Postępowanie o udzielenie zamówienia prowadzone jest w trybie podstawowym bez prowadzenia negocjacji, na podstawie art. 275 pkt 1) ustawy Prawo zamówień publicznych.
Zamawiający nie przewiduje udzielania zamówień w trybie z wolnej ręki (art. 214 ust. (+ 3 zdania — pełna treść po zalogowaniu)
Zamawiający nie podał w SWZ wartości szacunkowej zamówienia ani budżetu przeznaczonego na jego sfinansowanie. Informację o kwocie, jaką zamierza przeznaczyć na realizację zamówienia, Zamawiający udostępni na stronie internetowej postępowania najpóźniej przed otwarciem ofert.
Uwagi dodatkowe:
Cena oferty musi zawierać obowiązującą stawkę podatku VAT, która wynosi 23%.
Wykonawca musi spełnić następujące warunki udziału w postępowaniu:
System zarządzania bezpieczeństwem informacji: Wykonawca musi stosować system zarządzania bezpieczeństwem informacji realizując usługi audytu, kontroli lub doradztwa zgodnie z wymaganiami normy ISO/IEC 27001 lub normy równoważnej.
Doświadczenie: Wykonawca musi wykazać, że w okresie ostatnich 5 lat (a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie) wykonał należycie jedną usługę polegającą na przeprowadzeniu audytu lub przeglądu, lub aktualizacji, lub wdrożeniu SZBI, lub przygotowaniu do certyfikacji SZBI dla co najmniej 150 odrębnych jednostek organizacyjnych/punktów adresowych, zgodnie z normą ISO 27001 i/lub wytycznymi Rozporządzenia Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (KRI).
Zespół audytowy: Wykonawca musi dysponować zespołem audytowym składającym się z co najmniej 6 osób:
Podwykonawstwo: Zamawiający dopuszcza powierzenie części przedmiotu zamówienia podwykonawcom. Wykonawca odpowiada za ich działania lub zaniechania jak za własne (s. 3).
Czas realizacji: Wykonawca zrealizuje zamówienie w terminie do 20 tygodni od dnia zawarcia umowy (s. 4).
Zmiany umowy: Zamawiający przewiduje możliwość dokonania zmian postanowień zawartej umowy na podstawie art. 455 ust. 1 pkt 1 ustawy, na warunkach określonych w projekcie umowy (s. 17).
Z każdej z 11 sekcji pokazujemy połowę. Załóż darmowe konto, żeby odsłonić pozostałe 25 zdań — pełne warunki udziału, dokumenty i analizę ryzyka Janusza. Bez karty, 14 dni za darmo.
14 dni za darmo Bez karty płatniczej Rezygnacja w 1 klik
Opis przedmiotu zamówienia
Streszczenie AI · Janusz
Realizacja usługi audytu bezpieczeństwa informacji w Miejskich Jednostkach Organizacyjnych Miasta Poznania, obejmującej obszary: poczty elektronicznej (procesy autoryzacji, wektory ataku), bezpieczeństwa fizycznego (kontrola dostępu, ochrona dokumentacji) oraz bezpieczeństwa proceduralnego (polityki, procedury).
Przeprowadzenie badań w jednostkach organizacyjnych (w tym audyt minimum 4 systemów informatycznych w jednostkach oświatowych oraz minimum 2 systemów w pozostałych jednostkach).
Zapewnienie zespołu audytowego składającego się z minimum 6 osób (1 kierownik zespołu + 5 audytorów).
Sporządzenie indywidualnych raportów z audytu dla każdej jednostki oraz zbiorczego Raportu Sumarycznego dla Zamawiającego.
Prace muszą być realizowane zgodnie z normą ISO/IEC 27001 oraz wytycznymi Krajowych Ram Interoperacyjności (KRI).
Pytania i odpowiedzi
Wyjaśnienia treści SWZ udzielone przez zamawiającego. Odpowiedzi wiążą wszystkich wykonawców — także tych, którzy nie zadali pytania.
Wnosimy o wyjaśnienie, jakie obiektywne przesłanki uzasadniają wymaganie wykazania
doświadczenia obejmującego co najmniej 150 jednostek organizacyjnych realizowanych
w ramach jednej umowy. W szczególności prosimy o wskazanie, dlaczego doświadczenie
zdobyte w ramach kilku umów obejmujących łącznie analogiczny zakres nie jest uznane za
wystarczające.
