Wzrost poziomu Cyberbezpieczeństwa w ZGK w Goworowie
Notice description
Powstaje w kontekście projektu:
KPOD.05.10-CW.01-0457/25 - Wzrost poziomu Cyberbezpieczeństwa w ZGK w Goworowie
Część 1
Przedmiotem części 1 zamówienia jest wykonanie audytu cyberbezpieczeństwa środowiska IT/OT/ICS/IIoT oraz opracowanie, wdrożenie, przegląd i aktualizacja dokumentacji organizacyjnej bezpieczeństwa dla Zakładu Gospodarki Komunalnej w Goworowie w ramach projektu „Wzrost poziomu Cyberbezpieczeństwa w ZGK w Goworowie”, objętego umową nr KPOD.05.10-CW.01-001/25/0457, realizowanego w konkursie grantowym „Cyberbezpieczne Wodociągi”.
Zakres części 1 obejmuje:
1. Audyt cyberbezpieczeństwa środowiska IT/OT/ICS/IIoT.
Wykonawca przeprowadzi audyt infrastruktury teleinformatycznej i przemysłowej wykorzystywanej przez Zamawiającego. Audyt powinien obejmować w szczególności:
– identyfikację i inwentaryzację aktywów, systemów, urządzeń, usług oraz połączeń sieciowych;
– analizę architektury i segmentacji sieci IT/OT;
– ocenę sposobu zarządzania dostępem, kontami i uprawnieniami;
– analizę konfiguracji, zabezpieczeń, kopii zapasowych, monitorowania i rejestrowania zdarzeń;
– identyfikację podatności, nieprawidłowości konfiguracyjnych i obszarów podwyższonego ryzyka;
– ocenę stosowanych zabezpieczeń w odniesieniu do właściwych wymagań i dobrych praktyk, w szczególności ISO/IEC 27001, NIST CSF, IEC 62443, KRI oraz uKSC/NIS2 – w zakresie mającym zastosowanie;
– opracowanie rekomendacji działań naprawczych i doskonalących wraz z określeniem ich priorytetów.
Rezultatem audytu będzie raport zawierający co najmniej opis zastosowanej metodyki, zakres przeprowadzonych prac, opis stanu obecnego, zidentyfikowane podatności i ryzyka, ocenę zastosowanych zabezpieczeń oraz uporządkowane rekomendacje działań naprawczych. Wykonawca przedstawi wyniki audytu Zamawiającemu.
2. Opracowanie, wdrożenie, przegląd i aktualizacja dokumentacji organizacyjnej.
Zakres organizacyjny obejmuje:
a) opracowanie, wdrożenie, przegląd i aktualizację Systemu Zarządzania Bezpieczeństwem Informacji – SZBI, z uwzględnieniem specyfiki działalności Zamawiającego, wyników audytu, analizy ryzyka, wymagań prawnych, regulacyjnych i projektowych oraz dobrych praktyk;
b) opracowanie Planu Ciągłości Działania – BCP i Planu Odtworzenia po Awarii – DRP dla systemów teleinformatycznych, obejmujących kluczowe procesy, role i odpowiedzialności, sposób komunikacji, scenariusze zakłóceń, zasady uruchamiania planów, rozwiązania awaryjne oraz zasady testowania i aktualizacji planów;
c) opracowanie, wdrożenie, przegląd i aktualizację Systemu Zarządzania Ciągłością Działania – SZCD, zapewniającego rozwiązania organizacyjne, proceduralne, rejestry i zasady utrzymania gotowości do reagowania na zakłócenia;
d) doradztwo kontraktowe w zakresie cyberbezpieczeństwa, obejmujące analizę postanowień umów i praktyk współpracy z dostawcami, podwykonawcami oraz partnerami świadczącymi usługi lub dostarczającymi rozwiązania w obszarze IT/OT/ICS/IIoT, wraz z przygotowaniem rekomendacji i przykładowych zapisów umownych.
Dokumentacja musi być dostosowana do rzeczywistej organizacji, infrastruktury i potrzeb Zamawiającego. Niedopuszczalne jest przekazanie nieuzupełnionych wzorów lub dokumentów o charakterze ogólnym. Poszczególne dokumenty muszą być wzajemnie spójne oraz uwzględniać ustalenia i rekomendacje wynikające z audytu.
