Servicii de Testare de Penetrare (Penetration Testing)

Date:

6 Oct 2026, 20:56

Question's name:

Anexele cerute

Question:

Pentru procedura nr. 21687251, vă rugăm să publicați Anexa 7 - declarația privind absența conflictelor de interese — și modelul Acordului de Confidențialitate (NDA), solicitate la pct. 12 din caietul de sarcini.

Answer (7 Oct 2026, 12:37):

Bună ziua, documentele menționate la pct. 12 din caietul de sarcini au fost anexate în compartimentul „Documente”.

Date:

7 Oct 2026, 13:12

Question's name:

COP sau licitaţie?

Question:

Caietul de sarcini (pct. 1) menționează „cererea ofertelor de prețuri sau licitație… metoda finală se stabilește după estimarea bugetară”, iar platforma indică cererea ofertelor de prețuri (servicii). Vă rugăm să confirmați procedura finală aplicabilă și să indicați dispozițiile relevante ale Regulamentului de achiziții al Băncii (HCA nr. 4/23.04.2025).

Answer (12 Oct 2026, 15:25):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

7 Oct 2026, 13:13

Question's name:

Valoarea estimată?

Question:

Valoarea estimată de 500 000 MDL fără TVA reprezintă un plafon maxim (oferte superioare vor fi respinse) sau o valoare orientativă? Include aceasta toate cele patru componente (A–D), deplasările, retestarea și alte costuri conexe?

Answer (7 Oct 2026, 15:33):

500 000 MDL este o valoare orientativă. Oferta trebuie sa includă toate costurile aferente, inclusiv deplasările și retestarea.

Date:

7 Oct 2026, 13:14

Question's name:

Garanţii şi valabilitate ofertă

Question:

Există garanție de ofertă sau de bună execuție? Care este termenul de valabilitate a ofertei?

Answer (7 Oct 2026, 15:34):

Nu este clară întrebarea. Oferta o face furnizorul, el stipulează termenul de valabilitate al ofertei.

Date:

7 Oct 2026, 13:15

Question's name:

Componentele ofertei

Question:

Oferta poate fi depusă pentru componente separate (A, B, C, D) sau doar integral? Atribuirea se face integral unui singur operator sau pe componente?

Answer (7 Oct 2026, 15:35):

În ofertă prețul trebuie să fie detaliat pe fiecare component. Atribuirea se va face unui furnizor, pe tot scopul.

Date:

7 Oct 2026, 13:16

Question's name:

Punctaj criteriu pct. 11

Question:

Vă rugăm să precizați formula de punctaj pentru fiecare criteriu din pct. 11, dacă ponderile „orientative” vor fi cele finale, dacă există praguri minime tehnice și cum se calculează punctajul pentru preț.

Answer (7 Oct 2026, 15:35):

Criteriile de evaluare sunt descrise detaliat în caietul de sarcini.

Date:

7 Oct 2026, 13:19

Question's name:

Extrasul ASP,

Question:

Care este termenul de valabilitate admis al extrasului?

Answer (7 Oct 2026, 15:37):

Nu mai vechi de 3 luni.

Servicii de Testare de Penetrare (Penetration Testing)

Date:

7 Oct 2026, 17:58

Question's name:

I. Program și condiții de livrare

Question:

1. Este 31.10.2026 termenul limită pentru finalizarea testelor sau pentru livrarea raportului final? Poate fi prelungită perioada de prestare a serviciilor? 2. Regula din secțiunea 7.3 (după ora 18:00 sau în weekend) se aplică tuturor activităților sau numai celor cu risc de perturbare? Pot fi efectuate teste neintruzive în timpul programului de lucru? 3. Pot fi efectuate teste interne de la distanță, printr-un VPN dedicat sau un jump host? Pentru ce componente este obligatorie prezența fizică la sediul Băncii? 4. Testarea va fi efectuată în producție sau sunt disponibile medii de testare pentru Swift, DocStore, DocSign și bazele de date?

