Przegląd i aktualizacja dokumentacji SZBI, szkolenia z (...)

Usługi informatyczne: konsultacyjne, opracowywania oprogramowania, internetowe i wsparcia, w tym dostawy

Tryb zamówienia	Zapytanie ofertowe
Rodzaj zamówienia	Zamówienia łączone
Tytuł	Przegląd i aktualizacja dokumentacji SZBI, szkolenia z (...)
Zamawiający	Dostępne dla zalogowanych
Miejsce realizacji	Dąbrowa Górnicza
Data publikacji	2025-05-22
Data składania ofert	30/05/2025, Godzina 10:00
Dokumenty do pobrania	Dostępne dla zalogowanych
Kod CPV	488100009 Systemy informacyjne 728100001 Usługi audytu komputerowego 722630006 Usługi wdrażania oprogramowania
Numer przetargu	6271557

<div>
<h1>Podniesienie poziomu cyberbezpieczeństwa w Urzędzie Miejskim w Dąbrowie G&oacute;rniczej&rdquo;, zgodnie z celami Programu Funduszy Europejskich na Rozw&oacute;j Cyfrowy 2021-2027 Priorytet II: Zaawansowane usługi cyfrowe, Działanie 2.2. Wzmocnienie krajowego systemu cyberbezpieczeństwa - Cyberbezpieczny Samorząd (CS).</h1>
<h2>Załączniki</h2>
<ul>
<li>Opis przedmiotu zam&oacute;wienia</li>
<li>Formularz ofertowy</li>
<li>Wykaz usług</li>
<li>Wykaz os&oacute;b</li>
<li>Oświadczenie o braku powiązań</li>
<li>Oświadczenie z art. 7</li>
<li>Projekt umowy</li>
<li>Umowa powierzenia danych kompleksowa</li>
<li>Ankieta-bezpieczenstwa-dla-podmiotu-przetwarzajacego-(procesora)</li>
<li>Zapytanie ofertowe</li>
</ul>
<h2>Części zam&oacute;wienia</h2>
<h3>Przegląd i aktualizacja dokumentacji SZBI, szkolenia z (...)</h3>
Przedmioty zam&oacute;wienia
Projekt będzie obejmował: 1. Obszar organizacyjny - Przegląd i aktualizacja dokumentacji SZBI. 2. Obszar kompetencyjny - Szkolenia z cyberbezpieczeństwa. 3. Obszar techniczny - System wspomagający proces analizy ryzyka oraz zarządzania incydentami. Wykonawca zrealizuje zadania w zakresie nie mniejszym niż: 1. Obszar organizacyjny - Przegląd i aktualizacja dokumentacji SZBI. Wykonanie przeglądu i aktualizacji Systemu Zarządzania Bezpieczeństwem Informacji wraz z Polityką Bezpieczeństwa Informacji Urzędu Miejskiego w Dąbrowie G&oacute;rniczej zgodnie z poniższymi wymaganiami: Wdrożenie wymagań bezpieczeństwa informacji zgodnie z wymaganiami dyrektywy NIS2 oraz zapisami Ustawy KSC oraz RODO w tym w szczeg&oacute;lności: 1.1. Przeprowadzenie audytu otwarcia (GAP Analysis) w celu identyfikacji r&oacute;żnic (luki) między aktualnym stanem organizacji, dokumentacji i proces&oacute;w, a stanem pożądanym, zgodnym z Ustawą KSC oraz NIS2 i RODO. Weryfikacja działania proces&oacute;w związanych z ochroną bezpieczeństwa informacji, cyberbezpieczeństwem oraz RODO, w tym w szczeg&oacute;lności proces&oacute;w analizy ryzyka, zarządzania incydentami, zarządzania ciągłością działania, proces&oacute;w związanych z RODO, procesu zarządzania upoważnieniami dopuszczającymi. Przygotowanie raportu otwarcia. 1.2. Wdrożenie SZBI zgodnego z wymagani Ustawy KSC, RODO, NIS2 wraz z politykami i dokumentami tematycznymi oraz innymi odpowiednimi dokumentami w zakresie nie mniejszym niż: a. Opracowanie polityki, procedur szacowania ryzyka wystąpienia incydentu wraz z metodologią dostosowaną do potrzeb i specyfiki oraz narażenia podmiotu zamawiającego. Przeprowadzenie pełnej analizy ryzyka za pomocą opracowanej metodyki, w zakresie nie mniejszym niż: przeprowadzenie analizy ryzyka, ocena ryzyka, opracowanie planu działania, opracowanie rekomendacji wdrażania środk&oacute;w ochrony wraz z oszacowaniem niezbędnych zasob&oacute;w finansowych oraz ludzkich. b. Opracowanie odpowiednich i proporcjonalnych środk&oacute;w organizacyjnych, uwzględniających najnowszy stan wiedzy, koszty wdrożenia, wielkość podmiotu, prawdopodobieństwo wystąpienia incydent&oacute;w, narażenie podmiotu na ryzyka, skutki społeczne i gospodarcze wystąpienia incydent&oacute;w. Opracowanie zaleceń dotyczących wdrożenia