Polen – Softwarepaket und Informationssysteme – Wdrożenie zintegrowanej architektury cyberbezpieczeństwa IT i OT wraz z przygotowaniem organizacyjnym Zamawiającego w ramach projektu grantowego „Cyberbezpieczne Wodociągi

1. Gegenstand des Auftrags ist die Implementierung einer integrierten IT- und OT-Cybersicherheitsarchitektur zusammen mit der organisatorischen Vorbereitung des Auftraggebers im Rahmen des Förderprojekts „Cyberbezpieczne Wodociągi“. 2. Auf der Grundlage des Gesetzes vom 16. April 1993 über den Kampf gegen unlauteren Wettbewerb (Dz. U. z 2026 r. poz. 85) schließt der Auftraggeber die Öffentlichkeit eines Teils der OPZ aus. Ausgeschlossen werden technische und organisatorische Informationen über Kompetenz- und Organisationslücken, die Bedürfnisse des Auftraggebers im Bereich Cybersecurity, Teleinformationssysteme sowie angewandte Sicherheitsmechanismen, die ein Unternehmensgeheimnis darstellen und deren Offenlegung zu einem erhöhten Risiko eines Cybersecurity-Verstosses führen könnte, insbesondere durch die Ermöglichung der Identifikation der Systemarchitektur oder potenzieller Schwachstellen oder Sicherheitsmethoden und -taktiken der Infrastruktur. Der Umfang des Ausschlusses der Öffentlichkeit wurde auf die Informationen beschränkt, die zum Schutz der Sicherheit des Unternehmens, einschließlich der Teleinformationssysteme, erforderlich sind, und verletzt weder die Prinzipien des fairen Wettbewerbs noch die des gleichen Umgangs mit den Auftragnehmern, sondern stellt gleichzeitig sicher, dass die Auftragnehmer Zugang zu den für die Vorbereitung der Angebote erforderlichen Informationen haben. Der Gegenstand des Auftrags umfasst ein kohärentes Sicherheitsmodell, das technische, organisatorische und kompetenzbasierte Lösungen verbindet. Obwohl einzelne Elemente allgemein sein können, führt ihre gemeinsame Kombination und Bezugnahme auf die reale Umgebung des Auftraggebers zur Offenlegung der gesamten Sicherheitsarchitektur. Die Offenlegung eines solchen konsolidierten Bildes könnte es unbefugten Personen ermöglichen, die Sicherheitsarchitektur, Reaktionsweisen auf Vorfälle, Abhängigkeiten zwischen den Systemen sowie potenzielle Schwächen zu identifizieren, was letztlich das Risiko eines erfolgreichen Angriffs erhöht. Gemäß dem auf MITRE ATT&CK basierenden Ansatz kann Wissen über Schutzmechanismen, organisatorische Verfahren und Benutzerverhalten auf verschiedenen Phasen der Angriffssequenz, einschließlich der Vorbereitungs-, Erkennungs- und Eskalationsphase, genutzt werden. Der Auftraggeber betont, dass der Gegenstand des Auftrags Systeme umfasst, die für die Sicherstellung der Kontinuität der Erbringung öffentlicher Dienstleistungen von Bedeutung sind, und dass sein Ziel darin besteht, einen realen, operativen Grad der Widerstandsfähigkeit gegen Cyberbedrohungen zu erreichen. Der Ausschluss der Öffentlichkeit wurde als ein proportionales Mittel angewendet, das darauf abzielt, die Sicherheit des Auftraggebers zu schützen, während gleichzeitig den Auftragnehmern auf gleicher Grundlage Zugang zu vollständiger Dokumentation gewährleistet wird, wenn die Vertraulichkeitsanforderungen erfüllt sind. 3. Der öffentliche Teil der OPZ ist Anhang Nr. 8 zur SWZ 4. Der nicht öffentliche Teil der OPZ, der Anhang Nr. 9 zur SWZ darstellt, wird dem Auftragnehmer, der einen entsprechenden Antrag zusammen mit einer Erklärung über die Einhaltung der Vertraulichkeit, deren Muster Anhang Nr. 10 zur SWZ darstellt, nach den unten angegebenen Grundsätzen einreicht, zur Verfügung gestellt. 