Wykonawca przekaże wszystkie produkty w języku polskim, w odpowiednich formatach edytowalnych oraz w formacie PDF. Dokumentacja nie może być zabezpieczona w sposób uniemożliwiający Zamawiającemu jej kopiowanie, aktualizowanie, modyfikowanie i rozwijanie.
Wykonawca będzie zobowiązany do współpracy z wykonawcą części 2 zamówienia w zakresie niezbędnym do zapewnienia zgodności działań szkoleniowych, testów i ćwiczeń z wynikami audytu oraz dokumentacją opracowaną w ramach części 1. Współpraca nie może prowadzić do ujawnienia informacji wykraczających poza zakres niezbędny do realizacji zamówienia.
Szczegółowy zakres, parametry środowiska, wymagane produkty, terminy cząstkowe, wymagania dotyczące personelu, zasady bezpieczeństwa, odbioru i nanoszenia poprawek określa Opis Przedmiotu Zamówienia stanowiący załącznik do ogłoszenia.
Wykonawca przedstawi szczegółowy harmonogram realizacji w terminie 3 dni roboczych od zawarcia umowy. Wszystkie prace, raporty, dokumenty i poprawki w ramach części 1 oraz jej odbiór końcowy muszą zostać zakończone nie później niż do dnia 15 grudnia 2026 r.
Okres gwarancji: nie dotyczy
Miejsce realizacji
Kraj: Polska, Województwo: mazowieckie, Powiat: ostrołęcki, Gmina: Goworowo, Miejscowość: Goworowo
Część 2
Przedmiotem części 2 zamówienia jest przygotowanie i przeprowadzenie kompleksowych działań szkoleniowych, warsztatowych, testowych i ćwiczeniowych podnoszących kompetencje pracowników oraz kadry zarządzającej Zakładu Gospodarki Komunalnej w Goworowie w ramach projektu „Wzrost poziomu Cyberbezpieczeństwa w ZGK w Goworowie”, objętego umową nr KPOD.05.10-CW.01-001/25/0457, realizowanego w konkursie grantowym „Cyberbezpieczne Wodociągi”.
Zakres części 2 obejmuje:
1. Szkolenia z zakresu Cybersecurity Awareness dla pracowników.
Szkolenia będą dotyczyć w szczególności rozpoznawania zagrożeń, phishingu i socjotechniki, bezpiecznego korzystania z poczty elektronicznej i Internetu, zasad bezpiecznego korzystania z urządzeń i systemów informatycznych, ochrony informacji, właściwego postępowania z incydentami oraz praktycznych sposobów ograniczania ryzyka. Program powinien uwzględniać specyfikę działalności Zamawiającego oraz rzeczywiste zagrożenia występujące w środowisku IT/OT.
2. Szkolenie dla kadry zarządzającej.
Szkolenie będzie dotyczyć odpowiedzialności osób zarządzających za cyberbezpieczeństwo, zarządzania ryzykiem, ciągłości działania, reagowania na incydenty, podejmowania decyzji w sytuacji kryzysowej, komunikacji, eskalacji zdarzeń oraz wymagań wynikających z NIS2, uKSC i innych właściwych regulacji.
3. Szkolenia specjalistyczne dla kadry zarządzającej oraz osób odpowiedzialnych za systemy IT/OT/ICS.
Zakres szkoleń specjalistycznych obejmie w szczególności bezpieczeństwo środowisk IT/OT/ICS, architekturę i segmentację sieci, zarządzanie dostępem, monitoring i rejestrowanie zdarzeń, kopie zapasowe, podatności, aktualizacje, reagowanie na incydenty oraz praktyczne metody ograniczania ryzyka. Program szkoleń zostanie poprzedzony analizą potrzeb i dostosowany do poziomu wiedzy uczestników oraz środowiska Zamawiającego.
