Wdrożenie zintegrowanej architektury cyberbezpieczeństwa IT i OT wraz z przygotowaniem organizacyjnym Zamawiającego w ramach projektu grantowego „Cyberbezpieczne Wodociągi

Krótki opis

1. Przedmiotem zamówienia jest wdrożenie zintegrowanej architektury cyberbezpieczeństwa IT i OT wraz z przygotowaniem organizacyjnym Zamawiającego w ramach projektu grantowego „Cyberbezpieczne Wodociągi”.
2. Działając na podstawie ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz. U. z 2026 r. poz. 85), Zamawiający wyłącza jawność części OPZ. Wyłączeniu podlegają informacje techniczne i organizacyjne dotyczące luk kompetencyjnych i organizacyjnych, potrzeb Zamawiającego w zakresie cyberbezpieczeństwa, systemów teleinformatycznych oraz stosowanych mechanizmów zabezpieczeń, które stanowią tajemnicę przedsiębiorstwa i których ujawnienie mogłoby prowadzić do zwiększenia ryzyka naruszenia cyberbezpieczeństwa, w szczególności poprzez umożliwienie identyfikacji architektury systemów lub potencjalnych podatności, czy technik i taktyk zabezpieczenia infrastruktury. Zakres wyłączenia jawności został ograniczony do informacji niezbędnych do ochrony bezpieczeństwa przedsiębiorstwa, w tym systemów teleinformatycznych i nie narusza zasad uczciwej konkurencji, ani równego traktowania wykonawców, zapewniając jednocześnie wykonawcom dostęp do informacji koniecznych do przygotowania ofert. Przedmiot zamówienia obejmuje spójny model bezpieczeństwa łączący rozwiązania techniczne, organizacyjne i kompetencyjne. Choć poszczególne elementy mogą mieć charakter ogólny, ich łączne zestawienie oraz odniesienie do rzeczywistego środowiska Zamawiającego prowadzi do ujawnienia całościowej architektury bezpieczeństwa. Ujawnienie takiego skonsolidowanego obrazu mogłoby umożliwić osobom nieuprawnionym identyfikację architektury bezpieczeństwa, sposobów reagowania na incydenty, zależności pomiędzy systemami oraz potencjalnych słabości, co w konsekwencji zwiększa ryzyko skutecznego ataku. Zgodnie z podejściem opartym o MITRE ATT&CK, wiedza o mechanizmach ochrony, procedurach organizacyjnych oraz zrachowaniach użytkowników może być wykorzystana na różnych etapach łańcucha ataku, w tym w fazie przygotowania, rozpoznania oraz eskalacji dostępu. Zamawiający podkreśla, że przedmiot zamówienia dotyczy systemów mających znaczenie dla zapewnienia ciągłości świadczenia usług publicznych, a jego celem jest osiągnięcie realnego, operacyjnego poziomu odporności na cyberzagrożenia. Wyłączenie jawności zostało zastosowane jako środek proporcjonalny, mający na celu ochronę bezpieczeństwa Zamawiającego, przy jednoczesnym zapewnieniu wykonawcom dostępu do pełnej dokumentacji na równych zasadach, po spełnieniu wymogów poufności.
3. Część jawna OPZ stanowi Załącznik nr 8 do SWZ
4. Część niejawna OPZ, stanowiąca Załącznik nr 9 do SWZ, zostanie udostępniona Wykonawcy, który złoży stosowny wniosek wraz z oświadczeniem o zachowaniu poufności, którego wzór stanowi Załącznik nr 10 do SWZ, na zasadach określonych poniżej
5. Termin na złożenie wniosku, o którym mowa w pkt. 4 upływa 7 dni przed wyznaczonym dniem składania ofert. Wnioski złożone po tym terminie Zamawiający może pozostawić bez rozpoznania.
