Public procurement notice: Contract Notice
Published: 2025-12-02
Buyer: Bank Gospodarstwa Krajowego
Country: PL
Region: PL911
Contract type: Services
Procedure: Open procedure
CPV classification: 72254100: Systems testing services
Submission deadline: 2025-12-29
Award criteria: price, quality

Technical requirements: Dotyczy art. 108 ust. 1 pkt 1 lit. h i pkt2 ustawy Pzp
Dotyczy art.108 ust. 1 pkt 1 ustawy Pzp Dotyczy art.108 ust. 1 pkt 4 ustawy Pzp Dotyczy art. 108 ust. 2 ustawy Pzp
1.	Przedmiotem zamówienia jest realizacja kompleksowych usług testów bezpieczeństwa przez niezależny podmiot zewnętrzny, specjalizujący się w testach i audytach bezpieczeństwa IT  dla Banku Gospodarstwa Krajowego składająca się z:
1)	przeprowadzenia Testów bezpieczeństwa w ramach konkretnego strumienia (dalej: „Strumień”),
2)	w przypadku wykrycia nieprawidłowości przeprowadzenie Retestów po wprowadzeniu przez Zamawiającego działań naprawczych,
3)	sporządzenie raportów z przeprowadzonych Testów bezpieczeństwa lub Retestów.
2.	Szczegółowy opis przedmiotu zamówienia dla każdej części, warunki realizacji zamówienia, płatności, etc. określony został w Opisie Przedmiotu Zamówienia (dalej: „OPZ”) który stanowi załącznik nr 1 do SWZ, Projektowanych Postanowieniach Umowy Ramowej (dalej: „PPUR”), które stanowią załącznik nr 3 do SWZ oraz Projektowanych Postanowieniach Umów Wykonawczych (dalej: „PPUW”), które stanowią załącznik nr 3a do SWZ.
Informacja dla wykonawców Banku Gospodarstwa Krajowego o ochronie ich danych osobowych.
Zgodnie z art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27  kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1), dalej „RODO”, informuję, że: 
	administratorem Pani/Pana danych osobowych jest Bank Gospodarstwa Krajowego („BGK” lub „Bank”), Aleje Jerozolimskie 7, 00-955 Warszawa,
	kontakt z Inspektorem Ochrony Danych możliwy jest pod adresem e-mail: iod@bgk.pl;
	Pani/Pana dane osobowe przetwarzane będą na podstawie art. 6 ust. 1 lit. c RODO w celu związanym z przedmiotowym postępowaniem o udzielenie zamówienia publicznego; 
	odbiorcami Pani/Pana danych osobowych będą osoby lub podmioty, którym udostępniona zostanie dokumentacja postępowania w oparciu o art. 8 oraz art. 74 ustawy Pzp;  
	Pani/Pana dane osobowe będą przechowywane, zgodnie z art. 78 ust. 1 ustawy Pzp, co najmniej przez okres 4 lat od dnia zakończenia postępowania o udzielenie zamówienia oraz przez okres niezbędny w celu dochodzenia ewentualnych roszczeń, a jeżeli czas trwania umowy przekracza 4 lata, okres przechowywania obejmuje cały czas trwania umowy lub dłużej
	tj. w okresie istniejącego po stronie Administratora obowiązku związanego z przechowywaniem dokumentacji dla celów kontroli, lub wynikającym z powszechnie obowiązujących przepisów prawa, w tym w przypadku zamówienia finansowanego lub współfinasowanego ze środków Unii Europejskiej (UE) – z przepisów i/lub wytycznych dotyczących okresu przechowywania dokumentów dla projektów finansowanych lub współfinansowanych ze środków UE;jobowiązek podania przez Panią/Pana danych osobowych bezpośrednio Pani/Pana dotyczących jest wymogiem ustawowym określonym w przepisach ustawy Pzp, związanym z udziałem w postępowaniu o udzielenie zamówienia publicznego; konsekwencje niepodania określonych danych wynikają z ustawy Pzp;  
	w odniesieniu do Pani/Pana danych osobowych decyzje nie będą podejmowane w sposób zautomatyzowany, stosowanie do art. 22 RODO;
	posiada Pani/Pan:
−	na podstawie art. 15 RODO prawo dostępu do Pani/Pana danych osobowych dotyczących postępowania;
−	na podstawie art. 16 RODO prawo do sprostowania Pani/Pana danych osobowych;
−	na podstawie art. 18 RODO prawo żądania od administratora ograniczenia przetwarzania danych osobowych z zastrzeżeniem przypadków, o których mowa w art. 18 ust. 2 RODO *;  
−	prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, że przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy RODO;
	nie przysługuje Pani/Panu:
−	w związku z art. 17 ust. 3 lit. b, d lub e RODO prawo do usunięcia danych osobowych;
−	prawo do przenoszenia danych osobowych, o którym mowa w art. 20 RODO;
−	na podstawie art. 21 RODO prawo sprzeciwu, wobec przetwarzania danych osobowych, gdyż podstawą prawną przetwarzania Pani/Pana danych osobowych jest art. 6 ust. 1 lit. c RODO. 