4. Szkolenie z zakresu Incident Response połączone z kontrolowanym testem socjotechnicznym.
Wykonawca przygotuje i przeprowadzi szkolenie dotyczące rozpoznawania, zgłaszania, analizy i obsługi incydentów cyberbezpieczeństwa oraz zasad komunikacji i eskalacji. Następnie przeprowadzi kontrolowaną kampanię socjotechniczną według scenariusza uprzednio zaakceptowanego przez Zamawiającego.
Test nie może prowadzić do pozyskiwania rzeczywistych haseł ani innych danych uwierzytelniających, instalowania złośliwego oprogramowania, zakłócania pracy systemów ani stwarzania zagrożenia dla środowiska Zamawiającego. Wyniki zostaną przedstawione w postaci zbiorczych danych, wniosków i rekomendacji, bez wykorzystywania indywidualnych rezultatów do sankcjonowania pracowników.
5. Ćwiczenie typu tabletop oraz symulacja sytuacji kryzysowej.
Wykonawca opracuje scenariusz ćwiczenia dostosowany do specyfiki organizacji wodociągowej oraz przeprowadzi ćwiczenie z udziałem kluczowych uczestników. Zakres ćwiczenia obejmie w szczególności:
– wystąpienie incydentu cyberbezpieczeństwa wpływającego na systemy IT lub OT;
– uruchomienie i ocenę ścieżek eskalacji;
– role i odpowiedzialności uczestników;
– podejmowanie decyzji i komunikację kryzysową;
– współpracę pomiędzy komórkami organizacyjnymi;
– ciągłość działania i priorytety odtworzeniowe;
– współpracę z dostawcami oraz podmiotami zewnętrznymi;
– identyfikację wniosków, luk i działań doskonalących.
Ćwiczenie zostanie zakończone raportem ewaluacyjnym oraz spotkaniem follow-up służącym omówieniu wdrożenia rekomendacji.
Wykonawca przygotuje materiały szkoleniowe, programy, listy lub inne potwierdzenia uczestnictwa, raporty z przeprowadzonych działań, wyniki testu socjotechnicznego w formie zbiorczej, raport z ćwiczenia oraz rekomendacje dalszych działań.
Wszystkie działania muszą zostać dostosowane do rzeczywistej organizacji, infrastruktury, potrzeb i poziomu kompetencji uczestników. Niedopuszczalne jest ograniczenie realizacji do przekazania standardowych materiałów szkoleniowych bez uwzględnienia specyfiki Zamawiającego.
Wykonawca części 2 będzie zobowiązany do współpracy z wykonawcą części 1 w zakresie niezbędnym do uwzględnienia wyników audytu oraz dokumentacji organizacyjnej opracowanej dla Zamawiającego. Zamawiający będzie koordynował przekazywanie informacji pomiędzy wykonawcami. Udostępniane informacje zostaną ograniczone do zakresu niezbędnego do prawidłowej realizacji działań szkoleniowych, testów i ćwiczeń.
Scenariusze testu socjotechnicznego i ćwiczenia tabletop, terminy działań, zakres wykorzystywanych danych oraz zasady bezpieczeństwa wymagają uprzedniego uzgodnienia z Zamawiającym.
Szczegółowy zakres, liczba uczestników, minimalny czas trwania poszczególnych działań, wymagane produkty, terminy cząstkowe, wymagania dotyczące trenerów i ekspertów oraz zasady odbioru określa Opis Przedmiotu Zamówienia stanowiący załącznik do ogłoszenia.
Wykonawca przedstawi szczegółowy harmonogram realizacji w terminie 3 dni roboczych od zawarcia umowy. Wszystkie szkolenia, testy, ćwiczenia, raporty, materiały, spotkanie follow-up i poprawki oraz odbiór końcowy części 2 muszą zostać zakończone nie później niż do dnia 15 grudnia 2026 r.
