Przegląd i aktualizacja SZBI, usługi audytowe oraz szkoleniowe z zakresu cyberbezpieczeństwa w ramach projektu pn. Cyberbezpieczne Wodociągi, - podniesienie odporności IT/OT i ciągłości działania, realizowanego w ramach Przedsięwzięcia pn. “Cyberbezpieczne Wodociągi”.

Przegląd i aktualizacja SZBI, usługi audytowe oraz szkoleniowe z zakresu cyberbezpieczeństwa w ramach projektu pn. Cyberbezpieczne Wodociągi, - podniesienie odporności IT/OT i ciągłości działania, realizowanego w ramach Przedsięwzięcia pn. “Cyberbezpieczne Wodociągi”. Część I – Przegląd i aktualizacja SZBI, audyty oraz szkolenie kadry zarządzającej: Przegląd i aktualizacja Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), w tym przegląd i opracowanie analizy ryzyka, przeprowadzenie audytu zgodności SZBI z Krajowymi Ramami Interoperacyjności (KRI), ustawą o krajowym systemie cyberbezpieczeństwa (UoKSC) i dyrektywą NIS 2, audytu cyberbezpieczeństwa sieci IT/OT oraz audytu ciągłości działania, opracowanie raportów i rekomendacji oraz przeprowadzenie szkolenia kadry zarządzającej z funkcjonowania SZBI. Część II – Szkolenia pracowników: przeprowadzenie szkoleń z cyberbezpieczeństwa dla pracowników Zamawiającego. Przedmiotem Części II jest przeprowadzenie szkoleń/warsztatów z zakresu cyberbezpieczeństwa dla pracowników Zamawiającego. Celem szkoleń jest podniesienie świadomości i kompetencji uczestników w zakresie typowych zagrożeń cyfrowych, bezpiecznego korzystania z systemów i urządzeń służbowych, ochrony danych oraz właściwego reagowania na incydenty i podejrzane komunikaty. Warunki udziału: Potencjał techniczny: Część I: O udzielenie zamówienia mogą się ubiegać Wykonawcy, którzy posiadają wdrożony System Zarządzania Bezpieczeństwem Informacji zgodny z normą ISO/IEC 27001, potwierdzony certyfikatem wydanym przez akredytowaną jednostkę certyfikującą lub dokumentem równoważnym; Wiedza i doświadczenie: Część I: O udzielenie zamówienia mogą się ubiegać Wykonawcy, którzy: a) wykażą, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy - w tym czasie, należycie wykonali, a w przypadku świadczeń powtarzających się lub ciągłych również wykonują, co najmniej 3 usługi polegające na opracowaniu i wdrożeniu albo przeglądzie i aktualizacji Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), o wartości co najmniej 18 000,00 zł brutto każda, zrealizowane na rzecz podmiotów sektora finansów publicznych, przedsiębiorstw użyteczności publicznej (w tym przedsiębiorstw wodociągowo-kanalizacyjnych), podmiotów kluczowych lub podmiotów ważnych (wcześniej: operatorów usług kluczowych) albo podmiotów infrastruktury krytycznej; b) wykażą, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym czasie, należycie wykonali, a w przypadku świadczeń powtarzających się lub ciągłych również wykonują, co najmniej 3 usługi polegające na przeprowadzeniu audytu bezpieczeństwa infrastruktury teleinformatycznej lub systemów teleinformatycznych, o wartości co najmniej 30 000,00 zł brutto każda, zrealizowane na rzecz podmiotów sektora finansów publicznych, przedsiębiorstw użyteczności publicznej (w tym przedsiębiorstw wodociągowo-kanalizacyjnych), podmiotów kluczowych lub podmiotów ważnych (wcześniej: operatorów usług kluczowych) albo podmiotów infrastruktury krytycznej. Osoby zdolne do wykonania zamówienia: Część I: Wykonawca wykaże, że dysponuje lub będzie dysponował co najmniej 3-osobowym zespołem, w