Supply of equipment and software under the "Cyber-secure Water Supply Systems" project

1. CZĘŚĆ 1 – DOSTAWA I WDROŻENIE ZINTEGROWANEGO SYSTEMU CYBERBEZPIECZEŃSTWA WRAZ ZE SZKOLENIAMI: 1. Dostawa serwera z licencjami oraz usługami 2. Dostawa i wdrożenie oprogramowania do wykonywania kopii zapasowych (backupu); 3. Dostawa i wdrożenie systemu do wykonywania kopii zapasowych – jednostka główna; 4. Dostawa i wdrożenie systemu do wykonywania kopii zapasowych – jednostka podległa; 5. Dostawa i uruchomienie urządzeń typu UPS 6. Dostawa i wdrożenie urządzeń sieciowych 7. Rozwiązanie do ochrony 26 stacji roboczych i serwerów przed szkodliwym oprogramowaniem z wykorzystaniem narzędzia EDR/XDR. Licencja na okres 12 miesięcy. 8. Dostawa, montaż i wdrożenie systemu zintegrowanej ochrony sieciowej typu UTM w układzie klastrowym. 9. Dostawa, konfiguracja i uruchomienie centralnej platformy zbierania, przetwarzania i analityki danych dzienników zdarzeń (logów) systemów teleinformatycznych. 10. Klucze sprzętowe U2F z wdrożeniem (ilość 45 szt.) 11. Usługa wsparcia technicznego. 12. Rozwiązanie klasy DLP. Dostarczona licencja ma być na minimum 26 stacji komputerowych, okres ważności bezterminowa. 13. Zintegrowany system zarządzania IT i bezpieczeństwem 14. Szkolenia specjalistyczne dla informatyków w zakresie zastosowanych (planowanych do zastosowania) środków bezpieczeństwa w ramach Projektu grantowego 15. Dostawa oraz wdrożenie platformy szkoleniowej 16. Przeprowadzenie szkoleń z cyberbezpieczeństwa dla kadry zarządzającej Zamawiający informuje, że podjął decyzję o niedokonywaniu podziału przedmiotowej części (tj. na dostawę sprzętu komputerowego oraz przeprowadzenie szkoleń z jego obsługi/wdrażanego oprogramowania). Decyzja ta podyktowana jest następującymi obiektywnymi przyczynami o charakterze technologicznym, funkcjonalnym i organizacyjnym: a) Integralność funkcjonalna i technologiczna przedmiotu zamówienia: Dostarczany sprzęt komputerowy wraz ze specjalistycznym oprogramowaniem oraz powiązane z nim szkolenia stanowią jeden, nierozerwalny projekt wdrożeniowy. Szkolenie nie ma charakteru ogólnego – jest ściśle dostosowane do specyfikacji technicznej, konfiguracji oraz funkcjonalności konkretnych, dostarczanych w ramach tego zamówienia urządzeń. b) Jednolita odpowiedzialność (ryzyko rozproszonej odpowiedzialności): Powierzenie dostawy sprzętu jednemu wykonawcy, a szkoleń innemu, rodzi poważne ryzyko sporów kompetencyjnych w przypadku wystąpienia problemów technicznych lub wad działania systemu podczas szkoleń. Wykonawca szkolenia mógłby przerzucać odpowiedzialność na dostawcę sprzętu (np. zarzucając złą konfigurację urządzeń), a dostawca sprzętu na szkoleniowca (zarzucając nieprawidłowe użytkowanie). Skumulowanie tych zadań w rękach jednego podmiotu zapewnia Zamawiającemu jednego partnera odpowiedzialnego za końcowy sukces wdrożenia i prawidłowe działanie sprzętu w rękach przeszkolonych pracowników. c) Rynek technologii informatycznych (IT) jest wysoce rozwinięty w kierunku świadczenia usług kompleksowych. Podmioty oferujące sprzęt komputerowy powszechnie posiadają w swoich strukturach działy szkoleniowo-wdrożeniowe lub regularnie współpracują z trenerami. Dodatkowo, struktura rynku umożliwia mniejszym podmiotom (MŚP) składanie ofert wspólnie (w formie konsorcjum) lub przy posiłkowaniu się potencjałem podwykonawców (art. 462 Pzp). W związku z tym, brak podziału na części nie prowadzi do ograniczenia konkurencji ani do wykluczenia sektora MŚP z udziału w postępowaniu. Mając na uwadze powyższe, podział zamówienia na części niosły za sobą nadmierne trudności techniczne oraz poważną groźbę nieprawidłowej realizacji zamówienia. Scalenie dostawy i szkoleń w jeden przedmiot zamówienia jest ekonomicznie i technologicznie uzasadnione oraz gwarantuje należytą realizację celu publicznego. 2. USŁUGI DORADCZE I AUDYTOWE W ZAKRESIE CYBERBEZPIECZEŃSTWA: 1) aktualizacja i opracowanie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) po zrealizowanych wdrożeniach IT; 2) aktualizacja i opracowanie planów ciągłości działania (BCP) i odtwarzania po awarii (DRP) dla STI; 3) przeprowadzenie powdrożeniowego audytu bezpieczeństwa informacji; 4) Przeprowadzenie testów socjotechnicznych; 5) Przeprowadzenie testów penetracyjnych – min. 5 dni Szczegółowy opis przedmiotu zamówienia (OPZ) stanowi załącznik nr 2 do niniejszej SWZ. Zamawiający odstąpił od podziału na części przedmiotu zamówienia obejmującego wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), planów ciągłości działania (BCP/DRP), testów bezpieczeństwa oraz audytu powdrożeniowego (Zadania 1, 2, 3, 4 i 5). Decyzja ta jest w pełni uzasadniona obiektywnymi przyczynami organizacyjnymi i technicznymi. Zamawiający uznał za konieczne powierzenie całości przedmiotu zamówienia jednemu Wykonawcy w celu zminimalizowania ryzyka rozmycia odpowiedzialności za końcowe bezpieczeństwo i spójność wdrożonych systemów. Zlecenie audytu powdrożeniowego (Zadanie 3) odrębnemu podmiotowi w innej części zamówienia wygenerowałoby wysokie ryzyko sporów kompetencyjnych pomiędzy firmą wdrożeniową a firmą audytującą w przypadku stwierdzenia niezgodności. Zintegrowanie zadań w ramach jednej części gwarantuje Zamawiającemu, że odpowiedzialność za usunięcie ewentualnych podatności wykazanych w audycie spoczywa na jednym podmiocie, który musi je zlikwidować w ramach ujednoliconego budżetu i harmonogramu projektu. Jednocześnie, w celu uniknięcia ryzyka konfliktu interesów, o którym mowa w art. 116 ust. 2 ustawy Pzp, Zamawiający nałożył w warunkach zamówienia rygorystyczny wymóg powołania przez Wykonawcę całkowicie niezależnego zespołu audytowego. Wykonawca jest bezwzględnie zobowiązany zagwarantować, aby osoby oddelegowane do przeprowadzenia audytu (Zadanie 3) nie brały żadnego udziału w pracach wdrożeniowych (Zadanie 1 i 2) ani w testach bezpieczeństwa. Takie rozwiązanie pozwala na wykorzystanie potencjału rynkowego podmiotów dysponujących wyspecjalizowanymi, niezależnymi pionami audytorskimi, a Zamawiającemu daje gwarancję obiektywizmu przy jednoczesnym zachowaniu zasady jednego punktu odpowiedzialności za cały system.