Kybernetická bezpečnost poskytovatelů ZS následné péče Pardubického kraje

Seznam a stručný popis výběrových kritérií

Seznam významných dodávek
Dle § 79 odst. 2 písm. b) ZZVZ dodavatel doloží seznam významných dodávek/služeb (referencí) poskytnutých za posledních 5 let před zahájením tohoto zadávacího řízení (dále jen ZŘ). Dodavatel předloží formou čestného prohlášení seznam významných služeb s uvedením jejich stručného popisu, ceny, termínu realizace a identifikace objednatele.
Min. úroveň:
Dodavatel prokáže toto kritérium, pokud v posledních 5 letech ode dne zahájení ZŘ realizoval (tzn. zcela dokončil nebo dokončil její poměrnou část splňující dále uvedený finanční limit) alespoň:

a)2 významné dodávky informačních systémů ve zdravotnictví (nemocniční systémy a technologie ve smyslu této zakázky) obsahující min. jednu z následujících technologií: nástroje pro sběr a vyhodnocování logů, nástroje pro sběr, monitorování a vyhodnocování událostí v rámci komunikačních sítí, nástroje pro ochranu síťového perimetru, nástroje pro ochranu před škodlivým kódem. Z toho alespoň 1 v hodnotě minimálně 10 milionů Kč bez DPH, zbývající v hodnotě minimálně 5 milionů Kč bez DPH za každou jednotlivou významnou zakázku.
b)2 významné služby na zajišťování kontinuální technické nebo servisní podpory informačních systémů ve zdravotnictví (nemocniční systémy a technologie ve smyslu této zakázky) obsahujícího min. poskytování servisních služeb pro min. jednu z následujících technologií: nástroje pro sběr a vyhodnocování logů, nástroje pro sběr, monitorování a vyhodnocování událostí v rámci komunikačních sítí, nástroje pro ochranu síťového perimetru, nástroje pro ochranu před škodlivým kódem kde je součástí servisu i indikace a předcházení možných problémů v rámci servisované bezpečnostní infrastruktury po dobu souvislých minimálně 24 měsíců s odměnou min. 300.000 Kč bez DPH za jeden rok v rámci každé takové služby.
Zadavatel upřesňuje, že není vyloučeno, aby byly shora uvedené požadavky dle bodu a) a b) splněny stejnou referenční zakázkou.
Zadavatel dále doplňuje, že dodané nebo podporované informační systémy pro účely prokázání shora uvedených kvalifikačních požadavků musely být provozovány a využívány pro práci svými uživateli v nepřetržitém provozu, tj. 365 dní v roce, 7 dní v týdnu, 24 hodin denně.

