ΕΘΝΙΚΟ ΚΕΝΤΡΟ ΕΡΕΥΝΑΣ ΚΑΙ ΤΕΧΝΟΛΟΓΙΚΗΣ ΑΝΑΠΤΥΞΗΣ (Ε.Κ.Ε.Τ.Α.) / Ινστιτούτο Εφαρμοσμένων Βιοεπιστημών (ΙΝΕΒ) Θεσσαλονίκη, 13-03-2018 Αριθμ. Πρωτ.: 000361 ΠΡΟΣΚΛΗΣΗ ΕΝΔΙΑΦΕΡΟΝΤΟΣ KAI ΚΑΤΑΘΕΣΗΣ ΠΡΟΣΦΟΡΩΝ ΓΙΑ ΤΗΝ ΑΝΑΘΕΣΗ ΤΟΥ ΕΡΓΟΥ Το Εθνικό Κέντρο Έρευνας και Τεχνολογικής Ανάπτυξης (ΕΚΕΤΑ) / Ινστιτούτο Εφαρμοσμένων Βιοεπιστημών (ΙΝΕΒ), νομικό πρόσωπο ιδιωτικού δικαίου, μη κερδοσκοπικού χαρακτήρα, που εδρεύει στη Θέρμη Θεσσαλονίκης, 6ο χλμ. Οδού Χαριλάου-Θέρμης, προσκαλεί κάθε ενδιαφερόμενο (φυσικό ή νομικό πρόσωπο, ή ενώσεις και κοινοπραξίες αυτών) να υποβάλει πρόταση προσφορά, μη δεσμευτική για το ΕΚΕΤΑ, σύμφωνα με τις τεχνικές προδιαγραφές της παρούσας πρόσκλησης, για την ανάθεση του έργου : Η συνολική δαπάνη του έργου δεν πρέπει να υπερβαίνει τις δεκαοκτώ χιλιάδες ευρώ (18.000,00 ) μη συμπεριλαμβανομένου του ΦΠΑ. Οι υποψήφιοι θα πρέπει να έχουν αποδεδειγμένη επαγγελματική εμπειρία στην υλοποίηση αντίστοιχων έργων και η προσφορά τους να πληροί τις Τεχνικές Προδιαγραφές της παρούσας Πρόσκλησης. Οι ενδιαφερόμενοι παρακαλούνται όπως υποβάλουν κλειστό (σφραγισμένο) φάκελο έγγραφης προσφοράς, για το σύνολο του έργου, που αποτελεί αντικείμενο της παρούσας πρόσκλησης όπως προσδιορίζεται ειδικότερα στις τεχνικές προδιαγραφές αυτής με τα εξής στοιχεία: ΠΡΟΣΦΟΡΑ για Οι προσφορές πρέπει να υποβληθούν μέχρι την Δευτέρα, 19 Μαρτίου 2018 και ώρα 12:00 μμ στην ακόλουθη διεύθυνση: ΕΚΕΤΑ / ΙΝΕΒ Θεσσαλονίκη: 6ο χλμ. Χαριλάου-Θέρμης, 57001 Θέρμη Θεσσαλονίκης Γραμματεία ΙΝΕΒ Υπεύθυνος παραλαβής προσφορών: κ Σταματόπουλος Κωνσταντίνος, τηλ. +30 2310 498271 Για τη λήψη της τελικής απόφασης και επιλογής, μεταξύ των προσφορών που πληρούν τις τεχνικές προδιαγραφές της παρούσας Πρόσκλησης, θα συνεκτιμηθούν: α) Το ύψος της οικονομικής προσφοράς β) H πληρότητα και αρτιότητα της πρότασης γ) Η τεχνική και επαγγελματική ικανότητα των υποψηφίων δ) Ο χρόνος παράδοσης Η υποβολή της προσφοράς συνεπάγεται την πλήρη και ανεπιφύλακτη αποδοχή από τον υποψήφιο Ανάδοχο όλων των όρων της παρούσας πρόσκλησης. Ο Ανάδοχος πριν την υπογραφή της σύμβασης ή την ανάθεση υποχρεούται να προσκομίσει: α) Απόσπασμα ποινικού μητρώου 1
