Zamówienie jednoczęściowe (funkcjonalna całość, oferty częściowe niedopuszczalne) — usługi cyberbezpieczeństwa w obszarze organizacyjnym i kompetencyjnym dla PWiK w Jarocinie, obejmujące środowisko IT/OT/ICS/IloT: 6 lokalizacji (siedziba, SUW, oczyszczalnia, przepompownie), 33 pracowników:
opracowanie i wdrożenie SZCD wraz z planami ciągłości działania (BCP) i odtwarzania po awarii (DRP) dla STI (2 pozycje katalogowe: U22, U23, z przeglądem i aktualizacją dokumentacji),
2 audyty (stanu wyjściowego i wdrożonego SZCD): SZBI, SZCD oraz zgodności z KRI i ustawą o krajowym systemie cyberbezpieczeństwa, z raportami niezgodności i rekomendacjami (istniejące SZBI podlega wyłącznie audytowi, nie wdrożeniu),
1 audyt cyberbezpieczeństwa sieci IT/OT/ICS/IloT (segmentacja IT/OT, konfiguracja urządzeń sieciowych, kontrola dostępu, ochrona ruchu) z raportem,
1 testy bezpieczeństwa infrastruktury sieciowej IT/OT/ICS/IloT (skanowanie podatności, w tym 3 publicznych adresów IP) z raportem i zaleceniami; czynności w OT/ICS wyłącznie w uzgodnionych oknach, bez zagrożenia produkcji i dystrybucji wody,
szkolenia podstawowe budujące świadomość cyberzagrożeń dla 33 pracowników: 2 tury po 2 godz. zegarowe (maks. 17 osób na turę),
szkolenia specjalistyczne: voucher na autoryzowane szkolenie producenta z administrowania serwerami Windows dla 1 osoby + szkolenie kadry zarządzającej z obowiązków kierownika podmiotu (min. 5 godz.),
testy socjotechniczne: kampania phishingowa (min. 7 dni roboczych) z raportem wyników oraz szkolenie podsumowujące w 2 turach po min. 2 godz.,
ćwiczenie symulacyjne tabletop reagowania na incydenty i ciągłości działania: 2 tury po min. 3 godz., z certyfikatami uczestników i rekomendacjami aktualizacji procedur.
Wykonawca dostarcza dokumentację SZCD/BCP/DRP, raporty audytowe i z testów, raport z kampanii phishingowej oraz materiały szkoleniowe; zespół audytowy funkcjonalnie i osobowo oddzielony od zespołu wdrażającego.
Trudność: wysoka
Szeroki, wzajemnie powiązany zakres usług audytowych, testowych, wdrożeniowych i szkoleniowych w środowiskach IT/OT/ICS/IloT przy wymogu zachowania ciągłości produkcji wody oraz osobowej niezależności zespołów audytowych.
Terminy realizacji
Termin wykonania zamówienia do 15.12.2026 r.
Harmonogram realizacji zamówienia 7 dni od zawarcia umowy
Warunki udziału
AI
1Doświadczenie – audyty STI — min. 2 audyty bezpieczeństwa systemów teleinformatycznych, w tym co najmniej 1 z testami bezpieczeństwa, na rzecz podmiotów realizujących zadania publiczne, każdy o wartości ≥ 50 000 zł brutto, w okresie ostatnich 5 lat
2Doświadczenie – audyty cyber — 4 inne audyty cyberbezpieczeństwa (niewykazane na potwierdzenie wymogów a i c) na rzecz podmiotów publicznych, każdy ≥ 20 000 zł brutto
Pozostałe 20 warunków po założeniu darmowego konta.
Kryteria wyboru oferty
AI
Wagi punktowe, według których zamawiający oceni oferty.
Cena oferty bruttowzór: (Cmin/Cbad) × 100 pkt
100%
Czerwone flagi
AI
Sygnały, na które warto zwrócić uwagę przed startem.
Referencje przewyższają wartość zamówienia
Zamówienie < 170 000 zł netto (pkt 2.1), a wymagane referencje (pkt 6.1): 2 audyty STI ≥ 50 000 zł brutto każdy, 4 audyty ≥ 20 000 zł, 15 audytów bezpieczeństwa informacji, 2 szkolenia ≥ 20 000 zł, 5 usług SZBI (min. 1 ≥ 20 000 zł) i 2 usługi szacowania ryzyka — łącznie min. 240 000 zł brutto i co najmniej 30 odrębnych usług.
Kary i sankcje
AI
Kary umowne: w projekcie umowy (Załącznik nr 2) — istotne postanowienia umowy (pkt 17)
