Набавка система за централизовано управљање електронским идентитетима Министарства - 3. фаза

b. Opis i specifikacija predmeta nabavke i uslovi izvrsenja jn 17.docx ОПИС И СПЕЦИФИКАЦИЈА ПРЕДМЕТА ЈАВНЕ НАБАВКЕ И УСЛОВИ ИЗВРШЕЊА ЈН 17/2026 Јавна набавка добара: ЈН 17/2026 - Набавка система за централизовано управљање електронским идентитетима Министарства - 3. фаза Предмет јавне набавке: Предмет јавне набавке је набавка и интеграција решења у оквиру треће фазе пројекта Identity Governance and Administration (IGA), укључујући и набавку 600 лиценци за Endpoint Security Enterprise, 600 лиценци за EDR и 600 лиценци за App Control са укљученом подршком за годину дана од дана пуштања система. Испоручене лиценце морају бити on-premise. Како би се обезбедила изводљивост, имплементација треће фазе , иста се дели у фазе. Фазе имају интегритет, њима се може управљати засебно и пружају потпуну функционалност у оквиру опсега имплементације. Фазним приступом обезбеђује се логична технолошка еволуција и постепено сазревање организације у управљању безбедношћу крајњих тачака. Фазе реализације: –Фаза 1: Израда анализе решења и предлога архитектуре система (израда blueprint документа), испорука лиценци за Endpoint Security Enterprise, EDR и App Control, и успостављање централне управљачке инфраструктуре; –Фаза 2: Имплементација Endpoint Security Enterprise на све радне станице и сервере МИНРЗС, дефинисање и примена безбедносних политика, миграција са постојећег антивирусног решења; –Фаза 3: Имплементација EDR — успостављање континуираног снимања активности, дефинисање wатцхлисти и правила детекције, успостављање процедура одговора на инциденте; –Фаза 4: Имплементација App Control на критичним серверима (апликативни и датабасе сервери), успостављање позитивних листа и режима закључавања (лоцкдоwн); –Фаза 5: Интеграција са постојећом платформом (IGA, PAM, SIEM), напредно извештавање, обука администратора и корисника, и потписивање Записника о примопредаји од стране Наручиоца. Предложене фазе су логичке целине чија се динамика реализације може прилагодити различитим плановима. Све наведене фазе су предмет ове набавке. Динамика плаћања: Плаћање ће се извршити на следећи начин: 35.000.000,00 динара са ПДВ након завршетка Фазе 1 и потписаног записника о завршетку Фазе 1 Остатак након завршетка имплементације и потписаног записника о испоруци целокупног система Начин, рок и услови плаћања: Плаћање се врши уплатом на рачун изабраног понуђача. Плаћање се врши, у року од 15-45 дана (биће преузето из понуде), почев од дана уредно примљене фактуре, достављене у складу са важећим прописима који уређују издавање, слање, пријем, обраду, чување, садржину и елементе електронских фактура и мора да буде издата у складу у складу са Правилником о електронском фактурисању („Службени гласник РС”, брoj 47/2023, 116/2023, 65/2024, 73/2024, 101/2024, 107/2024, 56/2025, 85/2025 и 36/2026), која поред прописаних елемената, мора садржати број и датум закљученог уговора. Понуђачу није дозвољено да захтева аванс. Уз фактуру се након завршетка Фазе 1 обавезно доставља и записника о завршетку Фазе 1 који сачињава изабрани Понуђач, а који мора да садржи детаљну спецификацију, односно врсту и опис испоручених добара/завршених активности, потписаних од стране овлашћеног лица Наручиоца без примедби, а након завршетка имплементације и потписани записник о испоруци целокупног система који сачињава изабрани Понуђач, а који мора да садржи детаљну спецификацију, односно врсту и опис завршених активности, потписан од стране овлашћеног лица Наручиоца без примедби. Рок испоруке/извршења: Рок испоруке система је 12 месеци од дана закључења уговора. Начин спровођења контроле и обезбеђивање гаранције квалитета: Контрола квалитета вршиће се приликом примопредаје сваког дела система, као и система у целини, од лица или комисије које одреди Наручилац уз усаглашен и потписан Записник од стране Изабраног понуђача и овлашћеног лица Наручиоца. Гарантни рок: Гарантни период за имплементирани систем износи минимално 12 (словима: дванаест) месеци од дана потписивања Записника о пријему система. Радње које се предузимају у гарантном року: Добављач гарантује да ће одржавати потпуно оперативан и исправан систем и да ће отклонити све недостатке и грешке у функционисању. У случају појаве било каквих грешака и прекида у раду система, Наручилац ће о томе обавестити Добављача и омогућити му да установи и отклони прекид у раду, односно грешку и неисправност. Уколико Добављач не отклони недостатке у року утврђеним овим Уговором, Наручилац ће активирати средство обезбеђења за отклањање недостатака у гарантном року. Место испоруке/извршења: Државни дата Центар, Београд, Катићева 14. или друга локација коју наручилац одреди. Напомена: Понуђач је дужан да достави уз понуду: –Предлог и методологију извођења обуке крајњих корисника и администратора система; –Попуњену Листу сагласности на техничке захтеве (SOC — Statement of Compliance). (Понуђач ће се за сваку ставку појединачно изјаснити да ли понуђени систем задовољава или не задовољава захтев из табеле). –Потврду о извршеном упознавању са архитектуром и карактеристикама система Наручиоца (Заинтересовани понуђач је дужан да се детаљно упозна са архитектуром и карактеристикама система Наручиоца. Понуђач ће на попуњеном обрасцу доставити захтев за упознавање са ИТ системом наручиоца, Сектору за информационе технологије на мејл адресу stanisa.grkovic@minrzs,gov.rs ). Сектор за информационе технологије, ће након упознавања са системом, издати заинтересованом понуђачу потврду да је извршио упознавање са системом. *Недостатак било ког од претходно наведених докумената доводи до тога да ће се Понуда сматрати неприхватљивом и да се иста неће разматрати. c. Tehnicka specifikacija jn 17.docx ТЕХНИЧКА СПЕЦИФИКАЦИЈА за Набавку