Wykonanie audytów rozwiązań cyberbezpieczeństwa dla Zakładu Wodociągów i Kanalizacji Sp. z o.o. w Żarach

Numer ogłoszenia: 2026-117022-294288 Projekt: KPOD.05.10-IW.06-0001/25 - Podniesienie odporności cyberbezpieczeństwa systemów IT i OT w Zakładach Wodociągów i Kanalizacji Sp. z o. o. Żarach Część 1: Wykonanie audytów rozwiązań cyberbezpieczeństwa 1) Audyt Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) - zgodność z PN-EN ISO/IEC 27001:2023-08 wraz z PN-EN ISO/IEC 27001:2023-08/A1:2025-02 (ISO/IEC 27001:2022 wraz z Amd 1:2024) lub normą równoważną. Audyt powinien obejmować cały zakres wymagań dotyczących SZBI określonych w rozdziałach 4-10 normy oraz ocenę stosowania zabezpieczeń z Załącznika A w zakresie wynikającym z szacowania ryzyka i Deklaracji Stosowania (SoA), w tym co najmniej: a) kontekst organizacji, potrzeby i oczekiwania stron zainteresowanych, w tym ocenę znaczenia kwestii zmian klimatu zgodnie z aktualnym dodatkiem A1, oraz zakres SZBI; b) przywództwo, politykę bezpieczeństwa informacji, role, odpowiedzialności i uprawnienia; c) metodykę, kryteria i wyniki szacowania ryzyka, plan postępowania z ryzykiem oraz Deklarację Stosowania (SoA), w tym uzasadnienie włączenia i wyłączenia zabezpieczeń; d) cele bezpieczeństwa informacji, planowanie zmian, zasoby, kompetencje, świadomość, komunikację oraz nadzór nad udokumentowanymi informacjami; e) planowanie i nadzór operacyjny, okresowe szacowanie ryzyka oraz realizację planu postępowania z ryzykiem; f) zarządzanie aktywami, klasyfikacją informacji, tożsamością, uprawnieniami, dostępem uprzywilejowanym oraz uwierzytelnianiem; g) bezpieczeństwo relacji z dostawcami i łańcucha dostaw, w tym wymagania bezpieczeństwa w umowach i nadzór nad usługami zewnętrznymi; h) bezpieczeństwo zasobów ludzkich oraz bezpieczeństwo fizyczne i środowiskowe; i) bezpieczeństwo eksploatacji i zmian, zarządzanie podatnościami i aktualizacjami, ochronę przed złośliwym oprogramowaniem, kopie zapasowe, redundancję, rejestrowanie zdarzeń i monitorowanie; j) bezpieczeństwo sieci i komunikacji, kryptografię oraz - gdy jest to zasadne - uwierzytelnianie wieloskładnikowe; k) zarządzanie zdarzeniami i incydentami bezpieczeństwa informacji, w tym gromadzenie i zabezpieczanie dowodów; l) bezpieczeństwo informacji podczas zakłóceń oraz gotowość ICT do zapewnienia ciągłości działania; m) monitorowanie, pomiary, analizę i ocenę skuteczności SZBI, audyty wewnętrzne, przegląd zarządzania, niezgodności, działania korygujące i ciągłe doskonalenie. 2) Audyt Systemu Zarządzania Ciągłością Działania (SZCD / BCP/DRP STI). Zakres audytu obejmuje przegląd i weryfikację ciągłości działania oraz odtwarzania systemów IT/OT zgodnie z wymaganiami uoKSC dotyczącymi ciągłości działania i dokumentacji SZCD oraz z właściwymi wymaganiami PN-EN ISO/IEC 27001:2023-08 wraz z A1:2025-02. Jako normę referencyjną dla metodyki SZCD należy uwzględnić PN-EN ISO 22301:2020-04 lub normę równoważną, w zakresie adekwatnym do przedmiotu audytu: a) analizę wpływu zakłóceń na działalność i zależności usług, procesów, zasobów IT/OT, personelu, lokalizacji oraz dostawców, w tym przyjęte parametry odtworzeniowe; b) strategię ciągłości działania, role, odpowiedzialności, zasady eskalacji i komunikacji kryzysowej; c) plany ciągłości działania, plany awaryjne i plany odtworzenia działalności, w tym kopie zapasowe, redundancję i alternatywne sposoby świadczenia usług; d) instrukcje odtworzeniowe dla systemów, serwerów, środowisk wirtualnych, urządzeń sieciowych oraz - w zakresie bezpiecznym dla procesów technologicznych - komponentów OT/ICS; e) dowody przeprowadzania testów i ćwiczeń BCP/DRP, wyniki testów, wnioski, działania korygujące i ponowne testowanie; f) zasady przeglądu, aktualizacji, wersjonowania, utrzymywania i dostępności dokumentacji SZCD/BCP/DRP. 3) Audyt zgodności z Krajowymi Ramami Interoperacyjności (KRI) oraz ustawą z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz. U. z 2026 r. poz. 20, z późn. zm., w tym Dz. U. z 2026 r. poz. 252 i 815; dalej: uoKSC). Zakres audytu obejmuje identyfikację statusu i obowiązków mających zastosowanie do Zamawiającego oraz ocenę zgodności dokumentacji, procesów i praktyk z przepisami obowiązującymi na dzień zakończenia audytu, w tym co najmniej: a) zgodność z rozporządzeniem Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (Dz. U. z 2024 r. poz. 773), w zakresie mającym zastosowanie do Zamawiającego, w szczególności wymagań dotyczących SZBI, audytu, rozliczalności i dzienników systemowych; b) wymagania art. 8 uoKSC dotyczące systematycznego szacowania i zarządzania ryzykiem oraz adekwatnych i proporcjonalnych środków technicznych i organizacyjnych, w tym bezpieczeństwa nabywania, rozwoju, utrzymania i eksploatacji systemów, bezpieczeństwa fizycznego i zasobów ludzkich, łańcucha dostaw, ciągłości działania, monitorowania ciągłego, oceny skuteczności zabezpieczeń, edukacji, cyberhigieny, krypto Źródło: Ministerstwo Funduszy i Polityki Regionalnej, Baza Konkurencyjności Funduszy Europejskich; pobrano 2026-10-09; dane przetworzone.