Wzmocnienie cyberbezpieczeństwa infrastruktury wodociągowej ZWIK Andrychów

Postępowanie o numerze 1/CW/0134 dotyczy wzmocnienia cyberbezpieczeństwa infrastruktury wodociągowej ZWIK Andrychów. Zamówienie jest mieszane i obejmuje zarówno usługi, jak i dostawy podzielone na 5 części:

• Część 1: Opracowanie i wdrożenie SZBI (usługi),
• Część 2: Szkolenia (usługi),
• Część 3: Dostawa sprzętu i oprogramowania IT (dostawy),
• Część 4: Dostawa sprzętu i oprogramowania OT (dostawy),
• (+ 4 pozycje — pełna treść po zalogowaniu)

Zamawiającym jest Zakład Wodociągów i Kanalizacji Spółka z o.o., z siedzibą przy ul. Batorego 68, 34-120 Andrychów.

Podmiot posiada następujące dane identyfikacyjne:

• NIP: 5510007400
• REGON: 120079170
• (+ 4 pozycje — pełna treść po zalogowaniu)

Postępowanie prowadzone jest w oparciu o Reguły Konkurencyjności. Zamawiający informuje, że jest zamawiającym sektorowym, a szacowana wartość zamówienia nie przekracza kwoty 432 000 euro (równowartość 1 861 920 zł), w związku z czym nie stosuje się przepisów ustawy Prawo Zamówień Publicznych (PZP). (+ 1 zdanie — pełna treść po zalogowaniu)

Szacunkowa wartość zamówienia wynosi 1 861 920 zł, co jest równowartością kwoty 432 000 euro.

Zadanie jest współfinansowane ze środków Unii Europejskiej w ramach Krajowego Planu Odbudowy i Zwiększania Odporności (KPO), Priorytet C3 Cyberbezpieczeństwo, Działanie C3.1.1. (+ 1 zdanie — pełna treść po zalogowaniu)

Zamawiający określił następujące terminy realizacji dla poszczególnych części zamówienia: - Wszystkie części zamówienia (części 1–5): 120 dni kalendarzowych licząc od dnia następnego po podpisaniu umowy. - Ostateczny termin zakończenia realizacji Projektu: 30.11.2026 r. (+ 3 zdania — pełna treść po zalogowaniu)

Zamawiający określił warunki udziału w podziale na 5 części zamówienia:

• Doświadczenie: Wykonawca musi wykazać należyte wykonanie w ostatnich 3 latach co najmniej 2 usług polegających na opracowaniu i wdrożeniu SZBI lub SZCD w podmiocie posiadającym infrastrukturę krytyczną / operatora usługi kluczowej LUB 2 usług w podmiotach sektora publicznego lub regulowanego (przedsiębiorstwa wod-kan, zakłady energetyczne, ochrona zdrowia, admin. publiczna).
• Kadra: Wymagane dysponowanie min. 1 osobą (Kierownik Projektu / Konsultant Wiodący) z min. 3-letnim doświadczeniem w doradztwie/wdrażaniu SZBI oraz certyfikatem (ISO/IEC 27001 Lead Implementer, ISO/IEC 27001 Lead Auditor, CISM, CISSP lub innym akredytowanym certyfikatem SZBI).
• Doświadczenie: Wykonawca musi wykazać należyte wykonanie w ostatnich 3 latach co najmniej 2 usług szkoleniowych z zakresu cyberbezpieczeństwa/security awareness (ochrona przed zagrożeniami cyfrowymi) oraz 1 usługi przeprowadzenia symulowanych testów socjotechnicznych zakończonych raportem.
• Kadra: Wymagane dysponowanie min. 1 osobą (trenerem) z min. 2-letnim doświadczeniem w prowadzeniu szkoleń z cyberbezpieczeństwa/security awareness oraz min. 2-letnim doświadczeniem w testach socjotechnicznych, posiadającą min. 1 certyfikat (CompTIA Security+, CEH, CISSP, CISM, CISA, specjalistyczny kurs security awareness/socjotechniki lub inny branżowy certyfikat).
• Doświadczenie: Wykonawca musi wykazać należyte wykonanie w ostatnich 3 latach co najmniej 2 zamówień na dostawę, instalację i konfigurację infrastruktury serwerowej/sieciowej z komponentem bezpieczeństwa (np. firewall, UTM, NGFW, serwery, pamięci masowe) o wartości każdego min. 200 000,00 PLN brutto LUB 1 zamówienie jak wyżej o wartości min. 400 000,00 PLN brutto ORAZ 1 zamówienie na wdrożenie systemu klasy SIEM, SOAR lub EDR/XDR.
• Kadra:
• 1 Inżynier ds. Infrastruktury Serwerowej i Sieciowej: min. 2 lata doświadczenia w projektowaniu/instalacji/konfiguracji serwerów fizycznych i wirtualizacji; min. 1 certyfikat (np. Microsoft Certified: Azure Administrator, VMware Certified Professional (VCP), CompTIA Server+ lub inny certyfikat administracji serwerami).
• (+ 8 pozycji — pełna treść po zalogowaniu)

