Testy penetracyjne elektronicznych sterowników wyszczególnionych komponentów dla 12-metrowego autobusu elektrycznego z napędem rozproszonym.

Testy penetracyjne elektronicznych sterowników Opis przedmiotu zamówienia: Przedmiotem zamówienia jest wykonanie testów penetracyjnych dla niżej wymienionych elektronicznych sterowników (ECU) wyszczególnionych komponentów dla 12-metrowego autobusu elektrycznego z napędem rozproszonym: 1. Producent VURTH, Nazwa/nr identyfikacyjny: ICCS Micro Gateway / ICS-97208 (Software: Wurth Internal Index: F80996), Magistrala komunikacyjna: CAN (ISO 11898-2, SAE J1939, Grupa A, Indeks: 0004-141-215 2. Producent ZF, Nazwa/nr identyfikacyjny: Wabco VCM (Gateway ECU) / 446 270 202 0 , Magistrala komunikacyjna: CAN (ISO 11898-2, SAE J1939) , Grupa A , Indeks: 0000-293-211 3. Producent VOITH, Nazwa/nr identyfikacyjny: Traction inverter, Magistrala komunikacyjna: CAN (ISO 11898-2, SAE J1939), JTAC, Grupa A, Indeks: 0004-816-679 4. Producent Isabellenhütte, Nazwa/nr identyfikacyjny: Multisensor IVT3, Magistrala komunikacyjna: CAN (ISO 11898-2, SAE J1939), Grupa B, Indeks: N/A 5. Producent ZF, Nazwa/nr identyfikacyjny: ISA BOX (MAP MODULE), Magistrala komunikacyjna: CAN (ISO 11898-2, SAE J1939), USB, Grupa C, Indeks: 0004-156-748 Sterowniki zostały pogrupowane w grupy A, B i C. Grupa A zawiera sterowniki o najwyższym priorytecie potrzeby testowania. Grupy B i C mają odpowiednio przypisane średni i niski priorytet potrzeby testowania. Zamawiający w ramach zamówienia w pierwszej kolejności wykona testy o najwyższym priorytecie – grupa A, realizacja testów o niższym priorytecie - grupy B oraz C, będzie zależała od dostępności budżetu oraz ceny złożonych ofert. Wszystkie sterowniki (niezależnie od przypisanej grupy) zostaną dostarczone bez wiązek testowych. Konieczna dokumentacja techniczna (m.in. dot. przygotowania wiązek testowych) zostanie dostarczona elektronicznie wybranemu wykonawcy po podpisaniu umowy. Koszt dostawy sterowników przeznaczonych do testów penetracyjnych ponosi odpowiednio: - W ramach wysyłki sterowników na testy Zamawiający. - W ramach zwrotu sterowników po realizacji testów Wykonawca. Zakres merytoryczny testów penetracyjnych dla każdego z ww. sterowników powinien obejmować przynajmniej: • Analizę procesu aktualizacji oprogramowania układowego (firmware) testowanego sterownika pod kątem potencjalnych luk bezpieczeństwa z uwzględnieniem możliwości wgrania oprogramowania w sposób nieautoryzowany lub z pominięciem przeznaczonego do tego interfejsu lub protokołu. • Wykrycie i analiza dostępnych protokołów komunikacyjnych, które mogą potencjalnie służyć do wgrywania oprogramowania. • Weryfikację możliwości obejścia zabezpieczeń uwierzytelniania i integralności wgrywanego oprogramowania. • Weryfikację możliwości spowodowania potencjalnej niedostępności sterownika lub identyfikowalnego zakłócenia jego pracy w momencie wgrywania oprogramowania. • Weryfikację możliwości pobrania (ściągnięcia) kopii oprogramowania z testowanego sterownika. Szczegółowa lista zadań do realizacji obejmuje: • Opracowanie i udokumentowanie scenariuszy testów penetracyjnych. Scenariusz powinien obejmować przynajmniej: o opis scenariusza, opcjonalnie uzupełniony poglądowym rysunkiem, jeżeli uznano, że pomoże to wyjaśnić naturę scenariusza ataku, o opis oczekiwanego efektu, o techniczny opis realizacji ataku. • Przeprowadzenie testów w