Zakres i Etapy Wdrożenia SZBI

Usługi księgowe, audytorskie i podatkowe

Tryb zamówienia	Zapytanie ofertowe
Rodzaj zamówienia	Usługi
Tytuł	Zakres i Etapy Wdrożenia SZBI
Zamawiający	Dostępne dla zalogowanych
Miejsce realizacji	Rokitno
Data publikacji	2026-03-18
Data składania ofert	27/03/2026, Godzina 12:00
Dokumenty do pobrania	Dostępne dla zalogowanych
Kod CPV	728100001 Usługi audytu komputerowego
Numer przetargu	7034289

<div>
<h1>Zwiększenie cyberbezpieczeństwa w Gminie Rokitno</h1>
<h2>Załączniki</h2>
<ul>
<li>Zapytanie ofertowe</li>
<li>Opis przedmiotu zam&oacute;wienia</li>
<li>Formularz ofertowy</li>
<li>Oświadczenie o braku podstaw wykluczenia</li>
<li>Wz&oacute;r umowy</li>
</ul>
<h2>Części zam&oacute;wienia</h2>
<h3>Zakres i Etapy Wdrożenia SZBI</h3>
Przedmioty zam&oacute;wienia
Projekt realizowany w ramach Projektu Grantowego &bdquo;Cyberbezpieczny Samorząd&rdquo; Projekt realizowany w ramach Programu Fundusze Europejskie na Rozw&oacute;j Cyfrowy (FERC) 2021&ndash;2027, Priorytet II: Zaawansowane usługi cyfrowe, Działanie 2.2 &ndash; Wzmocnienie krajowego systemu cyberbezpieczeństwa, finansowany z Europejskiego Funduszu Rozwoju Regionalnego (EFRR). 1. Wymagania og&oacute;lne O zam&oacute;wienie mogą ubiegać się Wykonawcy, kt&oacute;rzy spełniają następujące warunki. W zakresie dysponowania odpowiednim potencjałem kadrowym Wykonawca zobowiązany jest wykazać, że dysponuje lub będzie dysponował niżej wymienionymi osobami umożliwiającymi realizację zam&oacute;wienia na odpowiednim poziomie jakości, kt&oacute;re zostaną skierowane do realizacji zam&oacute;wienia: a) co najmniej 1 osobą, kt&oacute;ra posiada certyfikat bezpieczeństwa system&oacute;w informatycznych,(CISSP) b) co najmniej 1 osobą, kt&oacute;ra posiada certyfikat bezpieczeństwa system&oacute;w informatycznych,(CEH) c) co najmniej 1 osobą, kt&oacute;ra posiada ukończony kurs dla audytora systemu zarządzania bezpieczeństwem informacji/audytora wiodącego (ISO 27001:2022) d) co najmniej 1 osobą, kt&oacute;ra posiada certyfikat audytora wiodącego ISO 22301:2019 UWAGA: Zamawiający dopuszcza możliwość łączenia potencjału kadrowego tzn. aby 1 osoba posiadała ww. certyfikaty. Zam&oacute;wienie realizowane będzie zgodnie z zasadami r&oacute;wności płci i dostępności dla os&oacute;b z niepełnosprawnościami. Oferent zobowiązany jest do realizacji zam&oacute;wienia zgodnie z Regulaminem Konkursu Grantowego pn. &bdquo;Cyberbezpieczny Samorząd&rdquo; oraz zasadami określonymi w Programie Fundusze Europejskie na Rozw&oacute;j Cyfrowy (FERC) 2021&ndash;2027 oraz z zasadami r&oacute;wności płci i dostępności dla os&oacute;b z niepełnosprawnościami. Projekt ma na celu podniesienie poziomu bezpieczeństwa informacji oraz spełnienie wymog&oacute;w krajowego systemu cyberbezpieczeństwa w Urzędzie Gminy oraz GOPS. 2. Opracowanie, wdrożenie, przegląd, aktualizacja dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji - Zakres i Etapy Wdrożenia SZBI 2.1. Audyt Wstępny: Wykonawca przeprowadzi audyt wstępny, kt&oacute;rego celem będzie ocena aktualnego stanu systemu bezpieczeństwa informacji w dw&oacute;ch jednostkach: Urzędzie Gminy oraz GOPS. 2.1.1. Konsultacje: Wykonawca zorganizuje spotkania z zespołem odpowiedzialnym za wdrożenie SZBI w obu jednostkach (po jednym spotkaniu w Urzędzie Gminy i GOPS) celem om&oacute;wienia przeprowadzenia audytu wstępnego oraz przedstawienia procesu działania i planowanych do podjęcia działań i etap&oacute;w audytu &ndash; narada wstępna. 2.1.2. Ocena zgodności z wymaganiami &sect; 20 ust. 2 rozporządzenia KRI oraz normą ISO/IEC 27001, aby sprawdzić aktualny stan bezpieczeństwa informacji w obu jednostkach. 