Wdrożenie zintegrowanej architektury odporności IT i OT wraz z przygotowaniem kompetencyjnym i organizacyjnym Zamawiającego na cyberataki.

Postępowanie prowadzone jest w trybie konkurencyjności na podstawie wytycznych dokumentu „Zamówienia udzielane w Przedsięwzięciach realizowanych w ramach inwestycji C3.1.1.” (art. 108 ust. 1 pkt 1 ustawy Pzp przywołany w podstawach wykluczenia). Zamówienia nie podzielono na części; nie dopuszcza się ofert częściowych ani wariantowych.

Dokument SWZ nie zawiera podania wartości szacunkowej zamówienia ani kwoty budżetu Zamawiającego. Nie wskazano, czy cena oferty ma zawierać podatek VAT — formularz ofertowy (Załącznik nr 5) wymaga podania ceny brutto, kwoty netto oraz stawki VAT. Wszelkie rozliczenia dokonywane są wyłącznie w PLN (pkt 3.7 ZO). Zamówienie jest współfinansowane przez Unię Europejską ze środków Krajowego Planu Odbudowy i Zwiększania Odporności (KPO), w ramach Inwestycji **C3.1.1.

• Termin składania ofert: wskazany w ogłoszeniu w Bazie Konkurencyjności (dokładna data nie podana w SWZ).
• Otwarcie ofert: automatyczne w Bazie Konkurencyjności po upływie terminu składania ofert.
• Pytania do SWZ (część jawna): za pośrednictwem Bazy Konkurencyjności; Zamawiający udzieli wyjaśnień w terminie 3 dni roboczych, pod warunkiem że pytanie wpłynęło najpóźniej do końca dnia, w którym upływa połowa terminu składania ofert. Pytania po tym terminie mogą zostać pozostawione bez rozpoznania.
• Pytania do SWZ (część niejawna OPZ): za pośrednictwem poczty elektronicznej na wskazany adres; wniosek o udostępnienie części niejawnej należy złożyć nie później niż 3 dni robocze przed terminem składania ofert (pkt 4.8 ZO).

• Wykonawca musi posiadać ubezpieczenie OC w zakresie prowadzonej działalności związanej z przedmiotem zamówienia na sumę gwarancyjną nie mniejszą niż 1 000 000,00 PLN. W okresie ostatnich 5 lat przed upływem terminu składania ofert Wykonawca musi wykazać się:
• co najmniej dwoma usługami wdrożenia i konfiguracji rozwiązań z zakresu cyberbezpieczeństwa, każda o wartości nie mniejszej niż 300 000,00 PLN brutto;
• co najmniej jedną usługą podniesienia poziomu zabezpieczenia infrastruktury w obszarze infrastruktury przemysłowej wodociągowo-kanalizacyjnej OT lub innej infrastruktury OT rozproszonej sieciowej o wartości nie mniejszej niż 200 000,00 PLN brutto. Wykonawca musi dysponować zespołem obejmującym:

1. Koordynator/Kierownik projektu – min. 3 lata doświadczenia w realizacji/koordynacji usług IT lub bezpieczeństwa; certyfikat zarządzania projektami (np. PRINCE2 Practitioner, PMP, IPMA C); udział w roli Kierownika w co najmniej 3 zakończonych sukcesem projektach informatycznych o wartości ≥ 300 000,00 PLN brutto każdy.
2. Specjalista ds. cyberbezpieczeństwa IT – wykształcenie wyższe techniczne; min. 3 lata doświadczenia we wdrażaniu/utrzymaniu/konfiguracji technicznych środków bezpieczeństwa; udział w co najmniej 2 zakończonych sukcesem projektach dostawy i wdrożenia systemów bezpieczeństwa o wartości ≥ 300 000,00 PLN brutto każdy.
3. Specjalista ds. cyberbezpieczeństwa OT/ICS – wykształcenie wyższe techniczne; min. 3 lata doświadczenia w cyberbezpieczeństwie, w tym minimum 2 lata w środowiskach OT/ICS; udział w co najmniej 2 zakończonych sukcesem projektach dotyczących cyberbezpieczeństwa OT o wartości ≥ 200 000,00 PLN brutto każdy.

• Wykonawca musi posiadać wdrożony system zarządzania bezpieczeństwem informacji zgodny z normą ISO/IEC 27001 (lub równoważną), potwierdzony certyfikatem wydanym przez akredytowaną jednostkę certyfikującą.

Zamawiający stosuje 3 kryteria wyboru oferty:

1. Cena oferty brutto (C) — waga 40%

• Punktacja wg wzoru: C = (C_min / C_b) × 40 pkt. Maksymalnie 40 pkt.

2. Dodatkowe doświadczenie Specjalisty ds. cyberbezpieczeństwa OT (SCO) — waga 20%

• Ocenie podlega posiadanie przez specjalistę ds. cyberbezpieczeństwa OT aktualnego na dzień złożenia oferty certyfikatu ISA/IEC 62443 Cybersecurity Expert lub równoważnego, wydanego przez jednostkę akredytowaną albo uznaną organizację szkoleniowo-certyfikującą.
• Za spełnienie kryterium oferta otrzymuje 20 pkt; w przypadku braku danych – 0 pkt. Maksymalnie 20 pkt.

