RozstrzygniętyZapytanie ofertowe (fundusze)
Testy bezpieczeństwa aplikacji - Windows, AD, Microsoft 365
Ministerstwo Aktywów Państwowych3 aktualne · 17 w archiwum·NIP 7010528752·mazowieckie
Składanie ofert: 26 czerwca 2026 · Wartość szacunkowa: 123 000 zł
Rozstrzygnięcie
Kto wygrał, za ile i ilu było chętnych.
WygrałaTESTARMY GROUP S.A.
NIP zwycięzcy8992754194
Kwota oferty52 890,00 zł
Złożonych ofert4
Widełki ofert52 890,00 zł – 87 120,00 zł
Najtańsza oferta wygrałatak
Przedmiot zamówienia
AIPrzedmiotem zamówienia jest usługa polegająca na przeprowadzeniu kompleksowych testów bezpieczeństwa środowiska informatycznego Ministerstwa Aktywów Państwowych (jednostka sektora finansów publicznych) wraz z opracowaniem raportu technicznego z rekomendacjami naprawczymi oraz prezentacją wyników.
Testy obejmują cztery obszary środowiska produkcyjnego Zamawiającego:
- Systemy Microsoft Windows (stacje robocze i serwery) – analiza konfiguracji, polityk GPO, poprawek, mechanizmów ochronnych (BitLocker, Defender, Credential Guard, UAC, Windows LAPS) oraz identyfikacja podatności.
- Microsoft Active Directory – analiza architektury (lasy, domeny, OU), polityk uwierzytelniania (Kerberos, NTLM, LDAP), kont uprzywilejowanych, delegacji uprawnień oraz testy penetracyjne AD (enumeracja, eskalacja uprawnień, lateral movement, scenariusze przejęcia domeny).
- Microsoft Exchange Server (on-premises) – analiza konfiguracji serwerów, usług publikowanych do Internetu (OWA, ECP, ActiveSync, Autodiscover), certyfikatów TLS, znanych podatności (CVE) oraz symulacja ataków na infrastrukturę pocztową.
- Microsoft 365 (chmura) – analiza konfiguracji Entra ID, polityk uwierzytelniania (MFA, Conditional Access E3), ról uprzywilejowanych, dostępu do SharePoint Online, OneDrive, Microsoft Teams oraz zasad udostępniania danych zewnętrznym.
Rezultaty: jeden raport techniczny (zgodny z ISO/IEC 27001) zawierający listę podatności z priorytetami rekomendacji naprawczych oraz jedno spotkanie podsumowujące w siedzibie Zamawiającego.
Trudność: średnia
Zamówienie wymaga specjalistycznej wiedzy z zakresu testów bezpieczeństwa środowisk Microsoft (Windows, AD, Exchange, M365) oraz posiadania personelu z odpowiednimi certyfikatami (OSCP, CRTP/CRTE, AZ-500 itp.), a także udokumentowanego doświadczenia w sektorze finansów publicznych, co podnosi poprzeczkę, ale samo zamówienie jest jednorodne (jedna usługa, brak części, dostaw sprzętu czy skomplikowanej logistyki).
Terminy realizacji
Przedstawienie harmonogramu
4 dni kalendarzowe od dnia zawarcia Umowy
4 dni kalendarzowe od dnia zawarcia Umowy
Zatwierdzenie harmonogramu przez Zamawiającego
2 dni kalendarzowe od otrzymania harmonogramu
2 dni kalendarzowe od otrzymania harmonogramu
Przeprowadzenie testów bezpieczeństwa
30 dni kalendarzowych od zatwierdzenia harmonogramu
30 dni kalendarzowych od zatwierdzenia harmonogramu
Wydanie raportów z testów
7 dni od zakończenia testów
7 dni od zakończenia testów
Odbiór – podpisanie Protokołu
3 dni robocze od prezentacji raportów
3 dni robocze od prezentacji raportów
Usunięcie zastrzeżeń do Protokołu
5 dni roboczych od wezwania
5 dni roboczych od wezwania
Warunki udziału
AI1Doświadczenie — Wykonawca musi posiadać, udokumentowane referencjami (co najmniej 2), doświadczenie w testach bezpieczeństwa środowisk Microsoft (Windows, Active Directory, Exchange, Microsoft 365) przeprowadzonych w jednostkach sektora finansów publicznych (zgodnie z Art. 9 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych)
2Kadra – certyfikaty — Wykonawca musi dysponować personelem (minimum 2 osoby) posiadającym certyfikaty potwierdzające kompetencje w zakresie testów bezpieczeństwa środowisk Microsoft, w szczególności OSCP, CRTP/CRTE, AZ-500, SC-300 lub równoważne
Pozostałe 2 warunki po założeniu darmowego konta.
