#Rola
- Jesteś wysokiej klasy specjalistą z wieloletnim doświadczeniem od cyberbezpieczeństwa, ISO i zamówień publicznych
#Zadanie
- Popraw poniższy tekst SIWZ tak żeby dopracować wszystkie elementy.
- Uwypuklij i odpowiednio wyróżnij w tekście kryteria według, których będzie przeprowadzana ocena w taki sposób żeby oferty, które spłyną były ujednolicone w strukturze co ma ułatwić ocenę i ich porównanie.
- Przygotuj osobno jako podsumowanie metodologię oceny na podstawie ujednoliconej struktury ofert tak żeby można było w łatwy sposób je ocenić i porównać.
#Kontekst
- SIWZ ma być elementem zapytania RFP do postępowania zakupowego, które ma wyłonić dostawcę usługi, która ma na celu zapewnienie zgodności z dyrektywą NIS2, normą ISO 27001 (System Zarządzania Bezpieczeństwem Informacji) oraz ISO 22301 (Zarządzanie Ciągłością Działania).
#Zasady
- Pytaj w razie wątpliwości.
- Zachowaj klarowny podział dokumentu.
- W tekście wyróżnij co musi zawierać oferta i co będzie podlegać ocenie. 
#Tekst SIWZ do poprawienia
Szczegółowy opis przedmiotu zamówienia
Przedmiotem zamówienia jest kompleksowa usługa obejmująca wykonanie: 
•	audytu zerowego bezpieczeństwa informacji, 
•	identyfikacji luk, 
•	przygotowania harmonogramu i planu wdrożenia działań naprawczych, 
•	opracowania wzorów dokumentacji normatywnej i operacyjnej, 
•	nadzoru nad ich wdrożeniem, 
•	przeprowadzenia szkoleń oraz 
•	audytu powdrożeniowego.
Usługa ma na celu zapewnienie zgodności z dyrektywą NIS2, normą ISO 27001 (System Zarządzania Bezpieczeństwem Informacji) oraz ISO 22301 (Zarządzanie Ciągłością Działania).
Wymagania – kryteria oceny: 
•	Doświadczenie na rynku (minimum 5 lat):
Wykonawca musi posiadać co najmniej 5 lat doświadczenia w działalności gospodarczej, udokumentowanego odpowiednimi dokumentami (np. wpis do Krajowego Rejestru Sądowego, dowody podatkowe). 
•	Doświadczenie w realizacji podobnych projektów:
Wykonawca musi wykazać się realizacją co najmniej 3 projektów w ciągu ostatnich 5 lat, których celem było wdrożenie wymagań norm ISO 27001 i ISO 22301 oraz zapewnienie zgodności z dyrektywą NIS2, w tym przeprowadzenie audytów bezpieczeństwa informacji dla operatorów usług kluczowych. Wykaz projektów powinien zawierać: nazwę i adres zamawiającego, przedmiot zamówienia, wartość kontraktu, okres realizacji oraz dokumenty potwierdzające prawidłowe wykonanie (np. akty odbioru, referencje). 
•	Kwalifikacje zespołu:
W skład zespołu wykonawcy musi wchodzić co najmniej jedna osoba posiadająca certyfikat ISO 27001 Lead Auditor oraz co najmniej jedna osoba posiadająca certyfikat ISO 22301 Lead Auditor. Ponadto, kierownik zespołu musi posiadać co najmniej 5 lat doświadczenia w przeprowadzaniu audytów bezpieczeństwa informacji, udokumentowanego CV i listami referencyjnymi.
________________________________________
1. Wykonanie audytu zerowego bezpieczeństwa informacji
Cel: Ocena aktualnego stanu bezpieczeństwa informacji oraz ciągłości działania w organizacji Zamawiającego pod kątem zgodności z wymaganiami dyrektywy NIS2, normą ISO 27001 i ISO 22301, ze szczególnym uwzględnieniem polityki bezpieczeństwa informacji jako podstawy zarządzania ryzykiem i incydentami. 
