Zakup usług audytu bezpieczeństwa, testów penetracyjnych, testów socjotechnicznych, SZBI

• Numer postępowania: OR.271.4.2026
• Typ zamówienia: usługi (zakres: audyt bezpieczeństwa, testy penetracyjne, testy socjotechniczne, opracowanie i wdrożenie SZBI, szkolenia)
• Kody CPV: 72810000-1, 72000000-5, 72150000-1
• (+ 2 pozycje — pełna treść po zalogowaniu)

• Postępowanie prowadzone w trybie podstawowym bez negocjacji na podstawie art. 275 pkt 1 ustawy Prawo zamówień publicznych.
• Szacunkowa wartość zamówienia: nie przekracza progów unijnych (poniżej 216 000 euro / 930 960,00 zł).
• (+ 2 pozycje — pełna treść po zalogowaniu)

• Termin wykonania zamówienia: do 25.09.2026 r. (całość przedmiotu zamówienia) — zapis ze SWZ (§4 pkt 1).
• Termin składania ofert (proceduralny, nie realizacyjny): 18.08.2026 r. do godz. 12:00; otwarcie ofert 18.08.2026 r. godz. 12:30. (informacja SWZ sekcja 22)
• Termin związania ofertą: do 01.09.2026 r. (sekcja 23)
• (+ 2 pozycje — pełna treść po zalogowaniu)

Poniżej zestawiono WSZYSTKIE warunki udziału określone w SWZ (art. 112 Pzp). Każdy wymóg jest cytowany zgodnie z treścią SWZ:

• Doświadczenie w testach penetracyjnych: wykonawca musi wykazać, że w okresie ostatnich 3 lat wykonał co najmniej jedną usługę obejmującą łącznie wykonanie testów penetracyjnych infrastruktury teleinformatycznej oraz testów penetracyjnych aplikacji webowej wraz z analizą zidentyfikowanych podatności, o wartości nie mniejszej niż 40 000,00 zł netto, zrealizowaną na rzecz podmiotu z sektora finansów publicznych.
• Doświadczenie w audytach KRI/UoKSC: wykonawca musi wykazać, że w okresie ostatnich 3 lat wykonał co najmniej jedną usługę obejmującą przeprowadzenie audytu zgodności z Krajowymi Ramami Interoperacyjności lub audytu zgodności z ustawą o krajowym systemie cyberbezpieczeństwa wraz z analizą ryzyka, obejmującą w ramach jednego zamówienia co najmniej 6 jednostek organizacyjnych, o wartości nie mniejszej niż 20 000,00 zł netto, zrealizowaną na rzecz podmiotu z sektora finansów publicznych.
• Doświadczenie w SZBI: wykonawca musi wykazać, że w okresie ostatnich 3 lat wykonał co najmniej jedną usługę obejmującą opracowanie i wdrożenie dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji zgodnego z normą PN-EN ISO/IEC 27001, o wartości nie mniejszej niż 30 000,00 zł netto.
• Doświadczenie w szkoleniach: wykonawca musi wykazać, że w okresie ostatnich 3 lat przeprowadził co najmniej pięć szkoleń z zakresu cyberbezpieczeństwa na rzecz pięciu różnych jednostek samorządu terytorialnego, przy czym w każdym ze szkoleń uczestniczyło nie mniej niż 20 osób, oraz co najmniej trzy szkolenia specjalistyczne dla administratorów systemów teleinformatycznych w jednostkach samorządu terytorialnego, każde o wymiarze nie mniejszym niż 8 godzin szkoleniowych.
• Zespół kadrowy — Audytorzy: wykonawca musi dysponować co najmniej dwoma Audytorami bezpieczeństwa, z których każdy posiada co najmniej 3-letnie doświadczenie w prowadzeniu audytów bezpieczeństwa informacji uwzględniających wymagania normy ISO/IEC 27001 lub KRI oraz udział w co najmniej dwóch zakończonych zadaniach audytowych, oraz posiada co najmniej jeden z certyfikatów wymienionych w załączniku do rozporządzenia Ministra Cyfryzacji z dnia 12 października 2018 r. albo certyfikat równoważny.
• Zespół kadrowy — Pentesterzy: wykonawca musi dysponować co najmniej dwoma Pentesterami (różnymi od Audytorów), z których każda osoba posiada co najmniej 3-letnie doświadczenie w wykonywaniu testów bezpieczeństwa technicznego, uczestnictwo w co najmniej trzech projektach obejmujących testy penetracyjne aplikacji webowych i infrastruktury (z czego co najmniej jeden dla podmiotu z sektora finansów publicznych), każda posiada certyfikat OSCP albo równoważny, a co najmniej jedna z tych osób brała udział w co najmniej dwóch projektach obejmujących testy socjotechniczne na próbie nie mniejszej niż 80 osób; dodatkowo co najmniej jedna z tych osób posiada certyfikat OSEP albo równoważny.
• Zespół kadrowy — Trenerzy: wykonawca musi dysponować co najmniej dwoma Trenerami bezpieczeństwa (można łączyć z Audytorem/Pentesterem), z których każdy przeprowadził co najmniej pięć szkoleń z obszaru cyberbezpieczeństwa dedykowanych jednostkom administracji publicznej, w tym co najmniej dwa szkolenia dotyczące funkcjonowania SZBI; szkolenia dla poszczególnych trenerów nie mogą się powielać.
• System zarządzania bezpieczeństwem informacji wykonawcy: wykonawca musi posiadać wdrożony i certyfikowany system zarządzania bezpieczeństwem informacji zgodny z PN-EN ISO/IEC 27001, obejmujący swoim zakresem świadczenie usług z zakresu cyberbezpieczeństwa lub usług informatycznych (certyfikat wydany dla podmiotu). Certyfikat musi być wydany przez jednostkę certyfikującą akredytowaną przez Polskie Centrum Akredytacji lub równoważną jednostkę EOG (EA MLA).
• (+ 9 pozycji — pełna treść po zalogowaniu)

