Implementacija sistema upravljanja bezbjednošću informacija (ISMS) prema standardu MEST EN ISO/IEC 27001:2022

CEJN ID

122999

Procedure

Small procurement

Contract type

Services

CPV classification

72222300IT services72262000IT services72263000IT services

PREDMET NABAVKE 1. UPRAVA ZA IZVRŠENJE KRIVIČNIH SANKCIJA - Implementacija i sertifikacija ISO 27001:2022 standarda CPV: 72222300, 72262000, 72263000 Procijenjena vrijednost: 20000 EUR USLOVI UČEŠĆA 1. 1.U postupku javne nabavke može da učestvuje samo privredni subjekat koji: 1) nije pravosnažno osuđivan i čiji izvršni direktor nije pravosnažno osuđivan za neko od krivičnih djela sa obilježjima: a) kriminalnog udruživanja; b) stvaranja kriminalne organizacije; c) davanje mita; č) primanje mita; ć) davanje mita u privrednom poslovanju; d) primanje mita u privrednom poslovanju; dž) utaja poreza i doprinosa; đ) prevare; e) terorizma; f) finansiranja terorizma; g) terorističkog udruživanja; h) učestovanja u stranim oružanim formacijama; i) pranja novca; j) trgovine ljudima; k) trgovine maloljetnim licima radi usvojenja; l) zasnivanja ropskog odnosa i prevoza lica u ropskom odnosu što se dokazuje na osnovu uvjerenja ili potvrde nadležnog organa izdatog na osnovu kaznene evidencije, u skladu sa propisima države u kojoj privredni subjekat ima sjedište, odnosno u kojoj ovlašćeno lice tog privrednog subjekta ima prebivalište 2. 2. U postupku javne nabavke može da učestvuje samo privredni subjekat koji je izmirio sve dospjele obaveze po osnovu poreza i doprinosa za penzijsko i zdravstveno osiguranje što se dokazuje na osnovu uvjerenja ili potvrde organa uprave nadležnog za poslove naplate poreza, odnosno nadležnog organa države u kojoj privredni subjekat ima sjedište 3. 3. U postupku javne nabavke može da učestvuje samo privredni subjekat koji je upisan u Centralni registar privrednih subjekata ili drugi odgovarajući registar u državi u kojoj privredni subjekat ima sjedište što se dokazuje dostavljanjem dokaza o registraciji u Centralnom registru privrednih subjekata ili drugom odgovarajućem registru, sa podacima o ovlašćenom licu privrednog subjekta. 4. 4.Drugi uslov: Uz ponudu ponuđač je dužan da dostavi predlog dinamičkog plana usklađen sa rokovima za faze. 5. 5.Način plaćanja je: virmanski 6. 6.Rok plaćanja: 30 dana od dana dostavljanja fakture. 7. 7.Mjesto izvršenja ugovora Uprava za izvršenje krivičnih sankcija, Velje brdo bb Podgorica. 8. 8.Period važenja ponude je 60 dana od dana javnog otvaranja ponuda 9. 9. Izjava ponuđača o ispunjenosti uslova utvrđenih zahtjevom i nepostojanju sukoba interesa, potpisana od strane ovlašćenog lica ponuđača, koja se sačinjava na Obrascu 2 iz Pravilnika o načinu sprovođenja jednostavnih nabavki („Službeni list CG“, broj 16/23 i 20/23,36/2023,114/2023,49/2024 i 114/2024). 10. 10.Rok izvršenja:Rok za realizaciju Faza 1, 2 i 3 je 90 dana od dana zaključenja ugovora, uključujući neradne dane i praznike. Vrijeme potrebno Naručiocu za pregled isporuka i davanje primjedbi ne uračunava se u rok izvršenja. Rokovi za faze: a)Faza1:Revizija postojeće GAP analize sa registrom nalaza; Mapa ključnih poslovnih procesa i tokova informacija; Dokument o obimu i granicama ISMS-a; Dinamički plan realizacije; Plan izrade dokumentacije sa registrom dokumenata; Finalni izvještaj sa preporukama i prioritetima-do 25. dana; b)Faza 2:Metodologija upravljanja rizicima; Registar informacione imovine; Izvještaj o procjeni rizika; Plan tretmana rizika; Izjava o primjenljivosti (SoA); Revizija analize uticaja na poslovanje (BIA), planova kontinuiteta poslovanja i oporavka ICT sistema, kompletna dokumentacija ISMS-a; materijali i evidencije o sprovedenim obukama - do 60. dana c)Faza 3: Program i plan interne provjere; Izvještaj o internoj provjeri; Plan korektivnih mjera sa dokazima o realizaciji; Zapisnik o preispitivanju od strane rukovodstva; Izvještaj o spremnosti za sertifikacionu provjeru - do 90. dana 11. 