Audyt cyberbezpieczeństwa sieci

• Zadanie A (usługa): opracowanie, wdrożenie, przegląd i aktualizacja Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) wg ISO/IEC 27001, 27005 i 31000 — pełen pakiet dokumentacji (polityki, procedury, rejestry: aktywów, ryzyk, incydentów, uprawnień), analiza ryzyka dla środowisk IT i OT, moduł RODO (rejestry czynności przetwarzania, DPIA, procedury naruszeń).
• Zadanie B (usługa): opracowanie, wdrożenie, przegląd i aktualizacja Systemu Zarządzania Ciągłością Działania (SZCD) wg ISO 22301 — analiza BIA, Plan Ciągłości Działania (BCP) z RTO/RPO, Disaster Recovery Plan (DRP), co najmniej jeden warsztat symulacyjny z raportem.
• Zadanie C (usługa): szkolenia stacjonarne z cyberbezpieczeństwa (IT/OT/ICS, w tym SCADA) dla kadry kierowniczej — ok. 93 uczestników w turach po maks. 20 osób, każda tura min. 2 godz., plus co najmniej 2 terminy online; konspekt, materiały, listy obecności, raport zbiorczy z rekomendacjami.
• Zadanie D (usługa): testy bezpieczeństwa w czterech obszarach — infrastruktury sieciowej IT (183 hosty: 67 komputerów, 33 serwery, 83 urządzenia sieciowe/VoIP; 8 podsieci, 2 adresy publiczne), serwisów www (metodyka OWASP), systemów sterowania OT/ICS/IIoT (PLC, HMI, RTU, SCADA) oraz systemów bezpieczeństwa technicznego (CCTV, KD, SSWiN) w 8 obiektach (siedziba główna + oczyszczalnie w Białogardzie, Biesiekierzu, Bobolicach, Karlinie, Połczynie-Zdroju, Tychowie i Rąbinie) — wymagana fizyczna obecność w każdej lokalizacji; raporty z podatnościami (CVSS), PoC, retest na żądanie.
• Zadanie E (usługa): audyt cyberbezpieczeństwa sieci OT/ICS/IIoT w trzech obszarach — samej sieci OT (segmentacja wg IEC 62443, model stref i kanałów), styku Internet–OT (ochrona perymetryczna, IPS, zdalny dostęp) oraz styku IT–OT (DMZ przemysłowa, deny-all, przepływ danych); audyt wg IEC 62443 i NIST SP 800-82; raport z niezgodnościami i planem rekomendacji.

Wszystkie produkty (dokumentacja, raporty, materiały szkoleniowe) mają być przekazane w formie edytowalnej (.docx/.xlsx) i/lub jako PDF dostępny (WCAG 2.1 AA), w języku polskim. Realizacja w siedzibie i obiektach zamawiającego z możliwością pracy zdalnej w uzasadnionych przypadkach.

Pięć silnie zintegrowanych zadań wymagających jednocześnie kompetencji SZBI/SZCD, szkoleniowych i testów/audytów IT/OT, z restrykcyjnym reżimem nieingerencji w procesy technologiczne i wymogiem fizycznej obecności w 8 obiektach — wysokie ryzyko koordynacyjne, wymuszone wąskie okna serwisowe OT oraz twarde terminy grantu KPO.

Wagi punktowe, według których zamawiający oceni oferty.

Sygnały, na które warto zwrócić uwagę przed startem.

Brak istotnych sygnałów ostrzegawczych.

• Kary umowne: w projekcie umowy (zał. nr 4).

Wyodrębnione z wyjaśnień treści SWZ.