Sygn. akt KIO 865/19 POSTANOWIENIE z dnia 17 maja 2019 r. Krajowa Izba Odwoławcza - w składzie: Przewodniczący: Robert Skrzeszewski Magdalena Rams Ewa Sikorska po rozpoznaniu na posiedzeniu niejawnym bez udziału stron i uczestników postępowania odwoławczego w dniu 17 maja 2019 r. w Warszawie odwołania wniesionego do Prezesa Krajowej Izby Odwoławczej w dniu 10 maja 2019 r. przez wykonawcę TPM Services sp. z o.o. z siedzibą w Warszawie ul. Łopuszańska 32, 02-220 Warszawa w postępowaniu prowadzonym przez Centralny Zarząd Służby Więziennej, ul. Rakowiecka 37A, 02-521 Warszawa przy udziale wykonawcy T-Mobile Polska S.A. zgłaszającego swoje przystąpienie do postępowania odwoławczego o sygn. akt: KIO 865/19 po stronie Zamawiającego postanawia: 1. umorzyć postępowanie odwoławcze, 2. nakazuje zwrot z rachunku bankowego Urzędu Zamówień Publicznych na rzecz wykonawcy TPM Services sp. z o.o. z siedzibą w Warszawie ul. Łopuszańska 32, 02220 Warszawa kwoty 13 500 zł 00 gr (słownie: trzynaście tysięcy pięćset złotych zero groszy) stanowiącej 90 % uiszczonego wpisu. Stosownie do art. 198a i 198b ustawy z dnia 29 stycznia 2004 r. - Prawo zamówień publicznych (t.j. Dz. U. z 2018 r., poz. 1986 ze zm.) na niniejsze postanowienie w terminie 7 dni od dnia jego doręczenia - przysługuje skarga za pośrednictwem Prezesa Krajowej Izby Odwoławczej do Sądu Okręgowego w Warszawie. Przewodniczący........................ Sygn. akt: KIO 865/19 Uzasadnienie Zamawiający: Centralny Zarząd Służby Więziennej, ul. Rakowiecka 37A, 02-521 Warszawa wszczął postępowanie o udzielenie zamówienia publicznego prowadzone w trybie przetargu nieograniczonego, którego przedmiotem jest „Usługa sieci rozległej WAN wraz z usługami dodatkowymi”, numer referencyjny: 14/19/TK. Ogłoszenie o zamówieniu zostało opublikowane w dniu 30 kwietnia 2019 r. w Dzienniku Urzędowym Unii Europejskiej pod numerem 2019/ S 084-200399. W tej samej dacie opublikowana została Specyfikacja Istotnych Warunków Zamówienia, zwana dalej SIWZ na stronie internetowej Zamawiającego. Nie zgadzając się z niektórymi postanowieniami SIWZ Odwołujący: TPM Services sp. z o.o. z siedzibą w Warszawie ul. Łopuszańska 32, 02-220 Warszawa wniósł odwołanie do Prezesa Krajowej Izby Odwoławczej zarzucając Zamawiającemu sformułowanie treści SIWZ w sposób niezgodny z przepisami ustawy z dnia 29 stycznia 2004 r. - Prawo zamówień publicznych (t.j. Dz. U. z 2018 r., poz. 1986 ze zm.), zwanej dalej ustawą Pzp w zakresie: 1.1. sformułowania treści SIWZ - Załącznika nr 1 do umowy - opis przedmiotu zamówienia, zwanego dalej OPZ - punkt 1.2.4, w taki sposób, że zamawiający wymaga, aby wszystkie użyte do świadczenia usługi urządzenia, w tym sprzęt i oprogramowanie, pochodziły z oficjalnego kanału dystrybucji na rynek polski. 1.2. sformułowania treści SIWZ - Załącznika nr 1 do umowy - OPZ w taki sposób, że: 1.2.1. w punkcie 2.1.3 OPZ zamawiający wymaga, że producenci elementów systemu bezpieczeństwa muszą być uwzględniani w zestawieniach Gartner Magie Ouadrant z zakresu bezpieczeństwa sieciowego (typu Enterprise Network Firewalls, Intrusion Prevention Systems, Secure Web Gateways), w okresie, co najmniej trzech ostatnich lat; 1.2.2. w punkcie 2.2.7.2 OPZ zamawiający wymaga, aby urządzenie zapewniało obsługę logicznej segmentacji urządzenia: możliwość alokacji zasobów sprzętowych per instancja; 1.2.3. w punkcie 2.2.8.11 OPZ zamawiający wymaga, aby urządzenie umożliwiało współpracę z serwerami autoryzacji w zakresie przesyłania list kontroli dostępu z serwera do urządzenia z granulacją per użytkownik; 1.2.4. w punkcie 2.2.8.16 OPZ zamawiający wymaga, aby system posiadał możliwość kontekstowego definiowania reguł z wykorzystaniem informacji pozyskiwanych o hostach na bieżąco poprzez pasywne skanowanie; 1.2.5. w punkcie 2.2.8.18.