Szczegółowe zadania: 
•	Analiza dokumentacji istniejącej: Przegląd polityk, procedur, instrukcji, planów ciągłości działania oraz innych dokumentów związanych z bezpieczeństwem informacji i ciągłością działania, w tym: 
•	Weryfikacja istnienia i zgodności polityki bezpieczeństwa informacji z wymaganiami NIS2 (np. uwzględnienie zasad cyberhigieny, zarządzania łańcuchem dostaw, zgłaszania incydentów). 
•	Ocena dokumentów obowiązkowych ISO 27001 (np. polityka bezpieczeństwa, rejestr aktywów, analiza ryzyka) i ISO 22301 (np. polityka ciągłości działania, analiza wpływu na biznes – BIA). 
•	Sprawdzenie zgodności z wymaganiami prawnymi, w tym ustawy o krajowym systemie cyberbezpieczeństwa i RODO.
•	Ocena procesów i infrastruktury: Analiza procesów zarządzania bezpieczeństwem informacji (np. zarządzanie ryzykiem, incydentami, dostępem) oraz infrastruktury krytycznej (np. systemy IT, sieci, serwery, urządzenia końcowe) pod kątem: 
•	Wymagań NIS2, takich jak zabezpieczenia łańcucha dostaw, monitorowanie incydentów, zapewnienie cyberhigieny (np. regularne aktualizacje oprogramowania, szkolenia pracowników). 
•	Kontroli ISO 27001 (Annex A, np. 5.31 – polityka bezpieczeństwa, 5.15 – kontrola dostępu, 5.24 – zarządzanie incydentami). 
•	Wymagań ISO 22301, w tym analizy wpływu na biznes (BIA) i strategii ciągłości działania.
•	Wywiady i obserwacje: Przeprowadzenie wywiadów z kluczowymi pracownikami (np. zarząd, pracownicy IT, osoby odpowiedzialne za ciągłość działania) oraz obserwacji procesów w celu identyfikacji praktyk organizacyjnych, w tym: 
•	Poziomu świadomości pracowników w zakresie cyberhigieny (np. rozpoznawanie phishingu, bezpieczne korzystanie z systemów). 
•	Praktyk zarządzania incydentami (np. procedury zgłaszania do CSIRT w 24/72 godziny). 
•	Procesów zarządzania dostępem (np. stosowanie MFA, zarządzanie uprawnieniami).
•	Identyfikacja luk: Określenie niezgodności z wymaganiami, w tym: 
•	Brak lub niekompletność polityki bezpieczeństwa informacji zgodnej z NIS2 (np. brak procedur zgłaszania incydentów w wymaganych terminach). 
•	Brak analizy ryzyka lub niewystarczające środki mitygacji (ISO 27001, klauzula 6.1.2). 
•	Brak planów ciągłości działania dla kluczowych procesów lub niewystarczające testy BCP (ISO 22301, klauzula 8.4). 
•	Niewystarczające zabezpieczenia łańcucha dostaw (np. brak audytów dostawców, ISO 27001 Annex A 5.19–5.23).
•	Przygotowanie raportu z audytu zerowego: Dokument zawierający: 
•	Opis aktualnego stanu bezpieczeństwa informacji i ciągłości działania, z uwzględnieniem polityki bezpieczeństwa informacji jako podstawy zgodności z NIS2. 
•	Wykaz zidentyfikowanych luk i niezgodności, z odniesieniem do konkretnych wymagań regulacji/norm (np. Artykuł 21 NIS2, klauzule ISO 27001/22301). 
•	Rekomendacje działań naprawczych, z priorytetyzacją (np. krytyczne: brak procedur CSIRT; wysokie: brak analizy ryzyka; średnie: brak szkoleń; niskie: drobne niezgodności dokumentacyjne). 
•	Wstępne oszacowanie zasobów (czas, budżet, personel) potrzebnych do eliminacji luk, z uwzględnieniem kosztów wdrożenia polityki bezpieczeństwa i działań szkoleniowych. 
•	Analiza zgodności z zasadami cyberhigieny i zarządzania łańcuchem dostaw zgodnie z NIS2.
