Wdrożenie systemu cyberbezpieczeństwa w Miejskim Przedsiębiorstwie Komunalnym w Koniecpolu Sp. z o.o. – obszar organizacyjny i kompetencyjny

Wykonawca zamierzający wziąć udział w postępowaniu musi posiadać konto podmiotu „Wykonawca” na Platformie e-Zamówienia. Szczegółowe informacje na temat zakładania kont podmiotów oraz zasady i warunki korzystania z Platformy e-Zamówienia określa Regulamin Platformy eZamówienia, dostępny na stronie https://ezamowienia.gov.pl. Komunikacja w postępowaniu, z wyłączeniem składania ofert, odbywa się drogą elektroniczną za pośrednictwem formularzy do komunikacji dostępnych w zakładce „Formularze” („Formularze do komunikacji”). Za ich pośrednictwem odbywa się w szczególności przekazywanie wezwań i zawiadomień, zadawanie pytań i udzielanie odpowiedzi.

RODO (obowiązek informacyjny): Zgodnie z art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE („RODO”), informuje się, że:
1. Administratorem danych osobowych Wykonawców jest Miejskie Przedsiębiorstwo Komunalne w Koniecpolu Sp. z o.o., ul. Zachodnia 30/40, 42-230 Koniecpol, reprezentowane przez Prezesa Zarządu, tel. (34) 355-15-41, e-mail: iwona.klapa@mpk.koniecpol.pl.
2. Administrator wyznaczył Inspektora Ochrony Danych, z którym można się skontaktować poprzez tel. 517583720, e-mail: ksiegowosc@mpk.koniecpol.pl, lub pisemnie na adres siedziby Administratora. Z Inspektorem Ochrony Danych można kontaktować się we wszystkich sprawach dotyczących przetwarzania danych osobowych oraz korzystania z praw związanych z przetwarzaniem danych.
3. Dane osobowe przetwarzane będą na podstawie art. 6 ust. 1 lit. c RODO w związku z ustawą Prawo zamówień publicznych, w celu związanym z przedmiotowym postępowaniem o udzielenie zamówienia.
4. Odbiorcami danych osobowych Wykonawców mogą być podmioty świadczące na rzecz Administratora usługi związane z obsługą i rozwojem systemów teleinformatycznych oraz zapewnieniem łączności, osoby lub podmioty, którym udostępniona zostanie dokumentacja postępowania w oparciu o art. 18 oraz art. 74 ustawy Pzp, a także inne właściwe organy upoważnione zgodnie z obowiązującym prawem. Jeśli dotyczy: instytucja zarządzająca lub pośrednicząca w programie finansującym grant „Cyberbezpieczne Wodociągi” w zakresie niezbędnym do realizacji jej zadań kontrolnych i audytowych.
Pełna treść klauzuli informacyjnej dotyczącej przetwarzania danych osobowych znajduje się w Rozdziale XXVII SWZ.
SEKCJA IV – PRZEDMIOT ZAMÓWIENIA

1. Przedmiotem zamówienia są usługi z zakresu cyberbezpieczeństwa w obszarze organizacyjnym i kompetencyjnym, realizowane na rzecz Zamawiającego w ramach projektu grantowego realizowanego w ramach konkursu „Cyberbezpieczne Wodociągi”. Zakres zamówienia obejmuje:
• audyt początkowy SZBI i SZCD wraz z oceną zgodności z wymaganiami KRI, ustawy o krajowym systemie cyberbezpieczeństwa, dyrektywy NIS2 i wskazanych norm (poz. 1.A OPZ);
• audyt końcowy SZBI i SZCD, w tym weryfikację stopnia wdrożenia zaleceń audytu początkowego (poz. 1.B OPZ);
• końcowy test systemów cyberbezpieczeństwa IT i OT – testy penetracyjne (poz. 2 OPZ);
• opracowanie i wdrożenie dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji – SZBI (poz. 3.A OPZ);
• opracowanie i wdrożenie dokumentacji Systemu Zarządzania Ciągłością Działania – SZCD, wraz ze szkoleniem kończącym wdrożenie dla kadry kierowniczej (poz. 3.B OPZ);
• szkolenia z zakresu cyberbezpieczeństwa i zarządzania bezpieczeństwem dla kadry pracowniczej (poz. 4.A OPZ);
• szkolenie specjalistyczne dla pracowników IT z zakresu cyberbezpieczeństwa i zarządzania infrastrukturą (poz. 4.B OPZ).
Zamówienie obejmuje także przygotowanie i przekazanie wszystkich raportów, dokumentacji systemowej, rejestrów, wzorów i materiałów szkoleniowych, przeprowadzenie wymaganych szkoleń wraz z wydaniem certyfikatów uczestnictwa oraz przeniesienie autorskich praw majątkowych do rezultatów usług – na zasadach określonych w OPZ i we wzorze umowy.

