Archiwum Baza KonkurencyjnościCPV 72000000 · Usługi informatyczneCPV 79000000 · Usługi biznesowe i zarządzanie Mazowieckie KPO
Zwiększenie cyberodporności i ciągłości działania Miejskiego Zakładu Gospodarki
Pełna nazwa postępowania: Zwiększenie cyberodporności i ciągłości działania Miejskiego Zakładu Gospodarki Komunalnej i Mieszkaniowej Sp. z o.o. w Przasnyszu w ramach Konkursu Grantowego pn. "Cyberbezpieczne Wodociągi"
Miejski Zakład Gospodarki Komunalnej i Mieszkaniowej sp. z o.o.·NIP 7611438775·Przasnysz
Wartość szac.
—
nie podano
Termin składania
16.07.2026
postępowanie zakończone
Otwarcie ofert
—
nie podano
Opublikowano
9 lipca 2026
źródło: Baza Konkurencyjności
Streszczenie SWZ
Streszczenie AI · Janusz
Widzisz połowę każdej z 10 sekcjiDruga połowa — łącznie 38 zdań z warunkami, dokumentami i analizą ryzyka — odsłania się po założeniu darmowego konta.
Numer referencyjny: 32/2026/S
Przedmiot zamówienia: Dostawa sprzętu komputerowego wraz z oprogramowaniem, udzieleniem licencji oraz wdrożenie systemów cyberbezpieczeństwa, przeprowadzenie szkoleń i audytów w ramach projektu „Zwiększenie cyberodporności i ciągłości działania Miejskiego Zakładu Gospodarki Komunalnej i Mieszkaniowej Sp. z o.o. w Przasnyszu”.
Typ zamówienia: Dostawy i usługi (sektorowe).
Tryb udzielenia zamówienia: Regulaminowy przetarg nieograniczony (prowadzony na podstawie art. 70¹–70⁵ Kodeksu cywilnego oraz Zasad Konkurencyjności; zamówienie niepodlegające przepisom ustawy Pzp).
Kody CPV:
30200000-1 – Urządzenia komputerowe
48900000-7 – Różne pakiety oprogramowania i systemy komputerowe
48600000-4 – Pakiety oprogramowania dla baz danych i operacyjne
48820000-2 – Serwery
32420000-3 – Urządzenia sieciowe
32422000-7 – Elementy składowe sieci
35100000-5 – Urządzenia awaryjne i zabezpieczające
Miejski Zakład Gospodarki Komunalnej i Mieszkaniowej sp. z o.o. z siedzibą w Przasnyszu (kod pocztowy 06-300), przy ul. Kaczej 9, województwo mazowieckie.
Postępowanie prowadzone jest w trybie regulaminowego przetargu nieograniczonego na podstawie przepisów art. 70¹ – 70⁵ Kodeksu cywilnego oraz Regulaminu udzielania zamówień publicznych obowiązującego u Zamawiającego. (+ 2 zdania — pełna treść po zalogowaniu)
Zamawiający nie podał w SWZ dokładnej wartości szacunkowej zamówienia, wskazując jedynie, że wartość ta nie przekracza 432 000 EURO. Wszelkie rozliczenia między Zamawiającym a Wykonawcą będą prowadzone w walucie PLN. Inwestycja jest współfinansowana ze środków Instrumentu na Rzecz Odbudowy i Zwiększania Odporności w ramach Krajowego Planu Odbudowy i Zwiększania Odporności (KPO), Inwestycja C3.1.1. (+ 3 zdania — pełna treść po zalogowaniu)
Wykonawca musi spełnić następujące warunki udziału w postępowaniu:
Wpis do rejestru: Prowadzenie działalności gospodarczej lub zawodowej w branży odpowiedniej dla realizacji zamówienia oraz wpis do rejestru zawodowego lub handlowego.
Ubezpieczenie OC: Posiadanie ubezpieczenia od odpowiedzialności cywilnej w zakresie prowadzonej działalności związanej z przedmiotem zamówienia na sumę gwarancyjną nie mniejszą niż 500 000,00 zł.
Doświadczenie – Część I: Wykazanie udokumentowanego 5-letniego doświadczenia w realizacji audytów i wdrażaniu systemów bezpieczeństwa oraz należyte wykonanie co najmniej 5 usług związanych z wdrażaniem SZBI i SZCD oraz audytów bezpieczeństwa w okresie ostatnich 3 lat.
