Wykonanie audytów łączonych SZBI oraz KRI & UoKSC (audyt początkowy oraz audyt końcowy)

Usługi architektoniczne, budowlane, inżynieryjne i kontrolne - Usługi projektowania inżynieryjnego

Tryb zamówienia	Zapytanie ofertowe
Rodzaj zamówienia	Usługi
Tytuł	Wykonanie audytów łączonych SZBI oraz KRI & UoKSC (audyt początkowy oraz audyt końcowy)
Zamawiający	Dostępne dla zalogowanych
Miejsce realizacji	Piątnica Poduchowna
Data publikacji	2025-06-27
Data składania ofert	07/07/2025, Godzina 09:00
Dokumenty do pobrania	Dostępne dla zalogowanych
Kod CPV	728100001 Usługi audytu komputerowego
Numer przetargu	6354571

<div>
<h1>Cyberbezpieczna Gmina Piątnica</h1>
<h2>Załączniki</h2>
<ul>
<li><a href="https://bazakonkurencyjnosci.funduszeeuropejskie.gov.pl/api/files/2127908">Zapytanie ofertowe</a></li>
<li><a href="https://bazakonkurencyjnosci.funduszeeuropejskie.gov.pl/api/files/2127910">Opis przedmiotu zam&oacute;wienia - Zał. 2</a></li>
<li><a href="https://bazakonkurencyjnosci.funduszeeuropejskie.gov.pl/api/files/2127913">Formularz OFERTOWY- Zał 1</a></li>
<li><a href="https://bazakonkurencyjnosci.funduszeeuropejskie.gov.pl/api/files/2127914">Oświadczenie - Zał. 3</a></li>
<li><a href="https://bazakonkurencyjnosci.funduszeeuropejskie.gov.pl/api/files/2127915">Wykaz usług-Zał. 4</a></li>
<li><a href="https://bazakonkurencyjnosci.funduszeeuropejskie.gov.pl/api/files/2127916">Wykaz os&oacute;b- Zał. 5</a></li>
<li><a href="https://bazakonkurencyjnosci.funduszeeuropejskie.gov.pl/api/files/2127917">Wz&oacute;r umowy - Zał. 6</a></li>
<li><a href="https://bazakonkurencyjnosci.funduszeeuropejskie.gov.pl/api/files/2127922">Wz&oacute;r protokołu odbioru - Zał. 7</a></li>
</ul>
<h2>Części zam&oacute;wienia</h2>
<h3>Termin składania ofert: do dnia 07.07.2025 r. do godz. 9.30</h3>
Przedmioty zam&oacute;wienia
Przedmiotem zam&oacute;wienia jest wykonanie audyt&oacute;w łączonych SZBI oraz KRI &amp; UoKSC (audyt początkowy oraz audyt końcowy), w tym opracowanie raportu zawierającego wnioski i rekomendacje w oparciu o Rozporządzenie Krajowych Ram Interoperacyjności, ustawę o Krajowym Systemie Cyberbezpieczeństwa, normę ISO 27001 (SZBI), wytycznych Ministerstwa Cyfryzacji dla kontroli działania system&oacute;w teleinformatycznych używanych do realizacji zadań publicznych w ramach Projektu Grantowego pn. &bdquo;Cyberbezpieczny Samorząd&rdquo; realizowany jest w ramach Programu Operacyjnego Fundusze Europejskie na Rozw&oacute;j Cyfrowy 2021&ndash;2027 (FERC) Działanie 2.2. pn. &bdquo;Wzmocnienie krajowego systemu cyberbezpieczeństwa&rdquo; Realizacja przedmiotu zam&oacute;wienia: 1) Przedmiot zam&oacute;wienia powinien być realizowany w następującej kolejności: I Etap wykonywany najp&oacute;źniej do dnia 30.11.2025 r. - wykonanie początkowych audyt&oacute;w w każdej z jednostek (Urząd Gminy Piątnica, Ośrodek Pomocy Społecznej w Piątnicy, Centrum Usług Samorządowych w Piątnicy, 7 szk&oacute;ł podstawowych dla kt&oacute;rych organem jest Gmina Piątnica). II Etap - wykonywany najp&oacute;źniej do dnia 31.03.2026 r. &ndash; wykonanie końcowych audyt&oacute;w w każdej z jednostek (Urząd Gminy Piątnica, Ośrodek Pomocy Społecznej w Piątnicy, Centrum Usług Samorządowych w Piątnicy, 7 szk&oacute;ł podstawowych dla kt&oacute;rych organem jest Gmina Piątnica) &ndash; w kt&oacute;rym znajdą się wytyczne do doskonalenia i rekomendacje. 