Answer (8 Oct 2026, 10:30):

1. Este termenul pentru finalizarea testarilor. Dupa finalizarea testarilor, rapoartele vor fi livrate maxim intr-o luna. 2. Cele neintruzive pot fi executate in timpul progrmului de lucru. 3. Testele pot fi efectuate la distanta sau cu prezenta fizica. 4. Pe productie.

Servicii de Testare de Penetrare (Penetration Testing)

Date:

7 Oct 2026, 17:58

Question's name:

II. Volume tehnice

Question:

5. Câte adrese IP publice sunt incluse în domeniul de aplicare și câte adrese IP interne sau gazde active sunt incluse în testul intern? 6. Câte firewall-uri, routere și switch-uri Cisco sunt incluse în revizuirea configurației? Este acceptabilă o revizuire bazată pe exporturi de configurație și un eșantion reprezentativ? 7. Câte zone de rețea, inclusiv zona Swift, trebuie acoperite de testarea segmentării? Câte sucursale regionale sunt incluse? 8. Ce tip de arhitectură Swift CSCF operează Banca (A1, A2, A3, A4 sau B)? Câte servere, stații de lucru pentru operatori și servere jump se află în zona Swift? 9. Active Directory este inclus în domeniul de aplicare pentru atacul credențialelor și testarea mișcării laterale? 10. Exchange și SharePoint sunt locale, hibride sau online și ce versiuni sunt utilizate? 11. DocStore și DocSign sunt produse comerciale sau dezvoltate personalizat? Aproximativ câte pagini dinamice, puncte finale API și roluri de utilizator are fiecare? 12. Câte instanțe Oracle și MSSQL sunt incluse în domeniul de aplicare, inclusiv replici? Este acceptabilă evaluarea unui eșantion reprezentativ pentru fiecare motor de baze de date?

Answer (8 Oct 2026, 10:37):

5. Sunt incluse 15 IP-uri publice. 6. Sunt incluse 4 dispozitive de tip router si pina la 20 dispozitive de tip switch. E necesar de testat toate dispozitivele. 7. Vorbind de Swift este 1 zona. 8. Swift arhitectura tip A3. Detaliile vor fi dezvaluite companiei selectate. 9. AD nu este inclus in scop. 11. Toate sistemele mentionate sunt on-prem. DocStore si DocSign sunt sisteme dezvoltate pentru necesitatile bancii. Alte detalii vor fi dezvaluite companiei selectate. 12. Domeniul de aplicare include 4 instante DB. Fiecare instanta trebuie evaluata.

Servicii de Testare de Penetrare (Penetration Testing)

Date:

7 Oct 2026, 17:59

Question's name:

II. Eligibilitate și rezultate preconizate

Question:

13. Va accepta Banca o ofertă depusă de un operator economic din Republica Moldova care numește un subcontractant nerezident la depunerea ofertei? 14. Este inclusă retestarea vulnerabilităților remediate? În ce limbă trebuie redactat raportul?

Answer (8 Oct 2026, 10:34):

13. Da. 14. In limba romana.

Date:

8 Oct 2026, 13:27

Question's name:

Contracte similare

Question:

Pct. 5.1 solicită minim 2 contracte similare în ultimii 2 ani, iar pct. 12 solicită minim 3 referințe/contracte similare. Care este pragul obligatoriu de eligibilitate și care este cerința doar pentru punctare?

Answer (12 Oct 2026, 15:23):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

8 Oct 2026, 13:28

Question's name:

Contract similar

Question:

Ce se consideră „contract similar” (obiect, valoare minimă, număr de componente, tip de testare) și ce dovezi sunt acceptate pentru contracte supuse confidențialității (scrisoare de referință, declarație pe propria răspundere, proces-verbal de recepție)? Preferința pentru sectorul bancar este criteriu de punctare sau de eligibilitate?

Answer (12 Oct 2026, 15:23):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

8 Oct 2026, 13:29

Question's name:

Personalul certificat

Question:

Pentru personalul certificat (OSCP, CEH, GPEN, GWAPT, CREST CRT sau echivalent): câți specialiști certificați sunt solicitați minimum, este suficient ca certificările să fie deținute de echipa în ansamblu sau de fiecare specialist, și trebuie să fie certificările în termen de valabilitate?

