Public procurement notice: Contract Notice
Published: 2024-06-05
Buyer: MT Legal s.r.o., advokátní kancelář
Country: CZ
Region: CZ064
Contract type: Services
Procedure: Negotiated with prior call for competition
CPV classification: 32420000 | 48730000: Security software package | 72222300: Information technology services | 72250000: System and support services | 72263000: Software implementation services
Estimated value: 59375521 CZK
Submission deadline: 2024-06-07
Award criteria: price, quality

Technical requirements: § 48 zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů
Předmětem veřejné zakázky je vytvoření bezpečnostních politik a dalších relevantních směrnic, zdokumentování jednotlivých postupů a zavedení dále uvedených bezpečnostních opatření, jež povedou k celkově vyšší kybernetické bezpečnosti v prostředí zadavatele. Plnění bude realizováno zejména v následujících etapách: 
•	Etapa 1
o	Realizace perimetrového a centrálních firewallů;
o	Zajištění ochrany koncových zařízení (EDR);
o	Implementace nástroje pro řízení IP adres (IPAM);
o	Implementace skeneru zranitelností a hardeningových politik;
•	Etapa 2
o	Analytické práce v oblasti bezpečnosti;
o	Implementace nástroje pro analýzu rizik;
o	Zavedení platformy pro bezpečnostní školení.
Součástí předmětu plnění veřejné zakázky je dále poskytování služeb podpory a rozvoje. 
Vyhrazená změna závazku
Zadavatel si dále v souladu s § 100 odst. 1 ZZVZ vyhrazuje právo po dodavateli požadovat poskytnutí dalšího plnění nad rámec plnění dle Etap 1 a 2, a to konkrétně:
•	Etapa 3
o	Výpočetní cluster;
o	Vybudování public key infrastructure (PKI);
o	E-mailová brána;
o	Systém pro správu privilegovaných účtů;
o	OT ochrana;
o	Automatické penetrační testy;
o	Fyzické zabezpečení serverovny;
•	Etapa 4
o	Nástroj pro řízení přístupu na síti;
o	Nástroj pro sběr a korelaci událostí a logů (log management).
Předpokládaná hodnota této výhrady činí 31.759.182 Kč bez DPH (zahrnuto v předpokládané hodnotě veřejné zakázky dle odst. 3.3. zadávací dokumentace). 
Bližší informace viz zadávací dokumentace.
Výpis z obchodního rejstříku nebo výpis z jiné obdobné evidence, pokud jiný právní předpis zápis do takové evidence vyžaduje.
seznam významných zakázek realizovaných v posledních 3 letech před zahájením zadávacího řízení;

Předložení seznamu významných zakázek, v němž budou uvedeny alespoň následující údaje:
a)	název objednatele,
b)	předmět významné zakázky,
c)	doba realizace významné zakázky,
d)	finanční objem významné zakázky, je-li dále požadován,
e)	kontaktní osoba objednatele, u které bude možné realizaci významné zakázky ověřit, vč. kontaktního e-mailu a telefonu.

Ze seznamu významných zakázek musí jednoznačně vyplývat, že dodavatel v uvedeném období (tj. v posledních 3 letech před zahájením zadávacího řízení) realizoval alespoň tyto významné zakázky:
1.	2 významné zakázky, jejichž předmětem (každé z nich) byla tvorba bezpečnostní dokumentace a procesů, nebo analýzy rizik, dopadů a plánu obnovy, a to ve finančním objemu minimálně 1 mil. Kč bez DPH / zakázka;
2.	2 významné zakázky, jejichž předmětem (každé z nich) byla dodávka a implementace alespoň jednoho perimetrového nebo alespoň jednoho centrálního firewallu, a to ve finančním objemu minimálně 3,5 mil. Kč bez DPH / zakázka;
3.	2 významné zakázky, jejichž předmětem (každé z nich) byla ochrana koncových stanic (AV  a EDR ), a to ve finančním objemu minimálně 500 tis. Kč bez DPH / zakázka.
4.	2 významné zakázky, jejichž předmětem (každé z nich) byla dodávka a implementace systému pro správu adresního prostoru (IPAM), a to ve finančním objemu minimálně 250 tis. Kč bez DPH / zakázka.
5.	2 významné zakázky, jejichž předmětem (každé z nich) byla dodávka a implementace skenneru zranitelností, a to ve finančním objemu minimálně 750 tis. Kč bez DPH / zakázka, přičemž předmětem alespoň jedné významné zakázky dle tohoto bodu byla dodávka / implementace skenneru zranitelností do prostředí s počtem provozovaných zařízení/IP adres v síti min. 500 ks.

Není-li stanoveno jinak, kvalifikaci rovněž splní dodavatel v případě, že se jedná o významné zakázky zahájené dříve než v posledních 3 letech před zahájením zadávacího řízení, pokud byly v takových posledních 3 letech  dokončeny, nebo pokud probíhaly i po zahájení zadávacího řízení, nebo pokud stále probíhají, za předpokladu splnění výše uvedených parametrů ke dni konce lhůty pro prokázání kvalifikace (tj. řádné dokončení příslušné části významné zakázky, která naplňuje požadavky zadavatele na reference).
Za předpokladu, že některé významné referenční zakázky budou naplňovat parametry více výše uvedených požadavků zadavatele dle jednotlivých bodů, zadavatel požaduje, aby účastník zadávacího řízení disponoval nejméně 2 významnými referenčními zakázkami (tj. splnění shora uvedených bodů kvalifikace lze v rámci příslušné významné (referenční) zakázky kombinovat, tzn. lze použít při naplnění všech podmínek určitou referenci pro naplnění více kritérií technické kvalifikace současně při zachování předložení min. požadovaného počtu 2 referencí.
osvědčení o odborné kvalifikaci fyzických osob, odpovědných za poskytování služeb.

