Wdrożenie zintegrowanej architektury odporności IT i OT wraz z przygotowaniem kompetencyjnym i organizacyjnym Zamawiającego na cyberataki.

Zamawiający: Hydrosfera Józefów Sp. z o.o. ul. Drogowców 20, 05-420 Józefów. KRS: 0000365440 (Sąd Rejonowy dla m. st. Warszawy, XIV Wydział Gospodarczy KRS). NIP: 5322023038, REGON: 142566480. Kapitał zakładowy: 94.743.000,00 zł.

Postępowanie prowadzone jest w trybie konkurencyjności na podstawie wytycznych dokumentu „Zamówienia udzielane w Przedsięwzięciach realizowanych w ramach inwestycji C3.1.1.” (nie stosuje się ustawy Pzp). Zamówienia nie podzielono na części; nie dopuszcza się ofert częściowych ani wariantowych. Zamawiający przewiduje możliwość udzielenia zamówień uzupełniających (powtórzenie podobnych dostaw/usług) w terminie do 3 lat od zawarcia umowy głównej, z limitem wartościowym do 20% wartości zamówienia podstawowego.

Zamawiający dysponuje na przedsięwzięcie maksymalną kwotą wynoszącą 1 073 250 zł netto. Zamówienie realizowane jest w ramach projektu grantowego „Cyberbezpieczne Wodociągi” współfinansowanego przez Unię Europejską ze środków Krajowego Planu Odbudowy i Zwiększania Odporności (KPO) – Inwestycja C3.1.1. Cyberbezpieczeństwo – CyberPL.

Termin realizacji całego zamówienia: od dnia zawarcia umowy do 30.10.2026 r. Termin dostawy Kluczowego Sprzętu: nie później niż 90 dni od dnia zawarcia Umowy. Termin ten może zostać skrócony przez Wykonawcę w ramach kryterium oceny ofert (skrócenie maks. o 60 dni – szczegóły w sekcji kryteriów). Wykonawca zobowiązany jest wskazać w formularzu ofertowym deklarowany termin dostawy Kluczowego Sprzętu.

Zamawiający określił następujące warunki udziału w postępowaniu: Sytuacja ekonomiczno-finansowa (ubezpieczenie OC): Wykonawca musi posiadać ubezpieczenie od odpowiedzialności cywilnej w zakresie prowadzonej działalności związanej z przedmiotem zamówienia na sumę gwarancyjną nie mniejszą niż 1 000 000,00 PLN. Doświadczenie Wykonawcy – obszar IT cyberbezpieczeństwo: Co najmniej 2 usługi obejmujące wdrożenie i konfigurację rozwiązań technicznych z zakresu cyberbezpieczeństwa (ochrona stacji roboczych, serwerów, sieci, aplikacji lub monitorowanie bezpieczeństwa z uwzględnieniem obszaru organizacyjnego oraz szkoleń), każda o wartości nie mniejszej niż 200 000,00 PLN brutto, wykonane w okresie ostatnich 5 lat przed upływem terminu składania ofert. Obie usługi muszą być zrealizowane przez jednego Wykonawcę (lub jeden podmiot udostępniający zasoby / członka konsorcjum) – nie dopuszcza się sumowania usług różnych podmiotów. Doświadczenie Wykonawcy – obszar OT: Co najmniej 1 usługa obejmująca podniesienie poziomu zabezpieczenia infrastruktury technicznej i oprogramowania, realizowaną w obszarze infrastruktury przemysłowej wodociągowo-kanalizacyjnej OT lub innej infrastruktury OT rozproszonej sieciowej (np. gazowej, energetycznej), o wartości nie mniejszej niż 200 000,00 PLN brutto, wykonana w okresie ostatnich 5 lat przed upływem terminu składania ofert. Potencjał kadrowy – Koordynator/Kierownik projektu: Minimum 3 lata doświadczenia zawodowego w realizacji lub koordynacji usług informatycznych/bezpieczeństwa; certyfikat zarządzania projektami (PRINCE2 Practitioner / AgilePM Practitioner / PMP / IPMA poziom C lub równoważny); udział w roli Kierownika w co najmniej 3 zakończonych sukcesem projektach informatycznych o wartości ≥ 200 000,00 PLN brutto każdy. Potencjał kadrowy – Specjalista ds. cyberbezpieczeństwa IT: Wykształcenie wyższe techniczne (informatyka, automatyka, telekomunikacja lub pokrewne); minimum 3 lata doświadczenia w zakresie wdrażania, utrzymania lub konfiguracji technicznych środków bezpieczeństwa systemów teleinformatycznych; udział w co najmniej 2 zakończonych sukcesem projektach informatycznych polegających na dostawie, wykonaniu i wdrożeniu systemów bezpieczeństwa o wartości ≥ 200 000,00 PLN brutto każdy. Potencjał kadrowy – Specjalista ds. cyberbezpieczeństwa OT/ICS: Wykształcenie wyższe techniczne (informatyka, automatyka, telekomunikacja lub pokrewne); co najmniej 3 lata doświadczenia w cyberbezpieczeństwie, w tym minimum 2 lata w środowiskach OT/ICS; praktyczny udział w co najmniej 2 zakończonych sukcesem projektach dotyczących cyberbezpieczeństwa lub bezpieczeństwa infrastruktury OT (wdrożenie mechanizmów ochronnych, segmentacja sieci, systemy monitorowania, zarządzanie tożsamością/dostępem) o wartości ≥ 200 000,00 PLN brutto każdy. Normy bezpieczeństwa informacji – certyfikat ISO/IEC 27001: Wykonawca musi posiadać wdrożony i funkcjonujący system zarządzania bezpieczeństwem informacji zgodny z normą ISO/IEC 27001 (lub równoważną), potwierdzony certyfikatem wydanym przez akredytowaną jednostkę certyfikującą. Warunek musi być spełniony przez samego Wykonawcę albo przez podmiot, który faktycznie będzie realizował zamówienie. Uwagi ogólne: Wykonawcy mogą polegać na zdolnościach podmiotów trzecich (udostępniających zasoby).