.Zamawiający zastosował cenę jako jedyne kryterium oceny ofert, ponieważ standardy jakościowe odnoszące się do wszystkich istotnych cech przedmiotu zamówienia, w tym kwalifikacje osób skierowanych do jego realizacji, zostały szczegółowo określone w OPZ oraz w warunkach udziału w postępowaniu. Oferta, która uzyska największą liczbę punktów, będzie uznana za najkorzystniejszą. Maksymalna łączna liczba punktów jaką może uzyskać Wykonawca wynosi 100 pkt.

1. O udzielenie zamówienia mogą ubiegać się Wykonawcy, którzy nie podlegają wykluczeniu na zasadach określonych w Rozdziale VII SWZ, oraz spełniają określone przez Zamawiającego warunki udziału w postępowaniu.
2. O udzielenie zamówienia mogą ubiegać się Wykonawcy, którzy spełniają warunki dotyczące:
a) zdolności do występowania w obrocie gospodarczym: Zamawiający nie stawia warunku w powyższym zakresie.
b) uprawnień do prowadzenia określonej działalności gospodarczej lub zawodowej, o ile wynika to z odrębnych przepisów: Zamawiający nie stawia warunku w powyższym zakresie.
c) sytuacji ekonomicznej lub finansowej: Zamawiający nie stawia warunku w powyższym zakresie.
d) zdolności technicznej lub zawodowej:
– doświadczenie: Wykonawca spełni ten warunek, jeżeli wykaże, że w okresie ostatnich trzech lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał (a w przypadku świadczeń powtarzających się lub ciągłych również wykonuje) co najmniej 2 usługi polegające na opracowaniu i wdrożeniu dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) lub Systemu Zarządzania Ciągłością Działania (SZCD), przy czym co najmniej jedna z tych usług została zrealizowana na rzecz podmiotu sektora finansów publicznych lub podmiotu eksploatującego środowisko technologii operacyjnej (OT);
– potencjał kadrowy: Wykonawca spełnia warunek dotyczący potencjału kadrowego, jeżeli wykaże, że dysponuje lub będzie dysponował osobami skierowanymi do realizacji zamówienia, w tym co najmniej:
1) audytorem wiodącym Systemu Zarządzania Bezpieczeństwem Informacji, posiadającym aktualny certyfikat audytora wiodącego PN-EN ISO/IEC 27001 (lub równoważny – zgodnie z Rozdziałem VIII lit. A ust. 6 pkt 1 SWZ) oraz doświadczenie w przeprowadzeniu audytów SZBI/zgodności;
2) osobą posiadającą kompetencje w zakresie Systemu Zarządzania Ciągłością Działania, potwierdzone certyfikatem w zakresie PN-EN ISO 22301 (lub równoważnym – zgodnie z Rozdziałem VIII lit. A ust. 6 pkt 2 SWZ) albo udokumentowanym doświadczeniem we wdrożeniu lub audycie SZCD;
3) certyfikowanym testerem bezpieczeństwa (pentesterem), posiadającym co najmniej jeden z certyfikatów: OSCP, CEH, eCPPT lub równoważny (zgodnie z Rozdziałem VIII lit. A ust. 6 pkt 3 SWZ), skierowanym do przeprowadzenia testów penetracyjnych;
Zamawiający dopuszcza łączenie powyższych ról przez jedną osobę, z zastrzeżeniem, że osoba (specjalista) realizująca opracowanie lub wdrożenie dokumentacji SZBI/SZCD nie może być jednocześnie osobą wykonującą audyt tych systemów (audyt początkowy lub końcowy), zgodnie z zasadą niezależności i bezstronności audytu określoną w OPZ (PN-EN ISO 19011, PN-EN ISO/IEC 27001 pkt 9.2).