Obiektywną przesłanką wprowadzenia warunku jest skala i sposób realizacji zamówienia:
audyt obejmuje 250 rozproszonych jednostek, musi zostać przeprowadzony w krótkim czasie
i wymaga nie tylko wiedzy audytowej, lecz także sprawnej koordynacji terminów,
komunikacji, zbierania uwag oraz przygotowania odrębnych raportów. Zamawiający wymaga
doświadczenia obejmującego co najmniej 150 jednostek w ramach jednej umowy, ponieważ
takie doświadczenie najlepiej potwierdza, że Wykonawca potrafi samodzielnie zaplanować,
skoordynować i zakończyć przedsięwzięcie o podobnej skali organizacyjnej. Doświadczenie
zdobyte w kilku odrębnych umowach może potwierdzać znajomość przedmiotu audytu, ale
nie potwierdza zdolności do jednoczesnego zarządzania dużą liczbą jednostek,
harmonogramów, kontaktów i raportów w ramach jednego zintegrowanego zadania.
Na podstawie § 19 ust. 2 pkt 14 rozporządzenia Rady Ministrów z dnia 21 maja 2024 r.
w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów
publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla
systemów teleinformatycznych (dalej KRI), jednostki objęte zamówieniem muszą zapewnić
okresowy audyt wewnętrzny w zakresie bezpieczeństwa informacji nie rzadziej niż raz na rok.
Ze względu na obowiązek wykonania audytu dla 250 jednostek w jednym roku, ich
rozproszenie lokalizacyjne oraz konieczność sporządzenia jednostkowych raportów,
Zamawiający musi mieć pewność, że Wykonawca posiada doświadczenie w koordynacji
zadania o porównywalnej skali i złożoności.
Przy takiej liczbie jednostek, istotne jest nie tylko przeprowadzenie badania audytowego,
lecz także zaplanowanie terminów spotkań, obsługa zmian w harmonogramie, zbieranie
i weryfikowanie uwag dyrektorów, wprowadzanie korekt do raportów oraz bieżąca
komunikacja z audytowanymi. Zamawiający wymaga więc doświadczenia w stosowaniu
narzędzi organizacyjnych pozwalających efektywnie obsłużyć dużą liczbę kontaktów, pytań
i dokumentów w krótkim czasie.
Zamawiający uznaje, że skala zadania wymaga od Wykonawcy posiadania sprawdzonych
procedur organizacyjnych, pozwalających efektywnie obsłużyć dużą liczbę kontaktów, pytań,
dokumentów, uwag i korekt w krótkim czasie.
Zamawiający nie może oprzeć realizacji zadania na wielu równoległych umowach, ponieważ
zwiększałoby to ryzyko niespójnej organizacji pracy, rozproszenia odpowiedzialności oraz
dodatkowego obciążenia koordynacyjnego po stronie Zamawiającego.
Doświadczenie Wykonawcy w realizacji jednej umowy obejmującej znaczną liczbę jednostek
daje Zamawiającemu większe prawdopodobieństwo, że zadanie zostanie wykonane
terminowo, spójnie i bez nadmiernego obciążenia organizacyjnego po stronie
Zamawiającego, a jednostki zrealizują obowiązek wynikający z przepisów prawa w danym
roku.
Ze względu na ograniczone zasoby kadrowe oraz inne zadania operacyjne, Zamawiający
nie może przenosić na siebie ciężaru koordynacji wielu równoległych Wykonawców lub
odrębnych zamówień dotyczących tego samego…
Wnosimy o wyjaśnienie, w jaki sposób realizacja audytu w ramach jednej umowy, a nie kilku
umów, przekłada się na rzeczywistą zdolność wykonawcy do realizacji zamówienia oraz jakie
ryzyka eliminuje taki wymóg.
Realizacja audytu w ramach jednej umowy potwierdza, że Wykonawca miał doświadczenie w
prowadzeniu jednego, spójnego przedsięwzięcia o dużej skali, a nie jedynie w wykonywaniu
podobnych czynności w mniejszych, rozproszonych projektach. Dla Zamawiającego istotne są
ryzyka organizacyjne: brak sprawnego harmonogramowania audytów, trudności w
równoległej komunikacji z wieloma jednostkami, opóźnienia w pozyskiwaniu danych,
niespójność raportów oraz brak przygotowanych narzędzi do obsługi dużej liczby kontaktów,
uwag i korekt. Wymóg jednej umowy ma więc eliminować ryzyko, że Wykonawca zna
przedmiot audytu, ale nie ma doświadczenia w zarządzaniu przedsięwzięciem o
porównywalnej skali operacyjnej.
