Opracowanie, wdrożenie, przegląd i aktualizacja Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) – U20 oraz utrzymanie, zarządzanie i doskonalenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) – U21 w ramach projektu pn. „Poprawa poziomu Cyberbezpieczeństwa w Miejskim Zakładzie Komunalnym Sp. z o.o. w Stalowej Woli”.

Opracowanie, wdrożenie, przegląd i aktualizacja Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) – U20 oraz utrzymanie, zarządzanie i doskonalenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) – U21 w ramach projektu pn. „Poprawa poziomu Cyberbezpieczeństwa w Miejskim Zakładzie Komunalnym Sp. z o.o. w Stalowej Woli”. 1. Przedmiotem zamówienia jest opracowanie, wdrożenie, przegląd i aktualizacja Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) oraz utrzymanie, zarządzanie i doskonalenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). 2. Zadanie realizowane jest w ramach projektu pn. „Poprawa poziomu Cyberbezpieczeństwa w Miejskim Zakładzie Komunalnym Sp. z o.o. w Stalowej Woli”, nr projektu KPOD.05.10-CW.01-001/25/0404 w ramach Krajowego Planu Odbudowy i Zwiększania Odporności Inwestycja C3.1.1 Cyberbezpieczeństwo – Cyberbezpieczne Wodociągi. 3. Przedmiotem Umowy jest wykonanie zamówienia obejmującego: 1) Etap I (U20): opracowanie, wdrożenie, przegląd i aktualizację Systemu Zarządzania Bezpieczeństwem Informacji (SZBI); realizacja etapu do 30 dni od dnia zawarcia umowy, 2) Etap II (U21): utrzymanie, zarządzanie i doskonalenie wdrożonego SZBI; realizacja po zakończeniu Etapu I, nie dłużej niż do 18 grudnia 2026 r. 4. Szczegółowy opis przedmiotu zamówienia określający wymagania dla przedmiotu zamówienia, a także zakres i warunki realizacji zamówienia zawierają: a) Załącznik nr 4 do Zapytania – Szczegółowy Opis Przedmiotu Zamówienia (OPZ), b) Załącznik nr 5 do Zapytania – wzór umowy. 5. Jeżeli oferta lub sposób realizacji zamówienia obejmuje dostarczenie Zamawiającemu albo wykorzystanie do przetwarzania informacji Zamawiającego produktu ICT, usługi ICT lub procesu ICT, nie mogą one: - być wskazane w rekomendacji, o której mowa w art. 33 ust. 4 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, stwierdzającej ich negatywny wpływ na podstawowy interes bezpieczeństwa państwa; - obejmować produktu ICT, którego typ został określony w decyzji, o której mowa w art. 67b ust. 15 ustawy o krajowym systemie cyberbezpieczeństwa, ani usługi ICT lub procesu ICT określonych w takiej decyzji. 6. Zamawiający przewiduje odbiór częściowy, po wykonaniu Etapu I (U20) oraz odbiór końcowy po wykonaniu Etapu II (U21). 6.1. Wynagrodzenie za U20 będzie płatne po odbiorze U20, na podstawie prawidłowo wystawionej faktury oraz podpisanego protokołu odbioru U20. 6.2. Wynagrodzenie za U21 będzie płatne po odbiorze końcowym U21, na podstawie prawidłowo wystawionej faktury oraz podpisanego protokołu końcowego U21. 6.3. Terminy realizacji poszczególnych etapów, zasady odbioru usługi oraz płatności zostały określone we wzorze umowy- Załącznik nr 5 do Zapytania ofertowego. 7. PODSTAWY WYKLUCZENIA: 7.1 Z postępowania wykluczeniu podlega Wykonawca, wobec którego zachodzą okoliczności wskazane w art. 7 ust. 1 ustawy o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego (Dz.U. z 2025 r. poz. 514 z późn. zm., dalej ustawa o agresji na Ukrainę), przy czym zgodnie z tym przepisem z postępowania o udzielenie zamówienia publicznego wyklucza się: 1) wykonawcę wymienionego w wykazach określonych w rozporządzeniu 765/2006 i rozporządzeniu 269/2014 albo wpisanego na listę na podstawie decyzji w sprawie wpisu