RozstrzygniętyZapytanie ofertowe (fundusze)
Zintegrowany system zarządzania bezpieczeństwem informacji – Warszawa
Ministerstwo Zdrowia8 aktualnych · 428 w archiwum·NIP 5251918554·mazowieckie
Rozstrzygnięcie
Kto wygrał, za ile i ilu było chętnych.
WygrałaITRUST Sp. z o.o.
NIP zwycięzcy7010712208
Kwota oferty63 257,14 zł
Złożonych ofert6
Widełki ofert63 257,14 zł – 206 640,00 zł
Najtańsza oferta wygrałatak
Przedmiot zamówienia
AI- Zamówienie jednoczęściowe (usługa): wykonanie audytu wstępnego zgodności Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) Ministerstwa Zdrowia oraz zaprojektowanie i wdrożenie Zintegrowanego Systemu Zarządzania Bezpieczeństwem Informacji (ZSZBI) obejmujące: Etap I – audyt zgodności SZBI z KRI/KSC/PN‑EN ISO/IEC 27001 i analizą ciągłości zgodnie z PN‑EN ISO/IEC 22301 z raportem końcowym; Etap II – opracowanie pełnej dokumentacji ZSZBI (polityki i procedury wymienione w OPZ, w tym polityka bezpieczeństwa informacji, polityka ciągłości działania, polityka zarządzania ryzykiem, polityka klasyfikacji informacji, procedury zarządzania incydentami, tożsamością, przeglądu zarządczego, wykaz zabezpieczeń itp.) i przekazanie jej w formatach edytowalnych oraz zabezpieczonych; Etap III – opracowanie metodyki szacowania ryzyka zgodnej z KRI/ISO27001/ISO27005, przeprowadzenie szacowania ryzyka wspólnie z pracownikami Zamawiającego, przygotowanie kryteriów akceptacji ryzyka, raportów z ryzyka i planu postępowania z ryzykiem oraz przeprowadzenie szkolenia z metodyki dla maks. 50 pracowników (online); Etap IV – przygotowanie i przeprowadzenie szkolenia wdrożeniowego online dla maks. 50 osób z materiałami szkoleniowymi w formacie .pptx oraz przekazanie materiałów zabezpieczonych; realizacja obejmuje również uwzględnianie uwag Zamawiającego, przekazywanie protokołów odbioru etapów i dostawę dokumentów elektronicznie oraz na nośniku; lokalizacje objęte zamówieniem: cztery siedziby Ministerstwa w Warszawie oraz zdalne przetwarzanie systemowe.
Trudność: wysoka
Złożoność wynikająca z wieloetapowego charakteru (audyt, projekt dokumentacji, analiza ryzyka, wdrożenie i szkolenia), wymagań zgodności z KRI/KSC oraz normami ISO i konieczności koordynacji z wieloma interesariuszami w dużej instytucji publicznej.
Terminy realizacji
Termin wykonania (całość)
nie później niż do dnia 30 listopada 2026 r.
nie później niż do dnia 30 listopada 2026 r.
Etap I
do 30 dni od dnia zawarcia umowy
do 30 dni od dnia zawarcia umowy
Etap II
do 90 dni od zakończenia Etapu I, jednak nie później niż do 20 października 2026 r.
do 90 dni od zakończenia Etapu I, jednak nie później niż do 20 października 2026 r.
Etap III
do 100 dni od zakończenia Etapu I, jednak nie później niż do 6 listopada 2026 r.
do 100 dni od zakończenia Etapu I, jednak nie później niż do 6 listopada 2026 r.
Etap IV
do 21 dni od dnia podpisania ostatniego z protokołów zaakceptowanych przez Zamawiającego, jednak nie później niż do 30 listopada 2026 r.
do 21 dni od dnia podpisania ostatniego z protokołów zaakceptowanych przez Zamawiającego, jednak nie później niż do 30 listopada 2026 r.