Wymagania dotyczące realizacji: 
•	Audyt powinien być przeprowadzony przez certyfikowanych audytorów (np. ISO 27001 Lead Auditor, ISO 22301 Lead Auditor, posiadających wiedzę o NIS2). 
•	Metodyka audytu powinna uwzględniać najlepsze praktyki, takie jak COBIT, NIST Cybersecurity Framework, wytyczne ENISA dla NIS2 oraz mapowanie wymagań NIS2 na ISO 27001 (np. NIS2 to ISO27001 & ISO27002 Mapping Tool [https://www.huntandhackett.com/blog/iso-mapping-tool]). 
•	Raport powinien być przygotowany w języku polskim, w formacie edytowalnym (np. MS Word) i PDF, z czytelną strukturą, graficzną prezentacją wyników (np. diagramy, tabele) oraz odniesieniami do konkretnych wymagań (np. Artykuł 21 NIS2, klauzule ISO). 
•	Wykonawca powinien uwzględnić specyfikę sektora Zamawiającego (np. sektor energii, zdrowia, transportu) w kontekście wymagań NIS2 dla operatorów kluczowych/usług istotnych, określając, czy Zamawiający jest operatorem kluczowym czy podmiotem świadczącym usługi istotne. 
•	Określić minimalny zakres audytu, np. „analiza co najmniej 80% kluczowych systemów IT”, oraz dodać wymóg dostarczenia przez Zamawiającego listy aktywów i procesów przed rozpoczęciem audytu.
________________________________________
2. Przygotowanie harmonogramu i planu wdrożenia/uzupełnienia luk
Cel: Opracowanie szczegółowego planu eliminacji zidentyfikowanych luk, umożliwiającego osiągnięcie zgodności z NIS2, ISO 27001 i ISO 22301, z naciskiem na wdrożenie polityki bezpieczeństwa informacji jako kluczowego elementu zarządzania bezpieczeństwem. 
Szczegółowe zadania: 
•	Analiza rekomendacji z audytu zerowego: Określenie priorytetów działań na podstawie wpływu luk na bezpieczeństwo i ciągłość działania, w tym: 
•	Priorytetyzacja działań związanych z polityką bezpieczeństwa informacji (np. opracowanie procedur zgłaszania incydentów w 24/72 godziny, zgodnie z NIS2). 
•	Uwzględnienie ryzyk związanych z łańcuchem dostaw i konieczności audytów dostawców. 
•	Ocena wpływu luk na kluczowe procesy biznesowe (np. brak BCP dla procesów krytycznych).
•	Opracowanie harmonogramu: Plan czasowy realizacji działań naprawczych, uwzględniający: 
•	Etapy wdrożenia: opracowanie polityki bezpieczeństwa, procedur zarządzania ryzykiem/incydentami, dokumentacji BCP, szkolenia. 
•	Terminy realizacji dla każdego zadania (np. opracowanie polityki bezpieczeństwa w 2 tygodnie, wdrożenie procedur w 4 tygodnie). 
•	Kamienie milowe: zakończenie dokumentacji normatywnej, wdrożenie kluczowych procedur, zakończenie szkoleń.
•	Plan wdrożenia: Dokument określający: 
•	Zakres prac: opracowanie polityki bezpieczeństwa informacji, wdrożenie technicznych środków ochrony (np. MFA, szyfrowanie), audyty dostawców, testy BCP. 
•	Odpowiedzialność: zadania Zamawiającego (np. dostarczenie danych o aktywach) i Wykonawcy (np. przygotowanie szablonów). 
•	Potrzebne zasoby: personel (np. liczba godzin pracy audytorów), narzędzia (np. oprogramowanie do zarządzania ryzykiem), budżet. 
•	Kryteria sukcesu: zatwierdzenie polityki bezpieczeństwa przez zarząd, skuteczne wdrożenie procedur zgłaszania incydentów, pozytywne wyniki testów BCP.
•	Konsultacje z Zamawiającym: Uzgodnienie harmonogramu i planu, uwzględniające: 
•	Specyfikę organizacji (np. wielkość, sektor, ograniczenia budżetowe). 