2.1.3. Analiza zabezpieczeń: Przeprowadzenie szczeg&oacute;łowej analizy zabezpieczeń system&oacute;w IT, identyfikacja luk w zabezpieczeniach oraz przedstawienie rekomendacji działań naprawczych dla Urzędu Gminy oraz GOPS. 2.1.4. Sporządzenie raportu z audytu wstępnego: Raport powinien zawierać szczeg&oacute;łowe wyniki analizy stanu systemu bezpieczeństwa informacji, z uwzględnieniem rekomendacji działań naprawczych i doskonalących. 2.1.5. Konsultacje: Wykonawca zorganizuje spotkania z zespołem odpowiedzialnym za wdrożenie SZBI w obu jednostkach (po jednym spotkaniu w Urzędzie Gminy i GOPS) celem om&oacute;wienia wynik&oacute;w audytu wstępnego oraz przedstawienia zaleceń i planu działań naprawczych &ndash; narada zamykająca. 2.1.6. Podpisanie raportu przez audytor&oacute;w: Raporty z audytu wstępnego muszą być podpisane przez audytor&oacute;w, kt&oacute;rzy przeprowadzili ocenę. 2.2. Opracowanie Polityk i Procedur SZBI: Wykonawca opracuje i wdroży niezbędne polityki oraz procedury SZBI zgodne z wymaganiami normy ISO/IEC 27001 oraz przepisami krajowymi 2.2.1. Polityka bezpieczeństwa informacji: Opracowanie polityki bezpieczeństwa informacji, kt&oacute;ra będzie zgodna z normą ISO/IEC 27001 oraz wymaganiami ustawy o krajowym systemie cyberbezpieczeństwa. Polityki mają zostać przygotowane jako oddzielne dokumenty dla dw&oacute;ch jednostek Urzędu Gminy oraz dla GOPS. 2.2.2. Cele i zakres SZBI: Zdefiniowanie cel&oacute;w i zakresu SZBI na podstawie analizy kontekstu organizacji, uwzględniając specyficzne zagrożenia i ryzyka, kt&oacute;re mogą wystąpić w Urzędzie Gminy oraz GOPS. Dokumenty mają zostać opracowane oddzielnie dla dw&oacute;ch jednostek Urzędu Gminy oraz dla GOPS. 2.2.3. Procedury zarządzania incydentami: Opracowanie procedur reagowania na incydenty związane z bezpieczeństwem informacji, w tym zasady postępowania w przypadku naruszenia ochrony danych. 2.2.4. System zarządzania dostępami: Opracowanie systemu zarządzania dostępem, kontrola uprawnień użytkownik&oacute;w oraz wdrożenie ścisłych procedur kontrolujących dostęp do system&oacute;w IT i danych w obu jednostkach. 2.2.5. Plan ciągłości działania (BCP) oraz plan reagowania na incydenty: Opracowanie dokument&oacute;w określających procedury zapewnienia ciągłości działania w przypadku awarii, jak i reagowania na incydenty związane z cyberbezpieczeństwem. 2.2.6. Ocena zgodności wdrożonych procedur: Analiza i ocena zgodności opracowanych polityk i procedur z normą ISO/IEC 27001 oraz przepisami prawa krajowego, ze szczeg&oacute;lnym uwzględnieniem ustawy o krajowym systemie cyberbezpieczeństwa oraz regulacji NIS2. 2.2.7. Wsparcie w implementacji technicznych środk&oacute;w ochrony: Wykonawca dostarczy wsparcie w implementacji technicznych rozwiązań ochrony danych, takich jak szyfrowanie danych, systemy dwuskładnikowego uwierzytelniania, segmentacja sieci. 2.2.8. Opracowanie dokumentacji systemowej: Wykonawca opracuje pełną dokumentację systemu zarządzania bezpieczeństwem informacji, instrukcje operacyjne oraz polityki wewnętrzne dotyczące cyberbezpieczeństwa. 2.2.9. Dostosowanie dokumentacji do specyfiki jednostki, w ścisłej wsp&oacute;łpracy z zespołem odpowiedzialnym za wdrożenie SZBI w Urzędzie Gminy i GOPS. 2.2.10. Dostosowanie procedur do reali&oacute;w organizacyjnych: Wdrażane procedury muszą być praktyczne, sp&oacute;jne z codziennym funkcjonowaniem organizacji oraz zapewniać zgodność z KRI oraz normą ISO 27001. 2.3. Audyt Końcowy: Po wdrożeniu SZBI, wykonawca przeprowadzi audyt końcowy, kt&oacute;ry oceni zgodność systemu z normą ISO/IEC 27001 oraz wymaganiami przepis&oacute;w prawa. 