Po terminie
Dostawa i wdrożenie systemu WAF – Warszawa
Urząd Ochrony Konkurencji i Konsumentów1 aktualny · 35 w archiwum·NIP 5261009497·mazowieckie
Przedmiot zamówienia
AI| Dostawa i wdrożenie 1 systemu klasy Web Application Firewall (WAF) w postaci maszyny wirtualnej, stanowiącą spójne rozwiązanie do monitorowania i filtrowania ruchu do aplikacji webowych Zamawiającego. - Licencje i subskrypcje: obejmujące ochronę min. 50 aplikacji/domen oraz aktualizacje oprogramowania i reguł bezpieczeństwa (zgodnie z zakresem OPZ). - Wdrożenie: instalacja, konfiguracja trybu reverse proxy, integracja ze wskazanymi systemami, konfiguracja ochrony dla 5 aplikacji wskazanych przez Zamawiającego, konfiguracja TLS, logowania i integracji z SIEM oraz strojenie reguł WAF. - Dokumentacja i szkolenie: powdrożeniowa dokumentacja techniczna systemu oraz instruktaż praktyczny dla min. 3 administratorów Zamawiającego.
Trudność: średnia
Zamówienie obejmuje dostawę, wdrożenie i integrację systemu bezpieczeństwa WAF z istniejącą infrastrukturą oraz konfigurację ochrony aplikacji, co wymaga doświadczenia technicznego i koordynacji prac.
Terminy realizacji
Czas na realizację (termin wykonania)
do 21 dni od podpisania umowy (uruchomienie do 14 dni)
do 21 dni od podpisania umowy (uruchomienie do 14 dni)
Wsparcie producenta
min. 24 miesiące od protokołu odbioru
min. 24 miesiące od protokołu odbioru
Wsparcie Wykonawcy
min. 12 miesięcy od protokołu odbioru
min. 12 miesięcy od protokołu odbioru
Warunki udziału
AI1Doświadczenie — min. 1 zamówienie obejmujące dostawę, wdrożenie i wsparcie techniczne (w tym instalację i konfigurację) systemu klasy WAF o wartości ≥ 200 000,00 zł brutto w okresie ostatnich 3 lat (lub krótszym okresie prowadzenia działalności)
2Kadra — co najmniej 2 osoby: (1) doświadczenie w projektowaniu i wdrażaniu systemów klasy WAF potwierdzone udziałem w co najmniej 1 w pełni zakończonym projekcie ≥ 200 000 PLN brutto; (2) doświadczenie w instalacji i konfiguracji urządzeń klasy WAF potwierdzone udziałem w co najmniej 1 w pełni zakończonym projekcie ≥ 200 000 PLN brutto; jedna osoba może spełniać oba wymagania, o ile zespół liczy co najmniej 2 osoby
Czerwone flagi
AISygnały, na które warto zwrócić uwagę przed startem.
Brak istotnych sygnałów ostrzegawczych.
Kary i sankcje
AI- Kary umowne (projekt umowy, zał. nr 2): zwłoka — 1% wynagrodzenia brutto za dobę, max 20%; odstąpienie/wypowiedzenie — 20%.
- Naruszenie poufności — 5% za przypadek; inne nienależyte wykonanie — 10%; łączny max 30%.
- Niewykonanie § 9 ust. 3: pkt 1 — 0,5%, pkt 2 — 0,2%, pkt 3–4 — 0,1% za przypadek.
Pozostałe 2 zapisy o karach po założeniu darmowego konta.
Pytania i odpowiedzi
35Wyodrębnione z wyjaśnień treści SWZ.
1Opis przedmiotu zamówienia, pkt 1 i 2
W odniesieniu do wymogu: „…z zapewnieniem wsparcia technicznego producenta przez 24 miesiące i Wykonawcy przez 12 miesięcy” oraz „…wsparcie techniczne wykonawcy, konfiguracja i aktualizacja systemu w okresie 24 miesięcy od momentu podpisania protokołu odbioru…”
Punkty 1 i 2 Opisu przedmiotu zamówienia wskazują różne okresy wsparcia technicznego Wykonawcy (12 oraz 24 miesiące), co ma bezpośredni wpływ na wycenę oferty.
Czy Zamawiający potwierdza, że wymagany okres wsparcia technicznego Wykonawcy wynosi 12 miesięcy, a okres 24 miesięcy dotyczy wyłącznie wsparcia producenta oraz dostępu do aktualizacji oprogramowania i reguł?
Zamawiający potwierdza, że wymagany okres wsparcia technicznego Wykonawcy wynosi 12 miesięcy, a okres 24 miesięcy dotyczy wyłącznie wsparcia producenta oraz dostępu do aktualizacji oprogramowania i reguł. W związku z powyższym Zamawiający pozostawia zapisy bez zmian.
