Public procurement notice: Contract Notice
Published: 2025-12-10
Buyer: Oblastní nemocnice Příbram, a.s.
Country: CZ
Region: CZ020
Contract type: Supplies
Procedure: Open procedure
CPV classification: 32420000 | 48000000
Estimated value:  CZK
Submission deadline: 2026-01-07
Award criteria: price
EU fund: eu-funds

Technical requirements: Účelem veřejné zakázky je zajistit komplexní posílení kybernetické bezpečnosti v areálu I a II Oblastní nemocnice Příbram, a.s., a to v rámci projektu „Zvýšení a podpora kybernetické bezpečnosti v Oblastní nemocnici Příbram, a.s.“ Projekt reaguje na požadavky zákona č. 264/2025 Sb., o kybernetické bezpečnosti, a vyhlášky NÚKIB č. 409/2025 Sb. Technická specifikace předmětu zakázky odpovídá cílovému stavu (tzv. to-be) a slouží jako závazný rámec pro zajištění shody s povinnostmi poskytovatele regulované služby v režimu vyšších povinností.

Předmětem plnění zakázky je pořízení hardwaru a softwaru pro účely zajištění standardů kybernetické bezpečnosti zadavatele.

Plnění veřejné zakázky bude zahrnovat v každé relevantní části následující dodávky a související služby dle dělení na části níže:
•	dodání páteřních přepínačů
•	dodání distribučních přepínačů
•	dodání přístupových přepínačů s PoE
•	dodání EDR/XDR systému pro ochranu koncových zařízení
•	dodání a zavedení systému pro správu privilegovaných přístupů (PAM)
•	dodání a zavedení centralizovaného network access control systému (NAC)
•	dodání nezbytného a dále specifikovaného příslušenství

Veřejná zakázka je rozdělena na celkem sedm částí: 
•	Část 1 - Technologie pro bezpečnost komunikačních sítí
•	Část 2 – LAN (switching) infrastruktura
•	Část 3 – Technologie zaznamenávání událostí a log managementu
•	Část 4 – Technologie detekce a vyhodnocování incidentů SIEM
•	Část 5 – Software pro aplikační bezpečnost a kryptografické algoritmy
•	Část 6 – Technologie zálohování
•	Část 7 – Software pro řízení identit a přístupových oprávnění 	

Každý dodavatel může podat nabídku na plnění každé části, a to jak na plnění více částí, tak pouze na plnění jen některé nebo některých částí veřejné zakázky.

Bližší popis předmětu plnění každé části veřejné zakázky je v příloze č. 1 zadávací dokumentace, která obsahuje popis jednotlivých částí veřejné zakázky, a dále v návrhu smlouvy na plnění příslušné části veřejné zakázky (pro části 1 – 4 a 6 je to příloha č. 3 zadávací dokumentace a pro části 5 a 7 je to příloha č. 4 zadávací dokumentace).

Součástí předmětu zakázky u všech částí budou dále následující činnosti: 
•	instalace v rozsahu požadovaném zadavatelem, v místě určeném zadavatelem
•	provedení akceptačních testů zahrnující minimálně funkční testy, bezpečnostní testy a dle povahy i penetrační testy. Výsledky budou předány v protokolech s jasnými akceptačními kritérii a nápravnými kroky
•	zajištění školení administrátorů a vybraných uživatelů pro všechny dodávané technologie (NGFW/IPS, NAC, EDR/XDR, PAM, e-mailová brána, log management/SIEM, Wi-Fi, zálohování/DR). Součástí bude sylabus, délka, forma a potvrzení o proškolení
•	předání kompletního dokumentačního balíčku plnění: technická (HLD/LLD, konfigurace), provozní (runbooky, postupy obnovy), bezpečnostní (politiky, nastavení, use-casy, retenční a přístupové politiky).

