RozstrzygniętyPrzetarg nieograniczony · PN598851-2026
Wzmocnienie cyberbezpieczeństwa infrastruktury IT i OT – Kęty
Miejski Zakład Wodociągów i Kanalizacji Sp. z o.o.1 aktualny · 10 w archiwum·NIP 5492346504·małopolskie
Rozstrzygnięcie
Kto wygrał, za ile i ilu było chętnych.
Złożonych ofert3
Łączna kwota (wszystkie części)1 444 266,00 zł
Część 1LUKSOFT Sp. z o.o.NIP 9542904518 · 1 017 210,00 zł
Część 2SUNTAR Sp. z o.o.NIP 8731003891 · 427 056,00 zł
Przedmiot zamówienia
AI- Część 1 (dostawa IT z instalacją, konfiguracją i wdrożeniem): 2 serwery, 2 przełączniki szkieletowe (LAN CORE 16× SFP+), 3 przełączniki dystrybucyjne (IDF, PoE+), 4 serwery NAS (2 typ I + 2 typ II), 2 firewalle NGFW, 6 zasilaczy UPS 3000 VA (4× rack + 2× tower), 2 szafy RACK 42U wraz z pełnym osprzętem i montażem, 40 licencji EDR/XDR, 50 licencji CAL (User CAL), 2 licencje serwerowego systemu operacyjnego, 1 system SIEM, 1 system SOAR, 1 analizator logów, 1 system monitoringu infrastruktury IT, 2 licencje serwisowe UTM (do NGFW) oraz 1 usługa wdrożenia obejmująca całość pozycji.
- Część 2 (dostawa sprzętu i oprogramowania OT z instalacją, konfiguracją i wdrożeniem): 3 sprzętowe sondy/sensory OT, 20 urządzeń UTM dla OT, 1 system IDS dedykowany sieciom OT oraz 1 usługa wdrożenia (IDS + sondy + UTM OT).
- Część 3 (dostawa): 2 mobilne agregaty prądotwórcze — 1 szt. typ 1 (ok. 7 kVA) oraz 1 szt. typ 2 (ok. 3 kVA).
Trudność: wysoka
Trzy odrębne domeny technologiczne (IT core, OT/ICS, zasilanie awaryjne), rozbudowany stos cyberbezpieczeństwa (NGFW, EDR/XDR, SIEM, SOAR, IDS OT, UTM) wymagający zgodności m.in. z Common Criteria, ICSA Labs, 80 PLUS Platinum i IEC 62368-1, a także konieczność pełnego wdrożenia w krótkim terminie (do 20.12.2026).
Terminy realizacji
Termin wykonania zamówienia
do 90 dni od dnia podpisania umowy, jednak nie dłużej niż do 20.12.2026 r. (dot. zadań 1, 2, 3)
do 90 dni od dnia podpisania umowy, jednak nie dłużej niż do 20.12.2026 r. (dot. zadań 1, 2, 3)
Wymagany okres gwarancji
min. 36 miesięcy (serwer, przełączniki, szafa RACK, UPS, licencje, systemy IT/OT, agregaty)
min. 36 miesięcy (serwer, przełączniki, szafa RACK, UPS, licencje, systemy IT/OT, agregaty)
Warunki udziału
AI1Doświadczenie — zadanie 1 — min. 1 zamówienie na dostawę, instalację i konfigurację infrastruktury serwerowej i sieciowej z komponentem bezpieczeństwa, z ostatnich 3 lat
2Doświadczenie — zadanie 2 — min. 1 zamówienie na dostawę i wdrożenie systemu monitorowania bezpieczeństwa dedykowanego sieci OT/ICS/IIoT, z ostatnich 3 lat
Pozostałe 1 warunek po założeniu darmowego konta.
Kryteria wyboru oferty
AIWagi punktowe, według których zamawiający oceni oferty.