Answer (12 Oct 2026, 15:23):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

8 Oct 2026, 13:29

Question's name:

Certificările considerate echivalente

Question:

Vă rugăm să indicați lista certificărilor considerate „echivalente” (ex.: OSWE, OSEP, OSWP, BSCP, eCPPT, PNPT, CRTP, CREST CPSA/CCT, GXPN, certificări Oracle/Microsoft pentru baze de date) și dacă experiența demonstrată poate înlocui o certificare pentru Swift, baze de date și Wi-Fi.

Answer (12 Oct 2026, 15:22):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

8 Oct 2026, 13:30

Question's name:

cadrului Swift CSP/CSCF

Question:

Cerința „experiență sau cunoaștere dovedită a cadrului Swift CSP/CSCF” este obligatorie sau doar criteriu de punctare? Ce dovezi sunt acceptate (certificat, evaluări anterioare, instruiri, statutul de evaluator independent Swift CSP)?

Answer (12 Oct 2026, 15:22):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

8 Oct 2026, 13:30

Question's name:

Modificarea echipei

Question:

Poate echipa propusă să fie modificată după atribuire (ex.: indisponibilitate)? Este permisă lucrul de la distanță și implicarea de specialiști din afara Republicii Moldova? Există cerințe privind verificarea antecedentelor personalului?

Answer (12 Oct 2026, 15:22):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

9 Oct 2026, 16:46

Question's name:

Testul intern?

Question:

Testul intern se va realiza la fața locului sau de la distanță? Ce punct de acces va fi oferit (laptop al operatorului conectat în rețea, VPN, jump host)? Sunt incluse unitățile teritoriale și, dacă da, câte vor fi vizitate fizic?

Answer (12 Oct 2026, 15:21):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

9 Oct 2026, 16:47

Question's name:

referitor la aplicatii

Question:

Confirmați că aplicațiile de internet banking, mobile banking, site-ul public, ATM/POS și procesarea cardurilor se află în afara perimetrului? Pct. 3.4 menționează „instrumentele de plată la distanță” – se testează doar nivelul bazelor de date?

Answer (12 Oct 2026, 15:21):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

9 Oct 2026, 16:47

Question's name:

Active Directory

Question:

Este Active Directory / domeniul Windows (inclusiv, dacă există, integrarea cu servicii cloud/Microsoft 365) inclus în perimetru pentru testarea escaladării privilegiilor și mișcării laterale cerute la pct. 6.1–6.4?

Answer (12 Oct 2026, 15:21):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

9 Oct 2026, 16:48

Question's name:

Microsoft Exchange și SharePoint

Question:

Pentru Microsoft Exchange și SharePoint: care sunt versiunile, este mediul exclusiv local (on-premises) sau hibrid, câte puncte expuse extern există și care sunt domeniile pentru verificările SPF/DKIM/DMARC?

Answer (12 Oct 2026, 15:21):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

9 Oct 2026, 16:49

Question's name:

bazele de date Oracle și MSSQL

Question:

Pentru bazele de date Oracle și MSSQL: versiuni, sistem de operare gazdă, număr de instanțe (producție/DR), caracteristici active (TDE, Data Guard/RAC, Always On) și metoda de acces pentru evaluarea configurației (conturi cu drepturi de citire furnizate de Bancă sau rulare de scripturi de către administratorii Băncii)?

Answer (12 Oct 2026, 15:21):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

9 Oct 2026, 16:50

Question's name:

Medii executii teste

Question:

Testele se vor executa în producție sau există medii de pre-producție/test? Care sunt acțiunile care necesită aprobare scrisă prealabilă (pct. 7.2) și în ce termen răspunde Banca?

Answer (12 Oct 2026, 15:21):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

9 Oct 2026, 16:51

Question's name:

Instrumente spre utilizare

Question:

Ce instrumente pot fi utilizate (scannere comerciale, framework-uri C2, scripturi proprii) și există o listă de instrumente interzise sau care necesită aprobare? Poate operatorul utiliza instrumente asistate de AI, cu condiția ca datele Băncii să nu fie transmise către servicii externe?

