Opracowanie i wdrożenie SZBI i SZCD oraz systemu GRC – Zgorzelec

• System Zarządzania Bezpieczeństwem Informacji (SZBI): opracowanie kompletnej dokumentacji SZBI (Polityka Bezpieczeństwa Teleinformatycznego, Polityka Bezpieczeństwa Informacji, rejestry, procedury: zarządzania uprawnieniami, kopii zapasowych, odtwarzania, zarządzania incydentami, zarządzania konfiguracją, audytów wewnętrznych i utrzymania) oraz utrzymanie, zarządzanie i doskonalenie SZBI do 31.12.2026.
• System Zarządzania Ciągłością Działania (SZCD): opracowanie i wdrożenie systemu ciągłości (wdrożenie jednego procesu krytycznego wg ISO 22301 lub równoważnej), przekazanie wzorcowej dokumentacji PCD/MAK, wsparcie adaptacji dokumentów i weryfikacja PCD/MAK.
• Plany ciągłości działania i odtwarzania po awarii (PCD/DRP): analiza krytycznych procesów, klasyfikacja, analiza ryzyka/scenariuszy, procedury zarządzania incydentami, instrukcje odtworzeniowe (serwery, VM, przełączenia) i przygotowanie planów postępowania z ryzykiem.
• Dostawa i wdrożenie systemu GRC (licencja wieczysta + wsparcie techniczne i aktualizacje do 31.12.2026): system klasy GRC z funkcjami mapowania organizacji i procesów, identyfikacji i oceny ryzyk, DPIA, planów postępowania z ryzykiem, KRI, rejestrem incydentów, powiadomień e-mail, modułem zarządzania uprawnieniami (rozszerzalnym), wsparciem audytów, dostępem jednoczesnym min. 5 użytkowników, baza min. ~800 predefiniowanych ryzyk, import/eksport Excel oraz instalacją w infrastrukturze Zamawiającego i szkoleniem min. 6 godz. dla użytkowników.
• Analiza ryzyka i raport bezpieczeństwa: ocena zabezpieczeń technicznych i organizacyjnych, identyfikacja i ocena ryzyk, DPIA oraz przygotowanie planów postępowania z ryzykiem.
• Audyty (wykonane przez niezależny zespół audytorów): audyt SZBI, audyt SZCD, audyt zgodności z KRI/KSC/NIS2/ISO27001 oraz audyt końcowy ICT po wdrożeniach; zakres: weryfikacja dokumentacji, analiza ryzyka, procedur (uprawnienia, backup, utylizacja), kontrola zabezpieczeń technicznych IT i OT, skanowanie podatności IT i OT (1 segment OT), inwentaryzacja urządzeń OT, i raporty poaudytowe.
• Szkolenia i kampanie awareness: szkolenia podstawowe dla ~50 osób (2 godz. grupa; testy phishingowe 2 kampanie dla ~50 adresów e-mail ±10%), szkolenia symulacyjne z cyberbezpieczeństwa, ciągłości działania i zarządzania kryzysowego dla ~30 osób (online/e-learning), materiały szkoleniowe, weryfikacja wiedzy i certyfikaty imienne.
• Testy socjotechniczne (security awareness): przeprowadzenie dwóch kampanii phishingowych dla wszystkich służbowych adresów e-mail (ok. 50 użytkowników ±10%) i dostarczenie raportu wyników.
• Audyt końcowy ICT: kompleksowy przegląd infrastruktury IT (skanowanie podatności stacji roboczych, serwerów, WWW, LAN/WAN) oraz OT (analiza ruchu, audyt 1 segmentu OT, identyfikacja podatności urządzeń automatyki) i raport z zaleceniami.

Trudnosc: wysoka

Zamówienie jest szerokie i wielowymiarowe: obejmuje opracowanie i utrzymanie SZBI i SZCD, wdrożenie systemu GRC z licencją i integracją lokalną, przeprowadzenie wielu audytów IT/OT oraz kompleksowe szkolenia i symulacje socjotechniczne, co wymaga zespołu specjalistów, koordynacji i doświadczenia w IT/OT i zgodności regulacyjnej.

Wagi punktowe, według których zamawiający oceni oferty.

Sygnały, na które warto zwrócić uwagę przed startem.

• Wadium: brak wymogu wniesienia wadium.
• Zabezpieczenie należytego wykonania umowy: brak wymogu wniesienia zabezpieczenia.

Wyodrębnione z wyjaśnień treści SWZ.

Zamawiający nie opublikował pytań ani odpowiedzi