Przeprowadzenie audytu SZBI oraz przeprowadzenie audytu zgodności z rozporządzeniem w

Zamawiający wyjaśnia, że przedmiotem zamówienia jest audyt zgodności z wymaganiami określonymi m.in. w Rozporządzeniu Rady Ministrów w sprawie Krajowych Ram Interoperacyjności (KRI). Przedmiot zamówienia nie stanowi audytu wykonywanego bezpośrednio na podstawie art. 15 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (KSC). Mając na uwadze powyższe, Zamawiający nie znajduje uzasadnienia dla modyfikacji warunków udziału w postępowaniu poprzez wprowadzenie wymogu realizacji zamówienia przez co najmniej dwóch audytorów posiadających certyfikaty wskazane w Rozporządzeniu Ministra Cyfryzacji z dnia 12 października 2018 r. Zamawiający podtrzymuje dotychczasowe wymagania. Dodatkowo, Zamawiający podkreśla, że warunki udziału w postępowaniu określone w rozdziale XIV ust. 1 pkt 4 SWZ (adekwatnie w pkt 3.1 OPZ) stanowią minimalne wymagania dopuszczające do udziału w postępowaniu, mające na celu zapewnienie, że wykonaniem zamówienia pokieruje osoba o zweryfikowanych i wysokich kompetencjach. Wykonawca jako profesjonalista jest zobligowany skierować do realizacji zamówienia taki zespół, który zapewni należytą, rzetelną i terminową realizację całego przedmiotu zamówienia. Jeżeli w ocenie Wykonawcy specyfika zamówienia wymaga udziału większej liczby osób lub dodatkowych kompetencji, Wykonawca powinien takie osoby w składzie swojego zespołu uwzględnić.

Zamawiający dopuszcza taką interpretację, pod warunkiem łącznego spełnienia następujących przesłanek: 1. osoby te zostaną zaangażowane na podstawie bezpośredniego stosunku prawnego łączącego je z Wykonawcą (np. umowa cywilnoprawna); 2. umowa wiążąca Wykonawcę z daną osobą nakłada na nią obowiązek osobistego świadczenia usług i zawiera bezwzględny zakaz powierzania prac osobom trzecim; 3. osoby te będą wykonywały czynności pod bezpośrednim kierownictwem Wykonawcy i nie będą realizowały samodzielnie wydzielonej części zamówienia (co stanowiłoby podwykonawstwo w rozumieniu art. 7 pkt 27 ustawy). Jednocześnie Zamawiający wskazuje, że traktowanie wyżej wymienionych osób jako personelu własnego (a nie podwykonawców) nakłada na Wykonawcę bezwzględny obowiązek ich zgłoszenia w ramach stałego zespołu wykonawczego, o którym mowa w § 5 Projektowanych postanowień umowy (PPU). Zamawiający nie dopuszcza skierowania do realizacji Przedmiotu Umowy jakichkolwiek osób (w tym ekspertów JDG), które nie zostały formalnie zgłoszone jako członkowie zespołu wykonawczego we wskazanym w PPU terminie. Do czasu dopełnienia tego obowiązku Wykonawca nie jest uprawniony do rozpoczęcia realizacji prac.