Seznam a stručný popis výběrových kritérií

Seznam členů realizačního týmu
Dodavatel doloží seznam osob tvořících realizační tým dodavatele, které se budou přímo podílet na poskytování služeb, a osvědčení o jejich odborné kvalifikaci dle ust. § 79 odst. 2 písm. c), d) ZZVZ (dále také „Seznam členů“). Dodavatel předloží profesní životopisy jednotlivých členů realizačního týmu. Z předložených podkladů musí jednoznačně vyplývat splnění všech podmínek a požadavků na členy realizačního týmu uvedené dále (k prokázání relevantních zkušeností musí být v životopisech uvedeny konkrétní projekty, kterých se tyto osoby účastnily a na jaké pozici, včetně uvedení subjektů, pro které byly projekty realizovány, přesného vymezení předmětu projektu, doby realizace a kontaktních údajů na objednatele).
Min. úroveň:
Dodavatel předloží seznam členů realizačního týmu, kteří se budou podílet na plnění veřejné zakázky bez ohledu na to, zda jde o zaměstnance dodavatele nebo osoby v jiném vztahu k dodavateli. Realizační tým tvoří min. 6 osob, které musí splňovat požadavky na jednotlivé role definované níže:
a) Vedoucí realizačního týmu – 1 osoba
- Má alespoň 5 let praxe v oboru informačních technologií.
- Disponuje jazykovou znalostí českého jazyka (případně slovenského) na úrovni pracovní komunikace.
- Realizoval min. 2 referenční zakázky v posledních 5 letech před zahájením ZŘ, jejichž předmětem byla dodávka a implementace informačních systémů anebo bezpečnostních technologií do zdravotnictví. Alespoň 1 zakázka byla v hodnotě min. 10 000 000 Kč bez DPH, ostatní zakázky byly v hodnotě min. 5 000 000 Kč bez DPH pro každou zakázku zvlášť.
- disponuje platnou certifikací v oblasti projektového řízení PRINCE2, PMP, IPMA nebo ekvivalentu uvedených certifikátů vystavených od jiných oprávněných subjektů.
b) Technický specialista – zabezpečení NIS – 3 osoby
- Má alespoň 5 let praxe v oboru informačních technologií.
- Disponuje jazykovou znalostí českého jazyka (případně slovenského) na úrovni pracovní komunikace.
- Realizoval min. 1 referenční zakázku za posledních 5 let před zahájením ZŘ, jejichž předmětem byla dodávka a implementace úprav nemocničního informačního systému (dle technické specifikace) pro napojení na bezpečnostní technologie (sběr a analýza logů, napojení na MS AD nebo IdM) v hodnotě minimálně 1 000 000 Kč bez DPH pro každou zakázku zvlášť.
- Kvalifikace musí být splněna min. jednou osobou pro každý ze zabezpečovaných IS (FONS Akord, FONS Enterprise, LBIS/4G).
c) Technický specialista – analýza bezpečnostních logů – 1 osoba
- Musí mít alespoň 5 let praxe v oboru informačních technologií.
- Disponuje jazykovou znalostí českého jazyka (případně slovenského) na úrovni pracovní komunikace.
- Realizoval min.1 referenční zakázku za posledních 5 let před zahájením ZŘ, jejímž předmětem bylo nasazení sběru a analýzy logů informačních systémů a technologií ve zdravotnictví, který v sobě integruje jak analýzu logů IS, tak okolí systému (komunikační, bezpečnostní a serverová infrastruktura) a je aktuálně provozován v hodnotě min. 2 000 000 Kč bez DPH.
d) Specialista řešení kybernetických bezpečnostních incidentů – 1 osoba
- Musí mít alespoň 5 let praxe v oboru informačních technologií.
- Disponuje jazykovou znalostí českého jazyka (případně slovenského) na úrovni pracovní komunikace.
- Splňuje kvalifikaci dle Přílohy č. 6 k vyhlášce č. 82/2018 Sb., popis kvalifikačních požadavků pro bezpečnostní role uvedené v § 6 a 7, Tab. 2: Manažer kybernetické bezpečnosti nebo Tab. 4: Auditor kybernetické bezpečnosti.
- Realizoval min. 1 referenční zakázku za posledních 5 let před zahájením ZŘ, jejímž předmětem byl bezpečnostní audit v prostředí organizace regulované ZKB.
- Realizoval min. 1 referenční zakázku za posledních 5 let před zahájením ZŘ, jejímž předmětem bylo provedení penetračního testu infrastrukturního nebo aplikačního prostředí v prostředí organizace regulované ZKB.
- Má znalost architektury technických bezpečnostních opatření, k prokázání tohoto požadavku dodavatel předloží certifikát CompTIA Security+ nebo CISSP nebo obdobný certifikát specialisty dle Vyhlášky č. 82/2018 Sb. o kybernetické bezpečnosti.
- Má certifikaci CompTIA Security Analytics Expert (CSAE) – Expert-level, k prokázání tohoto požadavku dodavatel předloží certifikát, tato certifikace je udělena těm, kteří mají kombinaci certifikátů Security + / CySA + / CASP nebo obdobný certifikát specialisty.