2) Wykonawca zobowiązany jest do przeprowadzenia pełnego zakresu audyt&oacute;w łączonych SZBI oraz KRI &amp; UoKSC w każdej z jednostek (w tym w szczeg&oacute;lności weryfikacji struktury organizacji oraz przepływu dokument&oacute;w elektronicznych, analizy zewnętrznej i wewnętrznej sieci komputerowej, analizy serwer&oacute;w, test&oacute;w dostępu do sieci wewnętrznej i zewnętrznej, analizy stacji roboczych, analizy kopii zapasowych, analizy poczty email, analizy og&oacute;lnego bezpieczeństwa danych i mechanizm&oacute;w kontroli w podmiocie), na miejscu, przy wykorzystaniu własnych zasob&oacute;w technicznych oraz osobowych posiadających odpowiednie kwalifikacje do realizacji zam&oacute;wienia. Wymagania dla usługi przeprowadzenia audyt&oacute;w łączonych SZBI oraz KRI &amp; UoKSC (audyt początkowy oraz audyt końcowy) dla UG Piątnica oraz jednostek podległych: Centrum Usług Samorządowych, Ośrodka Pomocy Społecznej w Piątnicy, 7 plac&oacute;wek edukacyjnych (Zesp&oacute;ł Szkolno-Przedszkolny w Piątnicy, Szkoła Podstawowa w Kisielnicy, Dobrzyjałowie, Drozdowie, Olszynach, Rakowo-Boginie i Jeziorku) Zamawiający wymaga, aby audyty zostały przeprowadzone w zgodzie z Krajowymi Ramami Interoperacyjności (KRI) z uwzględnieniem element&oacute;w ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) w kontekście Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). Zamawiający wymaga, aby na zespole audytorskim spoczywał obowiązek weryfikacji zgodności z innymi przepisami, w tym: &bull; zgodność z przepisami dotyczącymi ochrony danych osobowych (np. RODO), w kontekście zarządzania danymi, bezpieczeństwa informacji oraz cyberbezpieczeństwa. &bull; sprawdzenie zgodności z krajowymi i międzynarodowymi normami oraz standardami związanymi z bezpieczeństwem informacji i cyberbezpieczeństwem. AUDYT POCZĄTKOWY łączony SZBI oraz KRI &amp; UoKSC stanowi kluczowy element w ramach projektu Cyberbezpieczny Samorząd, a jego celem jest dokonanie wstępnej oceny obecnego stanu bezpieczeństwa informacji u Zamawiającego, w tym identyfikacja wszelkich zagrożeń, słabości, luk w zabezpieczeniach itd. Na podstawie wynik&oacute;w audytu należy zweryfikować braki i obszary wymagające poprawy, co kluczowe jest dla skutecznego wdrożenia działań w ramach projektu. Audyt początkowy niezbędny jest dla Zamawiającego do oceny zgodności z normami i standardami dotyczącymi zarządzania bezpieczeństwem informacji, a jego wyniki stanowią fundament do opracowania dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji. AUDYT KOŃCOWY łączony SZBI &amp; UoKSC ma wykazać efektywność wdrożonych działań i weryfikację czy zidentyfikowane w audycie początkowym słabości i luki zostały skutecznie zlikwidowane, a także czy nowo wdrożone procedury i mechanizmy działają zgodnie z ich założeniami. Zamawiający wymaga, aby audyt końcowy stanowił formalną ocenę funkcjonowania Systemu Zarządzania Bezpieczeństwem Informacji i weryfikację jego poprawności, funkcjonowania zgodnie z wymaganiami norm, przepis&oacute;w prawnych oraz wewnętrznych polityk. Audyt końcowy jest także dla Zamawiającego niezbędny do zapewnienia, że Jednostka jest przygotowana do dalszego funkcjonowania zgodnie z wymogami cyberbezpieczeństwa, a ponadto jego uzasadnienie znajduje się w konieczności formalnego zamknięcia Projektu i jego ocenę. Zamawiający wymaga, aby w ramach czynności audytowych Wykonawca przeprowadził kompleksowe testy penetracyjne (dwukrotnie, wraz z czynnościami audytowymi) infrastruktury IT Jednostek. Testy penetracyjne mają na celu identyfikację i ocenę nieznanych dotąd podatności. Testy te