DZP.271.45.2025 Podniesienie poziomu cyberbezpieczeństwa Szpitala poprzez realizację usług Security Operations Center (SOC), szkoleń, testów penetracyjnych, dostarczenia licencji oraz wdrożenie skanera podatności oraz dostosowanie dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji (SZBI)

Krótki opis

Przedmiotem zamówienia są usługi polegające na podniesieniu poziomu cyberbezpieczeństwa Szpitala poprzez realizację usług Security Operations Center (SOC), szkoleń, testów penetracyjnych, dostarczenia licencji oraz wdrożenie skanera podatności oraz dostosowanie dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji (SZBI).

Informacje dodatkowe

Ciąg dalszy z pkt. 2.1.4. Ogłoszenia "Informacje ogólne"
6.1.2.6. dwoma osobami (2), które na etapie realizacji umowy będą pełniły funkcję analityka SOC L2/L3 (osoba odpowiedzialna za merytoryczną analizę i obsługę incydentów bezpieczeństwa), gdzie każda z nich winna posiadać:
a) doświadczenie zawodowe polegające na udziale w charakterze analityka L2/L3 lub specjalisty ds. bezpieczeństwa, w co najmniej 2 (dwóch) projektach obejmujących swoim zakresem zaawansowanie analizy incydentów bezpieczeństwa, reagowanie na incydenty (IR) lub testy penetracyjne, przy czym jeden z projektów musiał być zrealizowany w jednostce ochrony zdrowia lub dla podmiotu przetwarzającego dane wrażliwe (w rozumieniu art. 9 RODO) w okresie ostatnich 6 lat przed upływem terminu składania ofert;
b) co najmniej jeden z ważnych z certyfikatów branżowych: GCIH (GIAC Certified Incident Handler), CEH (Certified Ethical Hacker), OSCP (Offensive Security Certified Professional), CISSP lub równoważny (gdzie Zamawiający, jako certyfikat równoważny rozumie certyfikat analogiczny potwierdzający kompetencje w analizie incydentów).

7. Termin wykonania przedmiotu zamówienia, o którym mowa w pkt. 1 Działu III SWZ: do 4 miesięcy od daty podpisania umowy, jednakże nie dłużej niż do dnia 31.05.2026 r.
8. Zamawiający na podstawie art. 257 pkt 1) PZP przewiduje możliwość unieważnienia postępowania o udzielenie zamówienia, jeżeli środki publiczne, które Zamawiający zamierzał przeznaczyć na sfinansowanie całości lub części zamówienia, nie zostaną mu przyznane.
9. Wykonawca zapewnia zgodność wykonania usług z zasadą DNSH i jest zobowiązany do bieżącego gromadzenia informacji, danych oraz dokumentacji, które stanowią potwierdzenie realizacji usług zgodnie z tą zasadą.
9.1. Wykonawca na etapie realizacji usług objętych przedmiotem zamówienia ma obowiązek stosowania energooszczędnych rozwiązań, ograniczania emisji i zużycia zasobów, a także zgodnego z prawem postępowania z odpadami i sprzętem zużytym.