2.3.1. Ocena zgodności z wymaganiami &sect; 20 ust. 2 rozporządzenia KRI oraz normą ISO/IEC 27001 po zakończeniu wdrożenia SZBI. 2.3.2. Analiza zabezpieczeń: Wykonawca przeprowadzi szczeg&oacute;łową analizę zabezpieczeń po wdrożeniu SZBI, identyfikując luki oraz przedstawiając rekomendacje działań naprawczych. 2.3.3. Sporządzenie raportu z audytu końcowego: Raport z audytu końcowego będzie zawierał wyniki analizy, wskaz&oacute;wki dotyczące dalszego doskonalenia systemu oraz rekomendacje naprawcze. 2.3.4. Podpisanie raportu przez audytor&oacute;w: Raport z audytu końcowego musi być podpisany przez audytor&oacute;w przeprowadzających ocenę. 2.3.5. Analiza punkt&oacute;w normy ISO 27001: Wykonawca przeanalizuje szczeg&oacute;łowo każdy punkt normy ISO 27001 w odniesieniu do wynik&oacute;w audytu wstępnego oraz oceni aktualny stan wdrożenia wymagań normy w jednostkach. 2.3.6. Dostosowanie procedur do reali&oacute;w organizacyjnych: Wdrażane procedury muszą być praktyczne, sp&oacute;jne z codziennym funkcjonowaniem organizacji oraz zapewniać zgodność z KRI oraz normą ISO 27001. 2.4. Opracowanie Dokumentacji: Wykonawca zobowiązany jest do opracowania pełnej odrębnej dla każdej jednostki dokumentacji wymaganej do certyfikacji SZBI zgodnie z normą ISO/IEC 27001, przygotowanej w formie umożliwiającej przekazanie dokument&oacute;w jednostce certyfikującej przez Zamawiającego. Dokumentacja ma być w formie wzor&oacute;w i szablon&oacute;w z możliwością implementacji przez Zmawiającego celem przeprowadzenia certyfikacji. 2.4.1. Dokumenty wymagane do certyfikacji: Wykonawca opracuje wszystkie dokumenty niezbędne do uzyskania certyfikacji zgodności z normą ISO/IEC 27001, w tym m.in. Księgę Systemu Zarządzania Bezpieczeństwem Informacji, Politykę Bezpieczeństwa Informacji, Plan Kontynuacji Działania (BCP), procedury audytu wewnętrznego, zarządzania incydentami, bezpieczeństwa fizycznego, procedurę nadzoru nad dokumentami, itp. 2.4.2. Wykonawca gwarantuje, że dokumentacja systemu zarządzania bezpieczeństwem informacji jest zgodna z wymaganiami normy ISO/IEC 27001 oraz wymagania certyfikacyjnymi jednostki certyfikującej systemy zarządzania na zgodność z normą ISO/IEC 27001, akredytowanej przez dowolną jednostką akredytującą wymienioną na stronie http://www.iaf.nu//articles/IAF_MEMBERS_SIGNATORIES/4 .): &bull; Zakres systemu zarządzania bezpieczeństwem informacji &bull; Księga systemu zarządzania bezpieczeństwem informacji &bull; Polityka bezpieczeństwa informacji &bull; Polityka kontroli dostępu &ndash; czy istnieje polityka kontroli dostępu i czy podlega okresowym przeglądom i aktualizacjom &bull; Dostęp do sieci i usług sieciowych - czy wdrożone są narzędzia kontrolujące dostęp użytkownik&oacute;w wyłącznie do tych sieci i usług sieciowych, do kt&oacute;rych otrzymali wyraźne uprawnienia &bull; Rejestrowanie i wyrejestrowanie użytkownik&oacute;w &ndash; czy wdrożony jest formalny proces rejestrowania i wyrejestrowywania użytkownik&oacute;w &bull; Zarządzanie poufnymi informacjami uwierzytelniającymi użytkownik&oacute;w &ndash; czy istnieje formalny proces przydzielania poufnych informacji uwierzytelniających &bull; Przegląd praw dostępu &ndash; czy dokonywane są przeglądy praw dostępu użytkownik&oacute;w &bull; Odbieranie lub dostosowywanie praw dostępu &ndash; czy wdrożony jest formalny proces odbierania prawa dostępu do informacji i środk&oacute;w przetwarzania informacji po zakończeniu zatrudnienia lub dostosowania do zachodzących zmian w zatrudnieniu &bull; Schemat organizacyjny kierowania sprawami