Pologne – Logiciels et systèmes d'information – Wdrożenie zintegrowanej architektury cyberbezpieczeństwa IT i OT wraz z przygotowaniem organizacyjnym Zamawiającego w ramach projektu grantowego „Cyberbezpieczne Wodociągi

1. L'objet du marché est la mise en œuvre d'une architecture intégrée de cybersécurité IT et OT, ainsi que la préparation organisationnelle du Pouvoir adjudicateur dans le cadre du projet de subvention "Cyberbezpieczne Wodociągi". 2. Agissant sur la base de la loi du 16 avril 1993 sur la lutte contre la concurrence déloyale (J. O. du 2026, n° 85), le Pouvoir adjudicateur exclut la publicité de certaines parties du DCE. Cette exclusion concerne les informations techniques et organisationnelles relatives aux lacunes de compétences et organisationnelles, aux besoins du Pouvoir adjudicateur en matière de cybersécurité, des systèmes de téléinformatique ainsi que des mécanismes de sécurité appliqués, qui constituent un secret d'entreprise et dont la divulgation pourrait entraîner une augmentation du risque de violation de la cybersécurité, en particulier en permettant l'identification de l'architecture des systèmes ou des vulnérabilités potentielles, ou des techniques et tactiques de protection de l'infrastructure. La portée de l'exclusion de la publicité a été limitée aux informations nécessaires pour protéger la sécurité de l'entreprise, y compris les systèmes de téléinformatique, et ne viole pas les principes de la concurrence loyale, ni du traitement égal des entrepreneurs, tout en assurant aux entrepreneurs l'accès aux informations nécessaires pour préparer leurs offres. L'objet du marché comprend un modèle cohérent de sécurité combinant des solutions techniques, organisationnelles et de compétences. Bien que certains éléments puissent être de nature générale, leur combinaison et leur référence à l'environnement réel du Pouvoir adjudicateur conduit à la révélation de l'architecture globale de la sécurité. La divulgation d'une telle image consolidée pourrait permettre à des personnes non autorisées d'identifier l'architecture de sécurité, les méthodes de réponse aux incidents, les dépendances entre les systèmes et les faiblesses potentielles, augmentant ainsi le risque d'une attaque réussie. Conformément à l'approche basée sur MITRE ATT&CK, la connaissance des mécanismes de protection, des procédures organisationnelles et des comportements des utilisateurs peut être exploitée à différentes étapes de la chaîne d'attaque, y compris dans les phases de préparation, de reconnaissance et d'escalade des accès. Le Pouvoir adjudicateur souligne que l'objet du marché concerne des systèmes ayant une importance pour assurer la continuité des services publics, et que son objectif est d'atteindre un niveau opérationnel réel de résilience aux cybermenaces. L'exclusion de la publicité a été appliquée comme un moyen proportionné, visant à protéger la sécurité du Pouvoir adjudicateur, tout en assurant aux entrepreneurs l'accès à la documentation complète sur des bases égales, après avoir rempli les exigences de confidentialité. 3. La partie publique du DCE constitue l'annexe n° 8 au SWZ. 4. La partie non publique du DCE, constituant l'annexe n° 9 au SWZ, sera mise à la disposition de l'Entrepreneur qui déposera une demande appropriée avec une déclaration de confidentialité, dont le modèle constitue l'annexe n° 10 au SWZ, selon les modalités définies ci-dessous. 5. Le délai pour déposer la demande, mentionné au point 4, expire 7 jours avant la date fixée pour le dépôt des offres. Les demandes déposées après ce délai peuvent être laissées sans suite par le Pouvoir adjudicateur. 6. La demande de mise à disposition de la partie non publique du DCE ne peut être déposée que par l'Entrepreneur qui démontrera l'application de moyens organisationnels et techniques garantissant la protection des informations confidentielles. Le Pouvoir adjudicateur considère que cette condition est remplie, en particulier, par la possession d'un système de gestion de la sécurité de l'information conforme à la norme ISO/IEC 27001 ou équivalent, certifié par un organisme de certification accrédité, ou la possession d'un certificat de sécurité industrielle valide de tout niveau ou un autre document délivré par des entités indépendantes confirmant l'application de moyens organisationnels et techniques garantissant la protection des informations pour tout secteur, par exemple, un certificat TISAX valide (niveau minimum AL2) ou un rapport d'audit SOC 2 Type II actuel. L'Entrepreneur joint le certificat/document confirmant la conformité avec l'originale comme annexe à la demande mentionnée au point 4. 7. La demande, accompagnée de la déclaration de confidentialité, est signée par une personne habilitée à représenter l'Entrepreneur ou un mandataire dûment autorisé. En cas d'action par un mandataire, la demande doit être accompagnée du mandat approprié. 8. La demande, signée d'une signature électronique qualifiée, doit être déposée via la plateforme d'achat Open Nexsus au plus tard 7 jours avant la date limite de dépôt des offres, sous réserve que le Pouvoir adjudicateur ne soit pas responsable de l'impossibilité de préparer une offre en cas de dépôt de la demande dans un délai ne permettant pas de se familiariser avec la documentation et de préparer l'offre avant l'expiration du délai de dépôt des offres. 9. Le Pouvoir adjudicateur mettra à disposition la partie non publique du DCE après avoir reçu une demande complète, déposée conformément au SWZ. En cas de constatation de lacunes formelles dans la demande, le Pouvoir adjudicateur peut inviter l'Entrepreneur à les compléter dans le délai imparti. La mise à disposition de la partie non publique du DCE aura lieu après la correction effective des lacunes formelles. 10. Les informations contenues dans la partie non publique du DCE peuvent être utilisées exclusivement pour préparer et soumettre une offre dans la présente procédure. Il est interdit de les divulguer à des tiers, sauf aux personnes impliquées du côté de l'Entrepreneur dans la préparation de l'offre, sous réserve de l'engagement de ces personnes à maintenir la confidentialité dans au moins la même mesure que celle spécifiée dans la déclaration de l'Entrepreneur. L'Entrepreneur est responsable de la violation de l'obligation de confidentialité par les personnes auxquelles il a communiqué les informations couvertes par la partie non publique du DCE. 11. Les obligations détaillées de l'entrepreneur dans le cadre de la réalisation de l'objet du marché sont définies par les dispositions projetées du contrat relatif au marché public - Annexe n° 1 à la Spécification des Conditions du Marché. 12. Le Pouvoir adjudicateur n'accepte pas les offres partielles.