Cena brutto za dostawę, instalację i wdrożenieCzęść 1 — IT
50%
Pojemność pamięci RAM w serwerzeCzęść 1 — 512/768/1024 GB
10%
DNSH – efektywność energetyczna serweraCzęść 1 — klasa zasilaczy
10%
Koszt gwarancji i supportu producentów (36 m-cy)Część 1 — IT
30%
Cena brutto za dostawę, instalację i wdrożenieCzęść 2 — OT
50%
Czas reakcji serwisu gwarancyjnego dla sond i UTM OTCzęść 2 — 8 h / NBD / 40 h / 5 dni
20%
Koszt gwarancji i supportu producentów (36 m-cy)Część 2 — OT
30%
Cena brutto agregatówCzęść 3 — agregaty
70%
Koszt gwarancji i supportu producentów (36 m-cy)Część 3 — agregaty
30%
Czerwone flagi
AISygnały, na które warto zwrócić uwagę przed startem.
SWZ zmodyfikowany 12 dni po udostępnieniu dokumentów
Późna modyfikacja specyfikacji może sugerować dostosowanie wymagań pod konkretnego wykonawcę lub celowe utrudnienie konkurencji, która przygotowała ofertę na pierwotną wersję SWZ.
Kary i sankcje
AI- Zabezpieczenie należytego wykonania: nie wymagane (dotyczy tylko zadania częściowego nr 1).
- Kary umowne: w projektowanych postanowieniach umowy (zał. nr 11A/11B/11C do SWZ).
Pytania i odpowiedzi
48Wyodrębnione z wyjaśnień treści SWZ.
1Dotyczy: Firewall NGFW. Czy Zamawiający dopuszcza rozwiązanie, które nie skanuje ruchu IMAP przez silnik antywirusowy?
Zamawiający dopuszcza. Zamawiający odstępuje od wymogu skanowania ruchu protokołu IMAP przez silnik antywirusowy.
2Dotyczy: Firewall NGFW. Czy Zamawiający dopuszcza rozwiązanie, które nie posiada inspekcji protokołu DNP3, ale go wykrywa i może zarządzać ruchem w oparciu o ten protokół?
Zamawiający dopuszcza. Zamawiający dopuszcza rozwiązanie, które nie realizuje inspekcji protokołu DNP3, o ile protokół ten wykrywa i umożliwia zarządzanie ruchem w oparciu o ten protokół.
3Dotyczy: Firewall NGFW. Czy Zamawiający dopuszcza rozwiązanie, które nie analizuje podatności stacji roboczych i serwerów?
Zamawiający dopuszcza. Zamawiający rezygnuje z wymogu posiadania przez oferowane rozwiązanie modułu zarządzania podatnościami stacji roboczych i serwerów.
4Dotyczy pkt 1.2 „Przełącznik LAN CORE”. Zamawiający w wymaganiach dla przełącznika LAN CORE wskazuje konieczność zastosowania dwóch zasilaczy AC pracujących w redundancji 1+1 oraz możliwość wymiany zasilacza pod napięciem (hot-swap). Czy Zamawiający dopuści rozwiązanie wyposażone w dwa niezależne, redundantne zasilacze AC, zapewniające nieprzerwaną pracę urządzenia w przypadku awarii jednego z nich, lecz niewymagające fizycznej wymiany uszkodzonego zasilacza podczas pracy urządzenia?
Zamawiający dopuszcza. Zamawiający odstępuje od wymogu możliwości wymiany zasilacza pod napięciem (hot-swap). Utrzymane zostaje wymaganie zastosowania dwóch niezależnych, redundantnych zasilaczy AC w konfiguracji 1+1, zapewniających nieprzerwaną pracę urządzenia w przypadku awarii jednego z nich.
