Servicii de Testare de Penetrare (Penetration Testing)

Data:

6 oct 2026, 20:56

Subiectul întrebării:

Anexele cerute

Întrebare:

Pentru procedura nr. 21687251, vă rugăm să publicați Anexa 7 - declarația privind absența conflictelor de interese — și modelul Acordului de Confidențialitate (NDA), solicitate la pct. 12 din caietul de sarcini.

Răspuns (7 oct 2026, 12:37):

Bună ziua, documentele menționate la pct. 12 din caietul de sarcini au fost anexate în compartimentul „Documente”.

Data:

7 oct 2026, 13:12

Subiectul întrebării:

COP sau licitaţie?

Întrebare:

Caietul de sarcini (pct. 1) menționează „cererea ofertelor de prețuri sau licitație… metoda finală se stabilește după estimarea bugetară”, iar platforma indică cererea ofertelor de prețuri (servicii). Vă rugăm să confirmați procedura finală aplicabilă și să indicați dispozițiile relevante ale Regulamentului de achiziții al Băncii (HCA nr. 4/23.04.2025).

Răspuns (12 oct 2026, 15:25):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

7 oct 2026, 13:13

Subiectul întrebării:

Valoarea estimată?

Întrebare:

Valoarea estimată de 500 000 MDL fără TVA reprezintă un plafon maxim (oferte superioare vor fi respinse) sau o valoare orientativă? Include aceasta toate cele patru componente (A–D), deplasările, retestarea și alte costuri conexe?

Răspuns (7 oct 2026, 15:33):

500 000 MDL este o valoare orientativă. Oferta trebuie sa includă toate costurile aferente, inclusiv deplasările și retestarea.

Data:

7 oct 2026, 13:14

Subiectul întrebării:

Garanţii şi valabilitate ofertă

Întrebare:

Există garanție de ofertă sau de bună execuție? Care este termenul de valabilitate a ofertei?

Răspuns (7 oct 2026, 15:34):

Nu este clară întrebarea. Oferta o face furnizorul, el stipulează termenul de valabilitate al ofertei.

Data:

7 oct 2026, 13:15

Subiectul întrebării:

Componentele ofertei

Întrebare:

Oferta poate fi depusă pentru componente separate (A, B, C, D) sau doar integral? Atribuirea se face integral unui singur operator sau pe componente?

Răspuns (7 oct 2026, 15:35):

În ofertă prețul trebuie să fie detaliat pe fiecare component. Atribuirea se va face unui furnizor, pe tot scopul.

Data:

7 oct 2026, 13:16

Subiectul întrebării:

Punctaj criteriu pct. 11

Întrebare:

Vă rugăm să precizați formula de punctaj pentru fiecare criteriu din pct. 11, dacă ponderile „orientative” vor fi cele finale, dacă există praguri minime tehnice și cum se calculează punctajul pentru preț.

Răspuns (7 oct 2026, 15:35):

Criteriile de evaluare sunt descrise detaliat în caietul de sarcini.

Data:

7 oct 2026, 13:19

Subiectul întrebării:

Extrasul ASP,

Întrebare:

Care este termenul de valabilitate admis al extrasului?

Răspuns (7 oct 2026, 15:37):

Nu mai vechi de 3 luni.

Servicii de Testare de Penetrare (Penetration Testing)

Data:

7 oct 2026, 17:58

Subiectul întrebării:

I. Program și condiții de livrare

Întrebare:

1. Este 31.10.2026 termenul limită pentru finalizarea testelor sau pentru livrarea raportului final? Poate fi prelungită perioada de prestare a serviciilor? 2. Regula din secțiunea 7.3 (după ora 18:00 sau în weekend) se aplică tuturor activităților sau numai celor cu risc de perturbare? Pot fi efectuate teste neintruzive în timpul programului de lucru? 3. Pot fi efectuate teste interne de la distanță, printr-un VPN dedicat sau un jump host? Pentru ce componente este obligatorie prezența fizică la sediul Băncii? 4. Testarea va fi efectuată în producție sau sunt disponibile medii de testare pentru Swift, DocStore, DocSign și bazele de date?