3. Skrócenie terminu dostawy Kluczowego Sprzętu (STD) — waga 40%

Dokument SWZ nie zawiera wprost wyodrębnionego rozdziału dotyczącego kar umownych i sankcji. Informacje o karach są rozproszone — przede wszystkim w kontekście kryterium skrócenia terminu dostawy oraz ogólnych postanowień PPU (Projektowanych Postanowień Umowy, Załącznik nr 4 do ZO), które nie zostały przytoczone w treści SWZ. Kary w kontekście skrócenia terminu dostawy Kluczowego Sprzętu: Zadeklarowany przez Wykonawcę termin dostawy Kluczowego Sprzętu (krótszy niż 90 dni) staje się elementem umowy. Niedotrzymanie tego terminu będzie skutkować naliczeniem kar umownych lub odstąpieniem od umowy przez Zamawiającego, zgodnie z PPU (pkt 11.6 ZO, s. 18). Kary za opóźnienie w dostawie na podstawie PPU: Brak danych szczegółowych w treści SWZ — PPU (Załącznik nr 4 do ZO) nie został załączony w dostarczonej dokumentacji. W związku z tym konkretne stawki procentowe kar umownych, maksymalne limity kar, a także przesłanki rozwiązania umowy, zapisy o sile wyższej (force majeure) czy sądzie właściwym do rozstrzygania sporów nie są możliwe do ustalenia na podstawie dostępnego tekstu. Wadium a kary: W przypadku gdy Wykonawca, którego oferta została wybrana, odmówi podpisania umowy, nie wniesie zabezpieczenia należytego wykonania umowy lub zawarcie umowy stanie się niemożliwe z przyczyn leżących po stronie Wykonawcy — Zamawiający zatrzymuje wadium (pkt 10.6.6.2 ZO, s.

RODO i ochrona danych osobowych – Zamawiający działa jako podmiot przetwarzający (art. 4 pkt 8 RODO), administratorem danych jest Centrum Projektów Polska Cyfrowa. Podanie danych jest dobrowolne, ale konieczne do realizacji celu. Dane będą przechowywane przez okresy wskazane w przepisach unijnych i krajowych. Osobom fizycznym przysługują prawa: dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, sprzeciwu i wniesienia skargi do Prezesa UODO. Dane nie będą podlegać zautomatyzowanemu podejmowaniu decyzji ani profilowaniu. Na Wykonawcy ciąży obowiązek informacyjny z art. 14 RODO wobec osób, których dane przekaże Zamawiającemu. Zabezpieczenie należytego wykonania umowy – Wykonawca, którego oferta zostanie wybrana, wnosi przed zawarciem umowy zabezpieczenie w wysokości 3% wartości ceny całkowitej brutto oferty.

Ofertę wraz ze wszystkimi wymaganymi załącznikami należy złożyć w Bazie Konkurencyjności w terminie wskazanym w pkt 9.1 ZO. Oferta i wszystkie dokumenty muszą być podpisane kwalifikowanym podpisem elektronicznym, podpisem zaufanym lub podpisem osobistym. Wymagane dokumenty składane wraz z ofertą:

• Formularz ofertowy (Załącznik nr 5) zawierający: nazwę Wykonawcy, całkowitą cenę brutto/netto/VAT, oświadczenie o okresie związania ofertą oraz o akceptacji ZO i PPU bez zastrzeżeń.
• Oświadczenie o braku podstaw wykluczenia i spełnianiu warunków udziału (Załącznik nr 8) – tymczasowo zastępuje podmiotowe środki dowodowe na dzień składania ofert.
• Uzasadnienie zastrzeżenia informacji jako tajemnica przedsiębiorstwa – jeżeli dotyczy.
• Oświadczenie Wykonawców wspólnie ubiegających się o zamówienie (Załącznik nr 6) – jeżeli dotyczy.
• Pełnomocnictwo do podpisania oferty – jeżeli dotyczy.
• Pełnomocnictwo dla lidera konsorcjum – jeżeli dotyczy.

Brak opublikowanych pytań i odpowiedzi w treści SWZ. Dokument zawiera jedynie ogólne zasady komunikacji i składania pytań (rozdział 2 ZO), ale nie zawiera zestawienia opublikowanych pytań i odpowiedzi. Zasady składania pytań (zgodnie z pkt 2.1–2.5 ZO):

• Pytania do części jawnej – składane za pośrednictwem Bazy Konkurencyjności.

Analiza dokumentacji ujawnia następujące potencjalne ryzyka i sygnały ostrzegawcze:

• Krótki termin na wniosek o część niejawną OPZ: Wniosek należy złożyć w terminie 7 dni roboczych od dnia opublikowania ogłoszenia (pkt 4.5), a dodatkowo nie później niż 3 dni robocze przed terminem składania ofert (pkt 4.8) — łącznie może to istotnie skrócić realny czas na zapoznanie się z pełną dokumentacją i przygotowanie oferty.
• Wysokie wymagania dotyczące ubezpieczenia OC: Minimalna suma gwarancyjna wynosi 1 000 000,00 PLN (pkt 7.1.1.1), co może stanowić barierę dla mniejszych wykonawców.
• Restrykcyjne warunki doświadczenia: Wymagane są aż dwie usługi z zakresu cyberbezpieczeństwa o wartości co najmniej 300 000,00 PLN brutto każda (pkt 7.1.2.1.1) oraz jedna usługa w obszarze OT o wartości co najmniej 200 000,00 PLN brutto (pkt 7.1.2.1.2), a dodatkowo obie usługi z pkt 7.1.2.1.1 muszą być zrealizowane przez ten sam podmiot (pkt 7.4).
• Bardzo szczegółowe wymagania kadrowe: Wymagane są osoby z konkretnymi certyfikatami (np. PRINCE2 Practitioner, PMP, IPMA C — pkt 7.1.2.2.1) oraz wieloletnim doświadczeniem branżowym, co zawęża krąg potencjalnych wykonawców.