Świadczenie usługi monitorowania i reagowania na alerty bezpieczeństwa i alerty dostępności w infrastrukturze serwerowej oraz sieciowej Banku w ramach SOC (Security Operations Center L1

Krótki opis

Przedmiotem zamówienia jest zakup usługi SOC L1 polegającej na monitorowaniu i reakcji na alerty bezpieczeństwa oraz alerty z systemów monitorowania IT.
Szczegółowy opis przedmiotu zamówienia, wykaz zadań, terminów oraz warunki realizacji przedmiotu zamówienia, płatności, etc. określone zostały w Projektowanych Postanowieniach Umowy (dalej: „PPU”), które stanowią załącznik nr 2 do SWZ i Opisie Przedmiotu Zamówienia (dalej: „OPZ”), który stanowi załącznik nr 1 do SWZ.

Informacje dodatkowe

Zamawiający, zgodnie z przepisami RODO, informuje, że:
Zgodnie z art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1), dalej „RODO”, informuję, że:
 administratorem Pani/Pana danych osobowych jest Bank Gospodarstwa Krajowego („BGK” lub „Bank”), Aleje Jerozolimskie 7, 00-955 Warszawa;
 kontakt z Inspektorem Ochrony Danych możliwy jest pod adresem e-mail: iod@bgk.pl;
 Pani/Pana dane osobowe przetwarzane będą na podstawie art. 6 ust. 1 lit. c RODO w celu związanym z przedmiotowym postępowaniem o udzielenie zamówienia publicznego;
 odbiorcami Pani/Pana danych osobowych będą osoby lub podmioty, którym udostępniona zostanie dokumentacja postępowania w oparciu o art. 8 oraz art. 74 ustawy Pzp;
 Pani/Pana dane osobowe będą przechowywane, zgodnie z art. 78 ust. 1 ustawy Pzp, co najmniej przez okres 4 lat od dnia zakończenia postępowania o udzielenie zamówienia oraz przez okres niezbędny w celu dochodzenia ewentualnych roszczeń, a jeżeli czas trwania umowy przekracza 4 lata, okres przechowywania obejmuje cały czas trwania umowy lub dłużej tj. w okresie istniejącego po stronie Administratora obowiązku związanego z przechowywaniem dokumentacji dla celów kontroli, lub wynikającym z powszechnie obowiązujących przepisów prawa, w tym w przypadku zamówienia finansowanego lub współfinasowanego ze środków Unii Europejskiej (UE) – z przepisów i/lub wytycznych dotyczących okresu przechowywania dokumentów dla projektów finansowanych lub współfinansowanych ze środków UE;
 obowiązek podania przez Panią/Pana danych osobowych bezpośrednio Pani/Pana dotyczących jest wymogiem ustawowym określonym w przepisach ustawy Pzp, związanym z udziałem w postępowaniu o udzielenie zamówienia publicznego; konsekwencje niepodania określonych danych wynikają z ustawy Pzp;
 w odniesieniu do Pani/Pana danych osobowych decyzje nie będą podejmowane w sposób zautomatyzowany, stosowanie do art. 22 RODO;
 posiada Pani/Pan:
− na podstawie art. 15 RODO prawo dostępu do Pani/Pana danych osobowych dotyczących postępowania;
− na podstawie art. 16 RODO prawo do sprostowania Pani/Pana danych osobowych;
− na podstawie art. 18 RODO prawo żądania od administratora ograniczenia przetwarzania danych osobowych z zastrzeżeniem przypadków, o których mowa w art. 18 ust. 2 RODO *;
− prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, że przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy RODO;
 nie przysługuje Pani/Panu:
− w związku z art. 17 ust. 3 lit. b, d lub e RODO prawo do usunięcia danych osobowych;
− prawo do przenoszenia danych osobowych, o którym mowa w art. 20 RODO;
− na podstawie art. 21 RODO prawo sprzeciwu, wobec przetwarzania danych osobowych, gdyż podstawą prawną przetwarzania Pani/Pana danych osobowych jest art. 6 ust. 1 lit. c RODO.
* Wyjaśnienie: prawo do ograniczenia przetwarzania nie ma zastosowania w odniesieniu do przechowywania, w celu zapewnienia korzystania ze środków ochrony prawnej lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii Europejskiej lub państwa członkowskiego