Pro všechny části veřejné zakázky stanovuje zadavatel následující požadavky:
Dostupnost, škálování a obnova
•	Řešení musí být dimenzováno pro 24×7×365, s HA pro kritické komponenty a škálovatelností (výkon/objem logů/počet endpointů/SSID).
•	Pro klíčové systémy se požaduje zajištění vysoké dostupnosti formou HA clusterů, případně cloudové nebo on-premise redundance. Systémy budou dimenzovány pro režim 24×7×365.
•	Řešení musí podporovat zálohování a obnovu konfigurací (NGFW, NAC, SIEM, PAM, EDR, e mail, controller) a definovat RPO/RTO pro klíčové části.
Integrace, správa a dohled
•	Řešení musí mít centrální management pro každou technologickou doménu a integrovat se přes standardní rozhraní (Syslog/CEF/REST API/LDAP/RADIUS/MFA/SNMP).
•	Řešení musí poskytovat role based access (RBAC), auditní stopu ve správě a delegaci oprávnění (NOC vs. SOC vs. admini systémů).
Soulad, dokumentace, podpora a školení
•	Řešení musí být v souladu s právními a regulačními požadavky (NÚKIB, ZKB a prováděcí vyhlášky; GDPR u e mail/DLP/telemetrie).
•	Řešení musí být dodáno s provozní a bezpečnostní dokumentací (síťové a bezpečnostní politiky, HLD/LLD, provozní manuály, runbooky/playbooky).
•	Řešení musí zahrnovat maintenance & support 24×7×365 na 5 let pro všechny komponenty (aktualizace, záplaty, podpory, náhradní díly/obnova SW).
•	Veškerá dodávaná zařízení a software musí pocházet z autorizovaného prodejního kanálu výrobce a musí být určeno pro Českou republiku
•	Dodavatel zajistí školení 4 administrátorů a 4 vybraných uživatelů v rozsahu min.40 hodin v místě zadavatele ke všem dodávaným komponentám. Školení bude obsahovat obsluhu a provoz řešení i bezpečnostní aspekty jeho používání. Dodavatel předá sylabus, rozsah hodin a seznam proškolených osob.
Přejímka a akceptační testy
Dodavatel provede akceptační testy všech dodaných komponent. Testy budu zahrnovat:
•	funkční testy ověřující splnění všech minimálních parametrů uvedených v zadávací dokumentaci (výkon, propustnost, kapacita logů, počet endpointů/SSID apod.),
•	bezpečnostní testy (např. IPS/IDS blokace, reakce NAC, izolace/rollback v EDR, blokace IOC/URL)
•	dle povahy prvku i penetrační test konfigurace.
Výsledky budou předány v akceptačních protokolech s naměřenými hodnotami, splněnými/nesplněnými kritérii a návrhem nápravných opatření. Přejímka proběhne až po odstranění závad klasifikovaných jako významné.
Dodavatel předá společně s předmětem dodávky auditní stopu implementace zahrnující minimálně: instalační a konfigurační protokoly, change-log provedených změn, seznam aktivovaných licencí a verzí SW, protokoly z akceptačních testů a zápis o předání do provozu.
Dodavatel předá spolu s předmětem dodávky rovněž jeho kompletní dokumentaci zahrnující:
•	HLD/LLD, síťové a bezpečnostní politiky,
•	konfigurační výpisy klíčových prvků (NGFW, NAC, SIEM/XDR, EDR, PAM, e-mail, přepínače),
•	provozní manuály a runbooky/playbooky (incident response, SOAR, DR),
•	bezpečnostní nastavení včetně retenčních a přístupových politik a seznamu výjimek.
Nejlépe bude hodnocena nabídka s nejnižší nabízenou kupní cenou za plnění příslušné části veřejné zakázky bez DPH.
Podmínkou pro podání návrhu k ÚOHS je podání námitek k Zadavateli, které je nutné doručit do 15 dnů ode dne, kdy se stěžovatel dozvěděl o domnělém porušení zákona Zadavatelem, nejpozději však do uzavření smlouvy nebo do chvíle, kdy se soutěž o návrh považuje po výběru návrhu za ukončenou.

