RozstrzygniętyPodstawowy bez negocjacji2026/BZP 00351850/01
Opracowanie i wdrożenie SZBI wraz z przeprowadzeniem szkoleń oraz przeprowadzenie audytu
Generalna Dyrekcja Ochrony Środowiska1 aktualny · 31 w archiwum·NIP 7010151052·mazowieckie
Składanie ofert: 30 lipca 2026
Rozstrzygnięcie
Kto wygrał, za ile i ilu było chętnych.
WygrałaVALVEN Sp. z o.o.
NIP zwycięzcy7492096445
Kwota oferty12 340,00 zł
Złożonych ofert126, w tym odrzuconych: 30
Widełki ofert11 475,00 zł – 128 700,00 zł
Najtańsza oferta wygrałanie
Przedmiot zamówienia
AI- Część 1 (usługa): opracowanie i wdrożenie dokumentacji SZBI, szkolenie kadry zarządzającej i personelu IT oraz audyt zgodności z KRI i UoKSC dla Regionalnej Dyrekcji Ochrony Środowiska w Łodzi.
- Część 2 (usługa): opracowanie i wdrożenie dokumentacji SZBI, szkolenie kadry zarządzającej i personelu IT oraz audyt zgodności z KRI i UoKSC dla Regionalnej Dyrekcji Ochrony Środowiska w Gdańsku.
- Część 3 (usługa): opracowanie i wdrożenie dokumentacji SZBI, szkolenie kadry zarządzającej i personelu IT oraz audyt zgodności z KRI i UoKSC dla Regionalnej Dyrekcji Ochrony Środowiska w Gorzowie Wielkopolskim.
- Część 4 (usługa): opracowanie i wdrożenie dokumentacji SZBI, szkolenie kadry zarządzającej i personelu IT oraz audyt zgodności z KRI i UoKSC dla Regionalnej Dyrekcji Ochrony Środowiska w Krakowie.
- Część 5 (usługa): opracowanie i wdrożenie dokumentacji SZBI, szkolenie kadry zarządzającej i personelu IT oraz audyt zgodności z KRI i UoKSC dla Regionalnej Dyrekcji Ochrony Środowiska w Rzeszowie.
- Część 6 (usługa): opracowanie i wdrożenie dokumentacji SZBI, szkolenie kadry zarządzającej i personelu IT oraz audyt zgodności z KRI i UoKSC dla Regionalnej Dyrekcji Ochrony Środowiska w Lublinie.
- Część 7 (usługa): opracowanie i wdrożenie dokumentacji SZBI, szkolenie kadry zarządzającej i personelu IT oraz audyt zgodności z KRI i UoKSC dla Regionalnej Dyrekcji Ochrony Środowiska w Kielcach.
- Część 8 (usługa): opracowanie i wdrożenie dokumentacji SZBI, szkolenie kadry zarządzającej i personelu IT oraz audyt zgodności z KRI i UoKSC dla Regionalnej Dyrekcji Ochrony Środowiska w Poznaniu.
- Część 9 (usługa): opracowanie i wdrożenie dokumentacji SZBI, szkolenie kadry zarządzającej i personelu IT oraz audyt zgodności z KRI i UoKSC dla Regionalnej Dyrekcji Ochrony Środowiska w Opolu.
- Część 10 (usługa): opracowanie i wdrożenie dokumentacji SZBI, szkolenie kadry zarządzającej i personelu IT oraz audyt zgodności z KRI i UoKSC dla Regionalnej Dyrekcji Ochrony Środowiska we Wrocławiu.
Trudność: średnia
Zamówienie wymaga posiadania specjalistycznej wiedzy z zakresu cyberbezpieczeństwa oraz koordynacji prac audytowych i szkoleniowych w 10 rozproszonych jednostkach terenowych.
Warunki udziału
AI1Sytuacja ekonomiczna i finansowa — Wykonawca musi posiadać aktualne ubezpieczenie odpowiedzialności cywilnej (OC) w zakresie prowadzonej działalności gospodarczej związanej z przedmiotem zamówienia, na sumę gwarancyjną nie niższą niż 200 000,00 zł.