система за централизовано управљање електронским идентитетима Министарства - 3. фаза - ЈН 17/2026 (Наставак имплементације безбедносног система Министарства за рад, запошљавање, борачка и социјална питања — проширење постојеће Symantec безбедносне платформе решењима Endpoint Security Enterprise, EDR- Endpoint Detection and Response и App Control - Application Control ) Увод С обзиром на осетљивост података који су предмет обраде апликативних система Министарства за рад, запошљавање, борачка и социјална питања (у даљем тексту МИНРЗС), као и штете која би могла настати неауторизованим приступом, изменом, брисањем или шифровањем података услед злонамерног кода, препозната је потреба за свеобухватном заштитом информационог система. Подаци који се обрађују обухватају посебно осетљиве категорије података о личности (подаци о корисницима социјалне заштите, борачко-инвалидске заштите, подаци о запосленима и др.), због чега је ниво заштите потребно континуирано унапређивати. У претходним фазама МИНРЗС је успоставило темеље безбедносне архитектуре: имплементирана је платформа Symantec IGA (Identity Governance and Administration) за централизовано управљање корисничким налозима и јединствено пријављивање на апликативне системе, као и платформа Symantec Privileged Access Management (PAM) за управљање привилегованим налозима. Тиме је решено питање КО приступа системима и СА КОЈИМ правима. Логичан наставак изградње безбедносног система јесте заштита самих крајњих тачака (радних станица и сервера) на којима се подаци обрађују — односно питање ШТА се на тим системима извршава и ДА ЛИ је понашање система легитимно. Без заштите крајњих тачака, компромитована радна станица легитимно пријављеног корисника представља директан пут до осетљивих података, чиме се обесмишљавају инвестиције у управљање идентитетима и привилегованим приступом. Предмет ове набавке је проширење постојећег безбедносног система МИНРЗС решењима за напредну заштиту крајњих тачака (Endpoint Protection), детекцију и одговор на претње на крајњим тачкама (Endpoint Detection and Response — EDR) и контролу извршавања апликација (Application Control), уз интеграцију са постојећом Symantec безбедносном платформом (IGA, PAM). Документом се даје опис тренутног стања, циљ система, као и захтеване техничке карактеристике решења које је предмет набавке. Опис тренутног стања ИКТ систем МИНРЗС има: 400 интерних корисничких и 900 екстерних корисничких лиценци за Symantec IGA (идентитy манагемент), са имплементираном платформом и интегрисаним апликацијама; Лиценце за 3 уређаја за управљање привилегованим приступом — Symantec Privileged Access Management (PAM); Око 550 радних станица (Windows оперативни системи) на локацијама МИНРЗС и Инспектората за рад; Око 40 физичких и виртуелних сервера (Windows Server, Linux) на којима се извршавају апликативни системи МИНРЗС (Oracle Forms, PHP/MySQL апликације, DMS, портали и др.); 28 апликација и подсистема (преглед дат у техничкој спецификацији система за дигитализацију идентитета — ИИ фаза), од којих значајан број обрађује посебно осетљиве податке и доступан је и екстерним корисницима (центри за социјални рад, установе, послодавци). Заштита крајњих тачака тренутно је заснована на класичном антивирусном решењу, без напредних механизама детекције понашања, без могућности централизованог лова на претње (threat hunting), без форензичког увида у активности на крајњим тачкама и без механизма контроле извршавања апликација на критичним серверима. Не постоји централизована видљивост безбедносних догађаја са крајњих тачака нити могућност брзог одговора (изолација станице, заустављање процеса) у случају инцидента. Напомена: тачан број радних станица и сервера који су предмет заштите биће потврђен током фазе анализе. Циљ система Основни циљ је даље унапређење безбедности података МИНРЗС проширењем безбедносне политике са нивоа идентитета и приступа (реализовано кроз IGA и PAM) на ниво крајњих тачака, имплементацијом следећих заштитних слојева: Превенција — заштита радних станица и сервера од злонамерног кода, експлоатације рањивости и мрежних напада ( Endpoint Security Enterprise); Детекција и одговор — континуирано снимање активности на крајњим тачкама, детекција напредних претњи, лов на претње и брз одговор на инциденте ( EDR); Контрола апликација — спречавање извршавања неауторизованог софтвера на критичним серверима применом позитивних листа (application allowlisting) и надзор интегритета датотека ( App Control). Овим се заокружује концепт слојевите одбране (дефенсе ин дептх): централизовано управљан идентитет (IGA), контролисан привилегован приступ (PAM), заштићена крајња тачка (СЕС), видљивост и одговор (EDR) и гарантован интегритет критичних система (App Control). Систем за напредну заштиту крајњих тачака и контролу апликација Систем мора бити модуларан, а основне компоненте морају обухватити следеће функционалности: Напредна заштита крајњих тачака (Endpoint Protection Platform — EPP) са јединственим агентом за радне станице и сервере; Детекција и одговор на претње на крајњим тачкама (Endpoint Detection and Response — EDR) са могућношћу лова на претње и форензичке анализе; Контрола извршавања апликација (Application Control) са позитивним листама и надзором интегритета датотека; Централизована конзола за управљање политикама, надзор и извештавање; Интеграција са постојећом безбедносном платформом МИНРЗС (Symantec IGA, PAM) и могућност прослеђивања догађаја ка SIEM систему. Захтевана решења морају чинити технолошки конзистентну целину са постојећом Symantec платформом МИНРЗС, ради јединственог управљања, смањења оперативне сложености и заштите постојећих инвестиција. Опсег система Како би се обезбедила изводљивост, имплементација се дели у фазе. Фазе имају интегритет, њима се може управљати засебно и пружају