Zakup usługi monitorowania SOC (Security Operation Center) oraz wdrożenie Systemu

Zamawiający potwierdza, że w ramach wymogu posiadania „akredytacji Trusted Introducer lub równoważnej” za rozwiązanie równoważne uzna wykazanie przez Wykonawcę łącznie poniższych przesłanek: 1. procedury obsługi incydentów, triażu oraz eskalacji w oferowanym zespole SOC/CSIRT są zmapowane i wdrożone zgodnie z ENISA CSIRT Maturity Framework (opartym na modelu SIM3), przy czym Wykonawca zobowiązany jest wykazać osiągnięty poziom dojrzałości operacyjnej (co najmniej poziom 3 wg skali SIM3) i przedłożyć dokumentację z przeprowadzonej samooceny lub oceny zewnętrznej; 2. zespół SOC/CSIRT funkcjonuje w oparciu o opublikowany, ogólnodostępny dokument operacyjny sporządzony zgodnie z RFC 2350, opisujący zakres, zasady działania i dane kontaktowe. Za rozwiązanie równoważne Zamawiający uzna również aktywne członkostwo w organizacji FIRST (Forum of Incident Response and Security Teams) potwierdzające spełnienie wymagań dla pełnoprawnego członka. Wykonawca, który oferuje rozwiązanie równoważne, zobowiązany jest złożyć wraz z ofertą stosowne oświadczenie wskazujące na rodzaj i zakres rozwiązania równoważnego oraz przedłożyć dokumentację potwierdzającą jego zastosowanie.

Zamawiający wyjaśnia, że wymóg posiadania certyfikatu ISO 22301 dotyczy posiadania przez Wykonawcę wdrożonego i certyfikowanego Systemu Zarządzania Ciągłością Działania (BCMS). Zamawiający, uwzględniając zasadę proporcjonalności, uczciwej konkurencji oraz art. 101 ust. 5 ustawy PZP, dopuszcza wykazanie spełnienia tego wymagania w drodze przedstawienia rozwiązania równoważnego. Za rozwiązanie równoważne Zamawiający uzna systemowe podejście do zarządzania ciągłością działania dla usługi SOC, obejmujące łącznie spełnienie wszystkich poniższych warunków: a) posiadanie i stosowanie aktualnej, formalnej dokumentacji Planu Ciągłości Działania (BCP) oraz Planu Odtwarzania po Awarii (DRP) dedykowanej dla usługi SOC, zawierającej co najmniej: analizę wpływu na działalność (Business Impact Analysis – BIA) dla usługi SOC, zdefiniowane strategie odtwarzania i procedury eskalacji, plan testowania ciągłości działania; b) udokumentowane wyniki przeprowadzonego testu lub próby BCP/DRP (symulacja lub rzeczywiste ćwiczenie) w ciągu ostatnich 12 miesięcy; c) wdrożone mechanizmy technicznej wysokiej dostępności (HA) infrastruktury SOC (redundancja, failover), gwarantujące utrzymanie parametrów SLA określonych w SWZ oraz OPZ; d) oświadczenie Wykonawcy potwierdzające zdolność do utrzymania ciągłości świadczenia usługi SOC w trybie 24/7/365, nawet w przypadku wystąpienia awarii krytycznej. Wykonawca oferujący rozwiązanie równoważne zobowiązany jest złożyć wraz z ofertą oświadczenie o zastosowaniu rozwiązania równoważnego oraz przedłożyć dokumenty wymienione w pkt a) - d). Powyższe nie zwalnia Wykonawcy z obowiązku zapewnienia ciągłości świadczenia usługi na poziomie wymaganym w SWZ.

