Zakup usług audytu bezpieczeństwa, testów penetracyjnych, testów socjotechnicznych, SZBI oraz szkoleń…

Na dzień przygotowania SWZSpecyfikacja Warunków Zamówienia - główny dokument opisujący co, jak i na jakich warunkach zamawiający chce kupić. Czytaj uważnie! nie obowiązują przepisy wykonawcze określające poziomy zdolności dla zamówień na usługi, o których mowa w art. 112 ust. 3 ustawy Pzp. Warunki zdolności technicznej lub zawodowej zostały zatem określone bez zastosowania takich poziomów, zgodnie z art. 112 ust. 3 ustawy Pzp.

Sytuacja ekonomiczna lub finansowa
1) Wykonawca spełni warunek, jeżeli wykaże, że jest ubezpieczony od odpowiedzialności cywilnej w zakresie prowadzonej działalności związanej z przedmiotem zamówienia, przy czym ochrona ubezpieczeniowa obejmuje:
- odpowiedzialność cywilną z tytułu świadczenia usług informatycznych i doradczych (OC zawodowa konsultantów IT) — na sumę gwarancyjną nie niższą niż 500 000,00 zł;
- odpowiedzialność cywilną i administracyjną z tytułu naruszenia przepisów o ochronie danych osobowych oraz szkody powstałe w następstwie incydentów cyberbezpieczeństwa — na sumę gwarancyjną nie niższą niż 500 000,00 zł.
2) Dopuszcza się wykazanie powyższych zakresów ochrony w jednej lub w kilku umowach ubezpieczenia.
3) Jeżeli z uzasadnionej przyczyny wykonawca nie może złożyć dokumentów potwierdzających ubezpieczenie, składa inne podmiotowe środki dowodoweDokumenty potwierdzające, że firma nie podlega wykluczeniu i spełnia warunki - np. KRS, zaświadczenia ZUS/US, polisa OC., które w wystarczający sposób potwierdzają spełnianie opisanego warunku — zgodnie z § 8 ust. 2 rozporządzenia w sprawie podmiotowych środków dowodowych.
4) co najmniej jedną usługę obejmującą łącznie wykonanie testów penetracyjnych infrastruktury teleinformatycznej oraz testów penetracyjnych aplikacji webowej, wraz z analizą zidentyfikowanych podatności, o wartości nie mniejszej niż 40 000,00 zł netto, zrealizowaną na rzecz podmiotu z sektora finansów publicznych;
5) co najmniej jedną usługę obejmującą przeprowadzenie audytu zgodności z Krajowymi Ramami Interoperacyjności lub audytu zgodności z ustawą o krajowym systemie cyberbezpieczeństwa wraz z analizą ryzyka, obejmującą w ramach jednego zamówienia co najmniej 6 jednostek organizacyjnych, o wartości nie mniejszej niż 20 000,00 zł netto, zrealizowaną na rzecz podmiotu z sektora finansów publicznych;
6) co najmniej jedną usługę obejmującą opracowanie i wdrożenie dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji zgodnego z normą PN-EN ISO/IEC 27001, o wartości nie mniejszej niż 30 000,00 zł netto;
7) co najmniej pięć szkoleń z zakresu cyberbezpieczeństwa przeprowadzonych na rzecz pięciu różnych jednostek samorządu terytorialnego, przy czym w każdym ze szkoleń uczestniczyło nie mniej niż 20 osób, oraz co najmniej trzy szkolenia specjalistyczne dla administratorów systemów teleinformatycznych w jednostkach samorządu terytorialnego, każde o wymiarze nie mniejszym niż 8 godzin szkoleniowych.
W przypadku usług wykonywanych (świadczenia powtarzające się lub ciągłe) Zamawiający uzna warunek za spełniony, jeżeli zrealizowana część usługi na dzień składania ofert osiągnęła wymaganą wartość i zakres.
Wartości wyrażone w walucie obcej przelicza się według średniego kursu Narodowego Banku Polskiego z dnia publikacji ogłoszenia o zamówieniu.