потпуну функционалност у оквиру опсега имплементације. Фазним приступом обезбеђује се логична технолошка еволуција и постепено сазревање организације у управљању безбедношћу крајњих тачака. Фазе реализације: Фаза 1: Израда анализе решења и предлога архитектуре система (израда blueprint документа), испорука лиценци за Endpoint Security Enterprise, EDR и App Control, и успостављање централне управљачке инфраструктуре; Фаза 2: Имплементација Endpoint Security Enterprise на све радне станице и сервере МИНРЗС, дефинисање и примена безбедносних политика, миграција са постојећег антивирусног решења; Фаза 3: Имплементација EDR — успостављање континуираног снимања активности, дефинисање wатцхлисти и правила детекције, успостављање процедура одговора на инциденте; Фаза 4: Имплементација App Control на критичним серверима (апликативни и датабасе сервери), успостављање позитивних листа и режима закључавања (лоцкдоwн); Фаза 5: Интеграција са постојећом платформом (IGA, PAM, SIEM), напредно извештавање, обука администратора и корисника, и потписивање Записника о примопредаји од стране Наручиоца. Предложене фазе су логичке целине чија се динамика реализације може прилагодити различитим плановима. Све наведене фазе су предмет ове набавке. Захтеване техничке карактеристике Намена система МИНРЗС уводи нове сервисе који имају за циљ побољшање ефикасности, бољи надзор и контролу, већу безбедност и интеграцију више система. Овај приступ захтева да свака крајња тачка на којој се обрађују подаци буде заштићена од савремених претњи, да безбедносни тим има потпуну видљивост дешавања на крајњим тачкама и могућност брзог одговора, као и да се на критичним серверима извршава искључиво ауторизован софтвер. Разлози за увођење система Увођење система иницирано је порастом броја и софистицираности сајбер напада на органе јавне управе (рансомwаре, циљани напади, злоупотреба легитимних алата), недостатком видљивости активности на крајњим тачкама, немогућношћу брзог одговора на инциденте, као и потребом усклађивања са Законом о информационој безбедности и пратећим подзаконским актима који се односе на ИКТ системе од посебног значаја. Листа сагласности на техничке захтеве (SOC — Statement of Compliance) Понуђено решење мора да задовољи техничке карактеристике приказане у табели испод. Понуђач ће се за сваку ставку из табеле Листа сагласности на техничке захтеве појединачно изјаснити да ли задовољава или не задовољава захтев избором једног од допуштених одговора: ДА, НЕ уписом у поље сваке ставке. Бр. О П И С 1. ОПШТЕ КАРАКТЕРИСТИКЕ ПОНУЂЕНОГ РЕШЕЊА 1.1 Јединствена безбедносна платформа Понуђено решење за заштиту крајњих тачака (EPP), детекцију и одговор (EDR) и контролу апликација мора чинити технолошки конзистентну целину истог произвођача, компатибилну са постојећом Symantec безбедносном платформом Наручиоца (Symantec IGA, Symantec PAM), ради јединственог управљања и заштите постојећих инвестиција. 1.2 Обухват лиценцирања Понуђач мора испоручити лиценце за заштиту радних станица и сервера (физичких и виртуелних), са правом коришћења и подршком произвођача у трајању од најмање 12 месеци. Коначна расподела лиценци по компонентама биће потврђена током фазе анализе и након упознавања са инфраструктуром наручиоца . Све испоручене лиценце морају бити on-premise и морају бити од истог произвођача. 1.3 Агенти истог произвођача Сви агенти који се инсталирају на крајње тачке (агент за заштиту крајњих тачака — EPP, EDR сензор и агент за контролу апликација) морају бити од истог произвођача. Дозвољена је употреба одвојених агената за поједине функционалности, под условом да агенти могу несметано коегзистирати на истој крајњој тачки, без међусобних конфликата и уз минималан утицај на перформансе крајњих тачака. 1.4 Подржане платформе Решење мора подржавати заштиту крајњих тачака са оперативним системима Windows (клијентски и серверски), Linux и мацОС. Решење мора подржавати рад у физичком и виртуелизованом окружењу. 1.5 Централизовано управљање Решење мора обезбедити централизовану управљачку конзолу за дефинисање и дистрибуцију безбедносних политика, груписање крајњих тачака (по организационим јединицама, локацијама, типу система), надзор статуса заштите и централизовано извештавање. Целокупно решење (управљачке конзоле, серверске компоненте и подаци система) мора бити имплементирано искључиво у он-премисе режиму, у окружењу (дата центру) Наручиоца. Решења која захтевају цлоуд управљачку конзолу или чување података Наручиоца ван инфраструктуре Наручиоца нису прихватљива. Дозвољена је одлазна комуникација решења са цлоуд сервисима произвођача (провера репутације, база претњи, преузимање ажурирања садржаја заштите). 1.6 Контрола приступа конзоли (РБАЦ) Управљачке конзоле морају подржавати контролу приступа засновану на улогама (Роле Басед Аццесс Цонтрол) и вишефакторску аутентификацију администратора. Решење мора омогућити интеграцију административних налога са постојећим системом за управљање идентитетима (Symantec IGA) и системом за управљање привилегованим приступом (Symantec PAM) Наручиоца. 2. ЗАШТИТА КРАЈЊИХ ТАЧАКА — Endpoint Security Enterprise (EPP) 2.1 Вишеслојна заштита од злонамерног кода Решење мора обезбедити вишеслојну заштиту од злонамерног кода која обухвата: заштиту засновану на потписима, напредну хеуристичку анализу, машинско учење (пре извршавања и током извршавања), анализу понашања процеса и заштиту засновану на репутацији датотека коришћењем глобалне базе претњи произвођача. 2.2 Заштита од експлоатације рањивости Решење мора обезбедити заштиту меморије од техника експлоатације рањивости (memory exploit mitigation) укључујући заштиту од хеап спраy, SEHOP преписивања, DLL injection и сличних техника, без потребе за постојањем потписа за конкретну рањивост. 