Wykaz podmiotowych środków dowodowych na potwierdzenie spełniania warunków udziału w postępowaniu: Zgodnie z art. 274 ust. 1 ustawy Zamawiający przed wyborem najkorzystniejszej oferty wezwie Wykonawcę, którego oferta została najwyżej oceniona, do złożenia w wyznaczonym terminie, nie krótszym niż 5 dni, aktualnych na dzień złożenia następujących podmiotowych środków dowodowych: – wykazu usług wykonanych, a w przypadku świadczeń powtarzających się lub ciągłych również wykonywanych, w okresie ostatnich 3 lat, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wraz z podaniem ich wartości, przedmiotu, dat wykonania i podmiotów, na rzecz których usługi zostały wykonane lub są wykonywane, oraz załączeniem dowodów określających, czy te usługi zostały wykonane lub są wykonywane należycie, przy czym dowodami, o których mowa, są referencje bądź inne dokumenty sporządzone przez podmiot, na rzecz którego usługi zostały wykonane, a jeżeli Wykonawca z przyczyn niezależnych od niego nie jest w stanie uzyskać tych dokumentów – oświadczenie Wykonawcy; w przypadku świadczeń powtarzających się lub ciągłych nadal wykonywanych referencje powinny być wystawione w okresie ostatnich 3 miesięcy (§ 9 ust. 1 pkt 2 rozporządzenia Ministra Rozwoju, Pracy i Technologii z dnia 23 grudnia 2020 r. w sprawie podmiotowych środków dowodowych oraz innych dokumentów lub oświadczeń, jakich może żądać zamawiający od wykonawcy) – wzór stanowi załącznik nr 6 do SWZ;
– wykazu osób skierowanych przez Wykonawcę do realizacji zamówienia, wraz z informacjami na temat ich kwalifikacji zawodowych, doświadczenia, zakresu wykonywanych czynności oraz podstawy do dysponowania tymi osobami, a także kopiami certyfikatów lub innych dokumentów potwierdzających kwalifikacje, o których mowa w Rozdziale VIII lit. A ust. 2 lit. d SWZ (§ 9 ust. 1 pkt 3 ww. rozporządzenia) – wzór stanowi załącznik nr 9 do SWZ.
Zamawiający nie wzywa do złożenia podmiotowych środków dowodowych, jeżeli może je uzyskać za pomocą bezpłatnych i ogólnodostępnych baz danych, a Wykonawca wskazał w oświadczeniu dane umożliwiające dostęp do tych środków, lub jeżeli podmiotowy środek dowodowy jest w posiadaniu Zamawiającego i jest aktualny (art. 127 ustawy Pzp).
Jeżeli Wykonawca nie złożył wymaganych podmiotowych środków dowodowych lub są one niekompletne lub zawierają błędy, Zamawiający wezwie Wykonawcę do ich złożenia, poprawienia lub uzupełnienia w wyznaczonym terminie, na zasadach określonych w art. 128 ustawy Pzp.

Zamawiający nie wymaga złożenia podmiotowych środków dowodowych na potwierdzenie braku podstaw wykluczenia. Weryfikacja braku podstaw wykluczenia nastąpi na podstawie oświadczenia, o którym mowa w art. 125 ust. 1 ustawy (załącznik nr 2 do SWZ), składanego wraz z ofertą, oraz informacji dostępnych w bezpłatnych i ogólnodostępnych bazach danych (KRS, CEIDG, lista osób i podmiotów objętych sankcjami prowadzona przez ministra właściwego do spraw wewnętrznych).