1Dotyczy: Projektowe postanowienia umowy (Zał. nr 2 do SWZ): Paragraf 2 (Termin i miejsce realizacji umowy)
Zwracam się z uprzejmą prośbą o wyrażenie zgody na dokonanie zmiany w zakresie terminów realizacji wskazanych w § 2 pkt 1 i 2 i przychylenia się do prośby, aby były to dni robocze zgodnie z poniższą propozycją zmiany:
„1. Przedmiot umowy, o którym mowa w § 1, zostanie zrealizowany w terminie 21 dni roboczych, (wraz z instruktażem, o którym mowa w § 3 pkt 6), od dnia podpisania umowy.
2.Uruchomienie Systemu nastąpi w terminie nie później niż do 14 dni roboczych od dnia podpisania umowy.”
W odpowiedzi Zamawiający informuje, że nie wyraża zgody na zmianę zaproponowanych postanowień. Zamawiający pozostawia postanowienia bez zmian.
2Dotyczy: Projektowe postanowienia umowy (Zał. nr 2 do SWZ): Paragraf 4 (Obowiązki Zamawiającego)
W związku z tym, iż do obowiązków Zamawiającego należą także:
1.terminowe dokonywanie odbioru;
2.zapłata wynagrodzenia;
zwracam się z uprzejmą prośbą o dodanie w/w obowiązków do § 4 Projektowych postanowień umowy.
W odpowiedzi Zamawiający informuje, że nie wyraża zgody na dodanie proponowanych postanowień z uwagi, że termin płatności oraz sposób odbioru został określony odpowiednio w § 6 ust.9 oraz ust. 11. Zamawiający pozostawia postanowienia bez zmian.
2Rozdział I, pkt 1 i 2 (w nawiązaniu do odpowiedzi na wniosek nr 10)
W odniesieniu do wymogu: „Zaoferowany System, na który składa się VA (Virtual Appliance) lub VM (Virtual Machine) i oprogramowanie stanowić będzie jedno spójne rozwiązanie, zarządzane z poziomu jednej konsoli.”
W odpowiedzi na wniosek nr 10 Zamawiający wskazał, że wszystkie moduły oprogramowania WAF muszą być zarządzane z poziomu jednej konsoli, nie określając jednak modelu jej dostarczenia. Część rozwiązań równoważnych realizuje jedną, wspólną konsolę w modelu SaaS z przetwarzaniem danych na terenie Unii Europejskiej. Inspekcja ruchu, terminacja TLS i przechowywanie kluczy prywatnych odbywają się wyłącznie lokalnie na maszynie wirtualnej w infrastrukturze Zamawiającego, a do konsoli przekazywane są wyłącznie dane konfiguracyjne oraz zdarzenia bezpieczeństwa zawierające fragment żądania, który wywołał zdarzenie. Taka architektura wymaga szyfrowanego połączenia wychodzącego (HTTPS) z maszyny wirtualnej do konsoli producenta, również za pośrednictwem serwera proxy.
Czy Zamawiający dopuści rozwiązanie, w którym jedna, wspólna konsola zarządzania dla wszystkich funkcji Systemu jest udostępniana przez producenta w modelu SaaS z przetwarzaniem danych na terenie UE, a przetwarzanie ruchu odbywa się na maszynie wirtualnej w środowisku Zamawiającego? Czy Zamawiający zapewni dla maszyny wirtualnej WAF możliwość szyfrowanego połączenia wychodzącego HTTPS do konsoli producenta, bezpośrednio lub poprzez serwer proxy?
W odpowiedzi Zamawiający informuje, że zaoferowanie rozwiązania w którym jedna, wspólna konsola zarządzania dla wszystkich funkcji Systemu jest udostępniana przez producenta w modelu SaaS z przetwarzaniem danych na terenie UE, a przetwarzanie ruchu odbywa się na maszynie wirtualnej w środowisku Zamawiającego spełni minimalne warunki postępowania. Zamawiający potwierdza, że zapewni możliwość szyfrowanego połączenia wychodzącego HTTPS.
3Dotyczy: Projektowe postanowienia umowy (Zał. nr 2 do SWZ): Paragraf 9, ust. 2 pkt. 2) (Przetwarzanie danych osobowych)
Zwracam się z uprzejmą prośbą o dopuszczenie możliwości, aby Zamawiający dokonywał zgłoszeń incydentów lub problemów poprzez dedykowany portal zgłoszeniowy – portal wsparcia Wykonawcy pozostawiając aktualne zapisy w § 9 ust. 2 pkt 2), czyli możliwość zgłaszania incydentów lub problemów drogą telefoniczną i mailową.
