Audyt cyberbezpieczeństwa IT/OT, analiza ryzyka oraz opracowanie dokumentacji systemowej

Usługi doradcze w zakresie działalności gospodarczej, w tym usługi badawcze i eksperymentalno-rozwojowe

Tryb zamówienia	Zapytanie ofertowe
Rodzaj zamówienia	Usługi
Tytuł	Audyt cyberbezpieczeństwa IT/OT, analiza ryzyka oraz opracowanie dokumentacji systemowej
Zamawiający	Dostępne dla zalogowanych
Miejsce realizacji	Turek
Data publikacji	2026-04-29
Data składania ofert	15/05/2026, Godzina 13:00
Dokumenty do pobrania	Dostępne dla zalogowanych
Kod CPV	728000008 Usługi audytu komputerowego i testowania komputerów 722220007 Usługi w zakresie systemów informacji lub strategicznej analizy technologicznej oraz usługi w zakresie planowania 794170000 Usługi doradcze w zakresie bezpieczeństwa
Numer przetargu	7132110

<div>
<h1>Audyt cyberbezpieczeństwa IT/OT, analiza ryzyka oraz opracowanie dokumentacji systemowej na potrzeby PGKiM Sp. z o.o. w Turku</h1>
<h2>Załączniki</h2>
<ul>
<li>Zapytanie ofertowe.docx</li>
<li>Załącznik nr 1 - Formularz ofertowy.docx</li>
<li>Załącznik nr 2 - Szczeg&oacute;łowy opis przedmiotu zam&oacute;wienia.docx</li>
<li>Załącznik nr 3 - Zgoda na udostępnianie i przetwarzanie danych osobowych oraz dokument&oacute;w.docx</li>
<li>Załącznik nr 4 - Wykaz zrealizowanych zam&oacute;wień.docx</li>
<li>Załącznik nr 5 - Wykaz os&oacute;b.docx</li>
<li>Załącznik nr 6 - Wz&oacute;r umowy.docx</li>
<li>Załącznik nr 7 - Wz&oacute;r umowy o zachowaniu poufności.docx</li>
</ul>
<h2>Części zam&oacute;wienia</h2>
<h3>ZAPYTANIE OFERTOWE</h3>
Przedmioty zam&oacute;wienia
1. W ramach zadania Wykonawca wykona: 1) Audyt początkowy cyberbezpieczeństwa IT/OT, obejmujący analizę ryzyka oraz ocenę obecnych procedur i zabezpieczeń. Zidentyfikowane zostaną luki organizacyjne, techniczne oraz obszary wymagające aktualizacji. Weryfikacji podlegać będzie r&oacute;wnież zgodność z KRI. 2) Przygotowanie dokumentacji: a) Opracowanie, wdrożenie, przegląd, aktualizacja Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). b) Opracowanie plan&oacute;w ciągłości działania (BCP) i odtwarzania po awarii (DRP) dla STI. c) Opracowanie, wdrożenie, przegląd, aktualizacja Systemu Zarządzania Ciągłością Działania STI (SZCD). 3) Audyt końcowy obejmujący: a) Audyt Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). b) Audyt Systemu Zarządzania Ciągłością Działania STI. c) Audyt zgodności KRI/uoKSC przez wykwalifikowanych audytor&oacute;w. d) Audyt (re)certyfikacji Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), Systemu Zarządzania Ciągłością Działania (SZCD) na zgodność z normami IT/OT/ICS &ndash; Usługa doradcza przygotowująca do certyfikacji. e) Audyt cyberbezpieczeństwa sieci IT/OT/ICS/IIoT, obejmujący analizę ryzyka oraz ocenę obecnych procedur i zabezpieczeń. 2. Charakterystyka infrastruktury i architektury system&oacute;w 1) Lokalizacje i łączność sieciowa: a) 5 lokalizacji połączonych sieciowo: Jednostki skomunikowane za pośrednictwem zewnętrznej usługi transmisji danych. W ramach tej grupy: &bull; 2 lokalizacje posiadają infrastrukturę mieszaną (IT oraz OT), &bull; 3 lokalizacje posiadają wyłącznie infrastrukturę biurową (IT). b) 1 lokalizacja autonomiczna: Obiekt działający bez połączenia sieciowego z pozostałymi lokalizacjami, posiadający infrastrukturę mieszaną (IT oraz OT). 