Archiwum Baza KonkurencyjnościCPV 79000000 · Usługi biznesowe i zarządzanieCPV 80000000 · Usługi edukacyjne i szkoleniowe Mazowieckie KPO
Zintegrowany system zarządzania bezpieczeństwem informacji – Warszawa
Pełna nazwa postępowania: Wykonanie audytu wstępnego zgodności SZBI z KRI/KSC oraz zaprojektowanie i wdrożenie Zintegrowanego Systemu Zarządzania Bezpieczeństwem Informacji dla Ministerstwa Zdrowia
MINISTERSTWO ZDROWIA·NIP 5251918554·Warszawa
Wartość szac.
—
nie podano
Termin składania
06.08.2026
postępowanie zakończone
Otwarcie ofert
—
nie podano
Opublikowano
3 sierpnia 2026
źródło: Baza Konkurencyjności
Streszczenie SWZ
Streszczenie AI · Janusz
Widzisz połowę każdej z 10 sekcjiDruga połowa — łącznie 23 zdania z warunkami, dokumentami i analizą ryzyka — odsłania się po założeniu darmowego konta.
Tryb postępowania: zapytanie ofertowe (o wartości poniżej 170 000,00 zł netto).
Data dokumentu: 29 lipca 2026; nieotwarte postępowanie publiczne, prowadzone zgodnie z zasadą konkurencyjności na platformie Bazy Konkurencyjności.
Uzasadnienie trybu: wartość zamówienia poniżej progu 170 000,00 zł netto, stąd zastosowano tryb zapytania ofertowego (informacja jawna w nagłówku SWZ).
Termin realizacji całości zamówienia: nie później niż do dnia 30 listopada 2026 r.
Termin realizacji Etapu I (audyt wstępny): do 30 dni od dnia zawarcia umowy.
Termin realizacji Etapu II (opracowanie dokumentacji ZSZBI): do 90 dni od zakończenia Etapu I, jednak nie później niż do 20 października 2026 r.
Termin realizacji Etapu III (szacowanie ryzyka): do 100 dni od zakończenia Etapu I, jednak nie później niż do 6 listopada 2026 r. (Etap III nie jest uwarunkowany zakończeniem Etapu II.)
Zamawiający wymaga, by Wykonawca w okresie ostatnich 3 lat przed upływem terminu składania ofert (lub w krótszym okresie prowadzenia działalności) wykazał spełnienie jednego z wariantów doświadczenia: Wariant A — wykonał co najmniej 2 kompleksowe usługi, każda obejmująca (i) przeprowadzenie audytu zgodności z KRI lub KSC oraz (ii) opracowanie lub wdrożenie lub aktualizację SZBI, przy czym każda z tych 2 usług była zrealizowana w odrębnych podmiotach zatrudniających co najmniej 200 osób oraz wartość każdej usługi wynosiła nie mniej niż 50 000,00 zł brutto; albo Wariant B — wykonał 4 usługi, w tym co najmniej 2 usługi audytu zgodności z KRI/KSC w odrębnych podmiotach oraz co najmniej 2 usługi opracowania/wdrożenia/aktualizacji SZBI w co najmniej 2 odrębnych podmiotach zatrudniających co najmniej 200 osób każda, przy czym wartość każdej usługi dotyczącej SZBI wynosiła nie mniej niż 40 000,00 zł brutto.
Wykonawca musi skierować zespół minimum 3 osób: Ekspert ds. SZBI (1 osoba) posiadający certyfikat Audytora Wiodącego Systemu Zarządzania Bezpieczeństwem Informacji zgodny z normą PN-EN ISO/IEC 27001 lub równoważny oraz doświadczenie w realizacji co najmniej 2 usług opracowania/wdrożenia/aktualizacji SZBI w roli audytora; Ekspert ds. ciągłości działania (1 osoba) posiadający certyfikat Audytora Wiodącego Systemu Zarządzania Ciągłością Działania zgodny z normą PN-EN ISO 22301 lub równoważny oraz doświadczenie w realizacji co najmniej 2 audytów zgodności z KRI lub KSC jako członek zespołu; oraz Ekspert ds. bezpieczeństwa teleinformatycznego (1 osoba) z wykształceniem z zakresu informatyki/teleinformatyki/cyberbezpieczeństwa/łączności (minimum ukończenie szkoły średniej) oraz doświadczeniem w realizacji co najmniej 2 usług opracowania/wdrożenia/aktualizacji SZBI jako członek zespołu; role nie mogą być łączone przez jedną osobę.
