Wykonanie audytów rozwiązań cyberbezpieczeństwa dla Zakładu Wodociągów i Kanalizacji Sp. z o.o. w Żarach
Notice description
Powstaje w kontekście projektu:
KPOD.05.10-IW.06-0001/25 - Podniesienie odporności cyberbezpieczeństwa systemów IT i OT w Zakładach Wodociągów i Kanalizacji Sp. z o. o. Żarach
1) Audyt Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) - zgodność z PN-EN ISO/IEC 27001:2023-08 wraz z PN-EN ISO/IEC 27001:2023-08/A1:2025-02 (ISO/IEC 27001:2022 wraz z Amd 1:2024) lub normą równoważną.
Audyt powinien obejmować cały zakres wymagań dotyczących SZBI określonych w rozdziałach 4-10 normy oraz ocenę stosowania zabezpieczeń z Załącznika A w zakresie wynikającym z szacowania ryzyka i Deklaracji Stosowania (SoA), w tym co najmniej:
a) kontekst organizacji, potrzeby i oczekiwania stron zainteresowanych, w tym ocenę znaczenia kwestii zmian klimatu zgodnie z aktualnym dodatkiem A1, oraz zakres SZBI;
b) przywództwo, politykę bezpieczeństwa informacji, role, odpowiedzialności i uprawnienia;
c) metodykę, kryteria i wyniki szacowania ryzyka, plan postępowania z ryzykiem oraz Deklarację Stosowania (SoA), w tym uzasadnienie włączenia i wyłączenia zabezpieczeń;
d) cele bezpieczeństwa informacji, planowanie zmian, zasoby, kompetencje, świadomość, komunikację oraz nadzór nad udokumentowanymi informacjami;
e) planowanie i nadzór operacyjny, okresowe szacowanie ryzyka oraz realizację planu postępowania z ryzykiem;
f) zarządzanie aktywami, klasyfikacją informacji, tożsamością, uprawnieniami, dostępem uprzywilejowanym oraz uwierzytelnianiem;
g) bezpieczeństwo relacji z dostawcami i łańcucha dostaw, w tym wymagania bezpieczeństwa w umowach i nadzór nad usługami zewnętrznymi;
h) bezpieczeństwo zasobów ludzkich oraz bezpieczeństwo fizyczne i środowiskowe;
i) bezpieczeństwo eksploatacji i zmian, zarządzanie podatnościami i aktualizacjami, ochronę przed złośliwym oprogramowaniem, kopie zapasowe, redundancję, rejestrowanie zdarzeń i monitorowanie;
j) bezpieczeństwo sieci i komunikacji, kryptografię oraz - gdy jest to zasadne - uwierzytelnianie wieloskładnikowe;
k) zarządzanie zdarzeniami i incydentami bezpieczeństwa informacji, w tym gromadzenie i zabezpieczanie dowodów;
l) bezpieczeństwo informacji podczas zakłóceń oraz gotowość ICT do zapewnienia ciągłości działania;
m) monitorowanie, pomiary, analizę i ocenę skuteczności SZBI, audyty wewnętrzne, przegląd zarządzania, niezgodności, działania korygujące i ciągłe doskonalenie.
2) Audyt Systemu Zarządzania Ciągłością Działania (SZCD / BCP/DRP STI).
Zakres audytu obejmuje przegląd i weryfikację ciągłości działania oraz odtwarzania systemów IT/OT zgodnie z wymaganiami uoKSC dotyczącymi ciągłości działania i dokumentacji SZCD oraz z właściwymi wymaganiami PN-EN ISO/IEC 27001:2023-08 wraz z A1:2025-02. Jako normę referencyjną dla metodyki SZCD należy uwzględnić PN-EN ISO 22301:2020-04 lub normę równoważną, w zakresie adekwatnym do przedmiotu audytu:
a) analizę wpływu zakłóceń na działalność i zależności usług, procesów, zasobów IT/OT, personelu, lokalizacji oraz dostawców, w tym przyjęte parametry odtworzeniowe;
b) strategię ciągłości działania, role, odpowiedzialności, zasady eskalacji i komunikacji kryzysowej;
c) plany ciągłości działania, plany awaryjne i plany odtworzenia działalności, w tym kopie zapasowe, redundancję i alternatywne sposoby świadczenia usług;
d) instrukcje odtworzeniowe dla systemów, serwerów, środowisk wirtualnych, urządzeń sieciowych oraz - w zakresie bezpiecznym dla procesów technologicznych - komponentów OT/ICS;
e) dowody przeprowadzania testów i ćwiczeń BCP/DRP, wyniki testów, wnioski, działania korygujące i ponowne testowanie;
f) zasady przeglądu, aktualizacji, wersjonowania, utrzymywania i dostępności dokumentacji SZCD/BCP/DRP.