- b)OPZ zamawiający wymaga, aby urządzenie pozwalało na tworzenie profili użytkowników korzystających ze wskazanych aplikacji z dokładnością do systemu operacyjnego, z którego korzysta użytkownik oraz wykorzystywanych usług, 1.2.6. w punkcie 2.2.8.18.
- d)OPZ zamawiający wymaga, aby urządzenie umożliwiało współpracę z otwartym systemem aplikacji pozwalającym administratorowi na skonfigurowanie opisu dowolnej aplikacji i wykorzystanie go do automatycznego wykrywania tejże aplikacji przez system praz na wykorzystanie profilu tej aplikacji w regułach reagowania na zagrożenia oraz w raportach; 1.2.7. w punkcie 2.2.9.6 OPZ zamawiający wymaga, aby urządzenie zapewniało następujące sposoby wykrywania zagrożeń:
- a)sygnatury ataków opartych na exploitach,
- b)reguły oparte na zagrożeniach,
- c)mechanizm wykrywania anomalii w protokołach,
- d)mechanizm wykrywania anomalii w ogólnym zachowaniu ruchu sieciowego; 1.2.8. w punkcie 2.2.9.8 OPZ zamawiający wymaga, aby urządzenie posiadało mechanizm minimalizujący liczbę fałszywych alarmów, jak i niewykrytych ataków (ang. false positives i false negatives); 1.2.9. w punkcie 2.2.9.11 OPZ zamawiający wymaga, aby urządzenie posiadało możliwość pasywnego zbierania informacji o urządzeniach sieciowych oraz ich aktywności (systemy operacyjne, serwisy, otwarte porty, aplikacje oraz zagrożenia) w celu wykorzystania tych informacji do analizy i korelacji ze zdarzeniami bezpieczeństwa, eliminowania fałszywych alarmów oraz tworzenia polityki zgodności; 1.2.10. w punkcie 2.2.9.15 OPZ zamawiający wymaga, aby urządzenie zapewniało możliwość obrony przed atakami skonstruowanymi tak, aby uniknąć wykrycia przez IPS - w tym celu stosuje odpowiedni mechanizm defragmentacji i składania strumienia danych w zależności od charakterystyki hosta docelowego; 1.2.11. w punkcie 2.2.9.17 OPZ zamawiający wymaga, aby urządzenie zapewniało możliwość definiowania wyjątków dla sygnatur z określeniem adresów IP źródła, przeznaczenia lub obu jednocześnie; 1.2.12. w punkcie 2.2.9.19 OPZ zamawiający wymaga, aby urządzenie zapewniało obsługę reguł Snort; 1.2.13. w punkcie 2.2.9.20 OPZ zamawiający wymaga, aby urządzenie zapewniało możliwość wykorzystania informacji o sklasyfikowanych aplikacjach do tworzenia reguł IPS; 1.2.14. w punkcie 2.2.11.3 OPZ zamawiający wymaga, aby urządzenie zapewniało narzędzia analizy historycznej dla plików przesłanych w przeszłości, a rozpoznanych później jako oprogramowanie złośliwe (analiza retrospektywna); 1.2.15. w punkcie 2.2.11.4 OPZ zamawiający wymaga, aby urządzenie zapewniało wykrywanie ataków typu Zero-Day, która to funkcjonalność jest właściwa dla dedykowanych rozwiązań IPS oraz rozwiązań ochrony stacji końcowej, przy czym te ostatnie w rozumieniu wykonawcy nie stanowią przedmiotu zamówienia; 1.2.16. w punkcie 2.2.12.9 OPZ zamawiający wymaga, aby urządzenie posiadało wsparcie dla mechanizmu TCP Ping, który pozwala na wysyłanie wiadomości TCP dla rozwiązywania problemów związanych z łącznością w sieciach IP. 2. Zaskarżonym czynnościom Zamawiającego Odwołujący zarzucił naruszenie: 2.1. art. 7 ust. 1 ustawy Pzp i art. 29 ust. 1, 2 i 3 ustawy Pzp poprzez dokonanie opisu przedmiotu zamówienia w sposób nieadekwatny do uzasadnionych potrzeb Zamawiającego, wskazujący na konkretną markę producenta, z jednoczesnym naruszeniem zasad uczciwej konkurencji i równego traktowania wykonawców; 2.2. art. 7 ust. 1 ustawy Pzp, art. 25. ust. 1 pkt 2 ustawy Pzp i art. 29 ust. 1 i 2 ustawy Pzp poprzez stawianie oferentom wymagań ponad miarę, nieproporcjonalnych do potrzeb weryfikacji, czy oferowany przez wykonawców produkt spełnia wymagania Zamawiającego; 3. z uwagi na powyższe zarzuty Odwołujący wnosił o nakazanie Zamawiającemu dokonania zmiany treści SIWZ - załącznika nr 1 do umowy: 3.1. w zakresie punktu 1.2.4 OPZ - poprzez usunięcie tego wymogu lub dopuszczenie urządzeń, w tym sprzętu i oprogramowania, pochodzących z innych oficjalnych kanałów dystrybucji, bez zawężania wyłącznie do oficjalnego kanału dystrybucji na rynek polski; 3.2. w zakresie punktu 2.1.3 OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.3. w zakresie punktu 2.2.7.2 OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.4. w zakresie punktu 2.2.8.11 OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.5. w zakresie punktu 2.2.8.16 OPZ - poprzez usunięcie tego wymogu; 3.6. w zakresie punktu 2.2.8.18.