Do kluczowych ryzyk należą w szczególności:
a) brak doświadczenia Wykonawcy w realizacji audytów obejmujących dużą liczbę jednostek;
b) brak skutecznego skoordynowania terminów z dużą liczbą audytowanych jednostek, co
mogłoby zagrozić terminowej realizacji zadania;
c) nieuwzględnienie przez Wykonawcę czynności organizacyjnych poprzedzających i
towarzyszących audytowi, takich jak przygotowanie komunikacji, obsługa pytań, zbieranie
uwag i korekta raportów;
d) trudności logistyczne związane z przemieszczaniem się między rozproszonymi jednostkami
w dużym mieście;
e) ryzyko komunikacyjne związane z obsługą dużej liczby telefonów i wiadomości,
koordynacją bieżących ustaleń oraz wsparciem jednostek o różnym poziomie
przygotowania cyfrowego;
f) brak doświadczenia przy dużych audytach realizowanych w krótkim czasie może
powodować niedoszacowanie nakładu pracy na poszczególne etapy zamówienia.
Z informacji publicznych wynika, że zamówienia realizowane przez Zamawiającego w latach
2024–2025, w szczególności:
− umowa nr CC-V.0148.1.3.2024 (audyt KRI),
− umowa nr CC-IV.0148.7.6.2025 (reaudyt),
były realizowane przez tego samego wykonawcę, przy czym postępowania te prowadzone
były w trybie ograniczonym lub z wyłączeniem stosowania przepisów ustawy Pzp.
Wnosimy o wyjaśnienie, w jaki sposób Zamawiający zapewnił równy dostęp rynku do
możliwości uzyskania doświadczenia odpowiadającego obecnemu warunkowi udziału
w postępowaniu, w szczególności wymogu realizacji audytu dla ≥150 jednostek w ramach
jednej umowy.
Zamawiający zapewnia równy dostęp rynku poprzez prowadzenie postępowania w trybie
konkurencyjnym oraz określenie warunku udziału w sposób odnoszący się do rzeczywistej
skali i ryzyk zamówienia. Warunek nie został oparty na wcześniejszych zamówieniach
Zamawiającego, lecz dotyczy bieżącego zamówienia, z którym jest i wy łącznie może być
powiązany. Z analizy rynku i wiedzy Zamawiającego wynika, że na rynku funkcjonują
Wykonawcy realizujący podobne zadania dla dużych struktur publicznych, w szczególności dla
jednostek obsługiwanych przez centra usług wspólnych. Wykazanie się przez Wykonawców
wymaganym doświadczeniem nie może ograniczać się do zamówień realizowanych na rzecz
Zamawiającego.
Publiczny charakter ogłoszenia o zamówieniu zapewnia Wykonawcom dostęp do informacji
o postępowaniu. Zamawiający, realizując obowiązek wynikający z przepisów, określił warunki
udziału proporcjonalnie do zamówienia, w taki sposób, by odzwierciedlały skalę, złożoność
i ryzyka organizacyjne dla niego właściwe.
Wykonawcy mogą zdobywać wymagane doświadczenie przy podobnych audytach
realizowanych dla innych dużych miast, zwłaszcza takich, w których funkcjonują centra usług
wspólnych obsługujące obszary IT lub cyberbezpieczeństwa. Takie centra często konsolidują
obsługę kilkudziesięciu albo kilkuset miejskich jednostek organizacyjnych, co tworzy
porównywalne warunki organizacyjne do zamówienia objętego postępowaniem.
Wnosimy o wyjaśnienie, w jaki sposób Zamawiający uwzględnił ryzyko uprzywilejowania
wykonawcy, który realizował zamówienia w latach 2024–2025, przy kształtowaniu obecnego
warunku udziału w postępowaniu.
Zamawiający określając warunki udziału w postępowaniu, w żaden sposób nie
uprzywilejował dotychczasowego Wykonawcy podobnych audytów. Wymóg doświadczenia
dotyczy realizacji audytów o określonej skali organizacyjnej. Warunek może zostać spełniony
przez Wykonawców, którzy wykonywali podobne usługi dla innych dużych jednostek sektora
publicznego lub struktur obsługujących wiele jednostek organizacyjnych. Zamawiający nie
wymaga znajomości wcześniejszych audytów prowadzonych w Poznaniu ani doświadczenia
uzyskanego w ramach konkretnych umów z lat 2024–2025.
