Unieważniony
Wdrożenie architektury cyberbezpieczeństwa IT i OT – Izbica Kujawska
Gmina Izbica Kujawska1 aktualny · 27 w archiwum·NIP 8882894327·kujawsko-pomorskie
Składanie ofert: 11 sierpnia 2026
Rozstrzygnięcie
Zamawiający unieważnił to postępowanie.
Data unieważnienia2026-09-04
Złożonych ofert2
Przedmiot zamówienia
AIJednoczęściowe wdrożenie zintegrowanej architektury cyberbezpieczeństwa IT i OT oraz przygotowania organizacyjnego Zamawiającego (gmina – wodociągi) w ramach grantu „Cyberbezpieczne Wodociągi”, łączące warstwę techniczną, organizacyjną i kompetencyjną (model spójny, niepodzielny). W zakres jawny wchodzą m.in.:
- audyty i analizy stanu bezpieczeństwa IT i OT (w tym obszar wodociągowo-kanalizacyjny i inna infrastruktura OT rozproszona), stanowiące podstawę doboru środków technicznych;
- dostawa, montaż i wdrożenie „Kluczowego Sprzętu” (pozycje oznaczone w OPZ identyfikatorem „S”) w terminie maks. 60 dni od zawarcia umowy – nowy sprzęt, produkowany nie wcześniej niż 9 mies. przed dostawą, ze wsparciem producenta min. 36 mies. od odbioru;
- pozostały sprzęt i oprogramowanie zabezpieczające (ochrona stacji roboczych, serwerów, sieci, aplikacji; monitoring i narzędzia bezpieczeństwa IT i OT), z licencjami/subskrypcjami zapewniającymi legalne, produkcyjne i nieprzerwane działanie przez min. 36 mies. od odbioru końcowego bez dodatkowych opłat;
- wdrożenie, konfiguracja i integracja rozwiązań bezpieczeństwa w środowisku IT i OT, w tym na ich styku;
- szkolenia kompetencyjne dla pracowników Zamawiającego wynikające z wdrażanych procedur i rozwiązań;
- przygotowanie organizacyjne Zamawiającego (procedury, polityki bezpieczeństwa) wynikające z przeprowadzonych audytów;
- dokumentacja powdrożeniowa i ocena skuteczności wdrożenia.
Uwaga: część OPZ (Załącznik nr 9) jest niejawna i wymaga osobnego wniosku o udostępnienie oraz zobowiązania do poufności na 20 lat; szczegółowe ilości i typy urządzeń nie są dostępne w części jawnej SWZ.
Trudność: wysoka
Zamówienie łączy sprzęt, oprogramowanie, integrację, audyty, szkolenia i procedury w jednym, niepodzielnym przedsięwzięciu obejmującym zarówno środowisko IT, jak i OT infrastruktury wodociągowej; wymaga doświadczenia w cyberbezpieczeństwie IT i OT, krótkiego, sztywnego terminu dostawy kluczowego sprzętu (60 dni) oraz zdolności do obsługi dokumentacji niejawnej.
Terminy realizacji
Czas na realizację
do 3 miesięcy od podpisania umowy (dostawa Kluczowego Sprzętu w terminie do 60 dni od zawarcia umowy)
do 3 miesięcy od podpisania umowy (dostawa Kluczowego Sprzętu w terminie do 60 dni od zawarcia umowy)
Wymagany okres gwarancji
24 miesiące (gwarancja i rękojmia)
24 miesiące (gwarancja i rękojmia)
Warunki udziału
AI1Doświadczenie IT cyberbezpieczeństwo — min. 2 usługi wdrożenia i konfiguracji rozwiązań cyberbezpieczeństwa (ochrona stacji/serwerów/sieci/aplikacji, monitorowanie + obszar organizacyjny i szkolenia), każda ≥ 200 000,00 PLN brutto, ostatnie 3 lata; obie usługi musi zrealizować jeden podmiot, brak sumowania
2Doświadczenie OT infrastruktura przemysłowa — min. 1 usługa podniesienia zabezpieczenia infrastruktury technicznej i oprogramowania w obszarze OT (wodociągowo-kanalizacyjnym lub innej infrastrukturze OT rozproszonej sieciowej np. gazowej, energetycznej), wartość ≥ 200 000,00 PLN brutto, ostatnie 3 lata
Pozostałe 2 warunki po założeniu darmowego konta.
Kryteria wyboru oferty
AIWagi punktowe, według których zamawiający oceni oferty.
Cenaryczałt brutto
60%
Skrócenie terminu dostawy Kluczowego SprzętuSTD, max 15 dni skrócenia
40%
Czerwone flagi
AISygnały, na które warto zwrócić uwagę przed startem.
