Projektowanie i wdrażanie rozwiązań z zakresu cyberbezpieczeństwa wraz z doborem urządzeń/oprogramowania dla sieci IT i OT oraz narzędzi do archiwizacji i inwentaryzacji

Postępowanie prowadzone jest zgodnie z zasadą konkurencyjności określoną w dokumencie „Zamówienia udzielane w Przedsięwzięciach realizowanych w ramach inwestycji C3.1.1” (stanowiącym załącznik do zasad kwalifikowania wydatków dla Inwestycji C3.1.1). Zamówienie ma charakter zamówienia sektorowego związanego z działalnością Zamawiającego w zakresie zbiorowego zaopatrzenia w wodę i odprowadzania ścieków oraz z cyberbezpieczeństwem infrastruktury IT/OT. Wartość zamówienia przekracza 80 000,00 zł netto i jednocześnie nie przekracza progu unijnego dla zamówień sektorowych. W związku z powyższym postępowanie prowadzone jest przez Bazę Konkurencyjności BK2021. Nie stosuje się procedury wynikającej z ustawy z dnia 11 września 2019 r. – Prawo zamówień publicznych (Pzp), ponieważ dla niniejszego zamówienia nie powstaje obowiązek jej zastosowania.

Zamawiający ustalił, że wartość zamówienia przekracza 80 000,00 zł netto i jednocześnie nie przekracza progu unijnego właściwego dla zamówień sektorowych. Dokładna kwota szacunkowa nie została podana. Zamówienie jest realizowane w ramach projektu grantowego finansowanego ze środków Krajowego Planu Odbudowy i Zwiększania Odporności (KPO), Inwestycja C3.1.1 „Cyberbezpieczeństwo – CyberPL”, konkurs grantowy pn. „Cyberbezpieczne Wodociągi”, nr KPOD.05.10-CW.01-001/25, na podstawie umowy o powierzenie grantu nr KPOD.05.10-CW.01-001/25/0029/KPOD.05.10-CW.01-001/25/2026. Wynagrodzenie wykonawcy będzie miało charakter ryczałtowy (z możliwością rozliczenia etapowego).

Wykonawca musi wykazać się, że w okresie ostatnich 2 lat przed upływem terminu składania ofert (a jeśli okres prowadzenia działalności jest krótszy – w tym okresie), należycie wykonał co najmniej jedno zadanie polegające na projektowaniu, wdrażaniu, integracji lub utrzymaniu rozwiązań z zakresu cyberbezpieczeństwa IT, OT, ICS, IoT, monitoringu bezpieczeństwa, backupu, segmentacji sieci, systemów IDS/IPS, systemów inwentaryzacji zasobów albo systemów zarządzania bezpieczeństwem informacji. Zamówienie to musi obejmować środowisko OT/ICS/przemysłowe, infrastrukturę komunalną, podmiot świadczący usługi kluczowe lub ważne, infrastrukturę o podwyższonych wymaganiach bezpieczeństwa lub administracji publicznej. Wymagane są minimum 4 role (jedna osoba może łączyć funkcje):

• Kierownik projektu / koordynator wdrożenia – doświadczenie w kierowaniu co najmniej 1 projektem wdrożeniowym z zakresu cyberbezpieczeństwa, infrastruktury IT/OT, systemów bezpieczeństwa, backupu, monitoringu lub zarządzania bezpieczeństwem informacji.
• Specjalista ds. cyberbezpieczeństwa IT/OT – doświadczenie w projektowaniu lub wdrażaniu zabezpieczeń sieci, segmentacji, hardeningu, obsługi incydentów, systemów IDS/IPS, EDR, SIEM/NSM lub rozwiązań równoważnych.
• Administrator / inżynier systemów Linux/Windows/backup – doświadczenie w konfiguracji serwerów, systemów backupu, wirtualizacji, hardeningu, automatyzacji lub skryptów administracyjnych.
• Inżynier sieciowy – doświadczenie w konfiguracji routerów, przełączników, firewalli, VLAN, reguł bezpieczeństwa oraz rozwiązań monitorowania ruchu sieciowego.
• Wykonawca posiada zdolność organizacyjną, techniczną i finansową niezbędną do wykonania zamówienia w terminie i zgodnie z OPZ.

Zamawiający stosuje jedno kryterium oceny ofert:

• Cena brutto – waga 100%. Punkty w kryterium ceny obliczane są według wzoru: P = (Cmin / Cbad) × 100 pkt, gdzie:
• P – liczba punktów przyznanych badanej ofercie,
• Cmin – najniższa cena brutto spośród ofert niepodlegających odrzuceniu,

Dokument SWZ (Specyfikacja Warunków Zamówienia) nie zawiera osobnego rozdziału ani paragrafu poświęconego karom umownym, sankcjom, stawkom procentowym, maksymalnym limitom kar, sądowi polubownemu, sił e wyższej ani FKG (Funduszowi Kwalifikowanych Gruntów). W § 13 (Warunki zawarcia i realizacji umowy) znajduje się wyłącznie postanowienie o minimalnym okresie gwarancji i rękojmi (co najmniej 12 miesięcy), bez odsyłania do konkretnych stawek kar umownych. Również w § 14 (Dopuszczalne zmiany umowy) wymieniono ogólne przesłanki zmiany umowy, ale nie określono kar za naruszenie jej postanowień.