Zamawiający nie przychyla się do wniosku Wykonawcy o zmianę postanowienia VII.1.2 lit. d) iii) SWZ w sposób zaproponowany we wniosku. Jednocześnie Zamawiający rozszerza katalog rozwiązań równoważnych o dodatkową ścieżkę, o której mowa w pkt 2 poniżej. 1. Brak podstaw do zmiany charakteru warunku udziału. Warunek posiadania akredytacji Trusted Introducer lub rozwiązania równoważnego weryfikuje dojrzałość operacyjną całego zespołu SOC/CSIRT — strukturę organizacyjną, procedury obsługi incydentów, zasady eskalacji i zdolność do współpracy w ekosystemie cyberbezpieczeństwa. Zamawiający jest podmiotem leczniczym działającym w obszarze objętym dyrektywą NIS2, co uzasadnia wymaganie potwierdzonego, weryfikowalnego poziomu dojrzałości operacyjnej. Kryteria zaproponowane przez Wykonawcę dotyczą wyłącznie funkcjonalności dostarczania wskaźników IoC i nie są substytucyjne wobec weryfikacji zdolności organizacyjno-operacyjnych SOC jako całości. 2. Rozszerzenie katalogu rozwiązań równoważnych. Zamawiający, uwzględniając zasadę proporcjonalności i uczciwej konkurencji (art. 16 Pzp), uzupełnia katalog rozwiązań równoważnych wskazanych w odpowiedziach z dnia 20 maja 2026 r. o następującą ścieżkę: Za rozwiązanie równoważne Zamawiający uzna wykazanie przez Wykonawcę łącznie poniższych przesłanek: 1. przeprowadzenie w ciągu ostatnich 24 miesięcy audytu zdolności operacyjnych zespołu SOC/CSIRT przez niezależny podmiot zewnętrzny posiadający certyfikat ISO/IEC 27001 w zakresie usług bezpieczeństwa, obejmującego co najmniej: strukturę i procedury reagowania na incydenty, procesy triażu i eskalacji, zdolność do pracy ciągłej 24/7/365 oraz mechanizmy współpracy z zewnętrznymi podmiotami bezpieczeństwa; 2. udokumentowane wyniki tego audytu potwierdzające dojrzałość operacyjną zespołu SOC na poziomie co najmniej równoważnym poziomowi 3 wg skali SIM3; 3. funkcjonowanie zespołu SOC/CSIRT w oparciu o opublikowany, ogólnodostępny dokument operacyjny sporządzony zgodnie z RFC 2350. Wykonawca oferujący to rozwiązanie równoważne zobowiązany jest złożyć wraz z ofertą oświadczenie wskazujące na rodzaj i zakres rozwiązania równoważnego oraz dokumentację potwierdzającą spełnienie powyższych przesłanek (w tym raport z audytu lub jego streszczenie z wnioskami końcowymi). 3. Wymagania dotyczące IoC są uregulowane w OPZ. Zamawiający potwierdza, że kryteria z zakresu threat intelligence, pozyskiwania i dystrybucji wskaźników IoC, integracji w standardach STIX/TAXII/MISP oraz parametry SLA w tym zakresie zostały odrębnie i szczegółowo określone w Opisie Przedmiotu Zamówienia (Załącznik nr 9B do SWZ). Stanowią one samodzielne wymagania funkcjonalne podlegające ocenie w ramach oferty i nie są tożsame z warunkiem udziału w postępowaniu dotyczącym zdolności organizacyjno-operacyjnych. 4. Transparentność kryteriów równoważności. Łącznie z doprecyzowaniem zawartym w odpowiedziach z dnia 20 maja 2026 r. oraz niniejszym rozszerzeniem Zamawiający zapewnił obiektywne, mierzalne i weryfikowalne…

Zamawiający uwzględnia wniosek i dopuszcza certyfikat CISA (Certified Information Systems Auditor) jako równoważny wobec certyfikatu CompTIA CySA+ dla Kierownika Projektu. Wymogi dotyczące Kierownika Projektu w pkt 1.2) d) SWZ otrzymują zmienione brzmienie w zakresie certyfikatu: zamiast CompTIA CySA+ wymagany będzie certyfikat CompTIA CySA+ lub CISA (Certified Information Systems Auditor). Pozostałe wymagania dotyczące Kierownika Projektu pozostają bez zmian.