„Świadczenie usług w zakresie przeprowadzenia dwuobszarowego audytu Systemu Zarządzania…

1) Wykonawca wykaże, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy — w tym okresie, należycie wykonał co najmniej 4 usługi polegające na przeprowadzeniu audytu, przeglądu, analizy zgodności lub oceny bezpieczeństwa informacji, cyberbezpieczeństwa albo zabezpieczeń systemów teleinformatycznych, przy czym:
a) co najmniej jedna usługa obejmowała ocenę zgodności z wymaganiami Krajowych Ram Interoperacyjności lub ustawy o krajowym systemie cyberbezpieczeństwa;
b) co najmniej jedna usługa obejmowała ocenę dokumentacji, procedur, polityk, rejestrów lub dowodów działania w zakresie bezpieczeństwa informacji, cyberbezpieczeństwa albo Systemu Zarządzania Bezpieczeństwem Informacji;
c) co najmniej jedna usługa obejmowała ocenę technicznych zabezpieczeń systemów teleinformatycznych, w szczególności w zakresie zarządzania dostępem, aktualizacji, podatności, kopii zapasowych, logowania, monitorowania, ciągłości działania, bezpieczeństwa sieci lub obsługi incydentów;
d) co najmniej jedna usługa była realizowana dla organizacji o strukturze rozproszonej, obejmującej co najmniej 5 lokalizacji, oddziałów, podmiotów podległych, komórek organizacyjnych albo innych wyodrębnionych części organizacyjnych.
Przez jedną usługę Zamawiający rozumie usługę wykonaną w ramach jednej umowy albo jednego zamówienia, zakończoną sporządzeniem raportu, protokołu, matrycy zgodności, rekomendacji, planu działań naprawczych lub innego dokumentu końcowego potwierdzającego wykonanie audytu, przeglądu albo analizy.
Zamawiający wymaga, aby przedstawione potwierdzenia należytego wykonania usług obejmowały wszystkie obszary wskazane w punktach a – d, tzn. każdy obszar był zrealizowany co najmniej jeden raz w ramach wszystkich usług, które Wykonawca wskaże jako zrealizowane.
2) Wykonawca skieruje do realizacji zamówienia zespół audytowy składający się z co najmniej 5 osób, obejmujący następujące funkcje, przy czym co do zasady każda osoba może pełnić jedną funkcję, z zastrzeżeniem możliwości łączenia funkcji określonej poniżej w dalszej części niniejszego punktu:
a) Kierownik audytu;
b) Audytor zgodności KRI/KSC;
c) Audytor dokumentowo-proceduralny SZBI;
d) Audytor techniczny IT/cyberbezpieczeństwa;
e) Audytor ISO/IEC 27001 — w zakresie trzech podmiotów wskazanych przez Zamawiającego.
Dopuszcza się łączenie maksymalnie dwóch funkcji przez jedną osobę, pod warunkiem spełnienia wymagań dla każdej z pełnionych funkcji, z zastrzeżeniem, że zespół audytowy w przypadku skorzystania z możliwości łączenia funkcji nie może liczyć mniej niż 4 osoby.
W przypadku skierowania do realizacji zamówienia większej liczby osób niż minimalnie wymagana, każda dodatkowo skierowana osoba musi spełniać wymagania określone dla co najmniej jednej z funkcji wskazanych przez Zamawiającego.
I. Przy czym: W zakresie spełnienia warunku w pkt 7.10.2.a): Kierownik audytu musi spełniać łącznie następujące wymagania:
1) posiadać co najmniej 3-letnie doświadczenie zawodowe w obszarze bezpieczeństwa informacji, cyberbezpieczeństwa, audytu IT, audytu zgodności, audytu SZBI lub zarządzania bezpieczeństwem informacji;
2) uczestniczyć jako kierownik audytu, audytor wiodący, koordynator albo osoba odpowiedzialna za organizację prac audytowych w co najmniej 2 usługach polegających na przeprowadzeniu audytu bezpieczeństwa informacji, audytu zgodności, audytu KRI, audytu KSC, audytu SZBI albo audytu technicznego IT;
3) posiadać co najmniej jeden z następujących certyfikatów lub certyfikat równoważny (obejmujący co najmniej ten sam zakres jak certyfikaty wskazane poniżej):
a) ISO/IEC 27001 Lead Auditor,
b) ISO/IEC 27001 Lead Implementer,
c) CISA,
d) CISM,
e) CISSP,
f) CRISC,
g) auditor wewnętrzny SZBI wg ISO/IEC 27001.
II. Przy czym: W zakresie spełnienia warunku w pkt 7.10.2.b): Audytor zgodności KRI/KSC musi spełniać łącznie następujące wymagania:
1) posiadać co najmniej 3-letnie doświadczenie w obszarze bezpieczeństwa informacji, cyberbezpieczeństwa, audytu zgodności, kontroli wewnętrznej, zarządzania ryzykiem albo zarządzania bezpieczeństwem informacji;
2) uczestniczyć w co najmniej 2 usługach obejmujących ocenę zgodności z wymaganiami prawnymi, regulacyjnymi lub normatywnymi dotyczącymi bezpieczeństwa informacji albo cyberbezpieczeństwa;
3) posiadać doświadczenie w ocenie co najmniej 5 z następujących obszarów:
a) System Zarządzania Bezpieczeństwem Informacji,
b) zarządzanie ryzykiem,
c) zarządzanie incydentami,
d) ciągłość działania,
e) kopie zapasowe,
f) zarządzanie uprawnieniami,
g) zarządzanie dostawcami,
h) szkolenia i świadomość użytkowników,
i) klasyfikacja informacji,
j) bezpieczeństwo pracy zdalnej,
k) zarządzanie podatnościami,
l) logowanie i rozliczalność działań użytkowników.

