Szkolenia z cyberbezpieczeństwa dla pracowników PUK PEKO w ramach „Cyberbezpiecznych Wodociągów” — ADM.014.2026.10.AS

Szkolenia z cyberbezpieczeństwa dla pracowników PUK PEKO w ramach „Cyberbezpiecznych Wodociągów” — ADM.014.2026.10.AS Przedmiotem zamówienia jest przygotowanie i przeprowadzenie programu szkoleń z cyberbezpieczeństwa dla pracowników Przedsiębiorstwa Usług Komunalnych „PEKO” sp. z o.o. w Kosakowie, wraz z udostępnieniem platformy szkoleniowej, przeprowadzeniem kontrolowanych kampanii phishingowych, ćwiczenia reagowania na incydent oraz przygotowaniem dokumentacji wykonania usług. Numer postępowania: ADM.014.2026.10.AS. Program obejmuje maksymalnie 45 różnych pracowników. Uczestnicy są przypisywani do poszczególnych modułów odpowiednio do obowiązków i dostępu do informacji oraz systemów IT/OT. Udział jednej osoby w kilku modułach nie zwiększa liczby pracowników objętych programem. Zakres zamówienia: 1A. Podstawy online i platforma — co najmniej 3 godziny nauki na osobę, planowo dla 16 osób, z możliwością zwiększenia grupy do 24 osób. Zakres podstawowy obejmuje 16 kont uczestników, dodatkowe konto administratora oraz dostęp i wsparcie przez 365 kolejnych dni od aktywacji. 1B. Podstawy stacjonarne — szkolenia dla pozostałych pracowników, maksymalnie 29 osób. Zakres podstawowy obejmuje dwie sesje po 3 godziny, każda dla maksymalnie 14 osób. Procedury bezpieczeństwa i moduł zarządczy — część wspólna obejmująca 3 godziny lekcyjne oraz dodatkowe 3 godziny lekcyjne dla kadry zarządzającej i kierowniczej. Zajęcia wykorzystują przyjęte procedury PEKO, w tym SZBI oraz plany ciągłości działania i odtwarzania po awarii. Szkolenie specjalistyczne IT/OT — część wspólna dla 2–6 osób, trwająca 4 godziny, oraz dodatkowy moduł informatyczny dla jednej osoby, trwający 8 godzin, w tym co najmniej 6 godzin samodzielnej praktyki w bezpiecznym środowisku szkoleniowym. Szkolenia po testach socjotechnicznych — dodatkowe 3 godziny nauki online na osobę oraz 2-godzinny warsztat na żywo dla grupy online. Program zostanie dostosowany do wyników kampanii phishingowych. Próbne ataki przez e-mail — cztery odrębne, kontrolowane kampanie phishingowe dla grupy online, wraz z omówieniami i raportami. Pomiędzy kampaniami należy zachować co najmniej 5 dni roboczych na naukę i omówienie wyników. Ćwiczenie reagowania na incydent — jedno 4-godzinne ćwiczenie wraz z podsumowaniem, planowo dla 18, maksymalnie 26 osób, w tym dwóch przedstawicieli obsługi OT. Wykonawca zapewnia moderatora i odrębnego obserwatora oraz raport z ćwiczenia. Godzina oznacza 60 minut, a godzina lekcyjna 45 minut. Przerw nie wlicza się do czasu zajęć. Prawo opcji obejmuje maksymalnie 8 dodatkowych kont uczestników oraz 2 dodatkowe sesje stacjonarne po 3 godziny. Dodatkowe konta mają wspólną datę końcową z kontami podstawowymi. Opcje są uruchamiane na zlecenie Zamawiającego, zgodnie z OPZ i projektem umowy. Wykonawca zapewnia personel, materiały, narzędzia, licencje, środowiska ćwiczeń, weryfikację wiedzy, zaświadczenia oraz dokumentację rzeczywistego udziału i wykonania usług. Zajęcia i materiały są w języku polskim. Podstawy stacjonarne odbywają się w siedzibie PEKO w Kosakowie; formy pozostałych zajęć określa OPZ. Obowiązkowe szkolenia, kampanie i ćwiczenie należy zakończyć do 15 grudnia 2026 r. Komplet dokumentacji należy przekazać do 16 grudnia 2026 r., a poprawki i odbiór zakończyć do 30 grudnia 2026 r. Dostęp do platformy i wsparcie trwają przez pełny okres określony w umowie. Zamówienie realizowane jest w ramach projektu „Kompleksowa rozbudowa i modernizacja rozwiązań z zakresu cyberbezpieczeństwa w PUK PEKO”, w ramach „Cyberbezpiecznych Wodociągów”, KPO, inwestycja C3.1.1 Cyberbezpieczeństwo – CyberPL. Oferta musi obejmować całość zamówienia. Nie dopuszcza się ofert częściowych ani wariantowych. Szczegółowe wymagania określają załącznik nr 1 — OPZ, załącznik nr 1A — wykaz IT/OT oraz pozostałe dokumenty postępowania. Warunki udziału: Wiedza i doświadczenie: Podmiot faktycznie przygotowujący i prowadzący szkolenia — Wykonawca lub wskazany podwykonawca — musi posiadać co najmniej 2-letnie doświadczenie w przygotowaniu i przeprowadzaniu szkoleń budujących lub wzmacniających świadomość cyberzagrożeń. Warunek należy potwierdzić wykazem realizacji zawierającym