Zamawiający przewidział różne kryteria oceny dla poszczególnych części zamówienia:

Część 1. Opracowanie i wdrożenie SZBI:

• Cena oferty brutto: 100%

Część 2. Szkolenia:

• Cena oferty brutto: 80%
• Zwiększona liczba symulowanych kampanii phishingowych: 10%
• Zgodność z zasadą DNSH – zdalna forma szkolenia potestowego: 10%

Część 3. Dostawa sprzętu i oprogramowania IT:

• Cena brutto za dostawę, instalację i wdrożenie: 50%
• Wydłużony okres gwarancji i wsparcia technicznego: 20%
• (+ 9 pozycji — pełna treść po zalogowaniu)

• Kary umowne: określone we wzorze umowy (załącznik nr 5)
• Niezrealizowanie zadeklarowanej liczby kampanii phishingowych: naliczenie kar umownych określonych we wzorze umowy
• Zmiana formy szkolenia z zdalnej na stacjonarną: naliczenie kary umownej określonej we wzorze umowy
• Skrócenie okresu gwarancji i wsparcia technicznego: naliczenie kar umownych określonych we wzorze umowy
• (+ 3 pozycje — pełna treść po zalogowaniu)

1. Gwarancja i serwis

• Minimalny okres gwarancji i wsparcia technicznego wynosi 36 miesięcy dla wszystkich elementów sprzętowych i programowych dostarczanych w ramach Części 3, 4 i 5 (z wyłączeniem usług instalacyjnych).
• W przypadku Części 1 (SZBI), Wykonawca jest zobowiązany do świadczenia bezpłatnego wsparcia powdrożeniowego w wymiarze co najmniej 10 godzin doradczych w ciągu 6 miesięcy od podpisania protokołu odbioru.

2. Własność intelektualna

• Wszelkie prawa majątkowe do dokumentacji, materiałów szkoleniowych, metodyk i innych produktów wytworzonych przez Wykonawcę przechodzą na Zamawiającego z chwilą podpisania protokołu odbioru danego produktu, bez dodatkowego wynagrodzenia.

3. Poufność

• Obowiązek zachowania poufności informacji uzyskanych w toku realizacji zamówienia obowiązuje przez cały okres realizacji umowy oraz przez 5 lat po jej zakończeniu.
• (+ 6 pozycji — pełna treść po zalogowaniu)

Wymagane dokumenty składane wraz z ofertą:

• Formularz ofertowy (załącznik nr 2) z oświadczeniami dotyczącymi braku powiązań kapitałowych, sankcyjnymi oraz DNSH
• Szczegółowa kalkulacja oferty (załącznik nr 6)
• Wykaz wykonanych usług/dostaw (załącznik nr 3) wraz z dowodami potwierdzającymi należyte wykonanie
• (+ 3 pozycje — pełna treść po zalogowaniu)

W niniejszym postępowaniu zidentyfikowano następujące ryzyka: - Wizja lokalna: Dla Części 5 (Systemy zasilania gwarantowanego i awaryjnego) Zamawiający wymaga obligatoryjnej wizji lokalnej, której odbycie jest warunkiem koniecznym — niedopełnienie tego obowiązku skutkuje odrzuceniem oferty. (+ 1 zdanie — pełna treść po zalogowaniu)