Świadczenie usługi w zakresie wykonania testów penetracyjnych infrastruktury sieciowej

Numer referencyjny postępowania: Z11/2026/ZO/BLZ
Rodzaj zamówienia: Usługa
Klasyfikacja CPV: 72800000-8 – Usługi audytu komputerowego i testowania komputerów; 72810000-1 – Usługi audytu komputerowego (+ 3 zdania — pełna treść po zalogowaniu)

Zamawiający: Miejskie Wodociągi i Oczyszczalnia sp. z o.o.
Adres: ul. Mickiewicza 28/30, 86-300 Grudziądz
NIP: 876-18-72-491 | Regon: 870485618 | KRS: 0000010351
Kapitał zakładowy: 83 116 500,00 zł
Nr BDO: 000024196 (+ 6 zdań — pełna treść po zalogowaniu)

Postępowanie prowadzone jest w trybie zapytania ofertowego. Jest to zamówienie publiczne, którego wartość nie przekracza progów unijnych, w związku z czym do jego udzielania nie stosuje się przepisów ustawy z dnia 11 września 2019 r. – Prawo zamówień publicznych. Zamówienie udzielane jest na podstawie wewnętrznego Regulaminu udzielania zamówień o wartości poniżej kwoty 170 000 złotych (Zarządzenie wewnętrzne Nr 5/2021 Zarządu MWiO sp. z o.o., zmienione Aneksem nr 6 z dnia 06 marca 2026 r.) oraz zgodnie z „Zasadą konkurencyjności" określoną w wytycznych dla inwestycji C3.1.1 KPO. Zamawiający nie dopuszcza składania ofert częściowych ani wariantowych. Nie przewiduje zawarcia umowy ramowej ani rozliczeń w walutach obcych. (+ 4 zdania — pełna treść po zalogowaniu)

Brak danych — w dokumencie nie podano wartości szacunkowej zamówienia ani budżetu, jaki Zamawiający przeznaczył na sfinansowanie zamówienia. Nie wskazano również, czy kwota ta przekracza próg 170 000 zł.

• Wynagrodzenie ma charakter ryczałtowy (Dział XVIII SWZ), a cena oferty musi być wyrażona w PLN. Wszelkie rozliczenia będą dokonywane w złotych polskich (Dział II pkt 13 SWZ).
• (+ 2 pozycje — pełna treść po zalogowaniu)

a) Wiedza i doświadczenie

Wykonawca musi wykazać, że w okresie ostatnich 3 lat przed upływem terminu składania ofert (a jeśli okres prowadzenia działalności jest krótszy – w tym okresie) wykonał co najmniej 5 (pięć) usług w zakresie przeprowadzenia testów penetracyjnych, wraz z podaniem rodzaju, daty, miejsca wykonania i podmiotów, na rzecz których usługi zostały wykonane, oraz załączeniem dowodów potwierdzających ich należyte wykonanie.

b) Potencjał techniczny i osoby zdolne do wykonania zamówienia

Wykonawca musi dysponować co najmniej 2 (dwiema) osobami zdolnymi do wykonania zamówienia, posiadającymi:

• minimum 2-letnie doświadczenie w zakresie przeprowadzania testów penetracyjnych infrastruktury sieciowej IT, OT ICS oraz IIoT;
• ważne certyfikaty:
• co najmniej 1 osoba z certyfikatem OSCP lub GPEN (infrastruktura IT),
• OSWE lub BSCP (aplikacje webowe),
• co najmniej 1 osoba z certyfikatem OSWP lub równoważnym (sieci bezprzewodowe).

Certyfikaty mogą być rozproszone w zespole. W przypadku wykonawców wspólnie ubiegających się o zamówienie, warunek musi spełniać przynajmniej jeden z nich.

Zamawiający wykluczy Wykonawcę m.in. w przypadku:

• skazania prawomocnym wyrokiem za określone przestępstwa (art. 258, 189a, 228–230a, 250a Kodeksu karnego i inne);
• zalegania z podatkami, opłatami lub składkami na ubezpieczenie społeczne/zdrowotne;
• wydania prawomocnego zakazu ubiegania się o zamówienia publiczne;
• porozumienia z innymi wykonawcami mającego na celu zakłócenie konkurencji;
• otwarcia likwidacji, ogłoszenia upadłości;
• (+ 16 pozycji — pełna treść po zalogowaniu)

Kryterium „Cena oferty” (C) – waga 100%. Zamawiający przyznaje punkty wyłącznie na podstawie łącznej ceny brutto oferty za realizację całego przedmiotu zamówienia. Sposób obliczenia: C = (Cn / Cb) × 100, gdzie Cn to najniższa cena spośród wszystkich ofert, a Cb to cena badanej oferty. Maksymalna liczba punktów w kryterium równa jest jego wadze procentowej (100 pkt). Punkty zaokrągla się do drugiego miejsca po przecinku.

Kryteria dodatkowe/zastrzeżone: Zamawiający nie stosuje innych kryteriów oceny ofert poza ceną. (+ 6 zdań — pełna treść po zalogowaniu)

Zgodnie z § 6 wzoru umowy, kara za opóźnienie w wykonaniu przedmiotu umowy wynosi 0,1% wynagrodzenia ryczałtowego brutto za każdy dzień opóźnienia. Kary za odstąpienie od umowy (zarówno przez Zamawiającego z winy Wykonawcy, jak i przez Wykonawcę z jego winy) wynoszą po 10% wynagrodzenia ryczałtowego brutto.