3) Audyt zgodności z Krajowymi Ramami Interoperacyjności (KRI) oraz ustawą z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz. U. z 2026 r. poz. 20, z późn. zm., w tym Dz. U. z 2026 r. poz. 252 i 815; dalej: uoKSC).
Zakres audytu obejmuje identyfikację statusu i obowiązków mających zastosowanie do Zamawiającego oraz ocenę zgodności dokumentacji, procesów i praktyk z przepisami obowiązującymi na dzień zakończenia audytu, w tym co najmniej:
a) zgodność z rozporządzeniem Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (Dz. U. z 2024 r. poz. 773), w zakresie mającym zastosowanie do Zamawiającego, w szczególności wymagań dotyczących SZBI, audytu, rozliczalności i dzienników systemowych;
b) wymagania art. 8 uoKSC dotyczące systematycznego szacowania i zarządzania ryzykiem oraz adekwatnych i proporcjonalnych środków technicznych i organizacyjnych, w tym bezpieczeństwa nabywania, rozwoju, utrzymania i eksploatacji systemów, bezpieczeństwa fizycznego i zasobów ludzkich, łańcucha dostaw, ciągłości działania, monitorowania ciągłego, oceny skuteczności zabezpieczeń, edukacji, cyberhigieny, kryptografii, bezpiecznej komunikacji i MFA, zarządzania aktywami i kontrolą dostępu;
c) zbieranie informacji o cyberzagrożeniach i podatnościach, zarządzanie incydentami, aktualizacjami i podatnościami oraz ochronę poufności, integralności, dostępności i autentyczności informacji;
d) odpowiedzialność kierownika podmiotu, podejmowanie decyzji, nadzór, zapewnienie zasobów i coroczne szkolenia kierownictwa w zakresie wymaganym przez art. 8c-8e uoKSC;
e) proces weryfikacji spełnienia wymagań osobowych wobec osób wykonujących zadania z art. 8 lub art. 11 uoKSC, w zakresie art. 8f uoKSC;
f) obowiązki dotyczące osób kontaktowych, informacji dla użytkowników, kanału zgłaszania cyberzagrożeń/incydentów/podatności i korzystania z systemu S46, w zakresie art. 9 uoKSC;
g) kompletność, aktualność, nadzór, wersjonowanie, ochrona, retencję i brakowanie dokumentacji normatywnej, operacyjnej, SZBI, ochrony infrastruktury, SZCD i dokumentacji technicznej zgodnie z art. 10 uoKSC;
h) proces obsługi i zgłaszania incydentów, w tym wczesne ostrzeżenie do 24 godzin, zgłoszenie incydentu poważnego do 72 godzin, sprawozdania okresowe na żądanie oraz sprawozdanie końcowe co do zasady w terminie miesiąca, a także obowiązki informacyjne wobec użytkowników - w zakresie aktualnie obowiązujących art. 11-12b uoKSC;
i) organizację realizacji zadań cyberbezpieczeństwa zgodnie z art. 14 uoKSC, w tym wewnętrzne struktury albo korzystanie z dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa;
j) wymagania audytowe z art. 15 uoKSC, w tym - w zakresie mającym zastosowanie do statusu Zamawiającego - częstotliwość audytu, wymagania wobec audytorów, ich niezależność, sporządzenie i przekazywanie raportu oraz dokumentacji audytowej;
k) aktualne przepisy wykonawcze, decyzje, rekomendacje oraz inne wiążące wymagania sektorowe mające zastosowanie do Zamawiającego na dzień zakończenia audytu.
Miejsce realizacji
Kraj: Polska, Województwo: lubuskie, Powiat: żarski, Gmina: Żary, Miejscowość: Żary
KPOD.05.10-IW.06-0001/25 - Podniesienie odporności cyberbezpieczeństwa systemów IT i OT w Zakładach Wodociągów i Kanalizacji Sp. z o. o. Żarach
1) Audyt Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) - zgodność z PN-EN ISO/IEC 27001:2023-08 wraz z PN-EN ISO/IEC 27001:2023-08/A1:2025-02 (ISO/IEC 27001:2022 wraz z Amd 1:2024) lub normą równoważną.
