Vzdrževanje različnih namenskih aplikacij, razvitih za platformo HCL Notes/Domino

VPRAŠANJE 4
V točki 9.3.1 razpisne dokumentacije naročnik zahteva veljavno varnostno dovoljenje organizacije (FSC) za dostop do tajnih podatkov stopnje »ZAUPNO«. Iz razpisne dokumentacije pa ni razvidno, da bo pri izvajanju storitev oziroma vseh sklopov nujno potrebno hranjenje ali obravnavanje tajnih podatkov stopnje »ZAUPNO«, pri prevzemu tajnega dela razpisne dokumentacije pa je za osebo zahtevano dovoljenje stopnje »INTERNO«. Prosimo naročnika za potrditev, da bo kot ustrezno štel tudi veljavno varnostno dovoljenje organizacije za hranjenje in obravnavanje tajnih podatkov stopnje »INTERNO«, kadar se pri izvajanju predmetnega naročila oziroma posameznega sklopa ne bodo obravnavali tajni podatki višje stopnje od »INTERNO«, ter da se v takem primeru šteje pogoj iz točke 9.3.1 za izpolnjen.

ODGOVOR: 
Ponudnik mora izpolnjevati pogoja tako za veljavno varnostno dovoljenje organizacije (Facility Security Clearance – FSC) za dostop do tajnih podatkov "ZAUPNO", kot veljavna dovoljenja za dostop do tajnih podatkov (Personal Security Clearance – PSC) stopnje tajnosti "ZAUPNO", vseh kadrov ponudnika, ki bodo opravljali dela predmetnega javnega naročila, skladno z navedbami v točki 9.3.1 in 2. v razpisni dokumentaciji Navodilo ponudniku.

VPRAŠANJE 1 in 2:

Spoštovani,

pri pregledu razpisne dokumentacije smo naleteli na vsebinsko neskladje med pogoji za sodelovanje in osnutkom pogodbe, ki vpliva na razumevanje obveznosti predložitve certifikata:

V Navodilih ponudniku (točka 9.3.3) naročnik izrecno zahteva: »Ponudnik mora imeti veljaven certifikat ISO/IEC 27001 (Information Security Management Systems - ISMS)...« ter kot obvezno dokazilo zahteva kopijo tega certifikata. Iz tega izhaja, da je certifikat izključujoč pogoj za sodelovanje v postopku.

Nasprotno pa je v dokumentu »Priloga k vzorcu pogodbe Določbe o izpolnjevanju zahtev informacijske varnosti« v 2. členu (prvi odstavek) zapisano: »Če je izvajalec imetnik certifikata za standard ISO/IEC 27001 [...] se šteje, da je izpolnil pogoje iz 3., 4., 5., 6., 7., 8., 9., 10., 11., 12., 13., 14., 15., 17., 18. in 22., člena teh določil.«

Uporaba besedne zveze »Če je izvajalec imetnik certifikata« jasno implicira pogojevanje oziroma možnost, da izbrani izvajalec tega certifikata dejansko nima, temveč v tem primeru pogoje informacijske varnosti dokazuje in izpolnjuje neposredno preko preostalih navedenih členov te priloge. Navedeno določilo pogodbe je torej v neposrednem nasprotju s točko 9.3.3 Navodil ponudniku, kjer je certifikat opredeljen kot absoluten in obvezen pogoj za oddajo dopustne ponudbe.

Glede na navedeno kontradiktornost prosimo za pojasnilo:
Ali je veljaven certifikat ISO/IEC 27001 (ali enakovreden) dejansko obvezen pogoj za sodelovanje, ki ga mora ponudnik izkazati že v sami ponudbi?
Če je certifikat obvezen, zakaj pogodba predvideva opcijo, v kateri izvajalec ni imetnik tega certifikata?
Če pa certifikat ni obvezen (kot izhaja iz dikcije vzorca pogodbe), ali lahko ponudnik odda dopustno ponudbo brez certifikata in pogoje informacijske varnosti v celoti izpolnjuje ter dokazuje neposredno po členih navedene priloge k pogodbi?

Hvala za pojasnilo.


VPRAŠANJE 3:

Pozdravljeni,
v navodilih ponudniku pod točko 9.3.3 je zapisano, da mora imeti ponudnik veljaven certifikat ISO/IEC 27001. Ali morajo ta pogoj
- v primeru predložitve skupne ponudbe izpolnjevati vsi partnerji v skupni ponudbi (vsak zase) oziroma ali mora
- v primeru ponudbe s podizvajalci ta certifikat predložiti tudi podizvajalec, ki nastopa v ponudbi?


ODGOVOR:

Hvala za opozorilo. Res je prišlo do neskladja z navedbo pogoje v točki 9.3.3, Navodila ponudniku in obrazcem P-3 Vzorec pogodbe.

V primeru, da ponudnik ne razpolaga z veljavnim certifikatom ISO/IEC 27001 (Information Security Management Systems - ISMS) ali temu enakovrednim, lahko izpolnjevanje pogojev informacijske varnosti dokazuje in izpolnjuje neposredno preko preostalih navedenih členov Določbe o izpolnjevanju zahtev informacijske varnosti, ki je priloga obrazca P-3 Vzorec pogodbe.

Pogoj morajo izpolnjevati tako ponudnik, podizvajalec in v primeru skupne ponudbe, vsi partnerji (vsak zase).