----------------------------------------------------------------------------------------------------------------
1. Wykonawca, którego oferta zostanie najwyżej oceniona, zostanie wezwany do złożenia w wyznaczonym terminie, nie krótszym niż 10 dni od dnia wezwania następujących podmiotowych środków dowodowych, w celu wykazania braku podstaw wykluczenia z postępowania, o których mowa w pkt. 2 Działu V SWZ (aktualnych na dzień ich złożenia):
1.1. Informacji z Krajowego Rejestru Karnego w zakresie art. 108 ust. 1 pkt 1) i 2) Pzp, sporządzonej nie wcześniej niż 6 miesięcy przed jej złożeniem,
1.2. Informacji z Krajowego Rejestru Karnego w zakresie art. 108 ust. 1 pkt 4) Pzp, dotyczącej orzeczenia zakazu ubiegania się o zamówienie publiczne tytułem środka karnego, sporządzonej nie wcześniej niż 6 miesięcy przed jej złożeniem,
1.3. Oświadczenie Wykonawcy, w zakresie art. 108 ust. 1 pkt 5) Pzp, o braku przynależności do tej samej grupy kapitałowej w rozumieniu ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów, z innym Wykonawcą, który złożył odrębną ofertę, albo oświadczenia Wykonawcy o przynależności do tej samej grupy kapitałowej wraz z dokumentami lub informacjami potwierdzającymi przygotowanie oferty niezależnie od innego Wykonawcy należącego do tej samej grupy kapitałowej (wzór oświadczenia będzie przekazany przez Zamawiającego wraz z wezwaniem, o którym mowa w pkt. 1 powyżej),
1.4. Oświadczenia Wykonawcy o aktualności informacji zawartych w oświadczeniu, o którym mowa w art. 125 ust. 1 Pzp, w zakresie podstaw wykluczenia z postępowania wskazanych przez Zamawiającego, o których mowa w: art. 108 ust. 1 pkt 3) Pzp, art. 108 ust. 1 pkt 4) Pzp (dotyczących orzeczenia zakazu ubiegania się o zamówienie publiczne tytułem środka zapobiegawczego), art. 108 ust. 1 pkt 5) Pzp (dotyczących zawarcia z innymi Wykonawcami porozumienia mającego na celu zakłócenie konkurencji), art. 108 ust. 1 pkt 6) Pzp. Wzór oświadczenia będzie przekazany przez Zamawiającego wraz z wezwaniem, o którym mowa w pkt. 1 powyżej.
2. Jeżeli Wykonawca ma siedzibę lub miejsce zamieszkania poza granicami Rzeczypospolitej Polskiej, zamiast Informacji z Krajowego Rejestru Karnego, o której mowa w pkt. 1.1 i 1.2. powyżej, składa informację z odpowiedniego rejestru, takiego jak rejestr sądowy, albo w przypadku braku takiego rejestru, inny równoważny dokument wydany przez właściwy organ sądowy lub administracyjny kraju, w którym Wykonawca ma siedzibę lub miejsce zamieszkania lub miejsce zamieszkania osoba, której dotyczy informacja, w zakresie podstawy wykluczenia, o którym mowa w pkt. 1.1. i 1.2. powyżej (dokument ten winien zostać wystawiony nie wcześniej niż 6 miesięcy przed jego złożeniem).
2.1. Jeżeli w kraju, w którym Wykonawca ma siedzibę lub miejsce zamieszkania lub miejsce zamieszkania osoba, której dotyczy informacja, nie wydaje się dokumentów, o których mowa w pkt. 2 niniejszego Działu lub gdy dokumenty te nie odnoszą się do wszystkich przypadków, o których mowa w art. 108 ust. 1 pkt 1), 2) i 4) Pzp, zastępuje się je odpowiednio w całości lub w części dokumentem zawierającym odpowiednio oświadczenie Wykonawcy, ze wskazaniem osoby albo osób uprawnionych do jego reprezentacji lub oświadczenie osoby, której dokument miał dotyczyć, złożone pod przysięgą, lub, jeżeli w kraju, w którym Wykonawca ma siedzibę lub miejsce zamieszkania lub miejsce zamieszkania osoba, której dotyczy informacja nie ma przepisów o oświadczeniu pod przysięgą, złożone przed organem sądowym lub administracyjnym, notariuszem, organem samorządu zawodowego lub gospodarczego, właściwym ze względu na siedzibę lub miejsce zamieszkania Wykonawcy lub miejsce zamieszkania osoba, której dotyczy informacja (dokument ten winien zostać wystawiony nie wcześniej niż 6 miesięcy przed jego złożeniem).