W celu potwierdzenia, że oferowane usługi odpowiadają wymaganiom określonym przez Zamawiającego w zakresie bezpieczeństwa rozwiązań ICT, Zamawiający wymaga złożenia wraz z ofertą (art. 107 ust. 1 ustawy Pzp) następującego przedmiotowego środka dowodowego:
oświadczenia Wykonawcy w zakresie produktów ICT, usług ICT i procesów ICT, sporządzonego według wzoru stanowiącego załącznik nr 8 do SWZ, służącego potwierdzeniu, że produkty ICT, usługi ICT oraz procesy ICT wykorzystywane do realizacji zamówienia spełniają wymagania określone w Rozdziale III ust. 6 SWZ.

W przypadku, gdy Wykonawca nie złożył przedmiotowego środka dowodowego lub złożony przedmiotowy środek dowodowy jest niekompletny, Zamawiający wezwie Wykonawcę do jego złożenia lub uzupełnienia w wyznaczonym terminie (art. 107 ust. 2 ustawy Pzp), z wyłączeniem przypadku, gdy pomimo złożenia przedmiotowego środka dowodowego oferta podlega odrzuceniu albo zachodzą przesłanki unieważnienia postępowania. Uzupełnienie przedmiotowego środka dowodowego nie może prowadzić do zmiany treści oferty, w szczególności do zmiany zobowiązań Wykonawcy wynikających z Formularza Ofertowego.

1. Wykonawcy mogą wspólnie ubiegać się o udzielenie zamówienia. W takim przypadku Wykonawcy ustanawiają pełnomocnika do reprezentowania ich w postępowaniu albo do reprezentowania i zawarcia umowy w sprawie zamówienia publicznego. Pełnomocnictwo winno być załączone do oferty.
2. W przypadku Wykonawców wspólnie ubiegających się o udzielenie zamówienia, oświadczenia, o których mowa w Rozdziale X lit. A ust. 1 SWZ, składa każdy z Wykonawców.
3. Oświadczenia i dokumenty potwierdzające brak podstaw do wykluczenia z postępowania składa każdy z Wykonawców wspólnie ubiegających się o zamówienie.
4. W przypadku gdy Wykonawcy wspólnie ubiegają się o udzielenie zamówienia, dołączają do oferty oświadczenie, z którego wynika, które usługi wykonają poszczególni Wykonawcy – zgodnie z załącznikiem nr 3 do SWZ.
5. Wykonawcy wspólnie ubiegający się o udzielenie zamówienia ponoszą solidarną odpowiedzialność za wykonanie umowy (art. 445 ust. 1 ustawy Pzp).

Rodzaj i zakres zmian umowy oraz warunki ich wprowadzenia: Zamawiający przewiduje możliwość zmiany umowy na podstawie art. 455 ust. 1 pkt 1 ustawy Pzp, w przypadkach i na warunkach określonych w § 11 projektowanych postanowień umowy (załącznik nr 7 do SWZ), w szczególności w przypadku: działania siły wyższej lub innych okoliczności niezależnych od Stron uniemożliwiających wykonanie umowy w terminie – w zakresie terminu realizacji; zmian w zakresie podwykonawców; ustawowej zmiany stawki podatku VAT; okoliczności nieistotnych w rozumieniu art. 454 ust. 2 ustawy Pzp; opóźnienia w realizacji części technicznej projektu (dostawy i wdrożenia systemów cyberbezpieczeństwa IT/OT), od której zależy realizacja szkoleń, testów penetracyjnych i audytu końcowego – w zakresie terminu realizacji lub harmonogramu; wydania rekomendacji albo decyzji, o których mowa w art. 33 ust. 4 i art. 67b ust. 15 ustawy o krajowym systemie cyberbezpieczeństwa – w zakresie zmiany rozwiązania ICT, bez zwiększenia wynagrodzenia. Zmiana umowy jest ponadto dopuszczalna w przypadkach określonych w art. 455 ust. 1 pkt 2–4 oraz ust. 2 ustawy Pzp.