* Wyjaśnienie: prawo do ograniczenia przetwarzania nie ma zastosowania w odniesieniu do przechowywania, w celu zapewnienia korzystania ze środków ochrony prawnej lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii Europejskiej lub państwa członkowskiego.
BGK chce budować partnerskie relacje, oparte na etyce i zaufaniu. Dlatego też Wykonawca, w przypadku wybrania jego oferty jako najkorzystniejszej, podpisując umowę w sprawie niniejszego zamówienia publicznego oświadcza, iż zapoznał się Kodeksem postępowania dla Partnerów Biznesowych BGK udostępnionym pod linkiem:
https://www.bgk.pl/files/public/Pliki/O_Banku/Kodeks_dla_Partnerow_Biznesowych_BGK.pdf
i zobowiązuje się do jego przestrzegania. Niniejszy Kodeks staje się integralną częścią Umowy.
Dla Części I:
Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, iż 
w okresie ostatnich 3 (trzech) lat przed upływem terminu składania ofert, 
a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał - a w przypadku świadczeń okresowych lub ciągłych również wykonuje należycie:
•	Co najmniej 3 (trzy) zamówienia o wartości nie mniejszej niż 25 000,00 zł brutto każda polegające na przeprowadzeniu usługi testów bezpieczeństwa* środowisk teleinformatycznych, w tym na przeprowadzeniu testów penetracyjnych lub testów typu Adversary emulation (Red Team, Insider Threat);
•	Co najmniej 1 (jedno) zamówienie o wartości nie mniejszej niż 50,000 zł brutto polegającej na przeprowadzeniu usługi testów bezpieczeństwa* środowisk teleinformatycznych, w tym na przeprowadzeniu testów penetracyjnych lub testów typu Adversary emulation (Red Team, Insider Threat), w tym wykonanie testów aplikacji wystawionych do sieci publicznej „internetu”
* Zamawiający wyjaśnia, że poprzez test bezpieczeństwa należy co najmniej rozumieć czynności polegające na kontrolowanym i autoryzowanym sprawdzeniu odporności systemów teleinformatycznych, aplikacji, infrastruktury sieciowej lub ich komponentów na zagrożenia bezpieczeństwa teleinformatycznego, w szczególności poprzez symulację ataków, analizę podatności bezpieczeństwa, analizę luk w zabezpieczeniach technicznych, proceduralnych oraz organizacyjnych, weryfikację konfiguracji zabezpieczeń oraz ocenę skuteczności zastosowanych mechanizmów kontrolnych. Czynności te nie mogą powodować trwałych zmian w środowisku produkcyjnym i służą wyłącznie identyfikacji podatności, ocenie skuteczności zastosowanych środków bezpieczeństwa oraz przygotowaniu rekomendacji naprawczych.