• zabezpieczenie należytego wykonania umowy: Zamawiający nie wymaga wniesienia zabezpieczenia należytego wykonania umowy.
• wadium: Zamawiający nie żąda wniesienia wadium.
• (+ 1 pozycja — pełna treść po zalogowaniu)

Podwykonawstwo: Zamawiający zastrzega osobiste wykonanie kluczowych zadań przez wykonawcę: testy penetracyjne, testy socjotechniczne, audyt zgodności z KRI i audyt zgodności z ustawą o krajowym systemie cyberbezpieczeństwa, oraz opracowanie dokumentacji SZBI i analizy ryzyka. W pozostałym zakresie wykonawca może powierzyć prace podwykonawcom. W ofercie należy wskazać części zamówienia przewidziane do przekazania podwykonawcom oraz ich nazwy, jeśli znane — zgodnie z art. 462 ust. 2 Pzp. Powierzenie nie zwalnia wykonawcy z odpowiedzialności za wykonanie. (Źródło: SWZ — rozdz. 5, s. 6) Zmiany umowy: Zamawiający przewiduje możliwość zmian umowy na zasadach wskazanych w projektowanych postanowieniach umowy i art. 455 ustawy Pzp. Złożenie oferty oznacza akceptację projektu umowy. (Źródło: SWZ — rozdz. 25, s. 26) Audyt i retesty: Wykonawca zobowiązany do przeprowadzenia audytów (KRI, UoKSC, sieci/serwery) oraz retestów weryfikujących usunięcie zidentyfikowanych podatności. Testy penetracyjne mają być ręczne i zgodne z metodologiami OWASP ASVS 4.0.3 Level 2 oraz PTES/Penetration Testing Framework; skanowanie znanych podatności narzędziami (np. Nessus, Greenbone) jest dozwolone wyłącznie jako element identyfikacji podatności, nie zastępuje ręcznego pentestu. Wykonawca ma kontaktować się z dostawcami testowanych systemów i wykonywać retesty po usunięciu podatności. (Źródło: OPZ — rozdz. (+ 18 zdań — pełna treść po zalogowaniu)

• Formularz ofertowy — Załącznik nr 1
• Wykaz elementów ICT — Załącznik nr 2
• Oświadczenie o niepodleganiu wykluczeniu i spełnianiu warunków udziału (art. 125 ust. 1) — Załącznik nr 3
• Wykaz usług wraz z dowodami należytego wykonania — Załącznik nr 7
• Wykaz osób — Załącznik nr 8
• (+ 5 pozycji — pełna treść po zalogowaniu)