Sygn. akt: KIO 975/22 WYROK z dnia 22 kwietnia 2022 r. Krajowa Izba Odwoławcza - w składzie: Przewodniczący: Agnieszka Trojanowska Protokolant: Marta Słoma po rozpoznaniu na rozprawie w Warszawie w dn

§ 1ust.

1 pkt 1 i 2, wynosi .......................... zł (słownie złotych: ......................................................), zgodnie Załącznikiem nr 11 (Formularz oferty), w tym: 1) z tytułu dostawy HSM, o której mowa w § 1 ust. 1 pkt 1, wynosi brutto.......................... zł (słownie złotych:......................................................), 2) z tytułu dostawy Oprogramowania, o którym mowa w § 1 ust. 1 pkt 2, wynosi brutto ..........................zł (słownie złotych:......................................................). 3. Wynagrodzenie brutto Wykonawcy z tytułu Wdrożenia Rozwiązania i dostarczenia Dokumentacji powykonawczej Rozwiązania,

§ 1ust.

1 pkt 3 i 4, wynosi .......................... zł (słownie złotych: ......................................................), zgodnie Załącznikiem nr 11 (Formularz oferty). 4. Maksymalne wynagrodzenie brutto Wykonawcy z tytułu dostawy certyfikatów pieczęci elektronicznej,

§ 1ust.

1 pkt 5, wynosi....................zł (słownie złotych: ...........................). Cena jednostkowa brutto certyfikatu pieczęci elektronicznej wynosi .................... zł (słownie złotych: ...........................), zgodnie Załącznikiem nr 11 (Formularz oferty). 5. Maksymalne wynagrodzenie brutto Wykonawcy z tytułu udostępnienia pakietów usługi kwalifikowanego znakowania czasem,

§ 1ust.

1 pkt 6, wynosi .................... zł (słownie złotych: ...........................). Cena jednostkowa brutto pakietu usług kwalifikowanego znakowania czasem wynosi .......................... zł (słownie złotych: ......................................................), zgodnie Załącznikiem nr 11 (Formularz oferty). 6. Maksymalne wynagrodzenie brutto Wykonawcy z tytułu świadczenia Usługi serwisu, o której mowa w § 1 ust. 1 pkt 7, wynosi .................... zł (słownie złotych: ...........................), w tym maksymalne wynagrodzenie brutto Wykonawcy z tytułu świadczenia z tytułu świadczenia Usługi serwisu HSM,

§ 1

ust 1 pkt 1, wynosi ..........................zł (słownie złotych: ......................................................), a maksymalne wynagrodzenie brutto Wykonawcy należne Wykonawcy z tytułu świadczenia Usługi serwisu Oprogramowania, o którym mowa w § 1 ust 1 pkt 2, wynosi .......................... zł (słownie złotych: ......................................................). Zryczałtowane miesięczne wynagrodzenie brutto należne Wykonawcy z tytułu świadczenia Usługi serwisu HSM,