muszą być wykonane przez wykwalifikowanego pentestera i powinny obejmować szczeg&oacute;łową analizę zar&oacute;wno zewnętrznych, jak i wewnętrznych komponent&oacute;w systemu informatycznego. Zamawiający wymaga, aby zakres test&oacute;w penetracyjnych obejmował m.in.: 1. Zewnętrzne testy penetracyjne infrastruktury IT: &bull; analiza topologii sieci na granicy z Internetem - szczeg&oacute;łowe zbadanie struktury sieci na styku z Internetem, z uwzględnieniem istniejących zabezpieczeń; &bull; ocena mechanizm&oacute;w ochronnych - sprawdzenie efektywności system&oacute;w zabezpieczeń, takich jak zapory sieciowe, IDS/IPS oraz inne urządzenia na granicy sieci; &bull; wykrywanie publicznie dostępnych usług sieciowych - przeprowadzenie skanowania port&oacute;w oraz usług dostępnych publicznie w celu zidentyfikowania potencjalnych punkt&oacute;w dostępu dla atakujących; &bull; identyfikacja wersji i typ&oacute;w publicznie dostępnego oprogramowania - ustalenie wersji oprogramowania, kt&oacute;re jest widoczne z sieci publicznej, w celu określenia możliwych luk w zabezpieczeniach; &bull; pr&oacute;by wykorzystania wykrytych podatności - testowanie ryzyka poprzez wykorzystanie zidentyfikowanych luk bezpieczeństwa; &bull; zalecenia dotyczące wzmocnienia ochrony sieci brzegowej - przygotowanie zaleceń dotyczących wzmocnienia ochrony na granicy sieci lokalnej z Internetem. 2. Wewnętrzne testy penetracyjne infrastruktury IT: &bull; ocena struktury sieci LAN**: Szczeg&oacute;łowa analiza wewnętrznej topologii sieci LAN, w tym rozmieszczenia urządzeń oraz zastosowanych mechanizm&oacute;w ochrony; &bull; testowanie wewnętrznych zabezpieczeń sieciowych - sprawdzenie izolacji urządzeń, segmentacji sieci oraz innych środk&oacute;w ochronnych stosowanych w sieci wewnętrznej; &bull; analiza i monitoring ruchu sieciowego - przeprowadzenie dokładnego monitoringu ruchu sieciowego w poszukiwaniu nietypowych wzorc&oacute;w mogących świadczyć o naruszeniu bezpieczeństwa; &bull; skanowanie port&oacute;w i usług w sieci LAN - identyfikacja usług i aplikacji działających w sieci wewnętrznej poprzez skanowanie port&oacute;w TCP/UDP; &bull; wykrywanie aktywnych urządzeń w sieci - identyfikacja i analiza urządzeń podłączonych do sieci lokalnej w celu oceny potencjalnych zagrożeń; &bull; eksploatacja zidentyfikowanych podatności w sieci LAN - przeprowadzenie pr&oacute;b wykorzystania słabości w sieci wewnętrznej w celu oceny ryzyka; &bull; ocena procedur tworzenia i odzyskiwania kopii zapasowych - przegląd skuteczności procedur backupu i przywracania danych; &bull; rekomendacje dla poprawy bezpieczeństwa wewnętrznej sieci LAN - przygotowanie szczeg&oacute;łowych zaleceń dotyczących zwiększenia poziomu zabezpieczeń sieci lokalnej. 3. Audyt bezpieczeństwa serwis&oacute;w WWW: &bull; sprawdzenie aktualności serwera HTTP oraz systemu CMS - ocena zgodności wersji oprogramowania serwerowego oraz systemu CMS z najnowszymi standardami bezpieczeństwa, z naciskiem na wykrywanie znanych luk; &bull; ocena bezpieczeństwa komunikacji internetowej - analiza stosowanych certyfikat&oacute;w X.509, wersji protokołu TLS oraz metod kryptograficznych, zapewniających poufność i integralność transmisji danych przez Internet. 4. Audyt bezpieczeństwa serwis&oacute;w pocztowych: &bull; analiza mechanizm&oacute;w SPF, DKIM i DMARC - ocena poprawności implementacji mechanizm&oacute;w SPF, DKIM oraz DMARC, mających na celu ochronę przed fałszerstwami wiadomości e-mail; &bull; ocena zabezpieczeń TLS w komunikacji e-mailowej - sprawdzenie czy mechanizmy szyfrowania TLS zostały poprawnie wdrożone w celu zabezpieczenia komunikacji pocztowej. 