bezpieczeństwa informacji &bull; Deklaracja stosowania dla systemu bezpieczeństwa informacji &bull; Plan kontynuacji działania (BCP) &bull; Metodyka szacowania ryzyka 2.4.3. Wszystkie procedury potrzebne do przejścia procesu certyfikacji m.in.: &bull; Procedura nadzoru nad dokumentami &bull; Procedura działań korekcyjnych, korygujących i zapobiegawczych &bull; Procedura audytu wewnętrznego &bull; Procedura przeglądu zarządzania &bull; Procedura zarządzania incydentami &bull; Procedura bezpieczeństwa wewnętrznego organizacji &bull; Procedura ewakuacji personelu i sprzętu z obiekt&oacute;w &bull; Procedura klasyfikacji i
<h2>Kryteria oceny</h2>
Kryterium &bdquo;Cena&rdquo; &ndash; 100%
<h2>Warunki zmiany umowy</h2>
1. Niedopuszczalna jest, pod rygorem nieważności, zmiana postanowień niniejszej umowy w stosunku do treści oferty, na podstawie kt&oacute;rej dokonano wyboru Wykonawcy, z wyjątkiem sytuacji przewidzianych w niniejszej umowie. 2. Wszelkie zmiany postanowień umowy dla swej ważności wymagają zgody obu Stron i zachowania formy pisemnej i mogą być dokonywane w zakresie: 1) gdy nastąpią zmiany obowiązującej stawki VAT, ulec zmianie może wynagrodzenie Wykonawcy w takim zakresie, w jakim będzie to wynikało z przepis&oacute;w; 2) zmiany terminu realizacji przedmiotu umowy, bez zmiany wynagrodzenia Wykonawcy; 3) w przypadku wystąpienia okoliczności, za kt&oacute;re Wykonawca nie ponosi odpowiedzialności, skutkujących niemożnością dotrzymania przez niego terminu realizacji przedmiotu umowy; w&oacute;wczas termin ten może ulec przedłużeniu, nie więcej jednak niż o czas trwania tych okoliczności, bez zmiany wynagrodzenia Wykonawcy; 4) zmiany terminu realizacji przedmiotu umowy w sytuacji działania siły wyższej mającej bezpośredni wpływ na prawa i obowiązki Stron umowy, bez zmiany wynagrodzenia Wykonawcy. Pod pojęciem &bdquo;Siła Wyższa&rdquo; Strony rozumieją: zdarzenie, kt&oacute;rego wystąpienie jest niezależne od Stron i kt&oacute;rego Strony nie mogły przewidzieć oraz kt&oacute;rym nie mogły zapobiec, a także przezwyciężyć przy zachowaniu należytej staranności, kt&oacute;re zasadniczo utrudniają wykonywanie zobowiązań wynikających z Umowy, a w szczeg&oacute;lności: wojny, stany nadzwyczajne, klęski żywiołowe, epidemie, ograniczenia związane z kwarantanną, embargo, rewolucje, zamieszki i strajki, nadzwyczajne działania przyrody; 3. Każda ze Stron ma obowiązek niezwłocznie zawiadomić o ewentualnej potrzebie dokonania zmiany. 4. Wykonawca przedłoży Zamawiającemu pisemny wniosek dotyczący proponowanych zmian. Wniosek powinien zawierać, co najmniej: 1) dokładny opis proponowanych przez Wykonawcę zmian; 2) szczeg&oacute;łowe uzasadnienie dla dokonania zmian; 3) czas potrzebny dla wykonania zmiany oraz jego wpływ na ustalony termin zakończenia wykonania umowy; 4) inne istotne informacje mogące mieć wpływ na wykonanie niniejszej umowy. 5. Zamawiający przedstawi Wykonawcy pisemną odpowiedź odnośnie proponowanej zmiany niezwłocznie a w przypadku braku możliwości udzielenia niezwłocznej odpowiedzi, nie p&oacute;źniej niż w terminie do 10 dni roboczych, licząc od dnia otrzymania pisma. 6. zmiany dotyczące treści o charakterze informacyjnym lub instrukcyjnym, niezbędnym do realizacji umowy, w szczeg&oacute;lności zmian dotyczących numeru rachunku bankowego Wykonawcy lub Zamawiającego, zmiany os&oacute;b upoważnionych do komunikowania się, zmiany os&oacute;b odpowiedzialnych za potwierdzenie prawidłowej realizacji umowy wraz z adresami, numerami telefon&oacute;w, telefaks&oacute;w, adres&oacute;w poczty elektronicznej, nie wymagają formy aneksu;
</div>