Wzmocnienie cyberbezpieczeństwa infrastruktury wodociągowej ZWIK Andrychów

Postępowanie prowadzone jest w trybie zapytania ofertowego (ZO) w oparciu o Regułę Konkurencyjności obowiązującą dla grantów z Krajowego Planu Odbudowy i Zwiększania Odporności. Zamawiający jest zamawiającym sektorowym w rozumieniu przepisów ustawy PZP, jednak nie stosuje się przepisów ustawy z dnia 11 września 2019 r. – Prawo Zamówień Publicznych (Dz.U. z 2024 r., poz. 1320 t.j. z późn. zm.), ponieważ szacowana wartość zamówienia nie przekracza kwoty 432 000 euro (równowartość 1 861 920 zł). Do postępowania mają zastosowanie w szczególności:

• Regulamin Konkursu Grantowego „Cyberbezpieczne Wodociągi” wraz z załącznikami;

Zamówienie jest finansowane w ramach Krajowego Planu Odbudowy i Zwiększania Odporności (KPO), Priorytet C3 Cyberbezpieczeństwo, Działanie C3.1.1 Cyberbezpieczeństwo – CyberPL, numer naboru KPOD.05.10-CW.01-001/25. Zamawiający informuje, że szacowana wartość zamówienia nie przekracza kwoty 432 000 euro, co stanowi równowartość 1 861 920 zł.

Zamawiający nie formułuje warunku w zakresie: uprawnień do wykonywania określonej działalności (pkt 6.1), potencjału technicznego (pkt 6.3) ani zdolności finansowej (pkt 6.5). Warunki są stawiane odrębnie dla każdej z 5 części zamówienia w zakresie wiedzy i doświadczenia (pkt 6.2) oraz osób zdolnych do wykonania zamówienia (pkt 6.4). Doświadczenie (pkt 6.2) – podział na części:

• Część 1 (SZBI): w okresie ostatnich 3 lat przed upływem terminu składania ofert: 2 usługi polegające na opracowaniu i wdrożeniu SZBI/SZCD w podmiocie z infrastrukturą krytyczną/operatorem usługi kluczowej albo 2 usługi wdrożenia SZBI w podmiocie sektora publicznego/regulowanego (przez wdrożenie rozumie się: analiza ryzyka, polityka bezpieczeństwa, procedury operacyjne i zarządzania incydentami, dokumentacja wdrożeniowa).
• Część 2 (Szkolenia): w okresie ostatnich 3 lat: 2 usługi szkoleniowe z zakresu cyberbezpieczeństwa/security awareness (phishing, socjotechnika, bezpieczeństwo poczty) oraz 1 usługa przeprowadzenia symulowanych testów socjotechnicznych (kampanii phishingowych) zanonimizowanym raportem.
• Część 3 (Dostawa IT): w okresie ostatnich 3 lat: 2 zamówienia dostawy + instalacji + konfiguracji infrastruktury serwerowej/sieciowej z komponentem bezpieczeństwa (firewall/UTM/NGFW lub serwery/lub urządzenia pamięci masowej) o wartości ≥ 200 000,00 PLN brutto każde, albo 1 zamówienie jak wyżej o wartości ≥ 400 000,00 PLN brutto + co najmniej 1 zamówienie wdrożenia systemu SIEM/SOAR/EDR/XDR.
• Część 4 (Dostawa OT): w okresie ostatnich 3 lat: 1 zamówienie dostawy i wdrożenia systemu klasy IDS lub monitorowania bezpieczeństwa dla sieci OT/ICS/IIoT o wartości ≥ 50 000,00 PLN brutto, albo 2 zamówienia dostawy + instalacji + konfiguracji urządzeń zabezpieczających sieci przemysłowe (OT/ICS), w tym co najmniej 1 zamówienie konfiguracji firewalla/UTM dla OT/ICS.
• Część 5 (Systemy zasilania): w okresie ostatnich 3 lat: 2 zamówienia polegające na dostawie agregatu/ów.