2.3 Заштита од рансомwаре напада Решење мора обезбедити детекцију и блокирање рансомwаре понашања (масовно шифровање датотека, измена боот сектора, брисање схадоw копија) на основу анализе понашања процеса. 2.4 Мрежна заштита крајње тачке Решење мора обухватити фиреwалл на нивоу крајње тачке са централизовано управљаним правилима и систем за превенцију упада (ИПС) који детектује и блокира мрежне нападе, комуникацију ка познатим злонамерним адресама (Ц&Ц) и покушаје латералног кретања. 2.5 Контрола уређаја Решење мора омогућити централизовану контролу периферних уређаја (УСБ складишта, преносиви медији и др.) са могућношћу дефинисања политика по групама корисника и крајњих тачака (забрана, само читање, дозвољени уређаји по идентификатору). 2.6 Заштита од злоупотребе легитимних алата Решење мора обезбедити механизме за смањење површине напада (attack surface reduction ) укључујући контролу понашања скрипт интерпретера (PowerShell, WScript i dr.), Office апликација и алата оперативног система који се често злоупотребљавају у нападима (living-off-the-land tehnike ). 2.7 Заштита интегритета агента Агент мора бити заштићен од неовлашћеног заустављања, измене или деинсталације од стране корисника или злонамерног кода (tamper protection ). 2.8 Ажурирање без прекида рада Ажурирање садржаја заштите (дефиниције, правила, модели) мора се обављати аутоматски и централизовано, без прекида рада корисника и без обавезне поновне инсталације агента. Решење мора подржавати дистрибуцију ажурирања преко локалних тачака дистрибуције ради оптимизације мрежног саобраћаја. 3. ДЕТЕКЦИЈА И ОДГОВОР НА ПРЕТЊЕ — Endpoint Detection and Response - EDR 3.1 Континуирано снимање активности Решење мора континуирано снимати активности на крајњим тачкама независно од тога да ли је детектована претња, укључујући најмање: креирање и извршавање процеса, учитавање модула (DLL), мрежне конекције, измене датотека, измене регистра и цросс-процесс операције. 3.2 Ретенција података Снимљени подаци о активностима морају бити доступни за претрагу и анализу у периоду од најмање 30 дана, уз могућност проширења периода ретенције. 3.3 Визуелизација ланца напада Решење мора омогућити графичку визуелизацију стабла процеса (process tree ) са хронолошким приказом свих активности, ради разумевања порекла, тока и обима напада (root cause analysis ). 3.4 Лов на претње (Threat Hunting ) Решење мора омогућити проактивну претрагу снимљених података по произвољним критеријумима (назив процеса, хасх, ИП адреса, домен, путања, командна линија и др.) над свим крајњим тачкама истовремено, са одзивом погодним за интерактиван рад аналитичара. 3.5 Индикатори компромитације (IOC) i watchliste Решење мора подржавати увоз и континуирану проверу индикатора компромитације (hash, IP, domen i dr.), креирање прилагођених wатцхлисти и правила детекције, као и претплату на листе претњи произвођача и заједнице. Решење мора подржавати мапирање детекција на MITRE ATT&CK оквир. 3.6 Одговор на инциденте Решење мора омогућити брз одговор на инциденте са централне конзоле, укључујући најмање: мрежну изолацију крајње тачке (уз задржавање комуникације са управљачком конзолом), заустављање процеса, брисање или карантин датотека и забрану извршавања датотеке по хасх вредности на свим крајњим тачкама. 3.7 Удаљени приступ за форензику (Live Response ) Решење мора омогућити овлашћеном аналитичару удаљени интерактивни приступ крајњој тачки (ливе респонсе) ради прикупљања форензичких артефаката, прегледа система и предузимања корективних акција, уз потпуно евидентирање свих извршених акција. 3.8 Нотификације и интеграције Решење мора омогућити аутоматске нотификације о детектованим претњама (е-маил и др.) и прослеђивање догађаја и аларма ка екстерним системима (SIEM/syslog, РЕСТ API). 4. КОНТРОЛА АПЛИКАЦИЈА — Application Control - App Control 4.1 Позитивне листе (Application Allowlisting ) Решење мора омогућити контролу извршавања софтвера на критичним серверима применом позитивних листа — дозвољено је извршавање искључиво експлицитно одобреног софтвера, док се сав остали софтвер блокира (default deny ). 4.2 Режими рада Решење мора подржавати постепено увођење кроз више режима рада: режим надзора (евидентирање без блокирања), режим са упозорењем и пуни режим закључавања (lockdown ), са могућношћу различитих режима по групама система. 4.3 Механизми одобравања софтвера Решење мора подржавати више механизама одобравања софтвера: по издавачу (дигитални потпис), по репутацији (база произвођача), по поузданом извору инсталације (трустед дирецторy, софтвер за дистрибуцију), по хасх вредности, као и локално одобравање уз сагласност администратора, ради практичног одржавања позитивних листа. 4.4 Надзор интегритета датотека (FIM) Решење мора омогућити надзор интегритета критичних датотека, директоријума и регистарских кључева (File Integrity Monitoring ) са евидентирањем свих измена (ко, када, који процес), као и могућност заштите од измена (write protection ) за дефинисане ресурсе. 4.5 Контрола скрипти и меморијских напада Решење мора омогућити контролу извршавања скрипти и заштиту од извршавања неауторизованог кода из меморије на системима у режиму закључавања. 4.6 Подршка за наслеђене системе Решење мора подржавати заштиту серверских система, укључујући и старије верзије оперативних система који више немају подршку произвођача ОС, чиме се продужава безбедан животни век наслеђених апликативних система Наручиоца. 5. ИНТЕГРАЦИЈА, ЛОГОВАЊЕ И ИЗВЕШТАВАЊЕ 5.1 Интеграција компоненти Компоненте EPP, EDR и App Control морају међусобно размењивати контекст (репутација, детекције, забране извршавања) ради јединственог увида у безбедносно стање крајње тачке. 5.2 Интеграција са постојећом платформом Наручиоца Понуђач мора извршити интеграцију са постојећим системима Наручиоца: управљање административним налозима конзола кроз Symantec IGA, приступ конзолама кроз Symantec PAM, и прослеђивање безбедносних догађаја ка SIEM систему Наручиоца (syslog/CEF или API). 