Przejdź do treści
Załóż darmowe kontoDarmowe konto
← Wróć do listy
Rozstrzygnięty

Audyt bezpieczeństwa informacji KRI – powiat głogowski

Powiat Głogowski3 aktualne · 34 w archiwum·NIP 6932130595·dolnośląskie
Składanie ofert: 17 sierpnia 2026

Rozstrzygnięcie

Kto wygrał, za ile i ilu było chętnych.

WygrałaSUN CAPITAL Sp. z 0.0.
Kwota oferty7380,00 zł
Złożonych ofert10
Widełki ofert7380,00 zł – 43 050,00 zł
Najtańsza oferta wygrałatak

Przedmiot zamówienia

AI

Usługa jednoczęściowa: przeprowadzenie audytu bezpieczeństwa informacji zgodnego z Krajowymi Ramami Interoperacyjności (KRI) dla dwóch jednostek Powiatu Głogowskiego — Starostwa Powiatowego w Głogowie oraz Powiatowego Ośrodka Dokumentacji Geodezyjnej i Kartograficznej w Głogowie (obie z siedzibą przy ul. Sikorskiego 21, Głogów). W ramach zamówienia Wykonawca sporządza odrębne raporty końcowe dla każdej jednostki oraz — co do zasady — wspiera Zamawiającego przy wypełnieniu Ankiety końcowej projektu „Cyberbezpieczny Powiat Głogowski”.

Zakres obejmuje ocenę zgodności w obszarach wskazanych w rozporządzeniu KRI: System Zarządzania Bezpieczeństwem Informacji (§ 19 i § 20), w tym m.in. zarządzanie aktywami, kontrolę dostępu i uprawnienia uprzywilejowane, politykę haseł i uwierzytelnianie wieloskładnikowe, zarządzanie podatnościami i aktualizacjami, kopie zapasowe i ciągłość działania, monitorowanie i logowanie, bezpieczeństwo sieci, stacji, serwerów i pracy zdalnej, bezpieczeństwo fizyczne, zarządzanie incydentami, bezpieczeństwo dostawców i umów serwisowych, szkolenia i świadomość, a także zgodność z RODO i ustawą o krajowym systemie cyberbezpieczeństwa w zakresie adekwatnym do statusu jednostek. Badanie prowadzone jest w siedzibie Zamawiającego bez aktywnych skanów podatności, testów penetracyjnych ani prób łamania haseł.

Skala audytowanego środowiska (potwierdzona w wyjaśnieniach SWZ):

  • Starostwo Powiatowe: ok. 95 pracowników, ok. 105 stacji roboczych/laptopów/urządzeń mobilnych, 10 serwerów (w tym 3 fizyczne i 7 wirtualnych), 3 administratorów z dostępem uprzywilejowanym, 1 lokalizacja; wdrożony SZBI i Polityka Bezpieczeństwa Informacji; ostatni audyt roczny — 2026 r.
  • PODGiK: ok. 15 pracowników, ok. 26 stacji roboczych/laptopów/urządzeń mobilnych, 17 serwerów (w tym 3 fizyczne, własna serwerownia), 1 administrator, 1 lokalizacja; wdrożony SZBI i Polityka Bezpieczeństwa Informacji; ostatni audyt roczny — 2025 r.

Produkty: plan audytu (do 3 dni roboczych od zawarcia umowy), rejestry dowodów, projekty i wersje finalne raportów (papier + DOCX + PDF, podpisane przez audytora wiodącego — osobne dla Starostwa i PODGiK), rejestry ustaleń i rekomendacji, plany działań korygujących, prezentacja dla kierownictwa, karta wsparcia Ankiety końcowej, zweryfikowana Ankieta końcowa (XLSX) lub oświadczenie przeglądu, protokół przekazania i oświadczenie o usunięciu kopii, kopia ważnego certyfikatu audytora (zgodnego z rozporządzeniem Ministra Cyfryzacji z 12.10.2018).

Trudność: średnia

Zamówienie wymaga specjalistycznej wiedzy audytowej (certyfikowany audytor wiodący, znajomość KRI, norm ISO 27001/27002/27005, KSC i RODO), koordynacji badania w dwóch jednostkach samorządowych o różnej skali (od 15 do 95 pracowników i łącznie 27 serwerów) oraz przygotowania rozbudowanego pakietu dokumentów, ale zakres jest jasno opisany, terminy dwudziestojedniowe, a badanie ma charakter nieinwazyjny.

