Wdrożenie zintegrowanej architektury odporności IT i OT wraz z przygotowaniem kompetencyjnym i organizacyjnym Zamawiającego na cyberataki.

Postępowanie prowadzone jest w trybie konkurencyjności na podstawie wytycznych dokumentu „Zamówienia udzielane w Przedsięwzięciach realizowanych w ramach inwestycji C3.1.1.” (stosowny załącznik nr 1 do Zasad kwalifikowania wydatków). Zamówienie nie podlega ustawie Prawo zamówień publicznych (Pzp) – tryb określono regulacjami konkursu grantowego KPO. Zamawiający nie dopuszcza składania ofert częściowych ani wariantowych. Przewidziano możliwość udzielenia zamówień uzupełniających (powtórzenie podobnych dostaw/usług, zgodnych z przedmiotem zamówienia podstawowego) w terminie do 3 lat od zawarcia umowy głównej, z limitem wartościowym maksymalnie 20% wartości zamówienia podstawowego. Zamawiający nie przewiduje opcji.

W dokumencie SWZ nie podano wartości szacunkowej zamówienia ani ceny maksymalnej (budżetu Zamawiającego). Wszelkie rozliczenia prowadzone będą wyłącznie w PLN (pkt 3.7 ZO). Wadium ustalono na 10 000,00 zł (pkt 10.1 ZO). Zabezpieczenie należytego wykonania umowy wynosi 3% wartości ceny całkowitej brutto oferty (pkt 13.1 ZO).

• Termin składania ofert – wskazany w ogłoszeniu w Bazie Konkurencyjności (brak konkretnej daty w SWZ).
• Otwarcie ofert – następuje automatycznie w Bazie Konkurencyjności po upływie terminu składania ofert.
• Termin związania ofertą – 60 dni od terminu składania ofert (pierwszym dniem jest dzień następny po upływie terminu składania ofert).
• Termin zadawania pytań do SWZ – nie później niż do końca dnia, w którym upływa połowa wyznaczonego terminu składania ofert; Zamawiający udziela wyjaśnień w terminie 3 dni roboczych.

Wykonawca musi wykazać posiadanie ubezpieczenia OC w zakresie prowadzonej działalności związanej z przedmiotem zamówienia na sumę gwarancyjną nie mniejszą niż 1 000 000,00 PLN (pkt 7.1.1.1). Polisa musi być ważna w momencie składania ofert oraz obowiązywać przez cały okres realizacji zamówienia (pkt 8.7.2.1). Wykonawca musi wykazać, że w okresie ostatnich 5 lat przed upływem terminu składania ofert:

• wykonał należycie co najmniej dwie usługi obejmujące wdrożenie i konfigurację rozwiązań z zakresu cyberbezpieczeństwa (ochrona stacji roboczych, serwerów, sieci, aplikacji lub monitorowanie bezpieczeństwa, z uwzględnieniem obszaru organizacyjnego oraz szkoleń), każda o wartości nie mniejszej niż 300 000,00 PLN brutto (pkt 7.1.2.1.1);
• wykonał co najmniej jedną usługę obejmującą podniesienie poziomu zabezpieczenia infrastruktury technicznej i oprogramowania w obszarze infrastruktury przemysłowej wodociągowo-kanalizacyjnej OT lub innej infrastruktury OT rozproszonej sieciowej (np. gazowej, energetycznej) o wartości nie mniejszej niż 200 000,00 PLN brutto (pkt 7.1.2.1.2). Obie usługi z pkt 7.1.2.1.1 muszą być zrealizowane przez jednego Wykonawcę (lub jeden podmiot udostępniający zasoby / jednego członka konsorcjum) — nie dopuszcza się sumowania usług różnych podmiotów (pkt 7.4). Wykonawca musi dysponować zespołem, w skład którego wchodzą co najmniej: Koordynator/Kierownik projektu (pkt 7.1.2.2.1):
• min. 3 lata doświadczenia zawodowego w realizacji/koordynacji usług informatycznych lub bezpieczeństwa;
• certyfikat zarządzania projektami (np. PRINCE2 Practitioner, AgilePM Practitioner, PMP, IPMA poziom C lub równoważny);
• udział w roli Kierownika projektu w co najmniej 3 zakończonych sukcesem projektach informatycznych o wartości nie mniejszej niż 300 000,00 PLN brutto każdy. Specjalista ds. cyberbezpieczeństwa IT (pkt 7.1.2.2.2):
• wykształcenie wyższe techniczne (informatyka, automatyka, telekomunikacja lub pokrewne);