§ 1

ust 1 pkt 1, wynosi..........................zł (słownie złotych: ......................................................), a zryczałtowane miesięczne wynagrodzenie brutto należne Wykonawcy z tytułu świadczenia Usługi serwisu Oprogramowania, o którym mowa w § 1 ust 1 pkt 2, wynosi .......................... zł (słownie złotych: ......................................................), zgodnie Załącznikiem nr 11 (Formularz oferty). 7. Maksymalne łączne wynagrodzenie brutto, o którym mowa w ust. 1, zawiera wszelkie koszty Wykonawcy związane z realizacją przedmiotu Umowy określonego w § 1 i wyczerpuje wszelkie roszczenia Wykonawcy wobec Zamawiającego z tytułu wykonania Umowy. Wynagrodzenie określone w § 6 nie ulegnie zmianie w okresie obowiązywania Umowy z zastrzeżeniem§ 14 ust. 6. Załącznik nr 1 - Opis Przedmiotu Zamówienia I. Szczegółowe wymagania dotyczące urządzeń. Każde z urządzeń HSM musi: 1. znajdować się na liście QSCD, jako wymóg konieczny do przechowywania kwalifikowanych certyfikatów pieczęci elektronicznych; 2. posiadać wsparcie dla algorytmów symetrycznych, dotyczy to przynajmniej wsparcia dla kryptografii oraz kluczy symetrycznych: AES (128 i 256 bit), Triple DES; 3. posiadać wsparcie dla algorytmów asymetrycznych, dotyczy to przynajmniej wsparcia dla kryptografii oraz kluczy asymetrycznych opartych o algorytmy: RSA (2048, 4096 bit); 4. umożliwiać generowanie par kluczy kryptograficznych (symetrycznych i asymetrycznych); 5. umożliwiać fizyczną i logiczną ochronę kluczy kryptograficznych; 6. mieć wbudowaną funkcjonalność kontroli dostępu do kluczy kryptograficznych; 7. umożliwiać wykonywanie operacji z użyciem kluczy kryptograficznych; 8. umożliwiać archiwizację kluczy oraz odtwarzanie kluczy z kopii bezpieczeństwa przechowywanej poza urządzeniem, na dostarczony przez Wykonawcę bezpieczne urządzenie (dedykowany modułu zewnętrznego do wykonywania kopii bezpieczeństwa z takim samym poziom certyfikacji jak dla głównego HSM); 9. zapewniać przechowywanie kluczy kryptograficznych wewnątrz urządzenia; 10. posiadać możliwość lokalnego i zdalnego (poprzez sieć LAN/WAN) zarządzania operacjami na kluczach kryptograficznych; 11. stanowić zamkniętą całość sprzętową, Zamawiający nie dopuszcza rozwiązania w postaci serwera z wewnętrzną kartą PCIe; 12. zapewniać minimalną wydajność odpowiednio: - 500 podpisów/s kluczem RSA o długości 2048 bitów w trybie pojedynczego podpisu; - 2 000 podpisów/s kluczem RSA o długości 2048 bitów w trybie podpisu wsadowego; 13. obsługiwać przez sieć wiele serwerów (min. 100 active) oraz oprogramowań w wielu lokalizacjach LAN; 14. umożliwiać umieszczenie indywidulanych kwalifikowanych pieczęci rozróżnialnych kluczy pieczęci na urządzeniu (max. 100 pieczęci ); 15. umożliwiać tworzenie co najmniej 100 logicznych partycji do przechowywania materiału kryptograficznego; 16. zapewniać uwierzytelnienie do administrowania urządzeniem oraz każdą z partycji z użyciem mechanizmu silnego uwierzytelniania (np. z użyciem kart inteligentnych lub tokenów) i wspierać mechanizm kworum N z M (do poprawnego uwierzytelnienia wymagane jest przedłożenie N poświadczeń z zestawu M poświadczeń, gdzie N=<M); 17. pozwalać na całkowicie zdalną administrację, bez konieczności asysty operatorów przy urządzeniu; 18. umożliwiać wykorzystanie interfejsów programistycznych (API) min.: PKCS#11, Microsoft CSP/CNG, JCE; 19. wspierać funkcje skrótu: SHA2 (SHA- 224, SHA- 256, SHA- 384, SHA- 512); 20. działać w trybie pracy wysokiej dostępności w klastrze typu active- pasive i active-active; 21. pozwalać na tworzenie kopii bezpieczeństwa materiału kryptograficznego, który jest w nim przechowywany oraz na jego odtwarzanie z kopii; 22. pozwalać na zestawienie bezpiecznego kanału komunikacyjnego pomiędzy HSM a serwerem uruchomionym w środowisku wirtualnym (np. VMware, Hyper- V); 23. posiadać obudowę o wysokości nie większej niż 1U, dostosowaną do montażu w szafie stelażowej 19”; 24. posiadać wbudowane redundantne (min. 2) zasilacze hot- swap przystosowane do zasilania z sieci ~230V; 25. posiadać możliwość zestawienia bezpiecznego kanału komunikacyjnego pomiędzy oprogramowaniem wykorzystującym interfejs PKCS#11 a partycją w module HSM - przy założeniu, że klucze do zabezpieczenia tej komunikacji muszą być przechowywane w postaci pliku na kliencie korzystającym z HSM lub w dedykowanym elemencie sprzętowym; 26. zapewnić współpracę z Microsoft Windows Server 2012, 2016 i nowsze, Windows 10 i nowsze; 27. zapewnić współpracę z Linux 64 bit; 28. być dostarczone wraz z oprogramowaniem zapewniającym opatrywanie kwalifikowaną pieczęcią elektroniczną; posiadać oprogramowanie oraz dokumentację urządzeń w wersji językowej polskiej lub angielskiej. Dokumentacja powinna być dostępna w wersji elektronicznej oraz aktualna na dzień dostawy urządzeń; 29. posiadać wsparcie producenta urządzeń, tzn. w chwili składania oferty nie może istnieć opublikowana informacja dotycząca przewidywanego bądź postanowionego zakończenia standardowego wsparcia technicznego producenta przez cały okres trwania umowy; 30. być zgodne, wraz z dostarczonym oprogramowaniem, z QSCD oraz zarządzane w imieniu Zamawiającego przez kwalifikowanego dostawcę usług zaufania; 31. spełniać wszystkie wymogi dotyczące bezpieczeństwa oraz zużycia energii określone w obowiązującym w Polsce prawie; 32. być fabrycznie nowe, kompletne, nieużywane i bez oznak używania, nierefabrykowane nieregenerowane, nienaprawiane, niepodlegające ponownej obróbce oraz w jednolitej konfiguracji; 33. posiadać gwarancję i wsparcie producenta urządzeń przez okres 36 miesięcy od dnia dostarczenia sprzętu do Zamawiającego. 34. zostać dostarczone wraz ze wszystkimi niezbędnymi elementami umożliwiającymi montaż w szafie (kable, szyny, uchwyty, śruby, etc.). II. Szczegółowe wymagania dotyczące oprogramowania. Wykonawca dostarczy bezterminowe licencje na: 1. oprogramowanie middleware - do administrowania urządzeniami oraz obsługi komunikacji z HSM i zarządzania danymi dla oprogramowania rozproszonego; 2. środowisko programistyczne (SDK - Software Development Kit) dla integratorów i użytkowników do tworzenia oprogramowania (na platformy MS Windows oraz Linux 64bit); 3. oprogramowanie realizujące usługi masowego opatrywania kwalifikowanymi pieczęciami dokumentów elektronicznych, która może zostać zintegrowana z systemami IT ZUS z wykorzystaniem usług sieciowych API lub współdzielonego zasobu dyskowego; 4. oprogramowanie klienckie realizujące pojedyncze i masowe usługi opatrywania dokumentów kwalifikowaną pieczęcią elektroniczną przez pracowników Zamawiającego: 1) oprogramowanie realizujące usługi masowego opatrywania kwalifikowanymi pieczęciami dokumentów elektronicznych zainstalowane na serwerze musi:

1. a)obsługiwać równolegle min. 10 urządzeń HSM,
2. b)obsługiwać równolegle min. 200 par kluczy na każdym urządzeniu HSM,
3. c)obsługiwać równolegle min. 200 systemów IT Zamawiającego,
4. d)wspierać następujące standardy podpisów elektronicznych zgodnych z przepisami wykonawczymi do rozporządzenia eIDAS: PKCS#7, PDF & PDF/A, XAdES, CAdES, PAdES, LTA,
5. e)obsługiwać kwalifikowaną usługę znacznika czasu,
6. f)zapewniać obsługę następujących rodzajów podpisów elektronicznych: zewnętrzny, wewnętrzny, kontrasygnata, równoległe,
7. g)zapewnić rozliczalność liczby użyć każdego z dostępnych certyfikatów,
8. h)zapewnić rozliczalność przeprowadzonych operacji podpisu przez każdego klienta,
9. i)zapewnić rozliczalność użyć kwalifikowanej usługi znacznika czasu,
10. j)zapewnić obsługę opatrzenia dokumentu wybranym przez Zamawiającego scenariuszem: - pieczęcią kwalifikowaną; - pieczęcią kwalifikowaną z kwalifikowanym znacznikiem czasu; - kwalifikowanym znacznikiem czasu;
11. k)obsługiwać oprogramowanie klienckie;
12. l)poprawnie pracować w środowisku MS Windows 2012 i wyższych oraz Linux 64 bit.
13. m)musi mieć możliwość wdrożenia w środowisku wirtualnym; 2) oprogramowanie klienckie realizujące usługi pojedynczego opatrywania kwalifikowanymi pieczęciami dokumentów elektronicznych przez pracowników ZUS zainstalowane na stacji pracownika ZUS musi:
14. a)zapewnić autoryzację pracownika do usług w oparciu o AD (Active Directory) Zamawiającego i z uwzględnieniem udostępnionych mu e- pieczęci ze zbioru wszystkich certyfikatów, z których mogą korzystać pracownicy;
15. b)zapewnić możliwość podpisywania dokumentu na stacji klienckiej bez wysyłania dokumentu na serwer;
16. c)zapewnić realizację pojedynczej usługi w czasie krótszym niż 20 sekund;
17. d)zapewnić obsługę opatrzenia dokumentu wybranym przez użytkownika scenariuszem: - pieczęcią kwalifikowaną; - pieczęcią kwalifikowaną z kwalifikowanym znacznikiem czasu; - kwalifikowanym znacznikiem czasu.
18. e)posiadać instrukcję oraz dokumentację eksploatacyjną, w języku polskim;
19. f)poprawnie pracować w środowisku MS Windows 10 i wyższych;
20. g)zapewnić wykrywanie ustawień proxy internet w systemie MS Windows 10 i wyższych w celu sprawdzenia listy CRL . 5. Rozwiązania powinno zostać wdrożone w trybie wysokiej dostępności (High- Availability) w obszarze oprogramowania. 6. pozostałe niezbędne do prawidłowego działania Rozwiązania licencje dla dostarczonego oprogramowania oraz licencji konfiguracyjnych dla dostarczonych urządzeń HSM. 7. niezbędne licencje na systemy operacyjne i motory bazodanowe z minimalnym 3- letnim wsparciem technicznych producenta. W przypadku użycia w Rozwiązaniu systemów operacyjnych lub motorów bazowanych z licencją otwarta (open source) Wykonawca będzie świadczył Usługę serwisu przez okres Umowy. Modyfikacja nr 1: Zmianie ulega pkt I Załącznika 1 do Projektowanych Postanowień Umowy, które stanowią Załącznik nr 2 do SWZ, poprzez dodanie ust. 35 w brzmieniu: 35. umożliwiać zarządzanie urządzeniami HSM, generowanie statystyk operacji kryptograficznych służących do monitorowania wydajności urządzenia, przy użyciu rozwiązań wbudowanych lub poprzez dostarczenie i integrację urządzenia z posiadanym narzędziem Crypto Command Center lub dostawy innego narzędzia monitorowania wydajności urządzenia. W przypadku dostarczenia HSM współpracującego z narzędziem Crypto Command Center Wykonawca zobowiązany jest do integracji z Rozwiązaniem lub wdrożenia innego narzędzia do zarządzania i monitorowania wydajności urządzenia. Wyjaśnienia treści SWZ: Pytanie nr 3 dot. pkt. 5 część II - Rozwiązania powinno zostać wdrożone w trybie wysokiej dostępności (High- Availability) w obszarze oprogramowania. Czy Zamawiający oczekuje wdrożenia oprogramowania w dwóch lokalizacjach (ośrodek podstawowy, ośrodek zapasowy) połączonych w klastrze HA, czy też oprogramowanie ma być wdrożone w większej liczbie lokalizacji tworząc tryb wysokiej dostępność (High Availability). Jeśli Oprogramowanie ma być wdrożone w więcej niż dwóch ośrodkach prosimy o podanie liczby ośrodków w których ma zostać przeprowadzone wdrożenie. Odpowiedź nr 3 Zamawiający podtrzymuje postanowienia SWZ. Jednocześnie wyjaśnia, że wymaga wdrożenia oprogramowania w dwóch lokalizacjach (ośrodek podstawowy, ośrodek zapasowy) połączonych w klastrze HA (High- Availability). W każdym z ośrodków oprogramowanie powinno być wdrożone w trybie wysokiej dostępność HA - Zgodnie z pkt. 5 część II Załącznikiem 1 do Projektowanych Postanowień Umowy, które stanowią Załącznik nr 2 do SWZ. Pytanie nr 4 Pytania do Opisu Przedmiotu Zamówienia. Dot.: I Szczegółowe wymagania dotyczące urządzeń. Pytanie do punktu 13: Czy Zamawiający formułując wymaganie „Każde z urządzeń HSM musi (...) 13. obsługiwać przez sieć wiele serwerów (min. 100 active) oraz oprogramowań w wielu lokalizacjach LAN” ma na myśli możliwość korzystania z usługi pieczęci przez 100 zewnętrznych serwerów oraz oprogramowań? Odpowiedź nr 4 Zamawiający podtrzymuje postanowienia SWZ. Jednocześnie wyjaśnia, że wymaga wdrożenia Rozwiązania z możliwością obsługi przez sieć wielu serwerów (min. 100 active) oraz oprogramowani w wielu lokalizacjach LAN. W przypadku dostarczenia Rozwiązania z licencjonowaniem na liczbę klientów podłączanych do urządzenia, Zamawiający wymaga dostarczenia dodatkowo liczby licencji klienckich właściwej dla zaoferowanego Rozwiązania. Zamawiający wymaga Rozwiązania wdrożonego z zachowaniem wysokiej dostępności oraz wydajności - Zgodnie z pkt. 15 część I Załącznikiem 1 do Projektowanych Postanowień Umowy, które stanowią Załącznik nr 2 do SWZ. Pytanie nr 5 Dot.: II Szczegółowe wymagania dotyczące oprogramowania. Pytanie do punktu 1 Czy w wymaganiu dot. dostarczenia bezterminowej licencji na oprogramowanie middleware do administrowania oraz obsługi komunikacji z HSM i zarządzania danymi dla oprogramowania rozproszonego Zamawiający oczekuje dostarczenia licencji na oprogramowanie umożliwiające centralne zarządzanie urządzeniami HSM? Odpowiedź nr 5 Zamawiający podtrzymuje postanowienia SWZ. Jednocześnie wyjaśnia, że wymaga dostarczenia bezterminowej licencji na oprogramowanie middleware w rozumieniu oprogramowania pośredniczącego - Zgodnie z pkt. 1 część II Załącznikiem 1 do Projektowanych Postanowień Umowy, które stanowią Załącznik nr 2 do SWZ. Oferta odwołującego: 1 urządzenia HSM wraz z oprogramowaniem wbudowanym - LUNA NETWORK HSM S700 (producent, model) ilość 2 cena łączna brutto 341940,00 2 licencje na oprogramowanie middleware - oprogramowanie producenta HSM (nazwa oprogramowania) w cenie poz. 1 ilość 2 3 licencje na oprogramowanie SDK - oprogramowanie producenta HSM (nazwa oprogramowania) w cenie poz. 1 ilość 10 7 licencje na systemy operacyjne i motory bazodanowe (nazwa oprogramowania) ilość 1 Oferta Enigma: 1 urządzenia HSM wraz z oprogramowaniem wbudowanym - Thales Luna Network HSM S700 (producent, model) ilość 2 w cenie brutto 410 082,00 2 licencje na oprogramowanie middleware - Luna Network Client Licenses (nazwa oprogramowania) ilość 2 w cenie brutto 6 231,18 3 licencje na oprogramowanie SDK - Enigma Pem Heart SDK (nazwa oprogramowania) ilość 10 w cenie brutto 76 260,00 7 licencje na systemy operacyjne i motory bazodanowe - Cent OS, PostgreSQL (open source) (nazwa oprogramowania) 0,00 ilość 6 Pismo Enigma z dnia 17 lutego 2022 r. W związku z toczącym się postępowaniem i etapem badania i oceny ofert, Enigma zwrócił uwagę na nieprawidłowości w ofercie Wykonawcy Eurocert sp. z o.o. z siedzibą w Warszawie (dalej: „Eurocert”). Udostępniona treść oferty Eurocert - Formularz oferty, pkt 4. Formularz cenowy, Tabela 1, ujawnia błędy w złożonej przez Eurocert ofercie, które oznaczać mogą niezgodności stanowiące podstawę do odrzucenia oferty na podstawie art. 226 ust. 1 pkt 5 Pzp ze względu na niezgodność z warunkami zamówienia. Zastrzeżenia dotyczą m.in. poniższych, ewidentnych błędów w ofercie: - Eurocert nie wskazał w poz. 2 i 3 w kolumnie 1 Tabeli nr 1 wymaganej nazwy oferowanego oprogramowania; - Eurocert nie określił ceny jednostkowej licencji oferowanych w poz. 2 i 3 Tabeli nr 1 wskazanie, iż ceny te uwzględniono w cenie poz. 1 nie czyni zadość wymaganiom Zamawiającego, zgodnie z którymi Zamawiający wymagał określenia i podania tych informacji w Formularzu cenowym; - Eurocert w poz. 7 nie wskazał nazwy oferowanego oprogramowania systemów operacyjnych i motorów bazodanowych oraz podał dla nich cenę w wysokości 0,00 PLN netto, nie wskazując ich wartości, a mimo to podając liczbę „1” w kolumnie 4 (liczba sztuk), mimo iż warunki zamówienia wskazują, iż wymagane jest dostarczenie większej ilości licencji. Jakkolwiek staranność prowadzenia postępowania może wymagać od Zamawiającego wyczerpania procedury wezwania do wyjaśnień z art. 223 ust. 1 Pzp, w celu uzyskania od Eurocert informacji o tym, czy i jakie oprogramowanie oraz w jakich cenach jednostkowych wycenił w poz. 2, 3 i 7 Tabeli nr 1, to jednak, charakter popełnionych błędów wskazuje, że jeśli nawet stanowią one omyłki Wykonawcy, to nie będzie możliwe ich poprawienie w trybie art. 223 ust. 2 pkt 3 Pzp. Zmiana treści oferty polegająca na określeniu oferowanego produktu oraz jego ceny jednostkowej, stanowi istotną zmianę, nie pozwalającą na poprawienie w trybie innej omyłki przewidzianym w przepisach Pzp. Wyjaśnienia treści oferty mogą służyć wyłącznie wyjaśnieniu rozbieżności lub treści zawartej w ofercie, ale nie jej uzupełnieniu o informacje istotne z punktu widzenia oferowanego Zamawiającemu świadczenia, których nie sposób ustalić na podstawie pozostałej treści oferty. W tym przypadku, brak podania w szczególności nazw oferowanego oprogramowania w wierszach 2, 3 i 7 uniemożliwia Zamawiającemu weryfikację oferowanego rozwiązania, jak również nie będzie możliwe ustalenie czy dostarczone mu rozwiązanie będzie zgodne z tym, które zostało ujęte w ofercie Wykonawcy. Szczególnie, w przypadku takim, z jakim mamy do czynienia w odniesieniu do oferty Eurocert, gdzie ustalenie „brakującego” zakresu oferty nie jest jednoznaczne i możliwe jest zaoferowanie w ramach całości rozwiązania, oprogramowania, które nie będzie zgodne z