„Implementace systému Log Management“

Krátký popis

V současné době zadavatel využívá pro sběr bezpečnostních logů a událostí kybernetických incidentů nástroj ArcSight Logger (Log Management) a ArcSight ESM (SIEM) od společnosti Microfocus (Opentext).
Současná infrastruktura zahrnuje ESM server, Logger server, ArcMC a konektorové servery, na kterých běží konektory pro sběr dat (FLEX Connector a Smart Connector) na infrastruktuře, která je částečně sdílena s produkční infrastrukturou. Pro zajištění bezpečnostních požadavků není současné řešení dostatečně dimenzované a je považováno za riziko.
Pro stávající IS a KS dochází ke sběru bezpečnostních událostí a logů do zmíněných systémů pouze v omezené míře, která je dána zejména počtem licencí (pouze 600 EPS pro Logger, tedy platformu Log Managementu) a dále zastaralostí aktuálně využívané platformy, která neschraňuje další logy a informace, které jsou třeba pro analýzu a vyhodnocování kybernetických incidentů. Logy a události jsou tedy k dispozici pouze částečně a využití současné platformy neumožňuje zaznamenávání událostí v plnohodnotném režimu tak, jak ukládá žadateli VoKB jako osobě povinné dle § 3 písm. e) zákona.
Kromě výše uvedeného je dále nutné zajistit uchovávání logů a událostí informačního a komunikačního systému po dobu nejméně 18 měsíců, což aktuálně využívaná platforma Log Managementu z výše uvedených důvodů nesplňuje.
Předmětem plnění je celková modernizace systému pro Log Management, který bude sbírat a vyhodnocovat události v IT prostředí JČK a to v plném rozsahu, který je definován na bázi seznamu jednotlivých koncových zařízení (zdrojů dat) dle aktuálního stavu a taktéž se zahrnutím předpokládaného rozšíření těchto zdrojů do budoucna (nasazení dalších nástrojů, aplikací nebo systémů pro zajištění běhu IS a KS JČK).
Nový systém pro Log Management bude dostatečně licenčně a velikostně dimenzován zejména z pohledu sběru dat (formou dostatečné EPS licence nebo ekvivalentu) a také z pohledu zajištění uložení dat po dobu nejméně 18 měsíců.
Celý systém pro Log Management bude implementován zcela mimo produkční prostředí JČK a bude tak oddělen od stávajících i budoucích IS a KS JČK. Implementace bude provedena v robustním módu tak, aby byla zajištěna kontinuita sběru a zpracování událostí a v neposlední řadě také robustní ukládání dat do dvou na sobě nezávislých lokalit. Celé řešení bude v módu vysoké dostupnosti bez SPoF.
Podrobné požadavky zadavatele na plnění jsou uvedeny v přílohách zadávací dokumentace.
Zakázka je realizována v rámci projektu „Zvýšení kybernetické bezpečnosti v Jihočeském kraji I“, reg. č. CZ.31.2.0/0.0/0.0/23_092/0009274.
Veřejná zakázka není rozdělena na části. Zadavatel neumožňuje dílčí plnění.