Obowiązek zatrudnienia na umowę o pracę
Wymóg dotyczy montażu/instalacji urządzeń sieciowych i serwerów w lokalizacjach Zamawiającego, obejmuje też podwykonawców; weryfikacja możliwa w trakcie realizacji (art. 95 pzp).
20-letni termin poufności
Zobowiązanie do zachowania poufności części niejawnej OPZ obowiązuje 20 lat (Załącznik nr 10) — Zamawiający odmówił skrócenia.
Sztywny 60-dniowy termin dostawy KS
Graniczny termin dostawy Kluczowego Sprzętu 60 dni od zawarcia umowy; Zamawiający nie zgadza się na wydłużenie nawet przy udokumentowanym wydłużeniu produkcji u producenta.
Wymóg ISO 27001/TISAX do wglądu w OPZ
Dostęp do części niejawnej OPZ wymaga certyfikatu ISO/IEC 27001 lub równoważnego (TISAX min. AL2 / SOC 2 Type II); wniosek do 7 dni przed składaniem ofert.
Termin składania ofert przypada na okres wakacyjny (11 sierpnia)
Termin w okresie wakacyjnym (lipiec-sierpień) może ograniczać liczbę oferentów ze względu na urlopy.
Kary i sankcje
AI- Zabezpieczenie należytego wykonania: 3 % ceny brutto; 70 % zwrot w 30 dni od odbioru, 30 % do 15 dni po upływie rękojmi.
- Kary umowne: stawki w projekcie umowy (zał. nr 1).
- Zaległości podatkowe/składkowe: wykluczenie z art. 108 ust. 1 pkt 3 Pzp.
Pytania i odpowiedzi
11Wyodrębnione z wyjaśnień treści SWZ.
1Czy termin 9 miesięcy liczony jest od daty produkcji do daty faktycznej dostawy, czy do daty złożenia oferty?
Od daty faktycznej dostawy.
2Czy wymóg dotyczy wszystkich elementów wyposażenia, czy wyłącznie „Kluczowego Sprzętu"?
Tak, wymóg dostawy nowego sprzętu dotyczy wszystkich elementów.
3Jakim dokumentem Wykonawca ma potwierdzić datę produkcji (deklaracja producenta, etykieta, numer seryjny)?
Dowód musi być weryfikowalny bezpośrednio u producenta lub autoryzowanego dystrybutora np. poprzez sprawdzenie numeru seryjnego w systemie producenta.
4Jak traktować urządzenia wieloelementowe (np. serwer złożony z podzespołów o różnych datach produkcji)?
Wymaganie dostawy nowego sprzętu dotyczy również jego podzespołów, jeżeli są one instalowane do standardowej konfiguracji dostarczanej przez producenta np. dołożony ram, procesor, dysk itp.
5Jaka jest dokładna definicja „Kluczowego Sprzętu" - co konkretnie wchodzi w ten zakres? (Brak definicji w jawnej części SWZ/OPZ)
Kluczowy sprzęt to zadania z identyfikatorem "S" w OPZ.
6Czy w 3-miesięcznym terminie mieszczą się również: analiza przedwdrożeniowa, szkolenia, dokumentacja powdrożeniowa i ocena skuteczności - czy termin dotyczy wyłącznie dostawy i wdrożenia technicznego?
Termin dotyczy dostawy i wdrożenia technicznego.
7Czy polisa musi być posiadana już na dzień składania oferty, czy wystarczy zobowiązanie do jej zawarcia po wyborze oferty.
Warunkiem udziału jest posiadanie ważnej i opłaconej polisy.
8Czy cena ofertowa (ryczałt) ma obejmować koszt licencji/subskrypcji rozwiązań (np. IDS/monitoring OT) tylko na okres realizacji umowy, czy również na cały okres gwarancji (24 mies.) lub dłużej - istotne przy rozwiązaniach typu subskrypcyjnego
Zamawiający oczekuje zapewnienia pełnych funkcjonalności w okresach wskazanych szczegółowo w OPZ w odniesieniu do całości zrealizowanych zadań. Zamawiający nie wyraża zgody na ponoszenie dodatkowych kosztów licencyjnych/ subskrypcyjnych itp. do zapewnienia działania wskazanych w OPZ funkcjonalności. Zgodnie z pkt 00005 OPZ Wszelkie urządzenia dostarczane w ramach Przedmiotu Zamówienia muszą być objęte wsparciem producenta przez okres nie krótszy niż 36 miesięcy od dnia odbioru końcowego, w zakresie niezbędnym do korzystania ze wszystkich zaoferowanych funkcjonalności, bez konieczności ponoszenia przez Zamawiającego dodatkowych kosztów innych niż wyraźnie wskazane w formularzu ofertowym. 00006 Wszystkie dostarczane w ramach Przedmiotu Zamówienia funkcjonalności i rozwiązania muszą zapewniać możliwość ich legalnego, produkcyjnego i nieprzerwanego użytkowania przez okres co najmniej 36 miesięcy od dnia odbioru końcowego, bez konieczności ponoszenia przez Zamawiającego dodatkowych, obowiązkowych opłat licencyjnych, subskrypcyjnych lub abonamentowych, z zastrzeżeniem wyjątków wyraźnie wskazanych w OPZ.