Eligibility requirements: Dla Części I:
Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, iż 
w okresie ostatnich 3 (trzech) lat przed upływem terminu składania ofert, 
a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał - a w przypadku świadczeń okresowych lub ciągłych również wykonuje należycie:
•	Co najmniej 3 (trzy) zamówienia o wartości nie mniejszej niż 25 000,00 zł brutto każda polegające na przeprowadzeniu usługi testów bezpieczeństwa* środowisk teleinformatycznych, w tym na przeprowadzeniu testów penetracyjnych lub testów typu Adversary emulation (Red Team, Insider Threat);
•	Co najmniej 1 (jedno) zamówienie o wartości nie mniejszej niż 50,000 zł brutto polegającej na przeprowadzeniu usługi testów bezpieczeństwa* środowisk teleinformatycznych, w tym na przeprowadzeniu testów penetracyjnych lub testów typu Adversary emulation (Red Team, Insider Threat), w tym wykonanie testów aplikacji wystawionych do sieci publicznej „internetu”
* Zamawiający wyjaśnia, że poprzez test bezpieczeństwa należy co najmniej rozumieć czynności polegające na kontrolowanym i autoryzowanym sprawdzeniu odporności systemów teleinformatycznych, aplikacji, infrastruktury sieciowej lub ich komponentów na zagrożenia bezpieczeństwa teleinformatycznego, w szczególności poprzez symulację ataków, analizę podatności bezpieczeństwa, analizę luk w zabezpieczeniach technicznych, proceduralnych oraz organizacyjnych, weryfikację konfiguracji zabezpieczeń oraz ocenę skuteczności zastosowanych mechanizmów kontrolnych. Czynności te nie mogą powodować trwałych zmian w środowisku produkcyjnym i służą wyłącznie identyfikacji podatności, ocenie skuteczności zastosowanych środków bezpieczeństwa oraz przygotowaniu rekomendacji naprawczych.
Kryterium I - Cena brutto – 95%
W ramach niniejszego kryterium oceniona zostanie zaoferowana przez Wykonawcę cena oferty brutto za 1 MD (dzień roboczy) pracy Wykonawcy w ramach każdego 
z ofertowanych Strumieni. 
Punkty zostaną przyznane według następującego wzoru:
C=95 pkt*〖Co〗_min/C_of 
Oznaczenia:
C_of – cena brutto badanej oferty,
〖Co〗_min – najniższa oferowana cena brutto.
Ocena każdej oferty w kryterium I zostanie dokonana na podstawie oświadczenia Wykonawcy w zakresie ceny oferty brutto PLN za 1 MD (dzień roboczy) pracy Wykonawcy zadeklarowanej w Formularzu Ofertowym.
Kryterium II – Jakość „J” – 5% 
W ramach niniejszego kryterium ocenione zostanie zadeklarowanie przez Wykonawcę posiadania i wdrożenia norm: 
1)	PN-EN ISO/IEC 27001:2023-08 (lub równoważnej);
2)	lub PN-EN ISO 22301:2020-04 (lub równoważnej) 
3)	lub PN-EN ISO 9001:2015-10 (lub równoważnej)
Punkty zostaną przyznane według deklaracji Wykonawcy TAK/NIE w Formularzu Ofertowym.
Zamawiający przyzna Wykonawcy 5 punktów w przypadku zadeklarowania posiadania 
i wdrożenia przynajmniej jednej lub więcej z powyższej wskazanych norm (lub równoważnych).
W przypadku braku deklaracji, Wykonawca otrzyma 0 punktów w kryterium „Jakość”.
1.	Wykonawcom, a także innemu podmiotowi, jeżeli ma lub miał interes w uzyskaniu zamówienia oraz poniósł lub może ponieść szkodę w wyniku naruszenia przez Zamawiającego przepisów stawy Pzp, przysługują środki ochrony prawnej na zasadach przewidzianych w Dziale IX ustawy Pzp. 
2.	Środki ochrony prawnej wobec ogłoszenia wszczynającego postępowanie o udzielenie zamówienia oraz dokumentów zamówienia przysługują również organizacjom wpisanym na listę, o której mowa w art. 469 pkt 15 ustawy Pzp oraz Rzecznikowi Małych i Średnich Przedsiębiorców.
3.	Odwołanie przysługuje na:
1)	niezgodną z przepisami ustawy czynność Zamawiającego, podjętą w postępowaniu o  udzielenie zamówienia, w tym na projektowane postanowienie umowy;
2)	zaniechanie czynności w postępowaniu o udzielenie zamówienia, do której Zamawiający był obowiązany na podstawie ustawy.
4.	Odwołanie wnosi się do Prezesa Izby.  
5.	Odwołujący przekazuje kopię odwołania Zamawiającemu przed upływem terminu do wniesienia odwołania w taki sposób, aby mógł on zapoznać się z jego treścią przed upływem tego terminu.