2Zdolność techniczna lub zawodowa — Wykonawca musi wykazać, że dysponuje (lub będzie dysponował na etapie realizacji zamówienia) co najmniej dwoma audytorami, z których co najmniej jeden posiada certyfikat określony w Rozporządzeniu Ministra Cyfryzacji z dnia 12 października 2018 r. oraz co najmniej 4-letnie doświadczenie w zakresie przeprowadzania audytu w obszarach SZBI, KRI, UoKSC lub normy ISO/IEC 27001, a także w okresie ostatnich 5 lat przed wszczęciem postępowania wykonał co najmniej 3 audyty w obszarach: SZBI lub KRI lub UoKSC lub NIS2 lub ISO/IEC 27001.
Kryteria wyboru oferty
AIWagi punktowe, według których zamawiający oceni oferty.
- Cena brutto zamówienia – waga 60% (punkty w skali 0–60).
- Dodatkowy certyfikowany audytor z doświadczeniem – waga 40% (punkty w skali 0–40).
Czerwone flagi
AISygnały, na które warto zwrócić uwagę przed startem.
Termin składania ofert przypada na okres wakacyjny (29 lipca)
Termin w okresie wakacyjnym (lipiec-sierpień) może ograniczać liczbę oferentów ze względu na urlopy.
Kary i sankcje
AI- Kary umowne: szczegółowe zapisy w projekcie umowy (załącznik nr 2 do SWZ)
- Zabezpieczenie należytego wykonania umowy: Zamawiający nie żąda wniesienia
- Wadium: Zamawiający nie żąda wniesienia
Pozostałe 2 zapisy o karach po założeniu darmowego konta.
Pytania i odpowiedzi
10Wyodrębnione z wyjaśnień treści SWZ.
11. Skład i kwalifikacje zespołu audytowego
Czy zakres zamówienia obejmuje audyt realizowany na podstawie przepisów ustawy o krajowym systemie cyberbezpieczeństwa?
Jeżeli tak, prosimy o potwierdzenie, że zostanie on przeprowadzony zgodnie z wymaganiami obowiązujących przepisów dotyczącymi kwalifikacji audytorów oraz sposobu realizacji audytu.
Jeżeli natomiast audyt nie będzie prowadzony jako audyt ustawowy, prosimy o rozważenie wprowadzenia wymagania, aby czynności audytowe realizował zespół składający się z co najmniej dwóch audytorów posiadających kwalifikacje adekwatne do przedmiotu zamówienia, w szczególności certyfikaty Audytora Wiodącego ISO/IEC 27001, ISO 22301, CISA, CISM, CISSP lub kwalifikacje równoważne.
Zamawiający wyjaśnia, że przedmiotem zamówienia, w ramach Zadania II, jest przeprowadzenie audytu weryfikującego zgodność z wymaganiami określonymi m.in. w Rozporządzeniu Rady Ministrów w sprawie Krajowych Ram Interoperacyjności (KRI) oraz ustawie o krajowym systemie cyberbezpieczeństwa (UoKSC). Przedmiot zamówienia nie stanowi ustawowego audytu bezpieczeństwa, o którym mowa w art. 15 UoKSC.
Jednocześnie Zamawiający wskazuje, że wymaganie dotyczące udziału co najmniej dwóch audytorów oraz posiadania przez co najmniej jednego z nich certyfikatu wskazanego w Rozporządzeniu Ministra Cyfryzacji z dnia 12 października 2018 r. (co wprost pokrywa wskazane przez Wykonawcę certyfikaty, np. CISA czy Audytor Wiodący ISO 27001), wraz z wymogiem odpowiedniego doświadczenia, zostało już wprost sformułowane w pkt 3.2 OPZ. Zamawiający podtrzymuje te wymagania jako proporcjonalne, zapewniające należytą staranność oraz optymalną weryfikację ustaleń audytowych.
Dodatkowo, Zamawiający podkreśla, że warunki udziału w postępowaniu określone w rozdziale XIV ust. 1 pkt 4 SWZ (adekwatnie w pkt 3.1 OPZ) stanowią minimalne wymagania dopuszczające do udziału w postępowaniu, mające na celu zapewnienie, że wykonaniem zamówienia pokieruje osoba o zweryfikowanych i wysokich kompetencjach. Wykonawca jako profesjonalista jest zobligowany skierować do realizacji zamówienia taki zespół, który zapewni należytą, rzetelną i terminową realizację całego przedmiotu zamówienia. Jeżeli w ocenie Wykonawcy specyfika zamówienia wymaga udziału większej liczby osób lub dodatkowych kompetencji, Wykonawca powinien takie osoby w składzie swojego zespołu uwzględnić.