Audyt powinien obejmować cały zakres wymagań dotyczących SZBI określonych w rozdziałach 4-10 normy oraz ocenę stosowania zabezpieczeń z Załącznika A w zakresie wynikającym z szacowania ryzyka i Deklaracji Stosowania (SoA), w tym co najmniej:
a) kontekst organizacji, potrzeby i oczekiwania stron zainteresowanych, w tym ocenę znaczenia kwestii zmian klimatu zgodnie z aktualnym dodatkiem A1, oraz zakres SZBI;
b) przywództwo, politykę bezpieczeństwa informacji, role, odpowiedzialności i uprawnienia;
c) metodykę, kryteria i wyniki szacowania ryzyka, plan postępowania z ryzykiem oraz Deklarację Stosowania (SoA), w tym uzasadnienie włączenia i wyłączenia zabezpieczeń;
d) cele bezpieczeństwa informacji, planowanie zmian, zasoby, kompetencje, świadomość, komunikację oraz nadzór nad udokumentowanymi informacjami;
e) planowanie i nadzór operacyjny, okresowe szacowanie ryzyka oraz realizację planu postępowania z ryzykiem;
f) zarządzanie aktywami, klasyfikacją informacji, tożsamością, uprawnieniami, dostępem uprzywilejowanym oraz uwierzytelnianiem;
g) bezpieczeństwo relacji z dostawcami i łańcucha dostaw, w tym wymagania bezpieczeństwa w umowach i nadzór nad usługami zewnętrznymi;
h) bezpieczeństwo zasobów ludzkich oraz bezpieczeństwo fizyczne i środowiskowe;
i) bezpieczeństwo eksploatacji i zmian, zarządzanie podatnościami i aktualizacjami, ochronę przed złośliwym oprogramowaniem, kopie zapasowe, redundancję, rejestrowanie zdarzeń i monitorowanie;
j) bezpieczeństwo sieci i komunikacji, kryptografię oraz - gdy jest to zasadne - uwierzytelnianie wieloskładnikowe;
k) zarządzanie zdarzeniami i incydentami bezpieczeństwa informacji, w tym gromadzenie i zabezpieczanie dowodów;
l) bezpieczeństwo informacji podczas zakłóceń oraz gotowość ICT do zapewnienia ciągłości działania;
m) monitorowanie, pomiary, analizę i ocenę skuteczności SZBI, audyty wewnętrzne, przegląd zarządzania, niezgodności, działania korygujące i ciągłe doskonalenie.
2) Audyt Systemu Zarządzania Ciągłością Działania (SZCD / BCP/DRP STI).
Zakres audytu obejmuje przegląd i weryfikację ciągłości działania oraz odtwarzania systemów IT/OT zgodnie z wymaganiami uoKSC dotyczącymi ciągłości działania i dokumentacji SZCD oraz z właściwymi wymaganiami PN-EN ISO/IEC 27001:2023-08 wraz z A1:2025-02. Jako normę referencyjną dla metodyki SZCD należy uwzględnić PN-EN ISO 22301:2020-04 lub normę równoważną, w zakresie adekwatnym do przedmiotu audytu:
a) analizę wpływu zakłóceń na działalność i zależności usług, procesów, zasobów IT/OT, personelu, lokalizacji oraz dostawców, w tym przyjęte parametry odtworzeniowe;
b) strategię ciągłości działania, role, odpowiedzialności, zasady eskalacji i komunikacji kryzysowej;
c) plany ciągłości działania, plany awaryjne i plany odtworzenia działalności, w tym kopie zapasowe, redundancję i alternatywne sposoby świadczenia usług;
d) instrukcje odtworzeniowe dla systemów, serwerów, środowisk wirtualnych, urządzeń sieciowych oraz - w zakresie bezpiecznym dla procesów technologicznych - komponentów OT/ICS;
e) dowody przeprowadzania testów i ćwiczeń BCP/DRP, wyniki testów, wnioski, działania korygujące i ponowne testowanie;
f) zasady przeglądu, aktualizacji, wersjonowania, utrzymywania i dostępności dokumentacji SZCD/BCP/DRP.