Wykonawca może łączyć doświadczenie z innymi wykonawcami wspólnie ubiegającymi się o zamówienie oraz polegać na zasobach podmiotów trzecich, przy czym musi dołączyć zobowiązanie podmiotu trzeciego określające zakres i okres udostępnienia zasobów oraz sposób ich wykorzystania.
Zamawiający oceni oferty według dwóch kryteriów: Cena – 60% oraz Dodatkowe doświadczenie eksperta ds. Systemu Zarządzania Bezpieczeństwem Informacji – 40%. (+ 1 zdanie — pełna treść po zalogowaniu)
Zmiany umowy: Zamawiający zastrzega możliwość negocjacji warunków z Wykonawcami oraz rezygnacji z zamówienia (zapis w SWZ). Umowa będzie zawierana w formie elektronicznej z wykorzystaniem kwalifikowanego podpisu elektronicznego. W przypadku odstąpienia wybranego Wykonawcy od podpisania umowy, Zamawiający może podpisać umowę z kolejnym Wykonawcą, który uzyskał następną najwyższą liczbę punktów. (terminy: — s. ?)
Audyt: Etap I obejmuje przeprowadzenie audytu zgodności SZBI z PN-EN ISO/IEC 27001 (lub równoważną) oraz elementy związane z PN-EN ISO/IEC 22301; raport końcowy ma zawierać opis zakresu prac, zestawienie wyników, stwierdzone niezgodności, luki i rekomendacje. Termin Etapu I: do 30 dni od dnia zawarcia umowy. Zakończenie Etapu I potwierdza protokół zaakceptowany przez Zamawiającego. (Źródło: OPZ)
Własność intelektualna: Przed zawarciem umowy Wykonawca będzie zobowiązany do przekazania informacji o wartości autorskich praw majątkowych do utworów powstałych w ramach zamówienia w rozbiciu na poszczególne utwory. Dokumentacja i materiały szkoleniowe mają być przekazane Zamawiającemu w formie elektronicznej; pliki PDF muszą być opatrzone kwalifikowanym podpisem elektronicznym lub podpisane profilem zaufanym lub podpisem osobistym. (terminy: — s. ?)
Z każdej z 10 sekcji pokazujemy połowę. Załóż darmowe konto, żeby odsłonić pozostałe 23 zdania — pełne warunki udziału, dokumenty i analizę ryzyka Janusza. Bez karty, 14 dni za darmo.
14 dni za darmo Bez karty płatniczej Rezygnacja w 1 klik
Opis przedmiotu zamówienia
Streszczenie AI · Janusz
Zamówienie jednoczęściowe (usługa): wykonanie audytu wstępnego zgodności Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) Ministerstwa Zdrowia oraz zaprojektowanie i wdrożenie Zintegrowanego Systemu Zarządzania Bezpieczeństwem Informacji (ZSZBI) obejmujące: Etap I – audyt zgodności SZBI z KRI/KSC/PN‑EN ISO/IEC 27001 i analizą ciągłości zgodnie z PN‑EN ISO/IEC 22301 z raportem końcowym; Etap II – opracowanie pełnej dokumentacji ZSZBI (polityki i procedury wymienione w OPZ, w tym polityka bezpieczeństwa informacji, polityka ciągłości działania, polityka zarządzania ryzykiem, polityka klasyfikacji informacji, procedury zarządzania incydentami, tożsamością, przeglądu zarządczego, wykaz zabezpieczeń itp.) i przekazanie jej w formatach edytowalnych oraz zabezpieczonych; Etap III – opracowanie metodyki szacowania ryzyka zgodnej z KRI/ISO27001/ISO27005, przeprowadzenie szacowania ryzyka wspólnie z pracownikami Zamawiającego, przygotowanie kryteriów akceptacji ryzyka, raportów z ryzyka i planu postępowania z ryzykiem oraz przeprowadzenie szkolenia z metodyki dla maks. 50 pracowników (online); Etap IV – przygotowanie i przeprowadzenie szkolenia wdrożeniowego online dla maks. 50 osób z materiałami szkoleniowymi w formacie .pptx oraz przekazanie materiałów zabezpieczonych; realizacja obejmuje również uwzględnianie uwag Zamawiającego, przekazywanie protokołów odbioru etapów i dostawę dokumentów elektronicznie oraz na nośniku; lokalizacje objęte zamówieniem: cztery siedziby Ministerstwa w Warszawie oraz zdalne przetwarzanie systemowe.
Pytania i odpowiedzi
Wyjaśnienia treści SWZ udzielone przez zamawiającego. Odpowiedzi wiążą wszystkich wykonawców — także tych, którzy nie zadali pytania.