Wykonawca udzieli co najmniej 12-miesięcznej gwarancji i rękojmi na wykonane prace, konfiguracje, dokumentację, skrypty, oprogramowanie autorskie i dostarczone rozwiązania, chyba że OPZ, oferta lub gwarancja producenta przewiduje okres dłuższy (§ 13 ust. 6 SWZ). Wykonawca zapewni Zamawiającemu uprawnienia do korzystania z dostarczonego oprogramowania, dokumentacji, skryptów, konfiguracji, kodu źródłowego i innych utworów w zakresie niezbędnym do utrzymania, eksploatacji, modyfikacji, audytu i odtworzenia wdrożonych rozwiązań (§ 13 ust. 7 SWZ). Wykonawca przekaże pełny kod źródłowy aplikacji Asset Management (Laravel/Livewire) oraz wszystkich skryptów automatyzujących (PowerShell, Bash) i parserów JSON. Wszystkie prawa autorskie majątkowe do wytworzonego w ramach zamówienia oprogramowania i dokumentacji przechodzą na Zamawiającego. Wynagrodzenie ma charakter ryczałtowy, chyba że strony przewidzą rozliczenie etapowe zgodne z harmonogramem i protokołami odbioru (§ 13 ust. 4 SWZ). Podstawą płatności będzie prawidłowo wystawiona faktura oraz podpisany protokół odbioru częściowego lub końcowego (§ 13 ust. 5 SWZ). Cena brutto w formularzu ofertowym musi obejmować wszystkie koszty wykonania zamówienia (§ 9 ust. 3 SWZ). Zmiana umowy wymaga formy pisemnej/elektronicznej pod rygorem nieważności. Dopuszczalne zmiany obejmują m.in.: zmianę harmonogramu (nie wpływającą na termin kwalifikowalności wydatków), zastosowanie rozwiązań równoważnych/nowszych technologicznie, wycofanie produktu z rynku, zmianę przepisów prawa lub wymagań projektu grantowego, zmiany organizacyjne Zamawiającego, ryzyka bezpieczeństwa, siłę wyższą, zmianę osób kluczowych przy zachowaniu kompetencji, zmianę podwykonawcy (§ 14 SWZ). Zmiana nie może prowadzić do obejścia zasady konkurencyjności ani istotnej zmiany charakteru zamówienia. Zmiana wynagrodzenia dopuszczalna wyłącznie w przypadkach przewidzianych w umowie, należycie uzasadniona i zgodna z zasadą kwalifikowalności wydatków (§ 14 ust. 4 SWZ). Brak szczegółowych postanowień w SWZ dotyczących podwykonawstwa poza ogólną możliwością zmiany podwykonawcy jako jednej z dopuszczalnych zmian umowy (§ 14 ust. 2 SWZ). Administratorem danych jest MPWiK w Zduńskiej Woli Sp. z o.o.

Wymagane dokumenty składające się na ofertę: 1. Formularz ofertowy – sporządzony według wzoru (Załącznik nr 2), podpisany przez osobę uprawnioną do reprezentacji wykonawcy. 2. Wypełniona tabela cenowa – obejmująca pełny zakres zamówienia. 3. Wykaz doświadczenia wykonawcy – wraz z dokumentami potwierdzającymi należyte wykonanie zamówień (referencje, protokoły odbioru, poświadczenia). 4. Wykaz osób przewidzianych do realizacji – wraz z opisem funkcji i doświadczenia (personel kluczowy). 5. Wstępny harmonogram realizacji – obejmujący co najmniej: etap analityczno-projektowy, dostaw/licencji, instalacji i konfiguracji, testów, dokumentacji i szkoleń oraz odbiór końcowy. 6. Opis sposobu realizacji zamówienia – albo oświadczenie o pełnej zgodności oferowanego sposobu realizacji z OPZ, wraz ze wskazaniem podstawowych technologii, narzędzi, urządzeń, licencji lub rozwiązań istotnych dla oceny zgodności oferty z OPZ. 7. Oświadczenia wykonawcy (zawarte w formularzu ofertowym) – w tym o braku powiązań, braku konfliktu interesów, braku podstaw do wykluczenia, zgodności z wymaganiami sankcyjnymi oraz akceptacji warunków postępowania. 8. Pełnomocnictwo – jeżeli ofertę podpisuje pełnomocnik lub oferta składana jest wspólnie przez kilku wykonawców.

Zidentyfikowano następujące potencjalne ryzyka dla wykonawców:

• Bardzo krótki termin realizacji zakresu grantowego – od dnia zawarcia umowy do 30.09.2026 r. (nie później niż do 31.10.2026 r.). Biorąc pod uwagę ogromny zakres (projektowanie architektury, dostawa urządzeń/licencji, wdrożenie IDS/IPS IT i OT, system backupu, Asset Management, Active Directory OT, SZBI, testy, dokumentacja, szkolenia) termin ten jest skrajnie napięty i może być niemożliwy do dotrzymania bez ryzyka kar umownych.
• Brak informacji o wysokości kar umownych – SWZ ani OPZ nie określają procentowej wysokości kar umownych, co stwarza niepewność co do skali ryzyka finansowego przy opóźnieniach.
• Brak informacji o wymaganym wadium lub zabezpieczeniu należytego wykonania umowy – w dokumencie nie wskazano, czy Zamawiający będzie żądał wadium ani jaka będzie ewentualna wysokość zabezpieczenia należytego wykonania umowy.
• Nieproporcjonalnie szeroki zakres odpowiedzialności jednego wykonawcy – Zamawiający wykluczył oferty częściowe (§ 4 ust. 4), wymagając jednej oferty na całość, co przy złożoności projektu (IT/OT/ICS/IIoT, backup, SZBI, oprogramowanie webowe, sieci, szkolenia) może faworyzować dużych integratorów kosztem mniejszych wyspecjalizowanych firm.