3) Audyt zgodności z Krajowymi Ramami Interoperacyjności (KRI) oraz ustawą z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz. U. z 2026 r. poz. 20, z późn. zm., w tym Dz. U. z 2026 r. poz. 252 i 815; dalej: uoKSC).
Zakres audytu obejmuje identyfikację statusu i obowiązków mających zastosowanie do Zamawiającego oraz ocenę zgodności dokumentacji, procesów i praktyk z przepisami obowiązującymi na dzień zakończenia audytu, w tym co najmniej:
a) zgodność z rozporządzeniem Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (Dz. U. z 2024 r. poz. 773), w zakresie mającym zastosowanie do Zamawiającego, w szczególności wymagań dotyczących SZBI, audytu, rozliczalności i dzienników systemowych;
b) wymagania art. 8 uoKSC dotyczące systematycznego szacowania i zarządzania ryzykiem oraz adekwatnych i proporcjonalnych środków technicznych i organizacyjnych, w tym bezpieczeństwa nabywania, rozwoju, utrzymania i eksploatacji systemów, bezpieczeństwa fizycznego i zasobów ludzkich, łańcucha dostaw, ciągłości działania, monitorowania ciągłego, oceny skuteczności zabezpieczeń, edukacji, cyberhigieny, kryptografii, bezpiecznej komunikacji i MFA, zarządzania aktywami i kontrolą dostępu;
c) zbieranie informacji o cyberzagrożeniach i podatnościach, zarządzanie incydentami, aktualizacjami i podatnościami oraz ochronę poufności, integralności, dostępności i autentyczności informacji;
d) odpowiedzialność kierownika podmiotu, podejmowanie decyzji, nadzór, zapewnienie zasobów i coroczne szkolenia kierownictwa w zakresie wymaganym przez art. 8c-8e uoKSC;
e) proces weryfikacji spełnienia wymagań osobowych wobec osób wykonujących zadania z art. 8 lub art. 11 uoKSC, w zakresie art. 8f uoKSC;
f) obowiązki dotyczące osób kontaktowych, informacji dla użytkowników, kanału zgłaszania cyberzagrożeń/incydentów/podatności i korzystania z systemu S46, w zakresie art. 9 uoKSC;
g) kompletność, aktualność, nadzór, wersjonowanie, ochrona, retencję i brakowanie dokumentacji normatywnej, operacyjnej, SZBI, ochrony infrastruktury, SZCD i dokumentacji technicznej zgodnie z art. 10 uoKSC;
h) proces obsługi i zgłaszania incydentów, w tym wczesne ostrzeżenie do 24 godzin, zgłoszenie incydentu poważnego do 72 godzin, sprawozdania okresowe na żądanie oraz sprawozdanie końcowe co do zasady w terminie miesiąca, a także obowiązki informacyjne wobec użytkowników - w zakresie aktualnie obowiązujących art. 11-12b uoKSC;
i) organizację realizacji zadań cyberbezpieczeństwa zgodnie z art. 14 uoKSC, w tym wewnętrzne struktury albo korzystanie z dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa;
j) wymagania audytowe z art. 15 uoKSC, w tym - w zakresie mającym zastosowanie do statusu Zamawiającego - częstotliwość audytu, wymagania wobec audytorów, ich niezależność, sporządzenie i przekazywanie raportu oraz dokumentacji audytowej;
k) aktualne przepisy wykonawcze, decyzje, rekomendacje oraz inne wiążące wymagania sektorowe mające zastosowanie do Zamawiającego na dzień zakończenia audytu.
Miejsce realizacji
Kraj: Polska, Województwo: lubuskie, Powiat: żarski, Gmina: Żary, Miejscowość: Żary
Time limit for receipt of tenders
Fri Oct 16 21:59:59 GMT 2026
Location
Kraj: Polska, Województwo: lubuskie, Powiat: żarski, Gmina: Żary, Miejscowość: Żary
Category assortment
Maintenance and support
Audit and controlling
Consultancy
Audit and controlling
Consultancy
Buyer details
Zakład Wodociągów i Kanalizacji Sp. z o.o.
Bohaterów Getta 11
68-200 Żary
Województwo: lubuskie
Kraj: Polska
NIP: 9282033304
Bohaterów Getta 11
68-200 Żary
Województwo: lubuskie
Kraj: Polska
NIP: 9282033304