na listę rozstrzygającej o zastosowaniu środka, o którym mowa w art. 1 pkt 3 ustawy o agresji na Ukrainę; 2) wykonawcę, którego beneficjentem rzeczywistym w rozumieniu ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2023 r. poz. 1124, z późn. zm.) jest osoba wymieniona w wykazach określonych w rozporządzeniu 765/2006 i rozporządzeniu 269/2014 albo wpisana na listę lub będąca takim beneficjentem rzeczywistym od dnia 24 lutego 2022 r., o ile została wpisana na listę na podstawie decyzji w sprawie wpisu na listę rozstrzygającej o zastosowaniu środka, o którym mowa w art. 1 pkt 3 ustawy o agresji na Ukrainę; 3) wykonawcę, którego jednostką dominującą w rozumieniu art. 3 ust. 1 pkt 37 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2023 r. poz. 120, 295 i 1598 oraz z 2024 r. poz. 619, 1685 i 1863) jest podmiot wymieniony w wykazach określonych w rozporządzeniu 765/2006 i rozporządzeniu 269/2014 albo wpisany na listę lub będący taką jednostką dominującą od dnia 24 lutego 2022 r., o ile został wpisany na listę na podstawie decyzji w sprawie wpisu na listę rozstrzygającej o zastosowaniu środka, o którym mowa w art. 1 pkt 3 ustawy o agresji na Ukrainę. - Ocena braku przesłanek wykluczenia zostanie dokonana według formuły „spełnia / nie spełnia” na podstawie oświadczenia Wykonawcy wg wzoru Załącznika nr 2 do Zapytania i/lub ogólnie dostępnych rejestrów. 8. Zamówienia nie mogą być udzielane podmiotom powiązanym z Zamawiającym osobowo lub kapitałowo. Zgodnie z Załącznikiem nr 1 Zamówienia udzielane w Przedsięwzięciach realizowanych w ramach inwestycji C3.1.1. do dokumentu: Zasady kwalifikowania wydatków w Przedsięwzięciach realizowanych w ramach Inwestycji C3.1.1. Krajowego Planu Odbudowy i Zwiększania Odporności, przez powiązania kapitałowe lub osobowe rozumie się wzajemne powiązania między beneficjentem (Zamawiającym) lub osobami upoważnionymi do zaciągania zobowiązań w imieniu beneficjenta (Zamawiającego) lub osobami wykonującymi w imieniu beneficjenta (Zamawiającego) czynności związane z przygotowaniem i przeprowadzeniem procedury wyboru wykonawcy, polegające w szczególności na: a) uczestniczeniu w spółce jako wspólnik spółki cywilnej lub spółki osobowej, b) posiadaniu co najmniej 10% udziałów lub akcji, o ile niższy próg nie wynika z przepisów prawa, c) pełnieniu funkcji członka organu nadzorczego lub zarządzającego, prokurenta, pełnomocnika, d) pozostawaniu w związku małżeńskim, w stosunku pokrewieństwa lub powinowactwa w linii prostej, pokrewieństwa drugiego stopnia lub powinowactwa drugiego stopnia w linii bocznej lub w stosunku przysposobienia, opieki lub kurateli, e) pozostawaniu z Zamawiającym w takim stosunku prawnym lub faktycznym, że istnieje uzasadniona wątpliwość co do ich bezstronności lub niezależności w związku z postępowaniem o udzielenie zamówienia. - Ocena braku podstaw wykluczenia zostanie dokonana według formuły „spełnia / nie spełnia” na podstawie oświadczenia Wykonawcy wg wzoru Załącznika nr 3 do Zapytania. 9. Wykonawca może zostać wykluczony przez Zamawiającego na każdym etapie postępowania o udzielenie zamówienia. 10. W przypadku wspólnego ubiegania się Wykonawców o udzielenie zamówienia Zamawiający bada, czy nie zachodzą podstawy wykluczenia wobec każdego z tych Wykonawców. 11. Jeżeli Wykonawca polega na zdolnościach lub sytuacji podmiotów udostępniających zasoby Zamawiający zbada, czy nie zachodzą wobec tego podmiotu podstawy wykluczenia, które zostały przewidziane względem Wykonawcy. Warunki udziału: Wiedza i doświadczenie: 1. Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, że w okresie ostatnich 5 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał co najmniej 2 usługi obejmujące opracowanie, wdrożenie, przegląd, aktualizację lub utrzymanie Systemu Zarządzania Bezpieczeństwem Informacji odpowiadającego wymaganiom PN-EN ISO/IEC 27001 lub normy równoważnej, przy czym co najmniej 1 z tych usług obejmowała opracowanie i wdrożenie SZBI. Co najmniej 1 (jedna) z usług wskazanych powyżej powinna dotyczyć organizacji posiadającej środowisko IT oraz OT/ICS/SCADA, systemy telemetryczne, automatykę przemysłową, rozproszoną infrastrukturę techniczną albo inne środowisko technologiczne o porównywalnym charakterze, lub obejmować czynności dotyczące bezpieczeństwa takiego środowiska. 2. Zamawiający dopuszcza, aby jedna usługa potwierdzała spełnienie więcej niż jednego z powyższych wymagań. 3. W przypadku usługi nadal wykonywanej do oceny spełnienia warunku uwzględniona zostanie wyłącznie część faktycznie i należycie wykonana przed terminem składania ofert. 4. Dowodami, o których mowa, są referencje bądź inne dokumenty wystawione przez podmiot, na rzecz którego usługi były/są wykonywane, a jeżeli z uzasadnionej przyczyny o obiektywnym charakterze Wykonawca nie jest w stanie uzyskać tych dokumentów - inne dokumenty. 5. Ocena spełniania warunku udziału zostanie dokonana według formuły „spełnia / nie spełnia” na podstawie Wykazu usług wg wzoru Załącznika nr 6 do Zapytania oraz załączonych dowodów określających czy usługi te zostały/są wykonane/wykonywane należycie. 6. Zamawiający nie dopuszcza by Wykonawca polegał na doświadczeniu grupy wykonawców, której był członkiem, jeżeli faktycznie nie wykonywał wykazywanego zakresu usług. Ten z członków konsorcjum, który wykazuje doświadczenie będzie wskazany jako wykonawca bezpośredni stosownego zakresu przedmiotowego zamówienia. Wykonawca może w celu potwierdzenia spełnienia powyższego warunku polegać na doświadczeniu innych podmiotów, niezależnie od charakteru prawnego łączących go z nim stosunków prawnych, jeśli podmioty te wykonają usługi, do realizacji których doświadczenie to jest wymagane. W takiej sytuacji Wykonawca składa wraz z ofertą zobowiązanie podmiotu udostępniającego zasoby do oddania mu do dyspozycji niezbędnych zasobów na potrzeby realizacji przedmiotu zamówienia - Załącznik nr 9 do Zapytania ofertowego. Wykonawcy wspólnie ubiegający się o udzielenie zamówienia dołączają do oferty oświadczenie, z którego wynika, które usługi wykonają poszczególni Wykonawcy lub podmioty trzecie. Osoby zdolne do wykonania zamówienia: 1. Warunek w zakresie osób skierowanych przez Wykonawcę do realizacji zamówienia, zostanie uznany za spełniony, jeśli Wykonawca wykaże, że dysponuje lub będzie dysponować do realizacji zamówienia co najmniej 3 osobami, pełniącymi następujące funkcje: 1) Ekspert wiodący SZBI – posiada co najmniej 3-letnie doświadczenie zawodowe związane z bezpieczeństwem informacji lub systemami zarządzania bezpieczeństwem informacji; doświadczenie w co najmniej 2 zadaniach dotyczących SZBI, w tym co najmniej 1 zadanie obejmujące opracowanie i wdrożenie SZBI; oraz kwalifikacje na poziomie wiodącym w zakresie wdrażania albo audytowania SZBI odpowiadającego PN-EN ISO/IEC 27001 lub normie równoważnej; 2) Ekspert ds. bezpieczeństwa OT/ICS/SCADA – posiada co najmniej 3-letnie doświadczenie zawodowe związane ze środowiskami OT, ICS/SCADA, automatyką przemysłową, systemami telemetrycznymi lub cyberbezpieczeństwem takich środowisk oraz uczestniczył w co najmniej 2 zadaniach obejmujących bezpieczeństwo, analizę ryzyka, opracowanie zasad bezpieczeństwa albo