Warunki udziału
AI1Doświadczenie - wariant A — W ostatnich 3 latach wykonanie co najmniej 2 kompleksowych usług, z których każda obejmowała przeprowadzenie audytu zgodności z KRI lub KSC oraz opracowanie lub wdrożenie lub aktualizację SZBI, przy czym każda usługa została zrealizowana w odrębnych podmiotach zatrudniających co najmniej 200 osób i wartość każdej usługi wynosiła nie mniej niż 50 000,00 zł brutto.
2Doświadczenie - wariant B — W ostatnich 3 latach wykonanie 4 usług, w tym co najmniej 2 usług polegających na przeprowadzeniu audytu zgodności z KRI lub KSC w co najmniej dwóch odrębnych podmiotach oraz co najmniej 2 usług opracowania/wdrożenia/aktualizacji SZBI w co najmniej dwóch odrębnych podmiotach zatrudniających co najmniej 200 osób każda, przy czym wartość każdej usługi dotyczącej SZBI wynosiła nie mniej niż 40 000,00 zł brutto.
Pozostałe 4 warunki po założeniu darmowego konta.
Kryteria wyboru oferty
AIWagi punktowe, według których zamawiający oceni oferty.
Cena oferty bruttoCałkowita cena brutto
60%
Dodatkowe doświadczenie eksperta ds. Systemu Zarządzania Bezpieczeństwem InformacjiDoświadczenie eksperta ponad minimum
40%
Czerwone flagi
AISygnały, na które warto zwrócić uwagę przed startem.
Termin składania ofert: 4 dni (mediana dla CPV 79: 9 dni)
Termin jest znacznie krótszy niż typowy dla tej branży (44% mediany). Może to ograniczać liczbę oferentów.
Termin składania ofert przypada na okres wakacyjny (6 sierpnia)
Termin w okresie wakacyjnym (lipiec-sierpień) może ograniczać liczbę oferentów ze względu na urlopy.
Kary i sankcje
AI- Kary umowne: w projekcie umowy (załącznik nr 5)
Pytania i odpowiedzi
5Wyodrębnione z wyjaśnień treści SWZ.
1W związku z prowadzonym postępowaniem zwracamy się z wnioskiem o zmianę warunków udziału w postępowaniu oraz o udzielenie odpowiedzi na poniższe pytania.
Pytanie nr 1 – proporcjonalność warunku dotyczącego wartości historycznych usług
Czy Zamawiający potwierdza, że dokona zmiany warunku udziału poprzez rezygnację z wymagania dotyczącego minimalnej wartości historycznie wykonanych usług?
Jeżeli nie, prosimy o wskazanie:
czy Zamawiający przeprowadził analizę ryzyka uzasadniającą przyjęcie minimalnej wartości usług jako miernika kompetencji wykonawcy;
kiedy analiza została sporządzona;
jakie były jej wnioski;
na jakiej podstawie uznano, że wartość historycznie wykonanej usługi stanowi obiektywne potwierdzenie zdolności wykonawcy do należytego wykonania niniejszego zamówienia;
czy Zamawiający posiada dowody, że wykonawca, który wykonał usługę za 50 000 zł,
posiada większe kompetencje niż wykonawca, który wykonał usługę o identycznym
zakresie za 35 000 zł;
dlaczego za podstawowy miernik doświadczenia przyjęto wartość wynagrodzenia, a nie
rzeczywisty zakres wykonanych prac.
Zamawiający wyjaśnia, że nie wyraża zgody na zmianę warunków udziału w zapytaniu ofertowym poprzez rezygnację z wymagania dotyczącego minimalnej wartości uprzednio wykonanych usług.
Wymóg wykazania realizacji usług o określonej minimalnej wartości nie został ustanowiony jako samodzielny miernik kompetencji wykonawcy, lecz jako jeden z obiektywnych wskaźników pozwalających na potwierdzenie doświadczenia w realizacji przedsięwzięć o porównywalnej skali organizacyjnej, projektowej i odpowiedzialności.