SWZ. Niezależnie od powyższego, na niezgodność z warunkami zamówienia, wskazuje zaoferowanie pojedynczej liczby sztuk licencji na oprogramowanie w poz. 7 Tabeli nr 1, gdzie zgodnie z wymaganiami Zamawiającego, należało ująć licencje zarówno na oprogramowanie będące systemem operacyjnym, jak i bazą danych - sztuk takich licencji powinno być więcej, co najmniej dwa razy tyle, co uruchomionych środowisk, ze względu na wymóg wdrożenia rozwiązania w trybie wysokiej dostępności (High-Availability) w obszarze oprogramowania. Treść Formularza ofertowego Eurocert, która poprzez brak podania nazwy i ceny jednostkowej wskazuje, iż zakres ten w ogóle nie został objęty ofertą Wykonawcy, nie pozwala na zapewnienie, że w ramach oferowanego rozwiązania możliwe będzie spełnienie wymagań SWZ w zakresie tego oprogramowania i licencji na nie. Ustawa przewiduje tryb wyjaśnień treści oferty, jednak służy on jedynie rozwianiu wątpliwości Zamawiającego, natomiast to na Wykonawcy spoczywa ciężar złożenia oferty potwierdzającej zgodność z warunkami zamówienia. Dotyczy to również poz. 2 i 3, gdzie Wykonawca opisał jedynie ogólnie, że oferuje „jakieś” oprogramowanie (podczas gdy istnieje możliwe do zaoferowania oprogramowanie nie spełniające wymagań SWZ) oraz wskazał, iż jego wycena została uwzględniona w poz. 1 Tabeli 1, wraz z innym oferowanym komponentem. Jest to, co potwierdza również orzecznictwo KIO, działanie niezgodne z przepisami ustawy Pzp oraz zasadami równego traktowania Wykonawców. W sytuacji, w której Zamawiający żąda podania w ofercie określonych informacji, wszyscy Wykonawcy zobowiązani są do ich podania, niezależnie od tego, jaką konstrukcję ofertowania przyjmują. Oznacza to, iż Wykonawca, po upływie terminu na składanie ofert, nie może powoływać się np. na wycenę otrzymywaną w określonej postaci od producenta lub własny sposób ofertowania, aby uchylić się od złożenia treści oferty zgodnej z wymaganiami Zamawiającego. Jedyną możliwością wpływu na zmianę takich wymagań, byłoby kwestionowanie zasadności żądania ich przez Zamawiającego na etapie przed upływem terminu na składanie ofert, co w tym przypadku nie zostało skutecznie przeprowadzone. W przypadku, gdy żądanie takie zostało utrwalone w warunkach zamówienia, Zamawiający nie może odstąpić od jego wymagania wobec każdego z Wykonawców, zgodnie z zasadami równego traktowania i uczciwej konkurencji. Jakkolwiek zatem zasadne może być poprzedzenie decyzji Zamawiającego wezwaniem Eurocert do udzielenia wyjaśnień w trybie art. 223 ust. 1 Pzp, wątpliwe wydaje się, aby udzielona odpowiedź umożliwiała poprawienie oferty w sposób zgodny z przepisami lub też uznanie jej za zgodną z warunkami zamówienia. W takim przypadku, zasadne jest podjęcie przez Zamawiającego decyzji o odrzuceniu oferty Eurocert, szczególnie, gdy wskazane niezgodności lub dążenie do niedozwolonej zmiany treści złożonej oferty, znajdą potwierdzenie w udzielanych przez Eurocert wyjaśnieniach w zakresie rażąco niskiej ceny złożonej oferty (wezwanie uzasadnione w świetle ponad 30%-owej różnicy w stosunku do wartości referencyjnych). Informacja o wyniku postępowania z dnia 31 marca 2022 r. III. Informacja o Wykonawcach, których oferty zostały odrzucone: Wykonawca: EUROCERT Spółka z ograniczoną odpowiedzialnością Podstawa prawna: art. 226 ust. 1 pkt 5 ustawy Pzp. Uzasadnienie faktyczne: Treść złożonej przez firmę EUROCERT Sp. z o.o. oferty jest niezgodna z warunkami zamówienia. Zamawiający w pkt II Załącznika nr 1 - Opis Przedmiotu Zamówienia (dalej: „OPZ”) do Projektowanych postanowień umowy (stanowiących Załącznik nr 2 do Specyfikacji Warunków Zamówienia) wymagał przedstawienia w ofercie oprogramowania w zakresie oferowanych przez wykonawcę licencji. Ponadto stosownie do Tabeli nr 1 w Załączniku nr 1 do SWZ - Formularz ofertowy, w poz. 2 - 7 dla każdej licencji wymagano podania przez wykonawcę nazwy oferowanego oprogramowania. Firma EUROCERT Sp. z o.o. składając ofertę nie podała w poz. 2, 3 oraz 7 nazwy oferowanego oprogramowania, do czego zgodnie z SWZ była zobowiązana. Z uwagi na ten fakt niemożliwa jest przez Zamawiającego weryfikacja oferowanego rozwiązania. Dodatkowo Zamawiający uważa za niemożliwe ustalenie czy oferowane rozwiązanie przez firmę EUROCERT Sp. z o.o. jest zgodne z tym, które Wykonawcy planuje wdrożyć. Wskazania również wymaga, że Wykonawca w swojej ofercie w poz. 7 kol. 4 zadeklarował ilość jednostek „1”, gdzie Zamawiający zgodnie z SWZ wymagał dostarczenia co najmniej 2 szt. wymaganej licencji na systemy operacyjne i motory bazodanowe. Wobec stwierdzonych w/w niezgodności oferty firmy EUROCERT Sp. z o.o., Zamawiający postanawia odrzucić ofertę jako niezgodną z warunkami zamówienia. Z opinii OPTeam wynika, że jego ofercie znajdują się rozwiązania oparte o urządzenia kryptograficzne (w tym HSM) oraz systemy o nie oparte. Zdaniem OPTeam oferta odwołującego przedstawia system do kompleksowej usługi zapewniającej obsługę opatrywania kwalifikowalnymi pieczęciami elektronicznych dokumentów. Zastosowanie dwóch urządzeń HSM zapewni redundantność elementów sprzętowych (hardware) systemu. Licencje na oprogramowanie pośredniczące (middleware) i SDK są zwyczajowo dostarczane przez producentów HSM i zwyczajowo stanowią jedność z dostarczanymi urządzeniami. Zaoferowane rozwiązanie w części programowej (software) w postaci nielimitowanych licencji na oprogramowanie podpisujące dokumenty (pieczętujące), licencji klienckich dla tego oprogramowania przy jednoczesnym użyciu otwartego oprogramowania (open source) bazodanowego i systemu operacyjnego stanowi o kompletności usługi, którą chce dostarczyć oferent. Jednocześnie jak udało się ustalić z dostępnej dokumentacji zamawiający nie przedstawił (nie zażądał) konkretnej architektury rozwiązania, jak i nie przedstawił informacji o aktualnym stanie architektury techniczno-informatycznej, używanych urządzeniach sieciowych, systemach operacyjnych, bazach danych, systemach aplikacyjnych itp. Zamawiający nie przedstawił żadnych założeń co do integracji zamawianego systemu z obecną infrastrukturą z wyjątkiem systemu HP Service Manager i (po modyfikacji zapytania) Crypto Command Center, tak więc zaoferowanie licencji na bazę danych oraz system operacyjny w postaci jednej licencji open source bez podania nazwy jest najrozsądniejszym rozwiązaniem. W żaden sposób nie ogranicza to zamawiającego (nie naraża na dodatkowe koszty) podczas włączania dostarczanego systemu do istniejących zasobów zamawiającego. Tego typu podejście sugeruje możliwość dowolnego stworzenia architektury co jest bardzo pomocne przy braku znajomości infrastruktury zamawiającego. Nie naraża żadnej ze stron na dodatkowe koszty i jest przyjazne dla użytkowników (administratorów) systemu. Z maila Ł. K. do T. S. z dnia 2'1 kwietnia 2022 r. godz. 17.27 wynika, że przesłał on odbiorcy SWZ, informację o przetargu, ofertę odwołującego, odwołanie odwołującego i informację o wyborze oferty z pytaniem , czy oferta odwołującego jest w stanie zrealizować oczekiwania zamawiającego - dostarczenie systemu do pieczętowania dokumentów, urządzeń licencji, certyfikatów? Z maila T. S. z dnia 21 kwietnia 2022 r. godz. 21:33 wynika, że wstępnie przeanalizowane nadesłane dokumenty i wynika z nich, że przedmiotem zamówienia jest zakup kwalifikowanych usług zaufania obejmujący w szczególności 7 usług. Eurocert posiada kwalifikacje i doświadczenie niezbędne do należytego wykonania przedmiotu zamówienia. Zakupione kwalifikowane usługi zaufania mają być świadczone „on-site” w siedzibie zamawiającego, a poszczególne komponenty, takie jak urządzenia HSM, czy oprogramowanie systemowe, bazodanowe i aplikacyjne mają tworzyć kompletne rozwiązanie. Zamówienie nie obejmuje sprzętu na którym zamawiane oprogramowanie ma zostać wdrożone. Zamawiający nie określił szczegółowych wymagań technicznych na inne komponenty niż HSM, którego rolą jest ochrona materiału kryptograficznego oraz zapewnienie bezpieczeństwa realizacji funkcji kryptograficznych, na których opierają się usługi zaufania. Zamawiany HSM ma spełniać wymaganie QSCD, co jest warunkiem koniecznym świadczenia kwalifikowanych usług zaufania. Szczegółowe wymagania dotyczące oprogramowania zawarto w szczególności w pkt 7 rozdziału II Opisu przedmiotu zamówienia stanowiącego załącznik nr 2 do SWZ zawierającego projektowane postanowienia umowy w brzmieniu „niezbędne licencje na systemy operacyjne i motory bazodanowe z minimalnym trzyletnim wsparcie technicznym producenta. W przypadku użycia w rozwiązaniu systemów operacyjnych lub motorów bazodanowych z licencją otwartą (open source) wykonawca będzie świadczył usługę serwisu przez okres umowy.” Mając na względzie powyższe wymagania, szczegóły w zakresie systemów operacyjnych oraz motorów bazodanowych opartych na oprogramowaniu otwartym (open source), można, a nawet należy uzgodnić na etapie projektu technicznego, a wybór tego oprogramowania nie ma wpływu na cenę (licencja nie wymaga wnoszenia płat). Wybór optymalnego rozwiązania implementacji systemów operacyjnych i baz danych jest uzależniony od środowiska zamawiającego, w którym ma zostać ono zaimplementowane (najczęściej będą to tzw. maszyny wirtualne). Należności ryczałtowe z tytułu utrzymania tego oprogramowania są ujęte w kosztach serwisu (tabela nr 2). Z oferty nr U-14864 wynika, że przystępujący otrzymał ofertę od Clico sp. z o.o. z siedzibą w Krakowie na urządzenie LUNA NETWORK HSM S700. W tym na Client Licences Luna NETWORK HSM7 o kodzie 908-000402-001-001, przy czym jak wynika to z załączonego cennika ten kod odpowiada 1 - 10 licencji Reasumując uważamy, że zasadnym jest stwierdzenie, że przedstawiona oferta (wypełniony załącznik nr 2) jest kompletna, poprawna technicznie i możliwa do realizacji, a posiadane kompetencje i doświadczenie Eurocert dają realne podstawy do stwierdzenia, że zamówienie na zakup kwalifikowanych usług zaufania powinno zostać zrealizowane zgodnie z wymaganiami zamawiającego. Izba zważyła, co następuje: Izba stwierdziła, że zgłoszone przystąpienie spełnia wymogi określone w art. 525 ust. 1 - 3 ustawy. Izba nie dopatrzyła się zaistnienia przesłanek odrzucenia odwołania,

