Testy bezpieczeństwa aplikacji - Windows, AD, Microsoft 365

Zamawiający: Skarb Państwa – Ministerstwo Aktywów Państwowych, ul. Krucza 36/Wspólna 6, 00-522 Warszawa, NIP: 701-052-87-52, reprezentowany przez Dariusza Jędryczka – Dyrektora Departamentu Informatyzacji i Cyberbezpieczeństwa. Typ zamówienia: Usługi – kompleksowe testy bezpieczeństwa środowiska informatycznego. Podstawa prawna: Umowa zawarta z wyłączeniem przepisów ustawy PZP na podstawie art. 2 ust. (+ 3 zdania — pełna treść po zalogowaniu)

Zamawiający: Skarb Państwa – Ministerstwo Aktywów Państwowych z siedzibą w Warszawie przy ul. Kruczej 36/Wspólna 6, 00-522 Warszawa, NIP: 701-052-87-52, REGON: 363209612. Reprezentowany przez Pana Dariusza Jędryczka – Dyrektora Departamentu Informatyzacji i Cyberbezpieczeństwa, działającego na podstawie § 7 ust. (+ 3 zdania — pełna treść po zalogowaniu)

Zamówienie zostało udzielone w trybie z wolnej ręki, z wyłączeniem stosowania przepisów ustawy z dnia 11 września 2019 r. – Prawo zamówień publicznych na podstawie przepisu **art. 2 ust. (+ 2 zdania — pełna treść po zalogowaniu)

Wynagrodzenie całkowite ma charakter ryczałtowy i zostanie ujawnione w momencie składania oferty – w treści SWZ kwota wynagrodzenia nie została podana (pozostawiono miejsce do wypełnienia: „………………… zł brutto”). Wynagrodzenie obejmuje wszystkie koszty, opłaty, cła i podatki, w tym podatek VAT. Płatność wynagrodzenia nastąpi jednorazowo, po podpisaniu przez Zamawiającego Protokołu odbioru bez zastrzeżeń, w terminie 14 dni roboczych od dnia przydzielenia fakturze numeru w Krajowym Systemie e-Faktur (KSeF). Zamawiający dokonuje zapłaty z zastosowaniem mechanizmu podzielonej płatności (split payment). (+ 4 zdania — pełna treść po zalogowaniu)

Realizacja przedmiotu umowy jest podzielona na następujące etapy:

• Przedstawienie harmonogramu testów bezpieczeństwa — w terminie 4 dni kalendarzowych od dnia zawarcia Umowy.
• Zatwierdzenie harmonogramu przez Zamawiającego — w ciągu 2 dni kalendarzowych od daty jego otrzymania, chyba że Zamawiający zgłosi uwagi.
• Przeprowadzenie testów bezpieczeństwa — w terminie 30 dni kalendarzowych od dnia zatwierdzenia harmonogramu.
• Wydanie raportów z testów — w terminie 7 dni od zakończenia testów bezpieczeństwa.
• (+ 4 pozycje — pełna treść po zalogowaniu)

Dokument SWZ (umowa) nie zawiera sekcji typowego ogłoszenia ani SIWZ z warunkami udziału w postępowaniu. Warunki udziału zostały natomiast zdefiniowane w Opisie Przedmiotu Zamówienia (OPZ) — załączniku nr 2 do umowy. Z OPZ (pkt 5) wynikają następujące warunki:

• Doświadczenie: Wykonawca musi posiadać, udokumentowane referencjami (co najmniej 2), doświadczenie w testach bezpieczeństwa środowisk Microsoft (Windows, Active Directory, Exchange, Microsoft 365) przeprowadzonych w jednostkach sektora finansów publicznych (zgodnie z Art. 9 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych).
• Kadra – certyfikaty: Wykonawca musi dysponować personelem (minimum 2 osoby) posiadającym certyfikaty potwierdzające kompetencje w zakresie testów bezpieczeństwa środowisk Microsoft, w szczególności OSCP, CRTP/CRTE, AZ-500, SC-300 lub równoważne.
• (+ 3 pozycje — pełna treść po zalogowaniu)

• Zwłoka w dostarczeniu raportów: 0,5% wynagrodzenia brutto za każdy dzień zwłoki
• Działania zakłócające pracę Zamawiającego: 2% wynagrodzenia brutto za każdy przypadek
• Rozpoczęcie testów bez przedstawienia informacji o ryzykach lub akceptacji Zamawiającego: 2% wynagrodzenia brutto za każdy przypadek
• Realizacja Umowy przez osoby bez wymaganych kompetencji: 0,5% wynagrodzenia brutto za każdy dzień
• Niedokonanie zmiany osoby realizującej na żądanie Zamawiającego: 1% wynagrodzenia brutto za każdy przypadek
• Realizacja przez podwykonawcę: 5% wynagrodzenia brutto za każdy przypadek
• (+ 6 pozycji — pełna treść po zalogowaniu)

Zakaz podwykonawstwa — Wykonawca nie może posługiwać się podwykonawcami przy wykonywaniu Umowy (§6). Naruszenie skutkuje karą umowną w wysokości 5% wynagrodzenia brutto za każdy stwierdzony przypadek. Z chwilą podpisania Protokołu odbioru Wykonawca przenosi na Zamawiającego całość autorskich praw majątkowych do Utworów (w szczególności raportu końcowego) bez ograniczeń czasowych, terytorialnych ani ilościowych na polach eksploatacji obejmujących m.in. utrwalanie, zwielokrotnianie, wprowadzanie do obrotu, publiczne udostępnianie. Przenoszone są także prawa zależne. Wynagrodzenie za przeniesienie praw jest wliczone w wynagrodzenie całkowite. Strony zawrą odrębną umowę powierzenia przetwarzania danych osobowych (wg wzoru – Załącznik nr 5) w terminie 4 dni od dnia zawarcia Umowy. Wykonawca zobowiązany jest wypełnić i złożyć wraz z ofertą raport „Opis technicznych i organizacyjnych środków ochrony danych osobowych”. Wykonawca zobowiązany jest do:

• zachowania w tajemnicy wszelkich informacji Zamawiającego,
• zwrotu/usunięcia danych po zakończeniu Umowy,
• niezwłocznego (do 2 godzin) powiadamiania o naruszeniu bezpieczeństwa informacji,
• stosowania firewall, oprogramowania antyspamowego/antywirusowego, silnych haseł i legalnego oprogramowania. Osoby wykonujące Umowę muszą przed przystąpieniem do prac podpisać oświadczenie o zachowaniu poufności (wzór – Załącznik nr 8).
• (+ 9 pozycji — pełna treść po zalogowaniu)

Dokumenty składane z ofertą (obowiązkowe):

• Opis technicznych i organizacyjnych środków ochrony danych osobowych wprowadzonych przez Wykonawcę — wg wzoru stanowiącego załącznik nr 1 do OPZ, przekazany wraz z ofertą Dokumenty składane warunkowo z ofertą:
• (+ 3 pozycje — pełna treść po zalogowaniu)