•	Wymagania NIS2 dla operatorów kluczowych/usług istotnych (np. konieczność współpracy z CSIRT). 
•	Potrzeby szkoleniowe pracowników w zakresie cyberhigieny.
Wymagania dotyczące realizacji: 
•	Harmonogram i plan powinny być realistyczne, dostosowane do wielkości i specyfiki organizacji Zamawiającego, z uwzględnieniem wymagań sektorowych NIS2. 
•	Dokumenty powinny być w języku polskim, w formatach edytowalnym (np. MS Word) i PDF, z czytelną strukturą i harmonogramem w formie graficznej (np. wykres Gantta). 
•	Wykonawca powinien przewidzieć mechanizmy monitorowania postępów, takie jak raporty okresowe (np. co 2 tygodnie) oraz spotkania statusowe z Zamawiającym. 
•	Dodać klauzulę określającą odpowiedzialność Zamawiającego za dostarczenie danych w terminie, np. „Zamawiający dostarczy dane w ciągu 5 dni roboczych od rozpoczęcia etapu”. 
•	Wprowadzić elastyczność w harmonogramie, np. „całkowity czas realizacji: 6–8 miesięcy w zależności od skali organizacji”.
________________________________________
3. Przygotowanie wzorów dokumentacji normatywnej i nadzór nad jej wdrożeniem
Cel: Opracowanie wzorów dokumentacji wymaganej przez NIS2, ISO 27001 i ISO 22301, ze szczególnym uwzględnieniem polityki bezpieczeństwa informacji, oraz wsparcie Zamawiającego w jej prawidłowym uzupełnieniu i wdrożeniu. 
Szczegółowe zadania: 
•	Opracowanie wzorów dokumentacji normatywnej: Przygotowanie szablonów dokumentów, takich jak: 
•	Polityka bezpieczeństwa informacji (zgodna z NIS2 i ISO 27001, Annex A 5.31), obejmująca: 
•	Zasady zarządzania ryzykiem i incydentami. 
•	Procedury zgłaszania incydentów do CSIRT w terminach 24/72 godziny oraz pełny raport w ciągu miesiąca (NIS2, Artykuł 23). 
•	Zasady cyberhigieny (np. regularne aktualizacje, szkolenia pracowników). 
•	Zarządzanie łańcuchem dostaw (np. audyty dostawców, ISO 27001 Annex A 5.19–5.23).
•	Procedury zarządzania ryzykiem (ISO 27001, klauzule 6.1.2, 6.1.3), w tym identyfikacja, ocena, mitygacja ryzyk, z uwzględnieniem ryzyk w łańcuchu dostaw. 
•	Procedury zarządzania incydentami (NIS2, ISO 27001 Annex A 5.24), określające procesy wykrywania, zgłaszania i reagowania na incydenty. 
•	Plan ciągłości działania (BCP) (ISO 22301, klauzula 8.4), dla kluczowych procesów, z uwzględnieniem analizy wpływu na biznes (BIA) i strategii odzyskiwania. 
•	Procedury ochrony infrastruktury krytycznej (np. zabezpieczenia fizyczne, kontrola dostępu, ISO 27001 Annex A 5.15). 
•	Rejestr aktywów informacyjnych i ich klasyfikacja (ISO 27001 Annex A 5.9). 
•	Polityka zarządzania dostępem (np. nadawanie uprawnień, stosowanie MFA, ISO 27001 Annex A 5.15).
•	Nadzór nad uzupełnieniem dokumentacji: Wsparcie Zamawiającego w dostosowaniu szablonów do specyfiki organizacji, w tym: 
•	Wypełnianie dokumentów danymi specyficznymi (np. lista aktywów, mapa procesów, lista dostawców). 
•	Weryfikacja poprawności i kompletności dokumentów (min. 3 iteracje weryfikacji). 
•	Zapewnienie, że polityka bezpieczeństwa informacji jest zatwierdzona przez zarząd i komunikowana pracownikom (NIS2, Artykuł 20).