Terminy realizacji

Termin realizacji
21 dni kalendarzowych od dnia następującego po dniu zawarcia umowy, nie później niż do 15.09.2026 r.

Warunki udziału

AI
1Audytor — doświadczenie — min. 2 lata doświadczenia w przeprowadzaniu Audytów oraz min. 2 audyty w jednostkach (komendy policji / uczelnie wyższe / urzędy administracji rządowej lub samorządowej obsługujące organy władzy publicznej / podmioty prywatne / inne), z okresu ostatnich 3 lat przed terminem składania ofert.
2Audytor — certyfikat — min. 1 certyfikat z wykazu określonego w rozporządzeniu Ministra Cyfryzacji z 12.10.2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu (po zmianie SWZ — bez możliwości zastąpienia dokumentem równoważnym).

Pozostałe 2 warunki po założeniu darmowego konta.

Kryteria wyboru oferty

AI

Wagi punktowe, według których zamawiający oceni oferty.

Cenawartość brutto oferty
80%
Doświadczenie osoby wyznaczonej do realizacji zamówienialiczba audytów w ostatnich 3 latach
20%

Czerwone flagi

AI

Sygnały, na które warto zwrócić uwagę przed startem.

Kara 20% za nienależyte wykonanie
§ 14 ust. 2 pkt 3 projektu umowy przewiduje karę w wysokości 20% wynagrodzenia brutto za nienależyte wykonanie, a § 11 ust. 1 stanowi, że „wszelkie odstępstwa w realizacji przedmiotu umowy traktowane są jako nienależyte wykonanie umowy".
Kara 2% za dzień zwłoki, limit 30%
§ 14 ust. 2 pkt 1 projektu umowy: 2% wynagrodzenia brutto za każdy dzień zwłoki; limit 30% (§ 14 ust. 8) oznacza wyczerpanie limitu po 15 dniach zwłoki przy 21-dniowym terminie realizacji.
Stawiennictwo na każde żądanie
§ 3 ust. 1 projektu umowy zobowiązuje Wykonawcę do stawiennictwa w siedzibie Zamawiającego na każde jego żądanie, bez limitu wizyt, minimalnego terminu uprzedzenia ani określonej liczby dni pracy w siedzibie.
Brak kary za opóźnienia Zamawiającego
OPZ pkt 10 przewiduje jedynie możliwość zmiany harmonogramu w przypadku opóźnienia Zamawiającego w przekazaniu dowodów, bez określonej sankcji finansowej po stronie Zamawiającego.
Termin składania ofert przypada na okres wakacyjny (17 sierpnia)
Termin w okresie wakacyjnym (lipiec-sierpień) może ograniczać liczbę oferentów ze względu na urlopy.

Kary i sankcje

AI
  • Kary umowne: w projekcie umowy (zał. nr 2).
  • Zwłoka: 2% wynagrodzenia brutto za każdy dzień, łączny limit 30% wynagrodzenia brutto.
  • Nienależyte wykonanie: 20% wynagrodzenia brutto.

Pozostałe 1 zapis o karach po założeniu darmowego konta.

Pytania i odpowiedzi

15

Wyodrębnione z wyjaśnień treści SWZ.