2) Warstwa Technologiczna (OT): a) Systemy SCADA (Nadz&oacute;r i Wizualizacja): &bull; jeden rozbudowany system nadzorujący procesy technologiczne (oczyszczalnia), &bull; jeden mniejszy system obsługujący wydzielony obszar technologiczny (lokalizacja autonomiczna). b) Infrastruktura rozproszona: Sieć punkt&oacute;w technologicznych (np. przepompownie) skomunikowanych z systemami SCADA lub węzłami centralnymi, realizujących funkcje monitoringu oraz zdalnego sterowania. c) Automatyka pomocnicza (Sieć Ciepłownicza): Autonomiczne instalacje technologiczne (OT) funkcjonujące w lokalizacjach biurowych. Zakres prac w tym obszarze ogranicza się wyłącznie do weryfikacji skuteczności separacji i segmentacji ruchu pomiędzy siecią ciepłowniczą a infrastrukturą IT. 3) Zasoby IT/OT i użytkownicy (szacunkowo +/- 15%): a) Urządzenia końcowe: ok. 80 jednostek (komputery stacjonarne, laptopy, tablety). b) Infrastruktura serwerowa: 3 serwery fizyczne (w tym jeden jako host dla 2 serwer&oacute;w wirtualnych). c) Użytkownicy: Łącznie ok. 90 os&oacute;b we wszystkich lokalizacjach. d) Skala OT: Systemy automatyki procesowej obejmujące gł&oacute;wne centra nadzoru (SCADA) oraz infrastrukturę rozproszoną (punkty technologiczne). Wykonawca w ramach audytu dokona precyzyjnej inwentaryzacji wszystkich obszar&oacute;w technologicznych podlegających audytowi. 3. Potwierdzeniem wykonania zadania będzie przekazanie Zamawiającemu: 1) Etap I &ndash; Audyt początkowy a) Raportu z audytu początkowego obejmującego: opis stanu obecnego cyberbezpieczeństwa IT/OT, inwentaryzację aktyw&oacute;w IT/OT, analizę ryzyka, identyfikację niezgodności (KRI, KSC, NIS2, ISO/IEC 27001, ISA/IEC 62443), analizę architektury sieci IT/OT, ocenę segmentacji i plan działań naprawczych. (Rekomendacje wynikające z audytu powinny być formułowane w spos&oacute;b funkcjonalny i technologicznie neutralny, poprzez określenie wymaganych funkcji, poziomu bezpieczeństwa, parametr&oacute;w technicznych oraz oczekiwanych efekt&oacute;w organizacyjnych i technicznych, bez wskazywania konkretnych producent&oacute;w, marek, modeli urządzeń lub rozwiązań handlowych, chyba że jest to obiektywnie uzasadnione specyfiką istniejącej infrastruktury lub wymogami interoperacyjności.) 2) Etap II &ndash; Dokumentacja i wdrożenie a) Kompletnej dokumentacji SZBI (m.in. Polityka Bezpieczeństwa, metodykę i wyniki analizy ryzyka, deklarację stosowania (SoA), zasady klasyfikacji informacji, procedury zarządzania incydentami, dostępem, kopiami zapasowymi, podatnościami, zmianą oraz nadzoru nad systemami OT). b) Kompletnej dokumentacji SZCD (m.in. analiza BIA, plany BCP i DRP, scenariusze awarii, określenie RTO/RPO oraz procedury testowania). c) Przekazanie całości dokumentacji (SZBI oraz SZCD) w formie elektronicznej, w pełni edytowalnej (np. format .docx, .xlsx), umożliwiającej Zamawiającemu samodzielną aktualizację treści bez udziału os&oacute;b trzecich. 3) Etap III &ndash; Audyt końcowy a) Raportu z audytu końcowego obejmującego: ocenę skuteczności działań, weryfikację zgodności (KRI, KSC, NIS2, ISO 27001, ISO 22301, ISA/IEC 62443) oraz rekomendacje końcowe. 
Okres gwarancji: 12 miesięcy
<h2>Kryteria oceny</h2>
Jedynym kryterium oceny ofert jest całkowita cena brutto oferty z wagą 100 pkt.