•	Wsparcie we wdrożeniu procesów: Pomoc w integracji dokumentacji z procesami organizacyjnymi, np.: 
•	Wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji (ISMS) zgodnego z ISO 27001, z naciskiem na politykę bezpieczeństwa. 
•	Implementacja Planu Ciągłości Działania (BCP) zgodnego z ISO 22301, w tym testy BCP. 
•	Utworzenie procedur zgłaszania incydentów do CSIRT, zgodnych z wymaganiami NIS2 (np. formularze zgłoszeń, harmonogramy). 
•	Wdrożenie zasad cyberhigieny, takich jak regularne aktualizacje oprogramowania, ochrona przed phishingiem, stosowanie silnych haseł.
Wymagania dotyczące realizacji: 
•	Dokumentacja powinna być zgodna z wymaganiami NIS2, ISO 27001 i ISO 22301, dostosowana do języka i specyfiki organizacji Zamawiającego, z uwzględnieniem sektorowych wymagań NIS2. 
•	Szablony powinny być dostarczone w formacie edytowalnym (np. MS Word) i PDF, z jasnymi instrukcjami użytkowania, z maksymalną liczbą do 20 dokumentów normatywnych. 
•	Nadzór powinien obejmować co najmniej 3 iteracje weryfikacji dokumentów, z raportami wskazującymi poprawki. 
•	Wykonawca powinien przeprowadzić warsztaty (min. 4 godziny) wspierające wdrożenie polityki bezpieczeństwa i procedur. 
•	Dodać wymóg dostarczenia przez Zamawiającego schematu organizacyjnego i mapy procesów na etapie ofertowania.
________________________________________
4. Przygotowanie wzorów dokumentacji operacyjnej
Cel: Opracowanie szablonów dokumentów potwierdzających działanie procesów bezpieczeństwa informacji i ciągłości działania, z uwzględnieniem wymagań audytowych NIS2, ISO 27001 i ISO 22301. 
Szczegółowe zadania: 
•	Opracowanie szablonów dokumentacji operacyjnej: Przygotowanie wzorów, takich jak: 
•	Raporty z analizy ryzyka i działań naprawczych (ISO 27001, klauzula 6.1.3). 
•	Rejestry incydentów bezpieczeństwa i ich obsługi (NIS2, ISO 27001 Annex A 5.24). 
•	Protokoły z testów ciągłości działania (np. testy BCP, ISO 22301, klauzula 8.5). 
•	Ewidencja kontroli dostępu i audytów uprawnień (ISO 27001 Annex A 5.15). 
•	Raporty z monitorowania skuteczności zabezpieczeń (np. raporty z audytów dostawców, ISO 27001 Annex A 5.19–5.23). 
•	Formularze zgłaszania incydentów do CSIRT, zgodne z terminami NIS2.
•	Instrukcje użytkowania: Przygotowanie wytycznych, jak wypełniać i prowadzić dokumentację operacyjną, z uwzględnieniem prostoty i praktyczności, zdefiniowanej jako maksymalna liczba stron (np. do 10 stron na dokument). 
•	Weryfikacja stosowania: Przegląd przykładowych dokumentów operacyjnych przygotowanych przez Zamawiającego (min. 2 iteracje), w celu potwierdzenia ich poprawności i zgodności z wymaganiami audytowymi.
Wymagania dotyczące realizacji: 
•	Dokumentacja operacyjna powinna być prosta w użyciu, dostosowana do codziennych procesów Zamawiającego, z uwzględnieniem wymagań audytowych (np. możliwość weryfikacji przez jednostkę certyfikującą ISO), z maksymalną liczbą do 15 dokumentów operacyjnych. 
•	Szablony powinny być dostarczone w formacie edytowalnym (np. MS Word) i PDF, z przykładami wypełnienia. 
•	Wykonawca powinien uwzględnić wymagania NIS2 dotyczące monitorowania i zgłaszania incydentów.
________________________________________
5. Przeprowadzenie szkoleń
Cel: Przygotowanie pracowników i audytorów wewnętrznych Zamawiającego do korzystania z dokumentacji oraz utrzymania zgodności z NIS2, ISO 27001 i ISO 22301, z naciskiem na wdrażanie polityki bezpieczeństwa informacji i zasad cyberhigieny. 
