Sammanfattning
Omfattning
Öppet förfarande enligt LOU avseende en IT-säkerhetsarkitekt. Uppdraget ska stärka Löfs tekniska cyberresiliens och incidentberedskap genom att analysera, utforma och vidareutveckla IT-säkerhetsarkitekturen och de tekniska säkerhetsförmågorna. Uppdraget utförs som resursuppdrag under Löfs ledning, i den löpande verksamheten eller i ett specificerat projekt. Löf försäkrar vårdgivare som finansieras av regionerna och har cirka 240 medarbetare.
Tjänsten
Nulägeskartläggning, framtagande av målbild och målarkitektur, teknisk design samt stöd vid förankring och införande av prioriterade säkerhetsåtgärder. Konsulten ska omsätta informationssäkerhetskrav, riskbedömningar och strategisk inriktning till praktiskt genomförbara tekniska lösningar och fungera som länk mellan informationssäkerhetsarbetet och den tekniska implementationen. Arbetet sker i nära samverkan med Löfs informationssäkerhetsavdelning, IT-säkerhetstekniker, IT-infrastrukturarkitekt och övriga IT-funktioner. Uppdraget beräknas initialt omfatta 50 procent av heltid under sex månader.
Leveranser
Analys: dokumenterad nulägesanalys av IT-säkerhetsarkitektur, tekniska beroenden och risker. Arkitektur: målbild och målarkitektur inklusive designprinciper och övergripande teknisk design. Åtgärder: prioriterade och konkreta rekommendationer för säkerhetskontroller, tekniska skydd och arkitekturförbättringar. Genomförande: stöd vid förankring av åtgärder samt arkitektur- och designgenomgångar. Avslut: dokumentation av målbild, teknisk design och roadmap samt kunskapsöverföring till Löf.
Plats
Tjänsten ska som huvudregel utföras på plats hos Löf. Distansarbete endast efter Löfs godkännande, som avgörs från fall till fall.
Konsulter/Kompetenser
IT-säkerhetsarkitekt (ska-krav)
En namngiven konsult som ska vara tillgänglig vid avtalsstart. Minst åtta års dokumenterad erfarenhet av IT-säkerhetsarkitektur, cybersäkerhet eller närliggande tekniskt säkerhetsområde, exempelvis applikationssäkerhet, molnsäkerhet eller nätverkssäkerhet. Mycket god förmåga att uttrycka sig i tal och skrift på svenska. CV ska bifogas, med uppdragsperioder angivna med år och månad, typ av organisation och arbetsuppgifter. Kompletterande kompetenser (ska-krav, varje krav styrks med ett beskrivet uppdrag) Framtagande av målbild, målarkitektur, färdplan eller strategisk inriktning inom IT-säkerhet eller teknisk cyberresiliens för organisationer med flera verksamhetsområden och IT-system. Nulägesanalyser, riskbaserade bedömningar och prioritering av säkerhetsåtgärder. Tillämpning av etablerade standarder och ramverk, exempelvis ISO/IEC 27001, NIST CSF, CIS Controls eller likvärdigt. Utformning av tekniska säkerhetskrav eller IT-säkerhetsarkitektur för befintliga och nya IT-system. Teknisk design av IT-säkerhetslösningar eller säkerhetsarkitektur, inklusive integrationspunkter, beroenden, säkerhetskontroller och implementationskrav. Meriterande bör-krav redovisas under Utvärdering.
Referenser
Inga referensuppdrag krävs på bolagsnivå. För vart och ett av de fem kompletterande ska-kraven ska ett uppdrag utfört av konsulten beskrivas: typ av organisation, period (månad och år), omfattning och innehåll samt konsultens roll. Uppdragsgivarens namn behöver inte anges. Samma uppdrag får åberopas för flera krav om det tydligt anges vilka delar som visar respektive krav. Bör-kraven 1–4 styrks med ett beskrivet uppdrag vardera. Vid intervjun ska konsulten redogöra för ett relevant uppdrag genomfört under de senaste tre åren.
Leverantören
Kreditrating
Minst nivå 3 enligt UC vid sista anbudsdag. Anbudsgivare med lägre rating kan i stället styrka tillräcklig finansiell ställning med handling från annat kreditupplysningsföretag eller med resultaträkning, revisorsintyg eller annan ekonomisk redovisning.
Årsomsättning
Inga krav på minsta årsomsättning ställs.
ISO-certifiering
Inga krav på certifierat ledningssystem ställs.
Övrigt
Anbudsgivaren ska lämna en allmän företagsbeskrivning med verksamhet, geografisk etablering och samarbetspartners.
Utvärdering
Löf antar det ekonomiskt mest fördelaktiga anbudet enligt bästa förhållandet mellan pris och kvalitet, via en mervärdesmodell. Mervärde från uppfyllda bör-krav och intervju dras av från anbudspriset. Lägst utvärderingspris tilldelas kontrakt.
Pris
Timpris i SEK för erbjuden konsult multipliceras med uppskattad volym om 1 000 timmar. Timpriset är fast under hela avtalsperioden. Resor, logi, restid till och från Löf samt traktamenten ska ingå i timpriset. Semesterersättning betalas inte ut. Kvalitet – bör-krav (binära, 80 000 kr i prisavdrag vardera, max 400 000 kr) Erfarenhet av uppdrag i offentlig eller reglerad verksamhet, exempelvis finans-, hälso- eller offentlig sektor. Erfarenhet av teknisk cyberresiliens, incidenthantering, kontinuitet i IT-miljöer, infrastruktursäkerhet samt kravställning och uppföljning av IT-säkerhet hos externa leverantörer. Erfarenhet av kravställning eller anpassning utifrån DORA eller motsvarande regulatoriska krav. Erfarenhet av att leda eller facilitera workshops och tvärfunktionella arbetsformer för att förankra tekniska säkerhetsinitiativ. Giltig certifiering inom informations- eller cybersäkerhet, exempelvis CISSP, CISM, SABSA eller likvärdig. Certifikatet ska bifogas. Bör-kraven ger mervärde endast om de är uppfyllda i sin helhet. Kvalitet – intervju (max 600 000 kr i prisavdrag) Cirka 60 minuter med den erbjudna konsulten, fysiskt eller via Teams. Planerade tider: 2026-11-23 och 2026-11-25 (fyra tider per dag). Leverantörer uppmanas boka tiderna preliminärt redan nu. Frågorna gäller bland annat upplägg och prioriteringar under de första 6–8 veckorna, avvägning mellan säkerhetsrisker, beroenden, verksamhetsbehov och genomförbarhet i ett tidigare uppdrag, samverkan med verksamhet och IT-funktioner, förankring av målbild och färdplan samt framtagande av teknisk design i en befintlig och komplex IT-miljö. Bedömningsområden: metodik, genomförande, prioriteringar, samverkan, riskhantering och framgångsfaktorer. Mervärdesnivåer: Utmärkt 600 000 kr, Mycket bra 400 000 kr, Bra 150 000 kr, Godkänt 70 000 kr. Maximalt totalt prisavdrag är 1 000 000 kr (400 000 kr för bör-krav och 600 000 kr för intervju). Vid lika utvärderingspris avgör i första hand mervärdet från intervjun, därefter mervärdet från bör-kraven och sist lottning.