III. Przy czym: W zakresie spełnienia warunku w pkt 7.10.2.c): Audytor dokumentowo-proceduralny SZBI musi spełniać łącznie następujące wymagania:
1) posiadać co najmniej 3-letnie doświadczenie w analizie dokumentacji bezpieczeństwa informacji, cyberbezpieczeństwa, zarządzania ryzykiem, ciągłości działania, ochrony danych, kontroli wewnętrznej albo audytu zgodności;
2) uczestniczyć w co najmniej 2 usługach obejmujących analizę lub ocenę polityk, procedur, instrukcji, rejestrów, upoważnień, formularzy, matryc odpowiedzialności, planów ciągłości działania, planów odtworzenia awaryjnego, rejestrów ryzyk, rejestrów incydentów albo dokumentacji dotyczącej dostawców;
3) posiadać doświadczenie w formułowaniu ustaleń audytowych, niezgodności, obserwacji, rekomendacji oraz planów działań naprawczych.
IV. Przy czym: W zakresie spełnienia warunku w pkt 7.10.2.d): Audytor techniczny IT/cyberbezpieczeństwa musi spełniać łącznie następujące wymagania:
1) posiadać co najmniej 3-letnie doświadczenie w obszarze administracji systemami, bezpieczeństwa IT, cyberbezpieczeństwa, audytu IT, testów bezpieczeństwa, zarządzania podatnościami, monitorowania bezpieczeństwa albo utrzymania infrastruktury IT;
2) uczestniczyć w co najmniej 2 usługach obejmujących ocenę technicznych zabezpieczeń systemów teleinformatycznych;
3) posiadać doświadczenie w ocenie co najmniej 6 z następujących obszarów:
a) zarządzanie kontami i uprawnieniami,
b) uwierzytelnianie i kontrola dostępu,
c) zarządzanie poprawkami i aktualizacjami,
d) zarządzanie podatnościami,
e) kopie zapasowe i odtwarzanie danych,
f) logowanie i monitorowanie zdarzeń,
g) bezpieczeństwo sieci,
h) segmentacja sieci,
i) bezpieczeństwo usług zdalnego dostępu,
j) ochrona stacji roboczych i serwerów,
k) ochrona przed złośliwym oprogramowaniem,
l) konfiguracja systemów i usług,
m) ciągłość działania i odtwarzanie awaryjne,
n) obsługa incydentów bezpieczeństwa.
V. Przy czym: W zakresie spełnienia warunku w pkt 7.10.2.e): Audytor ISO/IEC 27001 musi spełniać łącznie następujące wymagania:
1) posiadać doświadczenie w realizacji co najmniej 1 audytu, przeglądu albo analizy zgodności z ISO/IEC 27001 lub PN-EN ISO/IEC 27001;
2) posiadać certyfikat ISO/IEC 27001 Lead Auditor, ISO/IEC 27001 Internal Auditor, ISO/IEC 27001 Lead Implementer albo certyfikat równoważny.
Wymagania dotyczące audytora ISO/IEC 27001 dotyczą wyłącznie części zamówienia obejmującej dodatkową ocenę zgodności z ISO/IEC 27001 dla trzech podmiotów wskazanych przez Zamawiającego.
3 Wykonawca oraz osoby skierowane do realizacji zamówienia muszą pozostawać niezależne od audytowanego obszaru, w zakresie wskazanym w poniższym oświadczeniu.
UWAGA!
Wykonawca zobowiązany jest złożyć oświadczenie, że osoby skierowane do realizacji zamówienia w okresie 12 miesięcy przed rozpoczęciem audytu nie wykonywały zadań polegających na projektowaniu, wdrażaniu, utrzymywaniu, administrowaniu lub nadzorowaniu rozwiązań, procedur, systemów, zabezpieczeń lub procesów, które będą przedmiotem audytu po stronie Mazowieckiego Urzędu Wojewódzkiego w Warszawie lub pozostałych jednostek objętych audytem.
W przypadku stwierdzenia konfliktu interesów Wykonawca zobowiązany jest niezwłocznie poinformować Zamawiającego oraz zaproponować osobę zastępującą, spełniającą wymagania nie niższe niż osoba pierwotnie wskazana.