tym: a) Audytorem Wiodącym (Kierownikiem Zespołu) – posiadającym certyfikat Audytora Wiodącego ISO/IEC 27001 oraz certyfikat z zakresu zarządzania ciągłością działania (np. ISO/IEC 22301 lub równoważny), a także co najmniej 12-miesięczne doświadczenie w kierowaniu audytami bezpieczeństwa informacji lub w ich przeprowadzaniu, w tym udział w przeprowadzeniu co najmniej 2 audytów SZBI lub KRI; b) Audytorem ds. Bezpieczeństwa Informacji – posiadającym certyfikat Audytora Wiodącego lub Wewnętrznego ISO/IEC 27001 lub certyfikat równoważny (np. CISA, CISM) oraz co najmniej 12-miesięczne doświadczenie w obszarze audytu lub wdrażania SZBI; c) Audytorem Technicznym / Pentesterem – posiadającym certyfikat z zakresu technicznego testowania bezpieczeństwa lub infrastruktury (np. eCPPT, OSCP, CEH lub równoważny) oraz co najmniej 12-miesięczne doświadczenie w przeprowadzaniu testów bezpieczeństwa lub audytów technicznych infrastruktury ICT. Sytuacja ekonomiczna i finansowa: Część I: Wykonawca wykaże, że jest ubezpieczony od odpowiedzialności cywilnej w zakresie prowadzonej działalności związanej z przedmiotem zamówienia na sumę gwarancyjną co najmniej 500 000,00 zł (słowie: pięćset tysięcy złotych 00/100). Dodatkowe warunki udziału: Realizacja zamówienia musi odbywać się z zachowaniem zasad bezpieczeństwa łańcucha dostaw ICT (Information and Communication Technology). Wykonawca zobowiązuje się do stosowania wyłącznie zweryfikowanych i bezpiecznych narzędzi oraz oprogramowania ICT, które nie pochodzą od dostawców wysokiego ryzyka i spełniają wymagania ustawy o krajowym systemie cyberbezpieczeństwa. Wiedza i doświadczenie: Część II: Wykonawca wykaże, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy - w tym czasie, należycie przeprowadził co najmniej 3 szkolenia lub cykle szkoleń z zakresu cyberbezpieczeństwa, bezpieczeństwa informacji lub przeciwdziałania zagrożeniom socjotechnicznym Osoby zdolne do wykonania zamówienia: Część II: Wykonawca skieruje do realizacji zamówienia co najmniej jednego trenera posiadającego minimum 2-letnie doświadczenie w prowadzeniu szkoleń z zakresu cyberbezpieczeństwa lub bezpieczeństwa informacji oraz doświadczenie w przeprowadzeniu co najmniej 3 szkoleń w tym obszarze. Kryteria oceny ofert: Cena ofertowa brutto CI - 80% Kryterium cena będzie rozpatrywane na podstawie łącznej ceny brutto za wykonanie zamówienia w ramach Części I, podanej przez Wykonawcę w formularzu oferty. Zamawiający przyzna punkty wg następującego wzoru: CI = (Cmin/Co) x 100 pkt x 80% = ………. pkt Doświadczenie zespołu audytorskiego DI – 20% Punkty w kryterium przyznawane będą za doświadczenie Audytora Wiodącego / Kierownika Zespołu ponad wymagane minimum, na podstawie Wykazu osób: 1–2 dodatkowe audyty SZBI lub KRI – 10 pkt 3 i więcej dodatkowych audytów SZBI lub KRI - 20 pkt Cena ofertowa brutto CII – 80% Kryterium cena będzie rozpatrywane na podstawie łącznej ceny brutto za wykonanie zamówienia w ramach Części II, podanej przez Wykonawcę w formularzu oferty. Zamawiający przyzna punkty wg następującego wzoru: CII = (Cmin/Co) x 100 pkt x 80% = ………. pkt Doświadczenie trenera DII – 20% Punkty przyznawane będą na podstawie Wykazu osób za dodatkowe (ponad wymagane minimum) szkolenia z zakresu cyberbezpieczeństwa lub bezpieczeństwa informacji: 1–2 dodatkowe szkolenia – 10 pkt 3 i więcej dodatkowych szkolenia – 20 pkt Miejsce realizacji: Sochaczew