β) Τελευταία τροποποίηση του καταστατικού της εταιρείας ή οποιοδήποτε άλλο επίσημο νομιμοποιητικό έγγραφο από το οποίο προκύπτει ο νόμιμος εκπρόσωπος της εταιρείας, εφόσον ο προσφέρων είναι νομικό πρόσωπο γ) Φορολογική ενημερότητα σε ισχύ δ) Ασφαλιστική ενημερότητα σε ισχύ ε) Οποιοδήποτε άλλο δικαιολογητικό τυχόν ζητηθεί από την Αναθέτουσα Αρχή στα πλαίσια εφαρμογής της ισχύουσας περί δημοσίων συμβάσεων νομοθεσίας. Τον Ανάδοχο βαρύνουν οι ακόλουθες κρατήσεις: α) Ο προβλεπόμενος φόρος εισοδήματος β) Κράτηση ύψους 0,06%, υπέρ της Αρχής Εξέτασης Προδικαστικών Προσφυγών (ΑΕΠΠ), η οποία επιβάλλεται επί της συνολικής αξίας κάθε αρχικής, τροποποιητικής ή συμπληρωματικής σύμβασης προ φόρων και κρατήσεων (άρθρο 350 παρ. 3 Ν. 4412/2016 & Κ.Υ.Α. 1191/2017 ΦΕΚ 969 Β /22-03-2017). Επί της παραπάνω κράτησης επιβάλλεται τέλος χαρτοσήμου 3%, πλέον εισφοράς υπέρ ΟΓΑ ποσοστού 20%, υπολογιζόμενου επί το τέλος χαρτοσήμου. γ) Κράτηση ύψους 0,06%, υπέρ της Ενιαίας Ανεξάρτητης Αρχής Δημοσίων Συμβάσεων (ΕΑΑΔΗΣΥ), η οποία υπολογίζεται επί της αξίας, χωρίς ΦΠΑ, της αρχικής και κάθε συμπληρωματικής σύμβασης (άρθρο 4 παρ. 3 του Ν. 4013/2011, όπως ισχύει & Υ.Α. 5143/2014 ΦΕΚ 3335 Β /11-12-2014). Επί της παραπάνω κράτησης επιβάλλεται τέλος χαρτοσήμου 3%, πλέον εισφοράς υπέρ ΟΓΑ ποσοστού 20%, υπολογιζόμενου επί το τέλος χαρτοσήμου. Στοιχεία επικοινωνίας για πληροφορίες και διευκρινίσεις: Χουβαρδάς Βασίλειος τηλ. 2310 498479, email: vchou@certh.gr και Κοπάνη Φωτεινή τηλ. +30 2310498272, email: kopani@certh.gr Για το ΕΚΕΤΑ / ΙΝΕΒ Κωνσταντίνος Σταματόπουλος Διευθυντής ΙΝΕΒ 1 Η υποχρέωση προσκόμισης του αποσπάσματος ποινικού μητρώου αφορά: i) Στην περίπτωση φυσικού προσώπου, το φυσικό αυτό πρόσωπο, ii) Στην περίπτωση Ε.Π.Ε., Ι.Κ.Ε., Ο.Ε. και Ε.Ε. τους διαχειριστές, iii) Στην περίπτωση Α.Ε. τον Διευθύνοντα Σύμβουλο, καθώς και όλα τα μέλη του Διοικητικού Συμβουλίου, iv) Σε κάθε άλλη περίπτωση νομικού προσώπου το/τους νόμιμο/ους εκπρόσωπο/ους του, καθώς και τα πρόσωπα που είναι μέλη του διοικητικού, διευθυντικού ή εποπτικού οργάνου του εν λόγω οικονομικού φορέα ή έχουν εξουσία εκπροσώπησης, λήψης αποφάσεων ή ελέγχου σε αυτό.