11.Dokaz odnosno sertifikat, koje izdaju akreditovana sertifikaciona tijela o ispunjavanju uslova kvaliteta predmeta nabavke: Ponuđač je, kao sastavni dio ponude, dužan dostaviti dokaze odnosno sertifikate o uspostavljenom sistemu menadžmenta bezbjednosti informacija, upravljanje privatnim informacijama, menadžmenta uslugama, menadžmenta kvaliteta, menadžmenta usklađenosti i menadžmenta kontinuiteta poslovanja. Ovaj uslov se dokazuje dostavljanjem sertifikata koji moraju biti izdati od akreditovanog sertifikacionog tijela. Sertifikati moraju glasiti na ponuđača kao pravno lice i područje sertifikacije mora da bude navedeno na sertifikatima, tako da obuhvata oblast implementacije ISO standarda i edukaciju (sprovođenje obuka). 12. 12.Drugi uslov: Naručilac obezbjeđuje: imenovanje projektnog tima i ovlašćenog lica za komunikaciju; pristup relevantnoj dokumentaciji, prostorijama i informacionim sistemima u obimu neophodnom za izvršenje ugovora; raspoloživost zaposlenih za intervjue, radionice i obuke; radni prostor tokom prisustva Izvršioca na lokaciji; blagovremeno razmatranje i usvajanje akata od strane rukovodstva. 13. 13.Garancija ponude podnosi se u elektronskom obliku putem ESJN. Izuzetno, ako ponuđač ne može da garanciju ponude podnese u elektronskom obliku, dužan je da putem ESJN dostavi kopiju garancije ponude, a da original garancije ponude dostavi, odnosno uruči naručiocu neposredno ili putem pošte, preporučenom pošiljkom najkasnije prije isteka roka za podnošenje ponuda. Adresa za neposredno uručivanje ili slanje putem pošte je: • neposrednom predajom Birou za javne nabavke naručioca na adresi Velje brdo bb, Podgorica, • preporučenom pošiljkom sa povratnicom na adresi Velje brdo bb, 81000 Podgorica - Biro za javne nabavke, radnim danima od 08:00 sati do 12:00 h, zaključno sa danom 12.10.2026. godine do 10:00 h. U slučaju da se ponuđač odluči da garanciju ponude dostavi preporučenom pošiljkom sa povratnicom, istu mora dostaviti do 12.10.2026. godine u 12:00h. Napomena: Garancija ponude u pisanom obliku se dostavlja, u originalu, u posebnoj koverti. na kojoj se navodi: naziv i sjedište naručioca, broj zahtjeva za koju se podnosi garancija, naziv, sjedište i adresa ponuđača i naznake "garancija ponude" i "ne otvaraj prije roka za otvaranje ponuda". Garancija ponude se određuje u iznosu od 2% procijenjene vrijednosti predmeta nabavke. Trajanje garancije ponude određuje se u skladu sa rokom važenja ponude i 7 dana od dana isteka roka važenja ponude. 14. 14.Privredni subjekat je dužan da posjeduje minimum stručnih i kadrovskih kapaciteta koji su potrebni za izvršenje ugovora što se dokazuje dokazom o angažovanju radne snage (kopija radne knjižice, prijava za osiguranje ili ugovor o radu ili ugovor o djelu) sa odgovarajućim referencama koje su potrebne za izvršenje predmeta nabavke u skladu sa zakonom i to : - dva ili više stručnih lica (stalno zaposlenih ili na drugi način angažovanih) koji imaju važeći sertifikat za Lead (eksternog) auditora za standard ISO/IEC 27001:2022. Sertifikat mora biti izdat od strane akreditovane kuće za personalnu sertifikaciju. - tri ili više stručnih lica (stalno zaposlenih ili na drugi način angažovanih) koji imaju važeći sertifikat za Lead implementatora za standard ISO/IEC 27001:2022. Sertifikat mora biti izdat od strane akreditovane kuće za personalnu sertifikaciju. Jedno ili više stručnih lica (stalno zaposlenih ili na drugi način angažovanih) koji imaju važeći sertifikat za Lead implementatora za standard ISO/IEC 27701. Sertifikat mora biti izdat od strane akreditovane kuće za personalnu sertifikaciju 15. 15.Privredni subjekat je dužan da posjeduje minimum iskustva na kvalitetnom i uspješnom izvršavanju istih ili sličnih poslova iz oblasti predmeta nabavke što se dokazuje dostavljanjem minimum tri potvre izdate od strane investitora, odnosno korisnika o pruženim uslugama, tokom prethodnih godina ali ne duže od pet godina, računajući i godinu u kojoj je započet postupak javne nabavke, koje sadrže opis i vrijednost predmeta nabavke, vrijeme realizacije ugovora i konstataciju da je ugovor blagovremeno i kvalitetno izvršen; Pod istim poslovima smatraće se imlementacija ISO 27001:2022 u okviru pravosudnih institucija, a pod sličnim sličnim poslovima implementacija sistema ISO 27001:2022 u okviru sistema državne uprave odnosno kompanijama gdje je većinski vlasnik država. KRITERIJUMI ZA IZBOR Partija 1: cijena 70 bodova; kvalitet 30 bodova. 1. Cijena 2. Parametar kvalitet: Kvalitet 1: Jedno ili više stručnih lica (stalno zaposlenih ili na drugi način angažovanih) koje ima važeći sertfikat CISA sertifikat il ekvivalent - 10 bodova Ekvivalentnim sertifikatom smatraće se sertifikat koji potvrđuje znanja i kompetencije iz oblasti revizije, kontrole i procjene informacionih sistema. Sertifikat ne mora biti izdat od strane istog sertifikacionog tijela, pod uslovom da program sertifikacije obuhvata navedene ili sadržajno uporedive oblasti i potvrđuje odgovarajući nivo stručnih kompetencija. Maksimalni broj bodova po ovom podkriterijumu je 10. Kvalitet će se vrednovati po apsolutnoj metodi na sljedeći način: Ponuđač koji dokaže da ima na raspolaganju lice sa traženim sertifikatom dobija 10 bodova. Ponuđač koji ne dokaže traženi kvalitet dobija 0 bodova. Kvalitet 2: Jedno ili više stručnih lica (stalno zaposlenih ili na drugi način angažovanih) koje ima važeći sertfikat CISSP sertifikat ili ekvivalent – 10 bodova Ekvivalentnim sertifikatom smatraće se sertifikat koji potvrđuje napredna znanja i kompetencije iz oblasti informacione i sajber bezbjednosti, a koji obuhvata najmanje sljedeće oblasti: zaštitu informacionih resursa i podataka, bezbjednosnu arhitekturu i inženjering, mrežnu i komunikacionu bezbjednost, upravljanje identitetima i kontrolom pristupa, procjenu i testiranje bezbjednosti, bezbjednosne operacije i upravljanje incidentima, kao i bezbjednost životnog ciklusa razvoja softvera. Sertifikat ne mora biti izdat od strane istog sertifikacionog tijela, pod uslovom da program sertifikacije obuhvata navedene ili sadržajno uporedive oblasti i potvrđuje odgovarajući nivo stručnih kompetencija. Maksimalni broj bodova po ovom podkriterijumu je 10. Kvalitet će se vrednovati po apsolutnoj metodi na sljedeći način: Ponuđač koji dokaže da ima na raspolaganju lice sa traženim sertifikatom dobija 10 bodova. Ponuđač koji ne dokaže traženi kvalitet dobija 0 bodova. Kvalitet 3: Jedno ili više stručnih lica (stalno zaposlenih ili na drugi način angažovanih) koje ima važeći sertfikat CISM sertifikat ili ekvivalent – 10 bodova Ekvivalentnim sertifikatom smatraće se sertifikat koji potvrđuje znanja i kompetencije iz oblasti cyber security strategy, upravljanje I rukoviđenje. Sertifikat ne mora biti izdat od strane istog sertifikacionog tijela, pod uslovom da program sertifikacije obuhvata navedene ili sadržajno uporedive oblasti i potvrđuje odgovarajući nivo stručnih kompetencija. Maksimalni broj bodova po ovom podkriterijumu je 10. Kvalitet će se