Kadra – Część I: Wskazanie co najmniej dwóch osób posiadających niezbędną wiedzę i doświadczenie w opracowaniu/wdrożeniu/aktualizacji SZBI, które w okresie 2 lat przed upływem terminu składania ofert były audytorami (zewnętrznymi z certyfikatem określonym w rozporządzeniu lub audytorami zewnętrznymi systemu ISO/IEC 27001:2023) i posiadają co najmniej 2-letnie doświadczenie w tym zakresie.
Doświadczenie – Część II: Wykazanie udokumentowanego 5-letniego doświadczenia w sprzedaży oraz wdrażaniu systemów cyberbezpieczeństwa oraz należyte wykonanie co najmniej 3 dostaw lub usług związanych z wdrażaniem systemów bezpieczeństwa w okresie ostatnich 3 lat, w tym:
Podwykonawstwo: Zamawiający dopuszcza powierzenie zadań podwykonawcom. Wykonawca ma obowiązek wskazać w ofercie zakres prac powierzany podwykonawcom oraz dane tych podmiotów (jeśli są znane). Zmiana podwykonawcy wymaga wykazania, że nowy podmiot spełnia warunki udziału w postępowaniu w stopniu nie mniejszym niż pierwotny. Wykonawca ponosi pełną odpowiedzialność za koordynację oraz należyte wykonanie zamówienia przez podwykonawców.
Zmiany umowy: Zamawiający przewiduje możliwość wydłużenia terminu realizacji umowy, pod warunkiem, że zmiana ta nie spowoduje przekroczenia końcowej daty kwalifikowalności wydatków w programie (tj. do 31.12.2026 r.).
RODO: Administratorem danych osobowych jest Miejski Zakład Gospodarki Komunalnej i Mieszkaniowej Sp. z o.o. w Przasnyszu. Przetwarzanie danych odbywa się na podstawie art. 6 ust. 1 lit. c RODO w celu związanym z niniejszym postępowaniem.
Wymagania BHP/Środowiskowe: Realizacja zamówienia musi być zgodna z zasadą DNSH (nie czyń znaczącej szkody). Prace wdrożeniowe muszą być prowadzone zgodnie z przepisami BHP, przy zapewnieniu osób posiadających stosowne uprawnienia (np. D1 i/lub E1).
Z każdej z 10 sekcji pokazujemy połowę. Załóż darmowe konto, żeby odsłonić pozostałe 38 zdań — pełne warunki udziału, dokumenty i analizę ryzyka Janusza. Bez karty, 14 dni za darmo.
14 dni za darmo Bez karty płatniczej Rezygnacja w 1 klik
Opis przedmiotu zamówienia
Streszczenie AI · Janusz
Część I (usługi): Opracowanie i wdrożenie dokumentacji SZBI i SZCD oraz przeprowadzenie audytów zgodności z normami ISO/IEC 27001 i ISO 22301 dla przedsiębiorstwa wodociągowo-kanalizacyjnego.
Część II (dostawy i usługi IT/OT): Realizacja złożonego projektu cyberbezpieczeństwa obejmującego 42 zadania, w tym:
Dostawę sprzętu: serwery (3 szt.), szafa RACK (1 szt.), urządzenia sieciowe (2 szt.), access pointy (2 szt.), stacja robocza z monitorami (1 kpl.), serwery NAS (2 szt.), sondy/sensory OT (4 szt.), urządzenia UTM/firewalle (3 szt.), klucz sprzętowy U2F (1 szt.), UPS-y (4 szt.).
Dostawę i wdrożenie oprogramowania: systemy IDS/SIEM/SOAR/XDR, oprogramowanie do ochrony przed ransomware (35 szt.), EDR (35 szt.), DLP (35 szt.), oprogramowanie do badania podatności (35 hostów), ITSM (35 licencji), MDM (5 licencji), systemy operacyjne oraz licencje dostępowe.
Usługi specjalistyczne: wdrożenie i hardening systemów IT/OT, segmentacja sieci, inwentaryzacja aktywów, testy bezpieczeństwa, audyt IT, szkolenia personelu (z symulacjami ataków socjotechnicznych) oraz obsługa MDR (Managed Detection and Response).
Pytania i odpowiedzi
Wyjaśnienia treści SWZ udzielone przez zamawiającego. Odpowiedzi wiążą wszystkich wykonawców — także tych, którzy nie zadali pytania.
