Dokument : 2019-123850

	Opis Przedmiotu Zamówienia

I.	Nazwa zadania: 
Audyt bezpieczeństwa informacji UM

Kod CPV: 	72800000-8

II.	Dane zamawiającego: 	Miasto Rybnik, ul. Bolesława Chrobrego 2, 44-200 Rybnik.

Osoba do kontaktu: Grażyna Dudzik: tel. 32 43 92 390, Piotr Górka: 32 43 92 389, e -mail: informatyka@um.rybnik.pl

III.	Termin realizacji zamówienia: do 23 grudnia 2019 roku 

IV.	Przedmiot zamówienia: 

Przedmiotem zamówienia jest:
Wykonanie audytu bezpieczeństwa informacji w Urzędzie Miasta Rybnika według wytycznych Krajowych Ram Interoperacyjności oraz Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (zwane dalej "RODO").
Przedmiot zamówienia musi być zrealizowany zgodnie z następującymi przepisami prawa:
•	Rozporządzenia Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych, 
•	ustawy z dnia 10 maja 2018 r. r. o ochronie danych osobowych (Dz. U. z dnia 24 maja 2018) zwane dalej "UODO", 
•	Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (zwane dalej "RODO") 
•	projektu ustawy o ochronie danych osobowych z dnia 12 września 2017 r. przedstawionego przez Ministerstwo Cyfryzacji,

Opis prac do zrealizowania:

1.	Wykonawca przeprowadzi audyt bezpieczeństwa informacji w następujących obszarach funkcjonowania organizacji:
a)	analiza istniejącej dokumentacji: tj. Polityki Zarządzania Bezpieczeństwem Informacji oraz zawartej w niej Instrukcji Zarządzania Systemem Informatycznym wraz z procedurami;
b)	audyt informatyczny w zakresie zgodności z KRI w oparciu o PN-ISO/IEC 27001:2014-12 (KRI § 20.1): spełnienie przez Urząd Miasta minimalnych wymagań postawionych w Rozporządzeniu Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych,
-	audyt zabezpieczeń kryptograficznych przesyłanych danych oraz składowanych danych, w tym danych przetwarzanych na komputerach przenośnych;
c)	przeprowadzenie testów penetracyjnych infrastruktury IT wg PTES (KRI § 20.2.12), a w szczególności:
-	zbieranie informacji o środowisku,
-	identyfikacje usług widocznych w sieci wewnętrznej, identyfikację usług widocznych z sieci zewnętrznej (Internet),
-	analizę podatności dla wykrytych usług,
-	próbę zwiększenia uprawnień użytkownika.

Wyniki prac zostaną ujęte i przekazane Zamawiającemu w formie raportów zawierających rekomendacje w zakresie zapewnienia skutecznego poziomu bezpieczeństwa ochrony danych osobowych. Rekomendacje te zostaną podzielone na:
•	rekomendacje związane z zapewnieniem skutecznego poziomu bezpieczeństwa ochrony danych osobowych,
•	rekomendacje wynikające z ewentualnie stwierdzonych niezgodności
z obowiązującymi wymaganiami prawnymi,
•	rekomendacje wynikające z dobrych praktyk, których wdrożenie zoptymalizuje techniczne i/lub organizacyjne mechanizmy zabezpieczające dane osobowe.

2.	W wyniku przeprowadzonego audytu i wydanych rekomendacji w tym zakresie Wykonawca opracuje / dostosuje dokumentację ( Polityki Zarządzania Bezpieczeństwem Informacji) systemu zarządzania u Zamawiającego wymaganą w związku z przetwarzaniem danych osobowych, zgodnie z wymaganiami określonymi w RODO,
w tym:

•	dokona optymalizacji posiadanych przez Zamawiającego dokumentów określających zasady zarządzania bezpieczeństwem informacji,
•	zdefiniuje nowe klauzule informacyjne (w tym również klauzule dotyczące transgranicznego przetwarzania danych),
•	zdefiniuje nowe klauzule zgód na przetwarzanie danych osobowych,
•	podejmie inne działania, których konieczność podjęcia wykaże audyt.

3.	Po zakończeniu audytu Wykonawca zapewni opiekę doradczą w zakresie zaleceń zawartych w raportach, przez okres 6 miesięcy od zakończenia audytu. 

W postępowaniu może wziąć udział Wykonawca, który dysponuje zespołem minimum dwóch specjalistów z kwalifikacjami popartymi posiadaniem niżej wyszczególnionych certyfikatów:
-	audytorzy muszą posiadać certyfikat audytora wewnętrznego SZBI wg wymagań normy ISO27001 lub certyfikat audytora wiodącego SZBI wg wymagań normy ISO 27001:2005.
-	zespół audytorów musi udokumentować łącznie stosownymi certyfikatami posiadanie wiedzy z zakresu: ochrony danych osobowych, analizy ryzyka, przeprowadzenia analizy bezpieczeństwa w kontekście rozporządzenia KRI oraz umiejętności opracowania stosownej dokumentacji w tym zakresie dla urzędu.

