Wzmocnienie cyberodporności obszarów IT i OT oraz ciągłości działania w Iławskie Wodociągi Sp. z o.o. poprzez wdrożenie kluczowych środków technicznych oraz rozwój kompetencji

Wzmocnienie cyberodporności obszarów IT i OT oraz ciągłości działania w Iławskie Wodociągi Sp. z o.o. poprzez wdrożenie kluczowych środków technicznych oraz rozwój kompetencji Przeprowadzenie audytu końcowego cyberbezpieczeństwa oraz realizacja szkoleń specjalistycznych w Iławskich Wodociągach Sp. z o.o-Cześć I Przeprowadzenie audytu końcowego cyberbezpieczeństwa oraz realizacja szkoleń specjalistycznych w Iławskich Wodociągach Sp. z o.o.- Część II Warunki udziału: Uprawnienia do wykonywania określonej działalności lub czynności: Zamawiający nie określa warunku w tym zakresie Potencjał techniczny: (WYŁĄCZNIE CZĘŚĆ I): W celu potwierdzenia spełniania warunku dotyczącego zdolności technicznej lub zawodowej Wykonawca: 4.1. Wykaże, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wykonał należycie, a w przypadku świadczeń powtarzających się lub ciągłych również należycie wykonuje co najmniej pięć zakończonych usług, z których każda obejmowała testy penetracyjne i zakończyła się przekazaniem raportu odbiorcy. Za jedną usługę uważa się wykonanie testów penetracyjnych na podstawie jednej umowy, zakończonych odrębnym raportem. Kilka usług w ramach jednej umowy może zostać wykazane osobno tylko wtedy, gdy każdy miał odrębny termin, zakres, odbiór i raport. 4.2. Wykaże, że dysponuje albo będzie dysponował zespołem obejmującym co najmniej dwóch różnych audytorów, którzy będą wspólnie i osobiście wykonywać kluczowe czynności audytowe. 1) Każdy z dwóch audytorów musi spełniać co najmniej jedną z przesłanek z art. 15 ust. 2 pkt 2 lit. a-c ustawy o krajowym systemie cyberbezpieczeństwa: posiadać certyfikat określony w przepisach wydanych na podstawie art. 15 ust. 8 tej ustawy albo posiadać wymaganą praktykę w audycie bezpieczeństwa systemów informacyjnych, ewentualnie wymaganą praktykę połączoną z właściwymi studiami podyplomowymi. 2) Przy wykazywaniu praktyki stosuje się art. 15 ust. 3 ustawy o krajowym systemie cyberbezpieczeństwa oraz właściwe przepisy przejściowe. Spełnianie wymagania musi być aktualne także w dniu rozpoczęcia audytu. 3) Jeden ze wskazanych audytorów pełni funkcję audytora wiodącego i koordynatora. W okresie ostatnich trzech lat przed upływem terminu składania ofert musi on uczestniczyć jako audytor lub audytor wiodący w co najmniej trzech zakończonych audytach bezpieczeństwa systemów informacyjnych lub ciągłości działania. 4) Każda osoba prowadząca audyt musi spełniać wymaganie niezależności wynikające z art. 15 ust. 2a ustawy o krajowym systemie cyberbezpieczeństwa: nie może realizować u Zamawiającego zadań, o których mowa w art. 8 oraz art. 9-13 tej ustawy, ani realizować tych zadań u Zamawiającego w okresie roku przed rozpoczęciem audytu. 