Zamawiający wybiera ofertę na podstawie trzech kryteriów: 1. Cena oferty brutto (C) – waga 40% Punktacja liczona według wzoru: C = (Cmin / Cb) × 40, gdzie Cmin to najniższa cena brutto spośród ważnych ofert, a Cb to cena brutto badanej oferty. Maks. 40 pkt. 2. Dodatkowe doświadczenie Specjalisty ds. cyberbezpieczeństwa OT (SCO) – waga 20% Za posiadanie przez specjalistę ds. cyberbezpieczeństwa OT aktualnego certyfikatu ISA/IEC 62443 – Cybersecurity Expert lub równoważnego – 20 pkt. Brak certyfikatu = 0 pkt. 3. Skrócenie terminu dostawy Kluczowego Sprzętu (STD) – waga 40% Punktacja za zadeklarowane skrócenie względem bazowych 90 dni od zawarcia umowy.

• Wadium: 5 000,00 zł — wnoszone przed upływem terminu składania ofert, utrzymywane do dnia upływu terminu związania ofertą (60 dni)
• Zabezpieczenie należytego wykonania umowy: 3% wartości ceny całkowitej brutto — wniesione przed zawarciem umowy
• Zwrot zabezpieczenia: 100% kwoty w terminie 30 dni od dnia wykonania zamówienia i uznania za należycie wykonane

Podwykonawstwo: Zamawiający nie zastrzega obowiązku osobistego wykonania przez Wykonawcę kluczowych zadań (pkt 3.6 ZO). Wykonawca może polegać na zasobach podmiotów trzecich na zasadach określonych w pkt 7.6–7.7 ZO (podmioty udostępniające zasoby). Zmiany umowy: Istotne postanowienia umowy oraz warunki jej zmiany zostały określone w PPU (Projektowane Postanowienia Umowy – Załącznik nr 4 do ZO). Wykonawca zobowiązany jest do zawarcia umowy zgodnej z PPU (pkt 12.1–12.2 ZO). Umowa może zostać zawarta w formie elektronicznej (podpis kwalifikowany) lub pisemnej (pkt 12.4–12.5 ZO). Audyt: W ramach przedmiotu zamówienia przewidziano audyt bezpieczeństwa, audyt zgodności z przepisami i normami oraz opracowanie systemów zarządzania bezpieczeństwem (OPZ, obszar organizacyjny, pkt 1.2.1). Kod CPV: 72810000-1 – Usługi audytu komputerowego (pkt 4.22.5 ZO). Własność intelektualna: Brak danych w treści SWZ i jawnej części OPZ. Oprogramowanie musi być dostarczone w wersji aktualnej (stabilnej) na dzień instalacji (OPZ pkt 1.12). Urządzenia mają być objęte wsparciem producenta przez okres nie mniejszy niż 5 lat od dnia dostawy (OPZ pkt 1.11). RODO i ochrona danych osobowych: Zamawiający działa jako podmiot przetwarzający na podstawie Umowy grantowej (pkt 14.1 ZO). Administratorem danych jest Centrum Projektów Polska Cyfrowa (CPPC) (pkt 14.2 ZO). Podstawy prawne: art.

Dokumenty składane wraz z ofertą (obowiązkowe dla każdego Wykonawcy):

• Formularz ofertowy (Załącznik nr 5 do ZO)
• Oświadczenie o braku podstaw wykluczenia oraz spełnianiu warunków udziału w postępowaniu (Załącznik nr 8 do ZO)
• Wykaz osób skierowanych do realizacji zamówienia (Załącznik nr 7 do ZO) Dokumenty składane z ofertą tylko w określonych sytuacjach:
• Uzasadnienie zastrzeżenia informacji jako tajemnica przedsiębiorstwa (jeżeli dotyczy)
• Oświadczenie Wykonawców wspólnie ubiegających się o udzielenie zamówienia (Załącznik nr 6 do ZO) – dotyczy tylko oferty wspólnej
• Pełnomocnictwo do podpisania oferty i składania oświadczeń (jeżeli dotyczy)

Brak istotnych sygnałów ostrzegawczych. W dokumencie nie zidentyfikowano zapisów z zamkniętej listy ryzyk proceduralnych. W szczególności:

• Wizja lokalna ma charakter fakultatywny (pkt 4.13 ZO – „wizja lokalna ma charakter fakultatywny") – nie obowiązuje pod sankcją odrzucenia oferty, zatem sygnał nie występuje.
• Nie wskazano konkretnej marki/modelu/producenta bez klauzuli „lub równoważny".