vrednovati po apsolutnoj metodi na sljedeći način: Ponuđač koji dokaže da ima na raspolaganju lice sa traženim sertifikatom dobija 10 bodova. Ponuđač koji ne dokaže traženi kvalitet dobija 0 bodova. Napomena: Jedno lice može da posjeduje jedan ili više sertifikata. Kvalitet: Kvalitet 1 + Kvalitet 2 + Kvalitet 3 TEHNIČKA SPECIFIKACIJA 1. Predmet nabavke su konsultantske usluge uspostavljanja sistema upravljanja bezbjednošću informacija (u daljem tekstu: ISMS) kod Uprave za izvršenje krivičnih sankcija (u daljem tekstu: Naručilac), u skladu sa zahtjevima standarda MEST EN ISO/IEC 27001:2022, kao i priprema Naručioca za sertifikacionu provjeru od strane akreditovanog sertifikacionog tijela. Naručilac obrađuje informacije visokog stepena osjetljivosti, uključujući podatke o licima lišenim slobode, zdravstvene podatke, podatke o krivičnim osudama i mjerama bezbjednosti, podatke o zaposlenima, podatke od značaja za bezbjednost ustanova, kao i tajne podatke. Uspostavljanje formalnog, dokumentovanog i provjerljivog sistema upravljanja bezbjednošću informacija predstavlja preduslov za pouzdano i zakonito funkcionisanje informacionih sistema Naručioca. Cilj nabavke je uspostavljen, dokumentovan i u praksi primijenjen ISMS, osposobljen tim i puna spremnost Naručioca za sertifikacionu provjeru. Izvršilac je dužan da usluge pruži uz puno uvažavanje sljedećeg okvira: •MEST EN ISO/IEC 27001:2022 – Bezbjednost informacija, sajber bezbjednost i zaštita privatnosti – Sistemi upravljanja bezbjednošću informacija •ISO/IEC 27002:2022 – Kontrole bezbjednosti informacija; •ISO/IEC 27005 – Upravljanje rizicima bezbjednosti informacija; •ISO/IEC 27701:2019/2025 - Standard za upravljanje informacijama o privatnosti •ISO 22301 – Sistemi upravljanja kontinuitetom poslovanja, u dijelu koji podržava primjenu kontrola A.5.29 i A.5.30; •Zakon o informacionoj bezbjednosti („Službeni list CG“, br. 113/24) i podzakonski akti donijeti na osnovu tog zakona; •Zakon o zaštiti podataka o ličnosti, sa podzakonskim aktima; OBIM I GRANICE ISMS-a Obim ISMS-a obuhvata sve organizacione jedinice, poslovne procese, lokacije i informacione sisteme Naručioca u kojima se obrađuju informacije nastale u vršenju poslova izvršenja krivičnih sankcija, i to: 3.1 Organizacione jedinice i lokacije Sjedište Uprave i sve organizacione jedinice i zavodske lokacije Naručioca, uključujući prostorije za smještaj informaciono-komunikacione opreme. Spisak lokacija obuhvaćenih ISMS-om utvrđuje se u Fazi 1. 3.2 Ključni poslovni procesi Prijem, evidentiranje, premještaj i otpust lica lišenih slobode, vođenje ličnih listova i matičnih evidencija, zdravstvena zaštita i vođenje zdravstvene dokumentacije, tretman i resocijalizacija, obezbjeđenje ustanova i postupanje po bezbjednosnim incidentima, kadrovski poslovi, finansijsko-materijalni poslovi, javne nabavke, kancelarijsko poslovanje i arhiviranje, razmjena podataka sa sudovima, državnim tužilaštvima, Upravom policije i drugim nadležnim organima, poslovi informaciono-komunikacione podrške i održavanja koji uključuju I podršku u okviru sistema zaštite fizičke bezbijednosti. 3.3 Informacioni sistemi i tehnička infrastruktura Poslovne aplikacije i elektronske evidencije Naručioca, serverska i mrežna infrastruktura, radne stanice i prenosni uređaji, sistem elektronske pošte, veza sa zajedničkom informaciono-komunikacionom infrastrukturom državnih organa, sistem video nadzora, sistem tehničke kontrole pristupa, sistemi napajanja i klimatizacije prostorija za smještaj opreme. 