oparciu o zdefiniowane scenariusze wraz z szczegółowym udokumentowaniem wyników realizacji poszczególnych scenariuszy. W szczególności wyniki testów powinny zawierać jednoznaczne dowody efektów realizacji scenariuszy na przykład w postaci: o listingów (i/lub zrzutów ekranu) z oprogramowania wykorzystanego do przeprowadzenia w/w zdefiniowanych ataków, o słownych opisów zachowania sterownika podczas realizacji ataków, o zdjęć. • Przygotowanie końcowego raportu z realizacji testów penetracyjnych, który będzie zawierał: o Zdefiniowane scenariusze testów penetracyjnych wraz z opisem realizacji tak jak podano powyżej. o Zidentyfikowane podatności (luki bezpieczeństwa) wraz z:  określeniem poziomu istotności podatności w oparciu o wybrany system oceny istotności podatności,  opisem podatności popartym dowodami istnienia podatności tak jak wskazano w punkcie dot. realizacji scenariuszy ataku,  rekomendacjami dotyczącymi sposobu usunięcia podatności lub zastosowania kompensujących zabezpieczeń w celu obniżenia ryzyka wykorzystania podatności. a. Kody CPV zamówienia: 73300000-5 - Projekt i realizacja badań oraz rozwój 73430000-5 - Testy i ocena 73431000-2 - Testy i ocena sprzętu bezpieczeństwa b. Miejsce realizacji zamówienia: Siedziba Wykonawcy c. Termin realizacji zamówienia – Szczegółowy termin rozpoczęcia zostanie uzgodniony z wybranym Wykonawcą. Planowany harmonogram realizacji zamówienia: • Zawarcie umowy: lipiec - sierpień 2026 • Termin realizacji testów: wrzesień 2026 • Zakończenie projektu (łącznie z przekazaniem końcowego raportu): do 30.09.2026 Szczegółowy termin realizacji testów (termin przekazania i zwrotu testowanych komponentów, czas realizacji, przekazanie raportów końcowych) zostanie uzgodniony z wybranym Wykonawcą. d. Termin związania ofertą (termin ważności oferty) – 30 dni kalendarzowych licząc od dnia następującego po dniu, w którym przypada termin składania ofert. Na żądanie Zamawiającego oferenci mogą być jednokrotnie zobowiązani do przedłużenia terminu związania ofertą o dodatkowe 60 dni, pod rygorem odrzucenia oferty. e. Zamawiający nie dopuszcza możliwości składania ofert częściowych. Zamówienie stanowi integralną całość. Zamawiający dopuszcza możliwość publikacji ewentualnych kolejnych zamówień związanych z realizacją testów bezpieczeństwa. f. Zamawiający nie dopuszcza możliwości składania ofert wariantowych. g. Zamawiający nie dopuszcza możliwości powierzenia (podwykonawstwa) całości lub części zamówienia podmiotom innym niż Wykonawca w formie podwykonawstwa rozumianego jako przekazanie odpowiedzialności za realizację części zamówienia osobom trzecim działającym niezależnie od Wykonawcy. Dopuszcza się jednak realizację części zamówienia przy wsparciu osób trzecich, pod warunkiem uzyskania uprzedniej pisemnej zgody Zamawiającego. Równoważność Wszędzie tam, gdzie przedmiot zamówienia jest opisany poprzez wskazanie znaków towarowych, patentów lub pochodzenia, źródła lub szczególnego procesu dopuszcza się zastosowanie rozwiązań równoważnych w stosunku do opisanych, pod warunkiem, że będą one posiadały co najmniej takie same lub lepsze parametry techniczne i funkcjonalne i nie obniżą określonych w dokumentacji standardów. Wszędzie tam, gdzie przedmiot zamówienia opisany jest przez odniesienie do norm, ocen technicznych, specyfikacji technicznych i systemów referencji technicznych dopuszcza się rozwiązania równoważne opisywanym.