Popis veřejné zakázky

V současné době zadavatel využívá pro sběr bezpečnostních logů a událostí kybernetických incidentů nástroj ArcSight Logger (Log Management) a ArcSight ESM (SIEM) od společnosti Microfocus (Opentext).
Současná infrastruktura zahrnuje ESM server, Logger server, ArcMC a konektorové servery, na kterých běží konektory pro sběr dat (FLEX Connector a Smart Connector) na infrastruktuře, která je částečně sdílena s produkční infrastrukturou. Pro zajištění bezpečnostních požadavků není současné řešení dostatečně dimenzované a je považováno za riziko.
Pro stávající IS a KS dochází ke sběru bezpečnostních událostí a logů do zmíněných systémů pouze v omezené míře, která je dána zejména počtem licencí (pouze 600 EPS pro Logger, tedy platformu Log Managementu) a dále zastaralostí aktuálně využívané platformy, která neschraňuje další logy a informace, které jsou třeba pro analýzu a vyhodnocování kybernetických incidentů. Logy a události jsou tedy k dispozici pouze částečně a využití současné platformy neumožňuje zaznamenávání událostí v plnohodnotném režimu tak, jak ukládá žadateli VoKB jako osobě povinné dle § 3 písm. e) zákona.
Kromě výše uvedeného je dále nutné zajistit uchovávání logů a událostí informačního a komunikačního systému po dobu nejméně 18 měsíců, což aktuálně využívaná platforma Log Managementu z výše uvedených důvodů nesplňuje.
Předmětem plnění je celková modernizace systému pro Log Management, který bude sbírat a vyhodnocovat události v IT prostředí JČK a to v plném rozsahu, který je definován na bázi seznamu jednotlivých koncových zařízení (zdrojů dat) dle aktuálního stavu a taktéž se zahrnutím předpokládaného rozšíření těchto zdrojů do budoucna (nasazení dalších nástrojů, aplikací nebo systémů pro zajištění běhu IS a KS JČK).
Nový systém pro Log Management bude dostatečně licenčně a velikostně dimenzován zejména z pohledu sběru dat (formou dostatečné EPS licence nebo ekvivalentu) a také z pohledu zajištění uložení dat po dobu nejméně 18 měsíců.
Celý systém pro Log Management bude implementován zcela mimo produkční prostředí JČK a bude tak oddělen od stávajících i budoucích IS a KS JČK. Implementace bude provedena v robustním módu tak, aby byla zajištěna kontinuita sběru a zpracování událostí a v neposlední řadě také robustní ukládání dat do dvou na sobě nezávislých lokalit. Celé řešení bude v módu vysoké dostupnosti bez SPoF.
Podrobné požadavky zadavatele na plnění jsou uvedeny v přílohách zadávací dokumentace.
Zakázka je realizována v rámci projektu „Zvýšení kybernetické bezpečnosti v Jihočeském kraji I“, reg. č. CZ.31.2.0/0.0/0.0/23_092/0009274.
Veřejná zakázka není rozdělena na části. Zadavatel neumožňuje dílčí plnění.

Seznam a stručný popis podmínek

• Dle § 77 odst. 1 zákona: Splnění profesní způsobilosti ve vztahu k České republice předložením výpisu z obchodního rejstříku nebo jiné obdobné evidence, pokud jiný právní předpis zápis do takové evidence vyžaduje.

Seznam a stručný popis výběrových kritérií

Technická kvalifikace dle § 79 odst. 2 písm. b) zákona:

Zadavatel požaduje prokázání technické kvalifikace dle § 79 odst. 2 písm. b) zákona.

Rozsah požadovaných informací a dokladů a způsob prokázání:
Dodavatel předloží seznam významných dodávek poskytnutých za posledních 5 let před zahájením zadávacího řízení včetně uvedení ceny a doby jejich poskytnutí a identifikace objednatele.
Rovnocenným dokladem k prokázání tohoto kritéria je zejména smlouva s objednatelem a doklad o uskutečnění plnění dodavatele.

Vymezení minimální úrovně této technické kvalifikace:
Dodavatel splňuje toto kritérium technické kvalifikace, pokud za posledních 5 let provedl alespoň 3 zakázky spočívající v dodávce řešení pro sběr logů (každá o minimálním výkonu 5.000 EPS – events per second – událostí za vteřinu) včetně souvisejících IT služeb v celkovém minimálním finančním objemu předložených referencí 8 mil. Kč bez DPH, přičemž alespoň jedna zakázka musí být v minimálním finančním objemu 4 mil. Kč bez DPH.
Pokud dodávané řešení disponovalo jiným licenčním modulem, než počet událostí za vteřinu (EPS), pak je povinností účastníka popsat pro účely prokázání kvalifikace vzorec přepočtu ve vztahu k zajištění zadavatelem požadovaného kvalifikačního požadavku min. 5.000 EPS.

Zdůvodnění prodloužení lhůty na 5 let: Zadavatel lhůtu pro prokázání významných dodávek prodloužil na 5 let za účelem zajištění širší hospodářské soutěže.