3.4 Vrste informacija Podaci o ličnosti, uključujući posebne kategorije podataka (zdravstveni podaci, podaci o krivičnim osudama i mjerama bezbjednosti), tajni podaci u skladu sa Zakonom o tajnosti podataka koji nisu predmet analize, podaci od značaja za bezbjednost ustanova i interni organizacioni i finansijski podaci. OBIM USLUGA Usluge se moraju pružiti kroz četiri faze. Izvršilac je dužan da sve faze realizuje u saradnji sa projektnim timom Naručioca. 4.1 Faza 1 – Analiza postojećeg stanja i definisanje plana rada Izvršilac je dužan da: 1)Mapira ključne poslovne procese Naručioca, uključujući tokove informacija između organizacionih jedinica i tokove razmjene podataka sa eksternim organima, sa identifikovanim vlasnicima procesa; 2)Izvrši reviziju postojeće GAP analize (ISO 27001:2013 > ISO 27001:2022 ) rađenu poćetkom 2026 godine čiji će rezultat biti dat na uvid nakon potpisivanja ugovora.; 3)Analizira postojećih internih akta Naručioca zanovanih na ISO 27001:2013 i ugovore sa dobavljačima informaciono-komunikacionih usluga, sa ocjenom njihove upotrebljivosti u ISMS-u i preporukama za izmjenu; 4)Definiše obim i granice ISMS-a u skladu sa tačkom 4.3 standarda, sa obrazloženjem; 5)Izradi dinamički plan svih aktivnosti do sertifikacione provjere, sa nosiocima, rokovima i tačkama potrbnim odlukama; 6)Izradi plan izrade dokumentacije, koji obuhvata: a.identifikaciju svih dokumenata koje zahtijeva standard; b.identifikaciju dokumenata neophodnih za primjenu kontrola označenih kao primjenljive u Izjavi o primjenljivosti; c.identifikaciju dodatne dokumentacije koja nije eksplicitno propisana tekstom standarda, ali je neophodna za funkcionalnu, operativnu i organizacionu primjenu ISMS-a kod Naručioca – interni izvještaji o primjeni politika i procedura, operativna uputstva za alate koji se koriste u ISMS aktivnostima, unapređenje postojećih formi i evidencija i slično. Pod dodatnom dokumentacijom se ne podrazumijeva dokumentacija van okvira standarda; d.dinamiku izrade svakog pojedinačnog dokumenta odnosno grupe dokumenta, sa aktivnostima, nosiocima i rokovima; e.preporuke za unapređenje postojećih dokumenata, sa naznakom da li se dokument zadržava, mijenja ili zamjenjuje; 7)Izradi finalni izvještaj Faze 1 sa preporukama za unapređenje stanja i prioritetima za dalje aktivnosti. 4.2 Faza 2 – Projektovanje i uspostavljanje ISMS-a Izvršilac je dužan da: 1)U saradnji sa naručiocem sprovede identifikaciju i ocjenu rizika sa aspekta bezbjednosti informacija, što obuhvata izradu metodologije upravljanja rizicima sa kriterijumima prihvatljivosti rizika, popis i klasifikaciju informacione imovine sa dodijeljenim vlasnicima, sprovođenje procjene rizika kroz radionice sa vlasnicima procesa i izradu plana tretmana rizika sa nosiocima i rokovima; 2)Izradi Izjavu o primjenljivosti (Statement of Applicability – SoA), koja obuhvata svih 93 kontrola Priloga A, sa obrazloženjem uključivanja odnosno isključivanja svake kontrole, statusom primjene i vezom prema odgovarajućem dokumentu i dokazu; 3)Sprovede reviziju usklađivanje postojeće analize uticaja na poslovanje (BIA) i plana kontinuiteta poslovanja i plana oporavka informaciono-komunikacionih sistema sa moguićim novim mjerama, u obimu potrebnom za primjenu kontrola A.5.29 i A.5.30; 4)Kreira svu neophodnu nedostajuću dokumentaciju – politike, procedure, pravilnike, uputstva, obrasce i evidencije kao i prilagodi postojeću dokumentaciju zahtjevima standarda, u obimu utvrđenom u poglavlju 5. ove specifikacije i planom iz Faze 1; 5)Pruži podršku u praktičnoj primjeni dokumentacije u svakodnevnom radu, uključujući davanje konkretnih modela dokumenata, modifikovanje postojećih modela Naručioca i davanje smjernica članovima projektnog tima za samostalnu izradu i prilagođavanje dokumentacije; 6)Sprovede edukaciju u obimu utvrđenom u poglavlju 6. ove specifikacije. Dokumentacija mora biti prilagođena specifičnostima Naručioca i njegovim postojećim poslovnim procesima. Izvršilac je dužan da aktivno učestvuje u pripremi svakog pojedinačnog dokumenta, kako novih, tako i onih koji se prilagođavaju. 