Wykaz podmiotowych środków dowodowych na potwierdzenie niepodlegania wykluczeniu: 1. oświadczenia Wykonawcy o aktualności informacji zawartych w oświadczeniu, o którym mowa w art. 125 ust. 1 ustawy Pzp w zakresie podstaw wykluczenia z postępowania. Wzór oświadczenia stanowi załącznik nr 5a do SWZSpecyfikacja Warunków Zamówienia: główny dokument opisujący, co, jak i na jakich warunkach zamawiający chce kupić. Wymaga uważnej lektury.;
2) dowodów określających, czy usługi, o których mowa w punkcie poprzednim, zostały wykonane lub są wykonywane należycie, przy czym dowodami, o których mowa są referencje bądź inne dokumenty sporządzone przez podmiot, na rzecz którego usługi zostały wykonane lub są wykonywane, a jeżeli Wykonawca z przyczyn niezależnych od niego nie jest w stanie uzyskać tych dokumentów – oświadczenie Wykonawcy.

Wykaz podmiotowych środków dowodowych na potwierdzenie spełniania warunków udziału w postępowaniu: 1. oświadczenia Wykonawcy o aktualności informacji zawartych w oświadczeniu, o którym mowa w art. 125 ust. 1 ustawy Pzp w zakresie podstaw wykluczenia z postępowania. Wzór oświadczenia stanowi załącznik nr 5a do SWZ;
2) dowodów określających, czy usługi, o których mowa w punkcie poprzednim, zostały wykonane lub są wykonywane należycie, przy czym dowodami, o których mowa są referencje bądź inne dokumenty sporządzone przez podmiot, na rzecz którego usługi zostały wykonane lub są wykonywane, a jeżeli Wykonawca z przyczyn niezależnych od niego nie jest w stanie uzyskać tych dokumentów – oświadczenie Wykonawcy.

Wykaz przedmiotowych środków dowodowych
Zamawiający wymaga złożenia wraz z ofertą przedmiotowego środka dowodowego w postaci certyfikatów, potwierdzających kwalifikacje osób wskazanych do realizacji zamówienia w rozdziale 7 ust. 7.10.2.
Zamawiający przewiduje uzupełnienie przedmiotowych środków dowodowych: Tak
Przedmiotowe środki dowodoweDokumenty potwierdzające, że oferowany produkt lub usługa spełnia wymagania, np. certyfikaty, karty techniczne, próbki. podlegające uzupełnieniu po złożeniu oferty: Certyfikaty o których mowa w rozdziale 8 SWZ.