Okres gwarancji: nie dotyczy
Miejsce realizacji
Kraj: Polska, Województwo: mazowieckie, Powiat: ostrołęcki, Gmina: Goworowo, Miejscowość: Goworowo
KPOD.05.10-CW.01-0457/25 - Wzrost poziomu Cyberbezpieczeństwa w ZGK w Goworowie
Część 1
Przedmiotem części 1 zamówienia jest wykonanie audytu cyberbezpieczeństwa środowiska IT/OT/ICS/IIoT oraz opracowanie, wdrożenie, przegląd i aktualizacja dokumentacji organizacyjnej bezpieczeństwa dla Zakładu Gospodarki Komunalnej w Goworowie w ramach projektu „Wzrost poziomu Cyberbezpieczeństwa w ZGK w Goworowie”, objętego umową nr KPOD.05.10-CW.01-001/25/0457, realizowanego w konkursie grantowym „Cyberbezpieczne Wodociągi”.
Zakres części 1 obejmuje:
1. Audyt cyberbezpieczeństwa środowiska IT/OT/ICS/IIoT.
Wykonawca przeprowadzi audyt infrastruktury teleinformatycznej i przemysłowej wykorzystywanej przez Zamawiającego. Audyt powinien obejmować w szczególności:
– identyfikację i inwentaryzację aktywów, systemów, urządzeń, usług oraz połączeń sieciowych;
– analizę architektury i segmentacji sieci IT/OT;
– ocenę sposobu zarządzania dostępem, kontami i uprawnieniami;
– analizę konfiguracji, zabezpieczeń, kopii zapasowych, monitorowania i rejestrowania zdarzeń;
– identyfikację podatności, nieprawidłowości konfiguracyjnych i obszarów podwyższonego ryzyka;
– ocenę stosowanych zabezpieczeń w odniesieniu do właściwych wymagań i dobrych praktyk, w szczególności ISO/IEC 27001, NIST CSF, IEC 62443, KRI oraz uKSC/NIS2 – w zakresie mającym zastosowanie;
– opracowanie rekomendacji działań naprawczych i doskonalących wraz z określeniem ich priorytetów.
Rezultatem audytu będzie raport zawierający co najmniej opis zastosowanej metodyki, zakres przeprowadzonych prac, opis stanu obecnego, zidentyfikowane podatności i ryzyka, ocenę zastosowanych zabezpieczeń oraz uporządkowane rekomendacje działań naprawczych. Wykonawca przedstawi wyniki audytu Zamawiającemu.
2. Opracowanie, wdrożenie, przegląd i aktualizacja dokumentacji organizacyjnej.
Zakres organizacyjny obejmuje:
a) opracowanie, wdrożenie, przegląd i aktualizację Systemu Zarządzania Bezpieczeństwem Informacji – SZBI, z uwzględnieniem specyfiki działalności Zamawiającego, wyników audytu, analizy ryzyka, wymagań prawnych, regulacyjnych i projektowych oraz dobrych praktyk;
b) opracowanie Planu Ciągłości Działania – BCP i Planu Odtworzenia po Awarii – DRP dla systemów teleinformatycznych, obejmujących kluczowe procesy, role i odpowiedzialności, sposób komunikacji, scenariusze zakłóceń, zasady uruchamiania planów, rozwiązania awaryjne oraz zasady testowania i aktualizacji planów;
c) opracowanie, wdrożenie, przegląd i aktualizację Systemu Zarządzania Ciągłością Działania – SZCD, zapewniającego rozwiązania organizacyjne, proceduralne, rejestry i zasady utrzymania gotowości do reagowania na zakłócenia;
d) doradztwo kontraktowe w zakresie cyberbezpieczeństwa, obejmujące analizę postanowień umów i praktyk współpracy z dostawcami, podwykonawcami oraz partnerami świadczącymi usługi lub dostarczającymi rozwiązania w obszarze IT/OT/ICS/IIoT, wraz z przygotowaniem rekomendacji i przykładowych zapisów umownych.
Dokumentacja musi być dostosowana do rzeczywistej organizacji, infrastruktury i potrzeb Zamawiającego. Niedopuszczalne jest przekazanie nieuzupełnionych wzorów lub dokumentów o charakterze ogólnym. Poszczególne dokumenty muszą być wzajemnie spójne oraz uwzględniać ustalenia i rekomendacje wynikające z audytu.
Wykonawca przekaże wszystkie produkty w języku polskim, w odpowiednich formatach edytowalnych oraz w formacie PDF. Dokumentacja nie może być zabezpieczona w sposób uniemożliwiający Zamawiającemu jej kopiowanie, aktualizowanie, modyfikowanie i rozwijanie.