4.3 Faza 3 – Interna provjera, preispitivanje od strane rukovodstva i priprema za sertifikaciju Izvršilac je dužan da: 1)Sprovede internu provjeru prije sertifikacione provjere, na isti način na koji će biti izvedena sertifikaciona provjera, kako bi se preduprijedile eventualne primjedbe sertifikacionog tijela. Interna provjera obuhvata provjeru saglasnosti u odnosu na zahtjeve standarda i u odnosu na cjelokupnu dokumentaciju sistema, na svim lokacijama u obimu, uz aktivno učešće obučenih internih auditora Naručioca; 2)Izradi izvještaj o internoj provjeri, sa nalazima klasifikovanim na velike neusaglašenosti, male neusaglašenosti, opservacije i prilike za poboljšanje, uz dokaze i preporuke; 3)Zajedno sa najvišim rukovodstvom Naručioca sprovede preispitivanje od strane rukovodstva u odnosu na primjenu zahtjeva standarda, uz pripremu ulaznih materijala i izradu zapisnika sa odlukama i zaduženjima; 4)Izvrši završnu ocjenu spremnosti Naručioca za sertifikacionu provjeru; 5)Ukoliko se u toku interne provjere identifikuju nepravilnosti, neslaganja ili oblasti za poboljšanje, sprovede ponovnu obuku i pruži podršku u definisanju korektivnih mjera i dopuni odnosno izmjeni dokumentacije, do postizanja potpune usklađenosti sa zahtjevima standarda. Ova obaveza se izvršava bez dodatne naknade. MINIMALNI OBIM DOKUMENTACIJE Obaveza izrade dokumenta postoji za sve zahtjeve tačaka 4 do 10 standarda i za sve kontrole Priloga A koje su u Izjavi o primjenljivosti označene kao primjenljive. Konačan spisak dokumenata utvrđuje se planom izrade dokumentacije iz Faze 1 i podliježe pisanoj saglasnosti Naručioca, s tim što obavezno obuhvata najmanje sljedeće cjeline. 5.1 Dokumentacija po zahtjevima tačaka 4 do 10 standarda Obim ISMS-a; politika bezbjednosti informacija; uloge, odgovornosti i ovlašćenja; metodologija upravljanja rizicima; izvještaj o procjeni rizika; plan tretmana rizika; Izjava o primjenljivosti; ciljevi bezbjednosti informacija sa mjerljivim indikatorima i planom realizacije; upravljanje dokumentovanim informacijama; dokazi o kompetentnosti i program podizanja svijesti; operativno planiranje i kontrola; praćenje, mjerenje, analiza i vrednovanje; program i izvještaji interne provjere; zapisnici o preispitivanju od strane rukovodstva; evidencija neusaglašenosti i korektivnih mjera. 5.2 Organizacione kontrole (A.5.1 – A.5.37) Politike po pojedinačnim oblastima bezbjednosti informacija; podjela dužnosti; komunikacija sa nadležnim organima i sa CIRT-om; praćenje podataka o prijetnjama; bezbjednost informacija u upravljanju projektima; registar informacione imovine sa utvrđenim vlasništvom; pravila prihvatljivog korišćenja imovine i povraćaja imovine; klasifikacija i označavanje informacija, usklađeni sa Zakonom o tajnosti podataka; prenos informacija; kontrola pristupa, upravljanje identitetima, upravljanje autentikacionim informacijama i upravljanje pravima pristupa; bezbjednost u odnosima sa dobavljačima, bezbjednosne klauzule u ugovorima, upravljanje bezbjednošću u lancu snabdijevanja informaciono-komunikacionim proizvodima i uslugama i praćenje usluga dobavljača; korišćenje usluga u oblaku; upravljanje incidentima bezbjednosti informacija, uključujući planiranje i pripremu, procjenu i odlučivanje o događajima, odgovor na incidente, učenje iz incidenata i prikupljanje dokaza; bezbjednost informacija tokom prekida i spremnost informaciono-komunikacionih sistema za kontinuitet poslovanja; registar zakonskih, regulatornih i ugovornih zahtjeva; zaštita autorskih prava; zaštita zapisa; zaštita podataka o ličnosti; nezavisna provjera bezbjednosti informacija; provjera usklađenosti sa politikama i standardima; dokumentovane operativne procedure. 