Szczegółowe zadania: 
•	Szkolenia dla pracowników: 
•	Zakres: Obsługa dokumentacji normatywnej i operacyjnej, podstawy bezpieczeństwa informacji (np. reagowanie na incydenty, ochrona danych, rozpoznawanie phishingu), zasady ciągłości działania, wdrożenie polityki bezpieczeństwa informacji (np. procedury zgłaszania incydentów, zasady cyberhigieny). 
•	Grupa docelowa: Pracownicy zaangażowani w procesy bezpieczeństwa i ciągłości działania (20–30 osób). 
•	Forma: Szkolenie stacjonarne lub online, z materiałami szkoleniowymi (np. prezentacje, podręczniki, studium przypadku), z opcją hybrydową i nagraniami dla przyszłych pracowników. 
•	Czas trwania: Min. 8 godzin dydaktycznych, z podziałem na moduły (np. 4h teoria, 4h praktyka). 
•	Treści dodatkowe z NIS2: Szkolenie w zakresie cyberhigieny (np. bezpieczne hasła, aktualizacje oprogramowania), zarządzanie incydentami (procedury CSIRT), odpowiedzialność zarządu za bezpieczeństwo.
•	Szkolenia dla audytorów wewnętrznych: 
•	Zakres: Metodyka przeprowadzania audytów wewnętrznych zgodnie z ISO 27001 (klauzula 9.2) i ISO 22301 (klauzula 9.2), weryfikacja zgodności z NIS2 (np. audyt procedur zgłaszania incydentów), przygotowanie raportów audytowych. 
•	Grupa docelowa: Pracownicy wyznaczeni na audytorów wewnętrznych (5–10 osób). 
•	Forma: Warsztaty praktyczne, z elementami symulacji audytu (np. audyt próbny polityki bezpieczeństwa). 
•	Czas trwania: Min. 16 godzin dydaktycznych, z naciskiem na praktyczne ćwiczenia.
•	Ewaluacja szkoleń: Testy wiedzy (np. quizy dotyczące procedur NIS2), zadania praktyczne (np. wypełnienie formularza zgłoszenia incydentu), certyfikaty uczestnictwa dla uczestników.
Wymagania dotyczące realizacji: 
•	Szkolenia powinny być prowadzone przez trenerów z doświadczeniem w ISO 27001, ISO 22301 i NIS2, posiadających certyfikacje (np. ISO 27001 Lead Auditor). 
•	Materiały szkoleniowe powinny być w języku polskim, w formacie elektronicznym (PDF) i drukowanym (min. 25 egzemplarzy), z uwzględnieniem przykładów praktycznych. 
•	Program szkoleń powinien być dostosowany do poziomu wiedzy uczestników, z naciskiem na praktyczne zastosowanie polityki bezpieczeństwa informacji.
________________________________________
6. Przeprowadzenie audytu powdrożeniowego
Cel: Weryfikacja skuteczności wdrożonych działań naprawczych, zgodności z NIS2, ISO 27001 i ISO 22301, oraz potwierdzenie prawidłowego funkcjonowania polityki bezpieczeństwa informacji. 
Szczegółowe zadania: 
•	Plan audytu powdrożeniowego: Opracowanie szczegółowego planu, określającego: 
•	Zakres audytu (np. polityka bezpieczeństwa, procedury zgłaszania incydentów, BCP). 
•	Metodykę (np. wywiady, testy, przegląd dokumentacji). 
•	Harmonogram audytu (np. 1 tydzień na przygotowanie, 3–4 tygodnie na realizację dla organizacji powyżej 500 pracowników).
•	Przeprowadzenie audytu: Ocena: 
•	Zgodności wdrożonej dokumentacji (np. polityka bezpieczeństwa, BCP) z wymaganiami NIS2, ISO 27001 i ISO 22301. 
•	Skuteczności działań naprawczych (np. eliminacja luk z audytu zerowego). 
•	Funkcjonowania ISMS (ISO 27001) i BCP (ISO 22301) w praktyce, w tym testów procedur zgłaszania incydentów i cyberhigieny. 