Answer (12 Oct 2026, 15:20):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

9 Oct 2026, 17:16

Question's name:

General engagement information

Question:

Please answer to the following: - Primary contact (name, role, phone, e-mail) - 24/7 emergency contact during testing windows - Business/system owner per component (A, B, C, D) - Main drivers for this test: BNM Reg. 29/2025, Swift CSP attestation, external audit, BNM inspection? Any fixed deadline? - Date of the last penetration test per component, and can the previous report be shared for retest of findings? - Is this the first test of any in-scope system? - Are there open remediation items from previous tests or audits that must be verified? - Number of physical locations in scope (head office, data centers, territorial units) - Are the two hosting locations (primary / DR) both in scope, or only primary? - Are any in-scope systems hosted or managed by third parties (outsourcing, cloud, Swift service bureau)? Has the provider authorized testing? - Is a production-equivalent test/UAT environment available for any component? - Language of deliverables (Romanian, English, both)

Answer (12 Oct 2026, 15:20):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

9 Oct 2026, 17:18

Question's name:

Component A - Swift messaging system

Question:

Please answer to the following: - Swift CSP architecture type (A1, A2, A3, A4, B) - Messaging and communication interface products and versions (e.g. Alliance Access/Entry, Alliance Gateway, SwiftNet Link, Alliance Lite2) - Number of servers in the secure Swift zone (interface, gateway, database, jump servers) - Number of dedicated operator workstations - HSM model, count and location; is HSM configuration review expected on-site? - How is the Swift zone separated from the general network (dedicated firewall, VLAN, physical)? - How do operators and administrators reach the zone (jump server, MFA method, PAM tool)? - Number of back-office integration interfaces (core banking, treasury, AML screening, file transfer) - Is a Swift test/training environment (non-live BIC) available for intrusive tests? - Date and outcome of the latest CSCF attestation; independent assessment used? - Which CSCF version should the configuration review map to? - Permitted test perspectives: external black box, internal network grey box, compromised operator workstation? - Will test operator and administrator accounts be provided? Which roles? - Hard prohibitions (no message creation, no RMA changes, no HSM key operations, etc.)

Answer (12 Oct 2026, 15:20):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

9 Oct 2026, 17:21

Question's name:

Component B - LAN/WAN infrastructure, including VPN

Question:

Please answer to the following: External perimeter - Number of public IP addresses / ranges in scope - Number of internet-facing services and web applications (excluding Exchange/SharePoint, covered in C) - Number of ISPs / internet uplinks - Any WAF, anti-DDoS or upstream filtering that may block testing? Can tester IPs be whitelisted? Internal network - Approximate number of live internal hosts (servers / workstations) - Number of internal subnets / VLANs and security zones (DMZ, server, user, management, Swift, etc.) - Number of territorial units (branches) connected via WAN; should a branch be tested on-site? - WAN technology (MPLS, IPsec over internet, SD-WAN) - Number of Cisco firewalls, routers and core switches for configuration review - Is Active Directory in scope for internal testing (domains, forests, trust relationships)? - Network access control in place (802.1X / NAC)? Will testers be given a port or must they bypass it? - Is the guest Wi-Fi in one location or several? Is the corporate Wi-Fi in scope? - Out-of-band / management network present and in scope? VPN - Remote-access VPN product and version; MFA method - Number of remote-access VPN gateways and third-party (vendor) VPN profiles - Number of site-to-site tunnels (branches, partners, processors) - Will test VPN accounts be provided for the authorised-user perspective?