• Wadium: nie przewiduje się wadium w ramach postępowania
• Zabezpieczenie należytego wykonania umowy: wymagane — dowód wniesienia najpóźniej w dniu zawarcia umowy, o ile zabezpieczenie jest wymagane (szczegóły w projekcie umowy)

W zapytaniu ofertowym oraz OPZ brak jest odrębnych postanowień dotyczących podwykonawstwa poza regulacjami dotyczącymi wspólnego ubiegania się o zamówienie i polegania na zasobach podmiotów trzecich przy wykazywaniu spełniania warunków udziału. Wykonawca może wykazać dysponowanie osobami poprzez poleganie na zasobach podmiotów trzecich (§ 6.4.3, uwagi ogólne). Warunki istotnych zmian umowy zostały określone we wzorze umowy stanowiącej załącznik do Zapytania Ofertowego (Załącznik nr 5 – Projekt Umowy). Zamawiający nie zawarł w SWZ szczegółowego wykazu tych zmian — odsyła do załącznika. Ponadto zmiana któregokolwiek z ekspertów w trakcie realizacji umowy jest możliwa wyłącznie za uprzednią pisemną zgodą Zamawiającego i pod warunkiem, że nowy ekspert będzie posiadał kwalifikacje i doświadczenie nie gorsze niż te określone w Zapytaniu Ofertowym (§ 6.4.5, Wymagania dodatkowe). Wszelkie prawa majątkowe do dokumentacji, materiałów szkoleniowych, metodyk, narzędzi, szablonów i innych produktów wytworzonych przez Wykonawcę w ramach realizacji zamówienia przechodzą na Zamawiającego z chwilą podpisania Protokołu Odbioru danego produktu, bez dodatkowego wynagrodzenia. Zamawiający nabywa prawo do nieograniczonego korzystania, modyfikowania i dalszego rozpowszechniania tych materiałów na własne potrzeby (OPZ Część 1, § 10.3). Wykonawca zobowiązany jest do zapewnienia, że wszystkie materiały i narzędzia używane w projekcie są wolne od praw osób trzecich lub Wykonawca posiada do nich stosowne licencje (OPZ Część 1, § 11.1). Zamawiający zastrzega sobie prawo do przeprowadzenia wizytacji kontrolnej szkolenia przez upoważnionego przedstawiciela (OPZ Część 2.1, § 5 oraz Część 2.2, § 6). Zgodnie z art. 13 RODO, administratorem danych osobowych jest Zamawiający (Zakład Wodociągów i Kanalizacji Spółka z o.o.). Dane przetwarzane będą w celu związanym z postępowaniem o udzielenie zamówienia. Odbiorcami danych będą osoby lub podmioty, którym udostępniona zostanie dokumentacja postępowania. Dane mogą zostać udostępnione instytucjom zaangażowanym w proces realizacji KPO.

Zamawiający wymaga złożenia wraz z ofertą następujących dokumentów: Dokumenty składane z ofertą (obowiązkowe dla każdego Wykonawcy):

• Formularz ofertowy (Załącznik nr 2) — zawierający oświadczenia dotyczące braku powiązań kapitałowych, sankcyjne, DNSH
• Szczegółowa kalkulacja oferty (Załącznik nr 6)
• Wykaz wykonanych usług/dostaw (Załącznik nr 3) wraz z dowodami potwierdzającymi prawidłowe wykonanie (referencje, protokoły odbioru)
• Wykaz osób skierowanych do realizacji zamówienia (Załącznik nr 4) wraz z kopiami certyfikatów i uprawnień
• Szczegółowa oferta techniczna (Załącznik nr 7) — dotyczy części 3, 4 i 5

Zidentyfikowano jeden bezwzględny sygnał ostrzegawczy: 1. Obowiązkowa wizja lokalna z sankcją odrzucenia oferty – dla Części 5 (Systemy zasilania gwarantowanego i awaryjnego) Zamawiający wymaga odbycia wizji lokalnej przed złożeniem oferty, a jej brak skutkuje odrzuceniem oferty (pkt 21.3 ppkt i) SWZ: "Wykonawca nie odbył obowiązkowej wizji lokalnej (o ile była wymagana)"). Jest to TWARDY warunek formalny — oferta bez potwierdzenia odbycia wizji zostanie odrzucona bez merytorycznego badania.