W związku z prowadzonym postępowaniem zwracamy się z wnioskiem o zmianę warunków udziału w postępowaniu oraz o udzielenie odpowiedzi na poniższe pytania.
Pytanie nr 1 – proporcjonalność warunku dotyczącego wartości historycznych usług
Czy Zamawiający potwierdza, że dokona zmiany warunku udziału poprzez rezygnację z wymagania dotyczącego minimalnej wartości historycznie wykonanych usług?
Jeżeli nie, prosimy o wskazanie:
czy Zamawiający przeprowadził analizę ryzyka uzasadniającą przyjęcie minimalnej wartości usług jako miernika kompetencji wykonawcy;
kiedy analiza została sporządzona;
jakie były jej wnioski;
na jakiej podstawie uznano, że wartość historycznie wykonanej usługi stanowi obiektywne potwierdzenie zdolności wykonawcy do należytego wykonania niniejszego zamówienia;
czy Zamawiający posiada dowody, że wykonawca, który wykonał usługę za 50 000 zł,
posiada większe kompetencje niż wykonawca, który wykonał usługę o identycznym
zakresie za 35 000 zł;
dlaczego za podstawowy miernik doświadczenia przyjęto wartość wynagrodzenia, a nie
rzeczywisty zakres wykonanych prac.
Zamawiający wyjaśnia, że nie wyraża zgody na zmianę warunków udziału w zapytaniu ofertowym poprzez rezygnację z wymagania dotyczącego minimalnej wartości uprzednio wykonanych usług.
Wymóg wykazania realizacji usług o określonej minimalnej wartości nie został ustanowiony jako samodzielny miernik kompetencji wykonawcy, lecz jako jeden z obiektywnych wskaźników pozwalających na potwierdzenie doświadczenia w realizacji przedsięwzięć o porównywalnej skali organizacyjnej, projektowej i odpowiedzialności.
W przypadku zamówień dotyczących audytów zgodności oraz wdrożenia systemu zarządzania bezpieczeństwem informacji, wartość zrealizowanej usługi pozostaje pośrednio związana m.in. z:
zakresem prowadzonych analiz,
liczbą procesów i komórek organizacyjnych objętych pracami,
stopniem złożoności środowiska organizacyjnego i teleinformatycznego,
liczbą wymaganych spotkań oraz konsultacji.
Zamawiający nie twierdzi, że wykonawca, który realizował usługę za wyższą kwotę,automatycznie posiada większe kompetencje od wykonawcy realizującego usługę za kwotę niższą. Jednak doświadczenie zdobyte przy realizacji projektów o określonej wartości pozwala zwiększyć prawdopodobieństwo, że wykonawca posiada praktyczne doświadczenie w prowadzeniu przedsięwzięć porównywalnych pod względem skali i złożoności do przedmiotu niniejszego zamówienia.
Warunek ten funkcjonuje łącznie z pozostałymi wymaganiami i nie stanowi jedynego kryterium oceny zdolności wykonawcy.
Pytanie nr 2 – liczba pracowników
Czy Zamawiający potwierdza, że dokona zmiany warunku udziału poprzez rezygnację z wymogu realizacji usług wyłącznie w podmiotach zatrudniających co najmniej 200 pracowników?
Jeżeli nie, prosimy o wskazanie:
czy Zamawiający przeprowadził analizę ryzyka uzasadniającą przyjęcie progu 200 pracowników;
jakie były wyniki tej analizy;
jakie czynności audytowe wykonywane są wyłącznie w podmiotach zatrudniających ponad 200 osób;
w jaki sposób liczba zatrudnionych pracowników wpływa na poziom bezpieczeństwa systemów teleinformatycznych oraz stopień skomplikowania SZBI;
na jakiej podstawie uznano, że wykonawca posiadający doświadczenie zdobyte w jednostkach zatrudniających 50–150 pracowników nie daje rękojmi należytego wykonania zamówienia.
Zamawiający wyjaśnia, że nie wyraża zgody na zmianę warunku udziału w zapytaniu ofertowym poprzez rezygnację z wymogu dotyczącego realizacji usług w podmiotach zatrudniających co najmniej 200 pracowników.
Liczba pracowników nie została przyjęta jako wskaźnik poziomu bezpieczeństwa informacji, w tym systemów teleinformatycznych, lecz jako miernik wielkości i złożoności organizacji, w której były realizowane usługi referencyjne.