Zadavatel požaduje u každé osoby předložit vždy: 
•	profesní životopis, z něhož bude vyplývat splnění požadavků zadavatele, 
•	údaj o tom, zda je osoba v pracovněprávním či jiném vztahu k dodavateli,  
•	doklady, z nichž bude vyplývat splnění požadavků zadavatele na odbornou způsobilost.
Dodavatel předloží doklady o odborné kvalifikaci pro následující osoby:
1.	Vedoucí realizačního týmu (projektový manažer)
•	disponuje jazykovou znalostí českého (anebo slovenského) jazyka na úrovni pracovní komunikace,
•	je držitelem certifikátu z oblasti projektového řízení – např. PMP (Project Management Professional) nebo PRINCE2:PRACTITIONER nebo IPMA:C anebo ekvivalentu uvedených certifikátů od jiné oprávněné osoby, 
•	vedl (byl v pozici vedoucího) v posledních 5 letech před zahájením zadávacího řízení minimálně 2 zakázky v oblasti kybernetické bezpečnosti  ve finančním objemu zakázky min. 4 mil. Kč bez DPH/každá zakázka.
2.	Bezpečnostní architekt
•	je držitelem platné certifikace v oblasti řízení bezpečnosti informací na úrovni CompTIA Security+ nebo CISSP (Certified Information Systems Security Professional), případně obdobné certifikace,
•	je držitelem platné expertní certifikace prokazující pokročilé znalosti v oblasti skeneru zranitelností (např. Tenable Specialist nebo vyšší, případně ekvivalent daných certifikátů od jiných výrobců na dodávanou technologii),
•	má alespoň 4 roky praxe za posledních 7 let před zahájením zadávacího řízení v oblasti kybernetické bezpečnosti (tato praxe musí vyplynout z profesního životopisu, kdy v každém příslušném roce dokládané praxe musela osoba vykázat alespoň jednu zkušenost v požadované oblasti; jedna zkušenost může být započítána i v rámci dvou (i více) let, a to za předpokladu, že v příslušném roce bylo plnění poskytováno alespoň po dobu 3 měsíců).
3.	Síťový specialista
•	je držitelem expertní certifikace  prokazující vysoce pokročilé znalosti v oblasti návrhu, nasazování a optimalizace  v oblasti síťové bezpečnosti (např. CCNP Security a vyšší, případně ekvivalent daného certifikátu),
•	má alespoň 4 roky praxe za posledních 7 let před zahájením zadávacího řízení v oblasti síťové infrastruktury (tato praxe musí vyplynout z profesního životopisu, kdy v každém příslušném roce dokládané praxe musela osoba vykázat alespoň jednu zkušenost v požadované oblasti; jedna zkušenost může být započítána i v rámci dvou (i více) let, a to za předpokladu, že v příslušném roce bylo plnění poskytováno alespoň po dobu 3 měsíců).
4.	Specialista na firewally
•	je držitelem technické certifikace prokazující pokročilé znalosti v oblasti návrhu, optimalizace a údržby na nabízenou technologii (např. Fortinet NSE 4, Check Point Certified Security Expert případně ekvivalent daných certifikátů od jiných výrobců na dodávanou technologii),
•	v posledních 5 letech před zahájením zadávacího řízení realizoval (byl členem realizačního týmu) minimálně 2 významné zakázky, které naplňují požadavky dle odst. 4.4. písm. a) bodu 2, vyjma požadavku na dobu realizace (nemusí se přitom jednat o identickou referenční zakázku, kterou dodavatel prokazuje splnění kvalifikace dle odst. 6.4. písm. a) bod 2 zadávací dokumentace).
5.	Specialista na management zranitelností
•	je držitelem platné expertní certifikace prokazující pokročilé znalosti v oblasti skeneru zranitelností (např. Tenable Specialist nebo vyšší, případně ekvivalent daných certifikátů od jiných výrobců na dodávanou technologii),
•	v posledních 5 letech před zahájením zadávacího řízení realizoval (byl členem realizačního týmu) minimálně 2 významné zakázky, které naplňují požadavky dle odst. 4.4. písm. a) bodu 5, vyjma požadavku na minimální počet zařízení a vyjma požadavku na dobu realizace (nemusí se přitom jednat o identickou referenční zakázku, kterou dodavatel prokazuje splnění kvalifikace dle odst. 4.4. písm. a) bod 5 zadávací dokumentace).
6.	Bezpečnostní analytik
•	v posledních 5 letech před zahájením zadávacího řízení realizoval (byl členem realizačního týmu) minimálně 2 významné zakázky v oblasti implementace systému řízení bezpečnosti a návrhu procesů, přičemž finanční objem zakázky činil alespoň 50 tis. Kč bez DPH / zakázka,
•	v posledních 5 letech před zahájením zadávacího řízení realizoval (byl členem realizačního týmu) minimálně 1 významnou zakázku v oblasti auditu nebo implementace bezpečnostních požadavků (např. dle zákona č. 181/2014 Sb., o kybernetické bezpečnosti, ve znění pozdějších předpisů), přičemž finanční objem zakázky činil alespoň 100 tis. Kč bez DPH / zakázka.

Realizační tým, prostřednictvím kterého účastník prokazuje kvalifikaci, musí tvořit min. 5 osob, přičemž každá pozice musí být obsazena jiným členem týmu (s výjimkou vedoucího realizačního týmu, který současně může zastávat pozici jednoho dalšího člena realizačního týmu při splnění shora uvedených požadavků).

Kritéria pro účely snížení počtu účastníků jsou obsažena v čl. 7 kvalifikační dokumentace.