Wykaz i krótki opis zasad i kryteriów

warunek dotyczący doświadczenia:
Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, iż w okresie ostatnich 3 (trzech) lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał – a w przypadku świadczeń okresowych lub ciągłych również wykonuje należycie:
co najmniej dwa zamówienia polegające na świadczeniu usług monitorowania SOC L1 w bankach o wartości minimum 800 000,00 zł (słownie: osiemset tysięcy złotych) brutto, łącznie.
W przypadku, gdy przedmiotem zamówienia są świadczenia powtarzające się lub ciągłe Zamawiający dopuszcza nie tylko zamówienia wykonane (tj. zakończone), ale również wykonywane. W takim przypadku Zamawiający wymaga, by część zamówienia wykonana do terminu składania ofert spełniała wymogi określone przez Zamawiającego w warunku.
Pod pojęciem „świadczenie usług monitorowania SOC L1” Zamawiający rozumie świadczenie usług polegających na świadczenie usług monitoringu w trybie 365 dni w roku przez 7 dni w tygodniu, 24 godziny na dobę, wliczając w to Dni Robocze, weekendy, dni ustawowo wolne od pracy i święta, w zakresie usług dotyczących pierwszej linii wsparcia w ramach SOC (Security Operations Center) i polegających na monitorowaniu i reagowaniu na Alerty związane z cyberbezpieczeństwem oraz monitorowaniu i reagowaniu na Zdarzenia w infrastrukturze serwerowej przez dedykowane systemy monitorujące wskazane przez Bank.
W przypadku, gdy wartość zamówienia została wyrażona w walucie innej niż PLN, Wykonawca zobowiązany jest do jej przeliczenia na PLN przyjmując jako podstawę średni kurs danej waluty opublikowany przez NBP (wg tabeli A kursów średnich walut obcych) w dniu publikacji ogłoszenia o niniejszym zamówieniu w Dzienniku Urzędowym Unii Europejskiej. Jeśli publikacja ogłoszenia o zamówieniu w Dzienniku Urzędowym Unii Europejskiej nastąpi w dniu, kiedy NBP nie publikuje tabeli kursów średnich, należy przyjąć kurs z tabeli kursów średnich, opublikowany w dniu najbliższym po dniu publikacji ogłoszenia o zamówieniu w Dzienniku Urzędowym Unii Europejskiej.
Wzór wykazu stanowi załącznik nr 10 do SWZ.

Wykaz i krótki opis zasad i kryteriów

warunek dysponowania odpowiednim potencjałem kadrowym:
Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, że dysponuje co najmniej 2 osobami zdolnymi do realizacji zamówienia, tj. wykaże, że dysponuje lub będzie dysponować zespołem obsługującym Alerty i Zdarzenia posiadającym niezbędną, specjalistyczną wiedzę i odpowiednie kwalifikacje poparte certyfikatami tematycznymi wskazanymi w pkt A. i B poniżej.
Wykonawca wskaże wykaz osób i certyfikatów w Załączniku nr 11 do SWZ.
Osoba na danym stanowisku musi posiadać nie mniej niż 1 certyfikat, wymieniony powyżej, przypisany do danego rodzaju stanowiska.
Zamawiający dopuszcza sytuację, w której kwalifikacje z lit. A i B posiada jedna osoba.
A. Stanowiska Managerskie
Certyfikaty z zakresu:
Audytor wiodący NORM ISO (27001, 22301)
ITIL (v.3 Foundation, Intermediate Certificate in Service Strategy)
CIA – Certified Internal Auditor
CISSP – Certified Information Systems Security Professional
CIHE – Certified Incident Handling Engineer
CEH – Certified Ethical Hacker
CRISC – Certified in Risk and Information Systems Control
CISA – Certified Information Systems Auditor
lub certyfikaty równoważne
B. Konsultanci/Specjaliści
Certyfikaty z zakresu:
CompTIA Security+
GCIH – GIAC Certified Incident Handler Certification
C)IHE – Certified Incident Handling Engineer
CISSP – Certified Information Systems Security Professional
CISA – Certified Information Systems Auditor
OSCP – -OffSec Certified Professional
OSWE – OffSec Web Expert
CEH – Certified Ethical Hacker
Splunk
XSOAR
lub certyfikaty równoważne
W przypadku przedkładania certyfikatów równoważnych wymagane jest, aby obejmowały one:
• posiadanie tego samego zakresu i poziomu wiedzy i doświadczenia;
• potwierdzenie certyfikatu egzaminem, jeśli uzyskanie certyfikatu wymaga złożenia egzaminu. Certyfikat równoważny nie może być wystawiony przez Wykonawcę lub podmiot zależny od Wykonawcy.
Wzór wykazu stanowi załącznik nr 11 do SWZ.

