Usługa doradczo-wdrożeniowa wraz z niezbędnymi do jej realizacji dostawami dotycząca modernizacji infrastruktury sieci IT/OT w PWiK Sp. z o.o. w Siedlcach w zakresie cyberbezpieczeństwa.

Zamówienie jest wyłączone ze stosowania procedur ustawy Prawo zamówień publicznych, ponieważ łączna wartość tożsamych usług i dostaw przewidzianych na 2026 r. nie przekracza progu 432 000 EUR dla zamówień sektorowych wg dyrektywy 2014/25/UE. Postępowanie prowadzone jest jako przetarg nieograniczony na platformie BK2021 (https://bazakonkurencyjnosci.funduszeeuropejskie.gov.pl/) na podstawie Wytycznych Ministra Funduszy i Polityki Regionalnej dotyczących kwalifikowalności wydatków na lata 2021–2027 oraz Regulaminu wewnętrznego udzielania zamówień PWiK Sp. z o.o. (RWUZ).

Zamawiający nie podał w SWZ szacunkowej wartości zamówienia ani maksymalnego budżetu przeznaczonego na sfinansowanie zamówienia. Cena oferty jest ceną ryczałtową brutto (zawiera podatek VAT 23%). Wynagrodzenie netto rozliczane jest etapowo: Etap I – maksymalnie do 10% wartości zamówienia netto, Etap II – maksymalnie do 90% wartości zamówienia netto.

Zamówienie będzie realizowane w trzech etapach:

• Etap I – 30 dni kalendarzowych od daty umowy (audyt, plan, dobór rozwiązań technicznych). Wynagrodzenie maks. 10% wartości zamówienia.
• Etap II – do 4.12.2026 r. (dostawa, montaż, wdrożenie, integracja, szkolenia, optymalizacja). Wynagrodzenie maks. 90% wartości zamówienia. Rozpoczęcie możliwe po akceptacji/odbiorze Etapu I przez Zamawiającego.

Zamawiający wymaga spełnienia następujących warunków:

• Ubezpieczenie OC – posiadanie ubezpieczenia od odpowiedzialności cywilnej w zakresie prowadzonej działalności związanej z przedmiotem zamówienia, na sumę gwarancyjną nie mniejszą niż 4 000 000,00 PLN.
• Doświadczenie – wdrożenia SZBI/SZCD – w okresie ostatnich 3 lat przed upływem terminu składania ofert (a jeśli okres prowadzenia działalności jest krótszy – w tym okresie) wykonanie należycie 2 kompleksowych wdrożeń Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) lub Systemu Zarządzania Ciągłością Działania STI (SZCD) u operatorów usług kluczowych lub w podmiotach posiadających infrastrukturę krytyczną, każde o wartości minimum 100 000,00 PLN netto.
• Doświadczenie – dostawy dla cyberbezpieczeństwa – w okresie ostatnich 3 lat przed upływem terminu składania ofert (a jeśli okres prowadzenia działalności jest krótszy – w tym okresie) wykonanie należycie 2 dostaw systemu/sprzętu dla cyberbezpieczeństwa, każda o wartości minimum 300 000,00 PLN netto.
• Kadra – eksperci ds. cyberbezpieczeństwa IT i OT – dysponowanie 2 osobami zdolnymi na czas realizacji zamówienia, posiadającymi łącznie:

Zamawiający stosuje jedno kryterium oceny ofert: - Cena brutto (C) – waga 100% (maks. 100 pkt). Ocena punktowa liczona według wzoru: C = (C_n / C_b) × 100, gdzie C_n to najniższa cena brutto spośród wszystkich ocenianych ofert, a C_b to cena brutto oferty ocenianej.

• Wadium: 10 000,00 PLN – wniesione przed upływem terminu składania ofert (pieniądz, gwarancja bankowa/ubezpieczeniowa, poręczenie); brak wadium = wykluczenie z postępowania
• Zabezpieczenie należytego wykonania umowy: 10% ceny brutto oferty; wniesione przed podpisaniem umowy; w formie pieniężnej, gwarancji bankowej/ubezpieczeniowej lub poręczenia
• Zwrot zabezpieczenia: 70% – w terminie 30 dni od wykonania Etapu II; 30% – w terminie 15 dni po upływie okresu zgłaszania wad (Etap III – 3 lata od zatwierdzenia wniosku rozliczającego grant)
• Kary umowne – odstąpienie z winy Wykonawcy: 20% wartości wynagrodzenia brutto
• Kary umowne – odstąpienie z winy Zamawiającego: 20% wartości wynagrodzenia brutto (dla Wykonawcy)
• Kary umowne – zwłoka w oddaniu przedmiotu/etapu: 0,2% wartości wynagrodzenia brutto za każdy dzień zwłoki
• Kary umowne – posłużenie się podwykonawcą bez zgody / podwykonawca podlegający wykluczeniu: 5% wynagrodzenia umownego brutto
• Kary umowne – naruszenie poufności (umowa główna): 20 000 PLN za naruszenie formalne, 100 000 PLN przy wycieku danych technicznych/OT/IT