ΠΕΡΙΓΡΑΦΗ ΕΡΓΟΥ - ΤΕΧΝΙΚΕΣ ΠΡΟΔΙΑΓΡΑΦΕΣ Το Εθνικό Κέντρο Έρευνας και Τεχνολογικής Ανάπτυξης (ΕΚΕΤΑ)/Ινστιτούτο Eφαρμοσμένων Βιοεπιστημών (ΙΝΕΒ), προτίθεται να προβεί στην επιλογή Αναδόχου, ο οποίος θα παρέχει συμβουλευτικές υπηρεσίες για την ανάπτυξη και εφαρμογή ενός Συστήματος Διαχείρισης Ασφάλειας Πληροφοριών ( ΣΔΑΠ) κατά ISO/IEC 27001:2013, καθώς επίσης και για την εφαρμογή Προγράμματος Προστασίας Προσωπικών Δεδομένων, σύμφωνα με το νέο Κανονισμό για την Προστασία των Δεδομένων (GDPR). Το σύστημα αυτό θα εξασφαλίζει ότι στις διαδικασίες του INEB εμπεριέχονται όλοι οι απαραίτητοι έλεγχοι σε θέματα εμπιστευτικότητας, ακεραιότητας και διαθεσιμότητας της πληροφορίας ώστε να προστατεύονται τα δεδομένα και οι εμπλεκόμενοι πόροι σε κάθε δραστηριότητα του INEB. Γενικά Αντικείμενο του έργου του Αναδόχου είναι η ανάπτυξη Συστήματος Διαχείρισης Ασφάλειας Πληροφοριών στο ΙΝΕΒ, ώστε να καταστεί εν συνεχεία εφικτή η πιστοποίηση των πληροφοριακών συστημάτων που περιέχονται στο πεδίο εφαρμογής του παρόντος έργου, κατά ISO27001-2013 και η συμμόρφωση κατά GDPR. O Ανάδοχος θα αναλάβει την υλοποίηση ενός συστήματος διαχείρισης ασφάλειας πληροφοριών στο ΙΝΕΒ καθώς και τη συμμόρφωση του ΙΝΕΒ με το Γενικό Κανονισμό Προστασίας Προσωπικών Δεδομένων (General Data Protection Regul ation), σύμφωνα με τις προδιαγραφές και τους όρους της παρούσας, οι οποίοι θα πρέπει να πληρούνται στο σύνολό τους. Αντικείμενο του έργου του Αναδόχου α) Η παροχή εξειδικευμένων υπηρεσιών συμβούλου για το σχεδιασμό και την εγκατάσταση ενός Συστήματος Διαχείρισης Ασφάλειας Πληροφοριών (ΣΔΑΠ) κατά ISO/ IEC 27001:2013, με πεδίο εφαρμογής όλες τις δραστηριότητες και τις σχετικές πληροφορίες του ΙΝΕΒ. β) Η καταγραφή, μελέτη και αξιολόγηση των εφαρμοζόμενων στο ΙΝΕΒ πολιτικών ασφαλείας και πρόταση για την αναθεώρηση και αναβάθμισή τους, σύμφωνα με τα διεθνή πρότυπα και τις βέλτιστες πρακτικές, αλλά και των εθνικών προτύπων και κανόνων για Φορείς της Γενικής Κυβέρνησης. γ) Η Αξιολόγηση Επικινδυνότητας, βασιζόμενη σε πρότυπη αναγνωρισμένη μέθοδο, προκειμένου να εντοπιστούν αδυναμίες και ευάλωτα σημεία στις διαδικασίες και στις υποδομές του ΙΝΕΒ. Ειδικά, για το μέρος β) του έργου θα πρέπει: 1. Να καταγραφούν αναλυτικά οι εφαρμοζόμενες πολιτικές ασφάλειας και να αναλυθούν τα πλεονεκτήματα και τα μειονεκτήματα, που αυτές παρουσιάζουν. 2. Να εντοπιστούν τυχόν κενά, αλλά και αποκλίσεις από τις συνήθεις πρακτικές, που εφαρμόζονται βάσει των διεθνών προτύπων, αλλά και κοινά αποδεκτών πολιτικών ασφαλείας σε εθνικό, Ευρωπαϊκό και διεθνές επίπεδο, ώστε για τη σύνταξη της νέας πολιτικής να εντοπιστούν και να αξιολογηθούν οι βέλτιστες πρακτικές, που έχουν υιοθετηθεί από άλλους όμοιους Φορείς. 3. Να γίνει μία αναλυτική εσωτερική περιγραφή του τι ακριβώς θα πρέπει να ασφαλιστεί και από τι. Πλην των εξωτερικών επιθέσεων, θα πρέπει να αντιμετωπιστεί και το ενδεχόμενο ζημιών από πιθανό εσωτερικό λάθος ή μη ορθή χρήση από τους εσωτερικούς χρήστες ή κακόβουλες ενέργειες από το εσωτερικό περιβάλλον (insider threats). Ειδικές Απαιτήσεις Στο πλαίσιο της προετοιμασίας για την ανάπτυξη του Συστήματος Διαχείρισης Ασφάλειας Πληροφοριών, ο Ανάδοχος θα πρέπει να συνεργαστεί με το προσωπικό και τον Διευθυντή του ΙΝΕΒ προκειμένου να προσδιορίσει και να περιλάβει στο αντικείμενο του έργου τους πόρους που
