Z11/2026/ZO/BLZ. Świadczenie usługi w zakresie wykonania testów penetracyjnych infrastruktury sieciowej IT, OT ICS oraz IIoT realizowana w ramach projektu pn. "Cyberbezpieczne Wodociągi Wzmocnienie poziomu cyberbezpieczeństwa w Miejskich Wodociągach i Oczyszczalni sp. z o.o. w Grudziądzu”

Postępowanie prowadzone jest w trybie zapytania ofertowego. Jest to zamówienie publiczne, którego wartość nie przekracza progów unijnych, w związku z czym do jego udzielania nie stosuje się przepisów ustawy z dnia 11 września 2019 r. – Prawo zamówień publicznych. Zamówienie udzielane jest na podstawie wewnętrznego Regulaminu udzielania zamówień o wartości poniżej kwoty 170 000 złotych (Zarządzenie wewnętrzne Nr 5/2021 Zarządu MWiO sp. z o.o., zmienione Aneksem nr 6 z dnia 06 marca 2026 r.) oraz zgodnie z „Zasadą konkurencyjności" określoną w wytycznych dla inwestycji C3.1.1 KPO. Zamawiający nie dopuszcza składania ofert częściowych ani wariantowych. Nie przewiduje zawarcia umowy ramowej ani rozliczeń w walutach obcych.

Brak danych — w dokumencie nie podano wartości szacunkowej zamówienia ani budżetu, jaki Zamawiający przeznaczył na sfinansowanie zamówienia. Nie wskazano również, czy kwota ta przekracza próg 170 000 zł.

• Wynagrodzenie ma charakter ryczałtowy (Dział XVIII SWZ), a cena oferty musi być wyrażona w PLN. Wszelkie rozliczenia będą dokonywane w złotych polskich (Dział II pkt 13 SWZ).

a) Wiedza i doświadczenie Wykonawca musi wykazać, że w okresie ostatnich 3 lat przed upływem terminu składania ofert (a jeśli okres prowadzenia działalności jest krótszy – w tym okresie) wykonał co najmniej 5 (pięć) usług w zakresie przeprowadzenia testów penetracyjnych, wraz z podaniem rodzaju, daty, miejsca wykonania i podmiotów, na rzecz których usługi zostały wykonane, oraz załączeniem dowodów potwierdzających ich należyte wykonanie. b) Potencjał techniczny i osoby zdolne do wykonania zamówienia Wykonawca musi dysponować co najmniej 2 (dwiema) osobami zdolnymi do wykonania zamówienia, posiadającymi:

• minimum 2-letnie doświadczenie w zakresie przeprowadzania testów penetracyjnych infrastruktury sieciowej IT, OT ICS oraz IIoT;
• ważne certyfikaty:
• co najmniej 1 osoba z certyfikatem OSCP lub GPEN (infrastruktura IT),
• OSWE lub BSCP (aplikacje webowe),
• co najmniej 1 osoba z certyfikatem OSWP lub równoważnym (sieci bezprzewodowe). Certyfikaty mogą być rozproszone w zespole. W przypadku wykonawców wspólnie ubiegających się o zamówienie, warunek musi spełniać przynajmniej jeden z nich. Zamawiający wykluczy Wykonawcę m.in. w przypadku:
• skazania prawomocnym wyrokiem za określone przestępstwa (art. 258, 189a, 228–230a, 250a Kodeksu karnego i inne);
• zalegania z podatkami, opłatami lub składkami na ubezpieczenie społeczne/zdrowotne;
• wydania prawomocnego zakazu ubiegania się o zamówienia publiczne;
• porozumienia z innymi wykonawcami mającego na celu zakłócenie konkurencji;
• otwarcia likwidacji, ogłoszenia upadłości;

Kryterium „Cena oferty” (C) – waga 100%. Zamawiający przyznaje punkty wyłącznie na podstawie łącznej ceny brutto oferty za realizację całego przedmiotu zamówienia. Sposób obliczenia: C = (Cn / Cb) × 100, gdzie Cn to najniższa cena spośród wszystkich ofert, a Cb to cena badanej oferty. Maksymalna liczba punktów w kryterium równa jest jego wadze procentowej (100 pkt).

Zgodnie z § 6 wzoru umowy, kara za opóźnienie w wykonaniu przedmiotu umowy wynosi 0,1% wynagrodzenia ryczałtowego brutto za każdy dzień opóźnienia. Kary za odstąpienie od umowy (zarówno przez Zamawiającego z winy Wykonawcy, jak i przez Wykonawcę z jego winy) wynoszą po 10% wynagrodzenia ryczałtowego brutto. Łączna maksymalna wysokość kar umownych nie może przekroczyć 30% wynagrodzenia brutto. Niezależnie od kar umownych Zamawiający może dochodzić odszkodowania uzupełniającego do wysokości rzeczywiście poniesionej szkody, jednak nie więcej niż wartość umowy. Wszelkie spory strony będą dążyć do rozstrzygnięcia polubownie.