art. 528 ustawy. Izba oceniła, że odwołujący wykazał przesłankę materialnoprawną dopuszczalności odwołania z art. 505 ust. 1 ustawy. Zarzut naruszenia przez zamawiającego art. 226 ust. 1 pkt 5 ustawy przez odrzucenie oferty odwołującego pod zarzutem, że treść tej oferty jest niezgodna z warunkami zamówienia, tj. a. pkt II Załącznika nr 1 - Opis Przedmiotu Zamówienia (dalej: „OPZ”) do Projektowanych postanowień umowy (stanowiących Załącznik nr 2 do SWZ). Wedle twierdzenia zamawiającego zawarto tam wymóg przedstawienia w ofercie oprogramowania w zakresie oferowanych przez wykonawcę licencji. Tymczasem, pkt II Załącznika nr 1 do OPZ zawiera wskazanie wymagań dotyczących oprogramowania, notabene spełnionych przez odwołującego, a nie wskazania co do sposobu wypełnienia formularza ofertowego; b. rzekomego obowiązku wskazania konkretnych nazw własnych licencji na oprogramowanie wpisanych do Tabeli nr 1 w Załączniku nr 1 do SWZ - Formularz ofertowy (Formularz Cenowy), w poz. 2, 3 i 7 pomimo iż SWZ w żadnym postanowieniu nie wymaga wskazania tych danych; c. rzekomego obowiązku dostarczenia więcej niż jednej licencji na systemy operacyjne i motory bazodanowe, podczas gdy SWZ w żadnym postanowieniu nie wprowadza minimalnych parametrów ilościowych dla tego oprogramowania Zarzuty zasługują na uwzględnienie. Jeżeli chodzi o pozycje 2 i 3 zamawiający wskazał, że w formularzu cenowym oczekuje wskazania nazwy oprogramowania, a nie nazwy licencji. Zamawiający jednocześnie w załączniku nr 2 do SWZ definiował, co rozumie pod pojęciem oprogramowania i licencji. Nazwa licencji nie była przez zamawiającego wymagana w żadnej ze spornych pozycji. Tym samym wskazanie w poz. 2 nazwy Client Licenses Luna Network HSM7 czy jakiejkolwiek, innej nie było zgodne z wymaganiem zamawiającego. Skoro tak, to porównanie oferty odwołującego i uczestnika postępowania, nie mogło mieć w tym zakresie znaczenia dla rozstrzygnięcia, gdyż treść oferty przystępującego nie mogła stanowić wzorca odniesienia przy badaniu zgodności oferty z warunkami zamówienia. W tym zakresie nieprzydatny dla rozstrzygnięcia był również dowód przedłożony przez przystępującego, gdyż na jego podstawie Izba nie była w stanie ustalić nazwy oprogramowania, jaką należało wskazać dla licencji middleware i SDK dla urządzeń Luna Network HSM S