W 2024 r., ze względu na istotne kwestie związane z podatnościami w obszarze
bezpieczeństwa infrastruktury teleinformatycznej jednostek, przeprowadzono audyt, który
wykazał dodatkowe zagadnienia z obszaru cyberbezpieczeństwa. Ze względu na newralgiczny
charakter informacji istotnych dla funkcjonowania infrastruktury IT Miasta Zamawiający nie
może udzielić szerszych informacji. W 2025 r. zlecenie reaudytu temu samemu Wykonawcy
było związane z potrzebą zachowania ciągłości działań naprawczych oraz ograniczenia ryzyka
ujawnienia wrażliwych danych.
Wnosimy o wyjaśnienie, czy Zamawiający dopuszcza możliwość uznania za równoważne
doświadczenia polegającego na realizacji audytów bezpieczeństwa informacji w mniejszej
liczbie jednostek, jednak o wysokiej złożoności organizacyjnej i operacyjnej, w szczególności
obejmujących:
− duże organizacje publiczne lub instytucje centralne,
− rozbudowaną infrastrukturę IT,
− znaczący poziom zatrudnienia,
− szeroki zakres audytu (m.in. SZBI, ciągłość działania, zarządzanie ryzykiem, incydentami,
dostępem, monitoringiem, bezpieczeństwem fizycznym i relacjami z dostawcami).
Wnosimy o wskazanie, dlaczego doświadczenie w audycie dużych, złożonych organizacji nie
jest uznawane za równoważne doświadczeniu polegającemu na audycie dużej liczby
jednostek charakteryzujących się niższą złożonością.
Audyt przeprowadzany w dużych i złożonych organizacjach, które zazwyczaj dysponują
wyspecjalizowaną kadrą informatyczną oraz wyższym poziomem wiedzy w zakresie
bezpieczeństwa informacji, różni się istotnie od audytu wielu mniejszych jednostek.
W dużych organizacjach zwykle łatwiej ustalić osoby odpowiedzialne za udzielanie informacji
audytowych, wskazać elementy infrastruktury oraz uzyskiwać odpowiedzi na bieżąco. Z tego
względu, mimo większej złożoności architektury informatycznej, taki audyt może wymagać
innych kompetencji organizacyjnych niż audyt rozproszonej sieci mniejszych jednostek.
Audyt dużej organizacji może być łatwiejszy pod względem organizacyjnym, nawet jeżeli
wymaga głębszej analizy rozbudowanej infrastruktury informatycznej.
Audyt w mniejszych jednostkach ma odmienny charakter organizacyjny. Znaczna część pracy
polega na komunikacji z jednostką, kilkukrotnym ustalaniu terminów spotkań,
koordynowaniu udziału zewnętrznych podmiotów obsługujących jednostkę informatycznie
oraz wyjaśnianiu zakresu i celu audytu osobom, dla których informatyka
i cyberbezpieczeństwo nie są podstawowym obszarem działalności. Wymaga to stosowania
dodatkowych narzędzi organizacyjnych, takich jak komunikatory, portale, ankiety
elektroniczne, dyżury telefoniczne, obsługa poczty elektronicznej, a niekiedy także
dokumentacji papierowej. Wykonawca musi również uwzględnić, że część jednostek może nie
posiadać pełnej wiedzy o lokalizacji poszczególnych elementów infrastruktury.
Powyższe okoliczności wynikają z praktycznych doświadczeń związanych z audytowaniem
jednostek o niższym poziomie specjalizacji w zakresie informatyzacji i cyberbezpieczeństwa,
w których znaczna część nakładu pracy dotyczy organizacji kontaktu, wyjaśniania zakresu
audytu i pozyskiwania informacji.
Dlatego tak istotny jest aspekt możliwości operacyjnych Wykonawców i ich świadomości
z czym mogą się zmierzyć wykonując specyficzny audyt w środowisku oświatowym czy
pomocy społecznej.
Istotnym elementem zamówienia jest również logistyka. Poznań jest dużym miastem,
a jednostki objęte audytem są rozproszone terytorialnie, dlatego Wykonawca powinien
posiadać doświadczenie w planowaniu tras, harmonogramów i reakcji na zmiany
organizacyjne. Brak takich procedur może zagrozić terminowemu wykonaniu audytu i narazić
jednostki miejskie na niewykonanie obowiązku wynikającego z przepisów prawa.
W związku z powyższym, doświadczenie opisane w pytaniu nie potwierdza doświadczenia
wymaganego przez Zamawiającego.
Pokazujemy 5 z 7 pytań. Komplet wyjaśnień — razem z załącznikami, których dotyczą — jest w dokumentacji postępowania.