Czy Zamawiający uzna kumulację funkcji (praca pasywna/aktywna/inline, IDS/IPS/DPI/routing/przełączanie/stanowy firewall) pod jedną nazwą za nieusuwalną wadę OPZ i unieważni postępowanie w Części II? Czy Zamawiający jest w stanie wskazać co najmniej 3 modele urządzeń spełniające łącznie wszystkie wymagania Zadania 9?
Zamawiający nie potwierdza zarzutu i nie znajduje podstaw do unieważnienia postępowania w tym zakresie.
Opis przedmiotu zamówienia w Zadaniach 9, 11, 12 i 21 określa wymagania funkcjonalne i wydajnościowe, a nie konstrukcję ani architekturę wewnętrzną urządzenia. Konwergencja funkcji ochrony sieci (inspekcja pakietów, IDS/IPS, kontrola aplikacyjna, elementy routingu i przełączania, stanowa inspekcja ruchu) w ramach jednej platformy sprzętowej jest od lat standardem rynkowym klasy NGFW/NDR/UTM, oferowanym przez wielu niezależnych producentów działających na rynku europejskim, w tym w segmencie rozwiązań dedykowanych sieciom przemysłowym/OT jak i IT. Wymóg ten nie wskazuje zatem na jednego, konkretnego dostawcę, lecz opisuje funkcjonalność niezbędną do zapewnienia ciągłości działania infrastruktury wodociągowej – to znaczy zdolność jednoczesnego wykrywania, klasyfikowania i – tam, gdzie to uzasadnione – blokowania zagrożeń bez tworzenia kolejnych, odrębnych punktów awarii w sieci OT.
Zamawiający nie jest zobowiązany – ani na gruncie Rozdziału 3 ust. 10 SWZ, ani na gruncie zasad Zasady Konkurencyjności – do wskazywania konkretnych modeli lub producentów spełniających wymagania OPZ. Takie wskazanie prowadziłoby do efektu odwrotnego niż zamierzony przez pytającego, tj. do związania opisu przedmiotu zamówienia ze znakami towarowymi konkretnych produktów. Kryteria równoważności wynikają z parametrów funkcjonalnych i wydajnościowych określonych w OPZ (Rozdział 3 ust. 10 i 14 SWZ), a ciężar wykazania spełnienia tych parametrów – niezależnie od architektury oferowanego rozwiązania – spoczywa na wykonawcy składającym ofertę, zgodnie z Rozdziałem 3 ust. 14 SWZ.
Czy Zamawiający uzna wymóg SL4 za nieproporcjonalny i skutkujący unieważnieniem postępowania w Części II? Jakie było uzasadnienie merytoryczne przyjęcia poziomu SL4 dla urządzeń IT?
Zamawiający podtrzymuje wymóg i nie znajduje podstaw do jego uchylenia ani do unieważnienia postępowania.
Po pierwsze, wymóg dotyczy komponentów pracujących na styku sieci IT/OT lub bezpośrednio zabezpieczających sieć OT/ICS przedsiębiorstwa wodociągowo-kanalizacyjnego, a nie „urządzeń IT” w oderwaniu od ich funkcji. Norma IEC 62443-4-2 opisuje wymagania bezpieczeństwa dla komponentów systemów automatyki i sterowania niezależnie od tego, czy komponent formalnie klasyfikowany jest jako „IT”, czy „OT” – decydujące znaczenie ma rola pełniona w architekturze stref i kanałów komunikacyjnych (zgodnie z koncepcją zoning/conduit opisaną w serii IEC 62443, do której odwołuje się OPZ). Skoro Zadania 9, 11, 12 i 21 dotyczą urządzeń chroniących styk sieci technologicznej i biorą bezpośredni udział w segmentacji i ochronie sieci OT, poziom asekuracji tych komponentów musi odpowiadać profilowi ryzyka środowiska OT, a nie środowiska biurowego.
Po drugie, dobór poziomu SL4 nie jest decyzją arbitralną, lecz wynika z oceny profilu zagrożeń właściwego dla infrastruktury krytycznej dostarczającej wodę pitną, potwierdzanego konsekwentnie przez CERT Polska, CSIRT-y sektorowe oraz instytucje unijne jako jeden z priorytetowych celów zorganizowanych i sponsorowanych kampanii ataków na infrastrukturę krytyczną. Od 3 kwietnia 2026 r. obowiązuje ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, implementująca dyrektywę NIS2, która kwalifikuje przedsiębiorstwa zaopatrujące w wodę pitną jako podmioty kluczowe krajowego systemu cyberbezpieczeństwa i nakłada na kierownika takiego podmiotu – niezależnie od odpowiedzialności samej spółki – bezpośrednią, osobistą odpowiedzialność administracyjną za nadzór nad wdrożeniem adekwatnych środków bezpieczeństwa (art. 8c oraz art. 73a tej ustawy). W tym stanie prawnym przyjęcie poziomu zabezpieczeń niższego niż uzasadniony rzeczywistym ryzykiem nie byłoby wyrazem otwartości na konkurencję, lecz świadomym obniżeniem standardu bezpieczeństwa usługi kluczowej.
