Dostawa i zainstalowanie fabrycznie nowych (bez śladów użytkowania, oznakowanego w taki

Wymagany poziom Common Criteria EAL zależy głównie od tego, czy system ma chronić informacje niejawne (np. w urzędach) czy infrastrukturę krytyczną. Standardowe poziomy kształtują się następująco: EAL1 do EAL2: Podstawowy poziom dla większości komercyjnych kamer IP i rejestratorów. Oznacza sprawdzenie dokumentacji i podstawowe testy funkcjonalne zabezpieczeń EAL3 do EAL4: Standard dla zaawansowanego sprzętu sieciowego i oprogramowania. Poziom EAL4 (często rozszerzony, tzw. EAL4+) jest rynkowym złotym standardem dla bezpiecznych rozwiązań. Główne wytyczne dla poszczególnych elementów systemu: Oprogramowanie VMS i serwery: podlegają certyfikacji według krajowych wytycznych organów ds. cyberbezpieczeństwa (np. rozporządzenia w sprawie KRI – Krajowych Ram Interoperacyjności). Wymaga się tu zazwyczaj spełnienia wymogów na poziomie EAL4 w zakresie zarządzania dostępem, logowania zdarzeń i ochrony integralności danych. W celu weryfikacji poszczególnych komponentów i ich akredytacji, warto korzystać z oficjalnego rejestru certyfikowanych produktów prowadzonego przez NASK OSiC lub sprawdzić globalną bazę Common Criteria Portal.

Zamawiający nie dopuszcza równoważnych środków dowodowych potwierdzających pozom bezpieczeństwa.

Zgodność z NDAA eliminujący sprzęt producentów uznanych za niebezpiecznych w Polsce. Zamawiający wymaga, aby oprogramowanie i powiązany z nim sprzęt nie posiadały preinstalowanych komponentów (np. procesorów HiSilicon) pochodzących od podmiotów objętych międzynarodowymi sankcjami lub alertami agencji cyberbezpieczeństwa (np. ENISA, NASK). Zatem wymagane jest, aby Wykonawca zagwarantował, że oferowane oprogramowanie VMS oraz współpracujące z nim urządzenia brzegowe nie zawierają komponentów sprzętowych ani programistycznych produkowanych przez podmioty publicznie uznane przez organy Unii Europejskiej lub instytuty ds. cyberbezpieczeństwa (np. ENISA) za stwarzające zagrożenie dla bezpieczeństwa sieci i systemów informatycznych.

Patrz odpowiedź pkt 3.

Patrz odpowiedź pkt 3.

System musi bezwzględnie spełniać wymogi prawne regulujące działanie jednostek publicznych oraz systemów bezpieczeństwa IT w Polsce. Ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC) / Dyrektywa NIS 2: Straż Miejska jako jednostka samorządu terytorialnego podlega pod zaostrzone rygory cyberbezpieczeństwa. Sprzęt i oprogramowanie nie mogą pochodzić od dostawców uznanych w Polsce za "dostawców wysokiego ryzyka". W zamówieniach publicznych dla Straży Miejskiej kluczowe jest wyeliminowanie urządzeń i oprogramowania z rynków podwyższonego ryzyka (np. Chiny, Rosja) bez bezpośredniego łamania Prawa Zamówień Publicznych (PZP). Cel ten osiąga się poprzez parametryzację jakościową i technologiczną: Zgodność z NDAA (National Defense Authorization Act): Choć to ustawa amerykańska, w SWZ Wykonawca może sformułować wymóg techniczny: „Wszystkie oferowane urządzenia brzegowe oraz komponenty serwerowe nie bazują na chipsetach i podzespołach producentów objętych międzynarodowymi restrykcjami handlowymi i ostrzeżeniami agencji bezpieczeństwa IT”.

Poniżej zamieszczam zestawienie kluczowych aktów i konkretnych artykułów: 1. Krajowa podstawa prawna: Ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC) Głównym instrumentem prawnym jest Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa wraz z jej kluczową nowelizacją, która weszła w życie 3 kwietnia 2026 roku. • Art. 67b Ustawy o KSC – to kluczowy przepis wprowadzający instytucję Dostawcy Wysokiego Ryzyka. Daje on Ministrowi właściwemu do spraw informatyzacji (Ministrowi Cyfryzacji) uprawnienie do wydania decyzji administracyjnej o uznaniu konkretnego dostawcy sprzętu lub oprogramowania za DWR. • Procedura wykluczenia: Decyzja ministra (wydawana po opinii Kolegium ds. Cyberbezpieczeństwa) wskazuje konkretne typy produktów ICT, usług lub procesów, które stanowią zagrożenie dla bezpieczeństwa państwa. Jest ona publikowana w Dzienniku Urzędowym RP „Monitor Polski”. • Obowiązek podmiotów publicznych: Po wydaniu takiej decyzji jednostki sektora publicznego (w tym Straż Miejska jako podmiot powiązany z jednostką samorządu terytorialnego) mają ustawowy zakaz wprowadzania do użytku nowych produktów pochodzących od tego dostawcy, a istniejące systemy muszą zostać z nich oczyszczone w określonym w ustawie terminie. 2. Unijna podstawa prawna: Dyrektywa NIS 2 Ustawa o KSC stanowi bezpośrednie wdrożenie do polskiego prawa przepisów unijnych: • Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2554 oraz Dyrektywa (UE) 2022/2555 (NIS 2) – nakładają na państwa członkowskie obowiązek zapewnienia bezpieczeństwa łańcucha dostaw (ang. supply chain security). • Przepisy te wprost wskazują, że przy ocenie cyberbezpieczeństwa należy brać pod uwagę ryzyka wynikające z faktu, że dostawca produktów lub usług ICT znajduje się pod kontrolą rządu państwa trzeciego (spoza UE/NATO). 3. Powiązanie z Prawem Zamówień Publicznych (PZP) • Art. 226 ust. 1 pkt 5 ustawy Prawo zamówień publicznych: Zamawiający odrzuca ofertę, jeżeli jej treść jest niezgodna z warunkami zamówienia. • Wymóg w zakresie cyberbezpieczeństwa": „Zamawiający w przyszłym postępowaniu o udzielenie zamówienia będzie wymagał, aby oferowane oprogramowanie VMS oraz sprzęt serwerowy spełniały wymogi określone w ustawie o krajowym systemie cyberbezpieczeństwa. Wykonawca zobowiązany jest do złożenia oświadczenia, że oferowane rozwiązania nie pochodzą od podmiotów, wobec których wydano decyzję o uznaniu za Dostawcę Wysokiego Ryzyka, o której mowa w art. 67b ustawy o KSC”- to na etapie składania oferty.