Podwykonawstwo — dopuszczone wyłączenie w zakresie: dostaw dobranych urządzeń i systemów oraz szkoleń personelu. Wykonawca odpowiada za podwykonawców jak za własne działania; każda umowa z podwykonawcą wymaga pisemnej zgody Zamawiającego. Podwykonawcy muszą posiadać odpowiednie kompetencje i kwalifikacje. Zmiana podwykonawcy wymaga wykazania, że nowy podmiot ma doświadczenie nie niższe niż dotychczasowy. Prawa autorskie — Wykonawca przenosi na Zamawiającego autorskie prawa majątkowe do wszelkich dokumentów i opracowań powstałych w ramach umowy, na wszystkich polach eksploatacji, z chwilą przyjęcia utworu. Wynagrodzenie z tego tytułu jest wliczone w cenę ryczałtową. Wykonawca udziela zgody na wykonywanie praw zależnych (modyfikacje, adaptacje, przeróbki). Poufność — obowiązuje w trakcie umowy i przez 5 lat po jej zakończeniu (§ 8 wzoru umowy). Naruszenie: kara 20 000 PLN za naruszenie formalne oraz 100 000 PLN przy wycieku danych technicznych/OT/IT. Odrębna umowa NDA (załącznik) przewiduje okres poufności 10 lat. Rękojmia — okres rękojmi wynosi 4 lata od daty podpisania protokołu końcowego odbioru. Wykonawca zobowiązuje się do rozpoczęcia usuwania wady w terminie 6 godzin od powiadomienia, a usunięcia wady nie później niż 12 godzin od powiadomienia. Gwarancje — wymagany minimalny 2-letni okres gwarancji oraz monitoring parametrów SLA (czas reakcji i naprawy) w umowach z wykonawcami. Zgodność z cyberbezpieczeństwem (ICT) — Wykonawca oświadcza, że oferowane produkty/usługi/procesy ICT nie są objęte rekomendacją negatywną (art.

1. Formularz oferty — sporządzony na Załączniku nr 1 do SWZ. 2. Oświadczenie (1) o spełnianiu warunków udziału w postępowaniu — Załącznik nr 2. 3. Oświadczenie (2) o braku podstaw do wykluczenia z postępowania — Załącznik nr 2. 4. Oświadczenie (3) o braku powiązań osobowych lub kapitałowych — Załącznik nr 2. 5. Oświadczenie (4) w zakresie cyberbezpieczeństwa — Załącznik nr 2. 6. Wykaz osób skierowanych do realizacji zamówienia (2 ekspertów ds. cyberbezpieczeństwa IT i OT) wraz z rodzajem stosunku prawnego. 7. Kopie ważnych certyfikatów (lub równoważnych poświadczeń) eksperta: Audytor Wiodący SZBI wg PN-EN ISO/IEC 27001:2023-08, Audytor Wiodący SZCD wg PN-EN ISO 22301:2020-04, kompetencje w zakresie zarządzania ryzykiem wg ISO/IEC 27005:2022.

W SWZ zidentyfikowano dwa istotne sygnały ostrzegawcze: - Obowiązkowa wizja lokalna z sankcją odrzucenia – Wykonawca musi przeprowadzić wizję lokalną w siedzibie Zamawiającego przed złożeniem oferty, a jej brak skutkuje odrzuceniem oferty („konsekwencje braku wizji – ODRZUCENIE OFERTY"). Stanowi to ryzyko formalne dla wykonawcy, który nie dopełni tego obowiązku w wyznaczonym indywidualnie terminie. - Kary za naruszenie poufności – wysokie i rozdzielone na dwa progi – Za każde naruszenie formalne kara wynosi 20 000 PLN, a przy wycieku danych technicznych/OT/IT – 100 000 PLN (kary się kumulują, Zamawiający może je potrącić z wynagrodzenia).