Wykonawca będzie zobowiązany do współpracy z wykonawcą części 2 zamówienia w zakresie niezbędnym do zapewnienia zgodności działań szkoleniowych, testów i ćwiczeń z wynikami audytu oraz dokumentacją opracowaną w ramach części 1. Współpraca nie może prowadzić do ujawnienia informacji wykraczających poza zakres niezbędny do realizacji zamówienia.
Szczegółowy zakres, parametry środowiska, wymagane produkty, terminy cząstkowe, wymagania dotyczące personelu, zasady bezpieczeństwa, odbioru i nanoszenia poprawek określa Opis Przedmiotu Zamówienia stanowiący załącznik do ogłoszenia.
Wykonawca przedstawi szczegółowy harmonogram realizacji w terminie 3 dni roboczych od zawarcia umowy. Wszystkie prace, raporty, dokumenty i poprawki w ramach części 1 oraz jej odbiór końcowy muszą zostać zakończone nie później niż do dnia 15 grudnia 2026 r.
Okres gwarancji: nie dotyczy
Miejsce realizacji
Kraj: Polska, Województwo: mazowieckie, Powiat: ostrołęcki, Gmina: Goworowo, Miejscowość: Goworowo
Część 2
Przedmiotem części 2 zamówienia jest przygotowanie i przeprowadzenie kompleksowych działań szkoleniowych, warsztatowych, testowych i ćwiczeniowych podnoszących kompetencje pracowników oraz kadry zarządzającej Zakładu Gospodarki Komunalnej w Goworowie w ramach projektu „Wzrost poziomu Cyberbezpieczeństwa w ZGK w Goworowie”, objętego umową nr KPOD.05.10-CW.01-001/25/0457, realizowanego w konkursie grantowym „Cyberbezpieczne Wodociągi”.
Zakres części 2 obejmuje:
1. Szkolenia z zakresu Cybersecurity Awareness dla pracowników.
Szkolenia będą dotyczyć w szczególności rozpoznawania zagrożeń, phishingu i socjotechniki, bezpiecznego korzystania z poczty elektronicznej i Internetu, zasad bezpiecznego korzystania z urządzeń i systemów informatycznych, ochrony informacji, właściwego postępowania z incydentami oraz praktycznych sposobów ograniczania ryzyka. Program powinien uwzględniać specyfikę działalności Zamawiającego oraz rzeczywiste zagrożenia występujące w środowisku IT/OT.
2. Szkolenie dla kadry zarządzającej.
Szkolenie będzie dotyczyć odpowiedzialności osób zarządzających za cyberbezpieczeństwo, zarządzania ryzykiem, ciągłości działania, reagowania na incydenty, podejmowania decyzji w sytuacji kryzysowej, komunikacji, eskalacji zdarzeń oraz wymagań wynikających z NIS2, uKSC i innych właściwych regulacji.
3. Szkolenia specjalistyczne dla kadry zarządzającej oraz osób odpowiedzialnych za systemy IT/OT/ICS.
Zakres szkoleń specjalistycznych obejmie w szczególności bezpieczeństwo środowisk IT/OT/ICS, architekturę i segmentację sieci, zarządzanie dostępem, monitoring i rejestrowanie zdarzeń, kopie zapasowe, podatności, aktualizacje, reagowanie na incydenty oraz praktyczne metody ograniczania ryzyka. Program szkoleń zostanie poprzedzony analizą potrzeb i dostosowany do poziomu wiedzy uczestników oraz środowiska Zamawiającego.
4. Szkolenie z zakresu Incident Response połączone z kontrolowanym testem socjotechnicznym.
Wykonawca przygotuje i przeprowadzi szkolenie dotyczące rozpoznawania, zgłaszania, analizy i obsługi incydentów cyberbezpieczeństwa oraz zasad komunikacji i eskalacji. Następnie przeprowadzi kontrolowaną kampanię socjotechniczną według scenariusza uprzednio zaakceptowanego przez Zamawiającego.