6. Wniosek o udostępnienie części niejawnej OPZ może złożyć wyłącznie Wykonawca, który wykaże stosowanie środków organizacyjnych i technicznych zapewniających ochronę informacji poufnych. Zamawiający uzna za spełnienie powyższego warunku w szczególności posiadanie wdrożonego systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO/IEC 27001 lub równoważną, potwierdzonego certyfikatem wydanym przez akredytowaną jednostkę certyfikującą albo posiadanie ważnego świadectwa bezpieczeństwa przemysłowego dowolnego stopnia lub inny dokument wydany przez niezależne jednostki potwierdzający stosowanie środków organizacyjnych i technicznych zapewniających ochronę informacji dla dowolnej branży np. ważnego certyfikatu TISAX (poziom minimum AL2) lub aktualnego raportu z audytu SOC 2 Type II. Wykonawca dołącza potwierdzony za zgodność z oryginałem certyfikat/dokument potwierdzający jako załącznik do wniosku, o którym mowa w pkt. 4
7. Wniosek wraz z oświadczeniem o zachowaniu poufności podpisuje osoba uprawniona do reprezentacji Wykonawcy albo należycie umocowany pełnomocnik. W przypadku działania przez pełnomocnika do wniosku należy dołączyć stosowne pełnomocnictwo.
8. Wniosek, podpisany kwalifikowanym podpisem elektronicznym, należy złożyć za pośrednictwem platformy zakupowej Open Nexsus nie później niż do 7 dni przed terminem składania ofert, z zastrzeżeniem, że Zamawiający nie ponosi odpowiedzialności za brak możliwości przygotowania oferty w przypadku złożenia wniosku w terminie uniemożliwiającym zapoznanie się z dokumentacją i sporządzenie oferty przed upływem terminu składania ofert.
9. Zamawiający udostępni część niejawną OPZ po otrzymaniu kompletnego wniosku, złożonego zgodnie z SWZ. W przypadku stwierdzenia braków formalnych wniosku, Zamawiający może wezwać Wykonawcę do ich uzupełnienia w wyznaczonym terminie. Udostępnienie części niejawnej OPZ nastąpi po skutecznym uzupełnieniu braków formalnych.
10. Informacje zawarte w części niejawnej OPZ mogą być wykorzystywane wyłącznie w celu przygotowania i złożenia oferty w niniejszym postępowaniu. Zakazane jest ich ujawnianie osobom trzecim, z wyjątkiem osób zaangażowanych po stronie Wykonawcy w przygotowanie oferty, pod warunkiem zobowiązania tych osób do zachowania poufności w co najmniej takim samym zakresie jak określony w oświadczeniu Wykonawcy. Wykonawca ponosi odpowiedzialność za naruszenie obowiązku poufności przez osoby, którym udostępnił informacje objęte częścią niejawną OPZ.
11. Szczegółowe obowiązki wykonawcy w zakresie realizacji przedmiotu zamówienia określają projektowane postanowienia umowy w sprawie zamówienia publicznego - Załącznik nr 1 do Specyfikacji Warunków Zamówienia.
12. Zamawiający nie dopuszcza składania ofert częściowych

Opis zamówienia

1. Przedmiotem zamówienia jest wdrożenie zintegrowanej architektury cyberbezpieczeństwa IT i OT wraz z przygotowaniem organizacyjnym Zamawiającego w ramach projektu grantowego „Cyberbezpieczne Wodociągi”.