Podwykonawcy: Zamawiający nie dopuszcza udziału podwykonawców w realizacji przedmiotu zamówienia. Wykonawca nie może powoływać się na zasoby podmiotów udostępniających zasoby ani powierzać wykonania części zamówienia podwykonawcom mającym siedzibę poza UE/EOG (Dział X, Dział IX pkt 9). Prawa autorskie: Z chwilą podpisania protokołu odbioru końcowego Wykonawca przenosi na Zamawiającego wszelkie autorskie prawa majątkowe do wszystkich utworów wytworzonych w trakcie realizacji zamówienia (w tym raportu), bez ograniczeń co do terytorium, czasu i liczby egzemplarzy, na wszystkich polach eksploatacji. Wykonawca udziela również nieodpłatnego i bezterminowego zezwolenia na wykonywanie praw zależnych (§ 7 wzoru umowy). Poufność i bezpieczeństwo: Wykonawca zobowiązany jest do zachowania w ścisłej poufności wszelkich informacji technicznych, organizacyjnych i technologicznych dotyczących infrastruktury Zamawiającego. Warunkiem przystąpienia do prac jest podpisanie umowy o zachowaniu poufności oraz odpowiedzialności cywilnoprawnej za poniesione szkody. Każdorazowy dostęp do miejsc ograniczonego dostępu musi być rejestrowany (Dział XXVI pkt 7–8, § 12 pkt 8–9 wzoru umowy). Zmiana umowy: Zmiany wymagają zachowania formy pisemnej lub elektronicznej pod rygorem nieważności.

Wykonawca zobowiązany jest złożyć wraz z ofertą następujące dokumenty:

1. Formularz ofertowy – według wzoru stanowiącego Załącznik nr 1 do zapytania ofertowego.
2. Oświadczenie o spełnianiu warunków udziału w postępowaniu oraz o braku podstaw do wykluczenia – według wzoru stanowiącego Załącznik nr 2.
3. Oświadczenie o przynależności do grupy kapitałowej (lub braku przynależności) – według wzoru stanowiącego Załącznik nr 3.
4. Wykaz usług – według wzoru stanowiącego Załącznik nr 4, wraz z dowodami (np. referencje) potwierdzającymi należyte wykonanie co najmniej 5 usług testów penetracyjnych w okresie ostatnich 3 lat.
5. Wykaz osób – według wzoru stanowiącego Załącznik nr 5, zawierający co najmniej 2 osoby zdolne do wykonania zamówienia, wraz z dokumentami potwierdzającymi ich kwalifikacje (certyfikaty OSCP/GPEN, OSWE/BSCP, OSWP lub równoważne).
6. Klauzula informacyjna KPO – według wzoru stanowiącego Załącznik nr 7.
7. Pełnomocnictwo – do podpisania oferty (jeśli dotyczy).
8. Dokument ustanawiający pełnomocnika – w przypadku oferty składanej przez Wykonawców wspólnie ubiegających się o zamówienie.

Brak opublikowanych pytań i odpowiedzi. Dokument SWZ nie zawiera ani treści pytań wykonawców, ani udzielonych przez zamawiającego odpowiedzi.

Zidentyfikowane sygnały ostrzegawcze:

• Wadium w kwocie 590,00 zł — przy zamówieniu o wartości poniżej 170 000 zł (podprogowym) żądanie wadium pieniężnego może być obciążające dla mikro- i małych wykonawców (s. 17).
• Brak możliwości składania ofert częściowych — Zamawiający podał trzystopniowe uzasadnienie (funkcjonalne, czasowe, podmiotowe), jednak obligatoryjna realizacja całości przez jednego wykonawcę podnosi barierę wejścia dla mniejszych, wyspecjalizowanych podmiotów (s. 3–4).
• Wysokie wymagania kadrowe — wymóg min. 2 osób z min. 2-letnim doświadczeniem w testach IT, OT ICS i IIoT oraz posiadaniem certyfikatów OSCP/GPEN, OSWE/BSCP i OSWP (lub równoważnych) — kumulacja certyfikatów w jednym zespole może znacząco ograniczać liczbę potencjalnych wykonawców (s. 9).
• Brak podwykonawstwa — całkowity zakaz angażowania podwykonawców eliminuje możliwość uzupełnienia kompetencji zespołu (s. 16).
• Ograniczenie terytorialne — oferenci mogą mieć siedzibę wyłącznie w UE, EOG lub państwach, z którymi UE/RP zawarła umowę o równym traktowaniu, co wyklucza wykonawców spoza tego obszaru (s. 13).