W przypadku zamówień dotyczących audytów zgodności oraz wdrożenia systemu zarządzania bezpieczeństwem informacji, wartość zrealizowanej usługi pozostaje pośrednio związana m.in. z:
zakresem prowadzonych analiz,
liczbą procesów i komórek organizacyjnych objętych pracami,
stopniem złożoności środowiska organizacyjnego i teleinformatycznego,
liczbą wymaganych spotkań oraz konsultacji.
Zamawiający nie twierdzi, że wykonawca, który realizował usługę za wyższą kwotę,automatycznie posiada większe kompetencje od wykonawcy realizującego usługę za kwotę niższą. Jednak doświadczenie zdobyte przy realizacji projektów o określonej wartości pozwala zwiększyć prawdopodobieństwo, że wykonawca posiada praktyczne doświadczenie w prowadzeniu przedsięwzięć porównywalnych pod względem skali i złożoności do przedmiotu niniejszego zamówienia.
Warunek ten funkcjonuje łącznie z pozostałymi wymaganiami i nie stanowi jedynego kryterium oceny zdolności wykonawcy.
2Pytanie nr 2 – liczba pracowników
Czy Zamawiający potwierdza, że dokona zmiany warunku udziału poprzez rezygnację z wymogu realizacji usług wyłącznie w podmiotach zatrudniających co najmniej 200 pracowników?
Jeżeli nie, prosimy o wskazanie:
czy Zamawiający przeprowadził analizę ryzyka uzasadniającą przyjęcie progu 200 pracowników;
jakie były wyniki tej analizy;
jakie czynności audytowe wykonywane są wyłącznie w podmiotach zatrudniających ponad 200 osób;
w jaki sposób liczba zatrudnionych pracowników wpływa na poziom bezpieczeństwa systemów teleinformatycznych oraz stopień skomplikowania SZBI;
na jakiej podstawie uznano, że wykonawca posiadający doświadczenie zdobyte w jednostkach zatrudniających 50–150 pracowników nie daje rękojmi należytego wykonania zamówienia.
Zamawiający wyjaśnia, że nie wyraża zgody na zmianę warunku udziału w zapytaniu ofertowym poprzez rezygnację z wymogu dotyczącego realizacji usług w podmiotach zatrudniających co najmniej 200 pracowników.
Liczba pracowników nie została przyjęta jako wskaźnik poziomu bezpieczeństwa informacji, w tym systemów teleinformatycznych, lecz jako miernik wielkości i złożoności organizacji, w której były realizowane usługi referencyjne.
W organizacjach zatrudniających określoną lub większą liczbę pracowników, wskazaną w dokumentacji zamówienia, co do zasady występują:
bardziej rozbudowane struktury organizacyjne,
większa liczba procesów biznesowych,
większa liczba użytkowników systemów informatycznych,
większa liczba przetwarzanych informacji,
bardziej rozbudowany system uprawnień i odpowiedzialności.
Realizacja audytu zgodności oraz wdrożenia SZBI w takich organizacjach wymaga doświadczenia w koordynacji działań obejmujących wiele komórek organizacyjnych oraz wielu interesariuszy.
Ministerstwo Zdrowia jest dużą organizacją administracji publicznej realizującą zadania o istotnym znaczeniu publicznym. W ocenie Zamawiającego doświadczenie zdobyte w podmiotach o wskazanej skali organizacyjnej zwiększa prawdopodobieństwo skutecznej realizacji zamówienia.
Jednocześnie Zamawiający nie kwestionuje kompetencji wykonawców posiadających doświadczenie w organizacjach mniejszych, jednak uznaje, że dla potrzeb niniejszego zapytania ofertowego zasadne jest wymaganie doświadczenia zdobytego w środowisku organizacyjnym o odpowiednio dużej skali działania.
3Pytanie nr 3 – dojrzałość organizacyjna wykonawcy
Czy Zamawiający rozważy zastąpienie części wymagań historycznych wymaganiami odnoszącymi się do aktualnej dojrzałości organizacyjnej wykonawcy?