5.3 Логовање Решење мора евидентирати све административне активности на управљачким конзолама (ко је, када и коју измену политике извршио, ко је и када предузео акцију одговора) са заштитом логова од измене. 5.4 Извештавање Решење мора обезбедити уграђене и прилагодљиве извештаје, најмање: преглед статуса заштите свих крајњих тачака, преглед детектованих и блокираних претњи по периодима и групама, преглед покушаја извршавања неауторизованог софтвера, извештај о изменама критичних датотека (FIM) и извештај о акцијама одговора на инциденте. Извештаји морају подржавати аутоматско генерисање и дистрибуцију по распореду. 5.5 Безбедност комуникације Комуникација између агената и управљачких компоненти, као и приступ конзолама, мора бити криптована (TLS). 5.6 Заштита података система Понуђено решење мора обезбедити могућност увођења у режим заштите Наручиоца (бацкуп, дисастер рецоверy) са описаним и документованим процедурама опоравка у случају губитка дела или целокупног система и података. 6. ИМПЛЕМЕНТАЦИЈА, ОБУКА И ПОДРШКА 6.1 Анализа и blueprint Понуђач мора израдити анализу решења и предлог архитектуре система (blueprint документ) који обухвата: архитектуру компоненти, план распоређивања агената, предлог безбедносних политика, план миграције са постојећег антивирусног решења и план интеграција. 6.2 Имплементација без прекида рада Распоређивање агената и миграција са постојећег решења морају бити изведени фазно, без прекида рада апликативних система Наручиоца, уз пилот фазу на репрезентативном узорку крајњих тачака пре масовног распоређивања. 6.3 Успостављање оперативних процедура Понуђач мора, у сарадњи са Наручиоцем, дефинисати и документовати оперативне процедуре: процедуру поступања по алармима (тријажа, ескалација), процедуру одговора на инциденте и процедуру управљања изузецима и позитивним листама. 6.4 Обука Понуђач мора извести обуку администратора система (управљање политикама, надзор, одржавање) и обуку безбедносних аналитичара (threat hunting, анализа инцидената, одговор) у укупном трајању од најмање 5 радних дана, уз испоруку материјала за обуку. 6.5 Документација Понуђач мора испоручити техничку документацију изведеног стања (as-built), корисничка и администраторска упутства. 6.6 Подршка Понуђач мора обезбедити подршку за испоручено решење у трајању од најмање 12 месеци од примопредаје, са дефинисаним временима одзива, укључујући приступ подршци произвођача и право на нове верзије софтвера. e. Obrazac strukture cene jn 17.docx ОБРАЗАЦ СТРУКТУРЕ ЦЕНЕ ЈН 17/2026 У поступку јавне набавке ЈН 17/2026 - Набавка система за централизовано управљање електронским идентитетима Министарства - 3. фаза, достављамо понуђену цену: Р. бр. Опис Износ (динара) 01 02 1 Укупна цена без ПДВ 2 Износ ПДВ 3 Укупна цена са ПДВ (1+2) Датум: Понуђач: _____________________________ _________________________ Упутство за попуњавање обрасца структуре цене: Понуђач треба да попуни образац структуре цене, на следећи начин: - у реду 1: у колони 02. уписати укупну цену без ПДВ (у динарима), - у реду 2: у колони 02. уписати износ ПДВ (у динарима), - у реду 3: у колони 02. уписати укупну цену са ПДВ (у динарима), Напомене: Овај образац понуђач доставља уз понуду Укупна цена из Обрасца структуре цене мора бити индентична цени коју Понуђач исказује у Обрасцу понуде. У случају разлике између понуђене цене из Обрасца понуде и понуђене цене из Обрасца структуре цене, у обзир ће се узимати укупна цена из Обрасца структуре цене. Овлашћено лице понуђача мора да попуни табелу структуре цене и потпише образац. d. Kriterijum za dodelu ugovora jn 17.docx КРИТЕРИЈУМ ЗА ДОДЕЛУ УГОВОРА ЈН 17/2026 I Критеријум за доделу уговора је економски најповољнија понуда. Одлука о додели уговора донеће се применом критеријума економски најповољнија понуда. Оцењивање и рангирање понуда заснива се на следећим елементима критеријума и то: Ред. бр. ОПИС Број пондера 1. УКУПНА ПОНУЂЕНА ЦЕНА 90 2. ПОНУЂЕНИ ГАРАНТНИ РОК 10 УКУПНО ПОНДЕРА: 100 УКУПНА ПОНУЂЕНА ЦЕНА Највећи број пондера по овом елементу критеријума износи 90 пондера. Код овог елемента критеријума упоређиваће се најнижа укупна понуђена цена са укупним понуђеним ценама осталих понуђача. Понуда са најнижом укупном понуђеном ценом добија највећи број пондера, тј. 90 пондера. Број пондера за укупну понуђену цену осталих понуђача израчунава се на следећи начин: Пондери по основу цене = 90 х најнижа укупна понуђена цена понуђена укупна цена ГАРАНТНИ РОК Гарантни рок не може бити краћи од 12 месеци. Највећи број пондера по овом елементу критеријума је 10 пондера. Код овог елемента критеријума упоређиваће се најдужи понуђени гарантни рок са понуђеним гарантним роковима осталих понуђача. Понуда са најдужим понуђеним гарантним роком добија највећи број пондера, тј. 10 пондера. Број пондера за понуђени гарантни рок осталих понуђача израчунава се на следећи начин: Пондери по основу гарантног рока = 10 x понуђени гарантни период у месецима најдужи понуђени гарантни период у месецима Пондери се заокружују на две децимале II Резервни критеријум Уколико након рангирања на основу критеријума за доделу уговора није могуће донети одлуку о додели уговора, наручилац ће применити резервни критеријум. Као резервни критеријум за доделу уговора, одређен је рок плаћања уговорене услуге, рачунајући од дана службеног пријема исправно испостављене фактуре. Повољнија је већа понуђена вредност. Јединица мере: Дан Минимална дозвољена вредност: 15 Максимална дозвољена вредност: 45 III Примена жреба Уколико две или више понуда имају једнак број пондера, наручилац ће доделити уговор привредном субјекту путем жреба. Наручилац ће обавестити све привредне субјекте који су поднели понуде о