1W „Załączniku nr 2 - Projektowane postanowienia umowy” do SWZ w § 4 „Podwykonawstwo”:
Czy Zamawiający dopuszcza interpretację, zgodnie z którą osoby fizyczne prowadzące
działalność gospodarczą (JDG), zaangażowane przez Wykonawcę do osobistego i
świadczonego osobiście wykonywania zamówienia (np. eksperci, konsultanci), którzy nie
zatrudniają własnych pracowników ani nie zlecają prac dalszym podmiotom, nie będą
traktowani jako podwykonawcy w rozumieniu przepisów ustawy Prawo zamówień publicznych
oraz umowy, a ich zaangażowanie traktowane będzie jako personel własny Wykonawcy?
Zamawiający dopuszcza taką interpretację, pod warunkiem łącznego spełnienia
następujących przesłanek:
1. osoby te zostaną zaangażowane na podstawie bezpośredniego stosunku prawnego
łączącego je z Wykonawcą (np. umowa cywilnoprawna);
2. umowa wiążąca Wykonawcę z daną osobą nakłada na nią obowiązek osobistego
świadczenia usług i zawiera bezwzględny zakaz powierzania prac osobom trzecim;
3. osoby te będą wykonywały czynności pod bezpośrednim kierownictwem Wykonawcy i
nie będą realizowały samodzielnie wydzielonej części zamówienia (co stanowiłoby
podwykonawstwo w rozumieniu art. 7 pkt 27 ustawy).
Jednocześnie Zamawiający wskazuje, że traktowanie wyżej wymienionych osób jako
personelu własnego (a nie podwykonawców) nakłada na Wykonawcę bezwzględny obowiązek
ich zgłoszenia w ramach stałego zespołu wykonawczego, o którym mowa w § 5
Projektowanych postanowień umowy (PPU).
22. Certyfikowane systemy zarządzania wykonawcy
Czy Zamawiający rozważy wprowadzenie wymagania, aby wykonawca posiadał:
certyfikowany System Zarządzania Bezpieczeństwem Informacji zgodny z normą PN-EN ISO/IEC 27001 lub rozwiązanie równoważne,
certyfikowany System Zarządzania Ciągłością Działania zgodny z normą PN-EN ISO 22301 lub rozwiązanie równoważne – jeżeli zakres zamówienia obejmuje analizę wpływu na działalność (BIA), plany ciągłości działania lub procedury odtworzeniowe,
certyfikowany System Zarządzania Jakością zgodny z normą PN-EN ISO 9001 lub rozwiązanie równoważne – obejmujący usługi doradcze, audytowe i szkoleniowe będące przedmiotem zamówienia.
Jednocześnie proponujemy, aby Zamawiający zweryfikował nie tylko sam fakt posiadania certyfikatów, ale również zakres certyfikacji, który powinien odpowiadać przedmiotowi niniejszego zamówienia i obejmować w szczególności:
opracowanie i wdrażanie Systemów Zarządzania Bezpieczeństwem Informacji,
realizację audytów bezpieczeństwa informacji,
świadczenie usług doradczych,
świadczenie usług szkoleniowych,
ochronę danych osobowych,
bezpieczeństwo informacji,
cyberbezpieczeństwo,
zarządzanie zgodnością (compliance),
ciągłość działania.
Zamawiający nie wyraża zgody na zmianę postanowień SWZ/OPZ poprzez wprowadzenie warunku posiadania przez Wykonawcę certyfikowanych systemów zarządzania (PN-EN ISO/IEC 27001, PN-EN ISO 22301, PN-EN ISO 9001) wraz z postulowanym szczegółowym zakresem tych certyfikacji.
O merytorycznej jakości i bezpieczeństwie realizacji zamówienia decydują:
1. kompetencje i doświadczenie osób wyznaczonych do realizacji zadań (audytorów), co Zamawiający w sposób wystarczający zweryfikował oraz zabezpieczył w rozdziale 3 OPZ (wymóg posiadania certyfikatów z oficjalnego wykazu Ministra Cyfryzacji oraz odpowiedniego doświadczeni zawodowego);
2. procedury i zabezpieczenia techniczne w procesie wymiany informacji, które Zamawiający szczegółowo opisał w rozdziale 2 OPZ (w tym m.in. bezwzględny zakaz kopiowania dokumentów, szyfrowanie standardem AES-256, dwuskładnikowe przekazywanie haseł kanałem SMS oraz połączenia VPN).
