DOTYCZY Wzoru Umowy – zał. nr 3 do SWZ w postępowaniu o udzielenie zamówienia publicznego w
trybie przetargu nieograniczonego pn. Przedłużenie wsparcia producenta oraz subskrypcji dla
systemu komunikacji głosowej. Nr sprawy: GXIII.261.10.2026
W zakresie § 9. Cyberbezpieczeństwo i bezpieczeństwo łańcucha dostaw ICT, pkt 7
Szanowni Państwo,
Zamawiający opisując wymagania w zakresie usuwania podatności przesunął, w naszej opinii,
odpowiedzialność na Wykonawcę jako stronę właściwą do usunięcie podatności. Postawienie
wymogu w następujący sposób:
„Jeżeli poprawka producenta nie zostanie opublikowana w terminie 7 dni dla podatności o ocenie
CVSS v3.1 co najmniej 9,0, 30 dni dla podatności o ocenie od 7,0 do 8,9 albo 90 dni dla pozostałych
podatności, liczonych od dnia publicznego ujawnienia podatności albo jej zgłoszenia przez
Zamawiającego - w zależności od tego, które zdarzenie nastąpi wcześniej”
oznacza, że Wykonawca odpowiada za działania strony trzeciej, producenta sprzętu i
oprogramowania, na które Wykonawca z pewnością wpływu nie ma.
Wnosimy także o rozważenie zmiany zapisów w przywołanym poniżej obszarze:
„Wykonawca niezwłocznie, nie później niż w ciągu 24 godzin od ustalenia tej okoliczności, przedstawi
adekwatny środek kompensacyjny, analizę ryzyka i plan postępowania do czasu udostępnienia
poprawki.”
Wykonawca może wspólnie z Zamawiającym opracować środek kompensacyjny jeśli to będzie
możliwe. Po pierwsze w zakresie przedmiotu zamówienia będącego pod jego kontrolą może okazać
się, że środek kompensacyjny musi wyjść poza obszar wdrożenia. Wymagać to będzie zmian w
szerszym aspekcie środowiska przy jednoczesnej i koniecznej aktywnej współpracy z Zamawiającym.
Po drugie wysoce prawdopodobnym jest, że środek kompensacyjny nie będzie możliwy do
opracowania i konieczne będą zmiany w konfiguracji, zarówno w zakresie pod kontrolą Wykonawcy,
jak i w zakresie szerszym w środowisku Zamawiającego. Może to oznaczać, że opracowanie środka
kompensacyjnego będzie procesem złożonym technicznie i wymagającym testów. Wdrażanie tak
złożonych zmian w rygorze 24 godzin może oznaczać ryzyko utraty kontroli nad środowiskiem przez
Zamawiającego.
W związku z tym czy Zamawiający rozważy zmiany zapisów odpowiadające najlepszym praktykom w
zakresie reagowania na incydenty i wykryte podatności w następujący sposób:
Wykonawca zapewni, w zakresie pozostającym pod jego kontrolą, usunięcie podatności, a w
przypadku podatności usuwanych poprawką producenta - niezwłocznie udostępni Zamawiającemu
poprawki po ich opublikowaniu. Jeżeli poprawka producenta nie zostanie opublikowana w terminie 7
dni dla podatności o ocenie CVSS v3.1 co najmniej 9,0, 30 dni dla podatności o ocenie od 7,0 do 8,9
albo 90 dni dla pozostałych podatności, liczonych od dnia publicznego ujawnienia podatności albo jej
zgłoszenia przez Zamawiającego - w zależności od tego, które zdarzenie nastąpi wcześniej -
Wykonawca niezwłocznie zgłosi poprzez zgłoszenie serwisowe producentowi oprogramowania i
sprzętu…

Question

Accepted Answer

Zamawiający uwzględnia wniosek Wykonawcy dotyczący Załącznika nr 3 do Specyfikacji Warunków
Zamówienia i modyfikuje zapisy Wzoru umowy w zakresie § 9. Cyberbezpieczeństwo i
bezpieczeństwo łańcucha dostaw ICT, pkt 7, który otrzymuje brzmienie:

Zobacz to na swoim przetargu

Dane do cytowania

Zobacz Janusza na swoim przetargu

Przedłużenie wsparcia producenta oraz subskrypcji – Łódź

Przedmiot zamówienia

Terminy realizacji

Warunki udziału

Kryteria wyboru oferty

Czerwone flagi

Kary i sankcje

Pytania i odpowiedzi

Historia zmian