5Dotyczy pkt 1.2 „Przełącznik LAN CORE”. Zamawiający wymaga bufora pakietów o pojemności nie mniejszej niż 4 MB, przy jednoczesnym wymaganiu przepustowości przełączania co najmniej 320 Gbps, wydajności przekazywania pakietów co najmniej 230 Mpps oraz pracy wire-speed/non-blocking dla wszystkich portów SFP+. Czy Zamawiający dopuści urządzenie, dla którego producent nie publikuje w dokumentacji technicznej wartości bufora pakietów jako odrębnego parametru lub stosuje inną architekturę pamięci buforowej, pod warunkiem spełnienia wymaganej przepustowości, wydajności pakietowej oraz pracy wire-speed/non-blocking?
Zamawiający dopuszcza. Zamawiający dopuszcza urządzenie, dla którego producent nie publikuje w dokumentacji technicznej wartości bufora pakietów jako odrębnego parametru lub stosuje odmienną architekturę pamięci buforowej, pod warunkiem spełnienia wymagań w zakresie przepustowości przełączania, wydajności przekazywania pakietów oraz pracy wire-speed (non-blocking) dla wszystkich portów SFP+.
6Dotyczy pkt 1.2 „Przełącznik LAN CORE”. Zamawiający wymaga obsługi funkcji DHCP Snooping, Dynamic ARP Inspection oraz IP Source Guard. Czy Zamawiający dopuści rozwiązanie zapewniające funkcjonalnie równoważną ochronę przed nieautoryzowanymi odpowiedziami DHCP, ARP Spoofing oraz podszywaniem się pod adresy IP/MAC, realizowaną za pomocą mechanizmów DHCP Snooping, powiązań IP/MAC, list ACL, filtracji sprzętowej lub innych mechanizmów dostępnych w systemie operacyjnym przełącznika, nawet jeśli producent nie posługuje się w dokumentacji nazwami „Dynamic ARP Inspection” lub „IP Source Guard”?
Zamawiający dopuszcza. Decydujące znaczenie ma osiągany efekt funkcjonalny, tj. ochrona przed nieautoryzowanymi serwerami DHCP, atakami ARP Spoofing oraz podszywaniem się pod adresy IP/MAC, niezależnie od nazewnictwa stosowanego przez producenta.
7Dotyczy pkt 1.3 „Przełącznik IDF”. Zamawiający wymaga bufora pakietów o pojemności minimum 4 MB, przy jednoczesnym wymaganiu przepustowości przełączania minimum 336 Gbps, wydajności przekazywania minimum 235 Mpps oraz pracy wire-speed/non-blocking. Czy Zamawiający dopuści urządzenie, dla którego producent nie publikuje wartości bufora pakietów jako odrębnego parametru lub stosuje inną architekturę buforowania, pod warunkiem osiągania wymaganej przepustowości przełączania, wydajności przekazywania pakietów oraz pracy wire-speed/non-blocking na wszystkich wymaganych interfejsach?
Zamawiający dopuszcza. Zamawiający dopuszcza urządzenie, dla którego producent nie publikuje wartości bufora pakietów jako odrębnego parametru lub stosuje odmienną architekturę buforowania, pod warunkiem osiągania wymaganej przepustowości przełączania, wydajności przekazywania pakietów oraz pracy wire-speed (non-blocking) na wszystkich wymaganych interfejsach.
8Dotyczy pkt 1.3 „Przełącznik IDF”. Zamawiający wymaga obsługi funkcji DHCP Snooping, Dynamic ARP Inspection oraz IP Source Guard. Czy Zamawiający dopuści przełącznik realizujący ochronę funkcjonalnie równoważną mechanizmom Dynamic ARP Inspection oraz IP Source Guard za pomocą kombinacji DHCP Snooping, statycznych lub dynamicznych powiązań adresów IP/MAC, list ACL oraz mechanizmów filtracji warstwy 2/3, pod warunkiem zapewnienia ochrony przed ARP Spoofing, podszywaniem się pod adres IP oraz nieautoryzowanymi serwerami DHCP?