Wykonawca musi posiadać doświadczenie w przeprowadzaniu co najmniej 3 audytów bezpieczeństwa informacji w ciągu 2 lat w urzędach administracji publicznej lub jednostkach samorządu terytorialnego.

W celu potwierdzenia spełnienia powyższych wymagań Wykonawca zobowiązany jest do przedłożenia wraz z formularzem oferty: certyfikatów oraz wykazu zrealizowanych audytów bezpieczeństwa informacji w urzędach administracji publicznej lub jednostkach samorządu terytorialnego.

V. Termin składania ofert: 28 listopada 2019 roku

VI. Składanie ofert.
Oferty należy składać w formie elektronicznej (zeskanowany formularz ofertowy podpisany przez osoby uprawnione do reprezentacji Wykonawcy) na adres informatyka@um.rybnik.pl lub w formie papierowej w Kancelarii Urzędu Miasta, przy ul Bolesława Chrobrego 2, 44-200 Rybnik, z dopiskiem na kopercie: Oferta na zadanie: „Audyt bezpieczeństwa informacji Urzędu Miasta Rybnika" zgodnie z załącznikiem nr 1 do Opisu Przedmiotu Zamówienia.

VII. Informacje o formalnościach: 
1)	Jeżeli Wykonawca, którego oferta została wybrana uchyli się od podpisania umowy, Zamawiający wybierze kolejną ofertę najkorzystniejszą spośród złożonych ofert, bez przeprowadzania ich ponownej oceny. 
2)	Niniejsze postępowanie prowadzone jest na zasadach opartych na wewnętrznych uregulowaniach Zamawiającego. Nie mają tu zastosowania przepisy Ustawy Prawo zamówień publicznych.
3)	Zamawiający zastrzega sobie możliwość nie dokonania wyboru oferty, bez podania przyczyny.

VIII.	Kryteria oceny ofert: 100% cena
Za najkorzystniejszą zostanie uznana oferta z najniższą ceną

IX.	Obowiązek informacyjny wynikający z art. 13 RODO
Zgodnie z art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1), dalej „RODO”, informuję, że: 
•	administratorem Pani/Pana danych osobowych jest Prezydent Miasta z siedzibą przy 
ul. Bolesława Chrobrego 2 w Rybniku (44-200);
•	inspektorem ochrony danych osobowych w Urzędzie Miasta jest Pani Iwona Kowalska-Nawrocka, kontakt: e-mail: iod@um.rybnik.pl, tel.: 32 43 92 203*;
•	Pani/Pana dane osobowe przetwarzane będą w celu związanym z przedmiotowym postępowaniem o udzielenie zamówienia poza ustawą PZP;
•	Dane osobowe mogą być udostępniane podmiotom upoważnionym do uzyskania informacji na podstawie przepisów prawa;
•	Podanie danych osobowych jest dobrowolne, ale niezbędne do przeprowadzenia postępowania;
•	Dane osobowe będą przechowywane jedynie w okresie niezbędnym do spełnienia celu, dla którego zostały zebrane lub w okresie wskazanym przepisami prawa;
•	w odniesieniu do Pani/Pana danych osobowych decyzje nie będą podejmowane w sposób zautomatyzowany, stosowanie do art. 22 RODO;
•	posiada Pani/Pan:
−	na podstawie art. 15 RODO prawo dostępu do danych osobowych Pani/Pana dotyczących;
−	na podstawie art. 16 RODO prawo do sprostowania Pani/Pana danych osobowych *;
−	na podstawie art. 18 RODO prawo żądania od administratora ograniczenia przetwarzania danych osobowych z zastrzeżeniem przypadków, o których mowa w art. 18 ust. 2 RODO **;  
−	prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, że przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy RODO;
•	nie przysługuje Pani/Panu:
−	w związku z art. 17 ust. 3 lit. b, d lub e RODO prawo do usunięcia danych osobowych;
−	prawo do przenoszenia danych osobowych, o którym mowa w art. 20 RODO;
−	na podstawie art. 21 RODO prawo sprzeciwu, wobec przetwarzania danych osobowych, gdyż podstawą prawną przetwarzania Pani/Pana danych osobowych jest art. 6 ust. 1 lit. c RODO. 
* Wyjaśnienie: skorzystanie z prawa do sprostowania nie może skutkować zmianą wyniku postępowania ani zmianą istotnych postanowień umowy;
** Wyjaśnienie: prawo do ograniczenia przetwarzania nie ma zastosowania w odniesieniu do przechowywania, w celu zapewnienia korzystania z ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii Europejskiej lub państwa członkowskiego.

Załączniki:
-	Załącznik nr 1 - formularz ofertowy
-	Załącznik nr 2- wzór umowy