Po trzecie, zasada proporcjonalności nie oznacza obowiązku dostosowania wymagań do możliwości najsłabiej przygotowanej części rynku, lecz obowiązek adekwatności wymagań do przedmiotu i celu zamówienia. Certyfikacja w standardzie IEC 62443-4-2 jest procesem otwartym i dostępnym dla każdego producenta, a liczba certyfikowanych komponentów systematycznie rośnie wraz z wdrażaniem NIS2 w całej Unii Europejskiej. Ewentualny brak certyfikatu po stronie oferty konkretnego dostawcy jest okolicznością leżącą po stronie podaży rynkowej, a nie wadą opisu przedmiotu zamówienia.
Zamawiający wyjaśnia jednocześnie, że dopuszcza – zgodnie z Rozdziałem 3 ust. 10 i 14 SWZ – wykazanie równoważnego poziomu asekuracji bezpieczeństwa również w drodze innych dowodów niż formalny certyfikat SL4 wystawiony przez akredytowaną jednostkę oceny zgodności, o ile wykonawca jednoznacznie wykaże w ofercie, że oferowane komponenty spełniają wymagania techniczne odpowiadające…
Czy Zamawiający potwierdza wewnętrzną sprzeczność zapisów dot. licencji wieczystych i subskrypcji terminowych, skutkującą unieważnieniem postępowania? Który model licencjonowania jest rzeczywiście wymagany?
Zamawiający nie potwierdza sprzeczności. Zapisy OPZ dla Zadań 9, 11 i 12 (oraz analogicznych pozycji OPZ) opisują dwa odrębne, uzupełniające się elementy licencyjne, typowe dla współczesnych platform bezpieczeństwa sieciowego:
● licencję (lub komplet licencji) na oprogramowanie/funkcjonalność podstawową urządzenia – wymaganą w trybie wieczystym (bezterminowym), bez obowiązku jej okresowego odnawiania w celu zachowania podstawowej funkcjonalności urządzenia;
● subskrypcje na usługi z natury swej okresowe (m.in. aktualizacje sygnatur zagrożeń, IoC dla threat intelligence, wsparcie chmurowe, bazy reputacyjne) – które w całej branży bezpieczeństwa sieciowego są dostarczane w modelu subskrypcyjnym, niezależnie od modelu licencjonowania samego oprogramowania bazowego; dla tych elementów Zamawiający określił jedynie minimalny wymagany okres ważności, tj. do daty zakończenia programu dofinansowania.
Nie jest to zatem alternatywa („licencja wieczysta albo subskrypcja”), lecz koniunkcja – licencja wieczysta obejmuje funkcjonalność podstawową urządzenia, a subskrypcja obejmuje elementy usługowe, które ze swej natury nie występują w obrocie w modelu bezterminowym. Taki model jest jednoznacznie opisany w OPZ i nie pozostawia wykonawcy wątpliwości co do zakresu wyceny: wykonawca wycenia komplet licencji wieczystych funkcjonalności podstawowej oraz subskrypcje ważne minimum do końca okresu kwalifikowalności wydatków w programie.
Zamawiający nie znajduje w powyższym podstaw do unieważnienia postępowania. Jeżeli jednak w toku postępowania okaże się, że konkretny zapis OPZ rodzi wątpliwość interpretacyjną, Zamawiający rozważy doprecyzowanie tego zapisu w trybie Rozdziału 6 ust. 8 SWZ, co nie stanowi wady nieusuwalnej.
Czy Zamawiający zrezygnuje z wymogu modularności na rzecz mierzalnych parametrów funkcjonalnych, a jeśli nie – czy uzna to za element nieusuwalnej wady postępowania? Jaka jest funkcjonalna potrzeba uzasadniająca ten wymóg?
Zamawiający podtrzymuje wymóg struktury modularnej dla urządzeń aktywnych sieci montowanych w szafach rack 19”, wskazanych w OPZ i nie znajduje podstaw do unieważnienia postępowania.