W szczególności poprzez wymaganie:
certyfikowanego Systemu Zarządzania Bezpieczeństwem Informacji zgodnego z PN-EN ISO/IEC 27001,
certyfikowanego Systemu Zarządzania Ciągłością Działania zgodnego z PN-EN ISO 22301,
certyfikowanego Systemu Zarządzania Jakością zgodnego z ISO 9001,
ubezpieczenia odpowiedzialności cywilnej obejmującego działalność w zakresie cyberbezpieczeństwa, bezpieczeństwa informacji oraz ochrony danych osobowych z sumą gwarancyjną nie niższą niż 5 000 000 zł.
Jeżeli nie, prosimy o wskazanie:
czy Zamawiający przeprowadził analizę porównawczą skuteczności obu modeli weryfikacji wykonawców;
jakie były jej wyniki;
na jakiej podstawie uznano, że historyczna wartość wykonanych usług lepiej potwierdza zdolność wykonawcy niż posiadanie certyfikowanych systemów zarządzania funkcjonujących w jego organizacji;
dlaczego wykonawca uzyskujący dostęp do informacji o architekturze systemów,
zabezpieczeniach, podatnościach oraz dokumentacji bezpieczeństwa Zamawiającego nie
musi wykazać, że sam posiada certyfikowany System Zarządzania Bezpieczeństwem
Informacji;
dlaczego wykonawca oceniający plany ciągłości działania nie musi posiadać
certyfikowanego systemu zarządzania ciągłością działania;
dlaczego wykonawca realizujący usługę o istotnym znaczeniu dla bezpieczeństwa
informacji Zamawiającego nie musi posiadać odpowiedniego zabezpieczenia finansowego w
postaci polisy OC.
Zamawiający wyjaśnia, że nie przewiduje zmiany warunków udziału w zapytaniu ofertowym poprzez zastąpienie wymagań dotyczących doświadczenia wymaganiami odnoszącymi się do certyfikowanych systemów zarządzania lub ubezpieczenia odpowiedzialności cywilnej.
Zamawiający dostrzega wartość certyfikowanych systemów zarządzania zgodnych z normami ISO 27001, ISO 22301 czy ISO 9001 oraz znaczenie odpowiedniego ubezpieczenia odpowiedzialności cywilnej.
Niemniej jednak posiadanie przez wykonawcę certyfikatów potwierdza przede wszystkim wdrożenie określonych rozwiązań organizacyjnych we własnej organizacji wykonawcy. Nie stanowi natomiast bezpośredniego potwierdzenia doświadczenia w realizacji usług odpowiadających przedmiotowi zamówienia.
Przedmiot niniejszego zapytania ofertowego wymaga przede wszystkim praktycznej wiedzy i doświadczenia w:
prowadzeniu audytów bezpieczeństwa informacji,
analizie zgodności z wymaganiami KRI/KSC,
identyfikacji ryzyk bezpieczeństwa informacji,
projektowaniu i wdrażaniu SZBI,
realizacji projektów obejmujących organizacje o rozbudowanej skali działania.
Z tego względu Zamawiający uznał, że doświadczenie praktyczne wykonywania usług o porównywalnym charakterze stanowi bardziej adekwatny sposób potwierdzenia zdolności wykonawcy do realizacji zamówienia niż wyłącznie posiadanie certyfikowanych systemów zarządzania lub określonego ubezpieczenia.
Natomiast brak wymagania posiadania ww. lub innych certyfikatów nie oznacza, że wykonawcy posiadający takie certyfikaty nie mogą ich wykazywać jako dodatkowego atutu potwierdzającego dojrzałość organizacyjną.