1Pytanie 1 — waga kryterium „Cena" [WNIOSEK O ZMIANĘ] W pkt XXVIII ust. 1 lit. a SWZ Zamawiający wskazał, że znaczenie kryterium ,,Cena" wynosi 60%.Jednocześnie: « wzór podany bezpośrednio pod tym postanowieniem brzmi: Lcena = (Cmin / C) x 0,8 x 100pkt, co odpowiada wadze 80%; s pkt 4.3.6 ogłoszenia o zamówieniu wskazuje wagę 80; e przy wadze 60% suma wag obu kryteriów wynosiłaby 60% + 20% = 80%, a zatem nie sumowałaby siędo 100%. Proszę o jednoznaczne wskazanie, jaka jest waga kryterium ,,Cena", oraz o dokonanie odpowiedniej zmiany treści SWZ usuwającej rozbieżność pomiędzy SWZ a ogłoszeniem o zamówieniu.
W treści SWZ Zamawiający popełnił omytkę pisarską. Zgodnie z ogłoszeniem o zamówieniu oraz zastosowanym wzorem, waga dla Kryterium „Cena” wynosi 80%.
2Pytanie 2 — kryteria równoważności certyfikatu [WNIOSEK O ZMIANĘ] Pkt VIII ust. 2 pkt 4 tiret drugie SWZ dopuszcza wykazanie się „dokumentem równoważnym stanowiącym potwierdzenie posiadanych uprawnień" w stosunku do certyfikatów wskazanych w rozporządzeniu Ministra Cyfryzacji z dnia 12 października 2018 r., nie określając jednak żadnych kryteriów tej równoważności. Proszę o wskazanie kryteriów, na podstawie których Zamawiający będzie oceniał równoważność dokumentu(np. zakres merytoryczny, organ wydający, sposób weryfikacji kompetencji, okres ważności). nadto OPZ w pkt 8 poz. 13 oraz w pkt 11 wymaga przedłożenia kopii ważnego certyfikatu zgodnego z w/w. rozporządzeniem, co może wykluczać skorzystanie z dokumentu równoważnego dopuszczonego w SWZ. Proszę o usunięcie tej rozbieżności.
Audytor wykonujący audyt musi posiadać co najmniej jeden z certyfikatów określonych w rozporządzeniu Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu. Zamawiający usuwa z pkt VIII ust. 2 pkt 4 SWZ oraz odpowiednich formularzy sformułowanie „lub dokumentem równoważnym stanowiącym potwierdzenie posiadanych uprawnień”.
3Pytanie 3 — informacje o audytowanym środowisku OPZ w nagłówku stanowi, że „OPZ określa minimalny rezultat. Wykonawca odpowiada za dobórprofesjonalnej metodyki i wystarczających dowodów audytowych", nie zawierając jednocześnie danych oskali badanego środowiska. Pracochtonnosé audytu KRI zależy wprost od tej skali, w związku z czym — napodstawie art. 99 ust. 1 Pzp — proszę o podanie odrębnie dla Starostwa Powiatowego i dla PODGiK: ... a) liczby pracowników (użytkowników systemów teleinformatycznych); b) liczby stacji roboczych, laptopów i urządzeń mobilnych objętych inwentaryzacją; c) liczby i nazw kluczowych systemów teleinformatycznych oraz aplikacji dziedzinowych; d) liczby serwerów (fizycznych i wirtualnych) oraz informacji, czy jednostka posiada własnąserwerownię, czy korzysta z kolokacji lub usług chmurowych; e) liczby osób pełniących funkcje administracyjne w systemach (dostęp uprzywilejowany); f) liczby lokalizacji fizycznych objętych audytem (OPZ wskazuje ten sam adres dla obu jednostek —proszę o potwierdzenie, że nie występują lokalizacje dodatkowe); g) informacji, czy wdrożony jest System Zarządzania Bezpieczeństwem Informacji i czy istniejeaktualna Polityka Bezpieczeństwa Informacji; h) informacji, kiedy przeprowadzono ostatni audyt, o którym mowa w § 19 ust. 2 pkt 14 rozporządzeniakRi, oraz czy jego wyniki i status realizacji rekomendacji zostaną udostępnione Wykonawcy; i) informacji, czy dokumentacja wytworzona lub zaktualizowana w ramach projektu „CyberbezpiecznyPowiat Głogowski" będzie kompletna na dzień rozpoczęcia audytu.