3. Wykonawca, którego oferta zostanie najwyżej oceniona, zostanie wezwany do złożenia w wyznaczonym terminie, nie krótszym niż 10 dni od dnia wezwania, następujących podmiotowych środków dowodowych w celu wykazania spełniania warunków udziału w postępowaniu określonych przez Zamawiającego w Dziale V pkt 4 SWZ (aktualnych na dzień ich złożenia):
3.1. wykazu usług wykonanych, w okresie ostatnich 5 lat, a jeżeli okres prowadzenia działalności jest krótszy - w tym okresie, wraz z podaniem ich wartości, przedmiotu, dat wykonania i podmiotów, na rzecz których usługi zostały wykonane, wraz z dowodami określającymi, czy usługi wykazane w wykazie usług zostały wykonane należycie, przy czym dowodami, o których mowa powyżej, są referencje bądź inne dokumenty sporządzone przez podmiot, na rzecz którego usługi zostały wykonane, a jeżeli Wykonawca z przyczyn niezależnych od niego nie jest w stanie uzyskać tych dokumentów - oświadczenie wykonawcy (Wzór wykazu usług będzie przekazany przez Zamawiającego wraz z wezwaniem, o którym mowa powyżej w pkt. 3).
3.1.1. w przypadku, gdy wartość usługi wykazanej w dokumentach, o których mowa w pkt. 3.1. powyżej, zostanie podana w walucie innej niż PLN, Zamawiający, w celu oceny spełnienia warunku udziału, przeliczy jej wartość wg średniego kursu Narodowego Banku Polskiego na dzień, w którym opublikowano ogłoszenie o zamówieniu w Dzienniku Urzędowym Unii Europejskiej. Jeżeli w dniu opublikowania ogłoszenia o zamówieniu w Dzienniku Urzędowym Unii Europejskiej, Narodowy Bank Polski nie opublikuje tabeli kursów walut, Zamawiający przyjmie kurs przeliczeniowy według ostatniej tabeli kursów NBP, opublikowanej przed dniem publikacji ogłoszenia o zamówieniu w Dzienniku Urzędowym Unii Europejskiej.
4. W związku z bezpośrednim powiązaniem warunku udziału dotyczącego zdolności technicznej i zawodowej oraz kryterium nr 2 na podstawie art. 126 ust 2 Ustawy PZP Zamawiający wzywa do złożenia wraz z ofertą wykazu osób, skierowanych przez Wykonawcę do realizacji zamówienia publicznego, w szczególności odpowiedzialnych za kontrolę jakości wraz z informacjami na temat ich kwalifikacji zawodowych niezbędnych do wykonania zamówienia publicznego, a także zakresu wykonywanych przez nie czynności oraz informacją o podstawie do dysponowania tymi osobami, tj.: Wykonawca wraz z ofertą złoży:
4.1. wykaz osób, skierowanych przez Wykonawcę do realizacji zamówienia publicznego, w szczególności odpowiedzialnych za świadczenie usług wraz z informacjami na temat ich kwalifikacji zawodowych niezbędnych do wykonania zamówienia publicznego, a także zakresu wykonywanych przez nie czynności oraz informacją o podstawie do dysponowania tymi osobami (Wzór wykazu osób stanowi załącznik nr 8 do SWZ).

Informacje dodatkowe

1. Postępowanie prowadzone jest w trybie przetargu nieograniczonego, zgodnie z art. 132 ustawy z dnia 11 września 2019 r. Prawo zamówień publicznych zwaną w dalszej części SWZ Ustawą lub Pzp.
2. W przedmiotowym postępowaniu, Zamawiający najpierw dokona badania i oceny ofert, a następnie dokona kwalifikacji podmiotowej wykonawcy, którego oferta została najwyżej oceniona, w zakresie braku podstaw wykluczenia oraz spełnienia warunków udziału w postępowaniu.
3. O udzielenie zamówienia mogą się ubiegać Wykonawcy, którzy
3.1. nie podlegają wykluczeniu na podstawie przesłanek określonych w pkt. 2 i 3 Działu V SWZ.