9Czy w przypadku oferty konsorcjum obie usługi referencyjne muszą pochodzić od TEGO SAMEGO członka konsorcjum, który będzie faktycznie realizował obszar IT - proszę o potwierdzenie interpretacji SWZ w tym zakresie.
Tak, wymagania musza być spełnione przez podmiot który faktycznie będzie realizował dane zadanie opisane w OPZ.
10Czy Zamawiający przewiduje możliwość wydłużenia 60-dniowego, granicznego terminu dostawy Kluczowego Sprzętu w sytuacji, gdy opóźnienie wynika z udokumentowanego, niezależnego od Wykonawcy wydłużenia terminu produkcji lub dostawy przez producenta sprzętu (np. potwierdzonego oficjalną informacją producenta o aktualnym czasie realizacji zamówień), a nie z zaniedbania Wykonawcy?
Zamawiający nie wyraża zgody na zmianę/wydłużenie granicznego 60-dniowego terminu dostawy Kluczowego Sprzętu.
Wskazany termin ma charakter kategoryczny i wynika z ograniczonego czasowo okresu kwalifikowalności wydatków w projekcie, w ramach którego realizowane jest zamówienie. Przekroczenie tego terminu stwarza bezpośrednie ryzyko niezrealizowania projektu grantowego przez Zamawiającego w zakładanym czasie.
11We Załączniku nr10 - wniosek o ujawnienie niejawnej OPZ - jest zobowiązanie do zachowania poufności na 20 lat. 20 lat ma sens tylko dla unikalnych technologii, innowacyjnych receptur lub dokumentacji historycznej/strategicznej, które nie tracą ważności przez dekady. Większość danych handlowych, finansowych czy technologicznych staje się przestarzała lub jawna po 3–5 latach. Dodatkowo długi okres oznacza trudniejsze zarządzanie dokumentacją i długotrwały, potencjalny spór prawny w razie wycieku informacji. W związku z tym wnioskuję zmniejszenie okresu 20 lat na standardowe 5 lat.
Zamawiający nie wyraża zgody na zmniejszenie okresu obowiązywania zobowiązania do zachowania poufności i podtrzymuje wymóg 20-letniego okresu poufności, o którym mowa w Załączniku nr 10 do SWZ.
Przedmiotem części niejawnej Opisu Przedmiotu Zamówienia są szczegółowe wymagania sprzętowe oraz standardy i parametry konfiguracyjne dla systemów zabezpieczeń fizycznych oraz infrastruktury teleinformatycznej obiektów kluczowych dla zbiorowego zaopatrzenia w wodę. W przeciwieństwie do standardowych danych handlowych, dokumentacja określająca minimalne parametry urządzeń, architekturę systemową, standardy szyfrowania, reguły filtrowania ruchu, profile uprawnień czy wymagania integracyjne opisuje fundamenty bezpieczeństwa infrastruktury o wieloletnim cyklu eksploatacji.
Wymagania konfiguracyjne i sprzętowe wyznaczają wzorce oraz wektory bazowe, według których budowane i rozwijane są systemy ochrony zakładu wodociągowego przez dekady. Ujawnienie szczegółowych specyfikacji sprzętowych oraz przyjętych założeń konfiguracyjnych po okresie trzech lub pięciu lat pozwoliłoby na dokładną analizę potencjalnych luk systemowych oraz ograniczeń technologicznych stosowanych w obiekcie. Taka wiedza, nawet w przypadku późniejszej wymiany konkretnych modeli urządzeń na nowsze generacje, ujawnia ogólną filozofię i strategię cyberbezpieczeństwa oraz ochrony fizycznej Zamawiającego, co stwarza bezpośrednie ryzyko przygotowania ukierunkowanych ataków lub prób przełamania zabezpieczeń w przyszłości.
Zamawiający, działając na podstawie m.in. przepisów o krajowym systemie cyberbezpieczeństwa, o zarządzaniu kryzysowym oraz Prawa zamówień publicznych, ma obowiązek stosować długofalowe środki ochrony informacji chroniące tajemnicę przedsiębiorstwa oraz bezpieczeństwo publiczne. Okres 20 lat jest w pełni uzasadniony i proporcjonalny do skali ryzyka oraz planowanego czasu funkcjonowania całego systemu zabezpieczeń. W związku z powyższym postanowienia Załącznika nr 10 do SWZ pozostają bez zmian.
Historia zmian
11.08.2026 — upływ terminu składania ofert
04.09.2026 — ogłoszenie o unieważnieniu postępowania