Przeprowadzenie testów bezpieczeństwa infrastruktury Zamawiającego.Przygotowanie i

Numer sprawy: 82/TP/ZP/U/2026. Ogłoszenie w Biuletynie Zamówień Publicznych nr 2026/BZP 00283878/01 z dnia 10.06.2026 r.

Tryb: Podstawowy bez negocjacji na podstawie art. 275 pkt 1 ustawy PZP.

Rodzaj zamówienia: Usługi.

CPV: 72800000-8 (Usługi audytu komputerowego i testowania komputerów).

Podział na części: Zamawiający dopuszcza składanie ofert częściowych (Część 1 – wdrożenie polityk bezpieczeństwa; Część 2 – testy bezpieczeństwa). (+ 6 zdań — pełna treść po zalogowaniu)

Samodzielny Publiczny Zakład Opieki Zdrowotnej Uniwersytecki Szpital Kliniczny nr 2 Uniwersytetu Medycznego w Łodzi, ul. Żeromskiego 113, 90-549 Łódź.
NIP: 727-23-92-503, REGON: 471208164, KRS: 0000016979, BDO: 000025243.

Osoby uprawnione do kontaktu: (+ 4 zdania — pełna treść po zalogowaniu)

Postępowanie prowadzone jest w trybie podstawowym bez negocjacji na podstawie art. 275 pkt 1 ustawy z dnia 11 września 2019 r. – Prawo zamówień publicznych. Wartość szacunkowa zamówienia nie przekracza wyrażonej w złotych równowartości kwoty 140 000 EURO. Postępowanie przeprowadzane jest na zasadach ogólnych. (+ 4 zdania — pełna treść po zalogowaniu)

Zamawiający określił, że wartość szacunkowa zamówienia nie przekracza wyrażonej w złotych równowartości kwoty 140 000 EURO, co oznacza, że postępowanie prowadzone jest w progach unijnych poniżej tej kwoty. Nie podano dokładnej kwoty w PLN ani stawki VAT. Walutą rozliczeń jest złoty polski (PLN). (+ 3 zdania — pełna treść po zalogowaniu)

• **Termin wykonania (Część 1 i 2): do 10.07.2026 r. (dzień–miesiąc–rok) – jest to termin sztywny, wynikający z maksymalnego terminu zakończenia projektu KPO. Zamawiający dopuszcza możliwość wydłużenia tego terminu, jeśli ulegnie przedłużeniu termin realizacji projektu (Rozdział II pkt 4). Wykonawca opracuje harmonogram w terminie do 5 dni roboczych od podpisania umowy.
• Okres gwarancji: nie określono w SWZ.
• Składanie ofert: do 18.06.2026 r., godz. 11:00
• Otwarcie ofert: 18.06.2026 r., godz. 11:05
• (+ 3 pozycje — pełna treść po zalogowaniu)

Zamawiający nie stawia żadnych warunków udziału w postępowaniu w zakresie:

• zdolności do występowania w obrocie gospodarczym — nie stawia warunku;
• uprawnień do prowadzenia określonej działalności gospodarczej lub zawodowej — nie stawia warunku;
• (+ 3 pozycje — pełna treść po zalogowaniu)

Kryteria oceny ofert:

• Cena – waga 60%
• Kryteria inne niż cena – łącznie 40% (podział różny w zależności od części zamówienia):

Część 1 – Przygotowanie i wdrożenie 9 polityk zarządzania bezpieczeństwem informacji:

• Certyfikat ISO/IEC 27001 lub równoważny – 20%
• (+ 4 pozycje — pełna treść po zalogowaniu)

Kary umowne przewidziane w § 8 Wzoru Umowy (załącznik nr 4 do SWZ):

• za rozwiązanie/odstąpienie od umowy z przyczyn leżących po stronie Wykonawcy: 15% wynagrodzenia brutto;
• za zwłokę w realizacji: 1% wynagrodzenia brutto za każdy rozpoczęty dzień zwłoki;
• za zmianę osób objętych Wykazem bez zgody Zamawiającego: 500 zł za każdy dzień wykonywania funkcji przez osobę nieuzgodnioną;
• za naruszenie obowiązków z umowy powierzenia danych osobowych: 5 000 zł za każdy przypadek.

Kary podlegają sumowaniu, a łączna maksymalna wartość nie może przekroczyć 30% wynagrodzenia brutto.

Termin zapłaty kary: 14 dni od otrzymania wezwania. Zamawiający może potrącić karę z wynagrodzenia Wykonawcy. Dochodzenie kar nie wyłącza prawa do odszkodowania uzupełniającego.

• (+ 6 pozycji — pełna treść po zalogowaniu)

Wykonawca może powierzyć wykonanie części zamówienia podwykonawcom. Zamawiający nie zastrzega obowiązku osobistego wykonania kluczowych części. W ofercie należy wskazać części zamówienia powierzane podwykonawcom oraz ich nazwy (jeśli są znane). Zamawiający nie będzie badać podstaw wykluczenia wobec podwykonawcy niebędącego podmiotem udostępniającym zasoby.