Dotyczy: PODGiK SP Głogów Liczby pracowników (użytkowników systemów 3 15 95 a) | teleinformatycznych) Liczby stacji roboczych, laptopów i urządzeń mobilnych | 26 105 b) | objętych inwentaryzacją Ze wzgl. bezpieczeństwa Ze wzgl. bezpieczeństwa | Zamawiający nie Zamawiający nie publikuje | publikuje na etapie na etapie postępowania | postępowania Liczby kluczowych systemów teleinformatycznych oraz | szczegółowych danych | szczegółowych aplikacji dziedzinowych dotyczących nazw, wersji i | danych dotyczących c) | konfiguracji _ systemów, | nazw, wersji i które nie są niezbędne do | konfiguracji sporządzenia oferty. systemów, które nie są niezbędne do sporządzenia oferty. Liczby serwerów (fizycznych i wirtualnych) oraz | Łącznie 17, 3 - fizyczne, informacji, czy jednostka posiada własną serwerownie, | własna serwerownia 10 wirtualnych d) | czy korzysta z kolokacji lub ustug chmurowych własna serwerownia Liczby osób pełniących funkcje administarcyjne w|1 3 e) | systemach (dostęp uprzywilejowanych) Liczby lokalizacji fizycznych objętych audytem (OPZ wskazuje ten sam adres dla obu jednostek - proszę o 1 1 f) potwierdzenie, że nie występują lokalizacje dodatkowe) Informacji, czy wdrozony jest System Zarządzania Bezpieczeństwem Informacji i czy istnieje aktualna | TAK TAK g) | Polityka Bezpieczeństwa Informacji Informacji, kiedy przeprowadzono ostatni audyt, o którym mowa w $ 18 ust. 2 pkt 14 rozporządzenia KRI, | 15 0 2025 / TAK 2026 / TAK oraz czy jego wyniki i status realizacji rekomendacji h) | zostaną udostępnione Wykonawcy Informacji, czy dokumentacja wytworzona lub z zaktualizowana w ramach projektu "Cyberbezpieczny TAK TAK Powiat Głogowski” będzie kompletna na dzień i) rozpoczęcia audytu.
4Pytanie 4 — wymiar pracy w siedzibie Zamawiającego [WNIOSEK O ZMIANĘ] OPZ pkt 4 stanowi, że „oględziny i zasadnicza część badania muszą odbyć się w siedzibie Zamawiającego”, zaś § 3 ust. 1 projektu umowy zobowiązuje Wykonawcę do „stawiennictwa w siedzibie Zamawiającego na każde jego żądanie". Wobec braku określenia wymiaru tego obowiązku proszę o: a) wskazanie minimalnej liczby dni pracy audytorów w siedzibie Zamawiającego wymaganej przez Zamawiającego; b) określenie maksymalnej liczby wizyt/stawiennictw, jakich Zamawiający może żądać w ramachwy na grodzenia ryczałtowego, oraz minimalnego terminu uprzedzenia o takim żądaniu. Bez tych informacji wykonawcy nie są w stanie skalkulować kosztów dojazdu i czasu pracy w sposób porównywalny.
Zamawiający nie wyraża zgody na wprowadzenie zmian w przedmiotowym zakresie.
5Pytanie 5 — granica zakresu technicznego OPZ pkt 1 stanowi, że audyt „nie jest certyfikacją systemu ani testem penetracyjnym", pkt 4 ppkt 5 przewiduje „nieinwazyjną weryfikację ustawień, logów, konfiguracji, rejestrów i próbek dowodów", a pkt 6wymienia „zarządzanie podatnościami" jako obszar oceny. Proszę o potwierdzenie, że przedmiot zamówienia nie obejmuje przeprowadzenia przez Wykonawcę skanowania podatności ani żadnych testów technicznych systemów, a ocena obszaru „zarządzanie podatnościami" ograniczy się do oceny procesu i dowodów przedstawionych przez Zamawiającego. W przypadku odpowiedzi przeczącej proszę o wskazanie oczekiwanego zakresu, liczby i rodzaju hostów objętych badaniem technicznym.
Zamawiający potwierdza, że przedmiot zamówienia nie obejmuje wykonywania przez Wykonawcę aktywnych skanów podatności, testów penetracyjnych, prób łamania haseł ani innych aktywnych testów bezpieczeństwa systemów. Ocena obszaru zarządzania podatnościami obejmuje ocenę procesu, procedur, konfiguracji, rejestrów, raportów z przeprowadzonych skanów lub innych dowodów udostępnionych przez Zamawiającego oraz inne nieinwazyjne czynności audytowe przewidziane w OPZ.
