Entwicklung und Einführung eines Informationssicherheits-Managementsystems mit Dokumentation des Business-Continuity-Managementsystems und Audits im Projekt 'Cyberresiliente Wasserwerke'

Numer ogłoszenia: 2026-121815-291759 Projekt: KPOD.05.10-IW.06-0008/25 - Wodociągi odporne na cyberzagrożenia - kompleksowy projekt bezpieczeństwa. Część 1: Opracowanie i wdrożenie SZBI z dokumentacją SZCD i audyty. Przedmiotem zamówienia jest opracowanie i wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji wraz z dokumentacją Systemu Zarządzania Ciągłością Działania oraz przeprowadzenie audytów w ramach projektu “Wodociągi odporne na cyberzagrożenia - kompleksowy projekt bezpieczeństwa” realizowanego w ramach Inwestycji C3.1.1 „Cyberbezpieczeństwo - CyberPL”- Cyberbezpieczne Wodociągi, finansowanego z Krajowego Planu Odbudowy i Zwiększania Odporności. Przedmiot zamówienia realizowany jest w ramach projektu pn.: „Wodociągi odporne na cyberzagrożenia - kompleksowy projekt bezpieczeństwa” poprzez wdrożenie nowoczesnych rozwiązań, modernizację infrastruktury oraz podniesienie kompetencji personelu. Zakres zamówienia obejmuje: 1. Opracowanie, wdrożenie, przegląd i aktualizację dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) - przygotowanie kompletnej dokumentacji polityk, procedur i wytycznych zgodnych z wymaganiami Krajowych Ram Interoperacyjności (KRI) oraz ustawy o Krajowym Systemie Cyberbezpieczeństwa. Dokumentacja zostanie opracowana w oparciu o przeprowadzoną analizę ryzyka oraz potrzeby Zamawiającego, następnie wdrożona oraz poddana co najmniej dwóm przeglądom w okresie realizacji zamówienia, w tym obowiązkowemu przeglądowi końcowemu przeprowadzonemu po zakończeniu wdrożenia. W wyniku przeprowadzonych przeglądów Wykonawca dokona niezbędnej aktualizacji dokumentacji, uwzględniającej stwierdzone niezgodności, zmiany organizacyjne, techniczne oraz obowiązujące wymagania prawne i normatywne. W ramach opracowania dokumentacji Wykonawca przygotuje również Deklarację Stosowania (Statement of Applicability - SoA) oraz mapowanie wymagań ustawy o krajowym systemie cyberbezpieczeństwa, Krajowych Ram Interoperacyjności oraz norm ISO/IEC 27001 i ISO 22301 do opracowanych polityk, procedur i zabezpieczeń. 2. Audyt Systemu Zarządzania Bezpieczeństwem Informacji - niezależna weryfikacja wdrożonego Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) pod kątem skuteczności oraz zgodności z wymaganiami normy ISO/IEC 27001 oraz przepisami ustawy o krajowym systemie cyberbezpieczeństwa (UKSC). Audyt musi zostać przeprowadzony przez niezależny podmiot lub osobę, którzy nie uczestniczyli w opracowaniu ani wdrożeniu audytowanego Systemu Zarządzania Bezpieczeństwem Informacji. Wykonawca zobowiązany jest do złożenia, najpóźniej przed rozpoczęciem audytu, oświadczenia o zachowaniu niezależności i bezstronności przez podmiot lub osoby go przeprowadzające, potwierdzającego brak udziału w opracowaniu i wdrożeniu audytowanego SZBI oraz brak innych okoliczności mogących wpływać na obiektywizm przeprowadzanego audytu. Wyniki audytu muszą zostać przedstawione w formie raportu zawierającego stwierdzone niezgodności, obserwacje oraz rekomendacje działań doskonalących i posłużą do dalszego usprawnienia oraz uszczelnienia procesów bezpieczeństwa informacji. 3. Opracowanie, wdrożenie oraz przetestowanie planów ciągłości działania (BCP) i planów odtwarzania po awarii (DRP) obejmujących scenariusze postępowania umożliwiające utrzymanie lub szybkie odtworzenie świadczenia usług krytycznych (w szczególności dostawy wody i odbioru ścieków) w przypadku incydentów cybernetycznych, awarii infrastruktury, utraty dostępności systemów IT/OT oraz innych zdarzeń kryzysowych. Wykonawca przeprowadzi test lub ćwiczenia opracowanych planów oraz przekaże raport zawierający wyniki testów i rekomendacje działań doskonalących. 4. Opracowanie, wdrożenie, przegląd i aktualizacja Systemu Zarządzania Ciągłością Działania (SZCD) - zbudowanie i wdrożenie zintegrowanego systemu zgodnego z wymaganiami normy ISO 22301, dostosowanego do charakteru działalności Zamawiającego oraz środowiska IT i OT. W ramach realizacji Wykonawca przeprowadzi audyt przedwdrożeniowy, określi zakres SZCD, opracuje politykę i cele ciągłości działania, zidentyfikuje wymagania prawne i regulacyjne, przeprowadzi analizę wpływu na działalność (Business Impact Analysis - BIA), analizę ryzyka zakłóceń ciągłości działania, opracuje procedury zarządzania udokumentowanymi informacjami, określi role i odpowiedzialności oraz przygotuje plan utrzymania, przeglądów i doskonalenia SZCD. 5. Audyt Systemu Zarządzania Ciągłością Działania (SZCD) - niezależna weryfikacja wdrożonego Systemu Zarządzania Ciągłością Działania pod kątem zgodności z wymaganiami normy ISO 22301 oraz skuteczności przyjętych rozwiązań organizacyjnych i proceduralnych. Audyt powinien zostać przeprowadzony przez niezależny podmiot lub osobę, którzy nie uczestniczyli w opracowaniu ani wdrożeniu audytowanego SZCD. Wykonawca zobowiązany jest do złożenia oświadczenia o zachowaniu n Źródło: Ministerstwo Funduszy i Polityki Regionalnej, Baza Konkurencyjności Funduszy Europejskich; pobrano 2026-09-17; dane przetworzone.