5.3 Kontrole koje se odnose na ljude (A.6.1 – A.6.8) Provjera kandidata, usklađena sa posebnim uslovima za zapošljavanje kod Naručioca; bezbjednosne odredbe u ugovorima o radu; program svijesti, edukacije i obuke o bezbjednosti informacija; postupanje u slučaju povrede pravila bezbjednosti informacija; obaveze po prestanku ili promjeni radnog odnosa; izjave o povjerljivosti; rad na daljinu; prijavljivanje događaja bezbjednosti informacija. 5.4 Fizičke kontrole (A.7.1 – A.7.14) Bezbjednosni perimetri i kontrola fizičkog ulaza; obezbjeđenje kancelarija, prostorija i objekata; praćenje fizičke bezbjednosti, uključujući pravila korišćenja sistema video nadzora usklađena sa propisima o zaštiti podataka o ličnosti; zaštita od fizičkih prijetnji i prijetnji iz okruženja; rad u bezbjednim zonama; čist sto i čist ekran; smještaj i zaštita opreme; zaštita imovine izvan prostorija Naručioca; upravljanje medijima za skladištenje podataka; pomoćni sistemi, uključujući napajanje i klimatizaciju; bezbjednost kablovske infrastrukture; održavanje opreme; bezbjedno odlaganje ili ponovna upotreba opreme. 5.5 Tehnološke kontrole (A.8.1 – A.8.34) Korisnički uređaji; privilegovana prava pristupa; ograničenje pristupa informacijama; pristup izvornom kodu; bezbjedna autentikacija; upravljanje kapacitetima; zaštita od zlonamjernog koda; upravljanje tehničkim ranjivostima; upravljanje konfiguracijama; brisanje informacija; maskiranje podataka; sprječavanje curenja podataka; rezervne kopije podataka; redundantnost sistema za obradu informacija; evidentiranje događaja; praćenje aktivnosti; sinhronizacija vremena; korišćenje privilegovanih uslužnih programa; instalacija softvera na produkcione sisteme; bezbjednost mreže; bezbjednost mrežnih usluga; segregacija mreža; filtriranje veb sadržaja; korišćenje kriptografije; bezbjedan životni ciklus razvoja; bezbjednosni zahtjevi za aplikacije; principi bezbjedne arhitekture i inženjerstva sistema; bezbjedno kodiranje; bezbjednosno testiranje u razvoju i prihvatanju; eksterni razvoj; razdvajanje razvojnog, testnog i produkcionog okruženja; upravljanje promjenama; zaštita testnih podataka; zaštita informacionih sistema tokom provjera. 5.6 Obrasci i evidencije Najmanje: registar informacione imovine; registar rizika; registar incidenata; registar neusaglašenosti i korektivnih mjera; registar odobrenih izuzetaka; registar obuka; registar dobavljača; evidencija zahtjeva i odobrenja pristupa; evidencija izdatih medija i opreme; evidencija testiranja rezervnih kopija. 5.7 Jezik i format Sva dokumentacija se izrađuje na crnogorskom jeziku ili drugom jeziku koji je u službenoj upotrebi u Crnoj Gori, u formatu i strukturi internih akata Naručioca, i isporučuje se u izvornom (editabilnom) formatu i u PDF formatu. Nije prihvatljiva isporuka generičkih predložaka bez prilagođavanja stvarnim procesima Naručioca. OBIM OBUKA Izvršilac je dužan da sprovede akreditovanu edukaciju, i to: •za članove projektnog tima i najviše rukovodstvo – 10 polaznika; •za zaposlene koji su dio sistema – 30 polaznika •za menadžera bezbjednosti informacija (ISMS menadžer) – 2 polaznika; Obuke zaposlenih sprovode se za vrijeme implementacije, sa zaposlenima koji su u tom periodu aktivni. Obuke moraju biti prilagođene po tipu odnosno grupi