zleceniodawców, zakres usług i daty oraz dowodami należytego wykonania, zgodnie z załącznikiem nr 3. Sama data rejestracji podmiotu lub staż trenera nie potwierdzają spełnienia warunku. Nie sumuje się krótszych okresów doświadczenia różnych podmiotów w celu wykazania wymaganych 2 lat. Osoby zdolne do wykonania zamówienia: Wykonawca zapewni zespół spełniający następujące minimalne wymagania: 1. Prowadzący podstawy, szkolenia po testach i omówienia kampanii: przeprowadzenie 3 szkoleń z cyberbezpieczeństwa w ostatnich 3 latach, w tym jednego dla osób bez specjalistycznej wiedzy IT. 2. Prowadzący szkolenie z procedur i moduł zarządczy: udział w jednym projekcie wdrożenia, utrzymania lub audytu SZBI w ostatnich 5 latach oraz przeprowadzenie 2 szkoleń lub warsztatów dotyczących SZBI, ryzyka lub reagowania na incydenty w ostatnich 3 latach. 3. Prowadzący szkolenie specjalistyczne IT/OT: 2 lata praktyki w bezpieczeństwie IT, udział w jednym projekcie oceny lub zabezpieczenia OT w ostatnich 5 latach oraz przeprowadzenie 2 technicznych szkoleń lub warsztatów z cyberbezpieczeństwa w ostatnich 3 latach. 4. Moderator ćwiczenia: przygotowanie i prowadzenie 2 ćwiczeń dotyczących incydentów cyberbezpieczeństwa lub ciągłości działania w ostatnich 3 latach. 5. Obserwator ćwiczenia: udział w dokumentowaniu co najmniej jednego incydentu lub ćwiczenia w ostatnich 3 latach. Każdy prowadzący i moderator posiada imienny certyfikat ukończenia szkolenia lub kwalifikacji w zakresie odpowiednim do prowadzonej części, zgodnie z częścią 5 OPZ. Dla samego obserwatora nie wymaga się odrębnego certyfikatu. Dopuszcza się łączenie ról przez osobę spełniającą wymagania każdej z nich. Moderator i obserwator muszą być różnymi osobami. Potwierdzenie spełnienia warunku: wykaz osób, ich ról, kwalifikacji i doświadczenia według załącznika nr 3, kopie wymaganych certyfikatów oraz dowody pozwalające powiązać realizacje z konkretnymi osobami. Potencjał techniczny: Wykonawca zapewni na potrzeby realizacji zamówienia platformę szkoleniową, narzędzia do przeprowadzenia czterech kampanii phishingowych, bezpieczne środowisko ćwiczeń IT/OT, licencje, materiały i wyposażenie wymagane w OPZ oraz załączniku nr 1A. Platforma musi spełniać wymagania funkcjonalne i bezpieczeństwa określone w częściach 4 i 8 OPZ. W formularzu oferty należy wskazać nazwę i adres platformy oraz dokument, adres opisu lub opis własny potwierdzający spełnienie jej wymagań. Wykonanie praktyki nie może być uzależnione od dostępu do systemów produkcyjnych PEKO. Lista wymaganych dokumentów/oświadczeń: Do oferty należy dołączyć: 1. Podpisany formularz oferty i formularz cenowy — załącznik nr 2 — z wyceną zakresu podstawowego, opcji i ceną maksymalną brutto oraz informacjami o oferowanej platformie. 2. Wykaz doświadczenia podmiotu szkolącego i zespołu — załącznik nr 3 — wraz z dowodami doświadczenia oraz kopiami imiennych certyfikatów lub poświadczeń kwalifikacji wymaganych w OPZ. 3. Zobowiązanie podwykonawcy do wykonania odpowiedniej części zamówienia, jeżeli Wykonawca powołuje się na jego doświadczenie. 4. Pełnomocnictwo, jeżeli uprawnienie osoby podpisującej nie wynika z właściwego rejestru. Przy ofercie wspólnej należy również ustanowić pełnomocnika wykonawców. Oświadczenia dotyczące sankcji i powiązań mogących powodować konflikt interesów zawiera formularz oferty. Dopuszcza się własne dokumenty zawierające wszystkie wymagane informacje i dowody. Dodatkowe warunki udziału: Wykonawca nie może podlegać zakazom udzielenia zamówienia lub udostępniania środków wynikającym z obowiązujących sankcji, zgodnie z częścią 4 zaproszenia. Wykonawca ujawnia powiązania mogące powodować konflikt interesów. Niedopuszczalny jest konflikt naruszający uczciwą konkurencję, którego nie można usunąć zgodnie z zasadami postępowania. Warunki udziału oceniane są według zasady „spełnia / nie spełnia”, na podstawie dokumentów i dowodów określonych w zaproszeniu i OPZ. Kryteria oceny ofert: Jedynym kryterium oceny ofert jest cena maksymalna brutto — waga 100%. Cena maksymalna brutto obejmuje cenę zakresu podstawowego oraz wartość pełnego zakresu opcji: – 8 dodatkowych kont na 365 dni, tj. 2920 kontodni; – 2 dodatkowe sesje stacjonarne, każda po 3 godziny. Cenę maksymalną należy oblic Miejsce realizacji: Kosakowo