Czerwone flagi
AISygnały, na które warto zwrócić uwagę przed startem.
Termin składania ofert: 3 dni (mediana dla CPV 72: 10 dni)
Termin jest znacznie krótszy niż typowy dla tej branży (30% mediany). Może to ograniczać liczbę oferentów.
Kary i sankcje
AI- Zwłoka w dostarczeniu raportów: 0,5% wynagrodzenia brutto za każdy dzień zwłoki
- Działania zakłócające pracę Zamawiającego: 2% wynagrodzenia brutto za każdy przypadek
- Rozpoczęcie testów bez przedstawienia informacji o ryzykach lub akceptacji Zamawiającego: 2% wynagrodzenia brutto za każdy przypadek
Pozostałe 9 zapisów o karach po założeniu darmowego konta.
Pytania i odpowiedzi
16Wyodrębnione z wyjaśnień treści SWZ.
1Ile domen Active Directory obejmuje środowisko oraz ile domen znajduje się w każdym lesie oraz czy występują relacje zaufania (trusts) z innymi domenami lub lasami?
1 las, 1 domena, brak relacji zaufania.
2Czy środowisko jest wyłącznie lokalne (on-premises), hybrydowe, czy zintegrowane z Microsoft 365?
Środowisko hybrydowe.
3Ilu użytkowników znajduje się w Active Directory/Microsoft 365?
Około 450 użytkowników.
4Ilu użytkowników zewnętrznych (Guest) znajduje się w tenantcie Microsoft 365?
Około 10.
5Ilu kontrolerów domeny dotyczy zakres oraz jakie wersje Windows Server są na nich wykorzystywane?
2 DC – Server 2019.
6Ile serwerów znajduje się w środowisku?
Około 100 serwerów.
7Ile stacji roboczych znajduje się w środowisku, jakie wersje systemów operacyjnych są na nich uruchomione oraz czy wszystkie są przyłączone do domeny?
Około 550 stacji roboczych z Windows 10/11 dołączonych do domeny.
9Czy możliwe będzie uruchamianie narzędzi automatycznych i skanerów podatności?
To zależy od oprogramowania i opinii zespołu ds. Cyberbezpieczeństwa.
10Ile serwerów Exchange obejmuje zakres oraz czy środowisko jest jednowęzłowe czy wieloserwerowe?
DAG (2 serwery Exchange + świadek).
11Czy środowisko Exchange jest całkowicie on-premises, czy działa w modelu hybrydowym z Microsoft 365?
Exchange on-premises.
12Ilu użytkowników korzysta z Exchange oraz ile skrzynek pocztowych znajduje się w środowisku?
Około 450 użytkowników i około 800 skrzynek.
13Czy występują skrzynki współdzielone, zasobowe, funkcyjne lub archiwa Exchange?
Tak dla wszystkich.
14Jakie licencje Microsoft 365 są wykorzystywane (np. E3, E5)?
Licencja M365 E3.
15Czy analiza Microsoft 365 ma obejmować wyłącznie konfigurację globalną, czy również SharePoint, OneDrive i Teams?
Rozszerzona analiza, nie tylko globalna.
16Czy oczekiwane są aktywne testy bezpieczeństwa, czy wyłącznie przegląd konfiguracji?
Oczekiwane są aktywne testy bezpieczeństwa.
Historia zmian
17.06.2026 — publikacja ogłoszenia
24.06.2026 — aktualizacja ogłoszenia (Termin składania: 25.06.2026 → 26.06.2026)
26.06.2026 — upływ terminu składania ofert
26.06.2026 — ogłoszenie o wyniku postępowania