zapolsenih navedenih iznad. IZVAN OBIMA Predmetom ove nabavke nijesu obuhvaćeni: •sertifikaciona provjera i izdavanje sertifikata; •nabavka, isporuka i implementacija hardvera, softvera i licenci; •penetraciono testiranje i tehnička procjena ranjivosti informacionih sistema; •testiranje planova kontinuiteta poslovanja i oporavka informaciono-komunikacionih sistema (izrada planova jeste obuhvaćena); •održavanje ISMS-a nakon implementacije. Za mjere iz plana tretmana rizika čija realizacija zahtijeva nabavku tehničkih rješenja, Izvršilac izrađuje tehničke preporuke, a njihovu realizaciju obezbjeđuje Naručilac. NAČIN PRUŽANJA USLUGE I DOSTUPNOST Izvršilac je dužan da uslugu pruža kombinacijom rada na daljinu i prisustva na lokaciji Naručioca, u zavisnosti od prirode i složenosti aktivnosti, kao i po pozivu Naručioca. Prisustvo na lokaciji Naručioca obavezno je za: radionice procjene rizika, obuke, internu provjeru, preispitivanje od strane rukovodstva. Za ostale aktivnosti koje to omogućavaju, komunikacija i podrška mogu se obavljati na daljinu, putem onlajn sastanaka, elektronske pošte i drugih dogovorenih kanala elektronske komunikacije. Izvršilac mora biti fleksibilan i spreman da se, u dogovoru sa Naručiocem, prilagodi dinamici rada. Izvršilac mora biti dostupan za komunikaciju tokom redovnog radnog vremena Naručioca, a po potrebi i van tog vremena, isključivo za potrebe koje proizilaze iz procesa uspostavljanja i dokumentovanja ISMS-a, odnosno za hitne konsultacije, pripremu ključnih dokumenata ili neophodne korekcije usmjerene na ispunjavanje ciljeva projekta. Svi materijali i komunikacija moraju biti na crnogorskom jeziku ili drugom jeziku koji je u službenoj upotrebi u Crnoj Gori, u skladu sa Ustavom i zakonom. Izvršilac se obavezuje da sve podatke koje dobije od Naručioca ili do kojih dođe tokom procesa uspostavljanja sistema upravljanja bezbjednošću informacija, a koji nemaju javni karakter, tretira kao poslovnu tajnu. Izvršilac i svako lice koje angažuje potpisuju izjavu o povjerljivosti prije pristupa bilo kojem podatku Naručioca. Za pristup tajnim podacima primjenjuju se odredbe Zakona o tajnosti podataka, uključujući obavezu posjedovanja odgovarajuće dozvole za pristup tajnim podacima. Pristup lokacijama Naručioca podliježe internim bezbjednosnim pravilima Naručioca, uz prethodnu najavu i pratnju. Izvršilac ne smije iznositi podatke Naručioca izvan njegovih prostorija niti ih obrađivati u eksternim uslugama u oblaku bez prethodne pisane saglasnosti Naručioca. Svi podaci prikupljeni tokom izvršenja ugovora brišu se ili vraćaju Naručiocu po primopredaji, uz pisanu potvrdu o brisanju. Sva prava na isporučenoj dokumentaciji prelaze na Naručioca; Izvršilac zadržava pravo korišćenja sopstvenih metodoloških predložaka. KRITERIJUMI PRIHVATANJA ISPORUKA Svaka isporuka dostavlja se u elektronskom obliku. Naručilac u roku od pet radnih dana daje pisanu saglasnost ili primjedbe, a Izvršilac otklanja primjedbe u roku od tri radna dana. Isporuka se smatra prihvaćenom tek nakon pisane saglasnosti ovlašćenog lica Naručioca. Isporuka se prihvata ako ispunjava sljedeće kriterijume: •potpunost u odnosu na zahtjeve ove tehničke specifikacije i plan izrade dokumentacije iz Faze 1; •provjerljiva usklađenost sa zahtjevima standarda, koja se dokazuje matricom pokrivenosti zahtjeva i kontrola; •prilagođenost stvarnim poslovnim procesima, organizacionoj strukturi i terminologiji Naručioca; •jezička i terminološka ispravnost i usklađenost sa formatom internih akata Naručioca. Količina: 1 komplet DOKUMENTI 1. izjava o nepostoojanju sukoba intresa.pdf https://cejn.gov.me/api/common/downloadFile/3511665