zarządzanie bezpieczeństwem środowiska OT/ICS/SCADA; 3) Audytor wewnętrzny SZBI – posiada co najmniej 3-letnie doświadczenie zawodowe w audytowaniu systemów zarządzania bezpieczeństwem informacji, doświadczenie w przeprowadzeniu co najmniej 3 audytów SZBI odnoszących się do PN-EN ISO/IEC 27001 lub normy równoważnej oraz kwalifikacje audytorskie potwierdzone certyfikatem albo dokumentem równoważnym. Uwaga 1: Funkcje Eksperta wiodącego SZBI, Eksperta ds. bezpieczeństwa OT/ICS/SCADA oraz Audytora wewnętrznego SZBI muszą być wykonywane przez 3 różne osoby. Zamawiający nie dopuszcza łączenia funkcji, tj. pełnienie jednocześnie przez jedną osobę więcej niż jednej funkcji. Osoby wykazane na potwierdzenie spełnienia warunków muszą rzeczywiście uczestniczyć w realizacji zakresu odpowiadającego ich kwalifikacjom. Uwaga 2: Warunek dotyczący osób, które wykonawca skieruje do wykonania zamówienia może być spełniony łącznie przez kilku wykonawców lub podmioty udostępniające zasoby lub przez jednego wykonawcę. 2. Kwalifikacje personelu i dokumenty równoważne: 1) Wymóg posiadania certyfikatu lub innego dokumentu potwierdzającego kwalifikacje nie oznacza obowiązku posiadania dokumentu wystawionego przez konkretnie wskazaną organizację szkoleniową, egzaminacyjną lub certyfikującą. Zamawiający dopuszcza certyfikaty, świadectwa kwalifikacji oraz inne dokumenty równoważne, jeżeli potwierdzają pozytywną weryfikację wiedzy lub kompetencji odpowiadających wymaganiom określonym dla danej funkcji. 2) W odniesieniu do Eksperta wiodącego SZBI Zamawiający uzna w szczególności certyfikat ISO/IEC 27001 Lead Implementer, ISO/IEC 27001 Lead Auditor albo inny równoważny dokument potwierdzający pozytywną weryfikację wiedzy lub kompetencji co najmniej w zakresie: wymagań SZBI, ustanawiania zakresu SZBI, analizy kontekstu organizacji, zarządzania ryzykiem, doboru zabezpieczeń, opracowywania i wdrażania dokumentacji, monitorowania SZBI, postępowania z niezgodnościami oraz ciągłego doskonalenia. 3) W odniesieniu do Audytora wewnętrznego SZBI Zamawiający uzna za odpowiednie w szczególności certyfikaty wskazane w rozporządzeniu Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu (Dz.U. z 2018 r. poz. 1999), tj.: a. Certified Internal Auditor (CIA) lub równoważny; b. Certified Information System Auditor (CISA) lub równoważny; c. certyfikat audytora wiodącego systemu zarządzania bezpieczeństwem informacji według normy PN-EN ISO/IEC 27001, wydany przez jednostkę oceniającą zgodność akredytowaną w zakresie certyfikacji osób lub równoważny; d. certyfikat audytora wiodącego systemu zarządzania ciągłością działania PN-EN ISO 22301, wydany przez jednostkę oceniającą zgodność akredytowaną w zakresie certyfikacji osób; e. Certified Information Security Manager (CISM) lub równoważny; f. Certified in Risk and Information Systems Control (CRISC) lub równoważny; g. Certified in the Governance of Enterprise IT (CGEIT) lub równoważny; h. Certified Information Systems Security Professional (CISSP) lub równoważny; i. Systems Security Certified Practitioner (SSCP) lub równoważny; j. Certified Reliability Professional lub równoważny; k. certyfikat uprawniający do posiadania tytułu ISA/IEC 62443 Cybersecurity Expert lub równoważny. Uwaga 1: Zamawiający wymaga, aby Audytor wewnętrzny SZBI posiadał co najmniej jeden certyfikat spośród wymienionych powyżej. 