Wdrożenie zintegrowanej architektury odporności IT i OT wraz z przygotowaniem kompetencyjnym i organizacyjnym Zamawiającego na cyberataki.

Postępowanie prowadzone jest w trybie konkurencyjności na podstawie wytycznych zawartych w dokumencie „Zamówienia udzielane w Przedsięwzięciach realizowanych w ramach inwestycji C3.1.1.” Zamówienia nie podzielono na części ani nie dopuszcza się ofert wariantowych. Zamawiający przewiduje możliwość udzielenia zamówień uzupełniających (powtórzenie podobnych dostaw lub usług) w terminie do 3 lat od umowy głównej, których limit wartościowy wynosi maksymalnie 20% wartości zamówienia podstawowego. Nie przewiduje się opcji.

Brak jednoznacznych danych co do wartości szacunkowej zamówienia w treści SWZ ani OPZ. Zamówienie jest współfinansowane ze środków Unii Europejskiej w ramach Krajowego Planu Odbudowy i Zwiększania Odporności (KPO), Inwestycja C3.1.1. Cyberbezpieczeństwo – CyberPL, w ramach przedsięwzięcia "Cyberbezpieczne Wodociągi" (Konkurs Grantowy). Źródło finansowania jest wskazane, ale wartość szacunkowa ani konkretna kwota dofinansowania nie została ujawniona w dokumentach.

• Termin składania ofert – wskazany w ogłoszeniu w Bazie Konkurencyjności (nie podany w SWZ).
• Otwarcie ofert – automatyczne w Bazie Konkurencyjności po upływie terminu składania ofert.
• Termin związania ofertą – 60 dni od upływu terminu składania ofert (pierwszym dniem jest następny dzień po terminie składania ofert).

• Wykonawca musi posiadać ubezpieczenie OC w zakresie prowadzonej działalności związanej z przedmiotem zamówienia na sumę gwarancyjną nie mniejszą niż 1 000 000,00 PLN.
• Co najmniej dwie usługi obejmujące wdrożenie i konfigurację rozwiązań z zakresu cyberbezpieczeństwa (ochrona stacji roboczych, serwerów, sieci, aplikacji lub monitorowanie bezpieczeństwa wraz z obszarem organizacyjnym i szkoleniami), każda o wartości nie mniejszej niż 300 000,00 PLN brutto.
• Co najmniej jedna usługa obejmująca podniesienie poziomu zabezpieczenia infrastruktury technicznej i oprogramowania w obszarze infrastruktury przemysłowej wodociągowo-kanalizacyjnej OT lub innej infrastruktury OT rozproszonej sieciowej (np. gazowej, energetycznej), o wartości nie mniejszej niż 200 000,00 PLN brutto. Wymagany zespół minimalny:

1. Koordynator/Kierownik projektu — min. 3 lata doświadczenia w usługach IT/security, certyfikat zarządzania projektami (PRINCE2 Practitioner, AgilePM Practitioner, PMP, IPMA poziom C lub równoważny), udział w roli Kierownika w co najmniej 3 zakończonych sukcesem projektach informatycznych o wartości ≥ 300 000,00 PLN brutto każdy.
2. Specjalista ds. cyberbezpieczeństwa IT — wykształcenie wyższe techniczne (informatyka, automatyka, telekomunikacja lub pokrewne), min. 3 lata doświadczenia we wdrażaniu/utrzymaniu/konfiguracji technicznych środków bezpieczeństwa IT, udział w co najmniej 2 zakończonych sukcesem projektach o wartości ≥ 300 000,00 PLN brutto każdy.
3. Specjalista ds. cyberbezpieczeństwa OT/ICS — wykształcenie wyższe techniczne (jw.), min. 3 lata doświadczenia w cyberbezpieczeństwie, w tym minimum 2 lata w środowiskach OT/ICS, praktyczny udział w co najmniej 2 zakończonych sukcesem projektach cyberbezpieczeństwa OT o wartości ≥ 300 000,00 PLN brutto każdy.

Zamawiający wybiera ofertę na podstawie trzech kryteriów: 1. Cena oferty brutto (C) – waga 40%. Punktacja liczona według wzoru: ( C = (C_{min} / C_b) \times 40 ), gdzie ( C_{min} ) to najniższa cena brutto spośród ważnych ofert. Maksymalnie 40 pkt. Wynik zaokrąglany do dwóch miejsc po przecinku. 2. Dodatkowe doświadczenie Specjalisty ds. cyberbezpieczeństwa OT (SCO) – waga 20%. Ocenie podlega posiadanie przez specjalistę ds. cyberbezpieczeństwa OT aktualnego na dzień złożenia oferty certyfikatu ISA/IEC 62443 – Cybersecurity Expert lub równoważnego, wydanego przez jednostkę akredytowaną albo uznaną organizację szkoleniowo-certyfikującą. Za spełnienie warunku oferta otrzymuje 20 pkt; w przeciwnym razie 0 pkt. Maksymalnie 20 pkt. 3. Skrócenie terminu dostawy Kluczowego Sprzętu (STD) – waga 40%. Zamawiający ustala bazowy termin dostawy Kluczowego Sprzętu na 60 dni od dnia zawarcia Umowy. Oceniany jest zadeklarowany termin krótszy niż 60 dni.