Łączna maksymalna wysokość kar umownych nie może przekroczyć 30% wynagrodzenia brutto. Niezależnie od kar umownych Zamawiający może dochodzić odszkodowania uzupełniającego do wysokości rzeczywiście poniesionej szkody, jednak nie więcej niż wartość umowy.

Wszelkie spory strony będą dążyć do rozstrzygnięcia polubownie. (+ 5 zdań — pełna treść po zalogowaniu)

Podwykonawcy: Zamawiający nie dopuszcza udziału podwykonawców w realizacji przedmiotu zamówienia. Wykonawca nie może powoływać się na zasoby podmiotów udostępniających zasoby ani powierzać wykonania części zamówienia podwykonawcom mającym siedzibę poza UE/EOG (Dział X, Dział IX pkt 9).

Prawa autorskie: Z chwilą podpisania protokołu odbioru końcowego Wykonawca przenosi na Zamawiającego wszelkie autorskie prawa majątkowe do wszystkich utworów wytworzonych w trakcie realizacji zamówienia (w tym raportu), bez ograniczeń co do terytorium, czasu i liczby egzemplarzy, na wszystkich polach eksploatacji. Wykonawca udziela również nieodpłatnego i bezterminowego zezwolenia na wykonywanie praw zależnych (§ 7 wzoru umowy).

Poufność i bezpieczeństwo: Wykonawca zobowiązany jest do zachowania w ścisłej poufności wszelkich informacji technicznych, organizacyjnych i technologicznych dotyczących infrastruktury Zamawiającego. Warunkiem przystąpienia do prac jest podpisanie umowy o zachowaniu poufności oraz odpowiedzialności cywilnoprawnej za poniesione szkody. Każdorazowy dostęp do miejsc ograniczonego dostępu musi być rejestrowany (Dział XXVI pkt 7–8, § 12 pkt 8–9 wzoru umowy).

Zmiana umowy: Zmiany wymagają zachowania formy pisemnej lub elektronicznej pod rygorem nieważności. Zmiana danych adresowych nie wymaga zmiany umowy, o ile Strona poinformuje o niej drugą Stronę (§ 8 wzoru umowy).

Kontrola zewnętrzna: Wykonawca zobowiązany jest poddać się kontrolom, wizytom monitorującym i audytom przeprowadzanym przez CPPC, MFIPR, Komisję Europejską, ETO, OLAF oraz Prokuraturę Europejską (EPPO). (+ 9 zdań — pełna treść po zalogowaniu)

Wykonawca zobowiązany jest złożyć wraz z ofertą następujące dokumenty:

1. Formularz ofertowy – według wzoru stanowiącego Załącznik nr 1 do zapytania ofertowego.

2. Oświadczenie o spełnianiu warunków udziału w postępowaniu oraz o braku podstaw do wykluczenia – według wzoru stanowiącego Załącznik nr 2.

3. Oświadczenie o przynależności do grupy kapitałowej (lub braku przynależności) – według wzoru stanowiącego Załącznik nr 3.

4. Wykaz usług – według wzoru stanowiącego Załącznik nr 4, wraz z dowodami (np. referencje) potwierdzającymi należyte wykonanie co najmniej 5 usług testów penetracyjnych w okresie ostatnich 3 lat.

5. Wykaz osób – według wzoru stanowiącego Załącznik nr 5, zawierający co najmniej 2 osoby zdolne do wykonania zamówienia, wraz z dokumentami potwierdzającymi ich kwalifikacje (certyfikaty OSCP/GPEN, OSWE/BSCP, OSWP lub równoważne).

6. Klauzula informacyjna KPO – według wzoru stanowiącego Załącznik nr 7.

7. Pełnomocnictwo – do podpisania oferty (jeśli dotyczy).

8. Dokument ustanawiający pełnomocnika – w przypadku oferty składanej przez Wykonawców wspólnie ubiegających się o zamówienie.

• (+ 8 pozycji — pełna treść po zalogowaniu)

Brak opublikowanych pytań i odpowiedzi. Dokument SWZ nie zawiera ani treści pytań wykonawców, ani udzielonych przez zamawiającego odpowiedzi. (+ 1 zdanie — pełna treść po zalogowaniu)

Zidentyfikowane sygnały ostrzegawcze:

• Wadium w kwocie 590,00 zł — przy zamówieniu o wartości poniżej 170 000 zł (podprogowym) żądanie wadium pieniężnego może być obciążające dla mikro- i małych wykonawców (s. 17).
• Brak możliwości składania ofert częściowych — Zamawiający podał trzystopniowe uzasadnienie (funkcjonalne, czasowe, podmiotowe), jednak obligatoryjna realizacja całości przez jednego wykonawcę podnosi barierę wejścia dla mniejszych, wyspecjalizowanych podmiotów (s. 3–4).
• Wysokie wymagania kadrowe — wymóg min. 2 osób z min. 2-letnim doświadczeniem w testach IT, OT ICS i IIoT oraz posiadaniem certyfikatów OSCP/GPEN, OSWE/BSCP i OSWP (lub równoważnych) — kumulacja certyfikatów w jednym zespole może znacząco ograniczać liczbę potencjalnych wykonawców (s. 9).
• Brak podwykonawstwa — całkowity zakaz angażowania podwykonawców eliminuje możliwość uzupełnienia kompetencji zespołu (s. 16).
• Ograniczenie terytorialne — oferenci mogą mieć siedzibę wyłącznie w UE, EOG lub państwach, z którymi UE/RP zawarła umowę o równym traktowaniu, co wyklucza wykonawców spoza tego obszaru (s. 13).
• (+ 6 pozycji — pełna treść po zalogowaniu)