Wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji – Szczecin

Kto wygrał, za ile i ilu było chętnych.

Kompleksowe opracowanie i wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) w Zakładzie Wodociągów i Kanalizacji w Szczecinie, zgodnie z normą ISO/IEC 27001:2022 (PN-EN ISO/IEC 27001:2023), z uwzględnieniem obowiązków podmiotu kluczowego (KSC/NIS2) oraz RODO, zakończone przygotowaniem organizacji do audytu certyfikacyjnego. Zamówienie jednoczęściowe, obejmujące:

• diagnozę przedwdrożeniową (analiza audytu zerowego z 2025 r., przegląd dokumentacji, wywiady, ocena zgodności z normą i KSC/NIS2) wraz z raportem dla kierownictwa i mapą drogową,
• określenie kontekstu organizacji, identyfikację stron zainteresowanych oraz wyznaczenie zakresu SZBI (scope),
• inwentaryzację i klasyfikację aktywów (IT, OT, SCADA, bazy danych, dokumentacja, infrastruktura, personel) wraz z aktualizacją rejestru aktywów, analizy ryzyka i planu postępowania z ryzykiem,
• opracowanie Deklaracji Stosowania (SoA) dla 93 zabezpieczeń aneksu A normy,
• audyt bezpieczeństwa łańcucha dostaw (wymagania dla dostawców ICT, ankieta self-assessment, pakiet klauzul do umów),
• opracowanie kompletnej dokumentacji SZBI: polityki (PBI, klasyfikacji informacji, kontroli dostępu, kryptografii, bezpieczeństwa fizycznego, HR, zarządzania aktywami, relacji z dostawcami, BCP/DRP, zarządzania incydentami, urządzeń mobilnych), procedury operacyjne (12 obszarów), dokumenty wspomagające (rejestry, szablony, formularze) + lista kontrolna pokrycia normy,
• wdrożenie SZBI: 5 typów szkoleń (kierownictwo min. 4 h, Pełnomocnik/Właściciel SZBI min. 14 h, administratorzy IT/OT/SCADA min. 6 h, audytorzy wewnętrzni min. 7 h, ogólne dla pracowników min. 2 h, e-learning dopuszczalny tylko dla szkolenia ogólnego) + wsparcie przy przeglądzie zarządzania, kontroli KSC i testach BCP/DRP,
• mechanizmy monitoringu, KPI, raportowania cyklicznego i ciągłego doskonalenia (PDCA) powiązane z KSC/NIS2,
• 1 kompleksowy audyt wewnętrzny SZBI (9–12 miesięcy po wdrożeniu, innym zespołem niż wdrożenie) z raportem i wsparciem w planie działań korygujących,
• przegląd zarządzania (klauzula 9.3) oraz ocenę gotowości certyfikacyjnej (symulacja Etapu 1 i 2) z raportem gotowości,
• pełne wsparcie merytoryczne i koordynacyjne podczas pierwszego procesu certyfikacji ISO/IEC 27001:2022 — od wyboru jednostki certyfikującej, przez przygotowanie i udział w spotkaniach audytowych, po działania korygujące poaudytowe (do decyzji certyfikacyjnej).

Zamówienie łączy wielomiesięczne wdrożenie systemu zarządzania bezpieczeństwem informacji w infrastrukturze wod-kan (IT/OT/SCADA), wymaga spełnienia normy ISO 27001:2022 łącznie z KSC/NIS2/RODO, angażuje certyfikowany zespół ekspertów i kończy się realnym procesem certyfikacji — łącznie duży zakres merytoryczny, rygorystyczne wymagania kadrowe i krótkie okno realizacji do 31.03.2027.

Wagi punktowe, według których zamawiający oceni oferty.

Sygnały, na które warto zwrócić uwagę przed startem.

Brak istotnych sygnałów ostrzegawczych.

• Kary umowne: w projekcie umowy (zał. nr 3).

Wyodrębnione z wyjaśnień treści SWZ.

Zamawiający nie opublikował pytań ani odpowiedzi