In riferimento alla Relazione descrittiva della modalità di esecuzione del servizio, si chiede di chiarire e/o indicare quanto segue:

Metodologia di analisi e valutazione: si chiede di indicare quali soluzioni sono presenti per l’asset inventory & scoping

3.1.2 I Implementazione dei Pilastri tecnici e Organizzativi: si chiede di indicare quali soluzioni PAM sono presenti e nel caso di assenza, se è stato stanziato un budget per l’acquisizione di una tecnologia PAM

3.1.2 L Implementazione dei Pilastri tecnici e Organizzativi: si chiede di indicare se è stato stanziato un budget per l’estensione di tecnologia MFA, se è già implementata tecnologia MFA relativo accordo di fornitura

Supply Chain e supporto al procurement: si chiede di conoscere il numero di fornitori e dichiarare se esiste un elenco aggiornato degli attuali fornitori



Quante persone dell’organizzazione saranno coinvolte come team interno di supporto all’analisi per le misure della NIS2 e dell’implementazione del SGSI e con che impegno;



Si chiede di indicare se e quali soluzioni sono attualmente presenti e dotate di idonea licenza per l’implementazione di strategie di backup offline o immutabili;



3.1.2 G Implementazione dei Pilastri tecnici e Organizzativi Si chiede di chiarire se la Cyber Hygiene & Awareness è soggetta alla PCI-DSS e il livello attuale di adeguamento;



In riferimento al punto 3.1.2 -d del capitolato, si chiede di chiarire l’organizzazione è dotata o intende adottare, a proprie spese, una soluzione di Third-Party Rsk Management (così come definita)



In riferimento al punto 3.1.2 -e del capitolato, si chiede di chiarire se l’organizzazione è dotata o intende adottare, a proprie spese, una soluzione di Vulnerability Management e Patch Management, di cui si chiede l’implementazione;



In riferimento al punto 3.1.2 -G. si chiede di chiarire se si richiede la fornitura di una soluzione di Awareness per i dipendenti, con le caratteristiche descritte. In caso affermativo si chiede di specificare il numero di dipendenti da includere;



In riferimento al punto 3.1.2 -I. del capitolato , si chiede di chiarire se l’organizzazione è dotata o intende adottare, a proprie spese, una soluzione PAM e SIEM per le implementazioni richieste, e nel caso siano già presenti quali siano queste soluzioni;

In relazione a quanto riportato nella lettera di invito, si rileva che le attività per le quali è previsto il divieto (Supporto Strategico NIS 2, Risk Assessment, Notifica Incidenti e Project Management) costituiscono la parte prevalente e qualificante del servizio.

Imporre l’esecuzione diretta per la totalità di tali prestazioni a un unico soggetto - che deve possedere contemporaneamente competenze informatiche, legali e di audit - appare in contrasto con il principio di massima partecipazione. Tenuto conto delle indicazioni giurisprudenziali più recenti, i limiti al subappalto devono essere eccezionali e proporzionati. Nel caso di specie, le motivazioni addotte (riservatezza e responsabilità) possono essere garantite attraverso:

Sottoscrizione di rigidi Accordi di Riservatezza anche da parte dei subappaltatori.Responsabilità solidale dell'appaltatore principale verso la Stazione Appaltante.

La rimozione di tali vincoli permetterebbe ad AMTAB di ricevere offerte tecnicamente più elevate, grazie al coinvolgimento di partner ultra-specializzati per singole nicchie.

Pertanto, si chiede la rimozione del vincolo relativo al divieto di subappalto almeno per le attività di seguito riportate:

Supporto Strategico all’Organo Direttivo (Board) ai sensi dell’art. 38 Direttiva “NIS 2 “Conduzione del Risk Assesstment e redazione della Dichiarazione di Applicabilità (SoA)Attività di supporto alla gestione e notifica degli incidenti gravi all’Agenzia per la Cibersicurezzaa Nazionale (ACN)

Spettabile Stazione Appaltante,

con la presente chiediamo gentilmente quanto segue: è necessario compilare sia il DGUE sia la domanda di partecipazione? Oppure è possibile compilare solamente la domanda di partecipazione?

Grazie per la disponibilità

Cordiali saluti

Buongiorno,
con riferimento alla presente procedura si pongono le seguenti richieste di chiarimento:
1. Si chiede di confermare che non essendo richiesto, all'interno della Lettera d'invito, il possesso di requisiti di capacità economico-finanziaria o tecnico-professionale, quanto richiesto di indicare alla lettera E. - secondo punto elenco della domanda di partecipazione possa essere considerato un refuso.
2. Si chiede inoltre di indicare in quale busta virtuale "Busta Amministrativa" o "Busta Economica" debba essere inserita la Relazione descrittiva della modalità di esecuzione del servizio richiesta a pag. 2 della Lettera d'invito.

In attesa di un cortese riscontro, si ringrazia anticipatamente per l'attenzione accordata.
Cordiali saluti.

Spett.le AMTAB S.p.a

Si richiede cortesemente conferma che l'importo di 139.000 euro, indicato come importo a base d'asta, si riferisca esclusivamente alle attività di adeguamento NIS 2 e ISO 27001 descritte nel capitolato, e che le ore di assistenza specialistica debbano essere quotate separatamente rispetto a tale importo.

Ringraziando per la disponibilità, restiamo in attesa di un vostro gentile riscontro.

Cordiali saluti.