W odpowiedzi na pytanie Wykonawcy Zamawiający informuje, że dokonał analizy zakresu i charakteru zamówienia oraz ryzyk związanych z realizacją przedmiotu zamówienia. Zamawiający uznał, że wymagania określone w Opisie Przedmiotu Zamówienia (OPZ) są adekwatne i proporcjonalne do przedmiotu zamówienia oraz w wystarczający sposób zabezpieczają interes Zamawiającego w zakresie ochrony informacji. OPZ nakłada na Wykonawcę szereg obowiązków związanych z zapewnieniem bezpieczeństwa informacji, obejmujących m.in.:  obowiązek uwzględnienia wymogów normy PN-EN ISO/IEC 27001 oraz przepisów dotyczących ochrony danych osobowych i cyberbezpieczeństwa,  stosowanie bezpiecznych, szyfrowanych połączeń VPN w przypadku realizacji części prac w trybie zdalnym,  ograniczenia dotyczące kopiowania, utrwalania i przechowywania udostępnionej dokumentacji,  obowiązek zapewnienia poufności wymiany informacji oraz stosowania szyfrowania przekazywanych dokumentów,  pełną odpowiedzialność Wykonawcy za bezpieczeństwo danych przekazanych w związku z realizacją zamówienia. Zamawiający zwraca również uwagę, że zgodnie z zasadą proporcjonalności wynikającą z ustawy warunki udziału w postępowaniu muszą pozostawać adekwatne do przedmiotu zamówienia i nie mogą prowadzić do nieuzasadnionego ograniczenia konkurencji. W ocenie Zamawiającego wprowadzenie obowiązku posiadania certyfikowanych systemów zarządzania zgodnych z PN-EN ISO/IEC 27001 oraz PN-EN ISO 22301 jako warunku udziału w postępowaniu stanowiłoby nadmierne ograniczenie kręgu potencjalnych wykonawców, podczas gdy poziom bezpieczeństwa wymagany dla realizacji zamówienia został zapewniony poprzez szczegółowe wymagania określone w OPZ. W związku z powyższym Zamawiający nie przewiduje wprowadzenia proponowanych zmian.

Zamawiający wyraża zgodę i modyfikuje zapis § 5 ust. 8 PPU na następujący: Wykonawca, a także zespół, przy udziale którego Wykonawca realizował będzie Przedmiot Umowy zobowiązani są do dochowania poufności w zakresie informacji pozyskanych w toku realizacji Przedmiotu Umowy, przez okres obowiązywania Umowy oraz przez 5 lat po jej rozwiązaniu lub wygaśnięciu i złożenia Oświadczenia o dochowaniu poufności. Wzór oświadczenia stanowi załącznik nr 4 do Umowy. Ponadto, zmienia ulega treść załącznika nr 4 do PPU na następujący: Ja, niżej podpisany/a ………………………………………………………, w związku z wykonywaniem Umowy nr ……… w przedmiocie: „Opracowanie i wdrożenie dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji wraz z przeprowadzeniem szkoleń dla kadry zarządzającej oraz personelu IT w zakresie wdrożonego SZBI oraz przeprowadzenie audytu zgodności z rozporządzeniem w sprawie Krajowych Ram Interoperacyjności, ustawą o Krajowym Systemie Cyberbezpieczeństwa w jednostkach podległych Zamawiającemu”, realizowanym w ramach Inwestycji C3.1.1. Cyberbezpieczeństwo – CyberPL, infrastruktura przetwarzania danych oraz optymalizacja infrastruktury służb państwowych odpowiedzialnych za bezpieczeństwo Cyberbezpieczeństwo - Cyberbezpieczny Rząd, finansowanej ze środków Krajowego Planu Odbudowy i Zwiększania Odporności finansowanego ze środków Instrumentu na Rzecz Odbudowy i Zwiększania Odporności, zobowiązuję się do dochowania poufności w zakresie informacji pozyskanych w toku realizacji przedmiotu ww. Umowy, przez okres obowiązywania Umowy oraz przez 5 lat po jej rozwiązaniu lub wygaśnięciu.

Zamawiający nie wyraża zgody. Wymóg stosowania aktualnych wzorów i oznaczeń wynika bezpośrednio z zasad realizacji projektów finansowanych ze środków Krajowego Planu Odbudowy i Zwiększania Odporności (KPO). Wykonawca jest zobowiązany do bezwzględnego stosowania aktualnych oznakowań, dokumentów oraz zasad wizualizacji, zgodnie z Księgą Identyfikacji Wizualnej KPO oraz Strategią promocji i informacji KPO, dostępnymi pod wskazanym adresem strony internetowej.