6.	Odwołanie wnosi się w terminach określonych w art. 515 ustawy Pzp.
1)	Strumień I – testy penetracyjne aplikacji i interfejsów;
2)	Strumień III – testy typu Adversary emulation;
Dla Części II:
Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, iż 
w okresie ostatnich 3 (trzech) lat przed upływem terminu składania ofert, 
a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał - a w przypadku świadczeń okresowych lub ciągłych również wykonuje należycie:
•	Co najmniej 2 (dwa) zamówienia o wartości nie mniejszej niż 8000,00 zł brutto każda polegające na wykonaniu usługi testów bezpieczeństwa* aplikacji mobilnych na system operacyjny Android;
•	Co najmniej 2 (dwa) zamówienia o wartości nie mniejszej niż 8000,00 zł brutto każda polegające na wykonaniu usługi testów bezpieczeństwa* aplikacji mobilnych na system operacyjny iOS.
* Zamawiający wyjaśnia, że poprzez test bezpieczeństwa należy co najmniej rozumieć czynności polegające na kontrolowanym i autoryzowanym sprawdzeniu odporności systemów teleinformatycznych, aplikacji, infrastruktury sieciowej lub ich komponentów na zagrożenia bezpieczeństwa teleinformatycznego, w szczególności poprzez symulację ataków, analizę podatności bezpieczeństwa, analizę luk w zabezpieczeniach technicznych, proceduralnych oraz organizacyjnych, weryfikację konfiguracji zabezpieczeń oraz ocenę skuteczności zastosowanych mechanizmów kontrolnych. Czynności te nie mogą powodować trwałych zmian w środowisku produkcyjnym i służą wyłącznie identyfikacji podatności, ocenie skuteczności zastosowanych środków bezpieczeństwa oraz przygotowaniu rekomendacji naprawczych.
Strumień II – testy aplikacji mobilnych;
Dla Części III:
Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, iż 
w okresie ostatnich 3 (trzech) lat przed upływem terminu składania ofert, 
a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał - a w przypadku świadczeń okresowych lub ciągłych również wykonuje należycie:
•	Co najmniej 3 (trzy) zamówienia o wartości nie mniejszej niż 15 000,00 zł brutto każde polegające na przeprowadzeniu usługi oceny bezpieczeństwa  systemów teleinformatycznych i infrastruktury teleinformatycznej, w tym analizy konfiguracji infrastruktury IT pod kątem bezpieczeństwa teleinformatycznego;
•	Co najmniej 1 (jedno) zamówienie o wartości nie mniejszej niż 30,000 zł brutto polegającej na przeprowadzeniu usługi oceny bezpieczeństwa systemów teleinformatycznych i infrastruktury teleinformatycznej, w tym analizy konfiguracji infrastruktury IT pod kątem bezpieczeństwa teleinformatycznego, w tym wykonanie testów aplikacji wystawionych do sieci publicznej „Internetu”.
Strumień IV – przeglądy konfiguracji infrastruktury teleinformatycznej pod kątem bezpieczeństwa IT
Dla Części IV:
Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, iż 
w okresie ostatnich 3 (trzech) lat przed upływem terminu składania ofert, 
a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał - a w przypadku świadczeń okresowych lub ciągłych również wykonuje należycie:
•	Co najmniej 4 (cztery) zamówienia o wartości nie mniejszej niż 15 000,00 zł brutto każda polegające na przeprowadzeniu usługi oceny  bezpieczeństwa środowisk teleinformatycznych polegające, w tym na przeprowadzeniu analizy luk/oceny zgodności z zewnętrznymi regulacjami dedykowanymi dla instytucji finansowej lub instytucji sektora finansowego**;
**Zamawiający wyjaśnia, że poprzez instytucję finansową lub instytucję sektora finansowego, należy wyłącznie rozumieć: banki (w tym banki krajowe oraz banki zagraniczne) oraz instytucje kredytowe, jak również instytucje finansowe oraz międzynarodowe instytucje finansowe – w rozumieniu ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe; spółdzielcze kasy oszczędnościowo-kredytowe - w rozumieniu ustawy z dnia 5 listopada 2009 r. roku  o spółdzielczych kasach oszczędnościowo-kredytowych oraz podmioty, które prowadzą działalność analogiczną w oparciu o przepisy prawa innego niż prawo polskie, towarzystwa funduszy inwestycyjnych lub powierniczych, zakłady ubezpieczeń, zakłady reasekuracji, towarzystwa emerytalne, fundusze emerytalne, domy maklerskie.

Winner: Publications Office of the European Union