Wzmocnienie cyberbezpieczeństwa infrastruktury w WZC Sp. z o.o.

Tryb postępowania: Zapytanie ofertowe (w odrębnym trybie Regulaminu Konkursu Grantowego "Cyberbezpieczne Wodociągi"). Nie stosuje się ustawy PZP: Szacowana wartość zamówienia nie przekracza 432 000 euro (równowartość 1 861 920 zł), co kwalifikuje zamawiającego jako zamawiającego sektorowego. Do czynności w postępowaniu nie stosuje się przepisów ustawy Prawo Zamówień Publicznych. Podstawa prawna trybu: Inwestycja C3.1.1. Cyberbezpieczeństwo – CyberPL finansowana w ramach Krajowego Planu Odbudowy i Zwiększania Odporności (Priorytet C3 Cyberbezpieczeństwo, Działanie C3.1.1). Postępowanie prowadzone jest w oparciu o Regulamin Konkursu Grantowego pn. "Cyberbezpieczne Wodociągi" oraz Wytyczne dotyczące kwalifikowalności wydatków na lata 2021–2027. Stosuje się reguły konkurencyjności. Procedura nie jest:

Termin składania ofert upływa 16.04.2026 r. o godz. 10:00 czasu polskiego. Otwarcie ofert nastąpi natychmiast po upływie terminu składania ofert, zgodnie z harmonogramem: 16.04.2026 r. o godz. 10:00 czasu polskiego. Otwarcie nie będzie publiczne (nie przewidziano transmisji). Składanie pytań do treści zapytania: Wykonawca może prosić o wyjaśnienia.

Warunki udziału w postępowaniu dotyczą sytuacji ekonomiczno-finansowej, wiedzy i doświadczenia, potencjału technicznego, osób zdolnych do wykonania zamówienia oraz dodatkowych wymogów. Warunki ekonomiczne i finansowe:

• Obowiązkowa polisa OC z tytułu działalności gospodarczej na kwotę 1 000 000 PLN
• Obowiązkowa polisa OC zawodowej branży IT dla usług cyberbezpieczeństwa na kwotę 1 000 000 PLN Wiedza i doświadczenie (min. 3 lata wstecz lub krótszy okres działania): Pakiet 1 (usługi SZBI i SOC):
• Co najmniej 2 wdrożenia dokumentacji SZBI zgodnej z ISO/IEC 27001
• Co najmniej 2 audyty/pentesty IT o wartości min. 75 000 zł brutto każdy
• Co najmniej 2 usługi SOC, w tym 1 w oparciu o SIEM (L1/L2) o wartości min. 300 000 zł świadczona min. 24 miesiące
• Certyfikat organizacji zrzeszającej CSIRT-y – min. Trusted Introducer Accredited lub równoważny Pakiet 2 (audyt):
• Co najmniej 2 audyty bezpieczeństwa lub zgodności z KSC u OUK/sektorze publicznym Pakiet 3 (dostawy IT):
• Co najmniej 1 dostawa urządzeń sieciowych z wdrożeniem o wartości min. 350 000 zł brutto Potencjał techniczny – obowiązek osobistego wykonania:
• Opracowanie SZBI, audyt zgodności z UoKSC, szkolenia, testy socjotechniczne, dostawa i wdrożenie SIEM/SOC Skład zespołu (osoby zdolne do wykonania):
• Kierownik zespołu (1) – certyfikaty: CISA (lub r.) oraz PRINCE2 Foundation (lub r.)
• Analityk bezpieczeństwa (5) – każdy: CompTIA Security+ (lub r.), zapewniają 24/7 SOC
• Inżynier bezpieczeństwa (3): co najmniej 1 z GCIH, pozostałe 2 – min. CompTIA Network+, GCIH, CIHE lub CISSP

Ocena ofert odbywa się w oparciu o trzy kryteria z następującymi wagami:

1. Cena Łączna Brutto (C) – waga 70% (maks. 70,00 pkt)

• Punkty oblicza się według wzoru: C = (Cmin / Cbad) * 70 pkt
• Cmin – najniższa cena spośród wszystkich ofert niepodlegających odrzuceniu
• Cbad – cena badanej oferty

2. Czas reakcji Security Operation Center dla incydentów krytycznych (F) – waga 20% (maks. 20,00 pkt)

• 30 minut – 0 pkt
• 20 minut – 10 pkt
• 15 minut – 20 pkt
• Czas liczony od wykrycia naruszenia przez system do potwierdzenia incydentu i poinformowania uprawnionego personelu Zamawiającego
• Punkty przyznawane na podstawie oświadczenia Wykonawcy, staje się zobowiązaniem umownym

Brak danych – W tekście SWZ nie znaleziono bezpośrednich zapisów dotyczących kluczowych elementów sekcji 'Inne zapisy', takich jak: regulacje podwykonawstwa, szczegółowe warunki wprowadzania zmian umowy, obowiązki audytowe, przydział praw własności intelektualnej, obowiązki przetwarzania danych osobowych (RODO poza informacją o przetwarzaniu w ramach postępowania), szczegółowe wymagania BHP i środowiskowe oraz klauzule społeczne. W dokumencie wymienione są jedynie następujące odniesienia:

• RODO: Zamawiający informuje o przetwarzaniu danych osobowych w ramach postępowania ofertowego na podstawie art. 6 ust. 1 lit. c RODO (s. 1).

Wymagane dokumenty i oświadczenia do złożenia wraz z ofertą:

• Formularz ofertowy — załącznik nr 2, zawierający oświadczenia dotyczące braku powiązań, sankcyjne i DNSH.
• Szczegółową kalkulację oferty — zgodnie z załącznikiem nr 6.
• Wykaz dostaw i usług — załącznik nr 3 wraz z dowodami potwierdzającymi prawidłowe wykonanie dostaw i usług (referencje, protokoły odbioru końcowego).
• Wykaz osób — załącznik nr 4 wraz z kopiami certyfikatów i uprawnień posiadanych przez te osoby.
• Dokumenty potwierdzające posiadanie polis — obowiązująca polisa OC z tytułu działalności gospodarczej (min. 1 000 000 PLN) oraz obowiązująca polisa OC zawodowej branży informatycznej (min. 1 000 000 PLN) wraz z dowodami opłacenia składek.
• Karty katalogowe urządzeń — wymagane dla wszystkich kluczowych pozycji sprzętowych (NGFW, serwery, UTM, UPS) potwierdzające parametry określone w OPZ.
• Kopie certyfikatu organizacji zrzeszającej CSIRT-y — co najmniej Trusted Introducer na poziomie Accredited lub równoważny.
• Wyniki testów procesorów (SPEC CPU2017) oraz zasilaczy (potwierdzające EPEAT) — dla oferowanych serwerów.

Brak sygnałów ostrzegawczych w zakresie krótkich terminów, nieproporcjonalnych wymogów, niejasnych kryteriów ani wysokich zabezpieczeń pełnieniowych.

• Zamawiający nie przewiduje wadium w postępowaniu.
• Wymagane jest obowiązujące ubezpieczenie OC z tytułu działalności na kwotę min. 1 000 000 PLN oraz ubezpieczenie odpowiedzialności zawodowej branży informatycznej z zakresu cyberbezpieczeństwa na tę samą kwotę, co jest proporcjonalne do szacowanej wartości zamówienia (1 861 920 zł). Potencjalne wyzwania (nie sygnały) wynikające z charakteru zamówienia: