Audyt końcowy w obszarze cyberbezpieczeństwa

Usługi informatyczne: konsultacyjne, opracowywania oprogramowania, internetowe i wsparcia, w tym dostawy

Tryb zamówienia	Zapytanie ofertowe
Rodzaj zamówienia	Usługi
Tytuł	Audyt końcowy w obszarze cyberbezpieczeństwa
Zamawiający	Dostępne dla zalogowanych
Miejsce realizacji	Włoszczowa
Data publikacji	2026-04-30
Data składania ofert	11/05/2026, Godzina 10:00
Dokumenty do pobrania	Dostępne dla zalogowanych
Kod CPV	723170000 Usługi przechowywania danych 722223000 Usługi w zakresie technologii informacji
Numer przetargu	7135984

<div>
<h1>Przeprowadzenie audytu końcowego w obszarze cyberbezpieczeństwa</h1>
<h2>Załączniki</h2>
<ul>
<li>ogłoszeniev2_signed.pdf</li>
<li>Załącznik nr 1 opis przedmiotu zam&oacute;wieniav2.pdf</li>
<li>Załącznik do OPZ - Ankieta weryfikacji dojrzalosci w zakresie cyberbezpieczenstwav2.pdf</li>
<li>Załącznik nr 2 formularz ofertyv2.docx</li>
<li>Załącznik nr 3 klauzulav2.docx</li>
<li>Załącznik nr 4 wykaz usługv2.doc</li>
<li>Załącznik nr 5 wykaz os&oacute;bv2.doc</li>
<li>Załącznik nr 6 wz&oacute;r umowy audyt KPOv2.docx</li>
</ul>
<h2>Części zam&oacute;wienia</h2>
<h3>Audyt końcowy w obszarze cyberbezpieczeństwa</h3>
Przedmioty zam&oacute;wienia
Przeprowadzenie audytu końcowego w obszarze cyberbezpieczeństwa. Przeprowadzenie audytu spełnienia wymagań ustawy o Krajowym Systemie Cyberbezpieczeństwa (dalej &bdquo;ustawa KSC&rdquo;) przez operatora usługi kluczowej (Zamawiającego) zgodnie z wymogami ustawy KSC, akt&oacute;w powiązanych oraz szablonem sprawozdania z audytu zgodnego z ustawą KSC rekomendowanym przez Ministerstwo Cyfryzacji. Zam&oacute;wienie realizowane jest w ramach projektu pn. &bdquo;Wdrożenie e-usług w Zespole Opieki Zdrowotnej we Włoszczowie &ndash; Szpitalu Powiatowym im. Jana Pawła II&rdquo; w ramach Inwestycji D1.1.2 &bdquo;Przyspieszenie proces&oacute;w transformacji cyfrowej ochrony zdrowia poprzez dalszy rozw&oacute;j usług cyfrowych w ochronie zdrowia&rdquo; będącej elementem komponentu D &bdquo;Efektywność, dostępność i jakość systemu ochrony zdrowia&rdquo; KPO. Szczeg&oacute;łowy Opis Przedmiotu Zam&oacute;wienia stanowi Załącznik nr 1 do ogłoszenia. Wymagania: 001/Audyt ma charakter końcowy (ex-post) oraz weryfikacyjny, a jego celem jest: 1) potwierdzenie prawidłowości realizacji projektu w zakresie cyberbezpieczeństwa, 2) potwierdzenie zgodności stanu faktycznego z wymaganiami ankiety dojrzałości cyberbezpieczeństwa stanowiącej załącznik nr 3 do dokumentacji projektowej, 3) ocena skuteczności i adekwatności wdrożonych środk&oacute;w technicznych i organizacyjnych, 4) ocena spełnienia wymagań wynikających z ustawy o krajowym systemie cyberbezpieczeństwa, 5) identyfikacja ewentualnych niezgodności. 002/ Audyt powinien być przeprowadzony zgodnie z wymaganiami ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa oraz akt&oacute;w wykonawczych wydanych na jej podstawie. 003/ Audyt obejmuje ocenę środk&oacute;w technicznych i organizacyjnych funkcjonujących u Zamawiającego w zakresie systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej. Audyt nie obejmuje projektowania nowych rozwiązań technicznych lub organizacyjnych, opracowywania dokumentacji wdrożeniowej ani przygotowywania szczeg&oacute;łowych specyfikacji sprzętowo-programowych. 004/ Zakres przeprowadzenia audytu końcowego w zakresie sprawdzenia bezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej z wymaganiami Ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa: 005/ - Analiza proces&oacute;w przetwarzania danych wraz z analizą stanu zabezpieczeń systemowych. 006/ - Identyfikacja informacji i jej klasyfikacja. 007/ - Inwentaryzacja zasob&oacute;w infrastruktury teleinformatycznej, oprogramowania i obszar&oacute;w bezpiecznych. 008/ - Identyfikacja i analiza podatności system&oacute;w wspomagających świadczenie usługi kluczowej. Wynikiem analizy musi być pełna lista przeskanowanych pod kątem podatności, system&oacute;w zawierająca informacje obejmujące: skanowany system operacyjny, uruchomione na nim usługi, otwarte porty komunikacyjne, listę wykrytych podatności oraz rekomendacje dotyczące sposobu usunięcia wykrytych podatności. W celu wykonania powyższych czynności, Wykonawca zobowiązany jest do zapewnienia odpowiedniej licencji na system skanujący. 009/ - Analiza bezpieczeństwa fizycznego i środowiskowego dla zabezpieczenia realizacji usługi kluczowej. 010/ - Zarządzanie: ryzykiem, incydentem, podatnościami, środkami technicznymi i organizacyjnymi, systemem monitorowania w trybie ciągłym. 011/ - Inwentaryzacja procedur. 012/ - Bezpieczeństwo i ciągłość dostaw i usług, od kt&oacute;rych zależy świadczenie usługi kluczowej. 013/ - Przegląd dokumentacji związanej z cyberbezpieczeństwem. 014/ - Zidentyfikowaniu wszelkich niezgodności oraz przedstawieniu działań naprawczych. 015/ Audyt będzie się opierać na wizji lokalnej przeprowadzonej przez wskazane przez Wykonawcę osoby w siedzibie Zamawiającego oraz z wykorzystaniem zdalnego dostępu. 016/ Ponadto analiza oparta będzie o wywiad i oświadczenia wskazanych przez Zamawiającego os&oacute;b, a także w oparciu o testy podatności. 017/ Audyt musi obejmować r&oacute;wnież weryfikację spełnienia wszystkich wymagań określonych w ankiecie dojrzałości cyberbezpieczeństwa stanowiącej załącznik nr 3 do wniosku KPO D 1.1.2 &ndash; stanowiący załącznik do Opisu Przedmiotu Zam&oacute;wienia 018/ Wnioski wypływające z audytu powinny wskazywać na potrzebę podjęcia działań korygujących, naprawczych lub doskonalących, jeżeli ma to zastosowanie. 019/ Wynikiem audytu będzie sporządzenie przez Wykonawcę raportu, w formie papierowej oraz elektronicznej. 020/ Raport powinien zawierać opis zakresu audytu, metodykę, wyniki oceny, zidentyfikowane niezgodności, poziom ryzyka, rekomendacje, podsumowanie zgodności z ustawą KSC, podsumowanie zgodności z wymaganiami projektu KPO. Raport musi zawierać jednoznaczne odniesienie do wszystkich punkt&oacute;w ankiety dojrzałości cyberbezpieczeństwa, w tym kryterium, ocenę spełnienia (spełnione / częściowo spełnione / niespełnione), uzasadnienie, dowody audytowe. Raport powinien umożliwiać wykorzystanie go jako dokumentu potwierdzającego realizację projektu KPO oraz spełnienie obowiązku audytu wynikającego z art. 15 ustawy KSC. Obszary audytu: 021/ Ocena skuteczności działania infrastruktury w zakresie urządzeń i konfiguracji w zakresie: ochrony poczty, ochrony sieci, system&oacute;w serwerowych, stacji roboczych, system&oacute;w bezpieczeństwa, 022/ Zarządzanie bezpieczeństwem informacji: a) nośniki wymienne - udokumentowany spos&oacute;b postępowania, b) zarządzanie tożsamością/dostęp do system&oacute;w w zakresie: przydzielanie dostępu, odbieranie dostępu, c) pomieszczenie/pomieszczenia w dyspozycji struktur zespołu odpowiedzialnego za cyberbezpieczeństwo zgodnie z wymogami dla Operatora Usługi Kluczowej, o kt&oacute;rym mowa w art. 5 ustawy z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa 023/ Monitorowanie i reagowanie na incydenty bezpieczeństwa: a) procedury zarządzania incydentami, b) raportowanie poziom&oacute;w pokrycia scenariuszami znanych incydent&oacute;w, c) dokumentacja dotycząca przekazywania informacji do właściwego zespołu CSIRT poziomu krajowego/ sektorowego zespołu cyberbezpieczeństwa, d) monitorowanie i wykrycie incydent&oacute;w bezpieczeństwa, e) Identyfikacja i dokumentowanie przyczyn wystąpienia incydent&oacute;w. 024/ Zarządzanie ciągłością działania: a) konfiguracja oraz polityki system&oacute;w do wykonywania kopii bezpieczeństwa, b) raport z przegląd&oacute;w i test&oacute;w odtwarzania kopii bezpieczeństwa, c) procedury wykonywania i przechowywania kopii zapasowych, d) strategia i polityka ciągłości działania, awaryjne oraz odtwarzania po katastrofie (DRP), e) procedury utrzymaniowe. 025/ Utrzymanie system&oacute;w informacyjnych: a) harmonogramy skanowania podatności, b) aktualny status realizacji postępowania z podatnościami, c) procedury związane ze z identyfikowaniem (wykryciem) podatności, d) wsp&oacute;łpraca z osobami odpowiedzialnymi za procesy zarządzania incydentami. 026/ Zarządzanie bezpieczeństwem i ciągłością działania łańcucha usług: a) polityka bezpieczeństwa w relacjach z dostawcami, b) standardy i wymagania nakładane na dostawc&oacute;w w umowach w zakresie cyberbezpieczeństwa, c) dostęp zdalny, d) metody uwierzytelnienia.
Okres gwarancji: nie dotyczy
<h2>Kryteria oceny</h2>
Cena danej części zam&oacute;wienia brutto (wartość kryterium 100%) Podstawą oceny jest cena zam&oacute;wienia brutto zaproponowana przez Wykonawcę w formularzu ofertowym (załącznik nr 2 do ogłoszenia &ndash; zaproszenia do składania ofert).
<h2>Warunki zmiany umowy</h2>
Zgodnie z &sect; 13 Wzoru umowy stanowiącego załącznik nr 6 do niniejszego ogłoszenia, tj. "&sect; 13 Zmiany Umowy 1. Zamawiający przewiduje możliwość dokonywania zmian postanowień niniejszej Umowy, w zakresie: 1) wysokości wynagrodzenia w przypadku zmiany stawki podatku od towar&oacute;w i usług oraz podatku akcyzowego, z tym zastrzeżeniem, że zmiana może dotyczyć wyłącznie kwoty brutto (kwota netto pozostaje bez zmian); 2) terminu realizacji Przedmiotu Umowy w przypadku: a) w przypadku wystąpienia &bdquo;siły wyższej&rdquo;. Pod pojęciem siły wyższej Zamawiający rozumie okoliczności, kt&oacute;re pomimo zachowania należytej staranności są nieprzewidywalne oraz kt&oacute;rym nie można zapobiec lub przeciwstawić się skutecznie. O braku możliwości dotrzymania terminu Wykonawca zobowiązany jest niezwłocznie powiadomić Zamawiającego; b) w przypadku, gdy terminowa realizacja Przedmiotu Umowy nie jest możliwa z winy Zamawiającego, wystąpią niedające się przewidzieć na etapie ogłoszenia zam&oacute;wienia uwarunkowania np. organizacyjne, logistyczne, prawne, uniemożliwiające realizację zam&oacute;wienia - termin realizacji Umowy może zostać wydłużony po uzgodnieniu przez Strony Umowy; c) zmiana terminu realizacji Przedmiotu Umowy w stosunku do terminu wskazanego w &sect; 3, w przypadku zajścia okoliczności, kt&oacute;re nie były znane do chwili zawarcia Umowy; 3) zmiany Umowy podyktowanej koniecznością dostosowania do wymagań lub wytycznych wynikających ze wsp&oacute;łfinansowania projektu z Krajowego Planu Odbudowy, w tym w szczeg&oacute;lności warunk&oacute;w dotyczących kwalifikowalności wydatk&oacute;w &ndash; zmianie może ulec w szczeg&oacute;lności termin wykonania Umowy o czas niezbędny na uwzględnienie powyższych zmian 4) zmian dotyczących realizacji dodatkowych usług od dotychczasowego Wykonawcy, nieobjętych zam&oacute;wieniem podstawowym, o ile stały się niezbędne i zostały spełnione łącznie następujące warunki: a) zmiana Wykonawcy nie może zostać dokonana z powod&oacute;w ekonomicznych lub technicznych, w szczeg&oacute;lności dotyczących zamienności lub interoperacyjności sprzętu, usług lub instalacji, zam&oacute;wionych w ramach zam&oacute;wienia podstawowego, b) zmiana Wykonawcy spowodowałaby istotną niedogodność lub znaczne zwiększenie koszt&oacute;w dla Zamawiającego, c) wartość każdej kolejnej zmiany nie przekracza 50% wartości zam&oacute;wienia określonej pierwotnie w umowie 5) zmiana nie może prowadzić do zmiany charakteru umowy i musi spełniać łącznie następujące warunki: a) konieczność zmiany umowy spowodowana jest okolicznościami, kt&oacute;rych Zamawiający, działając z należytą starannością, nie m&oacute;gł przewidzieć, b) wartość zmiany nie przekracza 50% wartości zam&oacute;wienia określonej pierwotnie w umowie. 2. Strona Umowy wnioskująca o zmianę niniejszej umowy, przedkłada drugiej Stronie pisemne uzasadnienie konieczności wprowadzenia zmian do Umowy. 3. Wszystkie powyższe postanowienia stanowią katalog zmian, na kt&oacute;re Strony mogą wyrazić zgodę. Nie stanowią one jednocześnie zobowiązania do wyrażenia takiej zgody. 4. Wszelkie istotne zmiany treści umowy w stosunku do treści oferty, na podstawie kt&oacute;rej dokonano wyboru Wykonawcy, mogą być dokonywane wyłącznie w przypadkach określonych powyżej i wymagają formy pisemnej pod rygorem nieważności takiej zmiany. 5. Zamawiający dopuszcza r&oacute;wnież możliwość następujących zmian Umowy: a. zmian danych adresowych i rejestrowych stron; b. zmian danych kontaktowych. 6. Zmiany, o kt&oacute;rych mowa w ust. 5 nie wymagają zastosowania formy pisemnej, a jedynie powiadomienia drugiej Strony drogą mailową."
</div>