3.1. spełniają warunki udziału w postępowaniu, określone w pkt. 4 Działu V SWZ.
4. Zamawiający wykluczy z postępowania Wykonawcę w przypadkach, o których mowa w art. 108 ust. 1 pkt 1) - 6) Pzp (obligatoryjne przesłanki wykluczenia).
5. Z postępowania o udzielenie zamówienia wyklucza się również Wykonawców, o których mowa:
5.1. w art. 7 ust. 1 ustawy o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego,
5.2. art. 5k rozporządzenia Rady (UE) nr 833 /2014 z dnia 31 lipca 2014 r. dotyczącego środków ograniczających w związku z działaniami Rosji destabilizującymi sytuację na Ukrainie, w aktualnym brzmieniu zmienionym rozporządzeniem Rady (UE) 2025/2033 z dnia 23 października 2025 r.
6. Warunki udziału w postępowaniu określone przez Zamawiającego:
6.1. W postępowaniu o udzielenie zamówienia publicznego udział mogą brać Wykonawcy, którzy spełniają warunek udziału w zakresie zdolności technicznej lub zawodowej, tj.:
6.1.1. Zamawiający wymaga, aby Wykonawca w okresie ostatnich 5 lat przed upływem termin składania ofert, a jeżeli okres prowadzenia działalności jest krótszy - w tym okresie, należycie wykonał, co najmniej:
a) dwie (2) usługi (wykonane w ramach odrębnych umów) trwające nieprzerwanie przez okres co najmniej 12 miesięcy, gdzie zakres każdej z umów obejmował co najmniej świadczenie usługi SOC (Security Operations Center) w jednostkach ochrony zdrowia zatrudniających minimum 400 osób, o wartości ww. usługi nie mniejszej niż 120 000 zł brutto,
b) dwie (2) usługi (wykonane w ramach odrębnych umów), gdzie zakres każdej z umów obejmował co najmniej usługę wykonywania testów penetracyjnych, o wartości ww. usługi nie mniejszej niż 100 000 zł brutto,
c) dwie (2) usługi (wykonane w ramach odrębnych umów), gdzie zakres każdej z umów obejmował co najmniej usługę wdrożenia dokumentacji SZBI (System Zarządzania Bezpieczeństwem Informacji) lub usługę wdrożenia wymagań wynikających z Ustawy o Krajowym Systemie Cyberbezpieczeństwa, o wartości ww. usługi nie mniejszej niż 100 000 zł brutto,
6.1.1.1. Zamawiający zastrzega, że w sytuacji składania oferty przez Wykonawców wspólnie ubiegających się o udzielenie zamówienia oraz analogicznie w sytuacji, gdy Wykonawca będzie polegał na zasobach innego podmiotu, na zasadach określonych w art. 118 Pzp, warunek o którym powyżej mowa w pkt. 6.1.1., musi zostać spełniony w całości przez jednego z Wykonawców wspólnie ubiegających się o zamówienie lub podmiot, na którego zdolności w tym zakresie powołuje się Wykonawca.
6.1.1.2. W odniesieniu do warunku, o którym mowa w pkt. 6.1.1. powyżej, Wykonawcy wspólnie ubiegający się o udzielenie zamówienia mogą polegać na zdolnościach tych z Wykonawców, którzy wykonają usługi, do realizacji których te zdolności są wymagane – zgodnie z dyspozycją art. 117 ust. 4 Pzp.
6.1.1.2.1. Wykonawcy wspólnie ubiegający się o udzielenie zamówienia dołączają do oferty oświadczenie, z którego wynika, które usługi wykonają poszczególni Wykonawcy zgodnie z dyspozycją art. 117 ust. 4 Pzp - wzór oświadczenia stanowi załącznik nr 7 do SWZ.