Răspuns (8 oct 2026, 10:30):

1. Este termenul pentru finalizarea testarilor. Dupa finalizarea testarilor, rapoartele vor fi livrate maxim intr-o luna. 2. Cele neintruzive pot fi executate in timpul progrmului de lucru. 3. Testele pot fi efectuate la distanta sau cu prezenta fizica. 4. Pe productie.

Servicii de Testare de Penetrare (Penetration Testing)

Data:

7 oct 2026, 17:58

Subiectul întrebării:

II. Volume tehnice

Întrebare:

5. Câte adrese IP publice sunt incluse în domeniul de aplicare și câte adrese IP interne sau gazde active sunt incluse în testul intern? 6. Câte firewall-uri, routere și switch-uri Cisco sunt incluse în revizuirea configurației? Este acceptabilă o revizuire bazată pe exporturi de configurație și un eșantion reprezentativ? 7. Câte zone de rețea, inclusiv zona Swift, trebuie acoperite de testarea segmentării? Câte sucursale regionale sunt incluse? 8. Ce tip de arhitectură Swift CSCF operează Banca (A1, A2, A3, A4 sau B)? Câte servere, stații de lucru pentru operatori și servere jump se află în zona Swift? 9. Active Directory este inclus în domeniul de aplicare pentru atacul credențialelor și testarea mișcării laterale? 10. Exchange și SharePoint sunt locale, hibride sau online și ce versiuni sunt utilizate? 11. DocStore și DocSign sunt produse comerciale sau dezvoltate personalizat? Aproximativ câte pagini dinamice, puncte finale API și roluri de utilizator are fiecare? 12. Câte instanțe Oracle și MSSQL sunt incluse în domeniul de aplicare, inclusiv replici? Este acceptabilă evaluarea unui eșantion reprezentativ pentru fiecare motor de baze de date?

Răspuns (8 oct 2026, 10:37):

5. Sunt incluse 15 IP-uri publice. 6. Sunt incluse 4 dispozitive de tip router si pina la 20 dispozitive de tip switch. E necesar de testat toate dispozitivele. 7. Vorbind de Swift este 1 zona. 8. Swift arhitectura tip A3. Detaliile vor fi dezvaluite companiei selectate. 9. AD nu este inclus in scop. 11. Toate sistemele mentionate sunt on-prem. DocStore si DocSign sunt sisteme dezvoltate pentru necesitatile bancii. Alte detalii vor fi dezvaluite companiei selectate. 12. Domeniul de aplicare include 4 instante DB. Fiecare instanta trebuie evaluata.

Servicii de Testare de Penetrare (Penetration Testing)

Data:

7 oct 2026, 17:59

Subiectul întrebării:

II. Eligibilitate și rezultate preconizate

Întrebare:

13. Va accepta Banca o ofertă depusă de un operator economic din Republica Moldova care numește un subcontractant nerezident la depunerea ofertei? 14. Este inclusă retestarea vulnerabilităților remediate? În ce limbă trebuie redactat raportul?

Răspuns (8 oct 2026, 10:34):

13. Da. 14. In limba romana.

Data:

8 oct 2026, 13:27

Subiectul întrebării:

Contracte similare

Întrebare:

Pct. 5.1 solicită minim 2 contracte similare în ultimii 2 ani, iar pct. 12 solicită minim 3 referințe/contracte similare. Care este pragul obligatoriu de eligibilitate și care este cerința doar pentru punctare?

Răspuns (12 oct 2026, 15:23):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

8 oct 2026, 13:28

Subiectul întrebării:

Contract similar

Întrebare:

Ce se consideră „contract similar” (obiect, valoare minimă, număr de componente, tip de testare) și ce dovezi sunt acceptate pentru contracte supuse confidențialității (scrisoare de referință, declarație pe propria răspundere, proces-verbal de recepție)? Preferința pentru sectorul bancar este criteriu de punctare sau de eligibilitate?

Răspuns (12 oct 2026, 15:23):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

8 oct 2026, 13:29

Subiectul întrebării:

Personalul certificat

Întrebare:

Pentru personalul certificat (OSCP, CEH, GPEN, GWAPT, CREST CRT sau echivalent): câți specialiști certificați sunt solicitați minimum, este suficient ca certificările să fie deținute de echipa în ansamblu sau de fiecare specialist, și trebuie să fie certificările în termen de valabilitate?