датуму када ће се одржати извлачење путем жреба. Жребом ће бити обухваћене само оне понуде које су најповољније након рангирања на основу критеријума за доделу уговра и резервног критеријума. Жребање ће бити извршено јавно у присуству привредних субјекатa, тако што се називи привредних субјекатa исписују на одвојеним папирима исте величине и боје, који се стављају у кутију одакле ће се прво извући само један папир. Привредном субјекту чији назив буде на извученом папиру ће бити додељен уговор. Након извлачења првог папира наручилац извлачи преостале папире један по један те сходно редоследу којим су извучени рангира преостале привредне субјекте. Привредним субјектима који не присуствују овом поступку, наручилац ће доставити записник извлачења путем жреба. g. Model ugovora jn 17.docx МОДЕЛ УГОВОРА ЈН 17/2026 Напомена: Понуђач уз понуду не доставља модел уговора, већ (приликом припреме) на порталу јавних набавки потврђује да је упознат са садржином модела уговора и да је са истим сагласан. УГОВОР О ЈАВНОЈ НАБАВЦИ СИСТЕМА ЗА ЦЕНТРАЛИЗОВАНО УПРАВЉАЊЕ ЕЛЕКТРОНСКИМ ИДЕНТИТЕТИМА МИНИСТАРСТВА - 3. ФАЗА Закључен између: МИНИСТАРСТВА ЗА РАД, ЗАПОШЉАВАЊЕ, БОРАЧКА И СОЦИЈАЛНА ПИТАЊА, са седиштем у Београду, Немањина 22-26 Матични број: 17693697, ПИБ: 105007470, Број рачуна: 840-1620-21, Буџет Републике Србије које заступа Милица Ђурђевић Стаменковски, министар, (у даљем тексту: Наручилац) и ……………………………………………………………………………………………. , са седиштем у ……………………….. , улица …………………………… , бр. ……. , Матични број: ……………. , ПИБ: …………….. , број рачуна: ……………… , назив банке: …………………………...…… , кога заступа …………………………………………. , ………………...…. (у даљем тексту: Добављач) Основ Уговора: ЈН Број: 17/2026 Понуда изабраног понуђача бр. _____________ од ____________2026. године Одлука о додели уговора бр,__________________од ___________ 2026. године Уговорне стране претходно констатују: да је Наручилац, на основу Закона о јавним набавкама (''Службени гласник РС'', бр. 91/19 и 92/23 - у даљем тексту: Закон) спровео отворени поступак јавне набавке број 17/2026, Набавка система за централизовано управљање електронским идентитетима Министарства - 3. фаза да је Добављач доставио Понуду број ____ од __.__.2026. године. - Саставни део овог Уговора чине: Техничка спецификација, други елементи Конкурсне документације, Понуда Добављача и Споразум о поступању са поверљивим информацијама. ПРЕДМЕТ УГОВОРА Члан 1. Предмет уговора je Набавка система за централизовано управљање електронским идентитетима Министарства - 3. фаза, који се састоји од следећих фаза реализација: –Фаза 1: Израда анализе решења и предлога архитектуре система (израда blueprint документа), испорука лиценци за Endpoint Security Enterprise, EDR и App Control, и успостављање централне управљачке инфраструктуре; –Фаза 2: Имплементација Endpoint Security Enterprise на све радне станице и сервере МИНРЗС, дефинисање и примена безбедносних политика, миграција са постојећег антивирусног решења; –Фаза 3: Имплементација EDR — успостављање континуираног снимања активности, дефинисање wатцхлисти и правила детекције, успостављање процедура одговора на инциденте; –Фаза 4: Имплементација App Control на критичним серверима (апликативни и датабасе сервери), успостављање позитивних листа и режима закључавања (лоцкдоwн); –Фаза 5: Интеграција са постојећом платформом (IGA, PAM, SIEM), напредно извештавање, обука администратора и корисника, и потписивање Записника о примопредаји од стране Наручиоца.у складу са Техничком спецификацијом и другим елементима Конкурсне документације за предметну јавну набавку, који су саставни део овог уговора. ОБАВЕЗЕ ДОБАВЉАЧА Члан 2. Добављач се обавезује да: одмах по закључењу уговора приступи реализацији уговора; испоручи добра из члана 1. овог Уговора у уговореном року, у свему према Понуди, Техничкој спецификацији и другим елементима Конкурсне документације за предметну јавну набавку; Наручиоцу достави средства финансијског обезбеђења у року и на начин дефинисан Конкурсном документацијом за предметну јавну набавку, а у противном Наручилац може да раскине овај Уговор. Члан 3. Добављач је одговоран за квалитет испорученог предмета набавке, сагласно захтевима Наручиоца и условима описаним у Техничкој спецификацији. Добављач је у обавези да имплементацију и испоруку предметног система изврши тако да се обезбеди пуна функционалност и максималне перформансе истог, у свему у складу са одредбама и саставним деловима овог Уговора. ОБАВЕЗЕ НАРУЧИОЦА Члан 4. Наручилац се обавезује да: Добављачу изврши плаћање у складу са чланом 5. и 6. овог уговора; пружи Добављачу све неопходне информације и логистичку подршку која је неопходна за извршење обавеза из овог уговора ЦЕНА И НАЧИН ПЛАЋАЊА Члан 5. Укупна уговорена цена износи ___________________ динара без ПДВ, односно __________________ динара са ПДВ. У укупну уговорену цену из става 1. овог члана су укључени сви трошкови који могу настати на основу извршења ове јавне набавке, укључујући и накнаду за искључиво уступање свих имовинских права софтверског апликативног решења. Цена је фиксна и не може се мењати. Члан 6. Плаћање се врши уплатом на рачун изабраног понуђача. Плаћање се врши, у року од 15-45 дана (биће преузето из понуде), почев од дана уредно примљене фактуре, достављене у складу са важећим прописима који уређују издавање, слање, пријем, обраду, чување, садржину и елементе електронских фактура и мора да буде издата у складу у складу са Правилником о електронском фактурисању („Службени гласник РС”, брoj 47/2023, 116/2023, 65/2024, 73/2024, 101/2024, 107/2024, 56/2025, 85/2025, 30/2026 и 71/2026), која поред прописаних елемената, мора садржати број и датум закљученог уговора. Понуђачу није дозвољено да захтева аванс. Уз фактуру се након завршетка Фазе 1 обавезно доставља и записника о завршетку Фазе 1 који