6.1.2. Zamawiający wymaga, aby Wykonawca dysponował osobami, które będą brały udział w realizacji przedmiotu zamówienia, tj. co najmniej:
6.1.2.1. jedną (1) osobą, która na etapie realizacji umowy będzie pełniła funkcję Kierownika projektu (osoba odpowiedzialna za zarządzanie całym projektem objętym przedmiotem zamówienia), posiadającą:
a) doświadczenie zawodowe, polegające na pełnieniu funkcji kierownika projektu (tj. osoba odpowiedzialna za zarządzanie całym projektem) w co najmniej 2 różnych niepowiązanych ze sobą projektach zrealizowanych w jednostkach ochrony zdrowia z zakresu wdrożenia/rozwoju systemu zarządzania bezpieczeństwem informacji zgodnego z ISO/IEC 27001 lub KSC lub NIS2, w okresie ostatnich 6 lat przed upływem terminu składania ofert;
b) co najmniej jeden z certyfikatów zarządczych: PMP lub Prince2 na poziomie Practitioner lub IPMA Level C lub równoważny certyfikat (gdzie Zamawiający, jako certyfikat równoważny rozumie certyfikat analogiczny do zakresu wskazanego jednego z ww. certyfikatów tj. dotyczącego analogicznej dziedziny merytorycznej, analogicznego stopnia poziomu kompetencji, analogicznego poziomu doświadczenia);
c) co najmniej jednego certyfikatu branżowego: CISM lub CISSP lub równoważny certyfikat (gdzie Zamawiający, jako certyfikat równoważny rozumie certyfikat analogiczny do zakresu wskazanych ww. certyfikatów tj. dotyczących analogicznej dziedziny merytorycznej, analogicznego stopnia poziomu kompetencji, analogicznego poziomu doświadczenia).
6.1.2.2. dwoma (2) osobami, które na etapie realizacji umowy będą pełniły funkcję specjalisty ds. bezpieczeństwa informacji (osoba odpowiedzialna za nadzór, opracowanie, wdrożenie i utrzymanie SZBI), gdzie każda z nich winna posiadać:
a) doświadczenie zawodowe, polegające na pełnieniu funkcji specjalisty ds. bezpieczeństwa informacji przy realizacji wdrożenia lub audytu SZBI zgodnego z ISO/IEC 27001 lub KSC lub NIS2 w co najmniej 2 projektach, przy czym jeden z nich musiał być zrealizowany w jednostce ochrony zdrowia lub dla podmiotu przetwarzającego dane wrażliwe (w rozumieniu art. 9 RODO), w okresie ostatnich 6 lat przed upływem terminu składania ofert;
b) co najmniej jeden z ważnych certyfikatów branżowych: ISO/IEC 27001 Lead Implementer lub ISO/IEC 27001 Lead Auditor lub CISA lub CISM lub CISSP lub równoważny (gdzie Zamawiający, jako certyfikat równoważny rozumie certyfikat analogiczny do zakresu wskazanych ww. certyfikatów tj. dotyczących analogicznej dziedziny merytorycznej, analogicznego stopnia poziomu kompetencji, analogicznego poziomu doświadczenia).
6.1.2.3. jedną osobą (1), która na etapie realizacji umowy będzie pełniła funkcję specjalisty ds. zapewnienia ciągłości działania, posiadającą:
a) doświadczenie zawodowe, polegające na udziale w charakterze ds. specjalisty zapewnienia ciągłości działania w co najmniej 2 projektach obejmujących swoim zakresem wykonanie audytów lub wdrożeń SZBI zgodnego z ISO/IEC 27001 lub KSC lub NIS2, przy czym jeden z nich musiał być zrealizowany w jednostce ochrony zdrowia lub dla podmiotu przetwarzającego dane wrażliwe (w rozumieniu art. 9 RODO), w okresie ostatnich 6 lat przed upływem terminu składania ofert;
b) co najmniej jeden z ważnych certyfikatów branżowych: ISO 22301 Lead Implementer lub ISO 22301 Lead Auditor lub ISO 27031 Lead Implementer lub CBCI lub DRII ABCP lub DRII CFCP lub DRII CBCP lub równoważny (gdzie Zamawiający, jako certyfikat równoważny rozumie certyfikat analogiczny do zakresu wskazanych ww. certyfikatów tj. dotyczących analogicznej dziedziny merytorycznej, analogicznego stopnia poziomu kompetencji, analogicznego poziomu doświadczenia).
