Zakup usługi konsultacyjnej dla certyfikacji ISO 27001, SOC-2 oraz GDPR, wraz z audytami

• Numer postępowania: SMART/1/08/2026 (zapytanie ofertowe)
• Typ zamówienia: usługi (konsulting, audyty, dostawa oprogramowania)
• CPV: 79212000-3, 48000000-8, 72220000-3
• (+ 2 pozycje — pełna treść po zalogowaniu)

Nazwa: Evidence Prime Sp. z o.o.
Adres siedziby: ul. Tadeusza Kościuszki 32/1, 30-105 Kraków
NIP: 6772419788 (+ 4 zdania — pełna treść po zalogowaniu)

Tryb postępowania: zapytanie ofertowe.

Uzasadnienie trybu: Postępowanie prowadzone jest zgodnie z zasadą konkurencyjności wynikającą z Wytycznych dotyczących kwalifikowalności wydatków na lata 2021-2027; dokument SWZ wskazuje charakter prawny jako Postępowanie prowadzone w trybie zapytania ofertowego (brak wskazania trybu otwartego ani przetargu).

**Czy stosuje się ustawa Pzp art. (+ 3 zdania — pełna treść po zalogowaniu)

Termin składania ofert: 17.08.2026 (za termin wpływu oferty uznaje się wpływ przez wskazaną stronę).
Dostęp do platformy GRC i wsparcie konsultantów: nieprzerwanie od dnia podpisania umowy do 30.09.2027 (aktualna data zakończenia projektu). (+ 2 zdania — pełna treść po zalogowaniu)

Poniżej zestawiono wszystkie warunki udziału, które Wykonawca musi spełnić, aby móc przystąpić do postępowania (zdolności/mocne strony wymagane przez Zamawiającego):

• Doświadczenie: Wykonawca (lub podmiot wyznaczony do realizacji doradztwa i audytów) musi wykazać się doświadczeniem w wdrażaniu i audytowaniu standardów ISO 27001, SOC 2 oraz GDPR w organizacjach działających w modelu SaaS, potwierdzonym referencjami od co najmniej 3 różnych klientów w ciągu ostatnich 3 lat.
• Akredytacje audytorów: Podmiot bezpośrednio przeprowadzający dany audyt (Wykonawca lub jego podwykonawca) musi posiadać: ważną akredytację wydaną przez Polskie Centrum Akredytacji (PCA) lub równoważną jednostkę dla obszaru ISO 27001, oraz status licencjonowanej firmy audytorskiej CPA/AICPA dla obszaru SOC 2.
• System GRC — wymagania techniczne: Oferowana platforma GRC musi umożliwiać integrację z infrastrukturą chmurową (np. Azure, AWS) za pomocą API, automatycznie pobierać dowody audytowe (evidence collection) oraz posiadać prekonfigurowane mapowanie mechanizmów kontrolnych pod standardy ISO 27001, SOC 2 oraz GDPR, co musi być potwierdzone opisem techniczno‑funkcjonalnym platformy.
• (+ 3 pozycje — pełna treść po zalogowaniu)

Kryteria oceny ofert i wagi (zgodnie z SWZ):

• Cena netto — 100% (waga: 100). (+ 1 zdanie — pełna treść po zalogowaniu)

Podwykonawstwo: Zamawiający dopuszcza angażowanie podwykonawców w realizację audytów, przy czym Wykonawca pozostaje w pełni odpowiedzialny za organizację i koordynację audytów oraz musi dołączyć do oferty oświadczenie wskazujące podmioty, które przeprowadzą poszczególne audyty wraz z kopią aktualnego certyfikatu akredytacji ISO oraz dokumentu potwierdzającego status CPA/AICPA — zob. pkt 3.4.4 i 3.5.1.

Zmiany umowy: Zamawiający przewiduje możliwość wprowadzenia zmian umowy w przypadkach m.in. niedostępności materiałów, pojawienia się nowszych rozwiązań, siły wyższej, zawieszenia realizacji przez Zamawiającego oraz zmian prawa; zmiany nie mogą stanowić podstawy do zwiększenia wynagrodzenia (z wyjątkami np. zmiana stawki VAT) i muszą być dokonywane w formie pisemnych aneksów — zob. pkt 10.1–10.3.

Audyt i akredytacje: Podmiot przeprowadzający audyt ISO 27001 musi posiadać akredytację PCA lub równoważną; dla SOC 2 wymagany jest status licencjonowanej firmy CPA zrzeszonej w AICPA. Wykonawca musi dołączyć dokumenty potwierdzające te uprawnienia w ofercie — zob. pkt 3.4.4 i 3.5.1.

Własność intelektualna: Wykonawca oświadcza, że realizacja obowiązków nie naruszy praw osób trzecich, w szczególności praw własności intelektualnej oraz że przedmiot umowy będzie wolny od wad prawnych — zob. pkt 9.1–9.2. (+ 4 zdania — pełna treść po zalogowaniu)

• formularz oferty (załącznik nr 2)
• oświadczenie o braku powiązań osobowych lub kapitałowych
• oświadczenie o niepodleganiu sankcjom (załącznik nr 3)
• (+ 3 pozycje — pełna treść po zalogowaniu)