Zamawiający dopuszcza. Zamawiający dopuszcza realizację wymaganej ochrony za pomocą kombinacji DHCP Snooping, statycznych lub dynamicznych powiązań adresów IP/MAC, list ACL oraz mechanizmów filtracji warstwy 2/3, pod warunkiem zapewnienia ochrony przed ARP Spoofing, podszywaniem się pod adres IP oraz nieautoryzowanymi serwerami DHCP.
9W związku z zapisami OPZ dotyczącymi dopuszczenia rozwiązań równoważnych prosimy o potwierdzenie, że w odniesieniu do funkcji przełączników sieciowych Zamawiający dopuści rozwiązania realizujące wymagany efekt funkcjonalny i poziom bezpieczeństwa w sposób odmienny od nazewnictwa lub implementacji przyjętej przez poszczególnych producentów, pod warunkiem wykazania przez Wykonawcę równoważności na podstawie dokumentacji producenta.
Zamawiający potwierdza. W odniesieniu do funkcji przełączników sieciowych Zamawiający dopuszcza rozwiązania realizujące wymagany efekt funkcjonalny i poziom bezpieczeństwa w sposób odmienny od nazewnictwa lub implementacji przyjętej przez poszczególnych producentów. Zgodnie z pkt 5.13–5.15 SWZ Wykonawca składający ofertę z zastosowaniem rozwiązań równoważnych składa wraz z ofertą oświadczenie o zastosowaniu rozwiązań równoważnych wraz z dokumentami producenta (DTR, karty katalogowe, dokumentacja techniczna) potwierdzającymi spełnienie wymagań OPZ.
10Dotyczy pkt 1.1 „Serwer” – kontrolery macierzy dyskowej. Zamawiający wymaga m.in. co najmniej 16 portów wewnętrznych na kontroler oraz co najmniej 8 GB dedykowanej pamięci cache z zabezpieczeniem danych przed utratą zasilania. Czy Zamawiający dopuści jako rozwiązanie równoważne serwer wyposażony w co najmniej 2 kontrolery macierzy dyskowej, z których każdy będzie posiadał co najmniej 8 portów wewnętrznych oraz co najmniej 4 GB dedykowanej pamięci cache z zabezpieczeniem danych przed utratą zasilania, przy zachowaniu pozostałych wymaganych parametrów, tj.: obsługi interfejsów SAS 12 Gb/s, SATA oraz NVMe (PCIe), interfejsu hosta co najmniej PCIe 4.0 x8, obsługi poziomów RAID 0, 1, 5, 6, 10, 50 i 60 lub ich funkcjonalnych odpowiedników?
Zamawiający dopuszcza i potwierdza. Wymagania 16 portów wewnętrznych oraz 8 GB pamięci cache Zamawiający odnosi łącznie do wszystkich zainstalowanych kontrolerów macierzy dyskowej. Konfiguracja obejmująca co najmniej 2 kontrolery, z których każdy posiada co najmniej 8 portów wewnętrznych oraz co najmniej 4 GB dedykowanej pamięci cache z zabezpieczeniem danych przed utratą zasilania, przy zachowaniu pozostałych parametrów wskazanych w pytaniu, zostanie uznana za spełniającą wymagania OPZ.
11Dotyczy pkt 1.9 „Serwerowy system operacyjny”. Czy Zamawiający dopuści dostarczenie wymaganych licencji serwerowego systemu operacyjnego w modelu licencjonowania OEM, pod warunkiem zapewnienia pełnej zgodności z zasadami licencjonowania producenta, wymaganej liczby i zakresu uprawnień licencyjnych oraz spełnienia wszystkich pozostałych wymagań określonych w OPZ?