σχετίζονται με τις επιχειρησιακές λειτουργίες των τομέων, εργαστηρίων και μονάδων του ΙΝΕΒ, όπως καθορίζονται από το οργανόγραμμά του. Επιπρόσθετα, ο Ανάδοχος θα προσδιορίσει τις ανάγκες προστασίας των πληροφοριών που τηρούνται ή διακινούνται μέσω των πληροφοριακών υποδομών του ΙΝΕΒ, θα ορίσει τα αναγκαία επίπεδα διαβάθμισής τους, τα απαραίτητα μέτρα προστασίας τους, τις επιτρεπτές ενέργειες χειρισμού τους από τους εργαζόμενους και τους συνεργάτες του ΙΝΕΒ και θα αναπτύξει τις αντίστοιχες διαδικασίες. Επίσης ο Ανάδοχος θα προχωρήσει σε χαρτογράφηση της διαχείρισης των προσωπικών και των ευαίσθητων δεδομένων από το ΙΝΕΒ, με σκοπό να καταγραφεί ποια προσωπικά και ευαίσθητα δεδομένα συλλέγονται, υπόκεινται σε επεξεργασία, οι σκοποί της επεξεργασίας για τους οποίους συλλέγονται τα δεδομένα, το χρονικό διάστημα που διατηρούνται, ποιος έχει πρόσβαση στα δεδομένα, πώς προστατεύονται, σε ποιους συνεργάτες διαβιβάζονται και για ποιους σκοπούς. Ο Ανάδοχος θα πρέπει να υποδείξει σχετικούς τρόπους και διαδικασίες που θα πρέπει να εφαρμόζονται από όλους αυτούς που συλλέγουν, επεξεργάζονται και γενικότερα διαχειρίζονται τα ως άνω δεδομένα. Ειδικότερα στα παραδοτέα του Αναδόχου θα συμπεριλαμβάνονται: Α) Έλεγχος συστημάτων και διαδικασιών για την καταγραφή ελλείψεων ή και για τροποποίηση διαδικασιών με συνολική καταγραφή των ενεργειών που απαιτούνται για να διασφαλιστεί η εμπιστευτικότητα, ακεραιότητα και διαθεσιμότητα των πληροφοριών του οργανισμού και η συμμόρφωση (compliance) με τον GDPR. Β) Συγγραφή η αναθεώρηση από τον ανάδοχο όλων των πολιτικών η διαδικασιών που απαιτούνται για την πιστοποίηση κατά ISO-27001 και τη συμμόρφωση κατά GDPR. Γ) Ορισμός σημείων ελέγχου για την τήρηση των διαδικασιών και την ορθή εφαρμογή των κανόνων λειτουργίας κατά ISO-27001 και GDPR. Δ) Έλεγχος ορθής υλοποίησης σε περίπτωση ανάγκης αλλαγών ως τη διαμόρφωση των μηχανογραφικών συστημάτων και εφαρμογών του ΙΝΕΒ. Ε) Τελικός επανέλεγχος και βεβαίωση υλοποίησης των απαιτήσεων του προτύπου ISO 27001 και συμμόρφωσης κατά GDPR. Ο ανάδοχος στην αναλυτική τεχνικοοικονομική προσφορά του θα πρέπει να καταθέσει σαφές και δεσμευτικό χρονοδιάγραμμα ολοκλήρωσης του έργου που θα περιλαμβάνει τουλάχιστον τα παραπάνω επιμέρους βήματα με καταληκτική ημερομηνία για το GDPR την 25η/5/2018 το αργότερο και για το ΣΔΑΠ έως και την 30 η /9/2018. Ο ανάδοχος θα έχει επίσης την ευθύνη του project management του έργου ως προς τις ενέργειες που έχει αναλάβει. Ελάχιστες Προϋποθέσεις Συμμετοχής και Τεχνικής-Επαγγελματικής Ικανότητας Υποψηφίου Ο υποψήφιος Ανάδοχος θα πρέπει να πληροί τις ακόλουθες προϋποθέσεις: 1) Να διαθέτει την κατάλληλη οργάνωση, δομή και μέσα, ώστε να ανταπεξέλθει επιτυχώς στις απαιτήσεις του έργου. Ο υποψήφιος ανάδοχος οφείλει να αποδείξει τα ανωτέρω, καταθέτοντας με την προσφορά του αναλυτικές πληροφορίες, σχετικά με: την οργανωτική δομή του, τις εγκαταστάσεις και τον εξοπλισμό που διαθέτει, με ιδιαίτερη αναφορά στη μηχανοργάνωσή του. τους τομείς δραστηριότητας και τους κλάδους εξειδίκευσης