2. Działając na podstawie ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz. U. z 2026 r. poz. 85), Zamawiający wyłącza jawność części OPZ. Wyłączeniu podlegają informacje techniczne i organizacyjne dotyczące luk kompetencyjnych i organizacyjnych, potrzeb Zamawiającego w zakresie cyberbezpieczeństwa, systemów teleinformatycznych oraz stosowanych mechanizmów zabezpieczeń, które stanowią tajemnicę przedsiębiorstwa i których ujawnienie mogłoby prowadzić do zwiększenia ryzyka naruszenia cyberbezpieczeństwa, w szczególności poprzez umożliwienie identyfikacji architektury systemów lub potencjalnych podatności, czy technik i taktyk zabezpieczenia infrastruktury. Zakres wyłączenia jawności został ograniczony do informacji niezbędnych do ochrony bezpieczeństwa przedsiębiorstwa, w tym systemów teleinformatycznych i nie narusza zasad uczciwej konkurencji, ani równego traktowania wykonawców, zapewniając jednocześnie wykonawcom dostęp do informacji koniecznych do przygotowania ofert. Przedmiot zamówienia obejmuje spójny model bezpieczeństwa łączący rozwiązania techniczne, organizacyjne i kompetencyjne. Choć poszczególne elementy mogą mieć charakter ogólny, ich łączne zestawienie oraz odniesienie do rzeczywistego środowiska Zamawiającego prowadzi do ujawnienia całościowej architektury bezpieczeństwa. Ujawnienie takiego skonsolidowanego obrazu mogłoby umożliwić osobom nieuprawnionym identyfikację architektury bezpieczeństwa, sposobów reagowania na incydenty, zależności pomiędzy systemami oraz potencjalnych słabości, co w konsekwencji zwiększa ryzyko skutecznego ataku. Zgodnie z podejściem opartym o MITRE ATT&CK, wiedza o mechanizmach ochrony, procedurach organizacyjnych oraz zrachowaniach użytkowników może być wykorzystana na różnych etapach łańcucha ataku, w tym w fazie przygotowania, rozpoznania oraz eskalacji dostępu. Zamawiający podkreśla, że przedmiot zamówienia dotyczy systemów mających znaczenie dla zapewnienia ciągłości świadczenia usług publicznych, a jego celem jest osiągnięcie realnego, operacyjnego poziomu odporności na cyberzagrożenia. Wyłączenie jawności zostało zastosowane jako środek proporcjonalny, mający na celu ochronę bezpieczeństwa Zamawiającego, przy jednoczesnym zapewnieniu wykonawcom dostępu do pełnej dokumentacji na równych zasadach, po spełnieniu wymogów poufności.
3. Część jawna OPZ stanowi Załącznik nr 8 do SWZ
4. Część niejawna OPZ, stanowiąca Załącznik nr 9 do SWZ, zostanie udostępniona Wykonawcy, który złoży stosowny wniosek wraz z oświadczeniem o zachowaniu poufności, którego wzór stanowi Załącznik nr 10 do SWZ, na zasadach określonych poniżej
5. Termin na złożenie wniosku, o którym mowa w pkt. 4 upływa 7 dni przed wyznaczonym dniem składania ofert. Wnioski złożone po tym terminie Zamawiający może pozostawić bez rozpoznania.
6. Wniosek o udostępnienie części niejawnej OPZ może złożyć wyłącznie Wykonawca, który wykaże stosowanie środków organizacyjnych i technicznych zapewniających ochronę informacji poufnych. Zamawiający uzna za spełnienie powyższego warunku w szczególności posiadanie wdrożonego systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO/IEC 27001 lub równoważną, potwierdzonego certyfikatem wydanym przez akredytowaną jednostkę certyfikującą albo posiadanie ważnego świadectwa bezpieczeństwa przemysłowego dowolnego stopnia lub inny dokument wydany przez niezależne jednostki potwierdzający stosowanie środków organizacyjnych i technicznych zapewniających ochronę informacji dla dowolnej branży np. ważnego certyfikatu TISAX (poziom minimum AL2) lub aktualnego raportu z audytu SOC 2 Type II. Wykonawca dołącza potwierdzony za zgodność z oryginałem certyfikat/dokument potwierdzający jako załącznik do wniosku, o którym mowa w pkt. 4
7. Wniosek wraz z oświadczeniem o zachowaniu poufności podpisuje osoba uprawniona do reprezentacji Wykonawcy albo należycie umocowany pełnomocnik. W przypadku działania przez pełnomocnika do wniosku należy dołączyć stosowne pełnomocnictwo.
8. Wniosek, podpisany kwalifikowanym podpisem elektronicznym, należy złożyć za pośrednictwem platformy zakupowej Open Nexsus nie później niż do 7 dni przed terminem składania ofert, z zastrzeżeniem, że Zamawiający nie ponosi odpowiedzialności za brak możliwości przygotowania oferty w przypadku złożenia wniosku w terminie uniemożliwiającym zapoznanie się z dokumentacją i sporządzenie oferty przed upływem terminu składania ofert.
