Dostawa oprogramowania bezpieczeństwa – Warszawa

Zamawiający informuje, że wymóg w zakresie posiadania opisanego w pytaniu Wykonawcy certyfikatu został sformułowany w sposób precyzyjny i proporcjonalny, mając na uwadze charakter zamówienia – usługę SOC świadczoną w trybie ciągłym (24/7/365), gdzie zapewnienie ciągłości działania jest kluczowe dla bezpieczeństwa infrastruktury Zamawiającego. Certyfikat ISO 22301, wydany przez akredytowaną jednostkę certyfikującą, stanowi obiektywny dowód wdrożenia i skuteczności funkcjonowania Zintegrowanego Systemu Zarządzania Ciągłością Działania, weryfikowany w ramach niezależnego audytu zewnętrznego. Wymóg nie ogranicza kręgu wykonawców w sposób nieuzasadniony, lecz selekcjonuje tych, którzy udowodnili zgodność z międzynarodowym standardem poprzez certyfikację. Dopuszczenie alternatywnych dowodów, takich jak własne procedury BCP/DRP, plany reagowania kryzysowego czy mechanizmy wysokiej dostępności, naruszałoby zasadę równego traktowania – wymagałoby od Zamawiającego subiektywnej oceny tych dokumentów, co mogłoby prowadzić do różnic w traktowaniu ofert i zarzutów o brak obiektywizmu. Własne BCP/DRP wykonawcy, nawet szczegółowe, nie gwarantują zewnętrznej weryfikacji skuteczności (audyt, testy, recertyfikacja co 3 lata jak w przypadku akredytowanego ISO 22301). Zamawiający nie dopuszcza spełnienia wymogu posiadania certyfikatu ISO 22301 poprzez przedstawienie procedur BCP/DRP, planów reagowania kryzysowego czy mechanizmów wysokiej dostępności. Nie uznaje tych rozwiązań za równoważne w rozumieniu art. 101 ust. 5 PZP. Wymóg pozostaje bez zmian.

Zamawiający informuje, ze nie wymaga złożenia wraz z ofertą certyfikatu, niemniej jednak na etapie realizacji umowy Zamawiający będzie uprawniony do sprawdzania posiadania przez Wykonawcę wskazanych w OPZ certyfikatów.

Zamawiający podtrzymuje wymaganie posiadania certyfikatu ISO 9001 i nie uzna za spełnienie tego warunku posiadania przez Wykonawcę wyłącznie certyfikatów ISO 27001, ISO 22301 oraz ISO 27035. ISO 9001 stanowi normę dotyczącą systemu zarządzania jakością, natomiast wskazane przez Państwa certyfikaty odnoszą się odpowiednio do bezpieczeństwa informacji, ciągłości działania oraz zarządzania incydentami bezpieczeństwa informacji. Zamawiający określił ten warunek ze względu na potrzebę potwierdzenia, że Wykonawca posiada wdrożony i certyfikowany systemy zarządzania jakością, zapewniający powtarzalność, nadzór nad procesami oraz stałe doskonalenie realizacji usług. W ocenie Zamawiającego sam fakt posiadania certyfikatów z obszaru cyberbezpieczeństwa nie potwierdza spełnienia tego wymogu w zakresie objętym ISO 9001.

Zamawiający podtrzymuje wymaganie, aby zespół SOC dysponował aktywnym statusem „Trusted Introducer Accredited” albo statusem równoważnym. Wymóg ten pozostaje w bezpośrednim związku z przedmiotem zamówienia, tj. świadczeniem usług SOC w modelu ciągłym, obejmujących identyfikację, analizę i reagowanie na incydenty bezpieczeństwa informacji. Zamawiający wskazuje, że korzystanie z wiarygodnych, sprawdzonych i formalnie potwierdzonych kanałów współpracy w obszarze wymiany informacji o zagrożeniach oraz incydentach ma istotne znaczenie dla jakości i skuteczności usług SOC, a tym samym dla należytego zabezpieczenia interesu Zamawiającego. Zamawiający nie podziela stanowiska, że wymaganie to narusza art. 16 oraz art. 99 ust. 4 ustawy Pzp. W ocenie Zamawiającego warunek jest uzasadniony specyfiką zamówienia, proporcjonalny do jego przedmiotu oraz służy zapewnieniu odpowiedniego poziomu bezpieczeństwa i wiarygodności procesu obsługi incydentów Instytucie. Celem Zamawiającego nie jest ograniczenie konkurencji, lecz wybór wykonawcy posiadającego potwierdzony, wysoki poziom dojrzałości operacyjnej oraz dostęp do środowiska wymiany informacji uznawanego w branży za wiarygodny i zweryfikowany. Jednocześnie Zamawiający dopuszcza możliwość wykazania równoważności. Przez status równoważny Zamawiający rozumie posiadanie przez zespół SOC lub wykonawcę rozwiązania organizacyjnego i proceduralnego, które zapewnia co najmniej porównywalny poziom wiarygodności, współpracy i skuteczności w obszarze obsługi incydentów bezpieczeństwa informacji, w szczególności poprzez: 1. formalne członkostwo lub akredytację w uznanej organizacji branżowej zajmującej się wymianą informacji o zagrożeniach i incydentach cyberbezpieczeństwa, 2. wdrożone i stosowane procedury współpracy z podmiotami zaufanymi w zakresie wymiany informacji o zagrożeniach, incydentach i podatnościach, 3. udokumentowany udział w krajowych lub międzynarodowych strukturach współpracy w obszarze cyberbezpieczeństwa, 4. potwierdzone kompetencje zespołu SOC w zakresie obsługi incydentów, analizy zagrożeń oraz współdziałania z podmiotami zewnętrznymi, 5. funkcjonujące mechanizmy zapewniające jakość, poufność i wiarygodność przekazywanych informacji. Dla potwierdzenia równoważności Zamawiający uzna w szczególności: 1. dokument potwierdzający członkostwo, akredytację lub status w organizacji branżowej o porównywalnym charakterze, 2. opis stosowanych procedur oraz zasad współpracy w obszarze wymiany informacji o incydentach i zagrożeniach, 3. wykaz wdrożonych mechanizmów organizacyjnych i technicznych zapewniających odpowiedni poziom zaufania i bezpieczeństwa, 4. inne dokumenty potwierdzające, że przyjęte rozwiązania zapewniają poziom nie niższy niż status „Trusted Introducer Accredited”. Ocena równoważności będzie dokonywana przez Zamawiającego z uwzględnieniem zakresu, charakteru oraz praktycznej skuteczności przedstawionych rozwiązań, przy czym to na Wykonawcy spoczywa obowiązek wykazania równoważności oferowanego…