1. Odwołujący wskazał w poz. 2 i 3 oprogramowanie producenta HSM i podał, że cena jest wliczona w cenie poz.
2. W żaden sposób nie zostało w postępowaniu wykazane, że istnieje nazwa oprogramowania producenta HSM, którą powinna przyjąć inne brzmienie niż wskazane przez odwołującego. Zamawiający nie próbował tej okoliczności dowodzić twierdząc jedynie, że powinna być podana, bo tego wymagał, a przystępujący wykazał, że jest nazwa dla licencji na oprogramowanie middleware, ale nie wskazał jaka jest nazwa tego oprogramowania, co do pozycji 3, to przystępujący wskazał, że zaoferował oprogramowanie nie będące oprogramowaniem producenta HSM, a zatem z tej okoliczności także nie można wywieść negatywnych skutków dla odwołującego, który oferuje oprogramowanie producenta HSM. Izba odczytuje ofertę odwołującego w sposób odmienny od przedstawionego przez zamawiającego i przystępującego, w ocenie Izby odwołujący wskazując w poz. 1 producenta HSM Luna Network HSM S700 dla urządzenia HSM wraz z wbudowanym oprogramowaniem i następnie w poz. 2 i 3 wskazując, że licencje dotyczą oprogramowania producenta HSM oraz wliczone są w cenę urządzeń tego producenta wyraźnie sprecyzował, że chodzi o oprogramowanie producenta Luna Network HSM S700, bo skoro bowiem sprecyzował producenta urządzenia i samo urządzenie i dodatkowo wskazał, że koszt nabycia tak urządzeń jak i licencji zawiera się w koszcie zakupu urządzeń, to w ocenie Izby bez przedstawienia dowodu przeciwnego trudno jest uznać, że oprogramowanie middleware i SDK miałoby pochodzić od producenta innego niż producent Luna Network HSM S
3. Co więcej przeciwnie niż przystępujący, odwołujący nie wskazał w żadnej z tych pozycji, że oferuje oprogramowanie własne, wskazał, że będzie to oprogramowanie producenta urządzenia. W ocenie Izby niewskazanie nazwy oprogramowania przy jednoczesnym określeniu producenta tego oprogramowania i wskazaniu urządzenia, z którym ma współpracować pozwala zamawiającemu na weryfikację złożonej oferty. Za nadmiarowe i nie wynikające z treści oferty Izba uważa odczytywanie jej treści w oderwaniu od tego, co rzeczywiście zostało zaoferowane, tym samym Izba nie dała wiary twierdzeniom zamawiającego, że to może być oprogramowanie dowolnego producenta urządzeń HSM. Izba stoi na stanowisku, że przedmiot zamówienia w zakresie poz. 2 i 3 został skonkretyzowany w sposób umożliwiający jego weryfikację. Izba ponownie podkreśla, że zamawiający nie wymagał nazw licencji, ale nazwy oprogramowania, tym samym brak podania nazw licencji nie może świadczyć o niezgodności treści oferty z treścią SWZ. Izba zauważa także, iż treść SWZ nie jest jednoznaczna co do momentu obowiązku podania nazw oprogramowania. Z powołanego przez zamawiającego par. 1 ust. 1 pkt 2 załącznika nr 2 do SWZ z wyjaśnienia zawartego przy gwiazdce wynika bowiem, że pola wykropkowane w zakresie sprzedaży i dostawy oprogramowania dla usługi opatrywania pieczęciami kwalifikowanym dokumentów elektronicznych są do uzupełnienia po odbiorze oferty najkorzystniejszej. Ustawa Pzp nie zna pojęcia odbioru oferty najkorzystniejszej, zamawiający nie wskazał, że jest to moment wyboru oferty najkorzystniejszej, a jednocześnie podał definicję odbioru, czyli moment potwierdzenia przez zamawiającego należytego wykonania umowy w zakresie poszczególnych zobowiązań wykonawcy. Tym samym w ocenie Izby, co najmniej wątpliwe, jest wysnuwanie na podstawie takiego opisu twierdzenia, że momentem wprowadzenia do umowy nazw oprogramowania jest data złożenia oferty. Słusznie w ocenie Izby podnosi odwołujący, że przedmiotem zamówienia był zakup kwalifikowanych usług zaufania w tym zakup i instalacja dwóch urządzeń HSM, zakup licencji do oprogramowania, zakup certyfikatów kwalifikowanych e-pieczęci. Zatem zamawiający nie nabywa oprogramowania dedykowanego mu do świadczenia usług kwalifikowanych zaufania, ale jedynie licencje do takiego oprogramowania, a mimo to oczekuje w ofercie podania nie nazw licencji, które pozwalałyby mu na weryfikację bezterminowości licencji, czy braku ograniczeń,