Răspuns (12 oct 2026, 15:23):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

8 oct 2026, 13:29

Subiectul întrebării:

Certificările considerate echivalente

Întrebare:

Vă rugăm să indicați lista certificărilor considerate „echivalente” (ex.: OSWE, OSEP, OSWP, BSCP, eCPPT, PNPT, CRTP, CREST CPSA/CCT, GXPN, certificări Oracle/Microsoft pentru baze de date) și dacă experiența demonstrată poate înlocui o certificare pentru Swift, baze de date și Wi-Fi.

Răspuns (12 oct 2026, 15:22):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

8 oct 2026, 13:30

Subiectul întrebării:

cadrului Swift CSP/CSCF

Întrebare:

Cerința „experiență sau cunoaștere dovedită a cadrului Swift CSP/CSCF” este obligatorie sau doar criteriu de punctare? Ce dovezi sunt acceptate (certificat, evaluări anterioare, instruiri, statutul de evaluator independent Swift CSP)?

Răspuns (12 oct 2026, 15:22):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

8 oct 2026, 13:30

Subiectul întrebării:

Modificarea echipei

Întrebare:

Poate echipa propusă să fie modificată după atribuire (ex.: indisponibilitate)? Este permisă lucrul de la distanță și implicarea de specialiști din afara Republicii Moldova? Există cerințe privind verificarea antecedentelor personalului?

Răspuns (12 oct 2026, 15:22):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

9 oct 2026, 16:46

Subiectul întrebării:

Testul intern?

Întrebare:

Testul intern se va realiza la fața locului sau de la distanță? Ce punct de acces va fi oferit (laptop al operatorului conectat în rețea, VPN, jump host)? Sunt incluse unitățile teritoriale și, dacă da, câte vor fi vizitate fizic?

Răspuns (12 oct 2026, 15:21):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

9 oct 2026, 16:47

Subiectul întrebării:

referitor la aplicatii

Întrebare:

Confirmați că aplicațiile de internet banking, mobile banking, site-ul public, ATM/POS și procesarea cardurilor se află în afara perimetrului? Pct. 3.4 menționează „instrumentele de plată la distanță” – se testează doar nivelul bazelor de date?

Răspuns (12 oct 2026, 15:21):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

9 oct 2026, 16:47

Subiectul întrebării:

Active Directory

Întrebare:

Este Active Directory / domeniul Windows (inclusiv, dacă există, integrarea cu servicii cloud/Microsoft 365) inclus în perimetru pentru testarea escaladării privilegiilor și mișcării laterale cerute la pct. 6.1–6.4?

Răspuns (12 oct 2026, 15:21):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

9 oct 2026, 16:48

Subiectul întrebării:

Microsoft Exchange și SharePoint

Întrebare:

Pentru Microsoft Exchange și SharePoint: care sunt versiunile, este mediul exclusiv local (on-premises) sau hibrid, câte puncte expuse extern există și care sunt domeniile pentru verificările SPF/DKIM/DMARC?

Răspuns (12 oct 2026, 15:21):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

9 oct 2026, 16:49

Subiectul întrebării:

bazele de date Oracle și MSSQL

Întrebare:

Pentru bazele de date Oracle și MSSQL: versiuni, sistem de operare gazdă, număr de instanțe (producție/DR), caracteristici active (TDE, Data Guard/RAC, Always On) și metoda de acces pentru evaluarea configurației (conturi cu drepturi de citire furnizate de Bancă sau rulare de scripturi de către administratorii Băncii)?

Răspuns (12 oct 2026, 15:21):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

9 oct 2026, 16:50

Subiectul întrebării:

Medii executii teste

Întrebare:

Testele se vor executa în producție sau există medii de pre-producție/test? Care sunt acțiunile care necesită aprobare scrisă prealabilă (pct. 7.2) și în ce termen răspunde Banca?

Răspuns (12 oct 2026, 15:21):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

9 oct 2026, 16:51

Subiectul întrebării:

Instrumente spre utilizare

Întrebare:

Ce instrumente pot fi utilizate (scannere comerciale, framework-uri C2, scripturi proprii) și există o listă de instrumente interzise sau care necesită aprobare? Poate operatorul utiliza instrumente asistate de AI, cu condiția ca datele Băncii să nu fie transmise către servicii externe?