Test nie może prowadzić do pozyskiwania rzeczywistych haseł ani innych danych uwierzytelniających, instalowania złośliwego oprogramowania, zakłócania pracy systemów ani stwarzania zagrożenia dla środowiska Zamawiającego. Wyniki zostaną przedstawione w postaci zbiorczych danych, wniosków i rekomendacji, bez wykorzystywania indywidualnych rezultatów do sankcjonowania pracowników.
5. Ćwiczenie typu tabletop oraz symulacja sytuacji kryzysowej.
Wykonawca opracuje scenariusz ćwiczenia dostosowany do specyfiki organizacji wodociągowej oraz przeprowadzi ćwiczenie z udziałem kluczowych uczestników. Zakres ćwiczenia obejmie w szczególności:
– wystąpienie incydentu cyberbezpieczeństwa wpływającego na systemy IT lub OT;
– uruchomienie i ocenę ścieżek eskalacji;
– role i odpowiedzialności uczestników;
– podejmowanie decyzji i komunikację kryzysową;
– współpracę pomiędzy komórkami organizacyjnymi;
– ciągłość działania i priorytety odtworzeniowe;
– współpracę z dostawcami oraz podmiotami zewnętrznymi;
– identyfikację wniosków, luk i działań doskonalących.
Ćwiczenie zostanie zakończone raportem ewaluacyjnym oraz spotkaniem follow-up służącym omówieniu wdrożenia rekomendacji.
Wykonawca przygotuje materiały szkoleniowe, programy, listy lub inne potwierdzenia uczestnictwa, raporty z przeprowadzonych działań, wyniki testu socjotechnicznego w formie zbiorczej, raport z ćwiczenia oraz rekomendacje dalszych działań.
Wszystkie działania muszą zostać dostosowane do rzeczywistej organizacji, infrastruktury, potrzeb i poziomu kompetencji uczestników. Niedopuszczalne jest ograniczenie realizacji do przekazania standardowych materiałów szkoleniowych bez uwzględnienia specyfiki Zamawiającego.
Wykonawca części 2 będzie zobowiązany do współpracy z wykonawcą części 1 w zakresie niezbędnym do uwzględnienia wyników audytu oraz dokumentacji organizacyjnej opracowanej dla Zamawiającego. Zamawiający będzie koordynował przekazywanie informacji pomiędzy wykonawcami. Udostępniane informacje zostaną ograniczone do zakresu niezbędnego do prawidłowej realizacji działań szkoleniowych, testów i ćwiczeń.
Scenariusze testu socjotechnicznego i ćwiczenia tabletop, terminy działań, zakres wykorzystywanych danych oraz zasady bezpieczeństwa wymagają uprzedniego uzgodnienia z Zamawiającym.
Szczegółowy zakres, liczba uczestników, minimalny czas trwania poszczególnych działań, wymagane produkty, terminy cząstkowe, wymagania dotyczące trenerów i ekspertów oraz zasady odbioru określa Opis Przedmiotu Zamówienia stanowiący załącznik do ogłoszenia.
Wykonawca przedstawi szczegółowy harmonogram realizacji w terminie 3 dni roboczych od zawarcia umowy. Wszystkie szkolenia, testy, ćwiczenia, raporty, materiały, spotkanie follow-up i poprawki oraz odbiór końcowy części 2 muszą zostać zakończone nie później niż do dnia 15 grudnia 2026 r.
Okres gwarancji: nie dotyczy
Miejsce realizacji
Kraj: Polska, Województwo: mazowieckie, Powiat: ostrołęcki, Gmina: Goworowo, Miejscowość: Goworowo
Time limit for receipt of tenders
Mon Oct 19 08:00:00 GMT 2026
Location
Kraj: Polska, Województwo: mazowieckie, Powiat: ostrołęcki, Gmina: Goworowo, Miejscowość: Goworowo
Category assortment
Training
Maintenance and support
Consultancy
Maintenance and support
Consultancy
Buyer details
Zakład Gospodarki Komunalnej
Szkolna 16A
07-440 Goworowo
Województwo: mazowieckie
Kraj: Polska
NIP: 7581111643
Szkolna 16A
07-440 Goworowo
Województwo: mazowieckie
Kraj: Polska
NIP: 7581111643