par. 1 ust. 5 załącznika nr 2 do SWZ, ale nazw samego oprogramowania, które przecież może mieć przypisanych kilka modeli licencjonowania, otwartych, zamkniętych, z ograniczeniami terytorialnymi, przedmiotowymi lub bez takich ograniczeń. Co więcej zamawiający nie określa w sposób spójny, kiedy informacje o nazwie oprogramowania mają mu być podane, czy to w ofercie, jak wskazuje on i uczestnik na rozprawie, czy po odbiorze oferty najkorzystniejszej jak wynika z projektowanych postanowień umowy. Tym samym z tych niejednoznaczności SWZ, w ocenie Izby, nie można wyciągać negatywnych konsekwencji dla wykonawcy. W konsekwencji skoro SWZ jest niejednoznaczna, co do tego kiedy należało podać nazwy oprogramowania i co jeszcze raz należy podkreślić nazwy oprogramowania nie przesądzały o modelu licencjonowania, nie można było uznać, że brak podania nazwy oprogramowania w poz. 7 formularza cenowego jest istotnym brakiem skutkującym niezgodnością oferty z warunkami zamówienia. Nie bez znaczenia jest także fakt, że zarówno odwołujący jak i przystępujący wycenili poz. 7 na zero złotych, brak wpływu tej pozycji na wartość zamówienia potwierdza także korespondencja elektroniczna z T. S. z PTI. W ocenie Izby odwołujący uwzględnił licencje na systemy operacyjne i motory bazodanowe, gdyż wypełnił ilość tych licencji. Nie można zatem uznać, że świadczenie w tym zakresie nie zostało zaoferowane. Biorąc pod uwagę treść art. 223 ust. 2 pkt 3 ustawy, gdyby nie niespójność SWZ, o której mowa wyżej, ewentualna niezgodność w zakresie poz. 7 jako niepowodująca istotnych zmian w treści oferty nadawałaby się do poprawienia. Izba nie podziela również stanowiska zamawiającego i uczestnika, że liczba 1 licencji na oprogramowanie systemów operacyjnych i motorów bazodanowych była niezgodna z treścią SWZ. W ocenie Izby zamawiający jedyne swoje wymagania dotyczące tych licencji sformułował w pkt 7 rozdziału II załącznika nr 1 do umowy. Z tego punktu wynika zaś jedynie to, że jeśli licencje są producenckie, to mają mieć 3 letnie wsparcie producenta, a jeśli open source, to serwis ma świadczyć wykonawca przez czas umowy. Natomiast z tego punktu nie można wywieść, ile licencji ma być. Zamawiający na rozprawie i w odpowiedzi na odwołanie podnosił, że nie ma jednej licencji na system operacyjny i systemy motorów baz danych, ale nie wskazał minimalnej ilości systemów operacyjnych czy baz danych, zatem nie ma wzorca do którego można odnieść daną podaną w ofercie odwołującego - „licencja 1 szt.” Nie za- sługuje także na uwzględnienie argumentacja o konieczności 2 licencji z uwagi na pkt 5 rozdziału II czyli konieczność zapewnienia wysokiej dostępności w lokalizacji podstawowej i zastępczej. Gdyby połączyć oba stanowiska zamawiającego okazałoby się bowiem, że niezbędne są co najmniej 4 licencje - po jednej na system operacyjny lokalizacji podstawowej i zastępczej i po jednym na system motorów baz danych w obu lokalizacjach, czyli argumentacja zamawiającego pozostaje w wewnętrznej sprzeczności, bo 2 licencje w tym modelu, to za mało, powinny być minimum