5) Wykonawcy wspólnie ubiegający się o zamówienie mogą łącznie wykazać warunki, z zastrzeżeniem że podmiot wykazujący doświadczenie rzeczywiście wykona zakres, do którego doświadczenie jest wymagane, a wymagania dotyczące poszczególnych audytorów muszą być spełnione indywidualnie. Sytuacja ekonomiczna i finansowa: (WYŁĄCZNIE CZĘŚĆ I): 3.1. Zamawiający uzna warunek dotyczący sytuacji ekonomicznej lub finansowej za spełniony, jeżeli Wykonawca ubiegający się o udzielenie zamówienia w Części I wykaże, że jest ubezpieczony od odpowiedzialności cywilnej w zakresie działalności związanej z usługami audytowymi lub cyberbezpieczeństwem, na sumę gwarancyjną nie niższą niż 500.000,00 zł. 3.2. Na potwierdzenie spełnienia warunku Wykonawca składa polisę lub inny dokument potwierdzający ubezpieczenie wraz z dowodem opłacenia składki, jeżeli fakt jej opłacenia nie wynika z dokumentu. 3.3. Wykonawca jest zobowiązany zachować ciągłość ubezpieczenia przez cały okres realizacji umowy i przedłożyć Zamawiającemu dokument potwierdzający jego przedłużenie najpóźniej w dniu wygaśnięcia dotychczasowego ubezpieczenia. 3.4. W przypadku Wykonawców wspólnie ubiegających się o zamówienie warunek może zostać spełniony łącznie, pod warunkiem że ubezpieczenie obejmuje działalność podmiotu faktycznie realizującego usługi audytowe. 3.5. Wysokość ubezpieczenia ustalono z uwzględnieniem zakresu i ryzyka usług. Audyt będzie obejmował środowiska IT i OT Zamawiającego, dostęp do informacji o zabezpieczeniach, konfiguracji systemów i podatnościach oraz wykonywanie czynności, które w przypadku błędu mogą spowodować zakłócenie działania systemów, utratę dostępności usług, ujawnienie informacji chronionych albo konieczność ponownego wykonania prac i wdrożenia działań naprawczych. 3.6. Suma 500 000,00 zł zapewnia realne zabezpieczenie następstw szkód związanych z realizacją audytu, w tym kosztów przywrócenia działania systemów, usunięcia skutków incydentu oraz szkód wynikających z nierzetelnego lub nieprawidłowego wykonania usługi. Kwota uwzględnia możliwość wystąpienia szkody przewyższającej wynagrodzenie wykonawcy. Osoby zdolne do wykonania zamówienia: (WYŁĄCZNIE CZĘŚĆ I): W celu potwierdzenia spełniania warunku dotyczącego zdolności technicznej lub zawodowej Wykonawca: 4.1. Wykaże, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wykonał należycie, a w przypadku świadczeń powtarzających się lub ciągłych również należycie wykonuje co najmniej pięć zakończonych usług, z których każda obejmowała testy penetracyjne i zakończyła się przekazaniem raportu odbiorcy. Za jedną usługę uważa się wykonanie testów penetracyjnych na podstawie jednej umowy, zakończonych odrębnym raportem. Kilka usług w ramach jednej umowy może zostać wykazane osobno tylko wtedy, gdy każdy miał odrębny termin, zakres, odbiór i raport. 4.2. Wykaże, że dysponuje albo będzie dysponował zespołem obejmującym co najmniej dwóch różnych audytorów, którzy będą wspólnie i osobiście wykonywać kluczowe czynności audytowe. 1) Każdy z dwóch audytorów musi spełniać co najmniej jedną z przesłanek z art. 15 ust. 2 pkt 2 lit. a-c ustawy o krajowym systemie cyberbezpieczeństwa: posiadać certyfikat określony w przepisach wydanych na podstawie art. 15 ust. 8 tej ustawy albo posiadać wymaganą praktykę w audycie bezpieczeństwa systemów informacyjnych, ewentualnie wymaganą praktykę połączoną z właściwymi studiami podyplomowymi. 2) Przy wykazywaniu praktyki stosuje się art. 15 ust. 3 ustawy o krajowym systemie cyberbezpieczeństwa oraz właściwe przepisy przejściowe. Spełnianie wymagania musi być aktualne także w dniu rozpoczęcia audytu. 