<h2>Warunki zmiany umowy</h2>
Zmiana zawartej umowy z Wykonawcą może nastąpić jedynie na poniższych zasadach: 1) Nie jest możliwe dokonywanie istotnych zmian postanowień zawartej umowy w stosunku do treści oferty, na podstawie kt&oacute;rej dokonano wyboru wykonawcy, chyba że: - zmiany zostały przewidziane w zapytaniu ofertowym w postaci jednoznacznych postanowień umownych, kt&oacute;re określają ich zakres i charakter oraz warunki wprowadzenia zmian, -zmiany dotyczą realizacji dodatkowych dostaw lub usług lub rob&oacute;t budowlanych od dotychczasowego wykonawcy, nieobjętych zam&oacute;wieniem podstawowym, o ile stały się niezbędne i zostały spełnione łącznie następujące warunki: a) zmiana wykonawcy nie może zostać dokonana z powod&oacute;w ekonomicznych lub technicznych, w szczeg&oacute;lności dotyczących zamienności lub interoperacyjności sprzętu, usług lub instalacji, zam&oacute;wionych w ramach zam&oacute;wienia podstawowego, b) zmiana wykonawcy spowodowałaby istotną niedogodność lub znaczne zwiększenie koszt&oacute;w dla zamawiającego, c) wartość każdej kolejnej zmiany nie przekracza 50% wartości zam&oacute;wienia określonej pierwotnie w umowie, - zmiana nie prowadzi do zmiany charakteru umowy i zostały spełnione łącznie następujące warunki: a) konieczność zmiany umowy spowodowana jest okolicznościami, kt&oacute;rych zamawiający, działając z należytą starannością, nie m&oacute;gł przewidzieć, b) wartość zmiany nie przekracza 50% wartości zam&oacute;wienia określonej pierwotnie w umowie, - wykonawcę, kt&oacute;remu zamawiający udzielił zam&oacute;wienia ma zastąpić nowy wykonawca: a) na podstawie postanowień umownych, o kt&oacute;rych mowa w ppkt. 1), b) w wyniku połączenia, podziału, przekształcenia, upadłości, restrukturyzacji lub nabycia dotychczasowego wykonawcy lub jego przedsiębiorstwa o ile nowy wykonawca spełnia warunki udziału w postępowaniu, nie zachodzą wobec niego podstawy wykluczenia oraz nie pociąga to za sobą innych istotnych zmian umowy, a także nie ma na celu uniknięcia stosowania zasady konkurencyjności, lub c) w wyniku przejęcia przez zamawiającego zobowiązań wykonawcy względem jego podwykonawc&oacute;w; w przypadku zmiany podwykonawcy, zamawiający może zawrzeć umowę z nowym podwykonawcą bez zmiany warunk&oacute;w realizacji zam&oacute;wienia z uwzględnieniem dokonanych płatności z tytułu dotychczas zrealizowanych prac, - zmiana nie prowadzi do zmiany charakteru umowy a łączna wartość zmian jest mniejsza niż progi unijne w rozumieniu art. 3 PZP12 i jednocześnie jest mniejsza od 10% wartości zam&oacute;wienia określonej pierwotnie w umowie w przypadku zam&oacute;wień na usługi lub dostawy albo, w przypadku zam&oacute;wień na roboty budowlane jest mniejsza od 15% wartości zam&oacute;wienia określonej pierwotnie w umowie. Zmiany umowy przewidziane we wzorze umowy: 1. Zamawiający przewiduje możliwość zmiany postanowień zawartej umowy w zakresie zmiany terminu jej wykonania w następujących przypadkach: a) wystąpienia siły wyższej i innych zdarzeń nadzwyczajnych, b) z powodu wystąpienia klęsk żywiołowych, c) działań os&oacute;b trzecich lub organ&oacute;w władzy publicznej, kt&oacute;re spowodują przerwanie lub czasowe zawieszenie realizacji zam&oacute;wienia; d) w przypadku, gdy zmiana terminu wykonania umowy leży w interesie Zamawiającego; e) zmiany wynikające z warunk&oacute;w realizacji Grantu w szczeg&oacute;lności wydłużenie termin&oacute;w realizacji etap&oacute;w w sytuacji wydłużenia termin&oacute;w realizacji projektu przez Grantodawcę tj. Centrum Projekt&oacute;w Polska Cyfrowa.
</div>