Technická kvalifikace dle § 79 odst. 2 písm. d) zákona:

Rozsah požadovaných informací a dokladů a způsob prokázání:
Dodavatel předloží osvědčení o vzdělání a odborné kvalifikaci vztahující se k požadovaným dodávkám a službám, a to jak ve vztahu k fyzickým osobám, které mohou dodávky a služby poskytovat, tak ve vztahu k jejich vedoucím pracovníkům.
Jednotlivé požadavky na kvalifikační kritéria u každé jednotlivé funkce nelze jakkoliv rozdělit mezi více fyzických osob, takže u téže funkce člena odborného personálu nemůže být prokázáno splnění např. požadované praxe jednou osobou a pomocí jiné osoby odborná způsobilost.
Dodavatel není oprávněn svěřit jedné fyzické osobě výkon více funkční člena odborného personálu. Dodavatel předloží profesní životopisy každého člena odborného personálu a doklady k prokázání odborné způsobilosti.

Vymezení minimální úrovně této technické kvalifikace:
I. Účastník doloží jmenné profesní životopisy členů realizačního týmu zodpovědného za poskytování příslušných činností a splňujícího následující minimální požadavky zadavatele (označení pozic je pro účel této veřejné zakázky):

Projektový manažer – právě 1 osoba v pozici projektového manažera
• Ukončené středoškolské vzdělání s maturitou nebo vysokoškolské vzdělání (příp. nostrifikovaná rovnocenná úroveň zahraničního vzdělání). Prodávající prokáže uvedením informace o názvu školy, absolvovaném oboru vzdělání, a roku ukončení studia.
• Min. 5 let praxe v oboru projektového manažera a zkušenost minimálně na dvou (2) projektech zavádění IT infrastruktury. Dodavatel prokáže uvedením pracovních zkušeností.
• Platná certifikace PRINCE2, případně obdobná platná certifikace na projektové řízení.

Manažer kybernetické bezpečnosti – právě 1 osoba v pozici manažera kybernetické bezpečnosti
• Ukončené středoškolské vzdělání s maturitou nebo vysokoškolské vzdělání (příp. nostrifikovaná rovnocenná úroveň zahraničního vzdělání). Prodávající prokáže uvedením informace o názvu školy, absolvovaném oboru vzdělání, a roku ukončení studia.
• Min. 5 let praxe v roli manažera kybernetické bezpečnosti a zkušenost minimálně na dvou (2) projektech zavádění, nebo úpravy ISMS. Dodavatel prokáže uvedením pracovních zkušeností.
• Platná certifikace – min. CISSP (Certified Information Systems Security Professional) nebo CISA (Certified Information Systems Auditor) nebo CISM (Certified Information Security Manager).

Architekt kybernetické bezpečnosti – právě 1 osoba v pozici architekt kybernetické bezpečnosti
• Ukončené středoškolské vzdělání s maturitou nebo vysokoškolské vzdělání (příp. nostrifikovaná rovnocenná úroveň zahraničního vzdělání). Prodávající prokáže uvedením informace o názvu školy, absolvovaném oboru vzdělání, a roku ukončení studia.
• Min. 5 let praxe v roli architekta kybernetické bezpečnosti a zkušenost minimálně na dvou (2) projektech zavádění řešení Log Management. Dodavatel prokáže uvedením pracovních zkušeností.
• Platná technická certifikace vendora (výrobce) pro dodavatelem nabízené řešení (jen pokud vendor takovou certifikaci uděluje).

Systémoví odborníci – min. 2 osoby v pozici systémových odborníků
• Ukončené středoškolské vzdělání s maturitou nebo vysokoškolské vzdělání (příp. nostrifikovaná rovnocenná úroveň zahraničního vzdělání). Prodávající prokáže uvedením informace o názvu školy, absolvovaném oboru vzdělání, a roku ukončení studia.
• Min. 3 roky praxe v oblasti informačních technologií. Prodávající prokáže uvedením pracovních zkušeností.
• Každý z nich je držitelem platné certifikace udělené výrobcem k implementaci a správě dodavatelem nabízeného řešení (jen pokud výrobce takovou certifikaci uděluje).
• Každá z osob systémových odborníků se podílela min. na 1 ze zakázek uvedených v referenčních projektech technické kvalifikace dle § 79 odst. 2 písm. b) zákona požadované výše a prokazované účastníkem.

II. U osob realizačního týmu doloží účastník doklady ověřující splnění požadované certifikace jednotlivých osob (viz požadované certifikáty uvedené u jednotlivých rolí).