9. Zamawiający udostępni część niejawną OPZ po otrzymaniu kompletnego wniosku, złożonego zgodnie z SWZ. W przypadku stwierdzenia braków formalnych wniosku, Zamawiający może wezwać Wykonawcę do ich uzupełnienia w wyznaczonym terminie. Udostępnienie części niejawnej OPZ nastąpi po skutecznym uzupełnieniu braków formalnych.
10. Informacje zawarte w części niejawnej OPZ mogą być wykorzystywane wyłącznie w celu przygotowania i złożenia oferty w niniejszym postępowaniu. Zakazane jest ich ujawnianie osobom trzecim, z wyjątkiem osób zaangażowanych po stronie Wykonawcy w przygotowanie oferty, pod warunkiem zobowiązania tych osób do zachowania poufności w co najmniej takim samym zakresie jak określony w oświadczeniu Wykonawcy. Wykonawca ponosi odpowiedzialność za naruszenie obowiązku poufności przez osoby, którym udostępnił informacje objęte częścią niejawną OPZ.
11. Szczegółowe obowiązki wykonawcy w zakresie realizacji przedmiotu zamówienia określają projektowane postanowienia umowy w sprawie zamówienia publicznego - Załącznik nr 1 do Specyfikacji Warunków Zamówienia.

Informacje dodatkowe

W przedmiotowym postępowaniu Zamawiający przewiduje zastosowanie procedury, o której mowa w art. 139 ustawy pzp, tj. może najpierw dokonać badania i oceny ofert, a następnie dokonać kwalifikacji podmiotowej wykonawcy, którego oferta została najwyżej oceniona, w zakresie braku podstaw wykluczenia oraz spełniania warunków udziału w postępowaniu. Zamawiający na podstawie art. 257 ustawy pzp zastrzega sobie możliwość unieważnienia postępowania o udzielenie zamówienia, jeżeli środki publiczne, które zamawiający zamierzał przeznaczyć na sfinansowanie całości lub części zamówienia, nie zostały mu przyznane.Zamawiający umożliwia przeprowadzenie wizji lokalnej w miejscu realizacji przedmiotu zamówienia po uprzednim umówieniu terminu. Zamawiający nie wymaga od Wykonawcy złożenia wraz z ofertą przedmiotowych środków dowodowych.Wykluczeniu z postępowania podlegają Wykonawcy, wobec których zachodzą okoliczności określone w art. 108 ust. 1 PZP. Wykluczeniu z postępowania podlegają Wykonawcy, wobec których zachodzą okoliczności określone w art. 7 ust. 1 Ustawy z dnia 13 kwietnia 2022r o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego. Zamawiający zastosuje regulację art. 5k rozporządzenia Rady (UE) nr 833/2014 z dnia 31 lipca 2014 r. dotyczącego środków ograniczających w związku z działaniami Rosji destabilizującymi sytuację na Ukrainie, zwanej dalej „rozporządzeniem z postępowania o udzielenie zamówienia publicznego lub konkursu prowadzonego na podstawie ustawy PZP. Do przygotowania oferty zaleca się wykorzystanie Formularza Oferty, którego wzór stanowi załącznik nr 2 do SWZ. W przypadku, gdy Wykonawca nie korzysta z przygotowanego przez Zamawiającego wzoru, w treści oferty należy zamieścić wszystkie informacje wymagane w Formularzu Oferty. Do oferty należy dołączyć również:
Pełnomocnictwo upoważniające do złożenia oferty, o ile ofertę składa pełnomocnik;Pełnomocnictwo dla pełnomocnika do reprezentowania w postępowaniu Wykonawców wspólnie ubiegających się o udzielenie zamówienia – dotyczy ofert składanych przez Wykonawców wspólnie ubiegających się o udzielenie zamówienia;