6Pytanie 6 — zakres kryteriów audytu i numeracja przepisów KRI [WNIOSEK O ZMIANĘ] a) Otwarty katalog kryteriów. OPZ pkt 3 tiret pierwsze wskazuje jako kryterium audytu rozporządzenieRady Ministrów z dnia 21 maja 2024 r. (Dz. U. poz. 773), „w szczególności § 19 i § 20", co wskazuje na katalog otwarty. Rozdział 4 tego rozporządzenia obejmuje również: e §15 — zarządzanie usługami realizowanymi przez systemy teleinformatyczne na deklarowany mpoziomie dostępności, z odniesieniem do PN-ISO/IEC 20000-1 i PN-ISO/IEC 20000-2; e 6$16— składniki sprzętowe i oprogramowanie umożliwiające wymianę danych, protokoły komunikacyjne i szyfrujące; * 617 — kodowanie znaków (Unicode UTF-8 wg ISO/IEC 10646); e §18 — udostępnianie zasobów informacyjnych i przyjmowanie dokumentów elektronicznych wformatach danych określonych w załącznikach nr 2 i 3 do rozporządzenia. Proszę o jednoznaczne wskazanie, czy przedmiot audytu jest ograniczony do $ 19 i $ 20 rozporządzenia, czy obejmuje również $$ 15—18. Zakres ten ma bezpośredni wpływ na pracochłonność, dobór kompetencji zespołu i wycenę oferty, a w obecnym brzmieniu OPZ nie pozwala go jednoznacznie ustalić (art. 99 ust. 1Pzp). b) Pominięcie $ 19 ust. 4. Tabela w pkt 5 OPZ nie wymienia $ 19 ust. 4 rozporządzenia, zgodnie z którym niezależnie od działań wskazanych w ust. 2 należy ustanowić dodatkowe zabezpieczenia w przypadkach uzasadnionych analizą ryzyka. Proszę o wskazanie czy ocena zgodności obejmuje również $ 19 ust. 4. c) Oznaczenia punktów w tabeli Zakres oceny wskazany w OPZ Odpowiadający przepis w pkt 5 OPZ. Tabela dwukrotnie rozporządzenia przywołuje $ 19 ust. 2 pkt 10, przypisując mu dwa różne zakresy oceny. w konsekwencji oznaczenia _ trzech _ kolejnych ... Proszę o potwierdzenie, że intencją Zamawiającego było objęcie audytem § 19 ust. 2 pkt 10—13 zgodnie z ich brzmieniem w rozporządzeniu, oraz o skorygowanie oznaczeń w tabeli. d) Oznaczenie norm. OPZ pkt 3 tiret trzecie oraz pkt 5 (wiersz ,,§ 19 ust. 3") przywołują normy w oznaczeniu PN-EN ISO/IEC 27001, PN-EN ISO/IEC 27002 i PN-EN ISO/IEC 27005, podczas gdy $ 19ust. 3 rozporządzenia posługuje się oznaczeniami PN-ISO/IEC 27001, PN-ISO/IEC 27002 i PN-ISO/IEC27005. Proszę o wskazanie, które oznaczenia i wydania norm mają stanowić punkt odniesienia dla oceny zgodności.
a) Zamawiający wyjaśnia, że przedmiotem audytu jest ocena zgodności w zakresie wymagań bezpieczeństwa informacji określonych w §19 i §20 rozporządzenia KRI. W pkt 3 OPZ sformułowanie „w szczególności §19 i $20” zostaje zastąpione sformułowaniem „w zakresie $19 i 820”. b) Zamawiający uwzględnia uwagę. Zakres audytu obejmuje również §19 ust. 4 rozporządzenia KRI. Tabela w pkt 5 OPZ zostanie uzupełniona o kryterium:§19 ust. 4 - ustanowienie dodatkowych zabezpieczeń w przypadkach uzasadnionych wynikami analizy ryzyka. c) Zamawiający potwierdza wystąpienie omytki redakcyjnej i dokonuje korekty numeracji. Prawidłowe oznaczenia: $19 ust. 2 pkt 10 - bezpieczeństwo umów serwisowych i nadzór nad wykonaniem umów; §19 ust. 2 pkt 11 - zasady postępowania z informacjami i środkami ich przetwarzania; §19 ust. 2 pkt 12 - zapewnienie odpowiedniego poziomu bezpieczeństwa systemów teleinformatycznych; $19 ust. 2 pkt 13 - bezzwłoczne zgłaszanie incydentów naruszenia bezpieczeństwa informacji. Odpowiedniej korekcie podlega pkt 5 OPZ. d) Punktem odniesienia są Polskie Normy wskazane w $ 19 ust. 3 rozporządzenia KRI. Zamawiający ujednolica oznaczenia norm w OPZ do brzmienia zastosowanego w rozporządzeniu, tj. PN-ISO/IEC 27001, PN-ISO/IEC 27002 oraz PN-ISO/IEC 27005, z uwzględnieniem stanu właściwego na dzień przeprowadzania audytu.

Historia zmian

17.08.2026 — upływ terminu składania ofert
27.08.2026 — ogłoszenie o wyniku postępowania
Janusz wypełni Twoje przetargiWgraj SWZ — dostaniesz warunki, wycenę i komplet dokumentów. 14 dni za darmo, bez karty.
Wypróbuj 14 dni