сачињава изабрани Понуђач, а који мора да садржи детаљну спецификацију, односно врсту и опис испоручених добара/завршених активности, потписаних од стране овлашћеног лица Наручиоца без примедби, а након завршетка имплементације и потписани записник о испоруци целокупног система који сачињава изабрани Понуђач, а који мора да садржи детаљну спецификацију, односно врсту и опис завршених активности, потписан од стране овлашћеног лица Наручиоца без примедби. Свакa фактура мора садржати број и датум закључења Уговора и ЈБКЈС Наручиоца: 13400. Наручилац задржава право да динамику уплате средстава усклађује са могућностима извршења буџета Републике Србије. Средства за реализацију овог уговора у износу од 35.000.000,00 динара са ПДВ обезбеђена су Законом о буџету за 2026. годину („Службени гласник РС“ број 108/2025 и 80/2026). Плаћање које се односи на 2027. годину ће зависити од обезбеђења средстава предвиђених Законом којим се уређује буџет за 2027. годину. У супротном уговор престаје да важи, без накнаде штете због немогућности преузимања и плаћања обавеза од стране Наручиоца. Члан 7. Наручилац се обавезује да изврши плаћање укупно уговорене цене из. члана 5. став 1. овог Уговора, на следећи начин: 35.000.000,00 динара са ПДВ након завршетка Фазе 1 и потписаног записника о завршетку Фазе 1 Преостали износ од ________________ динара са ПДВ након завршетка имплементације и потписаног записника о испоруци целокупног система РОК И МЕСТО ИСПОРУКЕ/ИЗВРШЕЊА Члан 8. Рок испоруке система је најдуже 12 месеци од дана закључења уговора. Државни дата Центар, Београд, Катићева 14. или друга локација коју наручилац одреди. Уколико Добављач не поступи благовремено и на начин утврђен у овом члану Уговора, Наручилац има право обрачуна уговорне казне, активирања средства обезбеђења за добро извршење посла и накнаде штете. ПРИМОПРЕДАЈА И ОТКЛАЊАЊЕ НЕДОСТАТАКА Члан 9. Контрола квалитета вршиће се приликом примопредаје Фазе 1, као и система у целини, од лица или комисије које одреди Наручилац уз усаглашен и потписан Записник од стране Добављача и овлашћеног лица Наручиоца Добављач је дужан да за време трајања гарантног рока, омогући: директан приступ Наручиоца техничком центру путем електронске поште, телефона или интернета у редовно радно време према званичном радном времену Наручиоца, на који ће Добављач слати обавештења о уоченим проблемима. Добављач је у обавези да се у случају појаве проблема приоритета 1 – потпуног прекида у раду система одазове најкасније у року од 4 (четири) радна часа од тренутка пријема захтева за подршком, и да отклони недостатак најкасније у року 5 (пет) радних дана од момента одзива. Добављач је у обавези да се у случају појаве проблема приоритета 2 - решавање проблема у раду функционалности: одазове најкасније у року од 8 (осам) радних часова од тренутка пријема захтева за подршком, и да отклони недостатак најкасније у року од максимално 15 (петнаест) радних дана од момента одзива. ГАРАНТНИ РОК Члан 10. Гарантни рок за добро из члана 1. овог Уговора износи _____________ (биће преузето из понуде) од дана потписивања Записника о пријему система. Добављач гарантује да ће систем за централизовано управљање електронским идентитетима Министарства - 3. фаза функционисати исправно. Добављач гарантује да ће одржавати потпуно оперативан и исправан систем и да ће отклонити све недостатке и грешке у функционисању. У случају појаве било каквих грешака и прекида у раду система, Наручилац ће о томе обавестити Добављача и омогућити му да установи и отклони прекид у раду, односно грешку и неисправност. Уколико Добављач не отклони недостатке у року утврђеним овим Уговором, Наручилац ће активирати средство обезбеђења за отклањање недостатака у гарантном року. СРЕДСТВА ФИНАНСИЈСКОГ ОБЕЗБЕЂЕЊА Члан 11. За испуњење уговорних обавеза (за добро извршење посла): Добављач, најкасније пре закључења Уговора, доставља као средство финансијског обезбеђења за добро извршење посла, бланко соло меницу са меничним овлашћењем на износ од 10% од уговорене вредности без ПДВ и са клаузулама „неопозива, безусловна, без протеста и трошкова“ са трајањем 30 (тридесет) дана дуже од дана истека рока за извршење уговорних обавеза.. Истовремено предајом поменуте менице Добављач се обавезује да Наручиоцу преда копије картона са депонованим потписима овлашћених лица и доказ о регистрацији менице. Потписом овог Уговора Добављач даје своју безусловну сагласност Наручиоцу да може реализовати депоновану меницу у случају да не изврши своје уговорне обавезе. Наручилац се обавезује да Добављачу, на његов писани захтев, врати нереализовану депоновану меницу у року од 15 дана од дана кад је Добављач у целости извршио своје обавезе преузете Уговором. У случају да Добављач једнострано раскине Уговор, Наручилац има право да реализује средство финансијског обезбеђења из става 1. овог члана. Члан 12. За отклањање недостатака у гарантном року: Као средство обезбеђења за отклањање недостатака у гарантном року Добављач ће доставити Наручиоцу приликом потписивања Записника о пријему система, бланко соло меницу са меничним овлашћењем на износ од 10% од уговорене вредности без ПДВ и са клаузулама „неопозива, безусловна, без протеста и трошкова“, са трајањем 30 (тридесет) дана дуже од дана истека гарантног рока. Истовремено предајом поменуте менице Добављач се обавезује да Наручиоцу преда копије картона са депонованим потписима овлашћених лица и доказ о регистрацији менице. Потписом овог Уговора Добављач даје своју безусловну сагласност Наручиоцу да може реализовати депоновану меницу у случају да не изврши своје уговорне обавезе. Наручилац се обавезује да Добављачу, на његов писани захтев, врати нереализовану депоновану меницу у року од 15 дана од дана кад је Добављач у целости извршио своје обавезе у гарантном року. ЗАШТИТА ПОДАТАКА НАРУЧИОЦА