5. Raport z przeprowadzonych test&oacute;w i audyt&oacute;w: &bull; dokumentacja wykonanych prac - szczeg&oacute;łowy raport zawierający opis zastosowanej metodologii, użytych narzędzi oraz zakresu wykonanych test&oacute;w i analiz; &bull; analiza wynik&oacute;w test&oacute;w penetracyjnych - przedstawienie wynik&oacute;w test&oacute;w, wraz z identyfikacją wykrytych podatności i oceną związanego z nimi ryzyka; &bull; zalecenia i wnioski - opracowanie rekomendacji dotyczących naprawy wykrytych problem&oacute;w oraz strategii mających na celu podniesienie poziomu bezpieczeństwa; &bull; szczeg&oacute;łowa analiza technicznych zabezpieczeń - ocena oraz om&oacute;wienie stanu zabezpieczeń serwis&oacute;w WWW, serwis&oacute;w pocztowych, sieci LAN i połączeń z Internetem, wraz z zaleceniami dotyczącymi utrzymania wysokiego poziomu bezpieczeństwa. Opracowanie raportu z audytu wskazującego wykryte podatności oraz błędy wraz rekomendacjami działań naprawczych i korygujących oraz uzupełnienie załącznika nr 6 do Regulaminu Konkursu Grantowego pn. &bdquo;Cyberbezpieczny Samorząd&rdquo; &ndash; ankieta dojrzałości cyberbezpieczeństwa w jednostkach samorządu terytorialnego. Z kolei wsparcie poaudytowe, kt&oacute;re polegać ma m.in. na: udzielanie informacji na temat audytowanych element&oacute;w wynikających z raportu. Czas dla klienta na zapoznanie się z raportem i zadawanie pytań odnośnie raportu min. 6 miesięcy od przeprowadzenia audytu i przedstawieniu raportu. Niniejszy opis przedstawia minimalny zakres wymagań dla przeprowadzenia kompleksowych test&oacute;w penetracyjnych oraz audyt&oacute;w bezpieczeństwa IT, kt&oacute;re mają na celu wszechstronną ocenę stanu bezpieczeństwa informatycznego Jednostek Zamawiającego.
<h2>Kryteria oceny</h2>
Za najkorzystniejszą zostanie uznana oferta spełniająca wymagania z najniższą ceną brutto za wykonanie przedmiotu zam&oacute;wienia. Kryterium: cena = 100%
<h2>Warunki zmiany umowy</h2>
1. Zamawiający zastrzega sobie prawo zmiany postanowień umowy w przypadku: 1) gdy nastąpi zmiana powszechnie obowiązujących przepis&oacute;w prawa w zakresie mającym wpływ na realizację umowy, w tym zmiana stawki podatku od towar&oacute;w i usług na asortyment stanowiący przedmiot umowy; 2) w razie zmiany terminu wykonania umowy z powodu: &bull; wystąpienia uzasadnionych dodatkowych okoliczności, niemożliwych do przewidzenia przed zawarciem umowy, &bull; siły wyższej, np. wystąpienia zdarzenia losowego wywołanego przez czynniki zewnętrzne, kt&oacute;rego nie można było przewidzieć z pewnością, w szczeg&oacute;lności zagrażające bezpośrednio życiu lub zdrowiu ludzi lub grożącego powstaniu szkody w znacznych rozmiarach, &bull; działania os&oacute;b trzecich uniemożliwiających wykonanie zam&oacute;wienia, kt&oacute;re to działania nie są konsekwencją winy kt&oacute;rejkolwiek ze stron. 2. Inicjatorem zmian może być Zamawiający lub Wykonawca poprzez pisemne wystąpienie w okresie obowiązywania umowy zawierające opis proponowanych zmian i ich uzasadnienie. 3. Zmiany umowy mogą nastąpić wyłącznie w formie pisemnego aneksu pod rygorem nieważności za zgodą obu stron. Zmiany umowy nie mogą naruszać postanowień zawartych w art. 454 - 455 ustawy. 4. Wszelkie zmiany niniejszej umowy wymagają formy pisemnej pod rygorem nieważności takiej zmiany.
</div>