Námitky proti úkonům oznamovaným v dokumentech, které je Zadavatel povinen podle zákona uveřejnit či odeslat stěžovateli, musí být doručeny Zadavateli do 15 dnů od jejich uveřejnění či doručení stěžovateli.
Pokud je v zadávacím řízení stanovena lhůta pro podání žádostí o účast, musí být námitky proti podmínkám vztahujícím se ke kvalifikaci dodavatele doručeny Zadavateli nejpozději do skončení této lhůty.
Pokud je v zadávacím řízení stanovena lhůta pro podání nabídek, musí být námitky proti zadávacím podmínkám doručeny Zadavateli nejpozději do skončení této lhůty. Námitky proti obsahu výzvy k podání nabídek v dynamickém nákupním systému nebo při zadávání veřejné zakázky na základě rámcové dohody musí být zadavateli doručeny nejpozději do konce lhůty pro podání nabídek. V soutěži o návrh musí být námitky proti soutěžním podmínkám doručeny nejpozději do konce lhůty pro podání návrhů. Zadavatel může v zadávací dokumentaci nebo soutěžních podmínkách stanovit, že námitky podle § 242 odst. 3 nebo 4 zákona lze podat nejpozději 72 hodin před skončením lhůt podle § 242 odst. 3 nebo 4 zákona.

Námitky proti dobrovolnému oznámení o záměru uzavřít smlouvu podle § 212 odst. 2 zákona musí být doručeny Zadavateli do 30 dnů od uveřejnění tohoto oznámení.

Zadavatel je povinen námitky vyřídit do 15 dnů. Návrh je nutné doručit ÚOHS i Zadavateli do 10 dnů ode dne, v němž stěžovatel obdržel rozhodnutí, kterým Zadavatel námitky odmítnul nebo do 25 dnů od odeslání námitek, pokud Zadavatel o námitkách nerozhodl.

Po uzavření smlouvy na veřejnou zakázku či rámcové dohody lze podat pouze návrh na uložení zákazu plnění smlouvy, a to i bez předchozího podání námitek. Návrh na uložení zákazu plnění smlouvy doručí navrhovatel ÚOHS a ve stejnopisu Zadavateli do 30 dnů ode dne, kdy Zadavatel uveřejnil oznámení o uzavření smlouvy způsobem podle § 212 odst. 2 zákona s uvedením důvodu pro zadání veřejné zakázky bez uveřejnění oznámení o zahájení zadávacího řízení, předběžného oznámení nebo výzvy k podání nabídek ve zjednodušeném podlimitním řízení, nejpozději však do 6 měsíců od uzavření této smlouvy. Návrh na uložení zákazu plnění smlouvy podle § 254 odstavce 1 písm. d) zákona doručí navrhovatel ÚOHS a ve stejnopisu Zadavateli do 30 dnů ode dne, kdy Zadavatel uveřejnil oznámení o uzavření smlouvy na základě rámcové dohody podle § 137 zákona nebo oznámení o uzavření smlouvy v dynamickém nákupním systému podle § 142 zákona, nejpozději však do 6 měsíců od uzavření této smlouvy.