Zamawiający wybiera ofertę na podstawie trzech kryteriów sumowanych punktowo (wzór: X = C + SCO + STD). 1. Cena oferty brutto (C) — waga 40%. Punkty obliczane ze wzoru: C = (Cmin / Cb) × 40, gdzie Cmin to najniższa cena brutto spośród ważnych ofert, a Cb to cena badanej oferty. Maksymalnie 40 pkt. Dokładność do dwóch miejsc po przecinku. 2. Dodatkowe doświadczenie Specjalisty ds. cyberbezpieczeństwa OT (SCO) — waga 20%. Ocenie podlega posiadanie przez wskazanego specjalistę aktualnego na dzień złożenia oferty certyfikatu ISA/IEC 62443 – Cybersecurity Expert lub równoważnego, wydanego przez jednostkę akredytowaną lub uznaną organizację certyfikującą. Za spełnienie warunku oferta otrzymuje 20 pkt; w przeciwnym razie 0 pkt. 3. Skrócenie terminu dostawy Kluczowego Sprzętu (STD) — waga 40%. Zamawiający ustala graniczny termin dostawy Kluczowego Sprzętu na 60 dni od dnia zawarcia umowy.

W SWZ brak jest bezpośredniego rozdziału dotyczącego kar umownych. Postanowienia w tym zakresie zostały zawarte w Projektowanych Postanowieniach Umowy (PPU) – Załącznik nr 4 do ZO, który nie został przywołany w dostarczonej treści SWZ. Poniższe informacje pochodzą z wzmianek rozproszonych.

• Kary umowne za nieterminową dostawę Kluczowego Sprzętu – SWZ wskazuje, że niedotrzymanie zadeklarowanego w ofercie terminu dostawy Kluczowego Sprzętu (kryterium oceny – maks. 15 dni skrócenia względem bazowych 60 dni) skutkować będzie naliczeniem kar umownych lub odstąpieniem od umowy przez Zamawiającego, zgodnie z PPU.
• Wysokość kar umownych – nie została podana w dostarczonej treści SWZ; szczegóły znajdują się w PPU (Załącznik nr 4).
• Odstąpienie od umowy – Zamawiający zastrzega sobie prawo odstąpienia od umowy w przypadku niedotrzymania zadeklarowanego terminu dostawy Kluczowego Sprzętu, na zasadach określonych w PPU.
• Siła wyższa – brak wzmianek w dostarczonym fragmencie SWZ.

Podwykonawstwo: Zamawiający nie zastrzega obowiązku osobistego wykonania kluczowych zadań przez Wykonawcę (pkt 3.6 ZO). W przypadku podwykonawców polegających na zdolnościach innych podmiotów, Wykonawca składa zobowiązanie podmiotu udostępniającego zasoby (pkt 8.5 ZO). Podmioty udostępniające zasoby dotyczące wykształcenia, kwalifikacji lub doświadczenia muszą same wykonać usługi, do których te zdolności są wymagane (pkt 7.7 ZO). Zmiany umowy: Postanowienia dotyczące zmian umowy określono w PPU (Projektowane Postanowienia Umowy) – Załącznik nr 4 do ZO. Wykonawca jest zobowiązany zawrzeć umowę zgodną z PPU (pkt 12.1–12.2 ZO). Audyt: Zamówienie realizowane jest w ramach projektu grantowego "Cyberbezpieczne Wodociągi" (KPO). Kod CPV 72810000-1 (Usługi audytu komputerowego) wskazuje, że audyt jest elementem przedmiotu zamówienia (pkt 4.14.5 ZO). Weryfikacja spełniania warunków odbywa się w procedurze odwróconej (pkt 11.7 ZO). Własność intelektualna: Brak wyodrębnionych postanowień dotyczących praw własności intelektualnej w treści ZO. Kwestie te mogą być uregulowane w PPU (Załącznik nr 4). RODO: Zamawiający przetwarza dane jako podmiot przetwarzający (art. 4 pkt 8 RODO). Administratorem danych jest Centrum Projektów Polska Cyfrowa (CPPC).