W odpowiedzi Zamawiający informuję, że dopuszcza możliwość, zgłaszania incydentów lub problemów poprzez dedykowany portal zgłoszeniowy – portal wsparcia. W związku z powyższym postanowienie w § 9 ust. 2 pkt 2) Projektowanych postanowień umowy otrzymuje brzmienie:
„2) zgłaszanie incydentów lub problemów będzie mogło być składane do Wykonawcy telefonicznie (…………………) lub na wyznaczony przez Wykonawcę adres email (………………………) lub za pomocą dedykowanego portalu zgłoszeniowego.”
3Rozdział I, pkt 4 (w nawiązaniu do odpowiedzi na wniosek nr 9)
W odniesieniu do wymogu: „Oferowany system musi być dostarczony w postaci maszyny wirtualnej przeznaczonej do uruchomienia w środowisku wirtualizacyjnym Zamawiającego.”
W odpowiedzi na wniosek nr 9 Zamawiający wskazał, że oferowane rozwiązanie powinno być możliwe do uruchomienia na posiadanej przez Zamawiającego platformie wirtualizacyjnej, nie wskazując jednak tej platformy. Dobór obrazu maszyny wirtualnej i parametrów wdrożenia zależy od rodzaju i wersji platformy.
Prosimy o wskazanie platformy wirtualizacyjnej posiadanej przez Zamawiającego i jej wersji (np. VMware vSphere, Microsoft Hyper-V, KVM). Czy w przypadku platformy innej niż VMware vSphere Zamawiający dopuści dostarczenie Systemu w postaci kontenera lub agenta uruchamianego na maszynie wirtualnej z systemem Linux, zarządzanego z tej samej konsoli i realizującego pełny zakres funkcji OPZ?
W odpowiedzi Zamawiający informuje, że posiada platformę wirtualizacyjną VMware vSphere. Zamawiający nie dopuszcza dostarczenia systemu w postaci w postaci kontenera lub agenta uruchamianego na maszynie wirtualnej z systemem Linux.
4Rozdział I, pkt 6
W odniesieniu do wymogu: „Klucze prywatne zapisane lokalnie muszą być zaszyfrowane. Nie dopuszcza się rozwiązań przechowujących klucze prywatne w formie jawnej.”
Wymaganie wskazuje konkretny sposób zabezpieczenia (szyfrowanie pliku klucza na poziomie aplikacji), a nie cel funkcjonalny, jakim jest ochrona kluczy prywatnych przed nieuprawnionym dostępem. W rozwiązaniach równoważnych klucze prywatne nie opuszczają infrastruktury Zamawiającego i nie są przekazywane do producenta, dostęp do nich ma wyłącznie uprzywilejowane konto administracyjne, a ochronę danych w spoczynku zapewnia szyfrowanie maszyny wirtualnej lub magazynu danych mechanizmami platformy wirtualizacyjnej. Wskazany wymóg nieproporcjonalnie wyklucza rozwiązania równoważne. Czy Zamawiający dopuści rozwiązanie, w którym klucze prywatne przechowywane są wyłącznie lokalnie na maszynie wirtualnej, z dostępem ograniczonym do konta administracyjnego, a ich szyfrowanie w spoczynku realizowane jest mechanizmami platformy wirtualizacyjnej (szyfrowanie maszyny wirtualnej lub magazynu danych), przy zachowaniu celu funkcjonalnego określonego w OPZ?
W odpowiedzi Zamawiający informuje, że dopuści rozwiązanie, w którym klucze prywatne przechowywane są wyłącznie lokalnie na maszynie wirtualnej.
4Dotyczy: Projektowe postanowienia umowy (Zał. nr 2 do SWZ): Paragraf 16, ust. 3 (Przetwarzanie danych osobowych)
Zwracam się uprzejmą prośbą o dodanie analogicznego zobowiązania Zamawiającego do zapoznania się i przekazania klauzuli informacyjnej Wykonawcy. Klauzulę dostarczy Wykonawca.
W odpowiedzi Zamawiający informuję, że wyraża zgodę na dodanie zaproponowanego postanowienia. W związku z powyższym Zamawiający dodaje w § 16 Projektowanych postanowieniach umowy:
„4) Zamawiający zobowiązuje się do zapoznania z klauzulą informacyjną Wykonawcy, która
5Rozdział I, pkt 4.2, 4.3, 7, 10, 11 i 113
W odniesieniu do wymogu: „System musi zapewniać przepustowość przetwarzania ruchu HTTP/HTTPS na poziomie minimum 2 Gb/s przy aktywnej inspekcji WAF” oraz „…minimum 100 000 jednoczesnych sesji HTTP/HTTPS” oraz „…minimum 10 000 nowych żądań HTTP/HTTPS na sekundę.”