Zamawiający dopuszcza wykazanie jednej usługi na potwierdzenie więcej niż jednego z warunków określonych w pkt 1–4, o ile usługa ta obejmowała swoim zakresem i wartością wszystkie wskazane elementy.
Zdolność techniczna lub zawodowa — potencjał kadrowy Wykonawca spełni warunek, jeżeli wykaże, że dysponuje lub będzie dysponował zespołem obejmującym co najmniej następujące osoby: 1. Audytor bezpieczeństwa — co najmniej dwie osoby, z których każda posiada:
- co najmniej 3-letnie doświadczenie w prowadzeniu audytów bezpieczeństwa informacji uwzględniających wymagania normy ISO/IEC 27001 lub KRI, obejmujące udział w co najmniej dwóch zakończonych zadaniach audytowych;
- co najmniej jeden z certyfikatów wymienionych w załączniku do rozporządzenia Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu albo certyfikat równoważny.
2) Pentester — co najmniej dwie osoby, niebędące jednocześnie osobami wskazanymi w roli Audytora bezpieczeństwa, przy czym:
- każda z tych osób posiada co najmniej 3-letnie doświadczenie w wykonywaniu testów bezpieczeństwa technicznego, w tym testów uwzględniających metodykę OWASP oraz brała udział w co najmniej trzech projektach obejmujących testy penetracyjne aplikacji webowych i infrastruktury, z których co najmniej jeden realizowany był na rzecz podmiotu z sektora finansów publicznych;
- każda z tych osób posiada certyfikat OSCP (Offensive Security Certified Professional) albo certyfikat równoważny w rozumieniu rozdziału „Warunki równoważności”;
- co najmniej jedna z tych osób brała udział w co najmniej dwóch projektach obejmujących testy socjotechniczne przeprowadzone na próbie nie mniejszej niż 80 osób w każdym projekcie;
- co najmniej jedna z tych osób posiada certyfikat OSEP (OffSec Experienced Penetration Tester) albo certyfikat równoważny.
3) Trener bezpieczeństwa — co najmniej dwie osoby (dopuszcza się łączenie tej roli z rolą Audytora bezpieczeństwa albo Pentestera), z których każda przeprowadziła co najmniej pięć szkoleń z obszaru cyberbezpieczeństwa dedykowanych jednostkom administracji publicznej, w tym co najmniej dwa szkolenia dotyczące funkcjonowania Systemu Zarządzania Bezpieczeństwem Informacji. Szkolenia wykazywane dla poszczególnych trenerów nie mogą się powielać.
Osoby wskazane w wykazie osób zobowiązane są do osobistego wykonywania powierzonych im czynności. Zmiana osoby jest dopuszczalna wyłącznie za uprzednią zgodą Zamawiającego, po wskazaniu przyczyny zmiany oraz osoby o kwalifikacjach i doświadczeniu nie niższych niż wymagane w SWZ. Jeżeli osoba zastępowana była wskazana w Załączniku nr 9 do SWZ i jej kwalifikacje stanowiły podstawę przyznania punktów w kryterium oceny ofert, osoba zastępująca musi zapewniać co najmniej taki sam poziom cechy jakościowej, za który oferta otrzymała punkty; zmiana nie może prowadzić do obniżenia liczby punktów odpowiadającej zaoferowanemu poziomowi jakości.
Spełnianie warunku Zamawiający zweryfikuje na podstawie wykazu osób, o którym mowa w rozdziale „Podmiotowe środki dowodowe składane na wezwanie”. W wykazie należy podać, dla każdego wymaganego certyfikatu, jego nazwę, numer lub identyfikator oraz adres publicznego rejestru albo sposób umożliwiający Zamawiającemu samodzielną weryfikację ważności certyfikatu. Zamawiający nie żąda składania kopii certyfikatów jako podmiotowego środka dowodowego. Okazanie oryginałów certyfikatów przed dopuszczeniem osób do realizacji prac regulują projektowane postanowienia umowy.