- b)OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.7. w zakresie punktu 2.2.8.18.
- d)OPZ - poprzez zmianę zapisów tego wymagania na następujące: „Możliwość samodzielnego definiowania sygnatur aplikacyjnych pozwalających administratorowi na skonfigurowanie opisu dowolnej aplikacji i wykorzystanie go do automatycznego wykrywania tak rozpoznanych aplikacji przez system AVC oraz na wykorzystanie profilu tej aplikacji w regułach reagowania na zagrożenia oraz w raportach;” 3.8. w zakresie punktu 2.2.9.6 OPZ - poprzez usunięcie tego wymogu celem umożliwienia zaproponowania rozwiązań alternatywnych lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.9. w zakresie punktu 2.2.9.8 OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.10. w zakresie punktu 2.2.9.11 OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.11. w zakresie punktu 2.2.9.15 OPZ - poprzez zmianę zapisów tego wymagania i dopuszczenie rozwiązań, które pozwolą na „uzyskanie podobnej funkcjonalności poprzez zablokowanie każdego połączenia, która nosi znamiona manipulacji nr sekwencyjnymi segmentów TCP, bez względu do jakiego hosta docelowego kierowane jest połączenie”; 3.12. w zakresie punktu 2.2.9.17 OPZ - poprzez usunięcie tego wymogu w całości lub, alternatywnie, w zakresie definiowania wyjątków dla IP źródła i przeznaczenia jednocześnie; 3.13. w zakresie punktu 2.2.9.19 OPZ - poprzez usunięcie tego wymogu, ewentualnie zmianę tego wymogu na następujący: „System IPS musi umożliwiać budowanie własnych sygnatur IPS bez udziału wsparcia technicznego producenta”; 3.14. w zakresie punktu 2.2.9.20 OPZ - poprzez usunięcie tego wymogu celem umożliwienia zaproponowania rozwiązań alternatywnych lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.15. w zakresie punktu 2.2.11.3 OPZ - poprzez usunięcie tego wymogu celem umożliwienia zaproponowania rozwiązań alternatywnych lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.16. w zakresie punktu 2.2.11.4 OPZ - poprzez jednoznaczne wskazanie, jakiej funkcjonalności Zamawiający oczekuje w tym zakresie; 3.17. w zakresie punktu 2.2.12.9 OPZ - poprzez usunięcie tego wymogu celem umożliwienia zaproponowania rozwiązań alternatywnych lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 4. ponadto wnosił o zasądzenie od zamawiającego na rzecz Odwołującego kosztów postępowania, w tym kosztów reprezentacji wg przedstawionych na rozprawie rachunków. W tym stanie rzeczy Izba ustaliła i zważyła, co następuje. W dniu 15 maja 2019r., przed wyznaczoną rozprawą, do siedziby Krajowej Izby Odwoławczej wpłynęło pismo Odwołującego z tej samej daty o cofnięciu odwołania. Uwzględniając powyższe Izba, działając na podstawie art. 187 ust.8 ustawy z dnia 29 stycznia 2004 r. Prawo zamówień publicznych(t.j. Dz. U. z 2018 r., poz. 1986 wraz ze zm.), postanowiła postępowanie odwoławcze w niniejszej sprawie umorzyć. Zgodnie z art. 187 ust. 8 zd.2 ustawy Pzp Izba postanowiła zwrócić na rzecz Odwołującego 90% kwoty uiszczonego wpisu. Wobec powyższego, orzeczono jak w sentencji. O kosztach postępowania orzeczono stosownie do jego wyniku na podstawie przepisu art. 192 ust. 9 i 10 ustawy Pzp oraz w oparciu o przepisy § 3 pkt 1 i § 5 ust.1 pkt. 3 lit. a i ust. 4 wraz ze zm.). Przewodniczący........................ 6