4Pytanie nr 4 – rzeczywiste potwierdzenie kompetencji
Prosimy o wskazanie, który z poniższych elementów – zdaniem Zamawiającego – stanowi bardziej wiarygodne potwierdzenie zdolności wykonawcy do należytej realizacji niniejszego zamówienia:
Wariant A
Wykonawca wykonał dwie usługi o wartości przekraczającej 50 000 zł każda, jednak nie posiada:
certyfikowanego Systemu Zarządzania Bezpieczeństwem Informacji,
certyfikowanego Systemu Zarządzania Ciągłością Działania,
certyfikowanego Systemu Zarządzania Jakością,
polisy OC obejmującej działalność z zakresu cyberbezpieczeństwa.
Wariant B
Wykonawca:
posiada certyfikowany System Zarządzania Bezpieczeństwem Informacji zgodny z ISO/IEC 27001,
posiada certyfikowany System Zarządzania Ciągłością Działania zgodny z ISO 22301,
posiada certyfikowany System Zarządzania Jakością zgodny z ISO 9001,
posiada polisę OC na kwotę co najmniej 5 000 000 zł obejmującą działalność związaną z
cyberbezpieczeństwem,
dysponuje personelem posiadającym wymagane kwalifikacje,
wykonał usługi o identycznym zakresie rzeczowym, jednak za wynagrodzeniem niższym od progów określonych w warunku udziału.
W przypadku uznania, że bardziej wiarygodnym potwierdzeniem kompetencji jest Wariant A, prosimy o przedstawienie uzasadnienia faktycznego oraz analizy ryzyka potwierdzającej zasadność takiej oceny.
Zamawiający wyjaśnia, że ocena spełniania warunków udziału w zapytaniu ofertowym będzie dokonywana wyłącznie na podstawie wymagań określonych w dokumentacji zapytania ofertowego oraz dokumentów złożonych przez wykonawców.
Zamawiający nie znajduje podstaw do przyjęcia, że którykolwiek z przedstawionych hipotetycznych wariantów wykonawców byłby z góry bardziej lub mniej wiarygodny.
W niniejszym zapytaniu ofertowym Zamawiający przyjął model weryfikacji oparty przede wszystkim na doświadczeniu w realizacji usług o podobnym charakterze i skali, uznając go za najbardziej adekwatny do przedmiotu zamówienia.
5Pytanie nr 5 – wpływ na konkurencję
Czy Zamawiający przeprowadził analizę rynku przed określeniem warunków udziału w postępowaniu?
Jeżeli tak, prosimy o wskazanie:
ilu wykonawców – według wiedzy Zamawiającego – spełnia jednocześnie wszystkie wymagania określone w postępowaniu;
czy Zamawiający analizował wpływ przyjętych warunków na poziom konkurencji;
czy rozważano zastosowanie warunków opartych na certyfikowanych systemach zarządzania zamiast progów wartości historycznych usług i liczby zatrudnionych pracowników;
dlaczego odstąpiono od takiego rozwiązania.
Przed określeniem warunków udziału Zamawiający przeprowadził rozeznanie rynku na potrzeby oszacowania wartości zamówienia. Uzyskane informacje potwierdziły istnienie podmiotów zdolnych do realizacji zamówienia oraz spełniających określone wymagania.
Zamawiający wskazuje, że celem warunków udziału nie było ograniczenie konkurencji, lecz zapewnienie udziału wykonawców posiadających doświadczenie odpowiadające specyfice i skali planowanego przedsięwzięcia. Fakt, że warunki mogą zawężać krąg potencjalnych wykonawców, nie oznacza automatycznie naruszenia zasady konkurencyjności, o ile pozostają one związane z przedmiotem zamówienia, są obiektywnie uzasadnione oraz proporcjonalne do celu, jakiemu służą.
W ocenie Zamawiającego wszystkie postawione wymagania pozostają w bezpośrednim związku z przedmiotem zamówienia, służą ograniczeniu ryzyka związanego z realizacją projektu dotyczącego bezpieczeństwa informacji oraz są niezbędne dla zapewnienia należytej jakości realizacji zamówienia.
Historia zmian
29.07.2026 — publikacja ogłoszenia
06.08.2026 — upływ terminu składania ofert
06.08.2026 — ogłoszenie o wyniku postępowania