5. Die Frist für die Einreichung des Antrags, von dem in Punkt 4 die Rede ist, endet 7 Tage vor dem festgelegten Tag der Angebotsabgabe. Der Auftraggeber kann Anträge, die nach diesem Zeitpunkt eingereicht werden, unbeachtet lassen. 6. Der Antrag auf Zugang zum nicht öffentlichen Teil der OPZ kann nur von einem Auftragnehmer gestellt werden, der organisatorische und technische Mittel nachweist, die den Schutz vertraulicher Informationen gewährleisten. Der Auftraggeber erachtet insbesondere das Vorhandensein eines implementierten Informationssicherheitsmanagementsystems gemäß der Norm ISO/IEC 27001 oder einer gleichwertigen, durch ein von einer akkreditierten Zertifizierungsstelle ausgestelltes Zertifikat bestätigt, oder das Vorhandensein eines gültigen industriellen Sicherheitszeugnisses beliebigen Ranges oder eines anderen Dokuments, das von unabhängigen Stellen ausgestellt wurde und die Anwendung organisatorischer und technischer Mittel zur Sicherstellung des Schutzes vertraulicher Informationen für jede Branche bestätigt, z. B. eines gültigen TISAX-Zertifikats (Mindeststufe AL2) oder eines aktuellen SOC 2 Type II-Auditberichts, als Erfüllung der obigen Bedingung an. Der Auftragnehmer fügt dem Antrag, von dem in Punkt 4 die Rede ist, einen mit dem Original übereinstimmenden, bestätigten Zertifikat/Dokument bei. 7. Der Antrag zusammen mit der Erklärung über die Einhaltung der Vertraulichkeit wird von einer zur Vertretung des Auftragnehmers befugten Person oder einem ordnungsgemäß bevollmächtigten Vertreter unterzeichnet. Im Falle der Vertretung durch einen Bevollmächtigten ist dem Antrag die entsprechende Vollmacht beizufügen. 8. Der Antrag, der mit einer qualifizierten elektronischen Signatur versehen ist, ist über die Einkaufsplattform Open Nexsus spätestens 7 Tage vor dem Fristende für die Angebotsabgabe einzureichen, unter dem Vorbehalt, dass der Auftraggeber keine Verantwortung für die Unmöglichkeit der Angebotsvorbereitung übernimmt, wenn der Antrag zu einem Zeitpunkt eingereicht wird, der eine Kenntnisnahme von der Dokumentation und die Erstellung eines Angebots vor Ablauf der Angebotsfrist unmöglich macht. 9. Der Auftraggeber stellt den nicht öffentlichen Teil der OPZ nach Erhalt eines vollständigen, gemäß den SWZ eingereichten Antrags zur Verfügung. Bei Feststellung formaler Mängel im Antrag kann der Auftraggeber den Auftragnehmer zur Ergänzung innerhalb einer festgelegten Frist auffordern. Die Bereitstellung des nicht öffentlichen Teils der OPZ erfolgt nach erfolgreicher Ergänzung der formalen Mängel. 10. Die im nicht öffentlichen Teil der OPZ enthaltenen Informationen dürfen ausschließlich zum Zweck der Vorbereitung und Einreichung eines Angebots in diesem Verfahren verwendet werden. Ihre Weitergabe an Dritte ist verboten, es sei denn, diese Personen sind auf Seiten des Auftragnehmers an der Angebotsvorbereitung beteiligt, unter der Bedingung, dass diese Personen zur Einhaltung der Vertraulichkeit in mindestens demselben Umfang wie in der Erklärung des Auftragnehmers festgelegt verpflichtet werden. Der Auftragnehmer haftet für die Verletzung der Vertraulichkeitspflicht durch die Personen, denen er Informationen, die unter den nicht öffentlichen Teil der OPZ fallen, zugänglich gemacht hat. 11. Die spezifischen Verpflichtungen des Auftragnehmers im Zusammenhang mit der Durchführung des Auftragsgegenstands sind in den geplanten Bestimmungen des Vertrags über die öffentliche