Wprowadzenie oczekiwanych przez Wykonawcę barier certyfikacyjnych prowadziłoby do naruszenia zasad konkurencyjności i mogłoby skutkować nieuzasadnionym wzrostem kosztów realizacji zamówienia. W związku z tym Zamawiający podtrzymuje dotychczasowe wymagania SWZ.
2W „Załączniku nr 2 - Projektowane postanowienia umowy” do SWZ w § 5 „Zespół Wykonawcy”,
ustęp 8: Zobowiązanie do zachowania poufności na czas nieoznaczony może zostać
wypowiedziane w dowolnej chwili zgodnie z art. 365[1] kodeksu cywilnego. Czy Zamawiający
zmodyfikuje to zobowiązanie wprowadzając obowiązek do zachowania poufności przez okres
obowiązywania Umowy oraz przez 5 lat po jej rozwiązaniu/wygaśnięciu?
Zamawiający wyraża zgodę i modyfikuje zapis § 5 ust. 8 PPU na następujący:
Wykonawca, a także zespół, przy udziale którego Wykonawca realizował będzie Przedmiot
Umowy zobowiązani są do dochowania poufności w zakresie informacji pozyskanych w toku
realizacji Przedmiotu Umowy, przez okres obowiązywania Umowy oraz przez 5 lat po jej
rozwiązaniu lub wygaśnięciu i złożenia Oświadczenia o dochowaniu poufności. Wzór
oświadczenia stanowi załącznik nr 4 do Umowy.
Ponadto, zmienia ulega treść załącznika nr 4 do PPU na następujący:
Ja, niżej podpisany/a ………………………………………………………, w związku z
wykonywaniem Umowy nr ……… w przedmiocie: „Opracowanie i wdrożenie dokumentacji
Systemu Zarządzania Bezpieczeństwem Informacji wraz z przeprowadzeniem szkoleń
dla kadry zarządzającej oraz personelu IT w zakresie wdrożonego SZBI oraz
przeprowadzenie audytu zgodności z rozporządzeniem w sprawie Krajowych Ram
Interoperacyjności, ustawą o Krajowym Systemie Cyberbezpieczeństwa w jednostkach
podległych Zamawiającemu”, realizowanym w ramach Inwestycji C3.1.1.
Cyberbezpieczeństwo – CyberPL, infrastruktura przetwarzania danych oraz optymalizacja
infrastruktury służb państwowych odpowiedzialnych za bezpieczeństwo Cyberbezpieczeństwo
- Cyberbezpieczny Rząd, finansowanej ze środków Krajowego Planu Odbudowy i Zwiększania
Odporności finansowanego ze środków Instrumentu na Rzecz Odbudowy i Zwiększania
Odporności, zobowiązuję się do dochowania poufności w zakresie informacji
pozyskanych w toku realizacji przedmiotu ww. Umowy, przez okres obowiązywania
Umowy oraz przez 5 lat po jej rozwiązaniu lub wygaśnięciu.
3W „Załączniku nr 2 - Projektowane postanowienia umowy” do SWZ w § 6 „Wykonanie Umowy”,
ustęp 4 obecny zapis „… Wytyczne w zakresie oznaczenia dokumentów oraz wzory
dokumentów są dostępne na stronie: https://www.kpo.gov.pl/strony/o-kpo/dla-
instytucji/dokumenty/strategia-promocji-i-informacji-kpo/”
Prosimy o dodanie tego w formie załącznika do Umowy. Wykonawca nie ma wpływu na
zmiany, jeżeli jest to zmieniane na www. Co więcej, nawet o tym może nie wiedzieć, że uległy
wytyczne zmianie. Czy Zamawiający dokona w tym zakresie modyfikacji?
Zamawiający nie wyraża zgody. Wymóg stosowania aktualnych wzorów i oznaczeń wynika
bezpośrednio z zasad realizacji projektów finansowanych ze środków Krajowego Planu
Odbudowy i Zwiększania Odporności (KPO). Wykonawca jest zobowiązany do
bezwzględnego stosowania aktualnych oznakowań, dokumentów oraz zasad wizualizacji,
zgodnie z Księgą Identyfikacji Wizualnej KPO oraz Strategią promocji i informacji KPO,
dostępnymi pod wskazanym adresem strony internetowej.
Historia zmian
20.07.2026 — publikacja ogłoszenia
29.07.2026 — wyjaśnienia treści SWZ (2 dokumenty z wyjaśnieniami)
30.07.2026 — upływ terminu składania ofert
25.09.2026 — ogłoszenie o wyniku postępowania