Przedmiotem zamówienia jest świadczenie na rzecz Zamawiającego przez Wykonawcę usług polegających na przeprowadzeniu testów bezpieczeństwa aplikacji internetowych w wymiarze 200 roboczodni - w tym 100 roboczodni w ramach zamówienia podstawowego oraz 100 roboczodni w ramach prawa opcji. Szczegółowe informacje dotyczące opisu oraz zakresu przedmiotu zamówienia zawarte są w Opisie Przedmiotu Zamówienia, stanowiącym Załącznik nr 1 do SWZ.

1. Na potwierdzenie spełnienia warunku udziału w postępowaniu, dotyczącego zdolności technicznej lub zawodowej, Zamawiający wymaga, aby Wykonawca wykazał się niezbędnym doświadczeniem, tj. wykonaniem lub wykonywaniem w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, minimum – 3 usług z zakresu testów bezpieczeństwa aplikacji internetowych lub testów bezpieczeństwa systemów teleinformatycznych, obejmujących testy penetracyjne (jako całość zamówienia lub jego część), w ramach których wskazane testy wykonywano łącznie przez co najmniej 75* roboczodni (jeden roboczodzień odpowiada 8 roboczogodzinom, tj. łącznie 600 roboczogodzin). W tym co najmniej 2 z wykazanych usług muszą dotyczyć wyłącznie aplikacji posiadających co najmniej jeden komponent dostępny publicznie w sieci Internet. Pod pojęciem aplikacji internetowej Zamawiający rozumie aplikację dostępną dla użytkownika końcowego za pośrednictwem przeglądarki internetowej, wykorzystującą protokół HTTP/HTTPS, posiadającą komponenty dostępne publicznie w sieci Internet. *Podana liczba odnosi się ściśle do etapu zrealizowanego do dnia składnia ofert. W przypadku usług będących w trakcie realizacji, na dzień składania ofert wskazane testy muszą potwierdzać ich wykonanie łącznie przez co najmniej 75 roboczodni, tym samym kluczowe jest rozliczenie i wykazanie wyłącznie tej części zamówienia, która została faktycznie i należycie wykonana do tego dnia. • Każda usługa musi być zrealizowana na rzecz podmiotu innego niż wykonawca lub innego niż podmioty powiązane organizacyjnie lub kapitałowo z wykonawcą. • Za usługę w rozumieniu niniejszego warunku Zamawiający uznaje usługi zrealizowane na podstawie: - umowy, - odrębnego zlecenia, - zamówienia jednostkowego, - zadania wykonanego w ramach umowy ramowej (na podstawie umów wykonawczych zawartych w ramach jednej umowy ramowej) lub - umowy o współpracy, pod warunkiem, że każda z wykazywanych w ten sposób usług dotyczyła: - odrębnego przedmiotu testów lub - odrębnie zdefiniowanego zakresu testów oraz została zakończona odrębnym raportem z testów lub dokumentem potwierdzającym odbiór tej usługi. • Zamawiający nie dopuści na potwierdzenie spełnienia warunku udziału w postępowaniu określonego w niniejszym punkcie: - podziału jednej usługi na etapy, transze lub raporty cząstkowe wyłącznie w celu wykazania większej liczby usług oraz - wykonywania czynności o charakterze incydentalnym, pomocniczym lub krótkotrwałym, w szczególności udziału w testach w wymiarze kilku godzin lub pojedynczych dni roboczych. 2. Na potwierdzenie spełnienia warunku udziału w postępowaniu, dotyczącego zdolności technicznej lub zawodowej, Zamawiający wymaga, aby Wykonawca wykazał, że dysponuje lub będzie dysponować dwoma osobami (Ekspertami), które skieruje do realizacji zamówienia, z których każda posiada co najmniej: a) zdobyte w okresie ostatnich trzech lat przed upływem terminu składania ofert doświadczenie polegające na świadczeniu 3 usług w zakresie testów bezpieczeństwa aplikacji internetowych lub testów bezpieczeństwa systemów teleinformatycznych obejmujących testy penetracyjne (jako