Răspuns (12 oct 2026, 15:20):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

9 oct 2026, 17:16

Subiectul întrebării:

General engagement information

Întrebare:

Please answer to the following: - Primary contact (name, role, phone, e-mail) - 24/7 emergency contact during testing windows - Business/system owner per component (A, B, C, D) - Main drivers for this test: BNM Reg. 29/2025, Swift CSP attestation, external audit, BNM inspection? Any fixed deadline? - Date of the last penetration test per component, and can the previous report be shared for retest of findings? - Is this the first test of any in-scope system? - Are there open remediation items from previous tests or audits that must be verified? - Number of physical locations in scope (head office, data centers, territorial units) - Are the two hosting locations (primary / DR) both in scope, or only primary? - Are any in-scope systems hosted or managed by third parties (outsourcing, cloud, Swift service bureau)? Has the provider authorized testing? - Is a production-equivalent test/UAT environment available for any component? - Language of deliverables (Romanian, English, both)

Răspuns (12 oct 2026, 15:20):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

9 oct 2026, 17:18

Subiectul întrebării:

Component A - Swift messaging system

Întrebare:

Please answer to the following: - Swift CSP architecture type (A1, A2, A3, A4, B) - Messaging and communication interface products and versions (e.g. Alliance Access/Entry, Alliance Gateway, SwiftNet Link, Alliance Lite2) - Number of servers in the secure Swift zone (interface, gateway, database, jump servers) - Number of dedicated operator workstations - HSM model, count and location; is HSM configuration review expected on-site? - How is the Swift zone separated from the general network (dedicated firewall, VLAN, physical)? - How do operators and administrators reach the zone (jump server, MFA method, PAM tool)? - Number of back-office integration interfaces (core banking, treasury, AML screening, file transfer) - Is a Swift test/training environment (non-live BIC) available for intrusive tests? - Date and outcome of the latest CSCF attestation; independent assessment used? - Which CSCF version should the configuration review map to? - Permitted test perspectives: external black box, internal network grey box, compromised operator workstation? - Will test operator and administrator accounts be provided? Which roles? - Hard prohibitions (no message creation, no RMA changes, no HSM key operations, etc.)

Răspuns (12 oct 2026, 15:20):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

9 oct 2026, 17:21

Subiectul întrebării:

Component B - LAN/WAN infrastructure, including VPN

Întrebare:

Please answer to the following: External perimeter - Number of public IP addresses / ranges in scope - Number of internet-facing services and web applications (excluding Exchange/SharePoint, covered in C) - Number of ISPs / internet uplinks - Any WAF, anti-DDoS or upstream filtering that may block testing? Can tester IPs be whitelisted? Internal network - Approximate number of live internal hosts (servers / workstations) - Number of internal subnets / VLANs and security zones (DMZ, server, user, management, Swift, etc.) - Number of territorial units (branches) connected via WAN; should a branch be tested on-site? - WAN technology (MPLS, IPsec over internet, SD-WAN) - Number of Cisco firewalls, routers and core switches for configuration review - Is Active Directory in scope for internal testing (domains, forests, trust relationships)? - Network access control in place (802.1X / NAC)? Will testers be given a port or must they bypass it? - Is the guest Wi-Fi in one location or several? Is the corporate Wi-Fi in scope? - Out-of-band / management network present and in scope? VPN - Remote-access VPN product and version; MFA method - Number of remote-access VPN gateways and third-party (vendor) VPN profiles - Number of site-to-site tunnels (branches, partners, processors) - Will test VPN accounts be provided for the authorised-user perspective?

Răspuns (12 oct 2026, 15:20):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

9 oct 2026, 17:25

Subiectul întrebării:

Component C - Document management and communication systems

Întrebare:

Please answer to the following: Common to all C systems - Authentication model (AD integrated, ADFS/SSO, local accounts, MFA) - Will test accounts be provided at two privilege levels per department (for cross-user / cross-department checks)? - Which systems integrate with each other (e.g. DocSign - DocStore, SharePoint - FileShare)? Microsoft Exchange - Exchange version and CU level; on-premises, hybrid or Exchange Online? - Exposed endpoints: OWA, ActiveSync, Autodiscover, EWS, MAPI/HTTP, ECP - which are internet-facing? - Number of Exchange servers and e-mail gateways / filtering appliances - Number of mail domains to check for SPF, DKIM, DMARC - Account lockout policy (to plan password-spray testing safely) SharePoint - Version (2016, 2019, Subscription Edition, Online) - Number of web applications / site collections in scope - Is external sharing or anonymous access enabled anywhere? - Custom solutions, add-ins or workflows deployed? DocStore and DocSign - Product/vendor and version, or in-house development? - Number of user roles and distinct application modules / screens - Are APIs exposed? Number of endpoints; is API documentation (OpenAPI/Swagger) available? - DocSign: where are signing keys and certificates stored (HSM, token, server key store)? Qualified or advanced signatures? - Is a test environment available, or must web application testing run on production? - Will source code be available for review (optional white box)? FileShare - Number of file servers and shares in scope; approximate data volume - Platform (Windows file server, DFS, NAS appliance) and SMB versions enabled - Is automated discovery of sensitive data (card data, personal data, credentials) on shares expected?

Răspuns (12 oct 2026, 15:18):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

11 oct 2026, 16:02

Subiectul întrebării:

Dimensiunea perimetrului

Întrebare:

Vă rugăm să furnizați dimensiunea perimetrului: numărul de adrese IP publice/domenii/FQDN-uri expuse, numărul de subrețele/VLAN-uri interne, numărul de servere și stații per componentă, numărul de unități (sediu central și teritoriale) și numărul/modelele firewall-urilor și echipamentelor de rețea.

Răspuns (12 oct 2026, 15:18):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

11 oct 2026, 16:02

Subiectul întrebării:

articolele/controalele din Regulamentul BNM

Întrebare:

Care sunt articolele/controalele din Regulamentul BNM nr. 29/2025 față de care se realizează „evaluarea de conformitate” din raport? Puteți furniza un extras sau o matrice de control?

Răspuns (12 oct 2026, 15:18):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

11 oct 2026, 16:03

Subiectul întrebării:

configurația HSM

Întrebare:

Ce presupune concret „verificarea integrității configurației HSM” (revizuire de configurație pe baza exporturilor furnizate de administratorii Băncii sau acces fizic/consolă)? Care este modelul HSM și cine îl administrează? Confirmați că operatorul nu va avea acces la materialul criptografic sau la cardurile de administrare.

Răspuns (12 oct 2026, 15:18):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

11 oct 2026, 16:04

Subiectul întrebării:

Livrabilul pentru componenta A

Întrebare:

Livrabilul pentru componenta A este un raport de testare de penetrare cu o revizuire a configurației față de controalele CSCF sau o evaluare independentă formală pentru atestarea Swift? Dacă este a doua variantă, ce calificare a evaluatorului solicită Banca și ce controale vor fi evaluate (obligatorii/consultative)?

Răspuns (12 oct 2026, 15:17):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

11 oct 2026, 16:04

Subiectul întrebării:

rețeaua Swift

Întrebare:

Confirmați că infrastructura rețelei Swift, echipamentele de conectivitate gestionate de Swift și serviciile centrale Swift sunt în afara perimetrului, iar testarea vizează exclusiv componentele administrate de Bancă (zona securizată, jump server, stații de operator, HSM, interfețele de integrare)?

Răspuns (12 oct 2026, 15:17):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

14 oct 2026, 10:18

Subiectul întrebării:

Aria de aplicabilitate a serviciilor

Întrebare:

1. Evaluarea configuratiei componentelor SWIFT Referitor la cerinta privind evaluarea configuratiei componentelor SWIFT - interfete de mesagerie, statii operator si componente criptografice - va rugam sa clarificati daca se solicita efectuarea de teste de penetrare pentru fiecare dintre aceste componente sau verificarea acestora din perspectiva conformitatii cu SWIFT CSCF. 2. Verificarea controalelor SWIFT CSCF Referitor la verificarea controalelor SWIFT CSCF privind restrictionarea accesului la internet, hardening, patch management, autentificare si gestiunea conturilor privilegiate, va rugam sa confirmati daca cerinta se refera la verificarea acestora din perspectiva conformitatii cu SWIFT CSCF. 3. Revizuirea configuratiei fata de SWIFT CSCF Va rugam sa ne comunicati ce tip de arhitectura SWIFT este implementata de Banca: A1, A2, A3, A4 sau B. 4. Sistemul de mesagerie interbancara SWIFT Va rugam sa ne comunicati: • ce tip de aplicatie este utilizata - desktop sau web; • cate adrese IP sunt implicate in testarea acestei aplicatii, inclusiv statii, servere etc. 5. Infrastructura de retea Va rugam sa ne comunicati cate adrese IP sunt incluse in scopul testarii infrastructurii WAN/LAN. 6. DocStore, DocSign si FileShare Va rugam sa ne comunicati: • ce tip de aplicatii sunt DocStore, DocSign si FileShare; • cate adrese IP sunt implicate in functionarea si testarea acestora. 7. Sistemele de gestiune a bazelor de date - Oracle si MSSQL Va rugam sa ne comunicati cate adrese IP sunt implicate in testarea sistemelor Oracle si MSSQL. 8. Acces la infrastructura interna In vederea realizarii testelor de penetrare, va rugam sa confirmati daca poate fi asigurat acces VPN la infrastructura interna.