oświadczenie, o którym mowa w art. 125 ust. 1 Ustawy, na formularzu jednolitego europejskiego dokumentu zamówień, sporządzonym zgodnie ze wzorem standardowego formularza określonego w rozporządzeniu wykonawczym Komisji (UE) 2016/7 z dnia 5 stycznia 2016 r. ustanawiającym standardowy formularz jednolitego europejskiego dokumentu zamówienia (Dz.Urz. UE L 3 z 06.01.2016, str. 16), zwanego dalej formularzem JEDZ – załącznik nr 3 do SWZ. Oświadczenie to stanowi dowód potwierdzający spełnianie warunków, brak podstaw wykluczenia wykonawcy z postępowania na dzień składania ofert, tymczasowo zastępujący wymagane przez zamawiającego podmiotowe środki dowodowe Formularz JEDZ w formie elektronicznej dostępny jest na stronie internetowej espd.uzp.gov.pl. Instrukcja wypełnienia formularza JEDZ dostępna jest na stronie internetowej Urzędu Zamówień Publicznych;
oświadczenie Wykonawcy o niepodleganiu wykluczeniu z postępowania na podstawie art. 5k ust. 1 Rozporządzenia nr 833/2014 z dnia 31 lipca 2014 r. dotyczącego środków ograniczających w związku z działaniami Rosji destabilizującymi sytuację na Ukrainie (Dz. Urz. UE nr L 229 z 31.7.2014) - załącznik nr 4 do SWZ;
oświadczenie podmiotu, udostępniającego zasoby w zakresie odpowiadającym ponad 10% wartości zamówienia, o niepodleganiu wykluczeniu z postępowania na podstawie art. 5k ust. 1 Rozporządzenia nr 833/2014 z dnia 31 lipca 2014 r. dotyczącego środków ograniczających w związku z działaniami Rosji destabilizującymi sytuację na Ukrainie (Dz. Urz. UE nr L 229 z 31.7.2014) załącznik nr 5 do SWZ (jeśli dotyczy);
Oświadczenie w trybie art. 117 ust. 4 ustawy pzp, w związku z art. 117 ust. 3 pzp - wyłącznie w sytuacji podmiotów występujących wspólnie - załącznik nr 6 do SWZ (jeśli dotyczy); Zobowiązanie podmiotu udostępniającego zasoby o ile Wykonawca polega na zdolnościach lub sytuacji podmiotów udostępniających zasoby- załącznik nr 7 do SWZ (jeśli dotyczy), Formularz oferty, Oświadczenie JEDZ i pozostałe oświadczenia składa się wraz z ofertą, pod rygorem nieważności, w formie elektronicznej (sporządzone w postaci elektronicznej opatrzone kwalifikowanym podpisem elektronicznym.). Oferta oraz oświadczenia muszą być złożone w oryginale.5. Zamawiający wezwie wykonawcę, którego oferta została najwyżej oceniona, do złożenia w wyznaczonym terminie, nie krótszym niż 10 dni od dnia wezwania, aktualnych na dzień złożenia podmiotowych środków dowodowych o których mowa w rozdziale VIII pkt 5 SWZ. Dokumenty składane w przypadku wykonawców mających siedzibę lub miejsce zamieszkania poza RP: wskazano w rozdziale VIII pkt 8 SWZ. Informacje o środkach komunikacji elektronicznej, przy użyciu których Zamawiający będzie komunikował się z Wykonawcami oraz informacje o wymaganiach technicznych i organizacyjnych sporządzania, wysyłania i odbierania korespondencji elektronicznej, wskazano w rozdziale X SWZ.
O udzielenie zamówienia mogą ubiegać się Wykonawcy, którzy spełniają warunki dotyczące:
1) zdolności do występowania w obrocie gospodarczym:
Zamawiający nie stawia warunku w powyższym zakresie.
2) uprawnień do prowadzenia określonej działalności gospodarczej lub zawodowej, o ile wynika to z odrębnych przepisów:
Zamawiający nie stawia warunku w powyższym zakresie.
3) sytuacji ekonomicznej lub finansowej:
Zamawiający nie stawia warunku w powyższym zakresie.