Члан 13. Уговорне стране се обавезују да ће поступати у складу са прописима који регулишу заштиту тајности података приликом и у вези са извршењем предмета овог Уговора, о чему ће уговорне стране приликом закључења овог Уговора, закључити и Споразум о поступању са поверљивим информацијама, који је саставни део овог Уговора. Добављач се обавезује да поштује поверљив карактер Уговора и других са њим повезаних или релевантних информација, података, докумената и других материјала које су по свом основном карактеру поверљиве или их као такве буде означио Наручилац, и да их трајно чува као пословну тајну и после престанка важења Уговора. Уколико Добављач прекрши неку од одредби овог члана, па Наручилац претрпи услед тога штету, установљава се обавеза накнаде штете у пуном износу. НАКНАДА ШТЕТЕ Члан 14. Уговорне стране су сагласне да уколико Добављач не испуњава своје обавезе на начин, у роковима и под условима утврђених уговором, Наручилац има право да га о томе упозори писаним путем и да од њега захтева испуњавање у одређеном року и да поред уговорне казне, односно реализованог средства обезбеђења, захтева накнаду целокупне штете од Добављача. Добављач је дужан да надокнади штету коју је намерно или крајњом непажњом проузроковао Наручиоцу, као и у случају да Наручилац штету претрпи због неблаговременог извршења уговорних обавеза од стране Добављача. ВИША СИЛА Члан 15. Уколико после закључења Уговора наступе околности више силе које доведу до ометања или онемогућавања извршења обавеза дефинисаних Уговором, рокови извршења обавеза ће се продужити за време трајања више силе. Виша сила подразумева екстремне и ванредне догађаје који се не могу предвидети, који су се догодили без воље и утицаја уговорних страна и који нису могли бити спречени од стране погођене вишом силом. Вишом силом могу се сматрати поплаве, земљотреси, пожари, политичка збивања (рат, нереди већег обима, штрајкови), императивне одлуке власти (забрана промета увоза и извоза) и слично. Уговорна страна погођена вишом силом, одмах ће у писаној форми обавестити другу страну о настанку непредвиђених околности и доставити одговарајуће доказе. УГОВОРНА КАЗНА Члан 16. У случају прекорачења рокова за извршење обавеза из овог Уговора и извршење , Добављач је дужан да за сваки дан закашњења, по писаном позиву (обавештењу) Наручиоца, плати износ од 0,3% укупне уговорне вредности без ПДВ на име уговорне казне за прекорачење рока. Укупан износ наплаћених пенала не може прећи 10 % од укупне вредности овог Уговора. У случају да Добављач и након примљеног обавештења о почетку обрачуна уговорне казне не поступи у складу са захтевом Наручиоца, Наручилац задржава право да и даље захтева извршење уговорне обавезе, уз могућност активирања и банкарске гаранције за добро извршење посла. Наплату уговорне казне у случају из става 1. овог члана Наручилац ће извршити на тај начин што ће испоставити фактуру за пенале Добављачу, по којој је Добављач у обавези да изврши плаћање у року од 15 дана од дана испостављања исте. Уколико Добављач ни након почетка обрачуна уговорне казне и активирања банкарске гаранције не изврши обавезе на начин који је одредио Наручилац, Наручилац може тражити раскид уговора и накнаду целокупне штете. СТУПАЊЕ НА СНАГУ И ВАЖЕЊЕ УГОВОРА Члан 17. Овај Уговор ступа на снагу даном потписивања овлашћених лица обе уговорне стране и важи до извршења свих уговорних обавеза, а најдуже 12 месеци од дана закључења уговора. РАСКИД УГОВОРА Члан 18. Наручилац задржава право да једнострано раскине овај уговор уколико Добављач не извршава своје обавезе у складу са уговором и законом, не поштује рокове дефинисане уговором, не отклони недостатке у пружању својих услуга, и у другим случајевима на начин и под условима предвиђеним Законом о облигационим односима, с тим да је дужан да Добављачу достави обавештење о раскиду Уговора најкасније 15 дана пре дана назначеног као дан раскида Уговора. У случају да Уговор буде једнострано раскинут од стране Добављача, Наручилац задржава право реализације средства финансијског обезбеђења из члана 10. овог Уговора. У случају једностраног раскида овог Уговора од стране Добављача, Добављач је дужан да Наручиоцу накнади целокупну штету. ИЗМЕНЕ И ДОПУНЕ УГОВОРА Члан 19. Наручилац може током трајања уговора о јавној набавци у складу са одредбама чл. 156. - 161. Закона о јавним набавкама („Службени гласник РС”, бр. 91/2019 и 92/23) да измени уговор без спровођења поступка јавне набавке. Измене овог Уговора могу се вршити само у писаној форми. ПРЕЛАЗНЕ И ЗАВРШНЕ ОДРЕДБЕ Члан 20. Добављач је дужан да без одлагања писмено обавести Наручиоца о било којој промени у вези са испуњеношћу услова из поступка јавне набавке, која наступи током важења Уговора и да је документује на прописани начин Уговорне стране су обавезне да једна другу без одлагања обавесте о свим променама које могу утицати на реализацију овог уговора. Члан 21. У току трајања уговора сва важнија обавештавања, посебно она везана за одређен датум, морају се доставити у писаном облику препорученом поштом или доставити лично. Члан 22. За све што није регулисано овим Уговором примењиваће се одредбе Закона о облигационим односима и други позитивни прописи који регулишу ову област. Члан 23. Уговорне стране су сагласне да све спорове који настану у реализацији или тумачењу овог уговора реше споразумно преко својих представника, а у складу са Законом о облигационим односима и другим позитивним прописима. У случају да се примена и тумачење одредби овог уговора не може решити на начин дефинисан у претходном ставу, уговорне стране уговарају надлежност Привредног суда у Београду. Члан 24. Овај Уговор је сачињен у шест истоветних примерка, четири примерка за Наручиоца и два примерка за Добављача. НАРУЧИЛАЦ ДОБАВЉАЧ ______________________ _________________________