środk&oacute;w technicznych, uwzględniających najnowszy stan wiedzy, koszty wdrożenia, wielkość podmiotu, prawdopodobieństwo wystąpienia incydent&oacute;w, narażenie podmiotu na ryzyka, skutki społeczne i gospodarcze wystąpienia incydent&oacute;w. W szczeg&oacute;lności: i. Opracowanie polityki bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne. ii. Opracowanie odpowiednich dokument&oacute;w w zakresie utrzymania i bezpiecznej eksploatacji systemu informacyjnego z uwzględnieniem bezpieczeństwa w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego, w tym testowanie systemu informacyjnego. iii. Opracowanie dokumentacji bezpieczeństwa fizycznego i środowiskowego, uwzględniające kontrolę dostępu. iv. Opracowanie dokumentacji w zakresie bezpieczeństwa zasob&oacute;w ludzkich. v. Opracowanie dokumentacji i proces&oacute;w w zakresie bezpieczeństwa i ciągłości łańcucha dostaw. Opracowanie propozycji zapis&oacute;w w umowach. vi. Opracowanie, plan&oacute;w działania (zarządzania kryzysowego) umożliwiających ciągłe i niezakł&oacute;cone świadczenie usługi oraz zapewniających poufność, integralność, dostępność i autentyczność informacji, oraz plan&oacute;w awaryjnych umożliwiających odtworzenie systemu informacyjnego po katastrofie i nieoczekiwanych zakł&oacute;ceniach (tzw. wszechstronna strategia przywracania). vii. Opracowanie zaleceń dotyczących monitoringu w trybie ciągłym w oparciu o analizę ryzyka. Opracowanie listy aktyw&oacute;w, podlegających monitoringowi w trybie ciągłym, biorąc pod uwagę występujące ryzyko oraz koszty wdrożenia i utrzymania. viii. Opracowanie polityk i procedur oceny skuteczności zabezpieczeń technicznych i organizacyjnych. ix. Opracowanie polityk i procedur edukacji z zakresu cyberbezpieczeństwa dla personelu podmiotu w tym zasad cyberhigieny. x. Opracowanie polityki i procedur stosowania kryptografii w tym szyfrowania. xi. Opracowanie polityk i procedur oraz wdrożenie oprogramowania w zakresie zarządzania aktywami. xii. Opracowanie polityki kontroli dostępu. 1.3. Opracowanie zasad zbierania informacji o cyberzagrożeniach i podatnościach na incydenty systemu informacyjnego wykorzystywanego do świadczenia usług wraz z planem wdrożenia działań operacyjnych, obejmującym szacunek zasob&oacute;w koniecznych do realizacji zadania proporcjonalne do występującego ryzyka. 1.4. Opracowanie polityki i procedur lub innych koniecznych dokument&oacute;w w zakresie zarządzania incydentami, w tym w szczeg&oacute;lności: a. Opracowanie zasad stosowania środk&oacute;w zapobiegających i ograniczających wpływ incydent&oacute;w na funkcjonowanie organizacji zamawiającego. b. Opracowanie zasad stosowania mechanizm&oacute;w zapewniających poufność, integralność, dostępność i autentyczność danych przetwarzanych w systemie informacyjnym proporcjonalnie do występującego ryzyka. c. Opracowanie zasad dotyczących regularnego prowadzenie aktualizacji oprogramowania, w tym sposob&oacute;w oceny &ndash; wpływu na bezpieczeństwo i poziom krytyczności oraz stosowanie do zaleceń producenta uwzględniając i r&oacute;wnoważąc zasady poufności i integralności. d. Opracowanie zasad ochrony przed nieuprawnioną modyfikacją w systemie informacyjnym. e. Opracowanie zasad i procedur niezwłocznego podejmowanie działań po dostrzeżeniu podatności. f. Opracowanie zasad i zaleceń oraz wskazanie system&oacute;w do stosowania MFA &ndash;uwierzytelnianie wieloskładnikowego. g. Opracowanie planu reagowania na incydenty, kt&oacute;ry określa procedury, odpowiedzialności i kroki do podjęcia w przypadku naruszenia bezpieczeństwa informacji. 