1. Izba wzięła także pod uwagę zapytanie nr 3 w którym wykonawca zmierzał do ustalenia ilości wdrożeń, a nie ilości licencji, co więcej w pytaniu z góry założono wdrożenie w dwóch lokalizacjach, pytanie dotyczyło tego, czy wdrożenie dotyczy jeszcze innych ośrodków poza dwoma. W konsekwencji tak pytanie, jak i odpowiedź, nie dotyczyły ilości licencji w poz.
2. Mając to na uwadze Izba nie dała wiary w tym zakresie stanowisku zamawiającego. Natomiast w ocenie Izby odwołujący w sposób przystępny i jednoznaczny na rozprawie wskazał, że zamierza zapewnić wysoką dostępność przy zachowaniu zaoferowanej 1 licencji przez zawarcie w jej zakresie uprawnienia do kopiowania licencji na kolejne urządzenia. Tym samym w ocenie Izby zamawiający nie wykazał, że jego stanowisko o niezgodności treści oferty z warunkami zamówienia znajduje odzwierciedlenie w treści SWZ. Mając powyższe na uwadze zarzut odwołania należało uznać za zasadny, a odrzucenie oferty odwołującego nie zgodne z przepisami ustawy. Z tego względu konieczne stało się nakazanie unieważnienia dotychczasowych czynności zamawiającego i nakazanie przywrócenia oferty odwołującego do postępowania. Zarzut naruszenia przez zamawiającego art. 239 ust. 1 i ust. 2 ustawy przez wybór oferty mniej korzystnej niż oferta odwołującego, pomimo tego, iż oferta odwołującego była ważna i nie podlegała odrzuceniu. Zarzut potwierdził się. Zasadność zarzutu wynika z uwzględnienia zarzutu poprzedzającego, skoro bowiem oferta odwołującego nie podlegała odrzuceniu, to powinna być przez zamawiającego przywrócona do postępowania, zamawiający powinien dokonać jej badania i oceny w świetle przyjętych kryteriów oceny ofert, a następnie dopiero dokonać wyboru z uwzględnieniem tej oferty. Takich czynności zamawiający w postępowaniu nie dokonał, a zatem czynność wyboru oferty najkorzystniejszej została dokonana niezgodnie z przepisami ustawy i należało nakazać jej unieważnienie. Mając na uwadze powyższe orzeczono jak w sentencji na podstawie art. 553 zdanie 1 ustawy. O kosztach postępowania odwoławczego orzeczono na podstawie art. 574 i 575 ustawy, tj. stosownie do wyniku postępowania, z uwzględnieniem postanowień Rozporządzenia Prezesa Rady Ministrów w sprawie szczegółowych rodzajów kosztów postępowania odwoławczego, ich rozliczania oraz wysokości i sposobu pobierania wpisu od odwołania z dnia 30 grudnia 2020 r. (Dz.U. z 2020 r. poz. 2437) na podstawie par. 5 ust. pkt. 1 w związku z par. 7 ust. 1 pkt 1 rozporządzenia obciążając kosztami zamawiającego. Izba na podstawie akt postępowania, że odwołujący poniósł koszty wpisu w kwocie 15 000 zł, oraz koszty wynagrodzenia pełnomocnika, które wykazał rachunkiem na kwotę przewyższającą kwotę maksymalną wydatków pełnomocnika, stąd Izba ograniczyła uznanie kosztów do kwoty 3 600zł., z tego względu Izba nakazała zamawiającemu, aby zwrócił odwołującemu oba poniesione koszty. Przewodniczący: ....................... 33