•	Zgodności z wymaganiami NIS2 dotyczącymi łańcucha dostaw i cyberhigieny, z weryfikacją mapowania NIS2 na ISO 27001 (np. za pomocą narzędzi ENISA).
•	Przygotowanie raportu z audytu powdrożeniowego: Dokument zawierający: 
•	Wyniki audytu, z odniesieniem do wymagań NIS2 (np. Artykuł 21), ISO 27001 (np. klauzula 9.1) i ISO 22301 (np. klauzula 9.1). 
•	Lista stwierdzonych niezgodności (jeśli występują) i rekomendacje dalszych działań. 
•	Potwierdzenie gotowości do certyfikacji ISO (opcjonalnie jako dodatkowy element oferty) lub dalszych audytów zewnętrznych. 
•	Ocena wdrożenia polityki bezpieczeństwa informacji i jej skuteczności w organizacji.
Wymagania dotyczące realizacji: 
•	Audyt powinien być przeprowadzony przez certyfikowanych audytorów (np. ISO 27001 Lead Auditor, ISO 22301 Lead Auditor). 
•	Raport powinien być w języku polskim, w formacie edytowalnym (np. MS Word) i PDF, z czytelną strukturą i odniesieniami do wymagań. 
•	Wykonawca powinien przeprowadzić sesję omówienia wyników (min. 2 godziny) z Zamawiającym. 
•	Zdefiniować „krytyczną niezgodność” jako „niezgodność uniemożliwiającą certyfikację ISO”.
________________________________________
7. Wymagania ogólne dla całego zamówienia
•	Zgodność z regulacjami: Wszystkie działania muszą być zgodne z dyrektywą NIS2 (np. Artykuły 20–23), normami ISO 27001 i ISO 22301, ustawą o krajowym systemie cyberbezpieczeństwa oraz RODO. 
•	Poufność: Wykonawca podpisze umowę NDA i zastosuje zabezpieczenia (np. szyfrowanie danych, bezpieczne przechowywanie) do ochrony danych Zamawiającego, z zastosowaniem standardów szyfrowania, takich jak AES-256. 
•	Język: Wszystkie dokumenty, raporty i szkolenia muszą być w języku polskim. 
•	Wsparcie po realizacji: Wykonawca zapewni konsultacje przez okres 3 miesięcy po zakończeniu projektu, w formie telefonicznej, mailowej lub spotkań online (min. 10 godzin konsultacji). 
•	Dokumentacja końcowa: Komplet dokumentacji w formie elektronicznej (na nośniku USB i/lub w chmurze, z zabezpieczeniem hasłem) oraz w wersji drukowanej na żądanie Zamawiającego (min. 3 egzemplarze).
________________________________________
8. Harmonogram realizacji
Wykonawca zaproponuje szczegółowy harmonogram, uwzględniając: 
•	Audyt zerowy: 4 tygodnie od podpisania umowy. 
•	Przygotowanie planu wdrożenia: 2 tygodnie po audycie. 
•	Opracowanie dokumentacji: 6 tygodni, w tym polityka bezpieczeństwa w 2 tygodnie. 
•	Szkolenia: w trakcie wdrożenia, rozłożone na 2 miesiące. 
•	Audyt powdrożeniowy: 2 tygodnie po zakończeniu wdrożenia. Całkowity czas realizacji: 6–8 miesięcy w zależności od skali organizacji.
________________________________________
9. Kryteria akceptacji
Zamówienie zostanie uznane za zrealizowane, gdy: 
•	Raporty z audytów (zerowego i powdrożeniowego) zostaną zatwierdzone przez Zamawiającego. 
•	Dokumentacja normatywna (w tym polityka bezpieczeństwa informacji) i operacyjna będzie kompletna, zgodna z wymaganiami i wdrożona w organizacji, z maksymalną liczbą do 20 dokumentów normatywnych i 15 operacyjnych. 
•	Szkolenia zostaną przeprowadzone, a uczestnicy potwierdzą nabytą wiedzę wypełniając testy znajomości zagadnienia.