τα προϊόντα και υπηρεσίες που παρέχει τη μεθοδολογία, τα εργαλεία και τις τεχνικές που χρησιμοποιεί για την υλοποίηση του έργου. 2) Να διαθέτει πιστοποίηση κατά ISO 9001:2015 και ISO 27001:2013 με πεδίο εφαρμογής την παροχή συμβουλευτικών υπηρεσιών. 3) Να διαθέτει ανθρώπινο δυναμικό και πόρους ικανούς και αξιόπιστους για να φέρει σε πέρας επιτυχώς τις απαιτήσεις του έργου, σε όρους απαιτούμενης εξειδίκευσης, επαγγελματικών προσόντων και εμπειρίας. Συγκεκριμένα απαιτείται κατ ελάχιστον: i. Ο υπεύθυνος της Ομάδας έργου να είναι certified DPO (Data Protection Officer) και ISO 27001 Lead Auditor και/ή CISM (Chief Information Security Manager). ii. Να υπάρχει τουλάχιστον ένα μέλος της Ομάδας έργου πιστοποιημένο κατά PMI, Project Manager Professional (PMP). iii. Τα στελέχη του αναδόχου που θα λάβουν μέρος στο έργο θα πρέπει να διαθέτουν προπτυχιακό ή μεταπτυχιακό τίτλο σπουδών στον τομέα της Πληροφορικής/ Πληροφοριακών Συστημάτων/ Ασφάλειας Πληροφοριακών Συστημάτων και Δικτύων/ Τεχνολογιών ΤΠΕ ή συναφούς αντικειμένου και αποδεικνυόμενη εμπειρία σε σχετικά έργα ή/και αντίστοιχες πιστοποιήσεις αναφορικά με την ασφάλεια πληροφοριών. iv. Στην προσφορά του αναδόχου θα πρέπει υποχρεωτικά να περιλαμβάνονται αναλυτικά Βιογραφικά Σημειώματα του υπεύθυνου έργου, καθώς και των στελεχών του αναδόχου που θα λάβουν μέρος στο έργο, από τα οποία να αποδεικνύονται ευθέως και χωρίς άλλη αναγκαία πληροφορία ή διευκρίνιση, η εξειδίκευση, τα επαγγελματικά προσόντα και η εμπειρία τους, σχετικά με τις απαιτήσεις που αναλαμβάνουν, όπως προκύπτει από τον ρόλο τους στο έργο. 4) Να έχει αναλάβει ή/και εκτελέσει τουλάχιστον 4 αμιγώς ΣΔΑΠ και 4 αμιγώς GDPR έργα κατά την τελευταία τριετία. 5) Ο Ανάδοχος να διαθέτει παρουσία στη Θεσσαλονίκη (με έδρα ή υποκατάστημα) 6) Ο Ανάδοχος να είναι πιστοποιημένος κατά ISO 27001 και ISO 9001 Επισημαίνεται ότι οι ανωτέρω προδιαγραφές καθορίζουν τις ελάχιστες απαιτούμενες προδιαγραφές του έργου και συνεπώς, προσφορές με επιπλέον προσφερόμενα χαρακτηριστικά πέραν των ανωτέρω δεν απορρίπτονται, αλλά συνεκτιμώνται, υπό την προϋπόθεση ότι είναι στο πλαίσιο του ανώτατου προϋπολογισμού του έργου. Ο Ανάδοχος έχει την υποχρέωση να παραδώσει τα παραπάνω παραδοτέα και να κάνει όλες τις ενέργειες δράσεων και υποστήριξης που απαιτούνται για την έγκαιρη και ορθή υλοποίηση του έργου. Ο Ανάδοχος υποχρεούται, καθ όλη τη διάρκεια εκτέλεσης του έργου του, να συνεργάζεται με την Αναθέτουσα Αρχή, να λαμβάνει υπόψη του και να συμμορφώνεται προς τις οδηγίες, υποδείξεις και παρατηρήσεις της, για την άρτια υλοποίηση του έργου και των παραδοτέων αυτού. Χρόνος παράδοσης έργου: Για το GDPR το αργότερο έως 25 Μαΐου 2018 και για το ΣΔΑΠ το αργότερο έως 30 Σεπτεμβρίου 2018.