certyfikatów: CompTIA PenTest+, GFACT, eWPT, GWAPT, GPEN, CEH, CPTE, PNPT, CREST Registered Penetration Tester, Burp Suite Certified Practitioner (BSCP), HTB Certified Bug Bounty Hunter (CBBH), HTB Certified Penetration Testing Specialist (CPTS), OSCP, OSCP+, OSWE, albo certyfikatem ISTQB Certified Tester – Advanced Level Security Tester. Zamawiający dopuszcza wykazanie się certyfikatem równoważnym, niewymienionym powyżej, przy czym za równoważny Zamawiający uzna certyfikat, który łącznie: (i) obejmuje zakresem tematycznym metodykę testów penetracyjnych lub testów bezpieczeństwa aplikacji internetowych, (ii) jest wydawany po zdaniu egzaminu weryfikującego wiedzę lub umiejętności praktyczne z tego zakresu oraz (iii) został wydany przez podmiot niezależny od Wykonawcy i od osoby certyfikowanej, umożliwiający weryfikację ważności wydanych certyfikatów. Ciężar wykazania równoważności spoczywa na Wykonawcy. Każda z tych osób w okresie ostatnich 3 lat przed upływem terminu składania ofert uczestniczyła w realizacji co najmniej 2 usług obejmujących testy bezpieczeństwa lub testy penetracyjne aplikacji internetowych lub ich interfejsów API, wykonując zadania związane z przygotowaniem lub realizacją testów. Skierowanie do realizacji zamówienia większej liczby Testerów oprogramowania stanowi kryterium oceny ofert (K3). 3) Tester wiodący - co najmniej 1 osoba legitymująca się certyfikatem z zakresu testów penetracyjnych na poziomie zaawansowanym, potwierdzonym egzaminem obejmującym zadania praktyczne, tj. jednym z certyfikatów: OSCP, OSCP+, OSWE, OSEP, OSED, GPEN, GWAPT, GXPN, eWPTX, PNPT, Burp Suite Certified Practitioner (BSCP), HTB Certified Penetration Testing Specialist (CPTS), CEH Practical albo CEH Master, CREST Certified Web Application Tester albo CREST Certified Infrastructure Tester. Zamawiający dopuszcza wykazanie się certyfikatem równoważnym, niewymienionym powyżej, przy czym za równoważny Zamawiający uzna certyfikat, który łącznie: (i) obejmuje zakresem tematycznym testy penetracyjne aplikacji internetowych lub infrastruktury teleinformatycznej na poziomie zaawansowanym, (ii) jest wydawany po zdaniu egzaminu obejmującego zadania praktyczne wykonywane w środowisku testowym wydawcy, polegające na identyfikacji i wykorzystaniu podatności oraz udokumentowaniu wyników, oraz (iii) został wydany przez podmiot niezależny od Wykonawcy i od osoby certyfikowanej, umożliwiający weryfikację ważności wydanych certyfikatów. Ciężar wykazania równoważności spoczywa na Wykonawcy. Osoba ta w okresie ostatnich 3 lat przed upływem terminu składania ofert uczestniczyła w realizacji co najmniej 3 usług obejmujących testy bezpieczeństwa lub testy penetracyjne aplikacji lub systemów informatycznych, w tym w co najmniej 2 usługach w roli osoby koordynującej lub kierującej pracami zespołu testowego. Skierowanie do realizacji zamówienia w funkcji Testera wiodącego osoby o kwalifikacjach wyższych, niż powyżej opisane, stanowi kryterium oceny ofert (K2).

SEKCJA VIII - PROCEDURA

2026-09-07 11:00 Po zmianie: 2026-09-09 11:00

2026-09-07 11:15 Po zmianie: 2026-09-09 11:15

2026-10-06 Po zmianie: 2026-10-08