Answer (12 Oct 2026, 15:20):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

9 Oct 2026, 17:25

Question's name:

Component C - Document management and communication systems

Question:

Please answer to the following: Common to all C systems - Authentication model (AD integrated, ADFS/SSO, local accounts, MFA) - Will test accounts be provided at two privilege levels per department (for cross-user / cross-department checks)? - Which systems integrate with each other (e.g. DocSign - DocStore, SharePoint - FileShare)? Microsoft Exchange - Exchange version and CU level; on-premises, hybrid or Exchange Online? - Exposed endpoints: OWA, ActiveSync, Autodiscover, EWS, MAPI/HTTP, ECP - which are internet-facing? - Number of Exchange servers and e-mail gateways / filtering appliances - Number of mail domains to check for SPF, DKIM, DMARC - Account lockout policy (to plan password-spray testing safely) SharePoint - Version (2016, 2019, Subscription Edition, Online) - Number of web applications / site collections in scope - Is external sharing or anonymous access enabled anywhere? - Custom solutions, add-ins or workflows deployed? DocStore and DocSign - Product/vendor and version, or in-house development? - Number of user roles and distinct application modules / screens - Are APIs exposed? Number of endpoints; is API documentation (OpenAPI/Swagger) available? - DocSign: where are signing keys and certificates stored (HSM, token, server key store)? Qualified or advanced signatures? - Is a test environment available, or must web application testing run on production? - Will source code be available for review (optional white box)? FileShare - Number of file servers and shares in scope; approximate data volume - Platform (Windows file server, DFS, NAS appliance) and SMB versions enabled - Is automated discovery of sensitive data (card data, personal data, credentials) on shares expected?

Answer (12 Oct 2026, 15:18):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

11 Oct 2026, 16:02

Question's name:

Dimensiunea perimetrului

Question:

Vă rugăm să furnizați dimensiunea perimetrului: numărul de adrese IP publice/domenii/FQDN-uri expuse, numărul de subrețele/VLAN-uri interne, numărul de servere și stații per componentă, numărul de unități (sediu central și teritoriale) și numărul/modelele firewall-urilor și echipamentelor de rețea.

Answer (12 Oct 2026, 15:18):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

11 Oct 2026, 16:02

Question's name:

articolele/controalele din Regulamentul BNM

Question:

Care sunt articolele/controalele din Regulamentul BNM nr. 29/2025 față de care se realizează „evaluarea de conformitate” din raport? Puteți furniza un extras sau o matrice de control?

Answer (12 Oct 2026, 15:18):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

11 Oct 2026, 16:03

Question's name:

configurația HSM

Question:

Ce presupune concret „verificarea integrității configurației HSM” (revizuire de configurație pe baza exporturilor furnizate de administratorii Băncii sau acces fizic/consolă)? Care este modelul HSM și cine îl administrează? Confirmați că operatorul nu va avea acces la materialul criptografic sau la cardurile de administrare.

Answer (12 Oct 2026, 15:18):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

11 Oct 2026, 16:04

Question's name:

Livrabilul pentru componenta A

Question:

Livrabilul pentru componenta A este un raport de testare de penetrare cu o revizuire a configurației față de controalele CSCF sau o evaluare independentă formală pentru atestarea Swift? Dacă este a doua variantă, ce calificare a evaluatorului solicită Banca și ce controale vor fi evaluate (obligatorii/consultative)?

Answer (12 Oct 2026, 15:17):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

11 Oct 2026, 16:04

Question's name:

rețeaua Swift

Question:

Confirmați că infrastructura rețelei Swift, echipamentele de conectivitate gestionate de Swift și serviciile centrale Swift sunt în afara perimetrului, iar testarea vizează exclusiv componentele administrate de Bancă (zona securizată, jump server, stații de operator, HSM, interfețele de integrare)?

Answer (12 Oct 2026, 15:17):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

14 Oct 2026, 10:18

Question's name:

Aria de aplicabilitate a serviciilor

Question:

1. Evaluarea configuratiei componentelor SWIFT Referitor la cerinta privind evaluarea configuratiei componentelor SWIFT - interfete de mesagerie, statii operator si componente criptografice - va rugam sa clarificati daca se solicita efectuarea de teste de penetrare pentru fiecare dintre aceste componente sau verificarea acestora din perspectiva conformitatii cu SWIFT CSCF. 2. Verificarea controalelor SWIFT CSCF Referitor la verificarea controalelor SWIFT CSCF privind restrictionarea accesului la internet, hardening, patch management, autentificare si gestiunea conturilor privilegiate, va rugam sa confirmati daca cerinta se refera la verificarea acestora din perspectiva conformitatii cu SWIFT CSCF. 3. Revizuirea configuratiei fata de SWIFT CSCF Va rugam sa ne comunicati ce tip de arhitectura SWIFT este implementata de Banca: A1, A2, A3, A4 sau B. 4. Sistemul de mesagerie interbancara SWIFT Va rugam sa ne comunicati: • ce tip de aplicatie este utilizata - desktop sau web; • cate adrese IP sunt implicate in testarea acestei aplicatii, inclusiv statii, servere etc. 5. Infrastructura de retea Va rugam sa ne comunicati cate adrese IP sunt incluse in scopul testarii infrastructurii WAN/LAN. 6. DocStore, DocSign si FileShare Va rugam sa ne comunicati: • ce tip de aplicatii sunt DocStore, DocSign si FileShare; • cate adrese IP sunt implicate in functionarea si testarea acestora. 7. Sistemele de gestiune a bazelor de date - Oracle si MSSQL Va rugam sa ne comunicati cate adrese IP sunt implicate in testarea sistemelor Oracle si MSSQL. 8. Acces la infrastructura interna In vederea realizarii testelor de penetrare, va rugam sa confirmati daca poate fi asigurat acces VPN la infrastructura interna.

Answer (15 Oct 2026, 09:31):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

14 Oct 2026, 10:18

Question's name:

Termen executie

Question:

Avand in vedere modificarea calendarului procedurii si prelungirea termenului de depunere a ofertelor pana la 21.10.2026, va rugam sa confirmati daca termenul de 31.10.2026 comunicat anterior pentru finalizarea activitatilor de testare ramane aplicabil sau daca acesta va fi actualizat corespunzator noului calendar al procedurii.

Answer (15 Oct 2026, 09:31):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

14 Oct 2026, 10:19

Question's name:

Echipa de proiect

Question:

1. Experienta tehnica a echipei propuse Referitor la cerinta privind experienta dovedita in testarea infrastructurii de retea, a sistemelor Microsoft Exchange si SharePoint si a bazelor de date Oracle/MSSQL, va rugam sa confirmati daca aceasta cerinta poate fi indeplinita cumulativ la nivelul echipei propuse, prin experienta complementara a specialistilor desemnati, fara ca fiecare specialist sa fie obligat sa demonstreze individual experienta in toate tehnologiile mentionate. 2.Specialistii colaboratori Va rugam sa confirmati in mod expres daca, pentru indeplinirea cerintelor privind echipa de proiect, pot fi nominalizati specialisti colaboratori ai operatorului economic, care nu au calitatea de angajati ai acestuia, dar care isi desfasoara activitatea sub coordonarea, controlul si responsabilitatea directa a ofertantului si sunt nominalizati individual in oferta, fara ca acestia sa fie considerati subcontractanti. In cazul in care un astfel de specialist este considerat subcontractant exclusiv prin prisma faptului ca nu este angajat al ofertantului, va rugam sa indicati expres aceasta interpretare si documentele/aprobarile suplimentare necesare pentru includerea sa in echipa.

Answer (15 Oct 2026, 09:31):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Date:

15 Oct 2026, 16:44

Question's name:

Certificări personalul tehnic

Question:

Referitor la cerința de la pct. 5.1 din caietul de sarcini, privind personalul tehnic certificat („minim OSCP, CEH, GPEN, GWAPT, CREST CRT sau echivalent recunoscut”), vă rugăm să clarificați dacă este necesară deținerea cumulativă a tuturor certificărilor enumerate la nivelul echipei propuse sau dacă acestea reprezintă alternative, fiind suficientă deținerea uneia dintre certificările menționate ori a unei certificări echivalente recunoscute.

Answer (15 Oct 2026, 16:53):

Este necesara minim o certificare din cele mentionate, sau certificari similare din domeniu

Date:

15 Oct 2026, 17:00

Question's name:

Asociere operatori economici

Question:

Vă rugăm să ne confirmați dacă este permisă participarea la procedura de achiziție prin depunerea unei oferte comune de către doi operatori economici, în cadrul unei asocieri.

Answer (15 Oct 2026, 17:28):

Nu este permis