6.1.2.4. jedną osobą (1), która na etapie realizacji umowy będzie pełniła funkcję pentestera lub specjalistę ds. identyfikacji słabości w systemach posiadającą:
a) doświadczenie zawodowe, polegające na udziale w charakterze pentestera lub specjalisty ds. identyfikacji słabości w systemach w co najmniej 2 projektach, przy czym jeden z nich musiał być zrealizowany w jednostce ochrony zdrowia lub dla podmiotu przetwarzającego dane wrażliwe (w rozumieniu art. 9 RODO), w okresie ostatnich 6 lat liczonych przed upływem terminu składania ofert,
b) co najmniej jeden z ważnych certyfikatów branżowych: OSCP lub eCPPT lub GPEN lub równoważny (gdzie Zamawiający, jako certyfikat równoważny rozumie certyfikat analogiczny do zakresu wskazanych ww. certyfikatów tj. dotyczących analogicznej dziedziny merytorycznej, analogicznego stopnia poziomu kompetencji, analogicznego poziomu doświadczenia).
6.1.2.5. jedną osobą (1), która na etapie realizacji umowy będzie pełniła funkcję Kierownika SOC lub SOC Manager (osoba odpowiedzialna za nadzór nad świadczeniem usługi SOC), posiadającą:
a) doświadczenie zawodowe polegające na udziale w charakterze kierownika zespołu SOC lub CSIRT lub managera ds. bezpieczeństwa IT w organizacji w co najmniej 2 projektach obejmujących swoim zakresem świadczenie usługi ciągłego monitorowania bezpieczeństwa (SOC) lub reagowania na incydenty, gdzie każda z tych projektów był realizowany w sposób ciągły przez okres co najmniej 12 miesięcy, przy czym jeden z nich musiał być zrealizowany w jednostce ochrony zdrowia lub dla podmiotu przetwarzającego dane wrażliwe (w rozumieniu art. 9 RODO), w okresie ostatnich 6 lat liczonych przed upływem terminu składania ofert;
b) co najmniej jeden z ważnych certyfikatów branżowych: CISM (Certified Information Security Manager) lub CISSP (Certified Information Systems Security Professional) lub ISO/IEC 27035 Lead Incident Manager lub równoważny (gdzie Zamawiający, jako certyfikat równoważny rozumie certyfikat analogiczny do zakresu wskazanych ww. certyfikatów tj. dotyczących analogicznej dziedziny merytorycznej, analogicznego stopnia poziomu kompetencji, analogicznego poziomu doświadczenia).
Dalsza część w pkt. 5.1.6. Ogłoszenia.

Dokładne informacje na temat terminu (terminów) procedur odwoławczych

1. Odwołanie wnosi się w terminie 10 dni od dnia przekazania informacji o czynności zamawiającego stanowiącej podstawę jego wniesienia, jeżeli informacja została przekazana przy użyciu środków komunikacji elektronicznej 2. Odwołanie wobec treści ogłoszenia wszczynającego postępowanie o udzielenie zamówienia lub wobec treści dokumentów zamówienia, wnosi się w terminie 10 dni od dnia publikacji ogłoszenia w Dzienniku Urzędowym Unii Europejskiej lub zamieszczenia dokumentów zamówienia na stronie internetowej. 3. Odwołanie w przypadkach innych niż określone w pkt. 6 i 7 wnosi się w terminie 10 dni od dnia, w którym powzięto lub przy zachowaniu należytej staranności można było powziąć wiadomość o okolicznościach stanowiących podstawę jego wniesienia, 4. Szczegółowe informacje dotyczące środków ochrony prawnej określone są w Dziale IX „Środki ochrony prawnej” ustawy Pzp.