WZMOCNIENIE CYBERBEZPIECZEŃSTWA INFRASTRUKTURY W MIEJSKIM ZAKŁADZIE WODOCIĄGÓW I KANALIZACJI SP. Z O.O. W KĘTACH

Zamawiającym jest Miejski Zakład Wodociągów i Kanalizacji Sp. z o.o. z siedzibą w Kętach. Jest to zamawiający sektorowy w rozumieniu przepisów ustawy PZP. Dane rejestracyjne:

• Adres: ul. św. Maksymiliana Kolbe 25a, 32-650 Kęty
• NIP: 5492346504

Postępowanie prowadzone jest w trybie podstawowym na zasadzie konkurencyjności (regulamin konkursu grantowego „Cyberbezpieczne Wodociągi"). Zamawiający jest zamawiającym sektorowym w rozumieniu ustawy Pzp. Szacowana wartość zamówienia nie przekracza kwoty 432 000 euro (równowartość 1 861 920 zł), w związku z czym nie stosuje się przepisów ustawy Pzp do czynności podejmowanych w postępowaniu. Do postępowania mają zastosowanie m.in.

• Szacowana wartość zamówienia nie przekracza kwoty 432 000 euro, co stanowi równowartość 1 861 920 zł.
• Zadanie jest finansowane w ramach Krajowego Planu Odbudowy i Zwiększania Odporności, Priorytet C3 Cyberbezpieczeństwo, Działanie C3.1.1 Cyberbezpieczeństwo – CyberPL, numer naboru KPOD.05.10-CW.01-001/25.
• Waluta postępowania: złoty polski (PLN). Oferty w innej walucie zostaną odrzucone.

Termin składania ofert: 19.06.2026 r., godz. 10:00 (czas polski). Otwarcie ofert nastąpi tego samego dnia o godz. 10:00. Okres ważności oferty: minimum 30 dni od otwarcia ofert. Termin związania ofertą: 30 dni od upływu terminu składania ofert. Terminy realizacji zamówienia (liczone od dnia następnego po podpisaniu umowy):

• Część 1 (Opracowanie i wdrożenie SZBI): 130 dni kalendarzowych.
• Część 2 (Szkolenia i testy socjotechniczne): według terminów wskazanych we wzorze umowy (załącznik do ZO).

Zamawiający nie formułuje warunków w zakresie uprawnień do wykonywania działalności, potencjału technicznego ani zdolności finansowej. Warunki zostały określone wyłącznie w zakresie wiedzy i doświadczenia oraz dysponowania osobami zdolnymi do wykonania zamówienia, odrębnie dla każdej z 5 części zamówienia. Doświadczenie: W okresie ostatnich 3 lat przed upływem terminu składania ofert Wykonawca musi wykazać wykonanie co najmniej 2 usług polegających na opracowaniu i wdrożeniu SZBI lub SZCD w podmiocie posiadającym infrastrukturę krytyczną lub będącym operatorem usługi kluczowej w rozumieniu ustawy o KSC albo 2 usług polegających na opracowaniu i wdrożeniu SZBI w podmiotach sektora publicznego lub regulowanego (np. wod-kan, energetyka, ochrona zdrowia, administracja publiczna). Przez wdrożenie SZBI rozumie się co najmniej: analizę ryzyka, politykę bezpieczeństwa, procedury operacyjne i zarządzania incydentami oraz dokumentację wdrożeniową. Kadra: Co najmniej 1 osoba (Ekspert/Konsultant Wiodący) z min. 3-letnim doświadczeniem w doradztwie lub wdrażaniu SZBI oraz ważnym certyfikatem (ISO/IEC 27001 Lead Implementer, Lead Auditor, CISM, CISSP lub równoważnym), ważnym na dzień składania oferty i przez cały okres realizacji zamówienia. Doświadczenie: W okresie ostatnich 3 lat przed upływem terminu składania ofert Wykonawca musi wykazać wykonanie co najmniej 2 usług szkoleniowych z zakresu cyberbezpieczeństwa lub security awareness (w tym phishing, socjotechnika, bezpieczeństwo poczty) oraz co najmniej 1 usługi przeprowadzenia symulowanych testów socjotechnicznych (kampanii phishingowych) zakończonych raportem. Kadra: Co najmniej 1 osoba (trener/testy socjotechniczne) z min. 2-letnim doświadczeniem w prowadzeniu szkoleń z cyberbezpieczeństwa/security awareness, min. 2-letnim doświadczeniem w testach socjotechnicznych oraz co najmniej jednym certyfikatem: CompTIA Security+, CEH, CISSP, CISM, CISA lub równoważnym, ważnym na dzień składania oferty i przez cały okres realizacji. Doświadczenie: W okresie ostatnich 3 lat przed upływem terminu składania ofert Wykonawca musi wykazać wykonanie co najmniej 2 zamówień na dostawę, instalację i konfigurację infrastruktury serwerowej i sieciowej z komponentem bezpieczeństwa (firewall/UTM/NGFW, serwery, pamięć masowa), o wartości każdego ≥ 200 000 zł brutto, lub 1 zamówienia jak wyżej o wartości ≥ 400 000 zł brutto oraz co najmniej 1 zamówienia na wdrożenie systemu klasy SIEM, SOAR lub EDR/XDR. Kadra:

• 1 Inżynier ds. Infrastruktury Serwerowej i Sieciowej z min. 2-letnim doświadczeniem w projektowaniu, instalacji i konfiguracji serwerów i środowisk wirtualizacyjnych oraz certyfikatem (Azure Administrator/Windows Server Hybrid Admin, VCP, CompTIA Server+ lub równoważnym).

• Kary umowne: w projekcie umowy (zał. nr 5) — szczegóły dotyczące wysokości i przesłanek naliczania kar umownych znajdują się we wzorze umowy dla każdej części zamówienia
• Zabezpieczenie należytego wykonania umowy: wymagane najpóźniej w dniu zawarcia umowy, o ile jest wymagane
• Zmiana eksperta bez zgody Zamawiającego: wyłącznie za uprzednią pisemną zgodą Zamawiającego, pod warunkiem nie gorszych kwalifikacji nowego eksperta
• Niedotrzymanie zadeklarowanej liczby kampanii phishingowych (K2 w Części 2): skutkuje naliczeniem kar umownych określonych we wzorze umowy
• Zmiana formy szkolenia potestowego z zdalnej na stacjonarną (K3 w Części 2): skutkuje naliczeniem kary umownej określonej we wzorze umowy

Wykonawca może polegać na zasobach podmiotów trzecich przy wykazywaniu dysponowania osobami zdolnymi do wykonania zamówienia. Zmiana któregokolwiek z ekspertów w trakcie realizacji umowy wymaga uprzedniej pisemnej zgody Zamawiającego, pod warunkiem że nowy ekspert będzie posiadał kwalifikacje i doświadczenie nie gorsze niż określone w Zapytaniu Ofertowym. Warunki istotnych zmian umowy zostały określone we wzorach umów stanowiących odrębne załączniki do Zapytania Ofertowego (odrębnie dla każdej części zamówienia). Odbiór każdego produktu etapowego (Część 1 – SZBI) przebiega według procedury: Wykonawca przekazuje wersję roboczą → Zamawiający ma 5 dni roboczych na uwagi → Wykonawca poprawia w 3 dni robocze → Zamawiający ma 3 dni robocze na odbiór lub zgłoszenie niezgodności. Brak odpowiedzi w terminie = odbiór bez uwag. Produkt jest kompletny, zgodny z ISO/IEC 27001:2022, dostosowany do specyfiki Zamawiającego, w języku polskim. Odbiór usługi szkoleniowej (Część 2) następuje na podstawie protokołu odbioru po dostarczeniu kompletnej dokumentacji. Zamawiający ma prawo wstrzymać odbiór do czasu usunięcia wad lub zażądać sesji uzupełniającej bez dodatkowych kosztów. Dla Części 3–5 wymagana jest dokumentacja powykonawcza w terminie do 14 dni kalendarzowych od zakończenia wdrożenia. Wszelkie prawa majątkowe do dokumentacji, materiałów szkoleniowych, metodyk i innych produktów wytworzonych przez Wykonawcę w ramach realizacji zamówienia przechodzą na Zamawiającego z chwilą podpisania Protokołu Odbioru danego produktu, bez dodatkowego wynagrodzenia. Zamawiający nabywa prawo do nieograniczonego korzystania, modyfikowania i dalszego rozpowszechniania tych materiałów na własne potrzeby. Administratorem danych jest Centrum Projektów Polska Cyfrowa (CPPC).

• Formularz ofertowy (załącznik nr 2)
• Szczegółowa kalkulacja oferty (załącznik nr 6)
• Wykaz wykonanych dostaw i usług (załącznik nr 3) wraz z dowodami potwierdzającymi prawidłowe wykonanie (referencje, protokoły odbioru)