Wydajność rozwiązań WAF w postaci maszyny wirtualnej zależy od przydzielonych zasobów (vCPU, RAM) oraz od profilu ruchu (średni rozmiar żądania i odpowiedzi, udział TLS, liczba aktywnych mechanizmów ochrony). Bez wskazania profilu ruchu deklarowane wartości nie są porównywalne pomiędzy oferentami. Producenci rozwiązań WAF rekomendują ponadto skalowanie horyzontalne, czyli osiąganie wymaganej wydajności przez kilka instancji maszyny wirtualnej, które zapewnia także wyższą dostępność niż pojedyncza instancja.
Prosimy o wskazanie profilu ruchu, dla którego należy wykazać wymagane parametry (średni rozmiar żądania i odpowiedzi, udział HTTPS, wersje TLS). Czy Zamawiający dopuści osiągnięcie wymaganych parametrów przez więcej niż jedną instancję maszyny wirtualnej, zarządzaną z tej samej konsoli i objętą tą samą licencją? Czy w takim przypadku Zamawiający dysponuje mechanizmem równoważenia obciążenia (load balancer), który może zostać wykorzystany do dystrybucji ruchu pomiędzy instancjami Systemu? Prosimy również o wskazanie, w jaki sposób Wykonawca ma potwierdzić parametry wydajnościowe na etapie składania ofert. Czy Zamawiający uzna za wystarczające oświadczenie Wykonawcy wraz ze specyfikacją zasobów maszyn wirtualnych, z weryfikacją parametrów w formie testu w środowisku Zamawiającego na etapie odbioru?
Zamawiający uzna za wystarczające oświadczenie Wykonawcy wraz ze specyfikacją zasobów maszyn wirtualnych, z weryfikacją parametrów w formie testu w środowisku Zamawiającego na etapie odbioru. Zamawiający nie dysponuje mechanizmem równoważenia obciążenia (load balancer), który może zostać wykorzystany do dystrybucji ruchu pomiędzy instancjami Systemu. Zamawiający dopuści osiągnięcie wymaganych parametrów przez więcej niż jedną instancję maszyny wirtualnej, ale w tym wypadku wykonawca musi dostarczyć moduł mechanizmu równoważenia obciążenia Udział HTTPS: 100% ruchu szyfrowanego. Ruch HTTP jest wyłącznie przekierowywany na HTTPS.TLS: parametry muszą być spełnione zarówno dla TLS 1.2 (ECDHE-RSA-AES128-GCM-SHA256), jak i TLS 1.3 (TLS_AES_128_GCM_SHA256), przy certyfikacie RSA 2048 bit i terminacji TLS na WAF. Przepustowość min. 1 Gb/s: ruch HTTP w warstwie 7 po deszyfracji (suma obu kierunków), dla żądania o rozmiarze 1 KB i odpowiedzi o rozmiarze 64 KB, przy połączeniach persistent (keep-alive).
Min. 5 000 żądań HTTP/HTTPS na sekundę: transakcje HTTP (żądanie i odpowiedź) na sekundę, dla odpowiedzi o rozmiarze 1 KB, przy średnio 10 żądaniach w jednej sesji TLS, tj. min. 1 000 nowych sesji TLS na sekundę z pełnym handshake’iem (bez wznawiania sesji).
Min. 50 000 jednoczesnych sesji: utrzymywane równocześnie połączenia TCP/TLS terminowane na WAF, z ruchem HTTP w każdej z nich
5Wniosek nr 5:
Dotyczy: Umowa powierzenia przetwarzania danych osobowych (Zał. nr 3 do umowy):
Paragraf 4, ust. 11 (Sposób wykonania umowy w zakresie przetwarzania danych osobowych)
Zwracam się z uprzejmą prośbą o wydłużenie czasu na zgłoszenie Administratorowi
naruszenia ochrony Danych Osobowych do 48h.
Odpowiedź na wniosek nr 5:
W odpowiedzi Zamawiający informuję, że nie wyraża zgodę na zmianę zaproponowanego
postanowienia. Zamawiający pozostawia postanowienia bez zmian.
Historia zmian
29.10.2026 — publikacja ogłoszenia
06.11.2026 — aktualizacja ogłoszenia (Termin składania: 06.11.2026 → 10.11.2026)
06.11.2026 — wyjaśnienia treści SWZ (2 dokumenty z wyjaśnieniami)
10.11.2026 — upływ terminu składania ofert