W organizacjach zatrudniających określoną lub większą liczbę pracowników, wskazaną w dokumentacji zamówienia, co do zasady występują:
bardziej rozbudowane struktury organizacyjne,
większa liczba procesów biznesowych,
większa liczba użytkowników systemów informatycznych,
większa liczba przetwarzanych informacji,
bardziej rozbudowany system uprawnień i odpowiedzialności.
Realizacja audytu zgodności oraz wdrożenia SZBI w takich organizacjach wymaga doświadczenia w koordynacji działań obejmujących wiele komórek organizacyjnych oraz wielu interesariuszy.
Ministerstwo Zdrowia jest dużą organizacją administracji publicznej realizującą zadania o istotnym znaczeniu publicznym. W ocenie Zamawiającego doświadczenie zdobyte w podmiotach o wskazanej skali organizacyjnej zwiększa prawdopodobieństwo skutecznej realizacji zamówienia.
Jednocześnie Zamawiający nie kwestionuje kompetencji wykonawców posiadających doświadczenie w organizacjach mniejszych, jednak uznaje, że dla potrzeb niniejszego zapytania ofertowego zasadne jest wymaganie doświadczenia zdobytego w środowisku organizacyjnym o odpowiednio dużej skali działania.
Pytanie nr 3 – dojrzałość organizacyjna wykonawcy
Czy Zamawiający rozważy zastąpienie części wymagań historycznych wymaganiami odnoszącymi się do aktualnej dojrzałości organizacyjnej wykonawcy?
W szczególności poprzez wymaganie:
certyfikowanego Systemu Zarządzania Bezpieczeństwem Informacji zgodnego z PN-EN ISO/IEC 27001,
certyfikowanego Systemu Zarządzania Ciągłością Działania zgodnego z PN-EN ISO 22301,
certyfikowanego Systemu Zarządzania Jakością zgodnego z ISO 9001,
ubezpieczenia odpowiedzialności cywilnej obejmującego działalność w zakresie cyberbezpieczeństwa, bezpieczeństwa informacji oraz ochrony danych osobowych z sumą gwarancyjną nie niższą niż 5 000 000 zł.
Jeżeli nie, prosimy o wskazanie:
czy Zamawiający przeprowadził analizę porównawczą skuteczności obu modeli weryfikacji wykonawców;
jakie były jej wyniki;
na jakiej podstawie uznano, że historyczna wartość wykonanych usług lepiej potwierdza zdolność wykonawcy niż posiadanie certyfikowanych systemów zarządzania funkcjonujących w jego organizacji;
dlaczego wykonawca uzyskujący dostęp do informacji o architekturze systemów,
zabezpieczeniach, podatnościach oraz dokumentacji bezpieczeństwa Zamawiającego nie
musi wykazać, że sam posiada certyfikowany System Zarządzania Bezpieczeństwem
Informacji;
dlaczego wykonawca oceniający plany ciągłości działania nie musi posiadać
certyfikowanego systemu zarządzania ciągłością działania;
dlaczego wykonawca realizujący usługę o istotnym znaczeniu dla bezpieczeństwa
informacji Zamawiającego nie musi posiadać odpowiedniego zabezpieczenia finansowego w
postaci polisy OC.
Zamawiający wyjaśnia, że nie przewiduje zmiany warunków udziału w zapytaniu ofertowym poprzez zastąpienie wymagań dotyczących doświadczenia wymaganiami odnoszącymi się do certyfikowanych systemów zarządzania lub ubezpieczenia odpowiedzialności cywilnej.
Zamawiający dostrzega wartość certyfikowanych systemów zarządzania zgodnych z normami ISO 27001, ISO 22301 czy ISO 9001 oraz znaczenie odpowiedniego ubezpieczenia odpowiedzialności cywilnej.
Niemniej jednak posiadanie przez wykonawcę certyfikatów potwierdza przede wszystkim wdrożenie określonych rozwiązań organizacyjnych we własnej organizacji wykonawcy. Nie stanowi natomiast bezpośredniego potwierdzenia doświadczenia w realizacji usług odpowiadających przedmiotowi zamówienia.
Przedmiot niniejszego zapytania ofertowego wymaga przede wszystkim praktycznej wiedzy i doświadczenia w:
prowadzeniu audytów bezpieczeństwa informacji,
analizie zgodności z wymaganiami KRI/KSC,
identyfikacji ryzyk bezpieczeństwa informacji,
projektowaniu i wdrażaniu SZBI,
realizacji projektów obejmujących organizacje o rozbudowanej skali działania.