Zdolność techniczna lub zawodowa — system zarządzania bezpieczeństwem informacji wykonawcy
4) Wykonawca spełni warunek, jeżeli wykaże, że posiada wdrożony i certyfikowany system zarządzania bezpieczeństwem informacji zgodny z normą PN-EN ISO/IEC 27001, obejmujący swoim zakresem świadczenie usług z zakresu cyberbezpieczeństwa lub usług informatycznych. Certyfikat musi być wydany dla podmiotu, a nie dla osoby fizycznej.
5) Certyfikat powinien być wydany przez jednostkę certyfikującą akredytowaną przez Polskie Centrum Akredytacji albo przez jednostkę akredytowaną przez krajową jednostkę akredytującą innego państwa członkowskiego Europejskiego Obszaru Gospodarczego, będącą sygnatariuszem wielostronnego porozumienia EA MLA, zgodnie z zasadą wzajemnego uznawania akredytacji wynikającą z rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 765/2008.
6) Wykonawca może złożyć równoważne podmiotowe środki dowodowe wystawione przez podmioty mające siedzibę w innym państwie członkowskim Europejskiego Obszaru Gospodarczego (§ 9 ust. 5 rozporządzenia w sprawie podmiotowych środków dowodowych).
7) Wykonawca, który z przyczyn od niego niezależnych nie ma dostępu do certyfikatu lub możliwości uzyskania go w odpowiednim terminie, może złożyć inne podmiotowe środki dowodowe dotyczące stosowanych środków zapewnienia bezpieczeństwa informacji, o ile udowodni, że stosowane przez niego środki są zgodne z wymaganą normą (§ 9 ust. 6 rozporządzenia w sprawie podmiotowych środków dowodowych).

Wykaz podmiotowych środków dowodowych na potwierdzenie niepodlegania wykluczeniu: 1. Oświadczenie wykonawcy art. 125 ust 1 ustawy pzp,
2) Oświadczenie wykonawcy, w zakresie art. 108 ust. 1 pkt 5 ustawy, o braku przynależności do tej samej grupy kapitałowej w rozumieniu ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów (Dz. U. z 2020 r. poz. 1076 i 1086), z innym wykonawcą, który złożył odrębną ofertę, ofertę częściową, albo oświadczenia o przynależności do tej samej grupy kapitałowej wraz z dokumentami lub informacjami potwierdzającymi przygotowanie oferty, oferty częściowej lub wniosku o dopuszczenie do udziału w postępowaniu niezależnie od innego wykonawcy należącego do tej samej grupy kapitałowej;
3) oświadczenia wykonawcy o aktualności informacji zawartych w oświadczeniu, o którym mowa w art. 125 ust. 1 ustawy Pzp, w zakresie podstaw wykluczenia wskazanych przez Zamawiającego — składanego na podstawie § 3 rozporządzenia w sprawie podmiotowych środków dowodowych, w tym w zakresie podstaw wykluczenia z art. 7 ust. 1 ustawy z dnia 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego

Wykaz podmiotowych środków dowodowych na potwierdzenie spełniania warunków udziału w postępowaniu: 1. Wykaz usług wykonanych wraz z podaniem ich wartości, przedmiotu, dat wykonania i podmiotów, na rzecz których dostawy lub usługi zostały wykonane, oraz załączeniem dowodów określających, czy te dostawy zostały wykonane należycie, przy czym dowodami, o których mowa, są referencje bądź inne dokumenty sporządzone przez podmiot, na rzecz którego dostawy lub usługi zostały wykonane, a jeżeli wykonawca z przyczyn niezależnych od niego nie jest w stanie uzyskać tych dokumentów - oświadczenie wykonawcy.
2) Wykaz osób skierowanych przez wykonawcę do realizacji zamówienia publicznego, wraz z informacjami na temat ich kwalifikacji zawodowych, uprawnień, doświadczenia i wykształcenia niezbędnych do wykonania zamówienia publicznego, a także zakresu wykonywanych przez nie czynności oraz informacją o podstawie do dysponowania tymi osobami;
3) Dokument potwierdzający, że wykonawca jest ubezpieczony od odpowiedzialności cywilnej w zakresie prowadzonej działalności związanej z przedmiotem zamówienia ze wskazaniem sumy gwarancyjnej tego ubezpieczenia.
4) zaświadczenia niezależnego podmiotu zajmującego się poświadczaniem zgodności z normą PN-EN ISO/IEC 27001 (certyfikatu systemu zarządzania bezpieczeństwem informacji), obejmującego zakresem świadczenie usług z zakresu cyberbezpieczeństwa lub usług informatycznych, wydanego dla podmiotu, albo równoważnych podmiotowych środków dowodowych, o których mowa w rozdziale „Warunki udziału w postępowaniu”.

Wykaz przedmiotowych środków dowodowych
Zamawiający przewiduje uzupełnienie przedmiotowych środków dowodowych: Nie
Wykaz innych wymaganych oświadczeń lub dokumentów: Formularz ofertowy,

Wykaz osób do kryterium oceny ofert,

Wykaz elementów ICT,

Oświadczenie wykonawcy o niepodleganiu wykluczeniu oraz o spełnianiu warunków udziału w postępowaniu,

Oświadczenie o aktualności informacji zawartych w oświadczeniu z art. 125 ust. 1 ustawy pzp

Oświadczenie wykonawców wspólnie składających ofertę, jeżeli dotyczy

Wykonawca, który powołuje się na rozwiązania równoważne, jest zobowiązany wykazać, że oferowane przez niego rozwiązanie spełnia wymagania określone przez zamawiającego. W takim przypadku, wykonawca załącza do oferty wykaz rozwiązań równoważnych wraz z jego opisem lub normami.

Pełnomocnictwo
- Gdy umocowanie osoby składającej ofertę nie wynika z dokumentów rejestrowych, wykonawca, który składa ofertę za pośrednictwem pełnomocnika, powinien dołączyć do oferty dokument pełnomocnictwa obejmujący swym zakresem umocowanie do złożenia oferty lub do złożenia oferty i podpisania umowy.
- W przypadku wykonawców ubiegających się wspólnie o udzielenie zamówienia wykonawcy zobowiązani są do ustanowienia pełnomocnika. Dokument pełnomocnictwa, z treści którego będzie wynikało umocowanie do reprezentowania w postępowaniu o udzielenie zamówienia tych wykonawców należy załączyć do oferty.
Pełnomocnictwo powinno być załączone do oferty i powinno zawierać w szczególności wskazanie: - postępowania o zamówienie publiczne, którego dotyczy,
- wszystkich wykonawców ubiegających się wspólnie o udzielenie zamówienia wymienionych z nazwy z określeniem adresu siedziby,
- ustanowionego pełnomocnika oraz zakresu jego umocowania.
Oświadczenie wykonawców wspólnie ubiegających się o udzielenie zamówienia
- Wykonawcy wspólnie ubiegający się o udzielenie zamówienia, spośród których tylko jeden spełnia warunek dotyczący uprawnień, są zobowiązani złożyć oświadczenie, z którego wynika, które roboty budowlane, dostawy lub usługi wykonają poszczególni wykonawcy.
- Wykonawcy wspólnie ubiegający się o udzielenie zamówienia mogą polegać na zdolnościach tych z wykonawców, którzy wykonają roboty budowlane lub usługi, do realizacji których te zdolności są wymagane. W takiej sytuacji wykonawcy są zobowiązani dołączyć do oferty oświadczenie, z którego wynika, które roboty budowlane, dostawy lub usługi wykonają poszczególni wykonawcy.