Răspuns (15 oct 2026, 09:31):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

14 oct 2026, 10:18

Subiectul întrebării:

Termen executie

Întrebare:

Avand in vedere modificarea calendarului procedurii si prelungirea termenului de depunere a ofertelor pana la 21.10.2026, va rugam sa confirmati daca termenul de 31.10.2026 comunicat anterior pentru finalizarea activitatilor de testare ramane aplicabil sau daca acesta va fi actualizat corespunzator noului calendar al procedurii.

Răspuns (15 oct 2026, 09:31):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

14 oct 2026, 10:19

Subiectul întrebării:

Echipa de proiect

Întrebare:

1. Experienta tehnica a echipei propuse Referitor la cerinta privind experienta dovedita in testarea infrastructurii de retea, a sistemelor Microsoft Exchange si SharePoint si a bazelor de date Oracle/MSSQL, va rugam sa confirmati daca aceasta cerinta poate fi indeplinita cumulativ la nivelul echipei propuse, prin experienta complementara a specialistilor desemnati, fara ca fiecare specialist sa fie obligat sa demonstreze individual experienta in toate tehnologiile mentionate. 2.Specialistii colaboratori Va rugam sa confirmati in mod expres daca, pentru indeplinirea cerintelor privind echipa de proiect, pot fi nominalizati specialisti colaboratori ai operatorului economic, care nu au calitatea de angajati ai acestuia, dar care isi desfasoara activitatea sub coordonarea, controlul si responsabilitatea directa a ofertantului si sunt nominalizati individual in oferta, fara ca acestia sa fie considerati subcontractanti. In cazul in care un astfel de specialist este considerat subcontractant exclusiv prin prisma faptului ca nu este angajat al ofertantului, va rugam sa indicati expres aceasta interpretare si documentele/aprobarile suplimentare necesare pentru includerea sa in echipa.

Răspuns (15 oct 2026, 09:31):

Informațiile necesare pentru pregătirea ofertei sunt cuprinse în caietul de sarcini și în răspunsurile la clarificări publicate anterior, la care vă rugăm să faceți referire. Detaliile tehnice privind infrastructura Băncii nu pot fi divulgate în cadrul procedurii de achiziție din considerente de securitate. Acestea vor fi comunicate operatorului economic desemnat câștigător, în etapa de executare a contractului, în baza unui acord de confidențialitate.

Data:

15 oct 2026, 16:44

Subiectul întrebării:

Certificări personalul tehnic

Întrebare:

Referitor la cerința de la pct. 5.1 din caietul de sarcini, privind personalul tehnic certificat („minim OSCP, CEH, GPEN, GWAPT, CREST CRT sau echivalent recunoscut”), vă rugăm să clarificați dacă este necesară deținerea cumulativă a tuturor certificărilor enumerate la nivelul echipei propuse sau dacă acestea reprezintă alternative, fiind suficientă deținerea uneia dintre certificările menționate ori a unei certificări echivalente recunoscute.

Răspuns (15 oct 2026, 16:53):

Este necesara minim o certificare din cele mentionate, sau certificari similare din domeniu

Data:

15 oct 2026, 17:00

Subiectul întrebării:

Asociere operatori economici

Întrebare:

Vă rugăm să ne confirmați dacă este permisă participarea la procedura de achiziție prin depunerea unei oferte comune de către doi operatori economici, în cadrul unei asocieri.

Răspuns (15 oct 2026, 17:28):

Nu este permis