całość zamówienia lub jego część), w ramach których wskazane testy wykonywano łącznie przez co najmniej 10 roboczodni* (jeden roboczodzień odpowiada 8 roboczogodzinom, tj. łącznie 80 roboczogodzin) i które obejmowały pełny cykl testów bezpieczeństwa, tj. przygotowanie testów, realizację testów penetracyjnych oraz opracowanie wyników w formie raportu. *Podana liczba odnosi się ściśle do etapu zrealizowanego do dnia składnia ofert. • Za usługę w rozumieniu niniejszego warunku Zamawiający uznaje usługi zrealizowane na podstawie: - umowy, - odrębnego zlecenia, - zamówienia jednostkowego, - zadania wykonanego w ramach umowy ramowej (na podstawie umów wykonawczych zawartych w ramach jednej umowy ramowej) lub - umowy o współpracy, pod warunkiem, że każda z wykazywanych w ten sposób usług dotyczyła: - odrębnego przedmiotu testów lub - odrębnie zdefiniowanego zakresu testów oraz została zakończona odrębnym raportem z testów lub dokumentem potwierdzającym odbiór tej usługi. • Zamawiający nie dopuści na potwierdzenie spełnienia warunku udziału w postępowaniu określonego w niniejszym punkcie: - podziału jednej usługi na etapy, transze lub raporty cząstkowe wyłącznie w celu wykazania większej liczby usług oraz - wykonywania czynności o charakterze incydentalnym, pomocniczym lub krótkotrwałym, w szczególności udziału w testach w wymiarze kilku godzin lub pojedynczych dni roboczych. b) jeden ważny certyfikat potwierdzających wiedzę z zakresu bezpieczeństwa systemów teleinformatycznych, w tym testów penetracyjnych, tj.: - OSCP (Offensive Security Certified Professional) lub - OSWE (Offensive Security Web Expert) lub - OSEP (Offensive Security Experienced Penetration Tester) lub - CEH Master (Certified Ethical Hacker – Master Level) lub certyfikat równoważny. WARUNKI RÓWNOWAŻNOŚCI: Zamawiający dopuszcza posiadanie równoważnych certyfikatów, innych niż wskazane przez Zamawiającego. W takim przypadku Wykonawca jest zobowiązany do wykazania, że wskazany certyfikat potwierdza posiadanie co najmniej takiej samej wiedzy, kompetencji i doświadczenia co certyfikat wskazany przez Zamawiającego, jest potwierdzony egzaminem, jeżeli dotyczy to danego certyfikatu i został wydany przez podmiot profesjonalnie zajmujący się certyfikowaniem, niepowiązany z wykonawcą, posiadający uprawnienia do wydawania certyfikatów nadane przez niezależną od wykonawcy jednostkę. Certyfikat równoważny musi: - potwierdzać umiejętności w zakresie testowania bezpieczeństwa systemów teleinformatycznych w tym testów penetracyjnych obejmujących identyfikację, analizę oraz praktyczne wykorzystywanie podatności bezpieczeństwa systemów lub aplikacji, - odpowiadać poziomem zaawansowania certyfikatom klasy profesjonalnej, eksperckiej lub mistrzowskiej, - wydany przez niezależną organizację certyfikującą o renomie porównywalnej do Offensive Security (OffSec), EC-Council, GIAC (SANS Institute) lub CREST. 3. Na potwierdzenie zgodności zaoferowanych usług z wymaganiami określonymi w OPZ, Zamawiający żąda, aby Wykonawca dołączył do oferty przedmiotowe środki dowodowe w postaci Oświadczenia Wykonawcy w zakresie produktów ICT, usług ICT i procesów ICT (Załącznik nr 3b do SWZ) oraz Oświadczenia podmiotu udostępniającego zasoby w zakresie produktów ICT, usług ICT i procesów ICT (Załącznik nr 3c do SWZ).

36 miesiące

Zamówienie udzielane jest w trybie podstawowym na podstawie: art. 275 pkt 1 ustawy

Numer referencyjny: BP.260.36.2026 Numer ogłoszenia: 2026/BZP 00478333/01 Identyfikator postępowania: ocds-148610-271f4a21-2539-46d3-b873-92a397b96151