Ofertę należy złożyć w Bazie Konkurencyjności w terminie wskazanym w pkt 9.1 ZO. Wszystkie dokumenty muszą być podpisane kwalifikowanym podpisem elektronicznym, podpisem zaufanym lub podpisem osobistym. Wymagane dokumenty składane z ofertą (sekcja 8 ZO):

1. Formularz ofertowy – według wzoru (Załącznik nr 5), zawierający m.in. całkowitą cenę brutto, kwotę netto, stawkę VAT, oświadczenie o okresie związania ofertą oraz akceptację ZO i PPU.
2. Oświadczenie o braku podstaw wykluczenia i spełnianiu warunków udziału (Załącznik nr 8) – tymczasowo zastępuje podmiotowe środki dowodowe.
3. Uzasadnienie zastrzeżenia tajemnicy przedsiębiorstwa – jeżeli dotyczy.
4. Oświadczenie Wykonawców wspólnie ubiegających się o zamówienie (Załącznik nr 6) – jeżeli dotyczy.
5. Pełnomocnictwa – do podpisania oferty oraz do reprezentowania konsorcjum – jeżeli dotyczy.
6. Wykaz osób – według wzoru (Załącznik nr 7), z informacjami o kwalifikacjach i doświadczeniu zgodnie z pkt 7.1.2.2 ZO.
7. Certyfikat ISO/IEC 27001 – dołączany niezależnie od wniosku o część niejawną OPZ (pkt 8.7.2.3 ZO).
8. W przypadku polegania na zasobach podmiotów trzecich – oświadczenie podmiotu udostępniającego zasoby (pkt 8.4 ZO) oraz zobowiązanie do oddania zasobów do dyspozycji (pkt 8.5 ZO).

Brak opublikowanych pytań i odpowiedzi w treści dokumentu SWZ. Dokument zawiera wyłącznie ogólne zasady komunikacji – pytania dotyczące części jawnej składane są za pośrednictwem Bazy Konkurencyjności, a dotyczące części niejawnej – na adres e-mail wskazany przez Zamawiającego.

Na podstawie analizy SWZ zidentyfikowano następujące sygnały ostrzegawcze:

• Wysokie wadium — Zamawiający żąda wadium w kwocie 10 000,00 zł (pkt 10.1). Jest to kwota bezzwrotna w przypadku wycofania oferty lub odmowy podpisania umowy.
• Wysokie zabezpieczenie należytego wykonania umowy — wymagane w wysokości 3% wartości ceny całkowitej brutto oferty (pkt 13.1), co przy wysokiej wartości zamówienia może stanowić istotne obciążenie finansowe.
• Krótki termin dostawy Kluczowego Sprzętu — termin graniczny wynosi 60 dni od dnia zawarcia umowy, a maksymalne punktowane skrócenie to 15 dni (pkt 11.5.1–11.5.3). Oferta przewidująca dostawę powyżej 60 dni podlega odrzuceniu (pkt 11.5.6).
• Bardzo wysokie wymagania dotyczące ubezpieczenia OC — minimalna suma gwarancyjna: 1 000 000,00 PLN (pkt 7.1.1.1).
• Bardzo wysokie wymagania dotyczące doświadczenia Wykonawcy — wymagane dwie usługi z zakresu cyberbezpieczeństwa o wartości ≥ 300 000,00 PLN brutto każda oraz jedna usługa w infrastrukturze OT o wartości ≥ 200 000,00 PLN brutto (pkt 7.1.2.1).
• Wymóg posiadania certyfikatu ISO/IEC 27001 dla Wykonawcy (lub podmiotu realizującego zamówienie) — pkt 7.1.2.3.