Zamawiający przewiduje możliwość zmiany umowy w przypadkach: uzasadnionych przyczyn technicznych/funkcjonalnych, okoliczności po stronie Zamawiającego, siły wyższej, a także przedłużenia terminu realizacji projektu KPO. Zmiana wymaga formy pisemnej pod rygorem nieważności. Wykonawcy nie przysługuje roszczenie o przedłużenie terminu.

Administrator (Zamawiający) ma prawo przeprowadzać audyty i inspekcje u Podmiotu przetwarzającego pod kątem zgodności przetwarzania danych z umową i RODO. Planowana kontrola – z 7-dniowym wyprzedzeniem; w nagłych przypadkach – bez uprzedzenia.

Wykonawca przenosi na Zamawiającego majątkowe prawa autorskie do utworów (dokumentów) powstałych w ramach umowy na polach eksploatacji obejmujących m.in. utrwalanie, zwielokrotnianie, wprowadzanie do pamięci komputera, przechowywanie i dystrybucję wewnątrz jednostek Zamawiającego – w ramach wynagrodzenia określonego w § 4 ust. 1 umowy. (+ 11 zdań — pełna treść po zalogowaniu)

Wykonawca zobowiązany jest złożyć wraz z ofertą następujące dokumenty i oświadczenia:

1. Formularz Oferty – zgodnie ze wzorem (Załącznik nr 1 do SWZ);

2. Formularz cenowy – zgodnie ze wzorem (Załącznik nr 2 do SWZ);

3. Oświadczenie o braku podstaw do wykluczenia oraz o spełnieniu warunków udziału w postępowaniu (Załącznik nr 3 do SWZ) – składane na podstawie art. 125 ust. 1 PZP, aktualne na dzień składania ofert;

4. Przedmiotowe środki dowodowe – dla Części 1: certyfikat ISO/IEC 27001 (lub równoważny) oraz certyfikat Lead Implementer ISO 27001 (lub równoważny); dla Części 2: certyfikaty bezpieczeństwa np. OSCP, CEH, CISSP, CompTIA PenTest+ (lub równoważne) dla co najmniej jednej osoby skierowanej do realizacji;

5. Oświadczenie Wykonawcy z art. 117 ust. 4 PZP – o zakresie wykonania usług przez poszczególnych Wykonawców wspólnie ubiegających się o zamówienie (Załącznik nr 8 do SWZ) – jeśli dotyczy;

6. Pełnomocnictwo do podpisania oferty, oświadczeń i dokumentów – jeśli upoważnienie nie wynika z innych dokumentów dołączonych do oferty;

7. Pełnomocnictwo dla osoby uprawnionej do reprezentowania Wykonawców wspólnie ubiegających się o zamówienie – w przypadku konsorcjum (do reprezentowania w postępowaniu albo do reprezentowania i zawarcia umowy);

8. Oświadczenie o przynależności do grupy kapitałowej (Załącznik nr 5 do SWZ) – składane na wezwanie Zamawiającego, nie wraz z ofertą;

• (+ 8 pozycji — pełna treść po zalogowaniu)

Brak opublikowanych pytań i odpowiedzi – dokument SWZ nie zawiera treści żadnych zapytań ani udzielonych odpowiedzi. SWZ przewiduje jedynie ogólne zasady składania wniosków o wyjaśnienie treści SWZ: wniosek może wpłynąć nie później niż na 14 dni przed upływem terminu składania ofert, a Zamawiający udziela wyjaśnień nie później niż na 6 dni przed tym terminem. (+ 1 zdanie — pełna treść po zalogowaniu)

Ryzyko napiętego terminu — zakres vs. deadline Termin wykonania dla Części 1 i 2 to 10.07.2026 r., a składanie ofert kończy się 18.06.2026 r. Oznacza to zaledwie ok. 22 dni na realizację (włącznie z harmonogramem, który trzeba dostarczyć w 5 dni rob. od podpisania umowy). Dla Części 2 obejmującej testy penetracyjne, re-testy i kompleksowe raportowanie (z Matrycą Ankiety) jest to termin skrajnie napięty — ryzyko kar za zwłokę (1% wynagrodzenia brutto za każdy dzień).

Brak warunków udziału — niski próg wejścia, ale mylący Zamawiający w Rozdziale IV nie postawił żadnych warunków zdolności technicznej, zawodowej, ekonomicznej ani finansowej. To pozornie korzystne (niski próg), ale jednocześnie oznacza, że każda oferta — nawet od podmiotu bez udokumentowanego doświadczenia — zostanie dopuszczona, co może prowadzić do dumpingowych cen i problemów z realizacją.

Obowiązek zapewnienia bezstronności audytu (konflikt interesów) Jeżeli ten sam Wykonawca realizuje Część 2 i jednocześnie prowadzi audyt ISO 27001 u Zamawiającego (umowa nr 48/TP/ZP/U/2026), musi rozdzielić zespoły osobowe i zapewnić oświadczenia o braku konfliktu interesów. To zwiększa koszty kadrowe i ryzyko proceduralne — warto sprawdzić przed startem, czy Zamawiający nie wymaga tego także w innych trwających umowach. (+ 8 zdań — pełna treść po zalogowaniu)