W dostarczonym dokumencie SWZ nie zawarto szczegółowych postanowień dotyczących kar umownych, ich stawek, maksymalnych wysokości ani zasad naliczania. Dokument odsyła w tym zakresie do Projektowanych Postanowień Umowy (PPU), które stanowią Załącznik nr 4 do ZO, a ich treść nie została ujęta w przekazanej dokumentacji. Podobnie, w dokumencie brak jest informacji o:

• sądzie polubownym lub właściwości sądu powszechnego dla sporów,
• zasadach aneksowania umowy,

Zamawiający nie zastrzega obowiązku osobistego wykonania kluczowych zadań (pkt 3.6 ZO). Wykonawca może korzystać z podwykonawców. Warunki istotnych zmian umowy określono w PPU (Projektowanych Postanowieniach Umowy, Załącznik nr 4 do ZO). Wykonawca zobowiązany jest do zawarcia umowy zgodnej z PPU (pkt 12.2 ZO). Zamówienie obejmuje m.in. usługi audytu komputerowego (CPV 72810000-1). Oprogramowanie musi być dostarczone w modelu zapewniającym bezterminowe prawo do korzystania (licencje wieczyste lub open source); nie dopuszcza się modeli subskrypcyjnych, po których wygaśnięciu Zamawiający traci prawo do korzystania z oprogramowania (pkt 1.13 OPZ). Wsparcie producenta na dostarczane urządzenia: minimum 36 miesięcy od dnia dostawy (pkt 1.11 OPZ). Zamawiający przetwarza dane osobowe jako podmiot przetwarzający (art. 4 pkt 8 RODO).

Ofertę wraz z załącznikami należy złożyć wyłącznie za pośrednictwem Bazy Konkurencyjności (pkt 2.11 ZO).

• Formularz ofertowy – według wzoru (Załącznik nr 5), zawierający m.in.: nazwę Wykonawcy, cenę brutto, netto i stawkę VAT, oświadczenie o okresie związania ofertą oraz o akceptacji wszystkich postanowień ZO i PPU bez zastrzeżeń.
• Oświadczenie o braku podstaw wykluczenia i spełnianiu warunków udziału – według wzoru (Załącznik nr 8), tymczasowo zastępujące podmiotowe środki dowodowe na dzień składania ofert.
• Uzasadnienie zastrzeżenia informacji jako tajemnica przedsiębiorstwa – jeżeli dotyczy.
• Oświadczenie Wykonawców wspólnie ubiegających się o zamówienie – według wzoru (Załącznik nr 6) – tylko w przypadku konsorcjum.
• Pełnomocnictwo do podpisania oferty – jeżeli dotyczy.
• Pełnomocnictwo ustanawiające pełnomocnika konsorcjum – jeżeli dotyczy.
• Wykaz osób skierowanych do realizacji zamówienia – według wzoru (Załącznik nr 7), uwzględniający wymagania z pkt 7.1.2.2 ZO. Zamawiający przed wyborem najkorzystniejszej oferty wezwie Wykonawcę do złożenia w terminie nie krótszym niż 5 dni następujących dokumentów:
• Oświadczenie o braku przynależności do grupy kapitałowej – według wzoru (Załącznik nr 9).
• Polisa OC – na sumę gwarancyjną minimum 1 000 000,00 PLN, ważna na moment składania ofert i przez cały okres realizacji.
• Wykaz usług – według wzoru (Załącznik nr 10) wraz z dowodami (referencjami) potwierdzającymi należyte wykonanie.

Brak opublikowanych pytań i odpowiedzi w dokumentacji SWZ. Dokumenty ZO (Zapytanie Ofertowe) oraz OPZ (Opis Przedmiotu Zamówienia) nie zawierają sekcji ani treści dotyczących udzielonych wyjaśnień lub odpowiedzi na pytania wykonawców. Zasady składania pytań reguluje pkt **2.

Analiza dokumentacji ujawnia następujące potencjalne ryzyka i sygnały ostrzegawcze dla wykonawców:

• Krótki harmonogram — dostawa Kluczowego Sprzętu w maks. 90 dni od zawarcia umowy, a całość zamówienia do 30.10.2026 r. (str. 8). W kryterium oceny Zamawiający dodatkowo wymusza skrócenie dostawy Sprzętu Kluczowego do 60 dni (str. 17), z maks. punktacją za skrócenie o 15 dni – tj. realny termin docelowy 45 dni, co przy złożoności zamówienia (IT+OT, audyty, wdrożenia, szkolenia) może być trudne do osiągnięcia.
• Wysokie wymogi dotyczące ubezpieczenia OC — minimalna suma gwarancyjna 1 000 000,00 PLN (str. 9–10), co przy zamówieniu o charakterze usługowo-doradczym i wdrożeniowym może być znaczącym obciążeniem dla mniejszych firm.
• **Wadium w wysokości 10 000,00 zł (str. 14) – wartość bezwzględna nie jest wyjątkowo wysoka, ale w połączeniu z wymogiem zabezpieczenia należytego wykonania umowy w wysokości 3% wartości całkowitej brutto (str. 18) może stanowić barierę płynnościową.
• Niejasne kryterium oceny w zakresie „Dodatkowego doświadczenia Specjalisty ds. cyberbezpieczeństwa OT” (str. 16–17) – wymagany certyfikat ISA/IEC 62443 Cybersecurity Expert lub równoważny, jednak brak precyzyjnej definicji „równoważności” oraz brak informacji, czy certyfikat musi być wydany przez konkretną, akredytowaną jednostkę. Może to prowadzić do sporów interpretacyjnych podczas oceny ofert.