Popis důvodů vyloučení

“Možné důvody vyloučení účastníka zadávacího postupu jsou definovány v § 48, § 107 odst. 5, § 122 odst. 8 a § 124 odst. 2 zákona č. 134/2016 Sb., o zadávání veřejných zakázek.”).

Zadavatel požaduje prokázání základní způsobilost podle § 74 zákona.
Způsobilým není podle § 74 odst. 1 zákona dodavatel, který:
a) byl v zemi svého sídla v posledních 5 letech před zahájením zadávacího řízení pravomocně odsouzen pro trestný čin uvedený v příloze č. 3 k zákonu nebo obdobný trestný čin podle právního řádu země sídla dodavatele; k zahlazeným odsouzením se nepřihlíží,
b) má v České republice nebo v zemi svého sídla v evidenci daní zachycen splatný daňový nedoplatek,
c) má v České republice nebo v zemi svého sídla splatný nedoplatek na pojistném nebo na penále na veřejné zdravotní pojištění,
d) má v České republice nebo v zemi svého sídla splatný nedoplatek na pojistném nebo na penále na sociální zabezpečení a příspěvku na státní politiku zaměstnanosti,
e) je v likvidaci, proti němu bylo vydáno rozhodnutí o úpadku, vůči němuž byla nařízena nucená správa podle jiného právního předpisu nebo v obdobné situaci podle právního řádu země sídla dodavatele.

Dodavatel prokazuje splnění podmínek základní způsobilosti:
1. ve vztahu k České republice dle § 75 zákona předložením:
a) výpisu z evidence Rejstříku trestů ve vztahu k § 74 odst. 1 písm. a) zákona,
b) potvrzení příslušného finančního úřadu ve vztahu k § 74 odst. 1 písm. b) zákona,
c) písemného čestného prohlášení ve vztahu ke spotřební dani ve vztahu k § 74 odst. 1 písm. b) zákona,
d) písemného čestného prohlášení ve vztahu k § 74 odst. 1 písm. c) zákona,
e) potvrzení příslušné územní správy sociálního zabezpečení ve vztahu k § 74 odst. 1 písm. d) zákona,
f) výpisu z obchodního rejstříku, nebo předložením písemného čestného prohlášení v případě, že není v obchodním rejstříku zapsán, ve vztahu k § 74 odst. 1 písm. e) zákona.
2. ve vztahu k zemi sídla jiné země než ČR v souladu s § 81 zákona.

Je-li dodavatelem právnická osoba, musí podmínku podle §74 odst. 1 písm. a) zákona splňovat tato právnická osoba a zároveň každý člen statutárního orgánu. Je-li členem statutárního orgánu dodavatele právnická osoba, musí podmínku podle § 74 odst. 1 písm. a) zákona splňovat
a) tato právnická osoba,
b) každý člen statutárního orgánu této právnické osoby a
c) osoba zastupující tuto právnickou osobu v statutárním orgánu dodavatele.

Účastní-li se zadávacího řízení pobočka závodu
a) zahraniční právnické osoby, musí podmínku podle § 74 odst. 1 písm. a) zákona splňovat tato právnická osoba a vedoucí pobočky závodu,
b) české právnické osoby, musí podmínku podle odstavce § 74 odst. 1 písm. a) zákona splňovat osoby uvedené v § 74 odst. 2 zákona a vedoucí pobočky závodu.

Přesné informace o lhůtě (lhůtách) pro přezkumné řízení

Podmínkou pro podání návrhu k ÚOHS je podání námitek k Zadavateli, které je nutné doručit do 15 dnů ode dne, kdy se stěžovatel dozvěděl o domnělém porušení zákona Zadavatelem, nejpozději však do uzavření smlouvy nebo do chvíle, kdy se soutěž o návrh považuje po výběru návrhu za ukončenou.

