Realizacja kompleksowej analizy bezpieczeństwa dla Generalnej Dyrekcji Ochrony Środowiska

Zamawiający wydłuża termin składania ofert do dnia 17 lipca 2026 r. Tym samym, działając na podstawie art. 286 ust. 3 w zw. z art. 286 ust. 1 i 5 ustawy, Zamawiający informuje o zmianie SWZ, tj.: 1) Rozdział VIII ust. 1 – termin związania ofertą, nowy termin: 15 sierpnia 2026 r. 2) Rozdział XI ust. – termin składania ofert, nowy termin: 17 lipca 2026 r., godz. 10.00 3) Rozdział XII ust. 1 – termin otwarcia ofert, nowy termin: 17 lipca 2026 r., godz. 11.00. Jednocześnie, mając na uwadze ww. zmianę, działając na podstawie art. 286 ust. 6 w zw. z art. 267 ust. 2 pkt 6 ustawy, Zamawiający informuje o zmianie ogłoszenia o zamówieniu.

Zamawiający wyjaśnia, że wymóg określony w pkt 6.2.1 lit. a Opisu przedmiotu zamówienia (OPZ) oraz 4.3. pkt 1 ppkt a SWZ dotyczy każdej z dwóch osób wskazanych jako Pentesterzy – w zakresie realizacji testów penetracyjnych (Etapu 1). Taki sam wymóg dotyczy dwóch Audytorów – w zakresie realizacji testów penetracyjnych (Etapu 1). Tym samym, nie jest wystarczające, aby wymagany certyfikat posiadała wyłącznie jedna z osób wchodzących w skład zespołu Pentesterów / Audytorów.

Wymagania określone w SWZ pozostają bez zmian. Zamawiający nie wyraża zgody na zmianę treści SWZ w punkcie 4.3 3) i nie uznaje certyfikatu ESET Inspect – Administrator XDR za równoważny certyfikatowi Microsoft Certified: Security Operations Analyst Associate (SC-200). Zakres przedmiotowy zamówienia dla Etapu 2 i 3 (reagowanie na incydenty oraz operacje w ramach Security Operations Center – SOC) wykracza poza ramy monitorowania wyłącznie infrastruktury końcowej zarządzanej przez system ESET. Kluczowym elementem realizowanej usługi SOC będzie całościowy monitoring, analiza korelacji zdarzeń oraz mitygacja zagrożeń w obszarze tożsamości i usług katalogowych Active Directory (AD), które stanowią rdzeń infrastruktury IT Zamawiającego. Mając na uwadze powyższe, a także konieczność zapewnienia najwyższego poziomu ciągłości działania i cyberbezpieczeństwa całej infrastruktury (ze szczególnym uwzględnieniem warstwy tożsamości AD), Zamawiający wymaga od personelu Wykonawcy legitymowania się certyfikatem, który wprost potwierdza umiejętności operacyjne w środowisku Microsoft.

W celu umożliwienia Wykonawcom rzetelnego oszacowania kosztów związanych z utrzymaniem infrastruktury SIEM, retencją logów, zestawieniem kanałów VPN IPsec oraz bieżącą obsługą operacji bezpieczeństwa (SOC), Zamawiający przedstawia poniżej szacunkowe dane ilościowe oraz wolumetryczne środowiska teleinformatycznego, objętego zakresem monitorowania (zgodnie z pkt 4.7 OPZ): Lp. Parametr / Źródło logów Szacunkowa wielkość / Opis 1. Liczba endpointów objętych systemem ESET Inspect (XDR) 300 szt. 2. Liczba urządzeń firewall Stormshield 2 szt. 3. Liczba kontrolerów domeny Active Directory (AD) 2 szt. 4. Liczba użytkowników / stacji roboczych ok. 220 użytkowników / stacji końcowych 6. Szacowany łączny wolumen logów (dla źródeł z pkt 4.7 OPZ) ok. 400 MB/ dobę Uwaga dla Wykonawców: Powyższe dane mają charakter szacunkowy i odzwierciedlają stan infrastruktury Zamawiającego na dzień wszczęcia postępowania. Wykonawca powinien uwzględnić te wartości przy wymiarowaniu wydajności platformy SIEM/SOAR oraz estymacji pasma transmisyjnego i zasobów analitycznych SOC.

Zamawiający nie wyraża zgody na proponowaną zmianę. Wymóg posiadania certyfikatu ISO 22301 ma na celu zapewnienie, że Wykonawca posiada wdrożony i funkcjonujący system zarządzania ciągłością działania, którego zgodność z wymaganiami normy została zweryfikowana przez niezależną, uprawnioną jednostkę certyfikującą. Certyfikat stanowi obiektywne i jednolite potwierdzenie spełnienia określonych wymagań oraz daje Zamawiającemu pewność, że system zarządzania ciągłością działania podlega okresowym audytom i jest utrzymywany zgodnie z wymaganiami normy. Zamawiający nie uznaje za rozwiązanie równoważne wyłącznie posiadania wewnętrznych procedur Business Continuity Plan (BCP) oraz Disaster Recovery Plan (DRP). Procedury te stanowią jedynie element systemu zarządzania ciągłością działania i nie są tożsame z wdrożeniem oraz certyfikacją systemu zgodnego z normą ISO 22301. Ponadto dopuszczenie jako równoważnych wyłącznie wewnętrznych procedur Wykonawcy prowadziłoby do sytuacji, w której Zamawiający byłby zobowiązany do samodzielnej oceny ich kompletności, zgodności z wymaganiami normy oraz rzeczywistego funkcjonowania w organizacji Wykonawcy. Zamawiający nie dysponuje narzędziami ani podstawami do przeprowadzania audytu systemów zarządzania ciągłością działania poszczególnych wykonawców na etapie badania ofert. Weryfikacja taka wymaga specjalistycznej wiedzy oraz kompleksowej oceny organizacji, którą przeprowadzają niezależne jednostki certyfikujące. Utrzymanie wymogu posiadania certyfikatu ISO 22301 zapewnia zatem jednolity i obiektywny sposób potwierdzenia spełnienia wymagań przez wszystkich wykonawców, umożliwia porównywalność składanych ofert oraz eliminuje ryzyko dokonywania przez Zamawiającego subiektywnej oceny wewnętrznych procedur poszczególnych wykonawców. W konsekwencji Zamawiający podtrzymuje wymagania określone w dokumentacji postępowania bez zmian.