Ve lhůtě pro doručení návrhu je navrhovatel povinen složit na účet ÚOHS kauci ve výši 1 % z nabídkové ceny navrhovatele za celou dobu plnění veřejné zakázky nebo za dobu prvních čtyř let plnění v případě smluv na dobu neurčitou, nejméně však ve výši 50 000 Kč, nejvýše ve výši 10 000 000 Kč. V případě, že navrhovatel nemůže stanovit celkovou nabídkovou cenu, je povinen složit kauci ve výši 100 000 Kč. V případě návrhu na uložení zákazu plnění smlouvy je navrhovatel povinen složit kauci ve výši 200 000 Kč. Jde-li o řízení o přezkoumání postupu pro zadávání koncesí, je navrhovatel povinen ve lhůtě pro doručení návrhu složit na účet ÚOHS kauci ve výši 1 % z předpokládané hodnoty koncese uveřejněné ve Věstníku veřejných zakázek nebo na profilu Zadavatele, nejméně však ve výši 50 000 Kč, nejvýše ve výši 10 000 000 Kč. V případě, že Zadavatel neuveřejní ve Věstníku veřejných zakázek nebo na profilu Zadavatele předpokládanou hodnotu koncese, je navrhovatel povinen složit kauci ve výši 100 000 Kč. V případě návrhu na uložení zákazu plnění koncesní smlouvy je navrhovatel povinen složit kauci ve výši 200 000 Kč.
Jedná se o technologii pro redundanci, zálohování a dostupnost regulované služby ve smyslu ust. § 26 vyhl. NÚKIB č. 409/2025 Sb., v platném znění.
Požadováno je zálohování v režimu 3-2-1, tj. tři kopie, dvě různá média, jedna off-site záloha. Zadavatel požaduje doplnění off-site zálohovacího zařízení včetně příslušného software pro doplnění stávajícího zálohovacího systému. Systém bude dimenzován pro režim 24×7×365.
Jedná se o technologii pro zajištění bezpečnosti komunikačních sítí ve smyslu ust. § 18 a násl. vyhl. NÚKIB č. 409/2025 Sb., v platném znění.   
Požaduje se nasazení pokročilých bezpečnostních prvků včetně nové generace firewallů (NGFW), o vysoké propustnosti, v redundanci (HA) s funkcemi IPS, URL/DNS filtrování, antiviru a antimalwaru. Součástí bude logická segmentace sítě včetně využití jako interních firewallů oddělujících jednotlivé VLAN a subnety v areálu nemocnice. Součástí dodávky budou i finální penetrační testy. 
•	Řešení musí nasadit firewally nové generace (NGFW) na perimetru i pro vnitřní segmenty.
•	Řešení musí být schopné zajistit kompletní nastavení segmentace LAN sítě
•	Řešení musí být schopné vynucovat politiky L2–L7 včetně IPS/IDS, App Control, URL/DNS filtrování, antimalware a SSL inspekce (s řízením výjimek).
•	Řešení musí podporovat site to site i remote access VPN s podporou MFA pro administrativní i klinické přístupy.
•	Řešení musí poskytovat automatizované reakce (blokace komunikace, přesun do karantény, dynamické aktualizace politik) na základě vlastní detekce i externích podnětů z EDR/NAC/SIEM.
•	Řešení musí být plně kompatibilní se stávajícími firewally zadavatele (lokálními i na externích pracovištích) a umožní kompletní přenesení stávajících konfigurací (firewallových pravidel, IPSEC tunelů atd.) s nulovým nebo naprosto minimálním přerušením provozu, 

Firewall nové generace (NGFW) – hardware appliance – 2 kusy
Zadavatel požaduje dodávku dvou identických zařízení typu firewall nové generace (NGFW) pro zajištění perimetrické i vnitřní síťové ochrany, s vysokou propustností a nízkou latencí. Firewall musí obsahovat funkce pro pokročilou detekci hrozeb, antivirovou ochranu, filtrování obsahu, kontrolu aplikací a další nástroje bezpečnostní inspekce. Zařízení musí být dodána jako výkonné fyzické appliance, navržené pro redundantní nasazení (HA cluster, active-active, při poruše jednoho zařízení dojde k bezvýpadkovému přesunu navázaných spojení a následné plné funkcionalitě) a centrální správu přímo na boxu. Součástí dodávky musí být případné licence pro níže popsané požadované funkcionality. Vysoce dostupný firewallový cluster bude redundantně připojen na stoh páteřních přepínačů pro zajištění bezvýpadkového provozu.
(IPS, AI-based Inline Malware Prevention, Inline CASB Database, DLP, App Control, Adv Malware Protection, URL/DNS/Video Filtering, Anti-spam, Attack Surface Security, Converter Svc, FortiCare Premium)
IPS, Advanced Malware Protection, Application Control, URL, DNS & Video Filtering, Antispam Service, and FortiCare Premium