Z tego względu Zamawiający uznał, że doświadczenie praktyczne wykonywania usług o porównywalnym charakterze stanowi bardziej adekwatny sposób potwierdzenia zdolności wykonawcy do realizacji zamówienia niż wyłącznie posiadanie certyfikowanych systemów zarządzania lub określonego ubezpieczenia.
Natomiast brak wymagania posiadania ww. lub innych certyfikatów nie oznacza, że wykonawcy posiadający takie certyfikaty nie mogą ich wykazywać jako dodatkowego atutu potwierdzającego dojrzałość organizacyjną.
Pytanie nr 4 – rzeczywiste potwierdzenie kompetencji
Prosimy o wskazanie, który z poniższych elementów – zdaniem Zamawiającego – stanowi bardziej wiarygodne potwierdzenie zdolności wykonawcy do należytej realizacji niniejszego zamówienia:
Wariant A
Wykonawca wykonał dwie usługi o wartości przekraczającej 50 000 zł każda, jednak nie posiada:
certyfikowanego Systemu Zarządzania Bezpieczeństwem Informacji,
certyfikowanego Systemu Zarządzania Ciągłością Działania,
certyfikowanego Systemu Zarządzania Jakością,
polisy OC obejmującej działalność z zakresu cyberbezpieczeństwa.
Wariant B
Wykonawca:
posiada certyfikowany System Zarządzania Bezpieczeństwem Informacji zgodny z ISO/IEC 27001,
posiada certyfikowany System Zarządzania Ciągłością Działania zgodny z ISO 22301,
posiada certyfikowany System Zarządzania Jakością zgodny z ISO 9001,
posiada polisę OC na kwotę co najmniej 5 000 000 zł obejmującą działalność związaną z
cyberbezpieczeństwem,
dysponuje personelem posiadającym wymagane kwalifikacje,
wykonał usługi o identycznym zakresie rzeczowym, jednak za wynagrodzeniem niższym od progów określonych w warunku udziału.
W przypadku uznania, że bardziej wiarygodnym potwierdzeniem kompetencji jest Wariant A, prosimy o przedstawienie uzasadnienia faktycznego oraz analizy ryzyka potwierdzającej zasadność takiej oceny.
Zamawiający wyjaśnia, że ocena spełniania warunków udziału w zapytaniu ofertowym będzie dokonywana wyłącznie na podstawie wymagań określonych w dokumentacji zapytania ofertowego oraz dokumentów złożonych przez wykonawców.
Zamawiający nie znajduje podstaw do przyjęcia, że którykolwiek z przedstawionych hipotetycznych wariantów wykonawców byłby z góry bardziej lub mniej wiarygodny.
W niniejszym zapytaniu ofertowym Zamawiający przyjął model weryfikacji oparty przede wszystkim na doświadczeniu w realizacji usług o podobnym charakterze i skali, uznając go za najbardziej adekwatny do przedmiotu zamówienia.
Pytanie nr 5 – wpływ na konkurencję
Czy Zamawiający przeprowadził analizę rynku przed określeniem warunków udziału w postępowaniu?
Jeżeli tak, prosimy o wskazanie:
ilu wykonawców – według wiedzy Zamawiającego – spełnia jednocześnie wszystkie wymagania określone w postępowaniu;
czy Zamawiający analizował wpływ przyjętych warunków na poziom konkurencji;
czy rozważano zastosowanie warunków opartych na certyfikowanych systemach zarządzania zamiast progów wartości historycznych usług i liczby zatrudnionych pracowników;
dlaczego odstąpiono od takiego rozwiązania.
Przed określeniem warunków udziału Zamawiający przeprowadził rozeznanie rynku na potrzeby oszacowania wartości zamówienia. Uzyskane informacje potwierdziły istnienie podmiotów zdolnych do realizacji zamówienia oraz spełniających określone wymagania.
Zamawiający wskazuje, że celem warunków udziału nie było ograniczenie konkurencji, lecz zapewnienie udziału wykonawców posiadających doświadczenie odpowiadające specyfice i skali planowanego przedsięwzięcia. Fakt, że warunki mogą zawężać krąg potencjalnych wykonawców, nie oznacza automatycznie naruszenia zasady konkurencyjności, o ile pozostają one związane z przedmiotem zamówienia, są obiektywnie uzasadnione oraz proporcjonalne do celu, jakiemu służą.
W ocenie Zamawiającego wszystkie postawione wymagania pozostają w bezpośrednim związku z przedmiotem zamówienia, służą ograniczeniu ryzyka związanego z realizacją projektu dotyczącego bezpieczeństwa informacji oraz są niezbędne dla zapewnienia należytej jakości realizacji zamówienia.