4) Zamawiający dopuszcza również inne dokumenty równoważne wobec dokumentów wskazanych powyżej. Za równoważny uznany zostanie dokument potwierdzający pozytywną weryfikację wiedzy lub kompetencji co najmniej w zakresie zasad prowadzenia audytów systemów zarządzania, opracowywania programu i planu audytu, prowadzenia czynności audytowych, gromadzenia i oceny dowodów, formułowania ustaleń i niezgodności, raportowania, działań poaudytowych oraz – w przypadku kwalifikacji na poziomie wiodącym – kierowania pracą zespołu audytowego. 5) Wykonawca powołujący się na dokument równoważny zobowiązany jest wykazać jego równoważność, w szczególności przez przedstawienie informacji o zakresie certyfikacji, programie egzaminu, zakresie zweryfikowanych kompetencji albo innych dokumentów pozwalających Zamawiającemu ocenić zakres potwierdzonych kwalifikacji. 6) Dokument potwierdzający wyłącznie udział lub ukończenie szkolenia, bez egzaminu, testu lub innej formy rzeczywistej weryfikacji wiedzy lub kompetencji, nie jest wystarczający do potwierdzenia spełnienia warunku. Lista wymaganych dokumentów/oświadczeń: 1. Do oferty sporządzonej na wymaganym Formularzu ofertowym (Załącznik nr 1) należy dołączyć następujące dokumenty, oświadczenia: 1) Oświadczenie o braku podstaw wykluczenia, w tym o braku przesłanek określonych w art. 7 ust. 1 ustawy sankcyjnej – Załącznik nr 2; 2) Oświadczenie dot. ICT– Załącznik nr 2A; 3) Oświadczenie dot. konfliktu interesów – Załącznik nr 3; 4) Odpis lub informacja z Krajowego Rejestru Sądowego, Centralnej Ewidencji i Informacji o Działalności Gospodarczej lub innego właściwego rejestru, w celu potwierdzenia, że osoba działająca w imieniu Wykonawcy jest umocowana do jego reprezentowania, chyba, że Zamawiający może je uzyskać za pomocą bezpłatnych i ogólnodostępnych baz danych, a Wykonawca wskazał dane umożliwiające dostęp do tych dokumentów – w odniesieniu do Wykonawcy/ Wykonawców wspólnie ubiegających się o udzielenie zamówienia 5) (jeżeli dotyczy) pełnomocnictwo lub inny dokument potwierdzający umocowanie do reprezentowania Wykonawcy/ Wykonawców wspólnie ubiegających się o udzielenie zamówienia, (jeżeli w imieniu Wykonawcy/ Wykonawców wspólnie ubiegających się o udzielenie zamówienia, działa osoba, której umocowanie do reprezentowania nie wynika z dokumentów, o których mowa w pkt 4); 6) (jeżeli dotyczy) pełnomocnictwo ustanowione dla pełnomocnika Wykonawców wspólnie ubiegających się o udzielenie zamówienia; 7) (jeżeli dotyczy) w przypadku gdy oferta zawiera informacje stanowiące tajemnicę przedsiębiorstwa w rozumieniu przepisów ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (t.j. Dz. U. z 2022 r. poz. 1233), Wykonawca, w celu utrzymania w poufności tych informacji, przekazuje je w wydzielonym i odpowiednio oznaczonym pliku. Plik z tajemnicą przedsiębiorstwa nie może być łączony z innymi plikami w jednym archiwum podpisywanym elektronicznie. Niespełnienie tych zasad zachowania poufności będzie skutkować uznaniem takich informacji za jawne; 8) Wykaz usług – Załącznik nr 6 wraz z dowodami potwierdzającymi należyte wykonanie/ wykonywanie usługi; 9) Wykaz osób – Załącznik nr 7 wraz z informacjami na temat doświadczenia, uprawnień, kwalifikacji osób będących w dyspozycji Wykonawcy do realizacji zamówienia i informacją o podstawie dysponowania tymi osobami oraz z kopiami dokumentów na potwierdzenie doświadczenia, uprawnień i kwalifikacji tych osób; 10) (jeżeli dotyczy) – Zobowiązanie podmiotu udostępniającego zasoby – Załącznik nr 9. Kryteria oceny ofert: Zamawiający stosować będzie kryterium cena brutto - waga 100%. Punkty liczone wg wzoru: C = (Cn / Cb) × 100 (do 2 miejsc po przecinku) Cn- cena najniższa spośród ofert nieodrzuconych Cb- cena oferty badanej Przyjmuje się, że 1 %= 1 pkt Miejsce realizacji: Stalowa Wola