3) Jeden ze wskazanych audytorów pełni funkcję audytora wiodącego i koordynatora. W okresie ostatnich trzech lat przed upływem terminu składania ofert musi on uczestniczyć jako audytor lub audytor wiodący w co najmniej trzech zakończonych audytach bezpieczeństwa systemów informacyjnych lub ciągłości działania. 4) Każda osoba prowadząca audyt musi spełniać wymaganie niezależności wynikające z art. 15 ust. 2a ustawy o krajowym systemie cyberbezpieczeństwa: nie może realizować u Zamawiającego zadań, o których mowa w art. 8 oraz art. 9-13 tej ustawy, ani realizować tych zadań u Zamawiającego w okresie roku przed rozpoczęciem audytu. 5) Wykonawcy wspólnie ubiegający się o zamówienie mogą łącznie wykazać warunki, z zastrzeżeniem że podmiot wykazujący doświadczenie rzeczywiście wykona zakres, do którego doświadczenie jest wymagane, a wymagania dotyczące poszczególnych audytorów muszą być spełnione indywidualnie. Wiedza i doświadczenie: (WYŁĄCZNIE CZĘŚĆ I): W celu potwierdzenia spełniania warunku dotyczącego zdolności technicznej lub zawodowej Wykonawca: 4.1. Wykaże, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wykonał należycie, a w przypadku świadczeń powtarzających się lub ciągłych również należycie wykonuje co najmniej pięć zakończonych usług, z których każda obejmowała testy penetracyjne i zakończyła się przekazaniem raportu odbiorcy. Za jedną usługę uważa się wykonanie testów penetracyjnych na podstawie jednej umowy, zakończonych odrębnym raportem. Kilka usług w ramach jednej umowy może zostać wykazane osobno tylko wtedy, gdy każdy miał odrębny termin, zakres, odbiór i raport. 4.2. Wykaże, że dysponuje albo będzie dysponował zespołem obejmującym co najmniej dwóch różnych audytorów, którzy będą wspólnie i osobiście wykonywać kluczowe czynności audytowe. 1) Każdy z dwóch audytorów musi spełniać co najmniej jedną z przesłanek z art. 15 ust. 2 pkt 2 lit. a-c ustawy o krajowym systemie cyberbezpieczeństwa: posiadać certyfikat określony w przepisach wydanych na podstawie art. 15 ust. 8 tej ustawy albo posiadać wymaganą praktykę w audycie bezpieczeństwa systemów informacyjnych, ewentualnie wymaganą praktykę połączoną z właściwymi studiami podyplomowymi. 2) Przy wykazywaniu praktyki stosuje się art. 15 ust. 3 ustawy o krajowym systemie cyberbezpieczeństwa oraz właściwe przepisy przejściowe. Spełnianie wymagania musi być aktualne także w dniu rozpoczęcia audytu. 3) Jeden ze wskazanych audytorów pełni funkcję audytora wiodącego i koordynatora. W okresie ostatnich trzech lat przed upływem terminu składania ofert musi on uczestniczyć jako audytor lub audytor wiodący w co najmniej trzech zakończonych audytach bezpieczeństwa systemów informacyjnych lub ciągłości działania. 4) Każda osoba prowadząca audyt musi spełniać wymaganie niezależności wynikające z art. 15 ust. 2a ustawy o krajowym systemie cyberbezpieczeństwa: nie może realizować u Zamawiającego zadań, o których mowa w art. 8 oraz art. 9-13 tej ustawy, ani realizować tych zadań u Zamawiającego w okresie roku przed rozpoczęciem audytu. 5) Wykonawcy wspólnie ubiegający się o zamówienie mogą łącznie wykazać warunki, z zastrzeżeniem że podmiot wykazujący doświadczenie rzeczywiście wykona zakres, do którego doświadczenie jest wymagane, a wymagania dotyczące poszczególnych audytorów muszą być spełnione indywidualnie. Kryteria oceny ofert: Cena brutto Doświadczenie audytora wiodącego Cena brutto Miejsce realizacji: Iława