Informacje dodatkowe

UWAGA:
1.Zamawiający nie dopuszcza składania ofert częściowych.
2.Przedmiot za zamówienia nie został podzielony na części.
Powody niedokonania podziału zamówienia na części: Nie jest możliwy podział zamówienia na części ze względów technicznych – zamówienie stanowi integralną całość i dotyczy elementów wzajemnie od siebie zależnych - stanowi całość rozwiązania. Usługa dotyczy dwóch zależnych od siebie obszarów tj. monitorowania i reagowania na Alerty związane z cyberbezpieczeństwem i dostępności infrastruktury serwerowej oraz sieciowej. Monitorowanie odbywa się w dedykowanych, zależnych od siebie systemach wskazanych przez Bank. Ze względu na specyfikę zamówienia, nie jest możliwe, aby przedmiotowe usługi świadczyli w tym samym czasie różni wykonawcy. Prowadziłoby to bowiem do zagrożenia nieprawidłowej realizacji zamówienia związanej z przerzucaniem pomiędzy siebie odpowiedzialności. Mając powyższe na uwadze, realizację przedmiotowego zamówienia publicznego należy powierzyć jednemu wykonawcy, który przyjmie na siebie odpowiedzialność za realizację umowy.
3.Zamawiający przewiduje zastosowanie tzw. procedury odwróconej, o której mowa w art. 139 ust. 1 ustawy Pzp.
4. Z postępowania o udzielenie zamówienia wyklucza się Wykonawcę, w stosunku do którego zachodzi którakolwiek z okoliczności wskazanych w art. 108 ust. 1 ustawy Pzp oraz art. 109 ust. 1 pkt 1 i 4 ustawy Pzp.
5. Dokumenty jakie Wykonawca jest zobowiązany złożyć na potwierdzenie braku podstaw do wykluczenia oraz spełnienia warunków udziału w postępowaniu:
1) oświadczenie na formularzu Jednolitego Europejskiego Dokumentu Zamówienia (JEDZ/ESPD), sporządzonym zgodnie z wzorem zawartym w załączniku nr 2 do Rozporządzenia Wykonawczego Komisji (EU) 2016/7 z dnia 5 stycznia 2016 r. ustanawiającego standardowy formularz JEDZ/ESPD. Informacje zawarte w JEDZ/ESPD stanowią wstępne potwierdzenie, że Wykonawca nie podlega wykluczeniu oraz spełnia warunki udziału w postępowaniu. Zamawiający informuje, iż na stronie internetowej Urzędu Zamówień Publicznych (dalej: UZP) znajduje się wersja edytowalna JEDZ/ESPD wraz z aktualną instrukcją wypełnienia JEDZ/ESPD;
2) oświadczenie Wykonawcy w zakresie art. 108 ust. 1 pkt 5 ustawy Pzp, o braku przynależności do tej samej grupy kapitałowej, w rozumieniu ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów, z innym Wykonawcą, który złożył odrębną ofertę, ofertę częściową lub wniosek o dopuszczenie do udziału w postępowaniu, albo oświadczenia o przynależności do tej samej grupy kapitałowej wraz z SWZ – Oświadczenie dot. grupy kapitałowej;
3) oświadczenie Wykonawcy o aktualności informacji zawartych w oświadczeniach, składanych na podstawie art. 125 ust. 1 ustawy Pzp, tj.: w JEDZ/ESPD w zakresie odnoszącym się do podstaw wykluczenia wskazanych w art. 108 ust. 1 pkt 3-6 ustawy Pzp, art. 109 ust. 1 pkt 1 ustawy Pzp oraz w oświadczeniu dotyczącym przesłanek wykluczenia z art. 7 ust. 1 ustawy o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego oraz art. 5k rozporządzenia 833/2014 – wzór oświadczenia stanowi załącznik nr 9 do SWZ;
4) informacja z Krajowego Rejestru Karnego w zakresie dotyczącym podstaw wykluczenia wskazanych w art. 108 ust. 1 pkt 1, 2 i 4 ustawy Pzp sporządzona nie wcześniej niż 6 miesięcy przed jej złożeniem.