4) zdolności technicznej lub zawodowej:
Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wykonał należycie lub wykonuje:
a) co najmniej dwie usługi obejmujące wdrożenie i konfigurację rozwiązań technicznych z zakresu cyberbezpieczeństwa, w szczególności takich jak ochrona stacji roboczych, serwerów, sieci, aplikacji lub monitorowanie bezpieczeństwa z uwzględnieniem obszaru organizacyjnego oraz szkoleń dla pracowników usługobiorcy, każda o wartości nie mniejszej niż 200 000,00 PLN brutto, oraz
b) co najmniej jedną usługę obejmującą podniesienie poziomu zabezpieczenia infrastruktury technicznej i oprogramowania, realizowaną w obszarze infrastruktury przemysłowej wodociągowo-kanalizacyjnej OT lub innej infrastruktury OT rozproszonej sieciowej np. gazowej, energetycznej o wartości nie mniejszej niż 200 000,00 PLN brutto.
W celu potwierdzenia spełniania przez wykonawcę warunków udziału w postępowaniu dotyczących zdolności technicznej lub zawodowej zamawiający żąda:
- wykazu dostaw lub usług wykonanych, a w przypadku świadczeń powtarzających się lub ciągłych również wykonywanych, w okresie ostatnich 3 lat, a jeżeli okres prowadzenia działalności jest krótszy - w tym okresie, wraz z podaniem ich wartości, przedmiotu, dat wykonania i podmiotów, na rzecz których dostawy lub usługi zostały wykonane lub są wykonywane, oraz załączeniem dowodów określających, czy te dostawy lub usługi zostały wykonane lub są wykonywane należycie, przy czym dowodami, o których mowa, są referencje bądź inne dokumenty sporządzone przez podmiot, na rzecz którego dostawy lub usługi zostały wykonane, a w przypadku świadczeń powtarzających się lub ciągłych są wykonywane, a jeżeli wykonawca z przyczyn niezależnych od niego nie jest w stanie uzyskać tych dokumentów - oświadczenie wykonawcy; w przypadku świadczeń powtarzających się lub ciągłych nadal wykonywanych referencje bądź inne dokumenty potwierdzające ich należyte wykonywanie powinny być wystawione w okresie ostatnich 3 miesięcy;
c) Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, że posiada wdrożony i funkcjonujący system zarządzania bezpieczeństwem informacji zgodny z normą ISO/IEC 27001 w najnowszym brzmieniu lub równoważną (jako równoważną należy rozumieć międzynarodową normę/wytyczne pokrywające zakresem merytorycznym wskazaną normę), potwierdzony certyfikatem wydanym przez jednostkę akredytowaną w rozumieniu ustawy o systemie oceny zgodności lub przepisy europejskie dotyczące oceny zgodności i wzajemnego uznawania certyfikatów wystawionych przez jednostki akredytowane na terenie Unii Europejskiej.
W celu potwierdzenia spełniania przez wykonawcę warunków udziału w postępowaniu dotyczących zdolności technicznej lub zawodowej zamawiający żąda:
Certyfikatu wydanego przez jednostkę akredytowaną w rozumieniu przepisów o ocenie zgodności, w zakresie posiadania/stosowania systemu zarządzania bezpieczeństwem informacji potwierdzający spełnienie warunku określonego w rozdziale VII pkt 2 ppkt 4 lit c SWZ.

Dokładne informacje na temat terminu (terminów) procedur odwoławczych

Odwołanie wnosi się: 1) w terminie 10 dni od dnia przesłania informacji o czynności Zamawiającego stanowiącej podstawę jego wniesienia - jeżeli zostały przesłane przy użyciu środków komunikacji elektronicznej albo w terminie 15 dni - jeżeli zostały przesłane w inny sposób; 2) w terminie 10 dni od dnia zamieszczenia ogłoszenia w Dzienniku Urzędowym Unii Europejskiej lub dokumentów zamówienia na stronie internetowej, gdy przedmiotem odwołania jest treść ogłoszenia wszczynającego postępowanie o udzielenie zamówienia treść dokumentów zamówienia 3) w terminie 10 dni od dnia, w którym powzięto lub przy zachowaniu należytej staranności można było powziąć wiadomość o okolicznościach stanowiących podstawę jego wniesienia jeżeli odwołanie dotyczy czynności innych niż określone powyżej w lit. a) i b).
Organizacja udzielająca dodatkowych informacji na temat procedur odwoławczych: Krajowa Izba Odwoławcza