1.5. Opracowana przez wykonawcę dokumentacja bezpieczeństwa systemu informacyjnego będzie stanowić nie mniej niż: a. Dokumentację systemu zarządzania bezpieczeństwem informacji; b. Dokumentację ochrony infrastruktury, z wykorzystaniem kt&oacute;rej świadczona jest usługa, obejmująca: i. charakterystykę usługi oraz infrastruktury, w kt&oacute;rej świadczona jest usługa, ii. ocenę aktualnego stanu ochrony infrastruktury, iii. szacowanie ryzyka dla obiekt&oacute;w infrastruktury, iv. plan postępowania z ryzykiem, v. opis zabezpieczeń technicznych obiekt&oacute;w infrastruktury, vi. zasady organizacji i wykonywania ochrony fizycznej infrastruktury, vii. dane o specjalistycznej uzbrojonej formacji ochronnej, o kt&oacute;rej mowa w art. 2 pkt 7 ustawy z dnia 22 sierpnia 1997 r. o ochronie os&oacute;b i mienia (Dz. U. z 2021 r. poz. 1995.), chroniącej infrastrukturę &ndash; jeżeli występuje; c. Dokumentacja systemu zarządzania ciągłością działania; d. Dokumentacja techniczna systemu informacyjnego wykorzystywanego do świadczenia usługi; e. Dokumentacja wynikająca ze specyfiki świadczonej usługi w danym sektorze lub podsektorze. 1.6. Wykonawca określi role i odpowiedzialności, podział zadań i obowiązk&oacute;w w systemie zarządzania bezpieczeństwem informacji i ochrony danych osobowych w ramach integralnego SZBI. Wykonawca opracuje listy nowy zadań do realizacji w związki z opracowanymi procedurami, z podziałem na poszczeg&oacute;lne role/stanowiska, w szczeg&oacute;lności przygotuje listę zadań dla IT wynikających z nowych obowiązk&oacute;w prawnych i procedur. 1.7. W razie wątpliwości dotyczących przygotowanej przez wykonawcę dokumentacji, np. jej zakresu lub interpretacji zapis&oacute;w mniejszego OPZ, w zakresie wymagań dotyczących wdrożenia systemu zarządzania bezpieczeństwem informacji oraz systemu zarządzania ciągłością działania, zmawiający jako punkt odniesienia będzie stosował najnowszy stan wiedzy zawarty w odpowiednich normach europejskich i międzynarodowych, w tym w szczeg&oacute;lności w najnowszej wersji Polskiej Normie PN-EN ISO /IEC 27001 - Bezpieczeństwo informacji, cyberbezpieczeństwo i ochrona prywatności oraz najnowszej wersji Polskiej Normy PN-EN ISO/IEC ISO 22301- Bezpieczeństwo i odporność - Systemy zarządzania ciągłością działania. Zamawiający do osiągnięcia ww. celu wykorzysta r&oacute;wnież Poradnik NASK Cyberbezpieczny samorząd Warszawa 2023 &ndash; poradnik dotyczący realizacji projekt&oacute;w z działania 2.2 pn. &bdquo;Wzmocnienie krajowego systemu cyberbezpieczeństwa&rdquo; do kt&oacute;rego wykorzystania jest zobowiązany wymogami realizacji dofinasowanego projektu. 1.8. Wykonawca określi niezbędne zasoby ludzkie i finansowe niezbędne Zamawiającemu do wdrożenia i utrzymania opracowanego Systemu Zarządzania Bezpieczeństwem Informacji. 1.9. Przygotowana przez wykonawcę dokumentacja powinna regulować w szczeg&oacute;lności następujące elementy: 1.9.1 dokumentacja o charakterze og&oacute;lnym a) deklaracje Administratora danych osobowych o wdrożeniu SZBI oraz zarządzenia / polecenie, b) zasady określające prawa i wolności &ndash; tj. realizację praw os&oacute;b, kt&oacute;rych dane dotyczą - Opis zasad realizacji praw os&oacute;b, kt&oacute;rych dane dotyczą (Art. 7 ust. 3, Art. 12 &ndash; 22), c) zasady określające politykę prywatności i politykę cookies na stronach internetowych Urzędu, d) zasady określające korzystanie z urządzeń (m.in. zastosowanych w organizacji mechanizm&oacute;w zabezpieczających związanych z wykorzystywaniem urządzeń mobilnych), e) zasady określające pracę zdalną, f) zasady określające audyty wewnętrzne (metodyka, procedury, wyszkolenie zespołu, przeglądy i zarządzanie wnioskami z audytu) (..) dalszy ciąg opisu przedmiotu zam&oacute;wienia znajduje się w załączniku nr 1 
<h2>Kryteria oceny</h2>
cena 100 %
<h2>Warunki zmiany umowy</h2>
