Zlecenie 12687509 - Świadczenie usługi doradztwa i nadzoru w zakresie...

wa (NIS2) w Samodzielnym Publicznym Zakładzie Opieki Zdrowotnej Przychodni Miejskiej w Pieszycach.
Zakres przedmiotowy zamówienia
Przedmiot zamówienia obejmuje dwa powiązane ze sobą zadania (części), realizowane łącznie w ramach jednej umowy doradztwa i nadzoru:
Zadanie I. Opracowanie i wdrożenie dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji (SZBI)
W ramach Zadania I Wykonawca opracuje i wdroży u Zamawiającego dokumentację SZBI zgodną z wymaganiami ustawy (implementującej NIS2), Krajowych Ram Interoperacyjności (KRI) oraz norm PN-EN ISO/IEC 27001 i ISO 22301, zgodnie z uzgodnionym z Zamawiającym planem wdrożenia. Zakres obejmuje w szczególności: • opracowanie polityk bezpieczeństwa informacji oraz procedur operacyjnych (dokumentacja normatywna i operacyjna, art. 10 ustawy); • opracowanie metodyki i przeprowadzenie szacowania ryzyka wystąpienia incydentów oraz zarządzania tym ryzykiem; • opracowanie zasad ochrony fizycznej, bezpieczeństwa zasobów ludzkich, ciągłości działania, kryptografii, kontroli dostępu oraz cyberhigieny; • opracowanie zasad zarządzania bezpieczeństwem łańcucha dostaw produktów, usług i procesów ICT; • opracowanie procedur zarządzania incydentami oraz zasad zgłaszania incydentów poważnych do właściwego CSIRT sektorowego (art. 11 ustawy) w terminach ustawowych (wczesne ostrzeżenie-do 24 godzin, zgłoszenie-do 72 godzin od wykrycia, sprawozdanie końcowe-w ciągu miesiąca); • nadzór nad dokumentacją zapewniający jej dostępność, ochronę i wersjonowanie; • opracowanie planu wdrożenia, w tym zaproponowanie koniecznych rozwiązań informatycznych oraz zakupów, w celu wykonania obowiązków wynikając z ustawy. Opracowanie Opisu Przedmiotu Zamówienia w przypadku konieczności stosowania przepisów ustawy Prawo Zamówień Publicznych.
Zadanie II. Audyt teleinformatyczny
W ramach Zadania II Wykonawca przeprowadzi audyt teleinformatyczny obejmujący techniczną weryfikację procesu wdrażania środków bezpieczeństwa IT u Zamawiającego, w tym w szczególności: • weryfikację poprawności wdrożenia dokumentacji i środków opracowanych w Zadaniu I; • techniczną ocenę konfiguracji kluczowych systemów, urządzeń sieciowych oraz zabezpieczeń; • ocenę zgodności wdrożonych rozwiązań z wymaganiami Krajowych Ram Interoperacyjności (audyt KRI)-realizowaną raz w roku; • przeprowadzenie testów podatnościowych systemu teleinformatycznego-raz w roku;5
• sporządzenie raportu z audytu wraz z rekomendacjami działań naprawczych, w formie umożliwiającej przekazanie go organowi właściwemu ds. cyberbezpieczeństwa w terminie 3 dni roboczych od jego otrzymania (art. 15 ustawy).