Námitky proti úkonům oznamovaným v dokumentech, které je Zadavatel povinen podle zákona uveřejnit či odeslat stěžovateli, musí být doručeny Zadavateli do 15 dnů od jejich uveřejnění či doručení stěžovateli.
Pokud je v zadávacím řízení stanovena lhůta pro podání žádostí o účast, musí být námitky proti podmínkám vztahujícím se ke kvalifikaci dodavatele doručeny Zadavateli nejpozději do skončení této lhůty.
Pokud je v zadávacím řízení stanovena lhůta pro podání nabídek, musí být námitky proti zadávacím podmínkám doručeny Zadavateli nejpozději do skončení této lhůty. Námitky proti obsahu výzvy k podání nabídek v dynamickém nákupním systému nebo při zadávání veřejné zakázky na základě rámcové dohody musí být zadavateli doručeny nejpozději do konce lhůty pro podání nabídek. V soutěži o návrh musí být námitky proti soutěžním podmínkám doručeny nejpozději do konce lhůty pro podání návrhů. Zadavatel může v zadávací dokumentaci nebo soutěžních podmínkách stanovit, že námitky podle § 242 odst. 3 nebo 4 zákona lze podat nejpozději 72 hodin před skončením lhůt podle § 242 odst. 3 nebo 4 zákona.

Námitky proti dobrovolnému oznámení o záměru uzavřít smlouvu podle § 212 odst. 2 zákona musí být doručeny Zadavateli do 30 dnů od uveřejnění tohoto oznámení.

Zadavatel je povinen námitky vyřídit do 15 dnů. Návrh je nutné doručit ÚOHS i Zadavateli do 10 dnů ode dne, v němž stěžovatel obdržel rozhodnutí, kterým Zadavatel námitky odmítnul nebo do 25 dnů od odeslání námitek, pokud Zadavatel o námitkách nerozhodl.

Po uzavření smlouvy na veřejnou zakázku či rámcové dohody lze podat pouze návrh na uložení zákazu plnění smlouvy, a to i bez předchozího podání námitek. Návrh na uložení zákazu plnění smlouvy doručí navrhovatel ÚOHS a ve stejnopisu Zadavateli do 30 dnů ode dne, kdy Zadavatel uveřejnil oznámení o uzavření smlouvy způsobem podle § 212 odst. 2 zákona s uvedením důvodu pro zadání veřejné zakázky bez uveřejnění oznámení o zahájení zadávacího řízení, předběžného oznámení nebo výzvy k podání nabídek ve zjednodušeném podlimitním řízení, nejpozději však do 6 měsíců od uzavření této smlouvy. Návrh na uložení zákazu plnění smlouvy podle § 254 odstavce 1 písm. d) zákona doručí navrhovatel ÚOHS a ve stejnopisu Zadavateli do 30 dnů ode dne, kdy Zadavatel uveřejnil oznámení o uzavření smlouvy na základě rámcové dohody podle § 137 zákona nebo oznámení o uzavření smlouvy v dynamickém nákupním systému podle § 142 zákona, nejpozději však do 6 měsíců od uzavření této smlouvy.

Ve lhůtě pro doručení návrhu je navrhovatel povinen složit na účet ÚOHS kauci ve výši 1 % z nabídkové ceny navrhovatele za celou dobu plnění veřejné zakázky nebo za dobu prvních čtyř let plnění v případě smluv na dobu neurčitou, nejméně však ve výši 50 000 Kč, nejvýše ve výši 10 000 000 Kč. V případě, že navrhovatel nemůže stanovit celkovou nabídkovou cenu, je povinen složit kauci ve výši 100 000 Kč. V případě návrhu na uložení zákazu plnění smlouvy je navrhovatel povinen složit kauci ve výši 200 000 Kč. Jde-li o řízení o přezkoumání postupu pro zadávání koncesí, je navrhovatel povinen ve lhůtě pro doručení návrhu složit na účet ÚOHS kauci ve výši 1 % z předpokládané hodnoty koncese uveřejněné ve Věstníku veřejných zakázek nebo na profilu Zadavatele, nejméně však ve výši 50 000 Kč, nejvýše ve výši 10 000 000 Kč. V případě, že Zadavatel neuveřejní ve Věstníku veřejných zakázek nebo na profilu Zadavatele předpokládanou hodnotu koncese, je navrhovatel povinen složit kauci ve výši 100 000 Kč. V případě návrhu na uložení zákazu plnění koncesní smlouvy je navrhovatel povinen složit kauci ve výši 200 000 Kč.