Potrzeba funkcjonalna jest następująca: producent zobowiązany jest zapewnić dostępność wsparcia i cyklu życia produktu do 2032 r. (OPZ, wymagania ogólne dla sprzętu), a urządzenie ma pełnić funkcję platformy bezpieczeństwa obsługującej rosnące w czasie obciążenie ruchem sieciowym oraz liczbę chronionych segmentów sieci IT/OT. Konstrukcja umożliwiająca rozbudowę interfejsów (np. dodanie kart portów, modułów redundancji zasilania) bez wymiany całego urządzenia pozwala: (i) uniknąć przerwy w ochronie sieci OT przy rozbudowie infrastruktury w toku wieloletniej eksploatacji, (ii) racjonalnie gospodarować środkami z dofinansowania, unikając konieczności zakupu nowego urządzenia w całości przy każdej zmianie skali sieci, oraz (iii) zachować redundancję zasilania wymaganą dla urządzeń o znaczeniu krytycznym dla ciągłości monitoringu bezpieczeństwa.
Modularna budowa sprzętu montowanego w szafach rack (możliwość wymiany/rozbudowy kart interfejsów, zasilaczy redundantnych) jest rozwiązaniem oferowanym przez wielu producentów urządzeń sieciowych klasy enterprise, nie jest więc cechą właściwą wąskiej grupie linii produktowych jednego dostawcy. Zamawiający opisuje w tym zakresie potrzebę funkcjonalną (rozszerzalność i redundancja w horyzoncie eksploatacji do 2032 r.), a nie konkretne rozwiązanie konstrukcyjne jednego producenta, w związku z czym nie znajduje podstaw do rezygnacji z tego wymogu.
Czy Zamawiający jest w stanie wskazać co najmniej 3 niezależne, równoważne rozwiązania spełniające łącznie wymagania Zadań 33 i 34? Jeśli nie – czy uzna to za nieusuwalną wadę i określi mierzalne kryteria równoważności?
Zamawiający nie potwierdza, że opis przedmiotu zamówienia w Zadaniach 33 i 34 wskazuje na jedno, konkretne rozwiązanie producenckie, i nie znajduje podstaw do unieważnienia postępowania w tym zakresie.
Nazwy funkcjonalności wymienione w OPZ (m.in. IPS/IDS, OT Anomaly Detection, Threat Detection, Data Traceability Control, SDN, Anti-DDoS, Anti-APT, SIEM, SOAR, XDR, Central FW Management) opisują kategorie funkcjonalne powszechnie występujące w rozwiązaniach klasy przemysłowy IDS/UTM/UTM/SIEM dostępnych na rynku, nie zaś zastrzeżone nazwy handlowe jednego produktu. Zamawiający nie posługuje się w opisie tych zadań nazwami handlowymi ani znakami towarowymi konkretnego producenta.
Zgodnie z Rozdziałem 3 ust. 10 SWZ Zamawiający dopuszcza rozwiązania równoważne opisywanym, a kryterium równoważności stanowi realizacja wskazanych funkcjonalności w zakresie i na poziomie jakościowym nie gorszym niż opisany w OPZ – niezależnie od nazewnictwa handlowego stosowanego przez poszczególnych producentów dla analogicznych mechanizmów ochronnych. Zamawiający nie ma obowiązku wskazywania konkretnych modeli lub producentów spełniających łącznie wymagania Zadań 33 i 34, gdyż takie wskazanie byłoby sprzeczne z zasadą neutralności technologicznej opisu przedmiotu zamówienia. Ciężar wykazania równoważności – w tym poprzez dokumentację techniczną, karty katalogowe lub deklaracje producenta potwierdzające realizację danej funkcjonalności – spoczywa na wykonawcy, zgodnie z Rozdziałem 3 ust. 14 SWZ.
Jeżeli wykonawca wskaże konkretny zapis OPZ, którego brzmienie w jego ocenie nie pozwala na jednoznaczne powiązanie z funkcą (a nie z nazwą handlową), Zamawiający rozważy doprecyzowanie opisu w trybie Rozdziału 6 ust. 8 SWZ. Sama obszerność listy wymaganych funkcjonalności nie stanowi jednak wady nieusuwalnej postępowania.
Pokazujemy 5 z 8 pytań. Komplet wyjaśnień — razem z załącznikami, których dotyczą — jest w dokumentacji postępowania.