zgodnie z Zapytaniem ofertowym (zał. nr 7) tj. Rozdziałem XIII. OKREŚLENIE WARUNK&Oacute;W ISTOTNYCH ZMIAN UMOWY ZAWARTEJ W WYNIKU PRZEPROWADZONEGO POSTĘPOWANIA: 1.Zamawiający przewiduje możliwość zmian postanowień zawartej Umowy w stosunku do treści oferty, na podstawie, kt&oacute;rej dokonano wyboru Wykonawcy, w przypadku wystąpienia, co najmniej jednej z okoliczności wymienionych poniżej, z uwzględnieniem podawanych warunk&oacute;w ich wprowadzenia. 1.1. Zmiana terminu wykonania usługi, w sytuacji uzasadnionej, gdy brak możliwości dochowania pierwotnego terminu wynika z przyczyn nie zawinionych przez Wykonawcę, takich jak &bdquo;siła wyższa&rdquo;, na pisemny uzasadniony wniosek Wykonawcy wskazujący okoliczności uniemożliwiające dochowanie pierwotnego terminu; przez siłę wyższą należy rozumieć zdarzenie zewnętrzne o charakterze nie zależnym od Stron, kt&oacute;rego Strony nie mogły przewidzieć przed zawarciem Umowy, oraz kt&oacute;rego Strony nie mogły uniknąć ani kt&oacute;remu nie mogły zapobiec przy zachowaniu należytej staranności; za siłę wyższą, warunkująca zmianę Umowy uważać się będzie w szczeg&oacute;lności: pow&oacute;dź, pożar i inne klęski żywiołowe, zamieszki, strajki, ataki terrorystyczne, działania wojenne, nagłe załamania warunk&oacute;w atmosferycznych, nagłe przerwy w dostawie energii elektrycznej, promieniowanie lub skażenia; stan pandemii, epidemii zmiany związane ze stanami pandemii, epidemii, w tym ich przebiegiem; 1.2. Zmiana terminu wykonania usługi, w sytuacji gdy brak możliwości dochowania pierwotnego terminu wynika z okoliczności leżących po stronie Zamawiającego. 1.3. Pozostałe zmiany: - zmiany powszechnie obowiązujących przepis&oacute;w prawa w zakresie mającym wpływ na realizację przedmiotu zam&oacute;wienia, w szczeg&oacute;lności zmiana obowiązującej stawki VAT, - zmiana sposobu rozliczania umowy, terminu realizacji umowy lub dokonywania płatności na rzecz Wykonawcy np. na skutek zmian zawartej przez Zamawiającego umowy o dofinansowanie projektu lub wytycznych dotyczących realizacji projektu. - zmiana os&oacute;b wymienionych w &sect; 4 ust.13 umowy: a. na skutek zdarzeń losowych, zmian kadrowo- personalnych, utraty wymaganych uprawnień, utraty stanowiska z zastrzeżeniem r&oacute;wnoważności uprawnień. b. musi być uzasadniona przez Wykonawcę na piśmie i wymaga pisemnej akceptacji Zamawiającego. c. Wykonawca przedłoży Zamawiającemu propozycję zmian os&oacute;b, nie p&oacute;źniej niż 10 dni roboczych przed planowaną zmianą. d. osoba proponowana na zamianę winna posiadać uprawnienia i doświadczenie zawodowe co najmniej r&oacute;wnoważne z uprawnieniami i doświadczeniem osoby wymienionej w ofercie. e. jakakolwiek przerwa w realizacji przedmiotu umowy wynikająca z braku osoby z uprawnieniami będzie traktowana jako przerwa wynikła z przyczyn zależnych od Wykonawcy i nie może stanowić podstawy do roszczenia o zmianę terminu zakończenia usługi, za wyjątkiem zdarzeń losowych, za kt&oacute;re Wykonawca nie ponosi odpowiedzialności. - w każdym przypadku, gdy zmiana jest korzystna dla Zamawiającego (np. powoduje skr&oacute;cenie terminu realizacji umowy); -Wykonawcę, kt&oacute;remu Zamawiający udzielił zam&oacute;wienia, ma zastąpić nowy Wykonawca: o w wyniku połączenia, podziału, przekształcenia, upadłości, restrukturyzacji lub nabycia dotychczasowego wykonawcy lub jego przedsiębiorstwa, o ile nowy Wykonawca spełnia warunki udziału w postępowaniu, nie zachodzą wobec niego podstawy wykluczenia oraz nie pociąga to za sobą innych istotnych zmian umowy, o w wyniku przejęcia przez Zamawiającego zobowiązań Wykonawcy względem jego podwykonawc&oacute;w, - zmiana nie prowadzi do zmiany charakteru umowy a łączna wartość zmian jest mniejsza niż 143 000 euro i jednocześnie jest mniejsza od 10% wartości zam&oacute;wienia określonej pierwotnie w umowie. 2. Zmiana umowy wymaga formy pisemnego aneksu podpisanego przez obie strony pod rygorem nieważności. 3. Projekt umowy stanowi Załącznik nr 7 do Zapytania.
</div>