5) zaświadczenia właściwego naczelnika urzędu skarbowego potwierdzającego, że wykonawca nie zalega z opłacaniem podatków i opłat, w zakresie art. 109 ust. 1 pkt 1 ustawy Pzp, wystawionego nie wcześniej niż 3 miesiące przed jego złożeniem, a w przypadku zalegania z opłacaniem podatków lub opłat wraz z zaświadczeniem Zamawiający żąda złożenia dokumentów potwierdzających, że odpowiednio przed upływem terminu składania ofert wykonawca dokonał płatności należnych podatków lub opłat wraz z odsetkami lub grzywnami lub zawarł wiążące porozumienie w sprawie spłat tych należności;
6)zaświadczenia albo innego dokumentu właściwej terenowej jednostki organizacyjnej Zakładu Ubezpieczeń Społecznych lub właściwego oddziału regionalnego lub właściwej placówki terenowej Kasy Rolniczego Ubezpieczenia Społecznego potwierdzającego, że Wykonawca nie zalega z opłacaniem składek na ubezpieczenia społeczne i zdrowotne, w zakresie art. 109 ust. 1 pkt 1 ustawy, wystawionego nie wcześniej niż 3 miesiące przed jego złożeniem, a w przypadku zalegania z opłacaniem składek na ubezpieczenia społeczne lub zdrowotne wraz z zaświadczeniem albo innym dokumentem Zamawiający żąda złożenia dokumentów potwierdzających, że odpowiednio przed upływem terminu składania ofert wykonawca dokonał płatności należnych składek na ubezpieczenia społeczne lub zdrowotne wraz odsetkami lub grzywnami lub zawarł wiążące porozumienie w sprawie spłat tych należności;
7)odpisu lub informacji z Krajowego Rejestru Sądowego lub z Centralnej Ewidencji i Informacji o Działalności Gospodarczej, w zakresie art. 109 ust. 1 pkt 4 ustawy, sporządzonych nie wcześniej niż 3 miesiące przed jej złożeniem, jeżeli odrębne przepisy wymagają wpisu do rejestru lub ewidencji;
6. Wraz z ofertą Wykonawcy nie muszą składać jednolitych europejskich dokumentów zamówienia. Zamawiający wezwie do złożenia tego oświadczenia Wykonawcę, którego oferta zostanie najwyżej oceniona.
7. Oferta musi być zabezpieczona wadium w wysokości 20 000,00 zł. Szczegóły dotyczące wadium zostały opisane SWZ.
8. Zamawiający ustalił wysokość zabezpieczenia należytego wykonania umowy (dalej: zabezpieczenie) na sumę stanowiącą 2% Łącznego Wynagrodzenia brutto określonego w Umowie.
9. Ofertę sporządza się w języku polskim na formularzu „OFERTA WYKONAWCY” – zgodnie z wzorem zawartym w załączniku nr 3 do SWZ.
10. W celu potwierdzenia, że oferowane dostawy i usługi spełniają określone przez Zamawiającego wymagania w OPZ, Zamawiający żąda złożenia wraz z ofertą:
1)dokumentu potwierdzającego posiadanie wdrożonego systemu zarządzania bezpieczeństwem informacji w oparciu o Normę ISO/IEC 27001 lub równoważną. W tym wypadku należy przedstawić aktualne potwierdzenie audytu zgodności lub ważny certyfikat wdrożenia.
2)potwierdzenia Wykonawcy, że posiada i udostępnia w języku polskim i angielskim deklarację swojej polityki działania w zakresie określonym dokumentem RFC 2350 publikowanym przez organizację Internet Engineering Task Force (IETF).W tym wypadku Wykonawca składa kopię dokumentu lub wskazuje miejsce, w którym można go pobrać (link do strony internetowej).
11.Szczegółowe informacje dotyczące postępowania zostały zawarte w SWZ i załącznikach.

Dokładne informacje na temat terminu (terminów) procedur odwoławczych

W toku postępowania o udzielenie zamówienia Wykonawcom przysługują środki ochrony prawnej przewidziane w przepisach Działu IX ustawy Prawo zamówień publicznych – odwołanie do Krajowej Izby Odwoławczej i skarga do sądu okręgowego wnoszone w sposób i w terminach określonych w ustawie Pzp.