Zamawiający dopuszcza i potwierdza. Zamawiający dopuszcza dostarczenie licencji serwerowego systemu operacyjnego w modelu licencjonowania OEM, pod warunkiem zapewnienia pełnej zgodności z zasadami licencjonowania producenta, wymaganej liczby i zakresu uprawnień licencyjnych (w tym uprawnień do uruchamiania wymaganej liczby instancji wirtualnych oraz ich migracji pomiędzy węzłami klastra) oraz spełnienia wszystkich pozostałych wymagań określonych w OPZ.
12Dotyczy „Analizatora logów” i wymaganie dostępności co najmniej 20 typów wizualizacji graficznych, w tym m.in. histogramów, wykresów radarowych oraz map geograficznych. Czy Zamawiający dopuści rozwiązanie, które nie posiada natywnie co najmniej 20 różnych typów wizualizacji graficznych, ale umożliwia wykorzystanie oraz import dużej liczby gotowych dashboardów i wizualizacji, zapewniających szerokie możliwości prezentacji i analizy danych?
Zamawiający dopuszcza. Zamawiający odstępuje od wymogu posiadania przez system co najmniej 20 natywnych typów wizualizacji graficznych. Wystarczające jest zapewnienie możliwości graficznej prezentacji oraz analizy danych za pomocą różnorodnych typów wykresów, dashboardów i innych form wizualizacji, w tym udostępnianych w postaci gotowych, importowanych dashboardów.
13Czy Zamawiający dopuści rozwiązanie równoważne funkcjonalnie, w którym wymagane sposoby prezentacji danych mogą być realizowane za pomocą gotowych, importowanych dashboardów lub innych dostępnych mechanizmów wizualizacji, bez konieczności posiadania przez system co najmniej 20 natywnych typów wykresów?
Zamawiający dopuszcza i potwierdza. Sposób realizacji wymaganej prezentacji danych – natywne typy wizualizacji, gotowe lub importowane dashboardy albo inne mechanizmy wizualizacji dostępne w rozwiązaniu – pozostaje w gestii Wykonawcy, o ile zapewniony zostanie wymagany efekt funkcjonalny, tj. graficzna prezentacja i analiza danych w zakresie opisanym w OPZ.
14Czy Zamawiający rozważy zmianę wymagania poprzez usunięcie wskazania minimalnej liczby 20 typów wizualizacji i zastąpienie go wymaganiem zapewnienia możliwości graficznej prezentacji oraz analizy danych za pomocą różnorodnych wykresów, dashboardów i innych form wizualizacji?
Zamawiający dokonuje wnioskowanej zmiany. Wskazanie minimalnej liczby 20 typów wizualizacji graficznych zostaje usunięte i zastąpione wymaganiem o charakterze funkcjonalnym.
15Dotyczy pozycji Firewall (NGFW). 1. Czy Zamawiający dopuszcza rozwiązanie, które nie skanuje ruchu IMAP przez silnik antywirusowy? 2. Czy Zamawiający dopuszcza rozwiązanie, które nie posiada inspekcji protokołu DNP3, ale go wykrywa i może zarządzać ruchem w oparciu o ten protokół? 3. Czy Zamawiający dopuszcza rozwiązanie, które nie analizuje podatności stacji roboczych i serwerów?
Zapytanie jest tożsame z pytaniami nr 1–3 niniejszego pisma. Zamawiający dopuszcza rozwiązania opisane w każdym z trzech podpunktów i podtrzymuje wyjaśnienia udzielone w odpowiedzi na pytania nr 1–3, odsyłając jednocześnie do modyfikacji wymagań opisanych w pkt II ppkt 1–4 niniejszego pisma.
Historia zmian
10.08.2026 — ogłoszenie o zamówieniu
31.08.2026 — sprostowanie
11.09.2026 — upływ terminu składania ofert
11.09.2026 — wyjaśnienia i modyfikacja dokumentacji (2 dokumenty z wyjaśnieniami · 2 modyfikacje dokumentacji)
15.10.2026 — ogłoszenie o wyniku postępowania